Newsgroup: it.hobby.motociclismo
Titolo: ATTENZIONE AL POST DI RICCARDO TESTA!!!!

Non apritelo assolutamente , è il già noto e discusso VIRUS "HAPPY '99.EXE"
che crea bei danni al pc.
Luca-Ricciu Kawa600R (riparata al 70%)
--------------------------------
"Ma che fai fumi in montagna?"
"Vuoi mettere come si sente una Marlboro a 3000 mt."
da "ICorti" di A.G.G.
-------------------------------
luc...@tin.it

AIUUUUUUUTTOOOOOOOOOOO !!!!!!!!!
COMEEEEEEEEE POSSSSSOOOOOOOOOO FAAAAAAAREEEEEEEE!!!!!!!!!!!!!!!!!
IO NOOON LO SAPEEEEVOOOOOOOO
HO USATO VIRUS SCAN PRIMA DI APRIRLO E LUI
MI HA DETTO CHE ERA PULITOOOOOOO!!!!!!!!
COMEEEEEE CAZZZZZZOOOOOOOOO FAAAAAACIOOOOOOOO!!!!!!
AAAAAAAAIIIIIIUUUUUUUTOOOOOOOO!!!!!!!!!

AIUUUUUUUTTOOOOOOOOOOO !!!!!!!!!
Perdonatemi, so di essere O.T. e di violare altre 24375638540 regole
della netiquette, pero' qualcuno potrebbe gradire.
Riporto i dati del virus HAPPY99 e la soluzione
Spero altresi' di non violare copyright e simili.
***** Future Time di Paolo Monti © 1999 *****
 Questo è il primo, moderno Internet worm ("verme") conosciuto ad
essere scoperto "in the wild" (diffuso). Questo
 worm dei computer è una sorta di programma virus che per diffondersi
non infetta dei file ma invece usa come vettore
 le e-mail spedite via Internet, inserendo in allegato alle e-mail una
copia di se stesso.
 Il worm è stato spedito da qualcuno (forse il suo stesso autore) su
diversi server di notizie (Usenet newsgroups) nel
 gennaio 1999; in pochi giorni si è diffuso a macchia d'olio in Europa
e continua a diffondersi rapidamente.
 Il worm arriva agli utenti come allegato alle e-mail, nella forma di
un file eseguibile con il nome HAPPY99.EXE. Allo
 scopo di dissimulare la sua vera natura, quando viene eseguito il
worm mostra sullo schermo un simpatico effetto;
 dunque, si può affermare che presenta anche le caratteristiche
tipiche di un cavallo di troia.
 Nel corso dell'esecuzione, il worm si installa nel computer,
intercettando delle chiamate di sistema che gli consentono
 di monitorare l'invio di e-mail su Internet; quindi converte una
copia di se stesso come allegato binario alle e-mail che
 vengono spedite.
 Quando si installa, il worm modifica soltanto dei file che risiedono
nella cartella di sistema di Windows. In tale cartella
 crea i file SKA.EXE e SKA.DLL, copia il file WSOCK32.DLL nel file
WSOCK32.SKA e modifica la libreria
 originale WSOCK32.DLL allo scopo di intercettare l'invio di e-mail. 
 Rimozione e Protezione
 Se il worm viene identificato sul proprio sistema, la sua
eliminazione è semplice e non costituisce un problema. Basta
 cancellare i file SKA.EXE e SKA.DLL dalla cartella di sistema. E'
anche necessario ripristinare il file originale
 WSOCK32.DLL, cancellando il file WSOCK32.DLL modificato dal worm e
quindi rinominando il file
 WSOCK32.SKA in WSOCK32.DLL. Anche il file HAPPY99.EXE dovrebbe essere
localizzato e cancellato.
 Per proteggere il proprio computer da una nuova, possibile infezione
da parte del worm è sufficiente impostare gli
 attributi di sola lettura del file WSOCK32.DLL. Il worm, infatti, non
prevede alcuna gestione dell'attributo di sola
 lettura e quando tenta di modificare un file WSOCK32.DLL che possiede
tale attributo fallisce nell'operazione.
 Alcuni consigli
 Non aprire ed eseguire un eventuale file HAPPY99.EXE ricevuto in
allegato ad una o più e-mail. Anche se questo
 proviene da fonti di cui si ha fiducia. E' anche necessario ricordare
che i file prelevati da Internet possono sempre
 contenere del codice pericoloso, capace di infettare il proprio
computer, compromettere dei dati, inviare informazioni
 confidenziali su Internet o installare dei programmi-spia capaci di
monitorare il computer in remoto (backdoor). Quindi
 è sempre necessario prendere delle opportune precauzioni quando si
preleva ed installa del software ricevuto via
 e-mail.
 L'apertura di documenti Office con la protezione dai virus
disabilitata e l'esecuzione di programmi sono operazioni
