Newsgroup: it.comp.sicurezza.varie
Titolo: come denunciare un sito per diffondere virus? - sito: francescone.com - virus: W32.Marque.Worm

La mia ragazza ha ricevuto un email molto simpatica, con indirizzo per
scaricare il salvaschermo di zelig.
Ho letto lo spiegone nel sito della symantec e mi sembra che il
furbastro non voglia altro che ottenere piu' acessi al proprio sito.
http://www.sarc.com/avcenter/cgi-bin/virauto.cgi?vid=35884
http://securityresponse.symantec.com/avcenter/venc/data/w32.marque.worm.html
Come si puo' farla pagare al furbone? 
Saluti a tutti.
Antonio
PS:
Riporto qui il whois:
Registrant: 
patron, francisco (KMRBHQANID) 
francmat a v v 
1 av de los palos grande ed roxul piso 8 
ofic 83 
caracas, dist. fed. 1081 
VE 
Domain Name: 
FRANCESCONE.COM
 
Administrative Contact: 
patron, francisco (36172369P) 
franc...@cantv.net
 
francmat a v v 
1 av de los palos grande ed roxul piso 8 
ofic 83 
caracas, dist. fed. 1081 
VE 
00582122864755 
Technical Contact: 
Network Solutions, Inc. (HOST-ORG)
custome...@networksolutions.com
21355 Ridgetop Circle 
Dulles, VA 20166 
US 
1-888-642-9675
 fax: 
571-434-4620
 
Record expires on 09-Oct-2004. 
Record created on 09-Oct-2003. 
Database last updated on 25-Oct-2003 09:22:47 EDT. 
Domain servers in listed order: 
NS23A.DAYCOHOST.NET
 200.74.213.18 
NS23B.DAYCOHOST.NET
 200.74.213.51

