Newsgroup: it.comp.aiuto
Titolo: VIRUS O NON VIRUS!!

UN TIPO MI HA MANDATO QUESTO COLLEGAMENTO,
http://utenti.tripod.it/yashijoe/index.htm
 NON ANDARE SE NON SEI SICURO!!
Dice, che dopo che l'hai "cliccato" ti sei beccato un virus HTML, io l'ho
cliccato ma il mio antivirus NRTON aggiornato ha taciuto.
Ma sui NG ho letto che effettivamente ti becchi un virus andando in quella
pagina.
E' vero? ho il virus nel mio PC?
se č si che cavolo di virus č?
come devo fare?
come posso trovarlo?
GRAZIE 1000 AIUTAMI CIAO

 cliccato
La curiosità uccise il gatto.
;-)
Cristina

 GRAZIE 1000 AIUTAMI CIAO
Io ho lincato ma mi dice:
                                 Ops... la pagina che cercavi non č piů su
Tripod (oppure hai sbagliato ad
                                 inserire l'indirizzo!).
Sorry....1000:)))
Ciao
--
Walter

come devo fare?
Ci sono parecchie burle simili, in giro. 
Poi virus HTLM, non mi sembra che esistano

 
http://utenti.tripod.it/yashijoe/index.htm
 NON ANDARE SE NON SEI SICURO!!
ho cliccato anch'io ( figuriamoci se non lo facevo !!)
non c'è nulla di nuovo nemmeno in regedit.
--
-->>-SGAS-®-<<--
mailto:
sg...@libero.it
maito:sg...@vene.dave.it
(sgas ICQ #66390097 )

Mi sono letto su it.sicurezza .virus 2 ipotesi :
1-il sito in questione era del tipo che ti ha mandato l'indirizzo , per far
girare il contatore causa curiosità
2-c'era uno script in vbscript che chiamava l'esecuzione di un file che lo
lancia all'avvio ?
3-è una bufala
(mistero misterioso)


 come devo fare?


Poi virus HTLM, non mi sembra che esistano
Sei liberissimo di non credermi pero' non appena ho salvato quella
pagina HTML sull'HD il McAfee mi ha detto "c'e' un virus. Che
facciamo?" (e anche l'F-prot l'ha riconosciuto come tale).
La pagina HTML conteneva alla fine uno script in Java che creava un
.VBS che a sua volta poi veniva eseguito ad ogni riavvio di Windows.
Per maggiori info :
http://www.Europe.F-Secure.com/v-descs/luser.htm
Purtroppo il file l'ho cancellato e ormai e' gia' uscito dal cestino.
ciao

.VBS che a sua volta poi veniva eseguito ad ogni riavvio di Windows.
Se č andata cosě ti credo. Ho solo detto quello di cui sopra per via
di numerosi finti virus, specialmente per e-mail, che girano, basta
che vedi il NG it.comp.sicurezza.virus . A forza di gridare al lupo,
quando arriva non ci credi. 

che vedi il NG it.comp.sicurezza.virus .
Ti capisco. Pensa che una volta mi hanno anche mandato (avvisandomi)
un .BAT che creava un virus.
ciao

un .BAT che creava un virus.
Mi hai incuriosito. Che comandi conteneva. Io una volta per scherzo
avevo fatto un BAT che  simulava la batteria scarica, in quanto ad
ogni riaccensione ci  si trovava con data 01/01/1980 ore 00:00. Questi
al limite li definirei, trojan, se proprio vogliamo esagerare. Poi
naturalmente l' ho eliminato dal PC della "vittima".  

