Newsgroup: it.fan.studio-vit
Titolo: Lui, lei, il virus... (contiene molte cazzate ed e' pure lungo quindi: non leggere prima di averci pensato bene)

Lunedi' sera Elaine mi telefona disperata perche' un virus gli sta entrando
nel computer.
Io gli spiego, pacatamente e con garbo, che non gli sta entrando niente
perche' un virus non avverte mai, quello e' NORTON ANTIVIRUS (c) che
annuncia di aver bloccato un intruso, tu scegli di cancellare.
E lei che non vuole cancellare nulla mette il soggetto in quarantena, poi si
lamenta che norton segnala un pericolo perche' ci sono "items da cliccare"
(adesso posso dire che si tratta dell'avviso che annuncia che ci sono file
infetti messi in quarantena).
Per farla breve ci mettiamo d'accordo per una visitina fuori programma in
mezzo alla settimana, tra l'altro salta fuori che gli si e' rotto il lettore
di floppy e ha bisogno di un altro lettore).
Ieri sera suono al suo citofono con i floppy di ripristino di Norton e il
dischetto di F-Prot aggiornati a ieri pomeriggio.
Saluto il gatto, saluto la mamma (groan) e mi metto subito al lavoro.
Files infetti 0, 28 item in quarantena, e tutti con gli stessi nomi:
Brasil.pif
scrsvr.scr
marco!.exe
alevir.exe
msvxd.exe
msvxd.dll
Quello che cambiava, cosa un po' curiosa, era che l'agente infettante
inserito in ogni file "uguale" era sempre diverso, quindi metti che si
trattava di brasil.pif una copia conteneva 
w95.space
, un'altra opasvr32,
un'altra netbus (uahuahuah) e un altra system7.sarcazzi
Gia questa cosa mi aveva fatto sentire un certo odorino: a parte il
w95.space
 tutti gli altri erano "utensili" che consentivano il controllo da
remoto a vari livelli.
Controllo la versione di IE, mi accorgo che e' la 5 e opto per scaricare il
service pack per la 6 e tutti gli eventuali accorgimenti per la sicurezza.
Siccome Elaine non sa usare bene il computer, ma e' molto coscenziosa: ha
sempre tenuto aggiornato windows e norton a mezzo liveupdate e windowsupdate
(annotando su apposito taccuino le procedure corrette, quindi: non sa cosa
fa, ma sa che facendo quelle cose il PC continua a funzionare e a me non
cadono i capelli), per cui non ci sono patch per la sicurezza da installare.
Avvio l'update di IE e tah dah! Viene trovato il file Brasil.pif con dentro
opaserver32 sarcazzi dentro C:\windows, la puzza diventa piu' forte e mentre
sono in corso i 12mb di download (Elaine ha un 33.6... sigh!) do
un'occhiatina al registro, alla voce run, runservices, runonce e
runserviceonce, insomma a quelle chiavi che normalmente contengono le
istruzioni per eseguire programmi e attivare servizi ad ogni accensione.
Ti trovo i riferimenti ai vari file i cui nomi sono nella quarantena.
Sego tutto e poi vado a controllare anche win.ini, system.ini, config.sys e
autoexec.bat.
In win.ini le voci LOAD e RUN sono intasate con una riga che indica  dove
trovare il vari file infetti (sono sotto c:\windows) e ovviamente al
prossimo riavvio sarebbero stati eseguiti.
Anche qui cancello la riga incriminata, salvo e... mi arriva un altro
allarme, stavolta e' marco!.exe, sempre con dentro il medesimo virus (credo
sia una backdoor), inoltre mi accorgo che il tempo per scaricare
l'aggiornamento e' aumentato di qualche minuto.
A quel punto do' una mignolata sul tasto windows, seleziono "esegui" e
faccio materializzare la scritta "command" in meno di 1/2 secondo, premendo
subito dopo invio.
A riga di comando scrivo:
netstat -a -n e nell'elenco che appare trovo 2 connessioni attive.
