Newsgroup: it.hobby.cucina
Titolo: OT: Importante da gianni per IHC

Volevo avvisarvi di questo eventuale problema
di cui sono stato in parte vittima e poi inconsapevolmente
portatore.
Ieri ho aperto il file con subject: Torta la limone (Gabalo)
di gricino postato l' 11/02/99 h: 11.49
(credo anche lui inconsapevole del fatto)
in allegato c'e' il file happy99.exe che da quanto sembra e' un virus.
Aprendo il file ti carichi il virus e poi a tua volta quando spedisci
un messaggio all'ng lo spedisci involontariamente sempre nell'ng.
Infatti rispondendo a Lela con subject: re:soldini mi e' partito
un secondo messaggio di 14 k con il possibile virus.
Alla fine diventa una catena di s.antonio.
Dopo una ricerca negli ng: it.comp.aiuto e it.comp.sicurezza.virus
ho trovato qualche dritta che con copia incolla allego sotto.
Scusatemi per il disagio arrecato, ma mi pareva il caso
di avvisare. Buona giornata a tutti.
gianni t. - Arzignano (VI) email: 
gia...@hotmail.com
=============================================
I-Worm.Happy
-------------
Questo e' il primo, moderno Internet worm ("verme") conosciuto ad essere
scoperto "in the wild" (diffuso). Questo worm dei computer e' una sorta
di programma virus che per diffondersi non infetta dei file ma invece
usa come vettore le e-mail spedite via Internet, inserendo in allegato
alle e-mail una copia di se stesso.
Il worm e' stato spedito da qualcuno (forse lo stesso autore del worm)
su diversi server di notizie (Usenet newsgroups) nel gennaio 1999; in
pochi giorni si e' diffuso a macchia d'olio in Europa e continua a
diffondersi rapidamente.
Il worm arriva agli utenti come allegato alle e-mail, nella forma di un
file eseguibile con il nome HAPPY99.EXE. Allo scopo di dissimulare la
sua vera natura, quando viene eseguito il worm mostra sullo schermo un
simpatico effetto; dunque, si puo' affermare che presenta anche le
caratteristiche tipiche di un cavallo di troia.
Nel corso dell'esecuzione, il worm si installa nel computer,
intercettando delle chiamate di sistema che gli consentono monitorare
l'invio di e-mail su Internet; quindi converte una copia di se stesso
come allegato binario alle e-mail che vengono spedite. In questo modo il
worm, quando e' installato nel sistema, e' capace di inviare delle copie
di se stesso a tutti i destinatari delle e-mail che vengono spedite.
Quando si installa, il worm modifica soltanto dei file che risiedono
nella cartella di sistema di Windows. In tale cartella crea i file
SKA.EXE e SKA.DLL, copia il file WSOCK32.DLL nel file WSOCK32.SKA e
modifica la librearia originale WSOCK32.DLL allo scopo di intercettare
l'invio di e-mail.
Rimozione e Protezione
----------------------
Se il worm viene identificato sul proprio sistema, la sua eliminazione
e' semplice e non costituisce un problema. Basta cancellare i file
SKA.EXE e SKA.DLL dalla cartella di sistema. E' anche necessario
ripristinare il file originale WSOCK32.DLL, cancellando il file
WSOCK32.DLL modificato dal worm e quindi rinominando il file WSOCK32.SKA
in WSOCK32.DLL. Anche il file HAPPY99.EXE dovrebbe essere localizzato e
cancellato.
Per proteggere il proprio computer da una nuova, possibile infeziona da
parte del worm e' sufficiente impostare gli attributi di sola lettura
del file WSOCK32.DLL. Il worm, infatti, non prevede alcuna gestione
dell'attributo di sola lettura e quando tenta di modificare un file
WSOCK32.DLL che possiede tale attributo fallisce nell'operazione.
Alcuni consigli
---------------
Non aprire ed eseguire un eventuale file HAPPY99.EXE ricevuto in
allegato ad una o piu' e-mail. Anche se questo proviene da fonti di cui
si ha fiducia. E' anche necessario ricordare che i file prelevati da
Internet possono sempre contenere del codice pericoloso, capace di
infettare il proprio computer, compromettere dei dati, inviare
informazioni confidenziali su Internet o installare dei programmi-spia
capaci di monitorare il computer in remoto (backdoor). Quindi e' sempre
necessario prendere delle opportune precauzioni quando si preleva ed
installa del software ricevuto via e-mail.
L'apertura di documenti Office con la protezione dai virus disabilitata
e l'esecuzione di programmi sono operazioni molto rischiose. E'
necessario ricordare sempre questo principio ogni volta che si trova un
allegato nella propria posta elettronica.
Dettagli tecnici
-----------------
Il worm si presenta come un file di nome HAPPY99.EXE, lungo esattamente
10.000 byte.
Il file possiede una struttura interna del tipo Portable Executable
(PE), ovvero e' un programma a 32-bit per Windows. Il worm si installa
in sistemi Win95/98 e continua a diffondersi senza alcun problema.
Invece, a causa di errore di programma (bug), sotto Windows NT non e'
capace di diffondersi.
Il worm contiene delle stringhe di testo, alcune delle quali si
presentano in forma cifrata:
Is it a virus, a worm, a trojan? MOUT-MOUT Hybrid (c) Spanska 1999.
Happy New Year 1999 !!
per ulteriori informazioni:
http://www.pspl.com/trojan_info/win32/happy99.htm
oppure
http://www.avp.it/analyses/i-worm.htm


