Newsgroup: it.comp.aiuto
Titolo: strano file (qazwsx.hsq) aperto all'avvio di Win ME... :-(

Ciao
dopo l'installazione di WinME sul mio portatile ad ogni avvio mi si apre una
finestra (vuota) del blocco note con questo strano file.
Il file si trova nella directory di windows e se lo cancello mi chiede di
crearlo ed in ogni caso mi apre sempre il blocco note.
Come posso eventualmente risolvere questo problema visto che in "esecuzione
automatica" non c'è niente di strano? Devo smanettare col regedit?
GIA
Marco

"deckard" <que...@NOSPAMtin.it> ha scritto nel messaggio
news:RzIL5.66014$3K3.2...@news.infostrada.it...

Questo Trojan si sta diffondendo rapidamente.
Pare che con questo abbiano superato anche i Firewall della Microsoft.
Provvedi di corsa...
Ti allego dei copia incolla da 
www.sarc.com
 e  da  
www.avp.it
W32.HLLW.Qaz.A
Discovered on: July 16, 2000
Last Updated on: October 4, 2000 7:01:33 PM PST
This virus has been upgraded to a threat level 4 as of September 14, 2000.
W32.HLLW.Qaz.A was first discovered in China in July of 2000. W32.HLLW.Qaz.A
is a companion virus that can spread over the network and also has a
backdoor that lets a remote hacker connect to and control the computer via
port 7597. Since the virus does not have the ability to spread to computers
outside the network, the virus might have originally been spammed out by
email.
W32.HLLW.Qaz.A was renamed from Qaz.Trojan on August 10, 2000. As of
September 14, there are at least four variants of the original virus.
Click here to download tool to repair W32.HLLW.QAZ.A damage
Also known as: Qaz.Trojan, Qaz.Worm, W32.HLLW.Qaz (gen)
Category: Worm
Infection length: 120320, 119296, 120297, 122880
Virus definitions: July 18, 2000
Threat assessment:
Wild:
High  Damage:
Low  Distribution:
Low
Wild
Number of infections: More than 1000
Number of sites: More than 10
Geographical distribution: High
Threat containment: Moderate
Removal: Moderate
Damage
Payload Trigger: Each time the virus is executed
Payload: Creates a backdoor on the computer
Modifies files: Renames notepad.exe to 
note.com
Releases confidential information: Emails the infected computer's IP address
to the hacker and also creates a backdoor to the computer
Compromises security settings: Allows unauthorized access to the computer
Distribution
Ports: Listens for incoming TCP/IP connections on port 7597
Target of infection: Notepad.exe
Technical description:
W32.HLLW.Qaz.A is a Win32 companion virus with the ability to spread over
the network and also create a backdoor. When the virus is launched it
searches available network drives for a copies of notepad.exe and renames
them to 
note.com
. It then copies itself (virus code) across the network to
the infected computers as notepad.exe. Each time notepad.exe is executed it
runs the virus code and the original notepad (renamed to 
note.com
) to avoid
being noticed. It also modifies the following system registry entry to
execute itself every time the system is started:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run
"StartIE"="C:\WINDOWS\NOTEPAD.EXE qazwsx.hsq"
W32.HLLW.Qaz.A enumerates through the network neighborhood to find computers
to infect. When it finds a computer, it infects it by searching for
notepad.exe and making the same modifications (renaming notepad.exe to
note.com
). It does not require any mapped drives to infect other computers.
Once the computer is infected, the computer's IP address is emailed to the
virus author automatically. The backdoor payload in the virus uses WinSock
and awaits connections. This lets a hacker connect to the infected computer
and gain access to the computer.
                                                          AVP
Si tratta di un Internet worm (i worm sono particolari tipi di virus in
grado di infettare network di computer) con capacità di backdoor che si
diffonde sotto sistemi Windows a 32-bit (Windows 9x/NT). Il worm è stato
scoperto verso la fine di luglio e sembra che in questo periodo si stia
diffondendo anche in Italia.
Il worm si presenta come un file eseguibile con formato Portable Executable
(PE) a 32-bit, di circa 120 KB di lunghezza, scritto con l'uso del
compilatore Microsoft Visual C++.
Quando viene eseguito, il worm modifica opportunamente il Registro di
sistema, in modo tale da essere lanciato automaticamente ad ogni nuovo avvio
del sistema. A tale scopo il worm crea la seguente chiave:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run startIE = "nomefile
qazwsx.hsq"
Dove "nomefile" rappresenta il nome del worm (di norma, NOTEPAD.EXE). Il
worm rimane residente nella memoria del sistema come applicazione, visibile
nella lista dei task, ed esegue due processi: quello di infezione e quello
di backdoor.
Il processo di infezione ha lo scopo di diffondere il worm ai drive presenti
nella rete locale che permettono un accesso in lettura/scrittura. Il worm
enumera le risorse di rete e nei loro nomi ricerca la stringa di caratteri
"WIN". Se il test risulta positivo, ovvero se viene identificata una
cartella contenente Windows su un computer remoto, il worm cerca il file
NOTEPAD.EXE in tale cartella, lo rinomina in 
NOTE.COM
, e quindi scrive una
copia di se stesso nella cartella remota usando il nome NOTEPAD.EXE.
Se il processo di infezione ha successo, il vero programma "Notepad" si
trova nel file 
NOTE.COM
 e viene usato dal worm per eseguire l'applicazione
originale quando l'utente tenta di lanciarla, mentre il codice del worm si
trova nel file NOTEPAD.EXE.
Le funzioni di backdoor del worm sono molto semplici e supportano soltanto
un numero limitato di comandi:
RUN esecuzione di un programma specifico
UPLOAD trasferimento e creazione di un file sul computer infetto
QUIT terminazione delle routine del worm
Sebbene i comandi siano soltanto tre, essi sono sufficienti per
l'installazione in remoto e l'esecuzione di backdoor o cavalli troia più
potenti.
Il worm inoltre invia una sorta di notifica a un indirizzo e-mail,
presumibilmente a un mail server in Cina, segnalando la propria presenza
all'interno del computer infettato. Il messaggio spedito contiene
l'indirizzo IP della macchina infetta.
Per disinfettare un computer colpito da questo worm, in primo luogo è
necessario eliminare la chiave nel Registro menzionata nell'analisi, creata
dal worm per essere eseguito automaticamente all'avvio del sistema. Per
modificare il Registro di sistema è possibile usare i programmi REGEDIT
(Windows 9x/Millenium) o REGEDT32 (Windows NT/2000). Quindi, al successivo
avvio del sistema è necessario cancellare il file NOTEPAD.EXE (contenente il
solo codice del worm), rinominando infine il file 
NOTE.COM
 in NOTEPAD.EXE,
allo scopo di ripristinare la copia originale del programma Notepad.
----------------------------------------------------------------------------
----

 finestra (vuota) del blocco note con questo strano file.
Analisi dell'Internet Worm QAZ
(Future Time di Paolo Monti © 2000)
----------------------------------











--
-:::-:::- Priscilla -:::-:::-
ICQ:     77176857
=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=
Cancellare internet prima di rispondermi
Erase internet for Re(ply)
=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=

Non si tratterà mica di quel virussaccio che ha portato via i codici
sorgenti di Win2000 alla Microsoft?