Newsgroup: it.comp.hardware.cd
Titolo: [OT] Per il bene di tutti

Ciao.
Scrivo di nuovo per il problema del virus Hybris che arriva
a molti con una e-mail anonima e vuota con allegato un
eseguibile. Per scoprire se il proprio PC è infetto dovrebbe
bastare controllare la dimensione del file wsock32.dll.
Nella versione 4.10.1998 deve essere di circa 40 Kb.
Nella versione 4.90.3000 (winME) circa 36 Kb (se non sono
infetto anch'io!).
Chiedo ai possessori di altre versioni di Window$ di
rispondere a questo post (sul NG) comunicando la dimensione e
la versione del file (si vede facendo click col destro -> Proprietà
-> Versione).
Grazie della collaborazione.
Quelli che si dovessero accorgere di avere un file + grande
del dovuto leggano qui sotto per sapere come eliminare il virus.
Avete ricevuto messaggi di posta elettronica completamente bianchi
(neanche il nome del mittente) e con un allegato eseguibile dal
nome assurdo tipo BJHGKLM.exe?
ATTENZIONE NON LANCIATE IL PROGRAMMA ALLEGATO
V'INFETTERESTE IL COMPUTER CON IL VIRUS HYBRIS
(IN OGNI CASO NON DOVRESTE MAI LANCIARE PROGRAMMI SCONOSCIUTI, NEANCHE SE
ARRIVANO DA UN AMICO: SENZA CHE LUI LO SAPPIA POTREBBE EGLI STESSO ESSERE
"INFETTATO" DA UN VIRUS CHE SI AUTOINVIA AGLI INDIRIZZI PRESENTI NELLA SUA
RUBRICA)
Se erroneamente avete fatto doppio click sull'allegato in questione...
Lanciate subito un antivirus aggiornato (Hybris è stato scoperto nel
novembre scorso: se il vostro antivirus è più "vecchio" e non avete mai
aggiornato il suo database, non ve lo troverà mai).
McAfee Virus scan v. 4 trova i nuovi virus ma non riesce a "pulire" il
file WSOCK32.DLL (Nella cartella C:\Windows\System) che viene "infestato"
e che riproduce il virus ad ogni riavvio: non c'è altra soluzione allora
che cancellare il file e ricopiarlo dal CD d'installazione di Windows dopo
aver fatto una scansione completa dei dischi.
Sul CDrom di Win98 si trova nel file compresso PRECOPY1.CAB, si può
estrarre riavviando in DOS ed usando gli specifici comandi, per chi
conosce un po' meglio Windows esiste un altro modo più specifico (e
facile):
Cliccare col mouse su start - selezionare esegui - digitare SFC -
selezionare l'option buttons "estrarre un file dal disco d'installazione"
- premere sfoglia, portarsi su "C:\Windows\System\" e selezionare
wsock32.dll - dare l'OK - compare la finestra "estrai il file", nella riga
"estrai da:" selezionare la directory di Win98 SUL VOSTRO CDRom, tipicamente
è D:\Win98 (dove "D:" è la lettera d'unità del VOSTRO CDRom) - Ovviamente la
riga "Salva il file in:" corrisponderà a "C:\Windows\System" - date l'OK -
comparirà una finestra che vi chiede se e dove volete effettuare il backup
del file, ovviamente non vorrete salvare un file "infetto" e cliccherete
su ignora - continuate e vi apparirà una finestra che vi chiede di riavviare
Windows per poter sostituire il file (i file di sistema in esecuzione, come
detto sopra, non possono esser modificati nella corrente sessione di
Windows) -
Riavviate ed il file infetto sarà sostituito con il file originale del
CDRom di Windows (Attenzione ad usare il file di un amico che ve lo passa su
floppy, potrebbe esser infetto pure quello: controllate la dimensione in Kb
e
se corrisponde al vostro wsock32 "malato" cancellate tutto, il vero
wsock32.dll
"pesa" circa 40 Kb, quello infetto è più "grande"!
Bisognerebbe controllare anche il registro di sistema di windows (bottone
start/click su esegui/ scrivete regedit e date l'invio) come si vede dal
report di 
http://www.avp.ch/avpve/
The worm also creates its copy with a random name in the Windows system
directory and registers it in the RunOnce registry key:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce
{Default} = %WinSystem%\WormName
or
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
{Default} = %WinSystem%\WormName
where %WinSystem% is the Windows system directory, and "WormName" is
random name, for example:
CCMBOIFM.EXE
LPHBNGAE.EXE
LFPCMOIF.EXE
There is only one possible reason to register an additional worm copy in
the "RunOnce" registry key: in case WSOCK32.DLL was not infected during
the first time the worm was run, and its infected copy was not created
because of some reason, the "RunOnce" worm copy will complete the task
during the next Windows restart.
Qui occorre fare parecchia attenzione e cancellare solo la voce aggiunta
dal virus:
se per sbaglio cancellaste una intera chiave di registro anzichè la sola
stringa di caratteri... Addio!
Conviene portarsi sul menu "Registro di configurazione"
(in alto a sinistra dove di solito c'è la voce File)
e scegliere "Esporta file del registro..."
scegliete "tutto" - date un nome corto e facile e salvate in un punto
di facile accesso (alla radice del C = C:\) così vi siete assicurati la
sopravvivenza del vostro windows...
Se sbagliate e cancellate qualcosa d'importante dal registro vi portate
su: "Importa file del Registro di configurazione" sempre dal menu
"Registro di configurazione" e scegliete il file salvato da voi prima.
Se avete già "spento" windows il danno è fatto ma si può tentare di
ripristinare il registro come specificato dalla guida:
Riavviare il sistema in modalità MS-DOS, quindi scegliere OK.
Passare alla directory di Windows. Se ad esempio la directory è
C:\Windows, digitare
  cd c:\windows
Digitare
c:\scanreg /restore
al prompt di MS-DOS.
Riavviare il computer.
Nota
Al termine di questa procedura il registro di sistema verrà ripristinato
allo stato corrispondente all'ultimo avvio corretto del computer.
Il virus può avere diversi effetti a seconda dei "plug-in" che contiene
per esempio:
Depending on system date and time (on September 16 and 24, and on the 59th
minute of each hour starting from the year 2001 - in known plugins) the
"spirale" effect is run.
The plugin creates a random 8-bytes .EXE name in the Windows system
directory, unpacks "spirale effect" EXE code to there, and registers that
file in the system:
under Win9x: in WIN.INI file in [windows] "run=" line
under WinNT: in system registry in "Run=" key
Praticamente andate su start, cliccate su esegui, scrivete "sysedit" e vi
portate poi sulla finestra di win.ini, cercate se alla riga "run=" c'è
scritto
un programma strano (Pincopallino.exe) che potrebbe corrispondere al plugin
del
virus = cancellate il nome del programma!
Ciao.
Matto

