Newsgroup: it.hobby.enigmi
Titolo: [OT] Virus ACTUNG!

Alcuni amici mi segnalano di ricevere un virus da un account a nome
*
livio...@tin.it
*. Non ho un tale account, ma a scanso di problemi
ulteriori ho chiuso tutti i programmi di posta e invio questo OT in rete
usando la pagina web di iol. Non ho inviato volontariamente nessun
messaggio personale ai frequentatori di questo NG da almeno 10 giorni.
Quindi se ricevete un messaggio a nome mio, massima prudenza!
Il virus
segnalato pare relativamente nuovo, assai pericoloso e si replica
attraverso i messaggi di posta elettronica.
Il nome di tale virus č
BADTRANS ed arriva attraverso un messaggio e-mail il cui oggetto
normalmente č:
"Re:"
Il virus č contenuto nel file allegato al messaggio
di posta che puň avere 
uno dei seguenti nomi (ma anche altri, sulla
falsariga):
Card.pif
docs.scr
fun.pif
hamster.ZIP.scr
Humor.TXT.pif
images.pif
New_Napster_Site.DOC.scr
news_doc.scr
Me_nude.AVI.pif
Pics.ZIP.scr
README.TXT.pif
s3msong.MP3.pif
searchURL.scr
SETUP.pif
Sorry_about_yesterday.DOC.pif
YOU_are_FAT!.TXT.pif
Pare (ma non sono
sicuro) che la cancellazione del messaggio su IE o l'invio di posta normale
attivi il virus verso qualcuno di quelli che vi ha scritto almeno una
volta.
Se ne sapro' di piu' vi informero'.
Livio  :o(
livio...@tiscalinet.it
  [e-mail certamente pulita (per ora)]
--------------------------------
Inviato via 
http://usenet.iol.it

Anche a me è arrivata una mail da "
livio...@tin.it
", con oggetto però
Re: da SPIONE a DAVIDE, oggetto che poteva indurmi in tentazine perchè
tempo fa ti inviai una mail dal titolo da SPIONE a DAVIDE (alla quale tu,
peraltro mi rispondesti).
Non l'ho aperta (mi sembrava strana questa cosa,
data la "data") e oggi ti avrei scritto una mail di conferma (non apro mai
nulla che non so mi debba arrivare).
Questo è tutto.
Ciao, 
nOPOSYS


>...


Questo è tutto.
Non puo' che
essere partito dal mio PC, non c'e' dubbio.
Questa nuova variante
BADTRANS_B e' subdola al quadrato. Sfrutta l'archivio dei vecchi messaggi
per mandarne dei nuovi. Passa un antivirus comunque. 
Livio /o(


Vi segnalo qualcosa di interessante.
http://www.avp.it/text/badtrans.htm
Ciao


 debba arrivare). Questo è tutto.
Nel caso mio è stato OE a darmi un messaggio di attenzione che mi ha
insospettito, sospetto aggravato dalla doppia estensione del nome
dell'allegato.
Un saluto.
Gianni
PS: Aderite compatti al Luigino Fans Club (n° 71 aderenti, finora)
--
Socio fondatore del Luigino Fans Club. Tessera n° 0001
Inaugurata una nuova e luminosa era di libertà: finalmente
giudicati e pregiudicati giudicano i giudici.  ;-))

dell'allegato.
Nel caso di versioni di Internet Explorer 5.0 e relativo
OE le normali precauzioni possono non bastare. Il *.*.pif si autolancia
all'eliminazione del massaggio. (!)
Se siete contaminati, tutto cio' che
digitate viene spedito ad un mail-post di un gruppo di hakers. Sono in
pericolo conti corrrenti, account borsistici e carte di credito. Non voglio
fare terrorismo informatico, ma a me sembra una cosa molto seria. Il
livello tecnologico del virus e' massimo.
Livio :o(


Ciao
Grazie, quella pagina e' preziosa.
Io ho eliminato il virus dal mio PC
(Win98) cosi':
Sono andato qua:
http://av.zdnet.it/
e ho scaricato
e lanciato l'Antivirus Online di ZDNet. Questo permette di eliminare tutti
i files infetti eccetto KERNEL32.EXE e KDLL.DLL, perche' vengono protetti
dal sistema operativo stesso.
Allora ho ribootstrappato il dischetto di
Setup di Win98 e in DOS li ho killati:
C:\
cd WINDOWS\SYSTEM
del
KERNEL32.EXE 
del KDLL.DLL
Livio  :o)))


