Newsgroup: it.comp.os.linux.sys
Titolo: moooolto Off Topic..Virus Albanese...

Ricordate quel virus "albanese" che chiedeva all'utente di eliminare i
files dal proprio HD e rispedirsi a tutti gli indirizzi della rubrica?
Ecco, è appena arrivato su uno degli indirizzi aziendali una mail con
allegato un file zip dotato di password.
Nel testo della mail c'è la password.. e ovviamente dentro lo zip che un
virus (se siete curiosi è Bagle-H)....
E altrettanto ovviamente gli antivirus degli mta lo fa passare...
Che un worm così era fattibile si sapeva... ma non mi era mai capitato
di vedere qualcuno provarci effettivamente... :-D
-- 
wash the blood from your hands
bury your secrets in the sand
and forget

 
Carino... facciamo una scommessa sul numero degli utonti?
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
	Due linee rette s'incontrano
	all'infinito, quando ormai non gliene frega più niente

 di vedere qualcuno provarci effettivamente... :-D
Bellissimo. Lo voglio.
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
Don't use a big word where a diminutive one will suffice.

 di vedere qualcuno provarci effettivamente... :-D
Me lo mandi perfavore :)
---
Outgoing mail is certified Virus Free.
Checked by AVG anti-virus system (
http://www.grisoft.com
).
Version: 6.0.605 / Virus Database: 385 - Release Date: 01/03/2004

 virus (se siete curiosi è Bagle-H)....
Ricevuto anche io oggi. Tempo fa ho ricevuto un altro allegato .zip
contenente un file tipo "memo.doc                                 
.pif"
Tutti gli spazi bianchi rendono difficile vedere l'estensione corretta
se si usa winzip (e windows).
Blau

 di vedere qualcuno provarci effettivamente... :-D
Beh, un annetto fa al pc di casa mi era arrivato un presunto virus e, 
siccome sopra c'e' solo linux, volevo mandarmelo sul pc del lavoro per 
vedere che virus era, ma il server smtp del mio provider aveva il 
controllo sugli allegati, e quindi mi spediva indietro il messaggio 
dicendo che era infettato, ed oltretutto mi diceva anche quale era il 
virus, che era poi quello che volevo sapere; ciononostante volevo 
comunque spedirlo, ho provato zippandolo e nisba, ma zippandolo con 
password passava tranquillamente, ovviamente...
Saluti.
Matteo

 Matteo
ciao
Guido
-- 
Posted via Mailgate.ORG Server - 
http://www.Mailgate.ORG

 dicendo che non li puo' analizzare.
Ottimo. Sai mica come faceva a distinguere gli zip protetti da password 
da quelli normali?
-- 
Cris Carampa (
spamto:cri...@operamail.com
)
Quando usi un computer hai a disposizione una tastiera completa. Per
cortesia, evita di scrivere come su un cellulare. Verra` apprezzato.

 da quelli normali?
Provi a fare un unzip, se ritorna errore, allora o non
e` uno zip oppure e` protetto... ;-)
bye,
-- 
   Piergiorgio Sartor


Nessuno ha una bella regexp da infilare nell'mta per cassare sia questo 
che netxy?


 che netxy?
netsky io sto checkando sul subject, che è abbastanza limitato e
discernibile... ho fatto 3 regole stupide prendendo spunto dai subj
notificati sul sito sophos.. già così ne blocco un 80% sugli mta...
Per bagle, sto provando una regola come questa
/^Message-ID:\s<[a-z]{19,19}\@.*>$/
In header checks, in funzione della costanza di 'sto virus nella
generazione del Message-ID...
al momento la ho associata ad un WARN e sto vedendo se ho falsi positivi,
ma finora mi pare che vada...


 ma finora mi pare che vada...
Mi fai sapere se ti da falsi positivi?
TNX
Banana

Sgranocchiando il cranio di Banana, vi trovai inciso:

Mah.. finora, su una 40ina di messaggi matchati, non me ne ha dato
nessuno, per cui l'ho appena cambiata in reject...
Poi vedremo.
Peraltro (dice Furio) non risutano entità legittime che possano generare
msg-id di quell'aspetto....


 In header checks
In body_checks questo me lo blocca
/^UEsDBAoAAAAAA/
/^UEsDBAoAAQAAA/
ciao... Paolo

 /^UEsDBAoAAQAAA/
Come deto in altra sede, body_checks non č utilizzabile nella mia
realtŕ...
Almeno per il momento...
-- 
the Skull says:
+---------------------------------------------------------------------+
 We are Pentium of Borg. Division is futile. You will be approximated.

 da quelli normali?
sorry, no. Ero solo un utente del sistema, e la parte sistemistica era
persino in un'altra sede.
