Newsgroup: it.cultura.single
Titolo: PFJDFMPF.EXE

Salve a tutti.
È già la seconda volta che mi arriva questo file (PFJDFMPF.EXE) allegato ad
una mail priva di address (credo via anonymizer).
Per il simpaticone:
Mi dispiace, ma ho un Mac e le stronzate .exe non possono danneggiare
minimamente il mio caro MacOs o il mio caro pinguino di nome Linux.
Se proprio vuoi divertirti col mio HD prova ad utilizzare qualche altro
mezzo, altrimenti sprechi solo i soldini per l'invio della posta... Un
suggerimento? Naaaa!!! Se sei bravo ci arrivi da solo (ne dubito alquanto).
Se ti becco... hack! hack! Ci faremo delle grasse risate...
Per tutti gli altri:
È arrivato anche a voi questo simpatico regalino per Natale?
Installo l'emulatore PC e poi vi faccio sapere cosa combina.
Ciao
Davide

 Installo l'emulatore PC e poi vi faccio sapere cosa combina.
a me non è arrivato nulla.
forse mi sbaglio ma dovresti verificare la data del tuo pc, potrebbe essere
non esatta.
saluti
achab

 non esatta.
E siamo gią due...
CIao, Maurizio

Installo l'emulatore PC e poi vi faccio sapere cosa combina.
Si, e' arrivato anche a me...
Per fortuna ho un bel salvagente (e pc), che mi ha impedito danni...
:-)
Vorrei sapere pure io da dove arriva!
CIAO
Lana

 Installo l'emulatore PC e poi vi faccio sapere cosa combina.
Sono molto curiosa, fammi sapere davvero.
Ciao :-)
--
Luana
---------------------------------------------------------------
UIN 17403231 (Solaris)
http://members.tripod.com/LuanaC
http://space.tin.it/arte/luanacar
-----------------------------------------------------------------
"Il piu' implacabile avversario e' colui la cui
fiducia e' stata tradita"

 a me non è arrivato nulla.
A me si. Due settimane fa circa, per 4 o 5 volte in due giorni, pero' non
ricordo se avesse questo nome. Potrebbe essere il virus Hybris? Qui c'e'
qualche informazione:
http://www.punto-informatico.it/p.asp?i=34225

   Anch'io ho un Mac, e non ho ricevuto il messaggio in questione. Però mi
sembra di riconoscere, nella successione delle P e delle F, una specie di
“firma”: quella di un rompiscatole (o più d'uno, la cosa è ancora da
stabilire) che ogni tanto fa irruzione nella chat italian di Icq
provocando problemi a tutti i convenuti del momento.
   Qualcuno ne sa qualcosa? Magari riusciamo a fare qualcosa?
   Saluti
   Auguri a tutti
   Guido

 una mail priva di address (credo via anonymizer).
Oggi è toccato a me, mi è anche arrivato ilNAVIDAD.EXE .
Intercettato e buttato.
saluti

 saluti
Che fortunello.... a me ne hanno mandato solo uno :(
dad

In UwL26.196045$
hk4.7...@news.infostrada.it
, Achab, 
ac...@iol.it
, il
28-12-2000 19:21 ha scritto:

Mi è giunto in questo istante: HKEBJIHK.EXE
...meno male, pensavo già di essere emarginato.
Dad

Oggi è toccato a me, mi è anche arrivato ilNAVIDAD.EXE .
Analisi dell'Internet Worm Navidad
(Future Time di Paolo Monti © 2000)
--------------------------------------------------------------------------------
 Si tratta di un nuovo Internet worm (i worm sono particolari tipi di
virus in grado di diffondersi attraverso network di computer) che usa
le e-mail come mezzo di diffusione, pilotando il client di posta
elettronica tramite MAPI (Messaging Application Programming
Interface). 
Il worm si presenta come allegato a una e-mail ed è costituito da un
file PE (Portable Executable) a 32-bit per Windows con nome
NAVIDAD.EXE. Quando viene attivato, il worm copia se stesso nella
cartella di sistema di Windows usando il nome WINSRVC.VXD e quindi
modifica il Registro allo scopo di venire seguito automaticamente dal
sistema in particolari condizioni. 
Il codice del worm però contiene un errore (bug) che gli impedisce
compiere tale operazione: quando modifica il Registro crea un
riferimento a se stesso usando il nome WINSRCV.EXE invece di
WINSRVC.VXD, quindi la copia del worm non verrà mai eseguita da
sistema. 
Le modifiche nel Registro interessano le seguenti chiavi: 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
Win32BaseServiceMOD = %SystemDir%\winsvrc.exe 
e
HKEY_CLASSES_ROOT\exefile\shell\open\command {Default} =
%SystemDir%\winsvrc.exe %1 %* 
dove %SystemDir% rappresenta la cartella di sistema di Windows. 
Il worm crea anche un'ulteriore chiave priva di valori: 
HKEY_CURRENT_USER\Software\Navidad
A causa dell'errore presente nel codice del worm il sistema infettato
non è più in grado di eseguire correttamente i file EXE (conseguenza
del valore impostato nella chiave
HKEY_CLASSES_ROOT\exefile\shell\open\command) e, quando si tenta di
lanciare un programma, Windows mostra un messaggio standard di errore.
Anche il programma di utilità REGEDIT, impiegato per
leggere/modificare il Registro, non può essere eseguito direttamente e
prima di poterlo usare è necessario rinominarlo in 
REGEDIT.COM
. Una
volta rinominato, REGEDIT può essere usato per modificare la chiave
HKEY_CLASSES_ROOT\exefile\shell\open\command che deve essere
 impostata al valore "%1" %* 
Quando viene eseguito il worm mostra anche una finestra con le
seguenti caratteristiche 
Titolo: Error 
Messaggio: UI
Il worm infine mostra nella "tray area" (la parte destra della barra
delle applicazioni) l'immagine di un occhio di colore blu. Se tale
immagine viene cliccata con il mouse il worm mostra sullo schermo
altri due messaggi: 
Nunca presionar este boton
Feliz Navidad Lamentablemente cayo en la tentacion y perdio su
computadora
---------------------------------------------------
Su 
www.avp.it
 e' possibile scaricare un programmino di
pochi Kb che ripulisce automaticamente il registro.
-- 
Bitless <bit...@HotPOPz.com>
 no "z" in the address above

 (Future Time di Paolo Monti © 2000)
Grazie :-))
Achab