Newsgroup: it.comp.sicurezza.varie
Titolo: ILOVEYOU :(

Non mi amava cosi' tanto :(((((
Per una cazzata gigante me so acchiappato il virus con la posta in ufficio
diciamo 10.000 indirizzi + telefonata fantozziana dalla America c'est la
vie!!!!!
Visto che non tutti i mali vengono per nuocere (a me almeno ;)) cio' mi ha
deciso sul buttarci un occhio su questi diavolo di script . Caspiterina, mi
sembra una cosa alla portata di moooolti ed in piu' gli antivirus come li
intercettano? A signature? Basta una modifichina del cavolo e si ricomincia
:((((
Mi chiedo un altra cosa, si possono far partire in automatico alla
visualizzazione del msg? (A me e' arrivato come attachment) Sarebbe un
incubo ancora peggiore...
Ed ultimo, non capisco perche' vada a toccare jpg o mpeg e gli altri:
set fc = f.Files
for each f1 in fc
ext=fso.GetExtensionName(f1.path)
ext=lcase(ext)
s=lcase(
f1.name
)
(omissis)
elseif(ext="jpg") or (ext="jpeg") then
set ap=fso.OpenTextFile(f1.path,2,true)
ap.write vbscopy
ap.close
set cop=fso.GetFile(f1.path)
cop.copy(f1.path&".vbs")
fso.DeleteFile(f1.path)

 Ed ultimo, non capisco perche' vada a toccare jpg o mpeg e gli altri:
Li sostituisce con il proprio codice e poi gli appende l'estensione
.vbs, per cui vedi pippo.jpg.vbs. 
Dato che windows e' bello, 95 persone su cento vedono pippo.jpg e non se
ne accorgono e ci cliccano sopra per aprire :)
saluti
lele

 ne accorgono e ci cliccano sopra per aprire :)
hahaha che pirla dovevo pensarci! Ed io che stavo a rimuginare su
possibilita' di mandare in eseguzione qualcosa a fronte di un doppio click
su immagine...
Ma c'e' di peggio io ho preso l'infezione (tanto qui siamo tra pochi amici
hihihih) xche' dopo averlo messo su HD mi sono detto: "Adesso gli cambio
l'estensione cosi' non lo lancio per sbaglio" ed invece di due click lenti
ho double-clickato! :(((((