 molto rischiose. E' necessario ricordare sempre questo principio ogni
volta che si trova un allegato nella propria posta
 elettronica.
 Dettagli tecnici
 Il worm si presenta come un file di nome HAPPY99.EXE, lungo
esattamente 10.000 byte.
 Il file possiede una struttura interna del tipo Portable Executable
(PE), ovvero è un programma a 32-bit per Windows.
 Il worm si installa in sistemi Win95/98 e continua a diffondersi
senza alcun problema. Invece, a causa di errore di
 programma (bug), sotto Windows NT non è capace di diffondersi.
 Il worm contiene delle stringhe di testo, alcune delle quali si
presentano in forma cifrata:
 Is it a virus, a worm, a trojan? MOUT-MOUT Hybrid (c) Spanska 1999.
 Happy New Year 1999 !!
 begin 644 Happy99.exe end
 \Ska.exe \liste.ska
 \wsock32.dll \Ska.dll \Ska.exe
 Quando il file HAPPY99.EXE viene eseguito, il worm copia se stesso
nella cartella di sistema di Windows con il
 nome SKA.EXE e crea nella stessa cartella il file SKA.DLL.
Quest'ultimo file è conservato in forma cifrata e
 compressa all'interno del file HAPPY99.EXE.
 Il worm duplica il file WSOCK32.DLL, usando il nome WSOCK32.SKA e
quindi modifica il file WSOCK32.DLL
 originale. Se il file WSOCK32.DLL è in uso da parte di qualche
applicativo e non può essere aperto in scrittura, il
 worm crea una nuova chiave nel Registro di sistema allo scopo di far
eseguire automaticamente il file SKA.EXE al
 prossimo riavvio di Windows:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce=SKA.EXE
 La modifica effettuata all'interno del file WSOCK32.DLL consiste
nella creazione di una routine di inizializzazione e
 nella redirezione di due funzioni esportate dalla libreria dinamica.
 La routine di inizializzazione è rappresentata da un ridotto numero
di istruzioni (202 byte). Essa viene salvata alla fine
 del sezione di codice presente in WSOCK32.DLL (la sezione ".text").
Il file WSOCK32.DLL possiede abbastanza
 spazio per l'aggiunta di tale codice e dunque la grandezza della DLL
non aumenta in seguito alla modifica operata dal
 worm. Quindi il worm modifica la "export table" della libreria
WSOCK32.DLL, in modo tale che le due funzioni
 "connect" e "send" puntino alla routine di inizializzazione del worm,
posta alla fine della sezione di codice presente nel
 file WSOCK32.DLL.
 Quando l'utente si collega ad Internet la libreria dinamica
WSOCK32.DLL viene attivata e il worm ha l'opportunità di
 intercettare due eventi: connessione e invio di dati. Il worm
monitorizza le porte 25 e 119, relative alla spedizione di
 e-mail (SMTP) e di "news" (NTTP). Quando individua una connessione
attiva su una di tali porte, il worm carica in
 memoria la libreria dinamica SKA.DLL che esporta due funzioni: "mail"
e "news". A seconda del numero di porta, il
 worm chiama una delle due routine, ma entrambe hanno la funzione di
creare un nuovo messaggio, di inserire in
 allegato il worm trattato con l'algoritmo UUENCODE e quindi di
spedire tale messaggio. Inoltre, il worm inserisce
 anche una sua particolare "firma" nell'intestazione dei messaggi
"infetti":
 X-Spanska: Yes
 Mentre spedisce i messaggi che contengono il worm allegato, il worm
memorizza l'indirizzo del ricevente nel file
 LISTE.SKA, anch'esso creato nella cartella di sistema di Windows.
Questo file può contenere fino ad un massimo di
 5KB di dati e fino a 200 indirizzi presso i quali sono stati spediti
dei messaggi aventi il worm in allegato.
--
Un lampeggio, Maurizio.
ICQ # 14670443, Kattivik
Monza, BMW K 100 RS 
BMW, BMW Ueber alles.
Per sapere COSA scrivere - 
http://www.geocities.com/TheTropics/6189/faq.htm
Per sapere COME scrivere - 
http://www.aspide.it/netiquette/

che crea bei danni al pc.
Ciao Ricciu......
...ma di quale dei postings stai parlando ???????
Dai qualche coordinata esatta !!!!!!!!!!!!!!!!!
ciaz!
Byez!
Frankie&Lattuga    ...Roma....pero' giro parecchio!!!!
At 250km/h you have no friends....but much fun!
to reply via e-mail remove *HARLEYSUCKS* from adress

