Newsgroup: it.hobby.motociclismo
Titolo: Virus di IHM

Da: Centro ricerche virali "McOrion"
A: NG IHM
    e p.c. 
Motot...@egroups.com
 
IHM...@egroups.com
Ogg.: Virus di IHM
Allora... molti utenti da quando frequentano questo NG hanno contratto un
Virus, me incluso.
Qualche volte ci arriva un messaggio vuoto con un allegato .exe con un nome
sempre variabile composto da varie lettere dell'alfabeto, maiuscole (es:
FGHFFSJ.exe et simili).
Anche non aprendo questo file ho scoperto che il nostro caro Outlook
permette al file di modificare qualcosina nel nostro HD.
Norton Antivirus 5 rileva il virus come W95.Hybris.Gen.dr senza fornire info
addizionali ma soprattutto senza riuscire a rimuoverlo dalla sua sede; sede
che appare essere la cartella nascosta _RESTORE che risiede su C:
Nella cartella C:_RESTORE/TEMP ho trovato vari file tipo A00xxxx.cpy e di
questi uno, con nome variabile da "disinfestazione" in "disinfestazione"
infettato con tale minaccia virale.
L'intera cartella è una nascosta di sistema e i file in essa contenuti sono
protettissimi. Dal DOS non conosco il comando per visualizzare e quindi
distruggere tali file ma d'altra parte questa cartella viene infettata ogni
volta che riceviamo quel maledetto file via e-mail.
La modalità provvisoria mi ha permesso comunque di non fare creare questa
cartella all'avvio (e quindi di eliminarla "d'ufficio") ma, come vi dicevo,
basta andare sul solito messaggio in "Posta in arrivo" di Outlook per
ricominciare daccapo con in nostro "amico".
Il sito Microsoft non sembra offrire patch e soluzioni a questo baco di
Outlook Express, di conseguenza, come più volte detto da varie persone sul
NG, la vera soluzione è liberarsi da Outlook Express (mi sa che Norton
Antivirus 15 (anno 2012) lo farà direttamente considerandolo un trojan
horse, eh eh) magari passando a Eudora o simili.
Note:
non sono ancora sicuro al 100% che il semplice clic sulla mail incriminata
sia sufficente ad autoinfettare il computer. In realtà credo che i prossimi
test mi dimostreranno che l'infezione avviene quando si clicca sulla
graffetta dell'allegato (quando, per intenderci, appare "Apri" oppure "Salva
su disco"). Quando si sceglie l'operazione da effettuare, quello è il
momento che Norton si attiva e segnala il virus... troppo tardi, pare.
L'allegato riesca comunque ad infettare la cartella _RESTORE
Come file infetto ho beccato anche un .scr (screen saver?) che aveva lo
stesso virus (arriva di tutto, via e-mail, eh?).
Se qualcuno ha Norton aggiornato e Eudora e vuole rischiare una prova sarò
felice di omaggiarlo di una copia del virus scopo test...
Se qualcuno ha conoscenze tecniche sulla cartella _RESTORE sarò felice di
essere aiutato nella ricerca di una soluzione comune al problema.
--
Clavicole a V
McOrion
prossimo Bandit 600 S "Sangria"



I messaggi multipli non sono inviati ne dal povero sempre incriminato
Outlook ne dal virus ma dal mio provider che sta facendo le bizze, stasera,
con le news :)
McOrion










Vabbe' essere antiM$, ma non esageriamo...:-)))
--
Gattestro

Anche per me è lo stesso, appena eseguito liveupdate di Norton Antivirus ed
effettuata scansione...niente per fortuna.
Certo che qualcuno che ha visto arrivare un mex senza mittente ha aperto il
file incriminato..quasi quasi se lo merita di beccarsi ER VIRUS
Saluti, Spike.


 effettuata scansione...niente per fortuna.
Scusa il tuo guardafuori crea dei problemi nella lettura del thread potresti
patcharlo per favore.
Ciao e grazie
Alpa & Camilla

 stesso virus (arriva di tutto, via e-mail, eh?).
Ma li apri tutti ????               ;-))
--
Lampeggi a V da
G. Piero.   CHIIII?????      >DUDI !     AAAHHHH!!!!
------------------------------------------
SUZUKI GSX 600 F Rossa Rossa
CMRN Y2K Gubbio; JARNO SAARINEN 2000 Petrignano; Abetone 2000; Winter Dinner
2000;
Motobefana PG 2001.
DUDI,  IL Database Ufficiale Di IHM:  
www.ihm.it
"Le tre cose piu' belle della vita sono due: la Moto"