Giusto per conoscenza....visto che e' un nuovo virus.. :)
ILoveYou.B (also known as VBS.ILoveYou.B and VBS.LoveLetter.B)
This variant of the worm is functionally the same as VBS.ILoveYou.A The
difference lies with the names of the dropped files, the e-mail subject and
the name of the attached file. This worm spreads itself by attaching itself
to an outbound e-mail sent to all addresses found in the Microsoft Outlook
Address Book. It does not impose a limit on the number of recipients, so it
will send itself to every single e-mail address it finds.
The e-mail messages it sends will always have a subject:
fwd: Joke
The body of the e-mail is empty. There is an attached file named
VeryFunny.vbs. The worm will not be activated until the attachment is
opened.
It drops the following files:
\WindowsDirectory\System\MSKernel32.vbs
\WindowsDirectory\Win32DLL.vbs
\WindowsDirectory\System\Very Funny.vbs
The virus modifies registry information to make itself run during the next
boot-up sequence.
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\MSKernel 32
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices\W
in32DLL
If the file WinFAT32.exe is not found in one of the following locations:
C:\
or set by the registry key
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Download Directory
(which is the default directory for saving files downloaded using Internet
Explorer), the worm will try to download WIN-BUGSFIX.exe from the internet.
To do so, the worm will set a registry key
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Start Page
(used for setting starting page for each Internet Explorer session) to
randomly point to one of the following sites:
http://www.skyinet.net/~young1s/HJKhjnwerhjkxcvytwertnMTFwetrdsfmhPnjw658734
5gvs df7679njbvYT/WIN-BUGSFIX.exe
http://www.skyinet.net/~angelcat/skladjflfdjghKJnwetryDGFikjUIyqwerWe5467863
24hjk4j nHHGbvbmKLJKjhkqj4w/WIN-BUGSFIX.exe
http://www.skyinet.net/~koichi/jf6TRjkcbGRpGqaq198vbFV5hfFEkbopBdQZnmPOhfgER
6 7b3Vbvg/WIN-BUGSFIX.exe
http://www.skyinet.net/~chu/sdgfhjksdfjklNBmnfgkKLHjkqwtuHJBhAFSDGjkhYUgqwer
as djhPhjasfdglkNBhbqwebmznxcbvnmadshfgqw237461234iuy7thjg/WIN-BUGSFIX.exe
Next time the user of the infected machine opens Internet Explorer, a
routine for downloading WIN-BUGSFIX.exe is initiated. At the time of
analysis these sites were closed, possibly due to the volume of incoming
requests. Once the file is downloaded, the registry key
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\WIN-BUGSFIX
is set to run WIN-BUGSFIX.exe next time the system is booted. Once the
download is complete, the Internet Explorer start page key is reset to point
to about:blank. When WIN-BUGSFIX.exe is run, it copies itself as
WinFAT32.exe, thus preventing subsequent downloads.
Next, the worm generates an HTML file that is placed in the Windows
Directory\System\Very Funny.htm. Once the HTML file is open it will recreate
MSKernel32.vbs and the registry link to start it up on the next boot-up
sequence.
The IRC portion of the worm will only work if one of the following files is
found on the system: mirc32.exe; mlink32.exe; mirc.ini; script.ini or
mirc.hlp. Every sub-folder on every local drive is checked for the presence
of one of these files. Once one of these files is located, the script.ini
file is rewritten to send over the Very Funny.htm file created earlier as
soon as the IRC connection is established. The script.ini file will be
located in the same folder that one of the files mentioned earlier was
subsequently found. Below is a screenshot of what you see when you open the
.HTM form of the VBS.ILoveYou.B worm.
The e-mailing portion of the worm uses Outlook automated object and MAPI
name space to perform the mass mailing. It opens the client's address book
and will send itself to every single entry it finds there using the format
mentioned at the beginning of this description. As mentioned earlier, the
attachment needs to be opened to activate the worm.
As a payload, the worm will recurse through all the subdirectories of all
local and shared drives found on the computer and will overwrite the files
with the following extensions: vbs, vbe, js, jse, css, wsh, sct, hta, jpg,
jpeg, mp3, mp2 The overwritten files will contain the worm's body and the
extensions will be changed to vbs. Every time an affected file is open the
worm will be activated.
To remove the virus:
Delete all infected messages from your e-mail client
Remove the registry key. To remove the registry key automatically, click
here. Then, select "Open this file from it's current location" and click OK.
The registry file will remove the keys that the virus has added to the
registry.
Reboot your computer for these changes to take effect.
 Saluti :)
=^^= Eva_Kant =^^=


Ancora viva tu?
Cya...
	   -= Nick1 =-
	-= SPP Group =-
 
http://www.spippolatori.com

 ho double-clickato! :(((((
Ora ti faccio stare male. Se i due click lenti erano per attivare il
Rinomina, potevi farlo premendo F2 dopo aver evidenziato il file.
Max bofh.
-- 
Attenzione: questo messaggio ti e' arrivato attraverso il modem e
in qualche modo si e' insinuato nel tuo hard disk...
SecurFaq             : 
http://members.xoom.com/gouldukat/
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/

 Rinomina, potevi farlo premendo F2 dopo aver evidenziato il file.
...oppure   click dx-->Rinomina
Un Paperino VBI che rincara la dose.
Bye, G.

 ...oppure   click dx-->Rinomina
mava' ? veramente ?
e io che ogni volta apro una shell dos...
erGoline ren

intercettano? A signature? Basta una modifichina del cavolo e si ricomincia
basta evitare di usare outlook per le mail e word per la posta elettronica,
altrimenti si fa la fine di melissa !
E ringraziate che l' autore si e' solo voluto divertire a sfinirvi il programma
di mail e non a piallarvi il disco !!  ;-)

> Ancora viva tu?
ehh si :)

Che bello avere degli amici!!!!! ;)

 di mail e non a piallarvi il disco !!  ;-)
No, aziendalmente ha fatto il peggio possibile... bloccati i server.
Infatti se salta un client a chi vuoi che freghi?

