Newsgroup: it.comp.os.win.win9x
Titolo: AIUTO2: virus W32.Sircam.Worm@mm

Salve a tutti,
ieri sono riuscito a togliere il virus dal mio computer....
questa notte ho eseguito una scansione sul server NT e purtroppo NORTON
ANTI-VIRUS mi ha trovato dei file infetti tipo:
\nomecartella_su_server\recycled\sirc32.exe
Questo significa che è infetto il server NT con win NT 4.0 oppure no?
In caso affermativo qualcuno conosce la procedura per rimuovere
il virus da windows NT?... visto che il norton anti-virus non riesce?
grazie
sdamy

 ha scritto nel messaggio
news:3Imh7.26149$vC1.2...@news1.tin.it...

Quando infetta un computer il worm copia se stesso in
  1.. La cartella speciale \RECYCLED del drive dove è stato installato
Windows usando il nome SirC32.exe. Ad esempio, se Windows è presente nella
cartella C:\Windows, il worm copierà se stesso in C:\RECYCLED\SirC32.exe
  2.. Nella cartella di sistema di Windows con il nome Scam32.exe
  3.. Nella cartella Windows con il nome ScMx32.exe
  4.. Nella cartella di Esecuzione automatica di windows con il nome
"Microsoft Internet Office.exe"
E' da notare che tali azioni non vengono compiute dal worm la prima volta
che viene eseguito, alcuni file infatti vengono creati a seconda del
verificarsi di certe condizioni. Tutti i file creati hanno impostato l'
attributo "nascosto"
Il worm registra i due primi file all'interno del Registro di sistema
HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices
  Driver32 = %windows sytem directory%\SCam32.exe
HKCR\exefile\shell\open\command
  SirC32.exe
Quindi estrae nella cartella temporanea di Windows il file che ha
memorizzato alla fine del proprio codice, aprendolo con l'applicazione ad
esso associata: WINWORD.EXE, WORDPAD.EXE, EXCEL.EXE, WINZIP.EXE, a seconda
del tipo di file.
Il worm crea un'ulteriore serie di chiavi nel Registro dove memorizza altri
dati
HKLM\SOFTWARE\SirCam
Diffusione in rete locale
Per diffondersi in rete locale, il worm enumera tutte le risorse di rete del
computer infettato, ottenendo tutte le cartelle remote condivise, dove copia
se stesso. Se esiste una cartella \Recycled nella cartella condivisa, il
worm vi crea una copia del proprio codice usando il nome SirC32.exe. Quindi
modifica il file AUTOEXEC.BAT inserendo alla fine del file la linea
@win \recycled\SirC32.exe
Se esiste una cartella \Windows, il worm rinomina il file RUNDLL32.EXE in
RUN32.EXE e quindi sovrascrive il file RUNDLL32.EXE originale con una copia
di se stesso. Il worm imposta l'attributo nascosto sulle proprie copie.
La routine del payload
A seconda della data e del tempo di sistema, con una probabilità di 1 a 20
il worm cancella tutti i file sul drive dove è installato Windows e quindi
rimuove tutte le cartelle.
Ogni volta che viene eseguito, con una probabilità di 1 su 50, il worm crea
un file SirCam.sys nella cartella radice del drive corrente e vi scrive il
seguente testo, cifrato nel codice del worm:
[SirCam_2rP_Ein_NoC_Rma_CuiTzeO_MicH_MeX]
[SirCam Version 1.0 Copyright © 2001 2rP Made in / Hecho en - Cuitzeo,
Michoacan Mexico]
Sembra che il worm scriva queste frasi in un ciclo continuo, con l'intento
di esaurire lo spazio libero disponibile sul disco.
A causa di errore presente nel codice del worm, le routine del payload non
vengono eseguite correttamente, rendendo il worm meno pericoloso di quello
che doveva essere nelle intenzioni del suo autore. Ad ogni modo, la prima
routine (cancellazione di tutti i file nel drive di Windows) verrà eseguita
nel caso in cui le copie del worm SIRC32.EXE, SCAM32.EXE e RUNDLL32.EXE
vengano rinominate ed eseguite.
*****************************************
!] Future Time ha rilasciato Nosircam, un programma di soli 35 KB che può
ripristinare automaticamente le chiavi di Registro, il file AUTOEXEC.BAT e
il programma RUNDLL32.EXE modificati dal SirCam. Dal momento che Nosircam ha
estensione .COM può essere eseguito anche su sistemi infetti dal SirCam,
dove i file EXE non possono essere più lanciati.
**********************************************
http://www.avp.it/utility/nosircam.com
Ciao,
Walter
Per rimuoverlo scarica