se tu guardi il subject postati:
Torta al limone (Gabalo)  date: 11/02/99  time: 11:49  dim. 14 KB
        Torta al limone (Gabalo)  date: 11/02/99  time: 11:51  dim. 2 KB
il primo nel corpo non ha nessun messaggio ma ha la clip dell'allegato,
il secondo ha il corpo con la ricetta ed e' pulito
io ho aperto l'allegato e mi sono infettato, sigh
(comunque come da istruzioni dovrei aver pulito tutto)
poi rispondendo a Lela con re:soldini,
e' partito automaticamente da solo un altro post,
molto piu' sotto, con nuovamente re: soldini, con il virus, di dimensione di
14 KB.
prova a scorrere i messaggi tenendo l' occhio sulle dimensione dei messaggi
di 14 kb.
sempre a disposizione. Gianni
( io uso O.E.)

portatore.
per la cronaca chi usa Free-Agent non ha corso rischi, infatti questo
programmillo semplice semplice ma tanto efficace gli attach, i mime e
l'html non li decodifica ma visualizza semplicemente tanta porcheria
Stefano C.
togli pr dall'indirizzo di posta


Ho verificato ed anch'io uso OE
In effetti ho due mex di gabalo con oggetto >Torta al Limone< ma hanno uno
data 9.2 e dora 14.30 e peso 2 kb e l'altro data 11.2 ora 11.51 e peso 2 kb,
quindi nessuno da 14 kb
--
Insubrico

 wrote in message
36c45948...@news.idea.it...

Uso OL (ver 5) anch'io come Mamo non vedo alcun allegato .
Neppure vedo file di quelle dimensioni...
francesco


avete perfettamente ragione o in parte,
tutto quello che mi e' successo e' avvenuto sul pc che uso in ufficio,
ora dal pc di casa neanch'io vedo piu' il messaggio di gabalo
ed il mio con dimensione di 14 kb  pur utilizzando sempre O.E.
Non so' perche' motivo, misteri della tecnica ??? ,
il fatto comunque ad ulteriore conferma di quello precedentemente scritto
e' che inviando una email personale ad un'amica dell' NG di IHC
in data 11/02/99, automaticamente ha ricevuto, a mia insaputa,
una seconda email con il file happy99.exe
Lei lo ha aperto, ha visto i fuochi d'artificio (questo e' quello che
fa il programma oltre a modificare i file di sistema) e automaticamente
ne e' stata infettata.
Poi anche lei ha risistemato il tutto come dalle istruzioni che avevo
segnalato.
Tutto qua, saro' stato sfortunato io, comunque se per qualsiasi motivo
ricevete email con il suddetto  file, l'unico consiglio che posso
dare e' di non aprirlo.
ciao a tutti e scusatemi ancora.
in fede. gianni t.

Io scusate uso OE ultima versione e ho un solo file da 2k l'altro non lo
vedo proprio... Qualcuno sa spiegarmi il segreto?.. forse dipende anche con
che server di new ti colleghi.
Sonja

ARTU ' ha scritto nel messaggio

personalmente a casa e in ufficio uso il server di 
news.tin.it
comunque i messaggi di 14 k sono spariti,
questa sera per ulteriore prova ho cancellato tutti i messaggi
di ihc dal mio pc e poi ho scaricato nuovamente tutto dall' ng.
I due famosi messaggi non ci sono piu'.
Purtroppo non ho conoscenze tecniche per spiegarmi
questo fatto.
ciao gianni

 netiquette per tutti.

questo fatto.
i server controllano i messaggi e cancellano gli attach
quindi il tipo ha postato probabilmente a sua insaputa, tenuto conto
della natura del virus il messaggio che tiha infettato 
tu lo hai scaricato prima che il srver si rendesse conto che nel
messaggio ci stava un attach
nel frattempo il server news si è controllato e ha cancellato l'attach
infettante
tu hai riscaricato i messaggi e non ha i trovato nulla di pericoloso.
spero di essere stata chiara...



capito tutto, ti ringrazio.
ciao. gianni t.