 furbastro non voglia altro che ottenere piu' acessi al proprio sito.
Ti riporto le ultime notizie arrivatami dalla mailing list del mitico 
Attivissimo (scusa se sono un po' lunghe).
__[IxT]20031025-096. Attenti agli inviti catartici di Zelig!__
Sta circolando un e-mail, proveniente dagli indirizzi più disparati, che
parla di "poesie catartiche" e invita a visitare il sito
http://www.francescone.com
, dove c'è una scarna pagina Web che invita a
scaricare un file di nome "zelig.scr". Il file si spaccia per un
salvaschermo, ma stando alla segnalazione di un lettore di Zeus News
(terepo), si tratta in realtà di un dialer, che cambia la numerazione di
tutte le connessioni di Accesso Remoto (ovviamente soltanto per gli utenti
Windows), immettendo un numero a pagamento 899 e cambiandone anche nome
utente e password.
Del caso Zelig parla anche la newsletter SalvaPC News n. 68 di venerdi' 24
ottobre 2003 (
http://salvapc.com/
), della quale condivido caldamente il
consiglio di NON visitare il sito citato e di NON aprire il file in
questione. Ogni e-mail di invito va semplicemente cancellato. Non mi
risulta che l'e-mail di invito in sé sia pericoloso. SalvaPC News nota che
il file attualmente non viene riconosciuto come pericoloso dagli antivirus
(a riprova del fatto che un antivirus, da solo, non è una garanzia di
sicurezza, come notavo in un recente articolo).
Una rapida indagine con whois indica che Francescone.com è registrato a
nome di un venezuelano, Francisco Patron, che dichiara come indirizzo "1 av
de los palos grande ed roxul piso 8, ofic 83, Caracas, dist. fed. 1081" e
come indirizzo di e-mail "
franc...@cantv.net
". Il numero di telefono
dichiarato è 00582122864755, ed è valido perlomeno nel suo prefisso
internazionale (0058 è il prefisso del Venezuela) e nel prefisso della
località (212 è Caracas). Questi sono dati pubblicamente disponibili in un
elenco e pertanto la loro pubblicazione non viola le leggi sulla privacy.
Dall'indagine con whois risulta inoltre che Francescone.com è stato
registrato per la prima volta pochi giorni fa, precisamente il 9 ottobre
2003, ed è pagato per un solo anno: tipici sintomi di un sito "mordi e
fuggi", concepito per durare al massimo qualche mese e disseminare dialer
in tutta la Rete.
Purtroppo, essendo il titolare del sito fuori dalla giurisdizione italiana
(almeno sulla carta, visto che sembra conoscere bene l'Italia e la sua
cultura televisiva), non serve granché denunciare il caso alla Polizia
delle Telecomunicazioni. Non resta che fare opera di autodifesa, imparando
a non fidarsi degli inviti degli sconosciuti.
----------------------------------------------------------------------
2° MAIL, STESSO GIORNO (OGGI)
__[IxT]20031025-097. Inviti catartici di Zelig, nuovi dettagli__
Questa newsletter vi arriva gratuitamente grazie alla gentile donazione di
fnegri.
Come accennato nella newsletter precedente, sta circolando un e-mail che
parla di "poesie catartiche" e invita a visitare il sito
http://www.francescone.com
, che contiene un file di nome "zelig.scr".
La mia segnalazione originale secondo la quale si tratta di un dialer, come
riferitomi dettagliatamente da un lettore, è confermata dal newsgroup
it.comp.sicurezza.virus. Si sa anche il numero composto dal dialer: 
899208906.
Nel frattempo, tramite i lettori di Zeus News sono arrivati ulteriori
dettagli. Secondo Symantec, il file Zelig.scr è un worm, precisamente il
worm W32.Marque, scoperto il 24 ottobre 2003 (ieri, insomma). Ha effetto su
Windows (2000, 95, 98, Me, NT, Server 2003, Windows XP) ma non su DOS,
Linux, Macintosh, OS/2, UNIX.
Sempre secondo Symantec, il worm, se installato sul vostro computer (se usa
Windows), scavalca il vostro programma di posta e spedisce e-mail agli
indirizzi presenti nella vostra rubrica. Questi e-mail invitano a scaricare
il falso salvaschermo presente presso 
www.francescone.com
, diffondendo
ulteriormente l'infezione. Il salvaschermo in realtà c'è dentro Zelig.scr,
ma è semplicemente una scritta scorrevole che (secondo McAfee) dice "A
volte ti sento così vicina...A volte ti sento così lontana...Certo che hai
proprio un cellulare di m****!" e serve a nascondere il vero scopo del worm.
La documentazione Symantec è qui:
http://securityresponse.symantec.com/avcenter/venc/data/w32.marque.worm.html
La documentazione McAfee è invece qui:
http://us.mcafee.com/virusInfo/default.asp?id=description&virus_k=100779
Il file viene ora sicuramente riconosciuto come pericoloso dall'antivirus
Symantec e da quello di McAfee.
Che si tratti di un dialer o di un worm o di entrambi insieme, poco
importa: il fatto rimane che è porcheria da non toccare assolutamente. Non
scaricate il file e soprattutto non eseguitelo.
Per gli appassionati delle indagini, può essere interessante sapere che
quando si scarica e si esegue il worm Zelig, si viene portati a un'altra
pagina Web di Francescone.com, precisamente
http://www.francescone.com/esito.html
, che contiene un rimando al contatore
ShinyStat.it:
http://www.shinystat.it/cgi-bin/shinystat.cgi?USER=albertotremonti&NC=1
"
width="1" height="1"
A quanto pare il contatore serve per sapere quanti sono gli utenti infetti.
Notate il nome "Alberto Tremonti". Visitando Shinystat.it e immettendo il
nome, compaiono le statistiche di infezione. Al momento in cui scrivo, il
contatore è intorno a quota 2000.
Potrebbe valer la pena di contattare ShinyStat.it e chiedere chi è questo
loro utente. Fra l'altro, frugando nelle pagine delle statistiche di
Shinystat.it relative all'utente "albertotremonti" compare un link a una
pagina inesistente di Xoom.it:
http://members.xoom.virgilio.it/alberto_t/video.html
A voi, se vi interessa, il resto dell'indagine, e l'eventuale denuncia.
Ciao da Paolo.
-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-.-
(C) 2003 by Paolo Attivissimo (
www.attivissimo.net
).
Distribuzione libera, purché sia inclusa la presente dicitura.
Se ti piace quello che leggi, fallo sapere in giro, e mandami un po' di
focaccia!
Questa newsletter viene distribuita gratuitamente e senza pubblicità grazie
a Peacelink.it;
è e sarà sempre gratuita, ma donazioni e sponsorizzazioni sono sempre ben
accette:
http://www.attivissimo.net/donazioni/donazioni.htm
Per ricevere la newsletter:
http://www.attivissimo.net/nl/nl_istruzioni_iscrizione.htm
-----------------------------------------------------------------------
Paolo Attivissimo         Traduttore tecnico, divulgatore informatico
top...@pobox.com
 
http://www.attivissimo.net
---------+---------+---------+---------+---------+---------+---------+--
-- 
Tutto e' nelle mani dell'uomo. Perciò bisogna lavarle spesso (J. Lec 
Stanislaw).

delle Telecomunicazioni.
   Io questa non la capisco. Il numero 899 chiamato dovrebbe avere un
intestatario in Italia, il quale ha sottoscritto il contratto con
Telecom Italia, o no?
-- 
S.L.

 
http://www.francescone.com
, dove c'è una scarna pagina Web che invita a
E' già sparito...
-- 
Where the system is concerned, you are not allowed to ask "Why?".
News 2000 [v 2.06] / StopDialer / PopDuster - 
http://www.socket2000.com

...

Preso! : 
http://www.giornaletecnologico.it/news/200311/04/3fa6770e06596/