Newsgroup: it.comp.sicurezza.varie
Titolo: Virus che telefona - 3

 La maggior parte non sono virus ma dei programmini .exe. Perciò gli
antivirus non li rilevano.A proposito, sembra che anche alcuni banner
facciano questi lavoretti. Se c'è chi li conosce lo può dire? Il PIN è un
codice a 4 cifre con il quale disabiliti le chiamate extradistretto.
Devi  chiamare il 187
====================================
====================================
Eseguendo Pannello di controllo, Modem, Diagnostica, Informazioni
addizionali, (non ho "last dialled"), leggo:
ATI1    255
ATI2    ERROR
ATI3    CRP-01 941101
ATI4    a007880284C6002F
ATI4    bC60000000
ATI4    r1005111151012004
ATI4    r3000111170000000
ATI5    022
ATI6    RC288DPi Rev 04BC
ATI7    000
AT +FCLASS=?    0,1,2
- - - - - - - - - - - - - - - - - - - - - - - -
Su Pannello controllo, Modem, Generale, Proprietà, Connessione, ho questa
stringa    &fx3b0s8=5s91=10     .
===============================================
Questo è quanto ottengo con Visualizza registro (la casella Accoda al file
registro era Disattivata, vuota):
03-04-2000 02:22:04.15 - Standard Modem in use.
03-04-2000 02:22:04.16 - Modem type: Standard Modem
03-04-2000 02:22:04.16 - Modem inf path: MDMGEN.INF
03-04-2000 02:22:04.16 - Modem inf section: Gen
03-04-2000 02:22:04.37 - 57600,N,8,1
03-04-2000 02:22:04.37 - 57600,N,8,1
03-04-2000 02:22:04.37 - Initializing modem.
03-04-2000 02:22:04.37 - Send: AT<cr>
03-04-2000 02:22:04.37 - Recv: AT<cr>
03-04-2000 02:22:04.55 - Recv: <cr><lf>OK<cr><lf>
03-04-2000 02:22:04.55 - Interpreted response: Ok
03-04-2000 02:22:04.55 - Send: ATE0V1<cr>
03-04-2000 02:22:04.55 - Recv: ATE0V1<cr>
03-04-2000 02:22:04.69 - Recv: <cr><lf>OK<cr><lf>
03-04-2000 02:22:04.69 - Interpreted response: Ok
03-04-2000 02:22:04.69 - Send: ATX4<cr>
03-04-2000 02:22:04.83 - Recv: <cr><lf>OK<cr><lf>
03-04-2000 02:22:04.83 - Interpreted response: Ok
03-04-2000 02:22:04.83 - Send: AT&fx3b0s8=5s91=10<cr>
03-04-2000 02:22:04.97 - Recv: <cr><lf>OK<cr><lf>
03-04-2000 02:22:04.97 - Interpreted response: Ok
03-04-2000 02:22:05.11 - Dialing.
03-04-2000 02:22:05.11 - Send: ATDT##########<cr>
03-04-2000 02:22:05.11 - Recv: ATDT0067785717<cr>
03-04-2000 02:23:04.50 - Recv: <cr><lf>NO CARRIER<cr><lf>
03-04-2000 02:23:04.50 - Interpreted response: No Carrier
03-04-2000 02:24:47.51 - Hanging up the modem.
03-04-2000 02:24:47.51 - Send: ATH<cr>
03-04-2000 02:24:47.51 - Recv: ATH<cr>
03-04-2000 02:24:47.65 - Recv: <cr><lf>OK<cr><lf>
03-04-2000 02:24:47.65 - Interpreted response: Ok
03-04-2000 02:24:47.65 - 57600,N,8,1
03-04-2000 02:24:47.70 - Session Statistics:
03-04-2000 02:24:47.70 -                Reads : 73 bytes
03-04-2000 02:24:47.70 -                Writes: 53 bytes
03-04-2000 02:24:47.70 - Standard Modem closed.
==================================================
Mi sembra che il numero composto non ci sia:
03-04-2000 02:22:05.11 - Send: ATDT##########<cr>
oppure è questo che segue ?
03-04-2000 02:22:05.11 - Recv: ATDT0067785717<cr>
Alla Telecom fanno il gioco del truffatore: mi hanno detto che non si può
conoscere un numero composto prima di aver fatto una apposita domanda; non è
impossibile sapere il numero chiamato, ma non vogliono farlo.
================================
Un'altra cosa che non avevo mai notato e che mi puzza, è questa:
in Pannello controllo, Sistema, Gestione periferiche (per tipo), Modem, ho
ben 4 (quattro) icone diverse invece di una sola;
[ultimamente ho cercato di connettere questo PC con un altro via seriale,
cambiando molte
impostazioni ma non qui direttamente]:
- cavo parallelo su LPT1
- cavo seriale su COM1
- cavo seriale su COM2
- Standard Modem                 [l'unico che mi avevo]
=========================================
Appena possibile cercherò altre informazioni.
A chi avesse avuto la pazienza di leggere tutto o l'essenziale,
lo ringrazio se potrà essere utile a me o ad altri a smascherare o a
proteggersi da tali ladri.
Forse in alcuni backup su CD potrei cercare nella posta e riprendere quel
file originale (Copier.exe): può essere utile farlo analizzare da esperti ?
Massimo D'Angeli

ben 4 (quattro) icone diverse invece di una sola;
Vedi?  Lo dici tu stesso che hai ben 4 connessioni invece che una sola!
Vai innanzitutto nelle proprieta' di tutte le connessioni che trovi e scrivi su
un foglio TUTTO quello che leggi!
Poi elimina quelle connessioni che non corrispondono al tuo provider.
Vai in menu di avvio (start - programmi - esecuzione automatica) e guarda se
c'e' (c'e', c'e' non manca di sicuro...) un richiamo a qualc'una di queste
connessioni strane.
Guarda con regedit nelle chiavi "run" e togli i richiami a queste connessioni.
Riavvia windows e ricontrolla, salvo sfiga-maxima, dovresti aver risolto.  :-[
P.S. Ma quanti giri vi fate, tu ed il tuo amico, nei siti porno per scaricarvi
tutti questi collegamenti????    ;-)))))))))))))))))))))))
P.P.S. La mamma non ti ha mai detto di non prendere le caramelle dagli
scopnosciuti ?  ;-)))))))))))))))))))))))
Ri P.P.S. Lo sa il tuo amico della storia del programmillo che ti ha inviato?
--------
Ciao...
Una cipolla al giorno, leva il medico di torno.
Un aglio al giorno, leva amici, nemici e fidanzata di torno! !

