Newsgroup: it.comp.sicurezza.varie
Titolo: Pretty Park.exe : Che robba è

Innanzi tutto saluti tutti navignati
Oggi mi è arrivata una mail da un mio amico con un attachment
"pericoloso". Mi ha chiesto di esplorarlo e .... mi sono infettato!
Tranquilli! Mi sono anche  disinfettato, almeno spero.
Ho ricevuto un file, Pretty Park.exe , di circa 37Kb.
Presenta un'icoda di uno dei personaggi di South Park.
Una volta lanciato si è registrato nel registro di Windows alla voce:
HKEY_CLASSES_ROOT\exefile\shell\command ""FILES32.VXD "%1"%*""
andando a sostituire l'originale che e solo ""%1"%*""
Il file FILES32.VXD che prima non esisteva nel io PC e comparso
nella directory C:\WINDOWS\SYSTEM.
Facendo una copia di Files32.VXD e rinominandola in FILES32.EXE
è spuntata di nuovo l'icona di cui prima.
Dopo  aver chiuso il processo gestito dal file originale ho provato ha
lanciare
le applicazioni presenti sul mio PC ma Windows mi diceva che
non poteva eseguire alcun  programma perchè gli mancava il suddetto
file.
Non so cosa faccia ma mi viene di pensare che va ad insozzare gli EXE.
Dopo aver  ripristinato l'originale valore  nel registro di windows
il PC ha ripreso il suo corso normale.
Ho eliminato dal PC i file di Pretty Park è ora vi scrivo per saperne di
più.
Visto che molti, consciamente o inconsciamente, mandano sti "sporca Hard
Disk",
quando va a finire bene, vi comunico che il file in questione è stato
spedito da
 
mazz...@columbusnet.it
che ho provveduto ad avvisare perchè vale sempre il diritto di presunzione
di
innocenza.
Grazie Carlo Paolo
====================================
cp.sal...@iol.it
ras...@interpuntonet.it
http://web.interpuntonet.it/rashco
====================================

 Disk",
Si tratta dell'ennesimo worm per OE.
--
Saluti
~~~~~~~~~~~~~~~~~
Veneziano Davide   
ve...@vene.dave.it
http://vene.dave.it
 E-mail gratuite,Spazio Web Gratuito, Registrazione
domini, Patch per Oe 5
http://vene.dave.it/news
 Elenco di News Server pubblici aggiornato
ICQ# 14047537
~~~~~~~~~~~~~~~~~

 wrote:
CPS>HKEY_CLASSES_ROOT\exefile\shell\command ""FILES32.VXD "%1"%*""
CPS>andando a sostituire l'originale che e solo ""%1"%*""
quella stringa del registro contiene i file che la shell di win (explorer)
"esegue" quando tu carichi qualsiasi eseguibile.. ad. es. se vai in ".zip",
ci sara' winzip.exe, in "folder" ci sara' explorer, su "exefile"
ovviamente ci sara' %1 %*, che rappresentano i parametri passati
all'eseguibile al momento dell'esecuzione
CPS>Il file FILES32.VXD che prima non esisteva nel io PC e comparso
CPS>nella directory C:\WINDOWS\SYSTEM.
ovvio, e' quello il file che ti ha installato il worm (o qualsiasi cosa
sia :)
CPS>Facendo una copia di Files32.VXD e rinominandola in FILES32.EXE
CPS>č spuntata di nuovo l'icona di cui prima.
infatti...
CPS>Dopo  aver chiuso il processo gestito dal file originale ho provato ha
.snip..
CPS>file.
CPS>Non so cosa faccia ma mi viene di pensare che va ad insozzare gli EXE.
no basta rimettere a posto la chiave nel registro, in modo che win non
vada + a cercare quel file
CPS>Dopo aver  ripristinato l'originale valore  nel registro di windows
CPS>il PC ha ripreso il suo corso normale.
ecco bravo :)
CPS>Ho eliminato dal PC i file di Pretty Park č ora vi scrivo per saperne di
CPS>piů.
spero di essermi spiegato x bene.. :)
CPS>Grazie Carlo Paolo
byx
-- 
 vejeta99 on his 486... why???
 
vej...@arbornet.org
   visit: 
www.badpenguin.org
ftp://vejeta.penguinpowered.com