Oddio, temo di essere ignorante in merito...potresti spiegarti meglio
porfovor?
Grazie e scusate se ho creato disagi
Spike
BMW R 1150 GS
Ferrara



Metti la "e" manualmente, funziona, o installi OE 5.5 è già pacciato
--
Pierpaolo
un milanese a Mori TN
Cagiva Elefant 350 ma non troppo
Un giorno vissuto senza pericolo, è un giorno non vissuto


Vorrei evidenziare l'esistenza di un software molto diffuso e non ancora
citato: Hand 1.1 Pro di Microsoft (corrispondente a Finger 5.1 di Lotus).
Questo tipo di applicativo rientra nella vasta gamma di programmi didattici
e trova la sua più frequente applicazione durante la fase di setup del
sistema, quando l'utente ancora inesperto necessita di un periodo di studio
delle periferiche. Talvolta il programma viene ancora utilizzato quando
Fidanzata 1.0 (o release successive) vengono installate senza tutte le
funzionalità.
L’ampia diffusione di questo programma e’ stata anche lo spunto per la
creazione di un gioco di ruolo: Must Disturb Action. Per sistemi molto
potenti e’ stato di recente creato Hand 2.1 (Finger 10.1). Da notare che in
zone dove l’informatica viene utilizzata su aree più vaste di applicazione,
il programma viene anche dotato del salva-schermo pecora.exe.
Uno dei fattori di successo di questo applicativo risiede senza dubbio nella
sua immunità ai virus, nella sua immediata disponibilità e nella assenza di
bachi. Questi fattori sono probabilmente dovuti alla solidità e alla
semplicità del software che tuttavia presenta funzionalità assai limitate.
Attenzione! Gli utenti che hanno sperimentato Fidanzata 1.0 (o release
successive) con tutte le funzionalità tendono a snobbare Hand, e sono
disposti a passare al pessimo Moglie 1.0 (o release successive).
Attenzione! Il programma pirata naia.exe e’ stato accusato di disinstallare
Fidanzata x.y a favore di Hand: pare si tratti di un caso di concorrenza
sleale tra case produttrici di software. Il funzionamento di naia.exe e’
assai bizzarro: disinstalla Fidanzata dal vostro PC e lo reinstalla sul PC
di qualcun altro.
Purtroppo l’applicativo Castità Belt e’ stato dichiarato fuorilegge e non
può essere usato per combattere naia.exe.
Attualmente esistono in commercio alcune soluzioni a questo barbaro caso di
pirateria ma sono difficili da reperire: Civil Service 1.0, Esubero 30.000 e
Esonerato 3.3. Di queste due soluzioni Civil Service 1.0 e Esubero 30.000
sono quelle raccomandate, infatti Esonerato 3.3 funziona solo su sistemi
fortemente danneggiati (amenoche non si disponga del simulatore di guasto
Raccomandato.exe).


 momento che Norton si attiva e segnala il virus... troppo tardi, pare.
Quando scegli cosa fare dell'allegato (cioe' aprire o salvare) outlook fa un
primo accesso al file (ma senza eseguirlo) e siccome l'antivirus intercetta
questi accessi per prevenire l'apertura di file infettati, da l'avvertimento
proprio in questa fase.
L'unica maniera x essere infettati e' quella di eseguire il file. STOP!
--
Starman
YZF 600 R Thundercat (in attesa di battesimo)
(in giro per la città dei Sassi)
0328/9184537
ICQ 56639503
Se ti senti abbastanza meridionale iscriviti a IHM-Sud
inviando una mail a: 
ihm-sud-...@egroups.com

citato: Hand 1.1 Pro di Microsoft 
ROTFL :DDDDDD
--
Matteo "Funky" Cuzzolin
Honda "Roxanne" Hornet6Cento Blu
Bafangulatore Nr.007
Icciqu' : 33834124
http://welcome.to/thefunkysite
 (con i lavori in corso)

