Newsgroup: it.comp.lang.visual-basic
Titolo: [!] attenzione virus rognoso [lungo]

sirc32.exe
http://vil.nai.com/vil/virusSummary.asp?virus_k=99141
temo che se ne accorga solo l'ultimo sdat mcafee.
qui ha beccato 4-5 macchine in due giorni nonostante mcafee installato e
aggiornato. naturalmente i colleghi l'hanno aperto, guardandosi bene
dalla mia preghiera generale di darmi una voce _prima_.
deve aver centrato qualche indirizzario grosso, quindi arrivano a
raffica.
finora di allegati ho visto un
xls.pif
e un
doc.pif
c'e' un testo inglese tipo "dammi un parere sull'allegato".
si installa nel cestino, che gli antivirus di solito -- genialmente ! --
disdegnano.
il bello e' che dopo averlo -- spero -- sradicato, al boot continua ad
arrivare il msg
    impossibile trovare \recycled\sirc32.exe
dando ok sembra andare tutto.
sembra.
il bastardo lascia qualcosa che lo continua a cercare. non ho trovato
niente in registro, win.ini, system.ini.
sirc32.lgc da \windows\applog\ qui sotto. win.ini c'e'. oltre al caro
vecchio turrito outlook <g>
in bocca al lupo,
a.
{
o c7a82360 21800 "C:\RECYCLED\SIRC32.EXE"
R c7a82360 0 40
R c7a82360 100 f8
R c7a82360 100 238
r c7a82360 20000 1000
R c7a82360 1ca00 1000
o c787b030 92110 "C:\WINDOWS\SYSTEM\OLEAUT32.DLL"
R c787b030 82000 1000
o c157dda0 c1000 "C:\WINDOWS\SYSTEM\OLE32.DLL"
R c157dda0 a4000 1000
R c787b030 82000 1000
R c787b030 2000 1000
R c787b030 2000 1000
R c157dda0 4c000 1000
R c157dda0 4d000 1000
R c157dda0 4e000 1000
R c787b030 83000 1000
o c156f4d0 e000 "C:\WINDOWS\SYSTEM\MPR.DLL"
R c156f4d0 9000 800
R c7a82360 1da00 200
o c1572880 158000 "C:\WINDOWS\SYSTEM\SHELL32.DLL"
R c1572880 83000 1000
o c15732b0 45110 "C:\WINDOWS\SYSTEM\SHLWAPI.DLL"
R c15732b0 3c000 1000
R c15732b0 3c000 1000
R c15732b0 2000 1000
R c15732b0 2000 1000
R c15732b0 3d000 1000
R c15732b0 3e000 1000
R c15732b0 3f000 800
R c1572880 83000 1000
R c1572880 1000 1000
R c1572880 1000 1000
R c1572880 85000 1000
R c15732b0 3a000 1000
R c15732b0 3b000 1000
R c1572880 86000 600
R c1572880 84000 1000
o c17d3000 a000 "C:\WINDOWS\SYSTEM\WSOCK32.DLL"
R c17d3000 7000 200
o c77e0530 71110 "C:\WINDOWS\SYSTEM\WININET.DLL"
R c77e0530 5e000 1000
R c77e0530 5e000 1000
R c77e0530 2000 1000
R c77e0530 2000 1000
R c787b030 34000 1000
R c787b030 35000 1000
R c787b030 36000 1000
R c156f4d0 7000 1000
R c1572880 81000 1000
R c1572880 82000 1000
R c17d3000 3000 1000
R c17d3000 4000 a00
R c77e0530 5c000 1000
R c77e0530 5d000 1000
R c7a82360 1dc00 200
o c78c0810 19e1 "C:\WINDOWS\WIN.INI"
R c78c0810 0 19e1
C c78c0810
R c157dda0 21000 1000
R c157dda0 22000 1000
R c157dda0 ae000 1000
R c157dda0 2a000 1000
R c157dda0 b3000 1000
R c157dda0 1000 1000
R c157dda0 a7000 1000
R c157dda0 2b000 1000
R c787b030 d000 1000
R c787b030 84000 1000
R c787b030 e000 1000
R c787b030 85000 1000
R c787b030 86000 1000
R c787b030 87000 1000
R c787b030 33000 1000
R c787b030 12000 1000
R c787b030 f000 1000
R c787b030 88000 1000
R c787b030 29000 1000
R c156f4d0 1000 1000
o c1567bf0 9792b "C:\WINDOWS\SYSTEM\USER.EXE"
R c1567bf0 1844 225e
R c156f4d0 a000 400
R c15732b0 13000 1000
R c15732b0 40000 c00
R c15732b0 22000 1000
R c15732b0 14000 1000
R c1572880 2000 1000
R c1572880 22000 1000
R c1572880 88000 a00
