Newsgroup: it.comp.aiuto
Titolo: Nuovo worm su piattaforme windows

DESCRIZIONE
Un nuovo worm identificato come W32/Nimda-a (nomi alternativi sono Nimda,
Minda, Concept V, Code Rainbow) ha iniziato a proliferare la mattina del 18
Settembre 2001, in vasta scala, che ha come obiettivi le piattaforme
Microsoft Windows. Il worm tenta di diffondersi in tre modi: come allegato
email, come download da un sito gia' infetto, e sfruttando vulnerabilita'
note di IIS (NdSephi: server web microsoft). I danni collaterlai includono
il degrado delle prestazioni di rete, dovuto all'alto consumo di banda
durante il processo di propagazione. Ci sono segnalazioni di Server Apache,
affetti innavertitamente da Nimda e quindi soggetti ad una condizione di
(DoS) negazione di servizio (la configurazione di questi server non e'
nota).
VULNERABILITA'
Questo worm sfrutta i vantaggi di vulnerabilita' e backdoor multipli. Il
worm si spande via email e web. Attraverso il mezzo email, il worm arriva
alle caselle di posta degli utenti, come messaggio con un oggetto
variabile. L'email contiene un allegato nominato "readme.exe". Questo worm
formatta le email in modo da avvantaggiarsi di un buco in versioni vecchie
di Internet Explorer. I client mail Outlook usano le librerie di Internet
Explorer per visualizzare le email HTML, quindi per estensione sia Outlook
che Outlook Express sono vulnerabili, se Internet Explorer e' vulnerabile.
Il buco permette al programma readme.exe di essere eseguito automaticamente
appena l'email e' visualizzata in anteprima oppure letta NdSephi: aperta).
ANALISI
Una volta che ha infettato una nuova vittima, invia copie email di se'
stesso alle altre potenziali vittime, e inizia a scansionare altri server
Web IIS vulnerabilit.
Durante la scansione di server IIS vulnerabili, tenta di sfruttare la falla
di Unicode (bid 2708). Tenta anche di accedere al sistema attraverso la
backdoor root.exe lasciata da Codice Rosso 2 (NdSephi: un worm-backdoor di
poche settimane fa). Una volta che trova un server IIS vulnerabile, si
installa in modo che ai visitatori del sito web, ora infetto, sia spedita
una copia del file *.eml, che e' la copia della email contenente il worm.
Se la vittima sta usando Internet Explorer come suo browser, e questo e'
vulnerabile alla falla, eseguira' l'allegato readme.exe nello stesso modo
come se visualizzasse il messaggio email infetto.
Altre info su 
http://www.sophos.com/virusinfo/analyses/w32nimdaa.html
-- 
再见
        Sephiroth
_________________________________________________________________
E-Mail:sephiroth88(at)
supereva.it
   IRC:SEPHIR0TH   ICQ: 20857755
=================================================================

On Wed, 19 Sep 2001 14:02:04 +0200, Sephiroth wrote:
Aggiungo solo questo, che è cmq già stato postato su it.comp.sicurezza.virus
All end users and administrators running Microsoft Internet Explorer
(ver 5.01 or 5.5 without SP2), are advised to install this Microsoft
patch
(
http://www.microsoft.com/windows/ie/download/critical/Q290108/default.asp
)
for the Incorrect MIME Header Can Cause IE to Execute E-mail
Attachment vulnerability.
(Dal sito McAfee
http://vil.nai.com/villib/dispvirus.asp?virus_k=99209
)
-- 
Ciao
Gianluca