Lascio perdere il tracert e vado a controllare il registro (stavolta e'
pulito) e il file win.ini: ritrovo la medesima stringa alla voce RUN, anche
se a leggerla provo una strana sensazione... quella che si prova davanti a
qualcosa di particolarmente sbagliato, ma non si riesce a capire cos'e' se
non quando e' troppo tardi. Imprudentemente lascio perdere, ma taglio e
incollo quella riga in un altro file di testo, poi faccio pulizia, rinomino
win.ini in zio_salumiere_win.ini e creo un win.ini vuoto (e adesso scrivi
quello che ti pare!) poi riprendo la schermata con il risultato di netstat e
leggo gli IP delle due connessioni attive (nel frattemp arriva un altro file
infetto, ma a questo punto me ne frego) mando un PING ad entrambe e poi
visto che entrambe avevano dato timeout, un tracert. (nel frattemo ne arriva
un altro). La prima approda negli stati uniti e viene fermata dal firewall
di microsoft, la seconda mi risolve il nome e mostra una cosa tipo:
sarcaz00123.hubconc.nomeprovider.nl
Ripeto il tracert salvando su file di testo, trovandoci in europa quel file
puo' essere usato tanto per sporgere una denuncia (violazione di domicilio
informatico contro ignoti) quanto per segnalare al provider di cui sopra che
c'e' uno dei suoi utenti che fa lo spiritoso o che e' stato infettato suo
malgrado.
Colto da ispirazione superiore (mentre Elaine cominciava a prenderci gusto
nel vedermi "ribattere colpo su colpo" i tentativi di intrusione) vado a
riaprire il win.ini, dove adesso c'e' una sola riga e la confronto con
quella che avevo tagliato poco prima, stavolta noto delle differenze, sia
nell'ordine dei file da caricare e in quella che avevo messo da parte:
invece di Brasil.pif c'e' scritto Barsil.pif. Mi sfrego gli occhi pensando
alla mia dislessia galoppante, ma Elaine mi conferma che c'e' scritto
c:\windows\Barsil.pif... mi metto a ridere. Mi ero messo a pensare a
qualcuno che stesse scansendo un range di indirizzi in automatico e sempre
in automatico tentasse di infettarli, magari attraverso il computer di un
altro invece il Lamer di turno stava tentando di fare quel giochetto a mano.
Al che penso: scommettiamo che e' un lamerone con il PC imbottito di cazzate
antiintrusione e al primo cenno di reazione da parte di una delle sue
"vittime" se la fa sotto e chiude tutto?
Apro un po' di finestre di telnet e "tento" di collegarmi, con ognuna di
esse a svariate porte della macchina del lamer:
DNS, FTP, Telnet, 134 (una di quelle usate per gli attacchi DoS sulla
vecchia winsock), SMTP, POP3, SQLServer, HTTP e 1234 (netbus, la porta di
default).
Non accade nulla, a parte che FTP risponde (WAR Ftp) e chiede username e
password. Provo ad entrare come anonymous. A 'sto punto provo ad infilargli
nella cartella PUB una delle cosette che tenevo in quarantena, ma durante
l'upload cade la connessione.
Oh... ma guarda... che coincidenSa.
Non si verificano piu' attacchi per tutto il resto del download. A quel
punto aggiorno IE alla versione 6 e arrivederci al prossimo buco nella
sicurezza.
Tutto sommato devo ringraziare la connessione lenta: se non avessi beccato
il lamerone con la connessione attiva probabilmente non sarei mai risalito
fino a lui.
E questo e' tutto, non credo che Elaine avra' tanto presto altri problemi di
virus, invece sono indeciso se inviare il "log" del tracert e di netstat al
provider del tapiro, oppure lasciare che se ne occupi la polizia postale, o
entrambe.
Ciau
Andrea