Purtroppo il file l'ho cancellato e ormai e' gia' uscito dal cestino.
Ho cercato un po' di informazioni e ho trovato che il virus viene
eseguito automaticamente se il livello di sicurezza nelle opzioni
internet e' impostato a basso.
Se invece e' impostato a medio viene richiesta l'autorizzazione
all'esecuzione dell'ActiveX all'utente.
Non mi sembra cosi' tanto pericoloso per la maggior parte delle
persone che non sa neanche dove sono le opzioni internet, no?
Avete altri url riguardo al virus?
--
 再  见
Zai Jian
        Sephiroth
_______________________________________
E-Mail: 
seph...@libero.it
IRC: Sephiroth, Gotenks
ICQ: 20857755
=======================================
                    Confucio 551-479 a.C.:
Giunti nella posizione di "mezzo" e conseguita
l'armonia, allora Cielo e terra sono al loro posto
ed e' cosi' che ogni cosa sotto il cielo puo'
svilupparsi.

 ciao
Dalle informazioni riportate al sito: 
http://www.avpve.com/
pare che il nome del virus sia  I-Worm.BubbleBoy
e che gli antivirus lo riconoscano con il nome del suo "Inventore...":-(
infatti la stringa completa trovata nel registry e':
"HKEY_LOCAL_MACHINE\Software\OUTLOOK.BubbleBoy\" = "OUTLOOK.BubbleBoy 1.0 by
Zulu"
ecco in proposito quanto dice ilsito inglese di AVP....
notare che Symantec Antivirus rileva il virus come ZULU ma non  fornisce
indicazioni utii alla sua disinfezione..!
***************************
I-Worm.BubbleBoy
 Type:     Email Worm
 Platform: MS Windows with Internet Explorer 5.0,
           MS Outlook 98/2000 or MS Outlook Express
This is the worm virus spreading via Internet as infected email messages. The
worm arrives as a message with no attach - the worm uses
several tricks to activate its code directly from message body. When this
message is opened, the worm code takes control, gets access to
system resources (disk files and system registry), processes Outlook address
book and sends infected messages to these addresses (in
similar way the
"Macro.Word97.Melissa" virus does).
This is the first known modern Internet worm that spreads its copies with no
attached data. In case of other Internet worms a user should
open the attach to activate the worm routines. In case of this worm its
spreading routines take control at the moment the message itself is
opened.
The Tricks
To spread its copies this worm uses two tricks. The first one is the feature of
MS Outlook that allows creating messages in the HTML
format. HTML messages may contain scripts that will be automatically executed at
the moment the HTML message is being displayed (user
opens the message). The worm uses this feature to run its code when the infected
message is opened.
To spread its copies further and to bypass Internet Explorer security the worm
uses another trick. This is the known at the moment the
"Scriptlet.Typelib" security vulnerability.
This security breach allows HTML scripts to create disk files. The worm uses
this breach to create a HTA-file (HTML Applications, new
type appeared with IE5) which contains the main worm code. This file is created
in the Startup Windows folder, and as a result it is
activated on next Windows startup. Being run as a local disk file the worm
script in this HTML gets access to disk files and resources with
no Internet Explorer security warning messages, connects Outlook address book
and spreads itself.
Technical details
When a user opens infected message the worm script embedded into this message
body is automatically activated and executed by MS
Outlook. This script (by using security breach) creates the "UPDATE.HTA" file in
the "C:\WINDOWS\START
MENU\PROGRAMS\STARTUP" directory. The same file the worm tries to create in the
"C:\WINDOWS\MENU
INICIO\PROGRAMAS\INICIO\" directory (Spain Windows default name).
This "UPDATE.HTA" file contains the main worm code. It will be executed on next
Windows startup because of its location in the Startup
folder. The worm has a minor bug here: it supposes that Windows is always
installed in the C:\WINDOWS directory, in other case the
worm cannot create its file and fails to replicate further.
When the UPDATE.HTA file is executed, the worm runs Outlook application in
hidden window and creates a new message to all
recipients from Outlook address book in the same way as "Melissa" virus does.
This new message has the HTML format and contains
worms script in the body. Message subject is "BubbleBoy back!", and text body is
looks like follows:
 The BubbleBoy incident, pictures and sounds
 