R c1572880 d000 1000
R c1572880 6000 1000
R c17d3000 1000 1000
R c17d3000 6000 a00
o c7879380 12000 "C:\WINDOWS\SYSTEM\WS2_32.DLL"
R c7879380 f000 a00
o c78a12f0 41035 "C:\WINDOWS\SYSTEM\MSVCRT.DLL"
R c78a12f0 35000 e00
R c78a12f0 35000 1000
R c78a12f0 2f000 1000
R c78a12f0 2f000 1000
o c7879410 6000 "C:\WINDOWS\SYSTEM\WS2HELP.DLL"
R c7879410 3000 200
R c7879380 f000 1000
R c78a12f0 31000 1000
R c78a12f0 32000 1000
R c78a12f0 34000 1000
R c78a12f0 33000 1000
R c78a12f0 36000 1000
R c7a82360 0 400
R c78a12f0 37000 1000
R c78a12f0 38000 1000
R c78a12f0 30000 1000
R c78a12f0 39000 1000
r c7879380 3000 1000
R c7879380 d000 1000
r c7879380 9000 1000
R c7879380 e000 600
r c7879380 2000 1000
R c77e0530 60000 1000
R c77e0530 1e000 1000
R c77e0530 1f000 1000
R c77e0530 3000 1000
o c78588a0 15000 "C:\WINDOWS\SYSTEM\MSWSOCK.DLL"
R c78588a0 11000 800
R c78588a0 1000 1000
R c78588a0 f000 1000
R c78588a0 e000 1000
R c78588a0 10000 600
R c78588a0 c000 e00
R c78588a0 d000 400
R c7a82360 19400 1000
R c7a82360 4400 1000
R c7a82360 1ac00 1000
R c7a82360 3400 1000
R c7a82360 400 1000
R c7a82360 2400 1000
R c7a82360 1400 1000
R c7a82360 a400 1000
R c7a82360 5400 1000
R c7a82360 9400 1000
R c7a82360 1bc00 e00
R c7a82360 21000 800
R c7a82360 8400 1000
R c7a82360 7400 1000
R c7a82360 6400 1000
R c7a82360 d400 1000
R c7a82360 b400 1000
R c7a82360 e400 1000
R c7a82360 f400 1000
R c7a82360 10400 1000
R c7a82360 11400 1000
R c7a82360 12400 1000
R c7a82360 14400 1000
R c7a82360 13400 1000
R c7a82360 17400 1000
R c7a82360 1a400 800
R c7a82360 15400 1000
o c78c0810 d000 "C:\PROGRA~1\OUTLOO~1\MSIMN.EXE"
R c78c0810 0 800
R c78c0810 1e00 400
R c78c0810 4000 200
R c78c0810 c00 200
R c78c0810 3000 200
R c78c0810 5400 200
R c78c0810 6600 200
R c78c0810 1600 200
R c78c0810 4a00 200
R c78c0810 1000 200
R c78c0810 1200 200
R c78c0810 1400 200
R c78c0810 1a00 200
R c78c0810 3e00 200
R c78c0810 2a00 200
R c78c0810 3a00 200
R c78c0810 5200 200
R c78c0810 4c00 200
R c78c0810 4200 200
R c78c0810 2400 200
R c78c0810 5600 200
R c78c0810 5000 200
R c78c0810 1c00 200
R c78c0810 3200 200
R c78c0810 3c00 200
R c78c0810 3400 200
R c78c0810 5800 200
R c78c0810 6a00 200
R c78c0810 4600 200
R c78c0810 2800 200
R c78c0810 4800 200
R c78c0810 6e00 200
R c78c0810 4400 200
R c78c0810 1800 200
R c78c0810 6800 200
R c78c0810 6c00 200
R c78c0810 2e00 200
R c78c0810 8800 200
R c78c0810 2c00 200
R c78c0810 5a00 200
R c78c0810 8e00 200
R c78c0810 3800 200
R c78c0810 3600 200
R c78c0810 6000 200
R c78c0810 4e00 200
R c78c0810 2200 200
R c78c0810 8600 200
R c78c0810 8a00 200
R c78c0810 8400 200
R c78c0810 5c00 a00
R c78c0810 7400 200
R c78c0810 7800 200
R c78c0810 a00 200
R c78c0810 2600 200
R c78c0810 8000 200
R c78c0810 7200 200
R c78c0810 7c00 200
R c78c0810 7e00 200
R c78c0810 8200 200
R c78c0810 600 200
R c78c0810 800 200
R c78c0810 3000 200
R c78c0810 3e00 200
R c78c0810 6c00 200
R c78c0810 c200 200
R c78c0810 c400 200
R c78c0810 b400 200
R c78c0810 7a00 200
R c78c0810 7600 200
R c78c0810 2000 200
R c78c0810 ce 2
R c78c0810 1c0 6
R c78c0810 1e8 6
R c78c0810 210 6
R c78c0810 ce00 200
R c78c0810 ca00 200
R c78c0810 cc00 200
C c78c0810
o c78c0810 d000 "C:\PROGRA~1\OUTLOO~1\MSIMN.EXE"
R c78c0810 0 40
R c78c0810 c8 f8
C c78c0810
}