Dai qualche coordinata esatta !!!!!!!!!!!!!!!!!
Ciao,
non so cosa sia successo ma ieri sera mentre scaricavo i messaggi è apparso
il messaggio di Riccardo Testa intitolato:
"[un po' OT?]  Assetto College... (per tutti quelli che non lo conoscono
lasciate perdere...)"
dallle dimensioni di 14KB!!! Dopodichè mi sono spariti tutti i vostri
messaggi e praticamente ho dovuto reimpostare tutto il NG scaricando la
bellezza di 4121 messaggi!!!:-((((
Ma il bello è che il sopracitato messaggio non c'è più, Boh!!!!
Cmq occhio ai messaggi oltre i 6/7 KB!!!!


 bellezza di 4121 messaggi!!!:-((((
A me non e' successo nulla, forse e' un prob tuo che coincide col suo 
post. Cmq da un controllo del mio PC risulta nulla non so che dire... :??
-- 
Ciao.
Mattia (Dr. Ogekuri) e Ruko Tatase (YZF Thundercat)
Treporti (VE)
SMS & CALL 03355614986 - ICQ # 17016193
---------------------------------------------------------
La castita' e' una virtu' che i preti si tramandano di padre in figlio :)
Togliete il maiuscolo per le risposte!!  Vaffanc##o agli spammer!!!!!!!

post. Cmq da un controllo del mio PC risulta nulla non so che dire... :??
Misteri della rete........!!!!
Luca-Ricciu Kawa600R (in riparazione)


GRAZIE GRAZIE GRAZIE ED ANCORA GRAZIE
Tutto risolto... Ora potete stare tranquilli (da me...)
Ancora grazie mille...
Ciao.
----------------==* oOo *==------------------
 // \\   | Riccardo Testa                    |  "Is there anybody
  ^|^    |           Imola - Italy               |      out there ?"
<--->  |                    
ric...@tin.it
     |   Pink Floyd, The Wall
----------------==* ;-) *==------------------


No no, nessun mistero.
Ricciu hai ragione...
Il messaggio che avevo inviato era infetto.
Ce ne siamo accorti in due (io e te).
Io poi ho subito chiesto l'annullamento al server...
Però non so cosa centra la sparizione dei tuoi messaggi...
Forse hai un anti-virus che se ne accorto e per cautela
ha eliminato tutti i messaggi...
Comunque io ora sono " a norma"... :)
Ciao e ringrazio ancora Maurizio.


Comunque io ora sono " a norma"... :)
Tutto è bene quel che finisce bene!!:-))))


Ma scusate, avete per caso eseguito il file allegato? Se sě, č ovio che
correte rischi, se no, come fa un virus ad infettarvi?? (o no?, da quello
che mi ricordo)
Thunder
Varese
RX 125 ripotenziata

che mi ricordo)
Corretto.
Solo che non tutti gli antivirus lo scoprono.
Il mio per esempio l' ha lasciato passare, memore poi di un paio di
mex che ho letto non l' ho aperto e ho cercato l' aggiornamento.
dopo l' aggiornamento non ho neppure fatto in tempo a ri-scaricarmi la
mail incriminata, che gia' Mc Afee si e' inca%%ato.


lasciate perdere...)"
si il messaggio c'era, addirittura alle 9,49 ha detto di non avere
mandato nulla e alle 9,52 ne ha mandato un altro.
Non lo fa' apposta, li replica il worm stesso.
pero' se tu non lo aprivi non succedeva nulla...   :-))))
Ciao
Mototopo

pero' se tu non lo aprivi non succedeva nulla...   :-))))
Ciao,
....pero' mi sembra che sto virus oltre a manfdare e-mail stronze non
faccia poi  molto...................
...piu che un virus direi che e' un giochetto sctupido !
