Newsgroup: it.tlc.cellulari
Titolo: Mi sono auto pulito dall' happy99!!

Offro aiuto per liberarsi ci ho perso un' oretta ma l' ho tanato!


Offri aiuto allora!!

Allora dopo aver fatto da solo un tizio mi ha postato questo completo
aiuto....
Spero sia utile a tutti!
<<Questo e' il primo, moderno Internet worm ("verme") conosciuto ad
essere scoperto "in the wild" (diffuso). Questo worm dei computer e'
una
sorta di programma virus che per diffondersi non infetta dei file ma
invece usa come vettore le e-mail spedite via Internet, inserendo in
allegato alle e-mail una copia di se stesso. Il worm e' stato spedito
da
qualcuno (forse lo stesso autore del worm) su diversi server di
notizie
(Usenet newsgroups) nel gennaio 1999; in pochi giorni si e' diffuso a
macchia d'olio in Europa e continua a diffondersi rapidamente.'invio
di
e-mail su Internet; quindi converte una copia di se stesso come
allegato
binario alle e-mail che vengono spedite. In questo modo il worm,
quando
e' installato nel sistema, e' capace di inviare delle copie Il worm
arriva agli utenti come allegato alle e-mail, nella forma di un file
eseguibile con il nome HAPPY99.EXE. Allo scopo di dissimulare la sua
vera natura, quando viene eseguito il worm mostra sullo schermo un
simpatico effetto; dunque, si puo' affermare che presenta anche le
caratteristiche tipiche di un cavallo di troia. Nel corso
dell'esecuzione, il worm si installa nel computer, intercettando delle
chiamate di sistema che gli consentono monitorare ldi se stesso a
tutti
i destinatari delle e-mail che vengono spedite.
Quandosi installa, il worm modifica soltanto dei file che risiedono
nella cartella di sistema di Windows. In tale cartella crea i file
SKA.EXE e SKA.DLL, copia il file WSOCK32.DLL nel file WSOCK32.SKA e
modifica la librearia originale WSOCK32.DLL allo scopo di intercettare
l'invio di e-mail.Se il worm viene identificato sul proprio sistema,
la
sua
eliminazione e' semplice e non costituisce un problema.
Basta cancellare i file SKA.EXE e SKA.DLL dalla cartella di sistema.
E'
anche necessario
ripristinare il file originale WSOCK32.DLL, cancellando il file
WSOCK32.DLL modificato dal worm e quindi rinominando il file
WSOCK32.SKA
in WSOCK32.DLL. Anche il file HAPPY99.EXE dovrebbe essere localizzato
e
cancellatoPer proteggere il proprio computer da una nuova, possibile
infeziona da parte del worm e' sufficiente impostare gli attributi di
sola lettura del file WSOCK32.DLL. Il worm, infatti, non prevede
alcuna
gestione dell'attributo di sola lettura e quando tenta di modificare
un
file WSOCK32.DLL che possiede tale attributo fallisce nell'operazione.
Mentre spedisce i messaggi che contengono il worm allegato, il worm
memorizza l'indirizzo del ricevente nel file LISTE.SKA, anch'esso
creato
nella cartella di sistema di Windows. Questo file puo' contenere fino
ad
un massimo di 5KB di dati e fino a 200 indirizzi presso i quali sono
stati spediti dei messaggi aventi il worm in allegato. >>
FIN QUI TUTTO FACILE. L'UNICO PROBLEMA E' CHE IL FILE WSOCK32.DLL E'
IN
USO DA WINDOWS, QUINDI NON E' POSSIBILE CANCELLARLO. PER FARLO SEGUITE
ATTENTAMENTE LE ISTRUZIONI CHE SEGUONO, ANCHE SE NON SAPETE I COMANDI
DEL DOS:
-PRIMA DI RIAVVIARE IL SISTEMA ELIMINATE I FILES 'happy99.exe'
[cercatelo con cerca dal menů avvio; puň nche darsi che non lo abbiate
su hard-disk], 'ska.exe' e 'ska.dll' DALLA CARTELLA \WINDOWS/SYSTEM;
-RIAVVIARE IL SISTEMA IN MODALITA' MS-DOS [ATTENZIONE NON BASTA IL
PROMPT DI MS-DOS!];
-VI RITROVERETE NELLA CARTELLA :\WINDOWS; -DIGITATE "cd system";
-DIGITATE "rename wsock32.dll wsock32.dl5" (NON OCCORRONO SEGNI TRA I
DUE NOMI, BASTA UNO SPAZIO); -POI "rename wsock32.ska wsock32.dll";
-DOPODICHE' VI BASTERA' RIAVVIARE WINDOWS DIGITANDO "cd.." E "win"
(SPERO CHE ABIATE WINDOWS 95 O 98, ALTRIMENTI RIAVVIATELO COME SAPETE
VOI);
-RIAVVIATO WINDOWS RITORNATE IN \WINDOWS/SYSTEM ED ELIMINATE IL FILE
"wsock32.dl5";
-SUL MIO HARD-DISK ERA PRESENTE ANCHE UN FILE DI NOME "happy99.lgc";
CERCATELO ED ELIMINATELO SE L'AVETE;
-PER PROTEGGERVI SUCCESSIVAMENTE (MI FIDO DI QUANTO ERA SCRITTO NEL
MESSAGGIO) IMPOSTATE GLI ATTRIBUTI DI SOLA LETTURA AL FILE
"wsock32.dll";
ORA DOVREBBE ESSERE TUTTO A POSTO.
VI PREGO VIVAMENTE DI SPEDIRE QUESTO MESSAGGIO CON LE ISTRUZIONI A
TUTTI
GLI INDIRIZZI PRESENTI NEL FILE "liste.ska" CHE VI BASTA RINOMINARE IN
WINDOWS IN "liste.txt" E APRIRLO COL BLOCCO NOTE, PER EVITARE CHE IL
VIRUS SI DIFFONDA IN GIRO. (ELIMINATE ANCHE IL FILE "liste.ska")


Spero sia utile a tutti!
Giusto per dare a Cesare cio' che e' di Cesare (Maldini, of course),
l'analisi del virus che hai postato e' di Paolo Monti (distributore italiano
di AVP)
Ciao,
Francesco
---
rimuovi Scalfaro per rispondermi in e-mail