 sirc32.exe
l'ho beccato su 15 macchine!
se vai qui trovi un po' di info in piu'
http://punto-informatico.it/pi.asp?i=36865
CIAO!
P.S.
  il virus risponde in inglese e spagnolo.... ma non in francese... ;)

 doc.pif
[SNIP]
E' proprio lui, ci e' capitato anche un '.doc.bat' ma comunque e' sempre un
exe; un collega ha anche letto che non solo guarda la rubrica ma pare anche
estragga gli indirizzi di posta dalla cache del browser... naturalmente
basta avere attivata l'opzione per visualizzare le estensioni dei file per
accorgersi subito dell'inghippo, infatti qui non abbiamo avuto problemi
(bacchettata ai colleghi di pal :-) )
Ciao
--
Luca Dormio
luca....@tin.it

http://www.symantec.com/avcenter/FixSirc.com
-> GbC

 (bacchettata ai colleghi di pal :-) )
no: bacchettata a pal x' ha questi colleghi :)


Ah, allora avevo capito bene!
Il primo giorno ho pensato che adesso iniziano a sbagliarsi anche sugli
indirizzi e-mail, oltre che con i numeri del cellulare.
Il secondo gią mi č venuto qualche dubbio...
Ciao

 sirc32.exe
Se lo è beccato un mio cliente stamani: 8 o 9 macchine infette...  :-(
cmq sul sito Symantec c'è tutto, compreso un antivirus specifico.
http://www.symantec.com/avcenter/FixSirc.com
:-)
ciao
ugo
p.s. Interessante, però... quasi furbo come il Magistr di qualche tempo
fa...

 ha scritto nel messaggio
news:9jjn8u$ocp19$1...@ID-51318.news.dfncis.de...


 ha scritto


 sirc32.exe
http://www.repubblica.it/online/tecnologie_internet/sircam/sircam/sircam
.html

     impossibile trovare \recycled\sirc32.exe
E' lanciato dall'autoexec... toglilo da lě e sei a posto, _SE_ il Pc non
si reinfetta, vedi sopra. Maledette condivisioni di default.
Bye, G.

 sirc32.exe e settarlo immediatamente in sola lettura.
lettera rubata di poe.
mettere bene in vista quello che non dev'essere visto.
e io che cercavo nel registro...
ovviamente la riga e' qc come
@\recycled\sirc32.exe
e' quella che manda il messaggio al boot dopo la pulitura.
ribacchettata a pal !


E' vero, l'ho notato anch'io, ma basta vuotare il cestino e controllare
l'autoexec, dopo aver eseguito il fixsirc.
ciao
ugo
p.s. Confessa: hai copiato la procedura dalla Symantec...  :-)


Mi correggo da solo: la tua procedura č sicuramente piů completa e piů
sicura di quella di Symantec.
Bel lavoro!
ciao
ugo

 Bel lavoro!
Me.Face.ForeColor = vbRed
TNX, G.
P.S.: Mi hanno segnalato una modifica: Il RUNDLL32.EXE originale
rimane e viene solo rinominato in RUN32.EXE, basta rinominarlo.


Confermo: proprio oggi ero da un altro cliente che si è beccato un
"principio" di infezione, bloccata dal NAV, e ho notato proprio quello. In
effetti, credo che la Rundll32 del virus non sia altro che una copia del
sirc32 che lancia poi la "normale" rundll32 rinominata. Discreta idea per
bypassare le differenti ver. di Rundll! ...
Ah, questi virus... furbi come faine...
:-)
ciao
ugo
p.s.
Ulteriore variazione alla procedura che hai elaborato:
è possibile invertire lo step 1 con il 2, dato che è solo al successivo
riavvio di win che la scam32 va a ritoccare il registry e a riscrivere
eventualmente il sirc32.exe...

 Ulteriore variazione alla procedura che hai elaborato:
TNX ancora.
Comunque è più semplice utilizzare il tool dell'ottimo marcolfa:
http://users.iol.it/marrob/Sircam_sucks.vbs
Se ti capita provalo.
Un Paperino che spera che non ce ne sia bisogno. :-))