Infatti se salta un client a chi vuoi che freghi?
La cosa ha riguardato solo i babbioni che si sono supinamente sdraiati sulle
"tecnologie" Microsoft ...
Quello che fa rabbia e` che gli altissimi CRETINI che hanno preso tali
decisioni sono ancora tutti saldamente al loro posto.
alessand...@usa.net
 -  
http://ww.carini.net/
pgp key available

 "tecnologie" Microsoft ...
Bah, certe affermazioni mi lasciano freddino. Ne' conosco sistemi operativi
che possano impedire all'utente di lanciare VOLONTARIAMENTE un programma.
Chiunque abbia passato una notte con SQL a togliere il flag "stampa
definitiva su bollato" o a scrivere routinette in cobol per il compagno
"gia' trasferito in contabilita'" non potra che asserire nervosamente ;)

ergo nick eva fritzo mio ... cazz mi sembra di essere su irc....
un mayhem che fa confusione ;) ma legge il subj e pensa alla foto ahh! ;)
--
-------------------------------------------------------
 Non capisco quel che penso, figurati quel che dici...
-------------------------------------------------------

di mail e non a piallarvi il disco !!  ;-)
Ma perchè in un linguaggio di script hanno permesso chiamate a chiavi di
registro e altri fronzoli vari? Inoltre se un programmatore con una sfarinata
di VB riesce a fare tutti sti casini cosa possono combinare, magari in C++ con
le chiamate alle API giuste dei programmatori che conoscano i sorgenti di
windows? Sarò paranoico, ma sono sempre più convinto che i sorgenti liberi
rappresentano l'unica sicurezza contro chi vuol farci da "grande fratello".
Ciao a tutti,
Marco

 rappresentano l'unica sicurezza contro chi vuol farci da "grande fratello".
Ringraziate zio Bill per questo... e' grazie a lui che programmatori
della domenica possono creare macro virus che possono formattarvi l'HD.
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

 registro e altri fronzoli vari?
Scusate se insisto, ma stimo parlando di un "programma" ESEGUITO
VOLONTARIAMENTE da qualcuno!!!!! Compilato, interpretato, script chiamateli
come volete, il punto IMHO e' un altro e verte sulla volontarieta'
dell'atto! La gente avrebbe aperto tranquillamente anche un ILOVEYOU.EXE
cosa credi, che conoscano la differenza?
Provate a mettere le stesse istruzioni dopo un <HEAD>
Questo sarebbe grave, ma non succede nulla se non sputi in faccia.

 Questo sarebbe grave, ma non succede nulla se non sputi in faccia.
Ehm, come già detto privatamente, a me risulta che succedano le stesse
identiche cose, oe5 lo interpreta :-). Non è stato fatto così perchè non
tutti usano oe5, e perchè come qualche saggio ha detto tempo fa,
doubleclicckando sul file questo viene messo in locale, e forse ha di
default opzioni di sicurezza diverse...
In effetti dopo averti risposto mi sta venendo il dubbio, se di default le
opzioni di sicurezza in locale sono basse, come sono in effetti,
probabilmente l'allegato ha un qualche power in più rispetto all'embedded,
di default...
--
dario...@iol.it
http://dariobrunocorti.freeweb.org
ICQ#: 37438061
--
MS Windows: quante volte vuoi formattare oggi?

rappresentano l'unica sicurezza contro chi vuol farci da "grande fratello".
Poco ma sicuro...

 cosa credi, che conoscano la differenza?
si, la conoscono!

Paperino <non...@lo.dico> wrote in message
8f2b9b$3qa6$1...@stargate1.inet.it...

questo č il colpo di grazia :
public void renameFile (String curstgfilename,
        String newstgfilename) throws IOException;
ciao:)))

La cosa che mi dispiace di piu' nel leggere questo thread 
e' di vedere che quasi tutti ancora stanno usando Outlook 
nonostante tutto...
Alex

 wrote:
m> ergo nick eva fritzo mio ... cazz mi sembra di essere su irc....
qualcuno mi ha chiamato? :)
m> un mayhem che fa confusione ;) ma legge il subj e pensa alla foto ahh! ;)
eheheheh... passera' alla storia, gia' lo so :)
ciao
fritz