"Re:"
E' arrivato anche a me, ma l'antivirus aggiornatissimo lo dovrebbe
aver bloccato. Proveniva da 
ok...@inwind.it
. Fulvio, attento!
Non credo che, a questo punto, da me parta qualcosa, ma se non fosse
cosě, avvertitemi. Io ho anche cercato KDLL.DLL e Kernel32.exe con la
funzione "trova", ma mi dice che non ci sono. Posso stare tranquillo?
Ciao a tutti,
margravio.


http://av.zdnet.it/


Beh io il
virus me lo sono beccato in pieno :-(. Non chiedetemi come ho fatto perchè
mi sto ancora dando dello scemo da solo ;-).
Me ne sono accorto perchè
dalla'identità principale di OE sono partiti automaticamente messaggi
"strani"  e di conseguanza ho ricevuto varie risposte che mi segnalavano la
presenza di virus.
In uno di questi messaggi c'era nache la spiegazione di
come fare a disattivarlo:
Il messaggio diceva:
Attenzione, 
abbiamo
ricevuto un messaggio infetto
da virus "worm_badtrans_B" dal suo indirizzo
di posta
elettronica.
 
Il messaggio, infetto, è stato immediatamente
cancellato
e non ci è stato possibile leggerlo.
 
Il virus non provoca
danni al pc ed ai programmi su di
esso installati, tuttavia, si
autoreplica all'infinito a tutti
i mittenti dei messaggi archiviati su
outlook express.
 
Occorre percio' debellare il virus al piu' presto al
fine
di evitare un incontrollabile sua diffusione.
 
1) Se si dispone di
antivirus fare un aggiornamento
e poi eseguire una scansione completa del
sistema,
il virus dovrebbe così essere facilmente debellato
 
2) Andare
nella directory windows/system 
 
- cercare il file cp_25389.nls ed
eliminarlo
- cliccare su Start > Esegui e scrivere regedit, premere invio
e si apre il reg. config. sist.
- aprire la cartella :
hkey_local_machine>Software>Microsoft>Windows>CurrentVersion>RunOnce
- nel
pannello di destra si trova un valore : kernel32
- cliccarci sopra e
cancellare talevalore valore
- riavviare il pc
 
Io ho eseguito questa
procedura e al quarto o quinto tentativo sembra che il virus sia stato
eliminato. Dico sembra , perchè i due files "cp_25389.nls" e  "kernel132"
ora non ci sono più, mentre prima dopo aver riavviato il PC me li ritrovavo
ancora al loro posto. 
In effetti ora sembra tutto a posto, ma vorrei
chiedere a voi che siete più esperti di me: posso star tranquillo o non è
detto che il virus sia stato eliminato?
Grazie e scusate 
Luca


In effetti ora sembra tutto a posto, ma vorrei chiedere a voi che siete
più esperti di me: posso star tranquillo o non è detto che il virus sia
stato eliminato?
Non ho capito se hai anche passato un antivirus
aggiornato. Se no, IMHO potrebbero esserci ancora dei *.*.pif mutanti di
nome. Chi non ha altri antivirus, puo' usare questo online gratis:
http://av.zdnet.it/
Ciao!
Livio


 margravio.
A me č arrivato da Livio Zucca, ma Norton mi ha avvertito subito
e non ho aperto l'allegato.
Poi l'ho eliminato.
La scansione non mi da' virus presenti attualmente.
Per ora non so che altro fare.
Domani sera faro' fare un controllo piů approfondito.
Ciao
Ida

 e ho scaricato
Anch'io sono andato là, ma non sono proprio riuscito a trovare il modo per
scaricare qualcosa. I link mi rimandavano da una pagina all'altra, senza
alcun costrutto.
Ma bisogna iscriversi a qualcosa?


Ma bisogna iscriversi a
qualcosa?
No, anche senza iscriversi, hai l'antivirus online.
Sulla
pagina principale, clicca *Ricerca e rimozione dei virus*
La prima volta
viene scaricato un applet che tu devi consentire.
Dopo puoi usare la
finestra centrale per scegliere il disco o la porzione di disco da
controllare. (Se cio' non succedesse, verifica di non avere qualche
funzione disabilitata su IE, ad es. Java).
Ciao!
Livio
PS.: sui NG
di informatica ormai siamo ai quintali di badtrans!!!


