Newsgroup: it.comp.sicurezza.varie
Titolo: Questa poi...! ;-)

 (added by
postm...@mail-mx-4.tiscali.it
)
From: 
tho...@despammed.com
To: *miacasella*
Subject: Re: Secure SMTP Message
Date: Wed, 21 Jul 2004 10:08:20 +0200
MIME-Version: 1.0
Content-Type: multipart/mixed;
 boundary="----=_NextPart_000_0016----=_NextPart_000_0016"
X-Priority: 3
X-MSMail-Priority: Normal
This is a multi-part message in MIME format.
------=_NextPart_000_0016----=_NextPart_000_0016
Content-Type: text/plain;
 charset="Windows-1252"
Content-Transfer-Encoding: 7bit
Waiting for a Response. Please read the attachment.
++++ Attachment: No Virus found
++++ Norton AntiVirus - 
www.symantec.de
------=_NextPart_000_0016----=_NextPart_000_0016
Content-Type: application/octet-stream;
 name="readme.zip"
Content-Transfer-Encoding: base64
Content-Disposition: attachment;
 filename="readme.zip"
......
Seguono "geroglifici...." eh eh
********************************************
»Virus alert«
W32.Netsky.P@mm
(24 Marzo 2004)
 Anche Netsky, continua la sua corsa mutando e sfruttando come altri worm,
delle vulnerabilità dove le patch sono addirittura disponibili da qualche
anno...
Netsky.P, dimostra dato la modalità con la quale si diffonde,
che ad oggi purtroppo troppi utenti continuano a far orecchie da mercante
agli avvertimenti di aggiornare il proprio sistema e non solo.
Il worm, dove presente una nota vulnerabilità segnalata nel bollettino
Microsoft MS01-020,
trova terreno facile dove attecchire, come?
Anche senza l'azione diretta dell'utente, a chi utilizza Outlook express
basterà aprire semplicemente la mail
e il worm sfruttando la nota e vecchia vulnerabilità si installerà
automaticamente.
L'inganno risulta abbastanza subdolo, anche per il fatto che la mail
potrebbe apparire come priva di allegati,
ecco perchè è facile cadere nell'inganno ed essere tentati di leggerla.
(Manco po cavolo con quel nick ....eh eh) nds
IIn altre circostanze invece, a giocare un brutto scherzo potrebbe essere la
presenza di un link ovviamente falso,
che se cliccato non farà altro che installare il worm.
Come altri worm e le precedenti sue varianti, Netsky.P
possiede un proprio motore SMTP, che sfrutta ovviamente dopo aver raccolto
indirizzi e-mail presenti sul computer colpito,
per spedirsi alle altre potenziali vittime.
Tuttavia, anche sistemi di P2P come Kazaa o eMule ecc. sono a rischio,
 infatti il worm camuffato da noti  programmi tra i quali alcuni
inesistenti,
similmente a Beagle cerca di trarre in inganno e quindi penetrare con
maggior facilità.
Altra nota interessante ma non nuova, il worm evita accuratamente di
spedirsi ad indirizzi tipo quelli
dell' FBI, Microsoft, Symantec ecc. ovviamente un accorgimento atto a
rendere
difficoltoso il tracciamento dell'evoluzione e non solo, del worm stesso...
Alcuni dettagli su come riconoscerlo..
Mittente:
<casuale>
Oggetto:
Re: Encrypted Mail
Re: Extended Mail
Re: Status
Re: Notify
Re: SMTP Server
Re: Mail Server
Re: Delivery Server
Re: Bad Request
Re: Failure
Re: Thank you for delivery
Re: Test
Re: Administration
Re: Message Error
Re: Error
Re: Extended Mail System
Re: Secure SMTP Message
Re: Protected Mail Request
Re: Protected Mail System
Re: Protected Mail Delivery
Re: Secure delivery
Re: Delivery Protection
Re: Mail Authentification
Mail Delivery (failure <spoofed address>)
Allegato con estensione: .exe, .pif, .scr, .zip.
Sintomi della presenza del worm:
FVProtect.exe  Nella directory di Windows, e ancora
userconfig9x.dll (26,624)
base64.tmp (UUEncoded worm)
zip1.tmp (UUEncoded of worm zip archive)
zip2.tmp (UUEncoded of worm zip archive)
zip3.tmp (UUEncoded of worm zip archive)
zipped.tmp (worm in zip archive)
Modifiche al registro:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\ CurrentVersion\Run "Norton
Antivirus AV"="%Windir%\FVProtect.exe" Modifica che gli consente di essere
attivo ad ogni riavvio del sistema...
I danni: sono classificabili nel consumo di banda passante utilizzata per
l'attività di invio del worm...
Massima attenzione dunque, aggiornate l'AntiVirus, ed evitare sempre e
comunque di cedere alla tentazione di aprire posta e allegati sospetti
eseguendoli, anche se giunti da indirizzi conosciuti.
Tool di rimozione, reperibile anche nella sezione Difendersi dai virus!
Per maggiori dettagli  in merito, vedi fonte ufficiale della Symantec oppure
McAfee o Sophos!
-- 
Walter
Ps. Non replicate il nome di Thopin altrimenti gli esce il guano dalle
orecchie
e dopo mena il Torrone all'infinito...eh eh
Grazie

