Newsgroup: it.hobby.scuba
Titolo: AVVISO DI PERICOLO

Se ricevete un messaggio e-mail intitolato "It Takes Gust to Say" non
apritelo cancellera' tutto sul Vs. hard disk. Comunicatelo a piu' persone
possibili, questo è un pericoloso virus e poche persone ne sono a
conoscenza. Questa informazione e' stata diffusa dalla IBM giorno 1/2/99. Si
raccomanda inoltre di non aprire o guardare qualsiasi posta che contenga la
scritta "RETURNED OR INABLE TO DELIVER", questo virus si attacchera' ai
componenti del Vs. PC rendendolo inutilizzabile. Cestinate immediatamente
qualsiasi posta con questa scritta, la "AOL" ha affermato che questo virus
e' molto pericoloso e che attualmente NON VI E' RIMEDIO.
Ciao a tutti.       Ennio

e' molto pericoloso e che attualmente NON VI E' RIMEDIO.
Leggete pure senza paura QUALSIASI messaggio di mail, non succedera'
nulla. Solo se e solo se ci fosse un Attachment in formato eseguibile
(.exe o .com), non apritelo. Di questi giorni e proprio Happy99.exe
apparso su  I.T.C.O. , quello si che era un virus !
Ciao a tutti.
Max
----------------------------------
Togliere REMOVE prima di rispondere

Rav ha perfettamente ragione
Il virus e' il messaggio di avvertimento che mandate
Smettetela di mandare messagi del tipo "Attenzione: Virus via EMail !!!"
Ciao a tutti !!!
Christiano Coraglia
cristia...@deltatre.it
Togliere "NoSpan" dall' indirizzo