VOLONTARIAMENTE da qualcuno!!!!!
Con Outlock (non so nella ver 5.1, pero'), e' possibile farlo eseguire
automaticamente.

 ergo nick eva fritzo mio ... cazz mi sembra di essere su irc....
toh, visto che su irc non ci vengo qua, vengo a farvi compagnia in
questo thread
hola
Buttha
-- 
* Per rispondere in email rimuovere una i dall'indirizzo
* 
http://members.xoom.it/buttha/
* "Da-da" (Gesu' Bambino)

 nonostante tutto...
In generale è semplice, è comodo, è usato dalla maggior parte degli utenti.
Nel mio caso è patchato, è impostato su livello "medio" (eh sì, mi sono
deciso ad alzare la soglia), quindi non esegue script da solo. Gli allegati
non li faccio partire, ho l'antivirus a livello paranoia... quindi a parte i
crash non ho problemi.


 si, la conoscono!
hihihihihihihihih ti presento i miei utenti?
Alex, io uso Windows (e OE) xche' li trovo infinitamente piu' semplice e si
piazza al secondo posto del mia personale cartellino, il primo... AS/400! Lo
so, lo so sono malato che ci vuoi fare?!?!?! :))))

 >rappresentano l'unica sicurezza contro chi vuol farci da "grande
fratello".
Che puo' essere vero, ma che c'azzeca? Nulla di cio' che e' stato usato e'
nascosto/non documentato/tralerighe, anzi il sorgente e' stato per me un
punto di partenza per automatizzare 4 cazzate che da tempo mi rompevano!!!
Purtroppo per formazione ed eta' (temo :() le parole visual e OO
specialmente se assieme tendono a provocarmi violente contrazioni
gastro-duodenali!!

 di default...
THE ULTIMATE: (hihihih scordatevelo sono una capra in 'ste cose... ad
esempio, ID DIVISION dove deve essere scritto?!?!?! hihihihi)
(release generica 5.01 in italiano sotto NT4ws SP6a)
IE5 5.00.2919.6307
OE5 5.00.2919.6600
O2k 9.0.0.2814
Scriptino usato:
CreateObject("Scripting.FileSystemObject")
object.GetDrive("C:").Filesystem
Embedded HTML, a prescindere dal livello di sicurezza:
A) OE5 chiede MAI, esegue SEMPRE ANCHE solo nella finestra di anteprima
B) IE5 chiede SEMPRE
C) O2k chiede MAI, esegue SEMPRE MA SOLO ad apertura msg (no anteprima boh?)
- Se la "sicurezza internet" e' defaultata (come da installazione originale)
l'activeX non ha genericamente autorizzazioni; questo manda in errore lo
script. Da quanto ho capito i "flag" (in caso di protezione="internet")
sono:
- Esegui controlli e plug-in activex (che fa da cappello)
- Inizializza ed esegui .... NON contrasegnati come sicuri
(Purtroppo IE5 dopo il primo msg warning mi ha sempre eseguito lo script,
non so che dire e ritengo dipenda dal caricamento locale... non ho un server
per le prove... e hotmail non accetta <script>)
Se invece e' un attachment tutto quanto sopra non ha valore (*) e viene
eseguito senza battere ciglio.
(Beh eventualmente scontrandosi con policy, ma non c'entra)!!! Tra l'altro
anche l'esecuzione e' parzialmente differente che' in quest'ultimo caso e'
il WSH ad essere richiamato.
(L'ultimo e' wscript.exe 5.1.0.4615)
Sempre lieto di sentire il parere di altri anche xche' queste prove mi
sembrano tutto tranne che conclusive, sorry.
(*) IMHO giustamente... da come la vedo io un attachment E' un programma
locale

 automaticamente.
Mi piacerebbe sapere come su un'installazione di default! (Se non e' default
allora e' volontario :))