 *
livio...@tin.it
*.
Fatti una bella scansione antivirus.
Non centra che tu utilizzi o meno posta elettronica o news. Se hai un virus
basta essere connessi a mandare la mail ci pensa il virus ( API RULEZ)
--
T¤¶¿µ¤ vi presenta: 
http://www.amiciamici.com
                Da sempre amici
http://www.amiciamici.com/bedonia
  Bedonia, la perla della Val Taro
http://www.amiciamici.com/bedoo
      La directory web
http://www.amiciamici.com/dreams
      Le tue celebrità

 funzione disabilitata su IE, ad es. Java).
Grazie. Avevo chiuso l'applet, scambiandolo per una di quelle fastidiose
finestre che ti vengono propinate su quasi tutti i siti.
Ho fatto uno scan completo è sono risultato candido e pulito come ....
Previti e Berlusconi.  Come dici? Che allora debbo preoccuparmi? No,
scherzavo... tutto OK. L'avviso di Outlook funziona egregiamente.
Un saluto.
Gianni
 PS: Aderite compatti al Luigino Fans Club (n° 72 aderenti, finora)


 scherzavo... tutto OK. L'avviso di Outlook funziona egregiamente.
Anch'io risulto pulito a tutti i virus-scan che ho provato. Ho anche
caricato la versione 6.0 di IE.
Ma allora come mai, anche se visualizzo una pagina di HTML pura
che conosco, come ad es. una delle mie, e non clicco niente e tengo
d'occhio i lampadini del traffico di rete in basso a destra, li vedo
che ogni tanto balugginano? Chi sta interrogando il mio PC?
Qui c'e' puzza di bruciato, di Grande Fratello. Qui Bill ci cova.
Abbidubbi  :o)
Livio

Ciao a tutti, sono purtroppo ancora di fretta e di
passaggio, comunque vorrei avvisarvi che il virus badtrans
pare sia veramente duretto da snidare: A quest' indirizzo
 
http://housecall.antivirus.com/housecall/start_corp.asp
mi pare che l' antivirus online sia sempre stato ottimo ed
aggiornato, eppure ieri sera mi ha dato negativo al
controllo, invece il mio "Inoculate" (che purtroppo credo
non venga piu' distribuito gratuitamente come un tempo, ma
gli aggiornamenti sono per fortuna puntuali) al primo colpo
ha beccato il worm ed il trojan.
Non convinto ho comunque cestinato ed eliminato sia il
cp_25389.nls che l' intera cartella di sistema col kernel 32
per poi reinstallare subito Windows 98, mi pare che tutto
funzioni, tra l' altro un' azione del virus era di spedire
la SUA posta ed immediatamente dopo disconnettersi da
internet, ho dovuto adottare il trucco di inviare un file da
un mega per poter tenere su la connessione e scaricare
lentissimamente l' aggiornamento dell' antivirus ....
ciao un salutone a tutti.
fulvio

Ciao a tutti,
vi segnalo il sito della Symantec (quella del Norton Antivirus, per 
intenderci), dove si trovano tutte le informazioni su questo famigerato 
W32.Badtrans.B@mm (vorrei tanto sapere chi da' nomi ai virus!)
http://securityresponse.symantec.com/avcenter/venc/data/w32.bad...@mm.html
In bocca al lupo ai contagiati e contagiandi!
Dade :)


Con cautela, direi che non c'e' nulla di strano, una volta collegato al
server , anche senza far niente (senza aprire nulla) dovrebbero cmq
lampeggiare ogni tanto, per mantenere in vita la connessione.
Detto questo, bisogna sempre ricordarsi che quando si è collegati ad
Internet non si è invisibili.
Basta scaricarsi un firewall per accorgersi che rimanendo collegati per un
paio d'ore non è poi così strano vedere utenti sconosciuti che tentano
accessi al proprio pc. A volte sono gli stessi server che tentano di
conoscere tipo del SO, versione, lingua, ecc.
La realtà è che molti (non solo la Microsoft) bene o male tentano di spiarci
e stranamente, mentre le grandi case sono controllate da molti sospettosi, è
più facile che ne approfittino i più piccoli.
E poi, se fossi la MS, mica mi metterei a far lampeggiare i led quando invio
dati segreti, visto che i programmi li ho fatti io mi guarderei bene dal far
vedere qualcosa, o no ?