 Spaventato, Ennio?!?
che palle, tutte le settimane ci casca qualche d`uno

Verissimo: non é possibile ricevere virus solo aprendo un messaggio di
posta. Per ricevere un virus si deve aprire un file allegato..... leggete
questo msg che ho ricevuto qualche giorno fa: credo che sia il primo vero
avviso di virus che abbia mai ricevuto!
Ciao, Lucia
rubriche/informatica/VIRUS
Msg# 8844, 26/01/99 20:14 [6668]
Padre: Msg# 8842, Figlio: Msg# 8845
Da: MC3162 Paolo Monti (Roma)
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Oggetto: Analisi nuovo worm: HAPPY99
I-Worm.Happy
-------------
Questo e' il primo, moderno Internet worm ("verme") conosciuto ad essere
scoperto "in the wild" (diffuso). Questo worm dei computer e' una sorta
di programma virus che per diffondersi non infetta dei file ma invece
usa come vettore le e-mail spedite via Internet, inserendo in allegato
alle e-mail una copia di se stesso.
Il worm e' stato spedito da qualcuno (forse lo stesso autore del worm)
su diversi server di notizie (Usenet newsgroups) nel gennaio 1999; in
pochi giorni si e' diffuso a macchia d'olio in Europa e continua a
diffondersi rapidamente.
Il worm arriva agli utenti come allegato alle e-mail, nella forma di un
file eseguibile con il nome HAPPY99.EXE. Allo scopo di dissimulare la
sua vera natura, quando viene eseguito il worm mostra sullo schermo un
simpatico effetto; dunque, si puo' affermare che presenta anche le
caratteristiche tipiche di un cavallo di troia.
Nel corso dell'esecuzione, il worm si installa nel computer,
intercettando delle chiamate di sistema che gli consentono monitorare
l'invio di e-mail su Internet; quindi converte una copia di se stesso
come allegato binario alle e-mail che vengono spedite. In questo modo il
worm, quando e' installato nel sistema, e' capace di inviare delle copie
di se stesso a tutti i destinatari delle e-mail che vengono spedite.
Quando si installa, il worm modifica soltanto dei file che risiedono
nella cartella di sistema di Windows. In tale cartella crea i file
SKA.EXE e SKA.DLL, copia il file WSOCK32.DLL nel file WSOCK32.SKA e
modifica la librearia originale WSOCK32.DLL allo scopo di intercettare
l'invio di e-mail.
Rimozione e Protezione
----------------------
Se il worm viene identificato sul proprio sistema, la sua eliminazione
e' semplice e non costituisce un problema. Basta cancellare i file
SKA.EXE e SKA.DLL dalla cartella di sistema. E' anche necessario
ripristinare il file originale WSOCK32.DLL, cancellando il file
WSOCK32.DLL modificato dal worm e quindi rinominando il file WSOCK32.SKA
in WSOCK32.DLL. Anche il file HAPPY99.EXE dovrebbe essere localizzato e
cancellato.
Per proteggere il proprio computer da una nuova, possibile infeziona da
parte del worm e' sufficiente impostare gli attributi di sola lettura
del file WSOCK32.DLL. Il worm, infatti, non prevede alcuna gestione
dell'attributo di sola lettura e quando tenta di modificare un file
WSOCK32.DLL che possiede tale attributo fallisce nell'operazione.
Alcuni consigli
---------------
Non aprire ed eseguire un eventuale file HAPPY99.EXE ricevuto in
allegato ad una o piu' e-mail. Anche se questo proviene da fonti di cui
si ha fiducia. E' anche necessario ricordare che i file prelevati da
Internet possono sempre contenere del codice pericoloso, capace di
infettare il proprio computer, compromettere dei dati, inviare
informazioni confidenziali su Internet o installare dei programmi-spia
capaci di monitorare il computer in remoto (backdoor). Quindi e' sempre
necessario prendere delle opportune precauzioni quando si preleva ed
installa del software ricevuto via e-mail.
L'apertura di documenti Office con la protezione dai virus disabilitata
e l'esecuzione di programmi sono operazioni molto rischiose. E'
necessario ricordare sempre questo principio ogni volta che si trova un
allegato nella propria posta elettronica.
Dettagli tecnici
-----------------
Il worm si presenta come un file di nome HAPPY99.EXE, lungo esattamente
10.000 byte.
Il file possiede una struttura interna del tipo Portable Executable
(PE), ovvero e' un programma a 32-bit per Windows. Il worm si installa
in sistemi Win95/98 e continua a diffondersi senza alcun problema.
Invece, a causa di errore di programma (bug), sotto Windows NT non e'
capace di diffondersi.
Il worm contiene delle stringhe di testo, alcune delle quali si
presentano in forma cifrata:
Is it a virus, a worm, a trojan? MOUT-MOUT Hybrid (c) Spanska 1999.
Happy New Year 1999 !!
begin 644 Happy99.exe end
\Ska.exe \liste.ska
\wsock32.dll \Ska.dll \Ska.exe
Quando il file HAPPY99.EXE viene eseguito, il worm copia se stesso nella
cartella di sistema di Windows con il nome SKA.EXE e crea nella stessa
cartella il file SKA.DLL. Quest'ultimo file e' conservato in forma
cifrata e compressa all'interno del file HAPPY99.EXE.
Il worm duplica il file WSOCK32.DLL, usando il nome WSOCK32.SKA e quindi
modifica il file WSOCK32.DLL originale. Se il file WSOCK32.DLL e' in uso
da parte di qualche applicativo e non puo' essere aperto in scrittura,
il worm crea una nuova chiave nel Registro di sistema allo scopo di far
eseguire automaticamente il file SKA.EXE al prossimo riavvio
di
Windows:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce=SKA.EXE
La modifica effettuata all'interno del file WSOCK32.DLL consiste nella
creazione di una routine di inizializzazione e nella redirezione di due
funzioni esportate dalla libreria dinamica.
La routine di inizializzazione e' rappresentata da un ridotto numero di
istruzioni (202 byte). Essa viene salvata alla fine del sezione di
codice presente in WSOCK32.DLL (la sezione ".text"). Il file WSOCK32.DLL
possiede abbastanza spazio per l'aggiunta di tale codice e dunque la
grandezza della DLL non aumenta in seguito alla modifica operata dal
worm. Quindi il worm modifica la "export table" della libreria
WSOCK32.DLL, in modo tale che le due funzioni "connect" e "send" puntino
alla routine di inizializzazione del worm, posta alla fine della sezione
di codice presente nel file WSOCK32.DLL.
Quando l'utente si collega ad Internet la libreria dinamica WSOCK32.DLL
viene attivata e il worm ha l'opportunita' di intercettare due eventi:
connessione e invio di dati. Il worm monitorizza le porte 25 e 119,
relative alla spedizione di e-mail (SMTP) e di "news" (NTTP). Quando
individua una connessione attiva su una di tali porte, il worm carica in
memoria la libreria dinamica SKA.DLL che esporta due funzioni: "mail" e
"news". A seconda del numero di porta, il worm chiama una delle due
routine, ma entrambe hanno la funzione di creare un nuovo messaggio, di
inserire in allegato il worm trattato con l'algoritmo UUENCODE e quindi
di spedire tale messaggio. Inoltre, il worm inserisce anche una sua
particolare "firma" nell'intestazione dei messaggi "infetti":
X-Spanska: Yes
Mentre spedisce i messaggi che contengono il worm allegato, il worm
memorizza l'indirizzo del ricevente nel file LISTE.SKA, anch'esso creato
nella cartella di sistema di Windows. Questo file puo' contenere fino ad
un massimo di 5KB di dati e fino a 200 indirizzi presso i quali sono
stati spediti dei messaggi aventi il worm in allegato.
---
Paolo.
-----------------------------------------------------------------------
Sempre  in tema  di Virus,  un'altra voce  autorevole ci  invia questo
report
-----------------------------------------------------------------------
Trend Micro scopre il primo virus per Microsoft 2000
Ancora  una volta  Trend Micro  per prima  segnala la  comparsa di una
nuova  minaccia   informatica,  si  tratta  di   "WKM_PSD",  un  virus
appositamente sviluppato  per l'ambiente Office 2000  ma gia' in grado
di infettare  i documenti di Word  97. Sebbene il virus  non sia stato
ancora  localizzato  presso  nessuno  dei  clienti  di Trend Micro, la
multinazionale dal canto suo ha gia' aggiornato il proprio servizio on
line di scansione  remota (disponibile all'indirizzo 
www.trendmicro.it
) rassicurando  cosi'  una  significativa  porzione  degli  utenti dei
prodotti di Microsoft.
Secondo  gli  esperti  di  Trend  Micro  "WKM_PSD"  e'  molto simile a
"W97M_PSD",  uno  dei  virus  piu'  diffusi  fra  quelli  in  grado di
infettare i  documenti di Word  97, ma con  alcune variazioni che  gli
permettono  di  trarre  vantaggio   dalle  caratteristiche  del  nuovo
ambiente Office 2000.
D'altro  canto,  alcune  delle   funzioni  implementate  da  Microsoft
dovrebbero   contribuire  ad   aumentare  il   livello  di   sicurezza
dell'ambiente  rendendo piu'  difficile  la  trasmissione dei  virus e
offrendo agli utenti una maggiore protezione.
"WKM_PSD" puo'  essere attivato attraverso l'apertura  di un qualsiasi
documento  Word 97  od Office  2000 infetto.  Il virus  e' in grado di
selezionare in maniera autonoma il livello di sicurezza "low" e quindi
di modificare il registry di Windows.
Inoltre, nel  momento in cui  il giorno del  mese e i  minuti dell'ora
corrente  coincidono,  il  virus  aggiunge  alla  visualizzazione  del
documento Word attivo  un repertorio di forme e  di colori selezionati
in maniera casuale. Il virus e' efficace anche con i documenti di Word
97 ma in questo specifico caso non  e' in grado di variare i parametri
di  sicurezza  o  di  cambiare  le  modalita'  di  visualizzazione del
documento. Il virus non e' comunque in grado di danneggiare o alterare
i dati ma  puo' rendere complessa  la visualizzazione di  un qualsiasi
documento infetto.
--
"Vivete per il presente, sognate per l’avvenire, imparate dal passato."
per rispondere togliere LUPA dall'indirizzo