Qualche volte ci arriva un messaggio vuoto con un allegato .exe con un nome
basta non aprirlo e al tuo PC non succedera' MAI nulla!
MaxMax
Plexi Blu

 basta non aprirlo e al tuo PC non succedera' MAI nulla!
č per quello che il tuo cervello non č mai stato usato??
hai paura che si danneggi??
--
StuntSam su Vadavvero 'Esmeraldo' e Hamburgmann 250 'Pendolino'
Toscanaccio, NID, MFC #002, Bafangulatore Ufficiale
ICQ 35277033 - 
http://members.xoom.it/thahome
 - Merate LC

hai paura che si danneggi??
Se tu usassi il tuo cervello o il tuo pisello come io uso il mio cervello ti
avrebbero gia' preso fuoco!
MaxMax
Plexi Blu

 avrebbero gia' preso fuoco!
autocombustione x inutilizzo???
tremendooooooooooooooooooooooooooooooo!!!!
--
StuntSam su Vadavvero 'Esmeraldo' e Hamburgmann 250 'Pendolino'
Toscanaccio, NID, MFC #002, Bafangulatore Ufficiale
ICQ 35277033 - 
http://go.to/samuele
 - Merate LC

 assolutamente fare nulla sul nostro HD.
Spiacente se non sono cazzate. Basta SALVARE L'ALLEGATO per infettare un
file dentro _RESTORE.
Ovviamente vorrei che qualcun altro con discrete conoscenze tecniche
svolgesse qualche test con me.
La mia (discreta) esperienza virus me la sono fatta su Amiga, computer con
il quale di tanto intanto mi infettavo apposta per divertirmi a eliminare le
infezioni... si, nei tempi del declino Amiga non c'erano altri passatempi :)
Ricordo quella volta che beccai un virus bastardissimo che
contemporaneamente stava in ram e su disco... se cancellavi il file
immediatamente la versione in ram lo ricreava e se pulivi la ram con
l'antivirus il file la reinfettava... che lotta magnifica!!! Divertenti come
quello non ne ho beccati più :)
McOrion

Risultati di tutti i test sul virus incriminato.
All'arrivo della mail OVVIAMENTE se lanciate l'eseguibile il computer si
infetta.
Se però vi limitate a salvare sul desktop l'allegato, è vero che Norton lo
rileva e lo potete cancellare ma è anche vero che immediatamente mi si
infetta il file dentro _RESTORE.
Il file infettato è uno dei tanti .cpy creati da WinAmp (probabilmente il
virus va a cercarsi questi file che non possono essere cancellati se non da
DOS in quanto in una cartella di sistema protetta e blindata, se non
trovasse quelli di WinAmp troverebbe quelli di un altro programma).
Per cancellare i file infetti è sufficente riavviare il computer in modalità
DOS. Le directory nascoste sono visibili con il comando DIR /AH e quidni è
facile arrivare ai file infetti per un bel DEL *.* o DEL *.cpy ... o se
proprio non volete rischiare nulla DEL fileinfetto.cpy (cpy o altra
estensione... non so, pare che sul mio comp abbia una passione per i .cpy).
Siccome a scopo test mi sono reinfettato con questa modalità adesso vi
lascio per riavviare e riapplicare il tutto :)
Tranquilli, quando manderò questo messaggio sarò di nuovo pulito e
fiammante.
McOrion

Raga, ho installato il patch che Alpa mi ha suggerito...non so se la
procedura č stata eseguita correttamente..che dite, problema risolto o č
ancora tutto come prima?
Ciauz!
Spike
Bmw R 1150 GS
Ferrara


Sembra tutto OK :-))
Ciao
Alpa & Camilla (sotto la neve :-<  )

avrebbero gia' preso fuoco!
Ecco un motociclista serio.
USA il cervello quando ACCENDE la moto.
--
Un amico è uno che sa tutto di te e nonostante tutto gli piaci.
Un lampeggio, Maurizio, Monza. ICQ # 14670443
BMW K 1100 RS "Mysty" GFC#4, SFC, club PPCSP
Il cardano logora chi non ce l' ha !