 (amiamo...bleah) alla follia...? eh eh
ci mancava sta sparata ora....
-- 
Ciao, Dmitry 

To: *miacasella*
Serve abbastanza a poco che tu scriva "*mia casella*" se poi ti dimentichi
l'indirizzo in chiaro nel path del messaggio... 8-D
Leonardo
-- 
"Se e' vero che Linux in se' e' gratis, non lo sono le indispensabili
interfacce grafiche (X, KDE ecc.) che consentono alle persone normali
di utilizzarlo."                    -- Jason Matusow, Microsoft Corp.


Ehm ....disattenzione....;-/
Ma dovevi proprio *rinfrescare* la memoria su quel account tiscali ?
E sě che non l'avevo mai usata prima...
Ora mi tocca mandarla al macero...;-P
Ciao Leonardo ;-)
-- 
Walter che tanto.....ne ha una 30entina di account vari
ma usa solo 
poste.it
 per quelli....seri eh eh

E sě che non l'avevo mai usata prima...
Difficile. Come ce l'aveva, l'infetto di Telecom Italia, se tu non l'avevi
mai usata?
A parte quello, il security through obscurity non funziona, e' dimostrato.
C'e' di buono che gli spambot non leggono i messaggi, solo le intestazioni
e (forse) la prima riga.



Non mi sono  spiegato bene...
(Non l'avevo mai usato prima del post indicato....)
l'avevo usata solo una volta sull'NG col NICK Clip52 durante una
"diatr..ehm...ollata"
con thopin....
http://makeashorterlink.com/?F16F267F8
naturalmente il 3D era piu' lungo ma qualcuno ritiene opportuno non lasciare
tracce ...
chissa' perche' bho?...eh eh
Io per scrupolo ho usato un acccount VERO! ed ecco il risultato dopo pochi
giorni...:-(
Io non ne conosco le ragioni e penso a una combinazione  pero'
č ben strana ....non ti pare ?
-- 
Walter
CMQ Sia ..."E chisse.....!" eh eh ;-)

è ben strana ....non ti pare ?
Naaa. A me arriva (be', diciamo che arriverebbe) un sacco di roba
infetta a nome dei frequentatori di questo e altri gruppi.
Non ho dubbi che a loro arrivi roba pestilenta col mio indirizzo.
Porta pazienza e prima o poi arriva pure a te :-)



Secondo te?! ..non porto pazienza...? eh eh
Ciao , ;-)
-- 
Walter