...


 
ANDREAAAAAAAAAAAAAA!!!!!!!!!!!!!!!!!!!!!!!!!!!
COSA HAI FATTO????
Adesso ho letto il tuo messaggio "It takes gust to..." - e mio HD è
vuoto - complettamente!
Come so?
Ho controllato personalmente: ho preso il HD fuori la custodia del PC di
guardare - e non si può più riconoscere un singolo byte!
Qualcuno con lo stesso problema, amici???
:-(((
;-)
Frank

...










Scusate, mi sono reso conto di avere sprecato il mio prezioso 
    tempo, nel trasferire nel NG, un messaggio pervenutomi da fonte attendibile 
    e non verificato per mancanza di tempo. La mia delusione sta nel constatare 
    
l'inutilita' degli interventi, 
che ha superato di gran 
    lunga, l'inutilita' dell'informazione. Grazie, comunque, a coloro che con 
    intelligenza hanno spiegato i motivi dell'infondatezza dell'avviso, e che a 
    parer mio sono le uniche persone la cui presenza nel NG risulta gradevole e 
    costruttiva. 


Ciao a tutti   Ennio


 



 wrote in message 7a4c9h$k2e$1...@nslave1.tin.it...


        ... e che a parer mio sono le uniche persone la cui presenza nel NG
risulta gradevole e costruttiva.
            Beh, mi auguro che tu non escluda a priori chi si è limitato a
tacere.... ;-)))))
            Ciao
            Corrado

...
Sicuramente Corrado, era rivolto solamente agli stupidi. Ciao  Ennio