 Ri P.P.S. Lo sa il tuo amico della storia del programmillo che ti ha
inviato?
Ne sa qualcosa: ora glie lo rammento in un altro modo !
Grazie ancora !
M.D.

contenevano.
Scarica AVP System Watcher da 
www.avp.it
, poi guarda che programmi sono attivi
nel PC. Se necessario, lasciagli fare una telefonata, perche' c'e' caso che il
programma si suicidi se non riesce a telefonare, in modo da non lasciar tracce
della sua presenza (improbabile, ma non si sa mai).
Una volta che hai visto qual e' il programma .EXE o .DLL che si attiva, reboot
in modo MS-DOS e rinomini quel file da "boh.exe" a "boh.bad". Al boot dopo, il
buon Windows ti dira' che in una qualche parte del sistema (e dira' quale: sia
il registry, sia win.ini, system.ini o chissa') c'e' una chiamata a boh.exe ma
boh.exe non c'e' piu'. A quel punto cancella anche la chiamata a boh.exe.
Leonardo macellaio
".signature": bad command or file name

 boh.exe non c'e' piu'. A quel punto cancella anche la chiamata a boh.exe.
É più o meno quello che ho fatto; con la differenza che ci ho messo circa 12
ore.
Il file non si cancellava proprio, ho dovuto cercare e modificare il
registro (mai fatto prima !), e poi cancellarlo con un prg di utilità.  Il
tutto dopo salvataggi vari, lettura di mail, manuali, backup, ecc.
Ora ho salvato in un CD quell'eseguibile per portarlo alla Polizia postale:
ne sapete qualcosa ?
DOVREI aver risolto (SPERO).  Grazie dei consigli.
M.D.

>>-Alinox-<<<

 ha scritto nel messaggio
nfh4csso22hefravj...@4ax.com...

copier.exe    67 kb
lanciandolo manda un msg d'errore ".... non trovo giface.dll", intanto
modifica il registro e si installa.
perň dopo alcune ricerche ho queste utili info :
==================================
Important Notice
We have just learned that an email worm has been found circulating the
web referencing MessageMates.com.  This worm file is in no way connected
with MessageMates.com.
If you have received an email with a message that reads:
he, your lame client cant read HTML, haha.
click attachment to see some stunningly HOT stuff
or
http://stuart.messagemates.com/index.html
Hypercool Happy Year 2000 funny programs and animations.
We attached our recent animation from this site in our mail! Check it
out!
then you have been passed the Worm in question.
It is a worm that was created and set loose by someone who's trying to
spoil all of our Holiday fun.  Do not run the attachment included in the
email and please delete the email message immediately!
What we know about this Worm so far:
Symantec has named this worm: W32.NewApt.Worm.
Once opened/launched the worm will email itself out and reply to
messages in your mailbox.
The file being passed as an attachment is approximately 68K.
The subject line of this message will vary and may appear to be a reply
to something you've previously sent.
The attachment is no way related to any MessageMates.com products.
What you can do:
Read the details of this worm virus by checking with Symantec at:
www.symantec.com
If you receive a suspect email with an .exe attachment from someone,
first email them back and confirm that they've intended to send you a
MessageMate.
What we can tell you about MessageMates.com:
Our millions of loyal users are our number one priority and we are fully
committed to providing software programs that are safe and fun.
We never send out any unsolicited emails.
We never send out attachments.
Our files are 100% safe when downloaded directly from our web site.
Please know that we at MessageMates.com have worked tirelessly to earn
your trust and respect. We take great pride in our products and only
want our users to have a positive and entertaining experience with them.
Thank you for taking the time to read this very important notice. If you
have any questions or comments, please email us at 
c...@adtoolsinc.com
The MessageMates.com Team
================================================
e se vai nel sito della Symantec a cercare quel worm trovi proprio quello
che mi sono beccato io.
M.D.

>>-Alinox-<<<

Gestione periferiche, Modem: comunque le controllo ora:
Mi sembrano normali, ho controllato con le mie e corrispondono.
Nel frattempo ho controllato messaggi precedenti ed ho trovato il tuo problema
(un worm).
Pero'... dal momento che ti rispondo qualcuno mi ha preceduto e ti ha dato le
info della symantec.
W32.NewApt.Worm
Attached to the message will be one of the following file names: g-zilla.exe,
cooler3.exe, cooler1.exe, copier.exe, video.exe,
pirate.exe, goal1.exe, hog.exe, party.exe, saddam.exe, monica.exe, boss.exe,
farter.exe, cheeseburst.exe, panther.exe,
theobbq.exe, goal.exe, baby.exe, bboy.exe, cupid2.exe, fborfw.exe, casper.exe,
irnglant.exe, or gadget.exe
The worm will add the following registry key:
HKLM/Software/Microsoft/Windows/CurrentVersion/
Run/tpanew
To remove the worm from memory, remove the above registry key and then restart.
Delete all infected files.
Sorry!  Arrivato tardi....