http://www.towns.com/dorms/tom/bblboy.htm
After this message is being sent, to prevent duplicate messages sending the worm
creates in system registry key:
 "HKEY_LOCAL_MACHINE\Software\OUTLOOK.BubbleBoy\" = "OUTLOOK.BubbleBoy 1.0 by
Zulu"
At the end the worm leaves on the screen the window with the text inside:
  System error, delete "UPDATE.HTA" from the startup folder to solve this
  problem.
The worm also changes the Windows registration data (this routine is executed at
the moment the UPDATE.HTA script takes control):
  RegisteredOwner = "BubbleBoy"
  RegisteredOrganization = "Vandelay Industries"
Protection
Microsoft has released an update that eliminates security "Scriptlet.Typelib"
vulnerability. We strongly recommend you visit
http://support.microsoft.com/support/kb/articles/Q240/3/08.ASP
 and install this
update.
If you do not use any HTML applications (HTA-files) at your work, there is
another way to prevent infection by viruses of such type (the
worms and viruses that use "Scriptlet.Typelib" security vulnerability). It needs
to remove file association for .HTA extension. To do this you
have to follow several steps:
  1. Double click "My Computer" icon on desktop.
  2. In appeared window choose menu "View" -> "Options...".
  3. On "File Types" tab in "Registered file types" listbox select
     "HTML Applicaton" item.
  4. Click "Remove" button and confirm action.
  5. Close options dialog box.
************
Nel sito italiano della Future Time ... invece all'indirizzo : 
http://avp.it/
é possibile scaricare:  SCHECK, un
 piccolo programma utile per stabilire se il proprio
 sistema è vulnerabile al tipo di attacco usato dal
 worm BubbleBoy
*************
Ciao,
Walter

Avete altri url riguardo al virus?
A me veramente non e' sembrato pericoloso per niente. Al massimo
t'ingrossa un pochino i file HTML e nulla piu'.
ciao

Mi hai incuriosito. Che comandi conteneva.
Nulla di speciale. Crea un file batch copiando se stesso nella root e
poi lo esegue passandogli un parametro. Il batch, vedendo quel
parametro inizia a cercare nella c:\dos e nella c:\windows\command (se
esistono entrambe sceglie la \windows\command) un file qualsiasi che
abbia l'estensione .com o .exe e, una volta trovato, crea un file .bat
con lo stesso nome del .com/.exe. Questo nuovo batch e' composto dal
batch che infetta seguito dal file originale (.com/.exe) e in questo
modo ogni volta che chiamerai un programma infetto andrai ad
infettarne un altro.
Poi, con una serie di TYPE, crea un .exe e un .txt nella root. Il .txt
viene passato in input al .exe e dovrebbe cosi' creare un .com che poi
viene usato (credo) per eseguire il comando vero e proprio.
Il virus non e' che funzioni molto (ad esempio non crea il .com) pero'
probabilmente e' una base per creare qualcosa di funzionante.
Capisco che forse non mi sono spiegato molto bene. In parte e' una
cosa voluta (cosi' non istigo la creazione di nuovi virus) e in parte
e' anche perche' alcune cose non le ho capite.
All'interno del .bat c'e' una scritta che sembrerebbe il nome
(bat.penfold) pero' in rete non c'e' nulla con tale nome. Il McAfee lo
identifica come una variante di Bv/Bq ma anche su questi virus non ho
trovato nulla.
Leggendo il file .bat ho pero' visto alcune cose che mi sembrano
interessanti :
- usa un parametro non documentato di 
command.com
 (/f). Leggendo il
command.com
 ho visto che ci sono altri tre parametri non documentati
che pero' probabilmente sono gia' elencati nelle "undocumented
feature" : /d /z /t
- ho visto che il copy non visualizza un messaggio d'errore /
avvertimento quando viene usato per unire piu' file. Se vai in una
directory vuota e scrivi "copy pippo pluto" giustamente ti dice che
pippo non lo trova. Se invece fai "copy pippo+pippo pluto" non dice
nulla (esce solo il messaggio con quanti file ha copiato)
- non e' vero che una riga di un file .bat non viene eseguita se
inizia con REM. Se nella riga metti il carattere | (filtro) tutto
quello che c'e' dopo il | viene eseguito. Ad esempio la seguente riga
esegue la DIR anche se c'e' la REM :
  REM commento | dir
ciao
p.s. considerato l'argomento il messaggio e' stato crosspostato anche
su it.comp.os.dos