 Nella versione 4.10.1998 deve essere di circa 40 Kb.
Confermo, 40960 bytes sul win98 (prima edizione) Ho norton anti virus
aggiornatissimissimissimo!
Comunque non è un virus ma un verme che non danneggia il pc, ma crea
sofraffollamento in internet e vi rallenta la navigazione in rete!

 ha scritto nel messaggio
news:I2sj6.22860$7U4.5...@news.infostrada.it...


 infetto anch'io!).
        40960 byte = 40k per quel che riguarda win98 prima edizione. Puoi 
tenerlo come dato buono perche' win la mia posta non l'ha mai vista.
        Ciao, Giovanni.
-- 
   |^^^^|
   |    |  Eat my shorts !             * Linux Powered *
   |()()| /                            - Kernel 2.2.18 -
                 -> gio.bcc(at)
tin.it
 <-

 del dovuto leggano qui sotto per sapere come eliminare il virus.
Utilizzate un antivirus :)
Comunque le istruzioni per eliminare il virus si trovano sul sito della 
Computer Associates.
http://antivirus.cai.com
Cercate la sezione dove c'è l'elenco di tutti i virus. E, visto che vi 
trovare, scaricate l'ottimo InoculateIT, antivirus FREE.
-- 
---> 
ra...@bigfoot.com
                                    ICQ:11928715
----------------------------------------------------------------------
ATTENZIONE:
Utilizzate l'indirizzo qui sopra per rispondere.

 invece non hanno avuto la stessa precauzione.
Ok x tutto ma come può essere filtrato qs maledetto worm? Io ho W98 e OE5.
Grazie a tutti.
Stefano
gifa...@tin.it
http://web.tiscalinet.it/gifalone

 Ok x tutto ma come può essere filtrato qs maledetto worm? Io ho W98 e OE5.
Un buon metodo per non far diffondere il virus è quello di NON 
utilizzare Outlook Express.
E un buon metodo per non prendere il virus è quello di utilizzare un 
AntiVirus.
http://antivirus.cai.com
 scaricati InoculateIT, è anche FREE.