 A parte che l'autore ha due palle tetraedriche sotto, non serve
Lascia perdere, su ICLVB se ti sentono si spanciano dalle risate.[1]
IMVHO è fatto con i piedi.
Un amico mi aveva mandato un programmino simile già un anno e mezzo
fa, per farci quattro risate. Inserito nell'html usato come sfondo di un
mex, partiva in automatico e simulava l'intervento di un antivirus dicendo
che c'era un virus polimorfico sul sistema, ma che non riusciva a eliminarlo.
Poi, ti mostrava a video il tuo win.ini e ti chiedeva se doveva cancellarlo...
In quel periodo si videro molti visi pallidi in giro ! ;-))))
Il punto è che con un programma _locale_ in VBS puoi fare di tutto.[2]
Una volta che l'utente lo ha scaricato, ha i diritti dell'utente. Per assurdo,
lo scherzo di cui sopra era più sicuro, perché dipendeva dai settaggi di
sicurezza di IE e di OE.
Anzi, l'intento del filippino era quello della diffusione, non quello di
fare danni; se solo avesse voluto, avrebbe potuto... beh, non diamo
idee ai lamerz... ci sono già troppe versioni in giro di 'sto bastardo.
[1] Per altre info, guarda la firma.
[2] Rimanendo in ambito Windows, of course. Lo dico io prima che
qualche altro linuxiano me lo faccia notare...
Bye, G.
--
---------------------------------------------
    Le risposte alle tue domande le trovi
    sul Sito Comune di questo NewsGroup:
 
http://www.murialdo.it/it_lang_vb
       ... e nell'help in linea !
---------------------------------------------
Real E-address: 
gaet...@hotmail.com


Io non ho mica trovato un opzione per far partire allegati in automatico,
gli script va bene, ma se li tolgo, poi anche l'exploder non li usa,
o si possono impostare in modo indipendente ?
Ho messo l'ultima versione, spero non abbia piu' bug della precedente...
Xbug

 rappresentano l'unica sicurezza contro chi vuol farci da "grande fratello".
Sei paranoico, per rovinarti basta anche una manciata di righe d'assembler
(usando le funzioni non documentate dei processori Intel, of course ;), si
tratta solo di una scelta stilistica
--
"They dwell in a box of air. They were so bright that the eyes could not be
turned on them, that the ears could not be aware of their steps: their gleam
absorbed even the noises. This is what they were. They are much less than the
shades of their own skeletons, hanging in their vacuum of compressed air. This
is what they are"
[ green notebook, day#1 ]

allora e' volontario :))
Subject + lungo di xxx caratteri con una formattazione "particolare"
(dove xxx sono, tre cifre, di cui una e' 5, l'altra 0, l'altra 2, non
necessariamente in quest'ordine), di cui gli ultimi caratteri sono
istruzioni per il kernel.
A causa di un bug di OE, infatti, subject troppo lunghi causano un
overflow, uscendo dalla cache di OE, e guarda caso la parte che esce
va in esecuzione. Quindi con una mail posso spegnerti il computer. (si
rimane sempre nelle chiamate a funzioni di dll presenti sul comp)

 nonostante tutto...
Beh dai, ti do un filo di speranza. Con questo post abbasso la media del
quasi tutti, poi per farti vedere almeno una fiammella nel buio ti dico
che io OE non ce l'ho per niente come pure IE :)
Seriamente, credo (non me ne vogliano gli altri postatori) che sia in
parte questione di "pigrizia mentale", nel senso che uno tende a usare
quel che c'e' (non e' questo il motivo per cui IE e' stato integrato in
W98?). Poi potrebbero esserci motivi "logistici", nel senso che molti in
questi gruppi tecnici postano da computer non propri, per esempio di
reti aziendali, e li' non vai a installarci quel che ti pare. Anch'io
quando in azienda devo navigare per scaricare qualche patch o cercare
info uso IE (in attesa di aver tempo di estirpare la Bestia, ho gia' le
istruzioni da parte ^___^), ma per esempio ho talvolta la necessita' di
consultare alcuni newsgroup sul C e sui database e per quello ho News
Xpress, piccolo e che sta tutto in una directory. IE cerco di usarlo il
meno possibile, e a casa non ce l'ho per niente...
Max che gli dispiace vedere un conterraneo triste :)
-- 
Attenzione: questo messaggio ti e' arrivato dalla rete e
in qualche modo si e' insinuato nel tuo hard disk...
SecurFaq             : 
http://members.xoom.com/gouldukat/
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/

 va in esecuzione.
Io non parlavo di bachi a vario titolo, ma solo di funzioni offerte
"ufficialmente". Di errori bugtrack e' pieno per qualunque SO ;)