Newsgroup: it.istruzione.scuola
Titolo: Virus SoBig

sapete come eliminarlo oppure come vedere se è presente nel sistema?


http://www.symantec.com/avcenter/venc/data/w32.s...@mm.removal.tool.html

 >
Dal sito del
 
Centro Nazionale per l Informatica
nella Pubblica Amministrazione
http://www.cnipa.gov.it/
PROGETTO SICUREZZA INFORMATICA
COMUNICAZIONE DI ALLERTA
oggetto: VIRUS INFORMATICO  SOBIG 
È in fase di celere diffusione un nuovo virus informatico di classe
 worm  denominato SOBIG o più compiutamente W32/Sobig.f@MM o
WORM_SOBIG_F.
Già ampiamente rilevato negli USA, dove ha tra l altro bloccato i
sistemi di controllo della rete ferroviaria di ben 23 Stati, è destinato
a colpire anche in Italia mediante comuni messaggi di posta elettronica.
Le prime azioni da intraprendere sono:
ð	verificare la data di aggiornamento del proprio software
antivirus,
ð	prendere contatti con il fornitore per accertarsi
dell adeguatezza del software attualmente in uso,
ð	installare eventualmente la versione più recente
dell antivirus,
ð	non aprire messaggi che contengano allegati sospetti,
ð	evitare di fare clic con il mouse sui file allegati di messaggi
già aperti e il cui nome rientri tra quelli che normalmente identificano
la sorgente dell infezione (vedi più avanti  Come si
riconosce ).
CARATTERISTICHE
Si tratta di un virus scritto in linguaggio MVSC che
ð	si propaga via mail: genera messaggi uscenti utilizzando un
proprio motore SMTP
ð	si diffonderebbe anche su reti condivise
Al fine di non essere rilevato automaticamente da possibili filtri dei
server di posta (che potrebbero escludere l ingresso di file
aventi una precisa dimensione), il worm trasporta informazioni prive di
senso (in quantità variabile di volta in volta) accodate alla fine del
file infetto, in modo da renderlo non identificabile con i normali
sistemi di check. Il file originario è di 72295 bytes.
COME SI RICONOSCE
Il virus è veicolato da messaggi e-mail il cui oggetto può essere uno
dei seguenti:
ð	Re: Approved 
ð	Re: Details 
ð	Re: Re: My details
ð	Re: Thank you!
ð	Re: That movie
ð	Re: Wicked screensaver
ð	Re: Your application
ð	Thank you!
ð	Your details
Il corpo del messaggio è normalmente uno dei seguenti:
ð	Please see the attached file for details.
ð	See the attached file for details
Il file in allegato (attachment) è scelto a caso tra
ð	 application.pif 
ð	 details.pif 
ð	 document_9446.pif 
ð	 document_all.pif 
ð	 movie0045.pif 
ð	 thank_you.pif 
ð	 wicked_scr.scr 
ð	 your_details.pif 
ð	 your_document.pif 
Il mittente del messaggio può essere un qualunque indirizzo estratto da
uno dei computer vittima e pertanto la mail può sembrare provenire da un
normale interlocutore.
COME SI INSTALLA SUL COMPUTER VITTIMA
Il worm va a copiarsi sul computer da infettare
ð	assumendo il nome di WINPPR32.EXE oppure WINSTT32.DAT
ð	andandosi a memorizzare nella directory di Windows (es.
C:\WINNT\WINPPR32.EXE)
ð	creando   sempre nella directory di Windows   un
file di configurazione WINSTT32.DAT (es. C:\WINNT\WINSTT32.DAT)
 Sobig  va quindi ad aggiungere le seguenti chiavi di
registro:
ð	HKLM\Software\Microsoft\Windows\Run\CurrentVersion\TrayX con
valore: %WINDIR%\winppr32.exe /sinc
ð	HKCU\Software\Microsoft\Windows\Run\CurrentVersion\TrayX con
valore: %WINDIR%\winppr32.exe /sinc
Per meglio diffondere l infezione, sul computer vittima ricerca
indirizzi email in file di tipo:
ð	dbx,
ð	eml,
ð	hlp,
ð	htm,
ð	html,
ð	mht,
ð	txt,
ð	wab.
LA RIMOZIONE MANUALE DEL VIRUS
Chi ha esperienza nell utilizzo del proprio personal computer può
procedere manualmente a rimuovere l infezione seguendo le seguenti
tappe:
AVVIO DEL COMPUTER
L utente che ha Windows nelle versioni 95, 98 e ME deve riavviare
il computer in  modalità protetta , avendo cura di premere
il tasto F8 non appena il testo di avvio di Windows viene visualizzato
sul monitor. Chi, invece, ha Windows nelle versioni NT, 2000 e XP deve
premere contemporaneamente i tasti CTRL, ALT e DEL così da far apparire
al centro dello schermo una finestra dedicata alla protezione di
Windows; deve quindi fare clic con il mouse in corrispondenza del
pulsante  Task Manager ; selezionare  Processi 
e   fatto scorrere l elenco dei programmi in esecuzione -
posizionare il cursore o il mouse su WINPPR32.EXE; fare clic su
 Termina processo .
ELIMINAZIONE DEI FILE DALLA DIRECTORY DI WINDOWS
Cancellare dala directory di Windows (normalmente C:\WINDOWS oppure
C:\WINNT) i file WINPPR32.EXE e WINSTT32.DAT.
REVISIONE DEL FILE DI REGISTRO
Eliminare il valore  TrayX  da
ð
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
ð
HKEY_CURRENT_USERS\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
L AZIONE DELL ANTIVIRUS
Il software antivirus
ð	rileva la presenza di tutte le versioni di Sobig attualmente
conosciute,
ð	cancella i file infettati dal virus
ð	elimina i processi di elaborazione infetta presenti in quel
momento nella memoria
ð	ripara i file di registro di Windows eliminando quanto aggiunto
indebitamente da Sobig
per ulteriori informazioni
Centro Nazionale per l Informatica nella Pubblica Amministrazione
dr. Umberto Rapetto	
rap...@cnipa.it
dr. Giovanni Caporale	
capo...@cnipa.it
-- 
Posted via Mailgate.ORG Server - 
http://www.Mailgate.ORG


...
quello che segue è pari pari qanto trovi su 
www.symantec.it
, con la
differenza che in questo sito trovi anche il tool removal e l'aggiornamento
specifico dell'antivirus