Saluto il gatto, saluto la mamma (groan) 
Che ha la mamma che non va ?

fino a lui.
Non credo che tu l'abbia beccato cmq.
Credo piuttosto che questo virus apra una connessione (da quello che
dici, ftp) verso quegli host, per passargli qualche file (magari file
di password o roba cosi'). Connessioe ftp, chiaramente a tempo, e che
dopo un certo timeout si chiude da se.

 ha scritto nel messaggio
news:l40isucruu6bgpngu...@4ax.com...

Andare sul sito della Symantec e cercare Brasil nella Virus Encyclopedia
pareva brutto, immagino (questo vale anche per nettuno).
Cla.

 wrote in message
news:0j0isu89l5hovkjcf...@4ax.com...

Era molto presente.
Andrea.

pareva brutto, immagino (questo vale anche per nettuno).
Che scherzo del cazzo, Nadif.

 pareva brutto, immagino (questo vale anche per nettuno).
...anche se hai il norton antivirus installato con regolare licenza &
aggiornato con regolarita' certosina?
Il tapiro usava un baco di IE per scrivere sull'hard disk in un file che
sicuramente sarebbe stato eseguito.
Cmq una volta riavviato il PC le righe sul registro e dentro win.ini non
sono apparse, l'infezione non ha mai avuto luogo perche' norton intercettava
prima il virus che il tapiro provava ad infilare.
Fosse stato un po' piu' furbo si sarebbe accorto che c'era C condiviso come
C$... e allora altro che virus.
Ah, gioventu'...
Andrea.

 aggiornato con regolarita' certosina?
Sě.
Piů che altro perchč l'Encyclopedia non č l'aggiornamento delle signature, č
un database che ti dice:
che tipo di virus č
cosa fa
come si rimuove (cazzi e mazzi della registry e altre varie ed eventuali).
Io ci vado sempre quando arriva un virus nuovo/vecchio in azienda.
Cla.

 wrote in message
news:QJ9y9.1033$5a....@tornado.fastwebnet.it...

Ho letto.
Opaserv eccetera, a seconda della versione arriva un file che si chiama
CsrSvr.exe brasil o marco! o qualche altra cosa, insomma, quelli che stavano
in quarantena.
Non diceva niente di win.ini, in nessuna delle varianti, win.ini non viene
nominato neanche per Datom (W32.Datom.Worm che crea msvxd.exe e/o msvxd.dll)
eppure stava nella stringa che compariva ogni volta nel win.ini.
Insisto sull'ipotesi Lamer.
Ciau
Andrea

 Andrea
E mi correggo da solo, ho fatto una ulteriore ricerchina in merito, sai
com'e': se poco poco la bestia ricompare stasera io sono un uomo morto,
quindi meglio essere pronti e col piede sul gas.
Guarda un po' qua:
http://www.infoworld.com/articles/hn/xml/02/10/04/021004hnworm.xml?s=IDGNS
l'articolo descrive perfettamente quello che e' capitato ad Elaine.
Con la piccola differenza che appena opaserv tentava di scrivere codice
virale veniva segato senza pieta' da norton.
Vabbe', probabilmente il server in olanda era solo un'altra vittima del
"verme", quindi tutte le pugnette psichiche su lamer e attacchi possono
essere semplicemente ricondotti all'attivita' di un worm (resta il mistero
di quel c:\windows\barsil.pif) che aveva fiutato il PC di Elaine e le sue
condivisioni.
Ora le condivisioni non ci sono piu', le patch e service pack vari sono
stati scaricati, l'antivirus ha subito un altro aggiornamento... direi che
tutto andra' bene fino alla prossima volta, basta che non sia stasera.
Ciau
Andrea

pareva brutto, immagino (questo vale anche per nettuno).
Vai e cerca i-worm/opas.A

Ah, gioventu'...
Eggia'....
http://www.avp.ch/avpve/worms/win32/opasoft.stm
oppure, da 
nod32.com
:
Win32/Opaserv is a worm that spreads on the local networks and on the
shared disks. It also attempts to spread to random selected IP
addresses.
The worm acts in the Windows family operating systems. It is generated
by the PE format executable file – its size is 28672 bytes.
It installs itself into the Windows directory as a file ScrSvr.exe. It
uses the system registry for its activation. In
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run it
cretes the entry ScrSvr with the value C:\WINDOWS\ScrSvr.exe.
It spreads through the available shared network disks so that it
copies the file ScrSvr.exe to the Windows directory on the target
computer, where it also modifies the file win.ini. The modificated
win.ini file causes the worm startup on the next windows restart.
The worm contains the code that prevents to the double infection - it
checks the presence of the mutex named ScrSvr31415.
The worm also attempts to download and execute the files from the
server 
www.opasoft.com
, that is not working anymore.
NOD32 (ver. 1.309 and higher) detects/cleans this worm.
To clean infected computer, the following steps need to be carried
out:
    * Click the Control Center icon located on the system taskbar
    * Click "Update now" button (to make sure the latest version of
NOD32 database is installed)
    * Go to Start > Programs > Eset > NOD32
    * In the "Targets" Tab select the all available hard-disks by
double clicking appropriate icon
    * Click the “Clean” button
    * When an infected file is found and an action is offered, click
“Delete”
    * Restart system
Per tacere di un veloce salto su it.comp.sicurezza.virus
Gioventu'...