 Ma li apri tutti ????               ;-))
Mi sa che ha la finestra di anteprima messaggio attivata... :-/
Ciao!
Pietro

 assolutamente fare nulla sul nostro HD.
Se la finestra di anteprima messaggio e' attiva il programma viene lanciato
eccome! ;))) Disabilitate quell'opzione e sarete in una botte di latta (di
ferro mi sembra eccessivo).
Ciao!
Pietro

 eccome! ;)))
Ma sei sicuro? Se metti un EXE in allegato non viene lanciato quando
visualizzi l'anteprima.
Nell'anteprima vengono aperti sono i file di immagine (GIF, JPEG ecc.)


 Ma sei sicuro?
Prova!
Ciao!
Pietro
P.S.: (colpa del mime)

 assolutamente fare nulla sul nostro HD.
E sai invece che anche io lo speravo ma poi ho letto di bachi di
Outlook che permettono l'esecuzione di codice anche solo facendo una
bella anteprima?
Zamponi, se ci sta leggendo, senza dubbio ne sa + di me
Ciao
Meno Multinazionali 
e più forni a legna

Ecco un motociclista serio.
Serio??
Aho'! Che fai? Offendi???
Va che ti Bafangulo!!!
;-PPP
Ciaxxxxxxxxxxx
Max -  Segretario ufficiale del BAFANGULATORE!
Plexi BLU
ICQ : 32641674
Milano - 
m...@elettrodata.it

 Prova!
Io posso dirti che con l'anteprima attivata l'eseguibile non mi viene 
eseguito. 
Solamente quando ho provato ad estrarlo (sapevo che era un virus ma sono 
curioso) il pc-cillin mi ha avvertito e non mi ha permesso di estrarlo.
Poi magari dipende dalla versione di OE. Io ho la 5.50.4133.2400
-- 
 __   __  ___   Ciao a tutti !!!!!!     
|  | |  |/ __|  Lis (Cernusco sul Naviglio - MI)
|  |_|  |\__ \  Honda CB500 Red "Rombo di tuono"
|____|__||___/  ICQ #73176037   

 estensione... non so, pare che sul mio comp abbia una passione per i .cpy).
Che bisogno c'è di riavviare il computer in modalità dos ?? Se la 
directory è semplicemente nascosta, puoi entrarci anche da un Prompt di 
Ms-dos ed entrarci "cd xxxxx". Anche se è nascosta, non importa. O forse 
c'è qualcosa che mi sfugge........  ;-)


 bella anteprima?
Esegue l'HTML e gli script !!!!!
Ma gli script possono operare sul nostro HD ???????
Boh..
Andrea

 Ma gli script possono operare sul nostro HD ???????
e xchč non potrebbero???


 StuntSam su Vadavvero 'Esmeraldo' e Hamburgmann 250 'Pendolino'
ad maiora   Paolo

 e xchč non potrebbero???
Ma tu parli per conoscenza opp per supposizioni ?
Io non conosco Javascript e simili, pero' mi ero un po' interessato e mi
sembra che ,in tutti quei linguaggi che vengono interpretati e eseguiti sul
pc dell'utente, non esistano comandi per operare sull'HD.
Anche vero che un bravo programmatore con sotto 2 @@ cosi', potrebbe crearsi
nuovi comand................................  naaaaaaaaaa: l'interprete del
linguaggio rimane sempre il browser dell'utente....!
Mah.......  io non me ne intendo, ma credo che i virus possano essere
diffusi via e-mail solo come allegato (che poi l'utente deve "maneggiare")
oppure la mail deve essere aperta stando ON-line.
*Credo*.  IMHO.
Andrea

 oppure la mail deve essere aperta stando ON-line.
no... una volta scaricata la mail.. portasega se sei on o off


   se magari li dirotti su notepad.exe evitano di fare danni... :)
?
devono essere i postumi di ieri
non ho capito una sega :))
--
StuntSam su Vadavvero 'Esmeraldo' e Hamburgmann 250 'Pendolino'



.........
Intendevi dire , che sono i postumi di una vita , vero ???
:-))))))
Anche io ho un "leggero cerchio" alla testa :-|
:-)
Ciao da Titty e Pace , membro MFC tessera n° 003
.............................................................
Su  HD Dyna Wide Glide 1450 nera nera
YAMAHA XJR 1300 SP 1999 ...messa da panico ...ancora per poco !
-------------------------------------------------------------
http://www.ihm.it/Pagine/Rossi&Meloni-House.html
Conoscersi ..è il miglior modo per poter giudicare

 permettono di aprire files, lanciare applicazioni, ecc...
Ma non hanno funzioni a *basso livello*!!!
JS e VBS non sono mica come l'assembler !!!
Quindi e' necessario che lancino in esecuzione un secondo programma che
sara' un .exe o (piu' probabile) un .com  creato in assembler.
Dove puo' essere questo secondo programma ?
O su Internet ,   e quindi e' necessario essere ancora ON-line per essere
recuperato..
O in allegato,   ma JS e VBS  possono eseguire i programmi allegati ???????
E questa ultima e' la domanda chiave di tutto!!!
Andrea

