Newsgroup: it.hobby.radioamatori
Titolo: O.T. Virus OPAServ (OPASoft)

Che virus e' :
OpaSoft e' un worm della rete con funzioni di backdoor, in grado di
diffondersi attraverso una rete sfruttando i servizi NETBIOS. Il file che
contiene il worm e' un PE EXE (portable executable), lungo circa 28 Kbyte.
Questo worm si installa nella directory di Windows come "scrsvr.exe"
registrando questo file nella seguente chiave del registro di configurazione
del sistema in modo da eseguirsi ad ogni riavvio del computer:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run
ScrSvr = %trojan name%
OpaSoft effettua una scansione degli indirizzi IP all'interno della rete
locale utilizzando la porta 137 ( NETBIOS Name Service ) ed analizza
l'eventuale risposta ottenuta. Se questa risposta presenta dei dati
particolari il worm inizia la sua routine di infezione.
La routine del worm invia uno specifico pacchetto SMB utilizzando la porta
139 (NETBIOS Session Service) verso l'indirizzo IP della macchina
bersaglio.Questo causa le seguenti azioni:
1- Il worm tenta di connettersi a \\host-bersaglio\risorsa_condivisa
2- Se la risorsa e' protetta da password il worm tenta di effettuare un
brute-force attack utilizzando un elenco di possibili password per tentare
l'accesso alla risorsa
3- Se riesce ad accedere il worm invia il proprio eseguibile all'host
bersaglio
4- A questo punto il worm legge le informazioni contenute all'interno del
file WINDOWS\WIN.INI sulla macchina bersaglio e salva localmente tali
informazioni nel file c:\TMP.INI
5- Infine, il worm aggiunge un'istruzione all'interno del file
WINDOWS\WIN.INI della macchina bersaglio (comando "run=" nella sezione
[WINDOWS]) in grado di eseguire il file infetto al reboot del sistema.
Come risultato di queste operazioni, quindi, vengono creati i seguenti due
file all'interno della directory Windows del computer infettato:
\WINDOWS\scrsvr.exe - copia del worm
\WINDOWS\win.ini
Il file WIN.INI contiene le istruzioni necessarie all'esecuzione del worm al
successivo riavvio del sistema (comando "run=" nella sezione [windows]).
Viene inoltre creato un file C:\TMP.INI sul PC da cui parte l'infezione.
Il worm impedisce inoltre una doppia esecuzione di se stesso su di una
macchina infetta.
Le macchine con sistema operativo Windows 9x sono vulnerabili a questo tipo
di infezione, mentre le macchine con sistema operativo Windows NT non sono
vulnerabili.
La componente del worm con funzioni di backdoor cerca di connettersi al sito
internet 
www.opasoft.com
 per prelevare ed eseguire sia nuove versioni
(quando presenti) sia script presenti nel web server. Tale backdoor utilizza
i seguenti data file: "ScrSin.dat" and "ScrSout.dat". La nuova copia del
worm viene prelevata con un file dal nome "scrupd.exe" . Quando questo file
viene eseguito sostituisce la copia esistente del worm.
Poiche' il sito internet 
www.opasoft.com
 non e' disponible non e' possibile
avere maggiori informazioni riguardo alla routine di questa backdoor.
ISTRUZIONI PER LA RIMOZIONE:
Per la corretta rimozione del worm OpaSoft e' necessario:
--rimuovere tutti i file rilevati dall'antivirus
--controllare la presenza della chiave "ScrSvr = %trojan name%" nel registro
di configurazione ( in
[HKLM\Software\Microsoft\Windows\CurrentVersion\Run] )
--controllare la presenza di una voce nel file WIN.INI che richiama il file
"scrsvr.exe" ed eventualmente eliminarla
--IMPORTANTE-- andare in risorse di rete -opzioni- tcp/ip>dispositivo di
accesso remoto- bindig e disattivare le 2 funzioni di condivisione.
ATTENZIONE! Il virus OpaSoft č in grado di effettuare una scansione non solo
di indirizzi IP della rete locale ma anche di indirizzi IP pubblici. Le
macchine maggiormente soggette a rischio di infezione sono quelle con
sistema operativo Windows 95/98/Me che effettuano connessioni ad Internet
(ottenendo quindi un indirizzo IP pubblicamente accessibile). Se questi
computer hanno risorse condivise, nel momento in cui effettuano una
connessione ad Internet costituiscono un potenziale bersaglio da parte di
altri sistemi infetti da OpaSoft. Per questo motivo si consiglia di:
1- Disabilitare, qualora non siano strettamente necessarie, le risorse
condivise su tali computer (click con il tasto destro su "Risorse di
Rete"-->"File e Stampanti condivise"-->disabilitare la condivisione delle
stampanti e dei file) oppure
2- Proteggere tali risorse da password (in questo caso č perņ buona norma
utilizzare password non banali, poichč OpaSoft esegue un brute-force attack
provando diverse password per accedere alle risorse) oppure
3- Utilizzare un Firewall oppure un Personal Firewall in grado di bloccare i
pacchetti UDP in ingresso sulla porta 137 oppure le connessioni dirette
verso la porta 139, in modo da inibire la scansione dell'OpaSoft.
Saluti a tutti
ik4vwt

 utilizzare password non banali, poichè OpaSoft esegue un brute-force