 Ma non hanno funzioni a *basso livello*!!!
Non sono necessarie.
Ciao!
Pietro

 O in allegato,   ma JS e VBS  possono eseguire i programmi allegati
???????
mmm... non saprei
vado a rigor di logica... SI'


 Ms-dos ed entrarci "cd xxxxx
Si, ma non puoi "operare" sui file, ad esempio cancellandoli. E a me serviva
proprio cancellarli!
Ciao!
McOrion

 McOrion


Ma scusate, non c'è modo di beccare lo str@+#o che manda 'sti virus???
E' il secondo giorno di fila che me ne arriva uno da questo individuo
Received: from 
smtp2.libero.it
 (193.70.192.52) by 
hurricane3e-ha.libero.it
;
20 Jan 2001 12:29:52 +0100
Received: from oemcomputer (212.216.85.34) by 
smtp2.libero.it
 (5.5.015.5)
        id 3A5365A600B58CFA for 
l.cav...@libero.it
; Sat, 20 Jan 2001
12:29:46 +0100
Chi ne sa di queste cose, sempre che ci sia qualcuno che ne capisce, FACCIA
QUALCOSAAAA PLEASE!!!


 E' il secondo giorno di fila che me ne arriva uno da questo individuo
Probabilmente non sa di avere il virus...
McOrion


ABSOLUTELY NOT !!!  :-))
Solo gli scripts vengono eseguiti, non gli exe (a meno di non lanciarli a
manina).
Non mi risulta, ma potrei sbagliare, che uno script possa lanciare un .EXE
allegato.
--
Gattestro

 > E' il secondo giorno di fila che me ne arriva uno da questo individuo
Vediamo di fare un po` di chiarezza:
Il virus che si sta aggirando per Internet al momento attuale e` uno dei
piu` pericolosi.
Seguite questo test e se rispondete affermativo ad almeno una delle domande
ve lo siete beccati!
1) Vi arrivano e-mail anonime senza Subject o Mittente ma con solo allegato
un file .EXE dal nome indecifrabile???
2) Lo avete fatto partire per vedere (stupidamente) se era l'ultimo film
porno di Ambra?
3) Trovate che la connessione ad Internet sia rallentata negli ultimi tempi
e che il sito della Ducati vi dica di essere andato in vacanza??
4) Seriamente: Andate su Start...Trova....File o cartelle. Nel campo ricerca
scrivete 'mtx' senza le apici e selezionate di scansionare tutte le unita`
disco fisso (C:). Se non esce fuori niente vuol dire che non avete eseguito
il file .EXE contenuto nell'e-mail anonime, se invece vi appaiono dei file
SIETE SPACCIATI AH AH AH. Avete eseguito il file .EXE e dovete
necessariamente formattare l'hard disk e cancellare TUTTI i programmi
eseguibili del vostro pc: NESSUNO ESCLUSO!!!!!
Fidatevi di me e se prima di formattare il vostro hd volete sapere qualcosa
di piu`contattatemi per e-mail che qui sto facendo un' OT che passera` alla
storia!
--
Vieri&Lulu` (Bandit 600N Blue '00)
0338/1520457
http://chojin.firenze.net

 disco fisso (C:).
Calma, calma, buonino buonino !!!
Io ne ho 6, 3 su windows e 3 su windows/temp con lo stesso nome, e sembra
siano li' dal 98 e siano dello scanner. IO ricevo i virus ma non ho mai
aperto e mandato in esecuzione nulla ed il pc va benissimo.
Inoltre ho altri files che INIZIANO per mtx, ma anche loro sembrano innocui.
I virus li ricevo da settimane, e non ho notato malfunzionamenti di sorta.
Ho windows Me.
Ma a proposito, Vieri, e quella sorpresa su CD promessa a tutti noi per
Natale ?????
--
Lampeggi a V da
G. Piero.   CHIIII?????      >DUDI !     AAAHHHH!!!!
------------------------------------------
SUZUKI GSX 600 F Rossa Rossa
CMRN Y2K Gubbio; JARNO SAARINEN 2000 Petrignano; Abetone 2000; Winter Dinner
2000;
Motobefana PG 2001.
DUDI,  IL Database Ufficiale Di IHM:  
www.ihm.it
"Le tre cose piu' belle della vita sono due: la Moto"

 E' il secondo giorno di fila che me ne arriva uno da questo individuo
Ma come ti arriva????????????
Ti arriva una e-mail con un .EXE allegato ????????
Andrea

 E questa ultima e' la domanda chiave di tutto!!!
Per chi voleva informazioni su virus e html, direttamente dal sito
dell'antivirus AVP
(
www.avp.ch
) un estratto relativo a blebla aka Romeo and Juliet:
I-Worm.Blebla
This is a worm virus spreading via the Internet. It was discovered in Poland
on November 16 2000. The worm arrives as an email message in HTML format
containing two attached files: MYJULIET.CHM and MYROMEO.EXE.
When the infected message is opened, the HTML part of it is executed. That
part contains a script program that is automatically activated by Windows.
By using a vulnerability in Windows scripting the script program loads and
activates the CHM component of the message (the MYJULIET.CHM file). That CHM
component is a Compressed HTML page itself and contains one more script
program in it. That second script executes the MYROMEO.EXE file - the main
worm body.
So, the worm activates itself automatically when an infected message is
being opened or previewed. To activate itself the worm uses a vulnerability
in Windows scripting security: the worm HTML component is able to run the
EXE component by a method that is listed in "safe scripting", so no warning
messages are displayed when the worm runs its components (under default
Windows settings).
The main worm component (MYROMEO.EXE file) is a Windows PE executable file
about 30Kb of length. This file is compressed by the UPX compression
utility. When unpacked it appears to be a 70Kb EXE file written in Delphi,
the "pure" code in the file occupies just about 6Kb.
When it is run, it opens the Windows Address Book, reads Email addresses
from there and sends its HTML message with attached CHM and EXE files to
those addresse.

 I-Worm.Blebla
Ottime info thanx
Il virus che pero' sta circolando tra gli IHMisti non e' questo.
Questa documentazione dimostra che quello che molti affermavano riguardo al
caricamento in memoria di un virus gia' dall'anteprima di Outlook, e'
ASSOLUTAMENTE VERO purtroppo.
Non e' pero' il caso del nostro virus, perche' che non viaggia in mail con
testo in HTML e l'anteprima quindi non ha nessuno script da eseguire.



Se, e solo se, mantieni l'esecuzione automatica degli script.
Se la disabiliti o la metti in "prompt" OE ti chiede se vuoi lanciarlo, tu
rispondi di no e ti salvi il culetto (e i files)  :-)
--
Gattestro

 rispondi di no e ti salvi il culetto (e i files)  :-)
Nelle opzioni non l'ho trovato....  forse sono io cieco.
Dove si trova la possibilita' di non avviare gli script?
Andrea

 wrote in message
news:94m8nq$dpl7k$1...@ID-64434.news.dfncis.de...

Nei settings di IE (Tools --> Internet Options --> Security --> Custom
Level) che sono utilizzati anche da OE.
Puoi disabilitarli o metterli a richiesta.
La seconda opzione e' un po' una rottura di palle (ogni volta che un
sito/mail lancia uno script ti mostra la finestrella che ti chiede se vuoi
eseguirlo) ma ti permette di lanciare gli script quando e dove vuoi tu.
--
Gattestro

 Natale ?????
Gia`! Mancanza tempo e` rimasta in sospeso la programmazione
dell'interfaccia grafica.
Dovete scusarmi ma Dicembre e` il mese piu` distruttivo per i negozi di
Infomatica.
Mi faro` perdonare, prima o poi....
Intanto perche` non fare una bella uscita Sabato o Domanica?
Sam???? Ho da fare il 2o tagliando!!!! Da 4.700 devo arrivare a 6.000. Mi
aiuti te???
Sono disposto a tutto tranne sabbia, ghiaccio e sputerone. :))))
Fammi sapere.
Lampos,