> NOD32 (ver. 1.309 and higher) detects/cleans this worm.
Forse non mi sono spiegato bene:
Nav (se aggiornato) blocca il virus appena prova ad entrare e una volta
aggiornato lo elimina punto.
Se il computer di elaine e' stato infettato (il primo file infetto risale al
5 ottobre, la patch contro opaserver e' del 30 settembre) il virus non ha
potuto far altro che modificare il registro e il win ini e poi e' stato
sbattuto in quarantena, al riavvio il sistema cercava di caricare il virus e
non trovava nulla.
Se il computer, una volta che ci ho messo le mani sopra, fosse stato ancora
infetto avrei ritrovato le solite righe in win.ini e nel registro avrei
trovato la chiave /run modificata ad hoc.
Invece non ho trovato niente (a parte beccare il solito tentativo di
scrittura qualche minuto dopo aver aperto la connessione a internet).
Poi c'e' il bellissimo "Barsil.pif", e ti sfido a trovarlo su quel sito
svizzero (che mi viene da dire dimmerda anche se non lo e', ma e' svizzero e
mi viene da dirlo lo stesso percio' lo dico).
Ultima cosa, che non c'entra nulla con Elaine:
Qualche tempo addietro ho fatto un test in azienda per decidere quale
dovesse essere l'antivirus aziendale.
I requisiti erano:
la stabilita'
capacita' intercettare il maggior numero di files infetti
il costo (doveva costare relativamente poco)
non doveva dare conflitti con il software gia' installato.
I candidati, dopo attenta ricerca sul web, erano:
Norton, Panda, Mcafee, Avp e F-Prot.
Il test e' stato eseguito su una macchina virtuale (il file sta su CD, viene
copiato sull'hard disk per il test e poi viene eliminato) priva di
dispositivo di rete (sai com'e') e infettata con Nimda 32 (non che fosse
difficile procurarselo: in quel periodo la rete era piena...).
Norton: si installa, trova un file infetto in ogni cartella (i soliti .eml e
.nws), elimina l'infezione e raccomanda, siccome ha trovato il virus prima
dell'installazione, di riavviare via floppy perche' non si sa mai.
Al riavvio non mostra di avere problemi a convivere con il PC-Cillin,
l'antivirus obbligatorio che e' impossibile disinstallare senza formattare
la macchina (problemi legati alla precedente gestione: l'antivirus e'
installato con password e senza non si puo' ne' disinstallare ne'
disattivare).
Costo: 89? a licenza, 20?/anno per il rinnovo
McAfee: come sopra, ma impiega il 50% del tempo in piu' e quasi 2mb di ram.
Panda: alla fine non chiede nemmeno di riavviare (per i costi siamo sempre
la'), ma al riavvio si schianta (conflitto con PC-Cillin Corporate).
Avp: pulisce tutto, talmente bene che al riavvio la macchina virtuale non
parte.
F-Prot: pulisce solo alcuni file, ma non riesce a togliere gli allegati dai
file .eml di nimda.
Al riavvio funziona tutto (basta ricordarsi di cancellare i file .eml), non
ci sono porcherie nel registro, non ci sono conflitti con altri programmi e,
andando a guardare la lista dei processi trovo 890kb occupati
dall'antivirus.
Costo: 20$ per 1 licenza, 2$ a licenza se si acquistano 20 licenze o piu'.
Indovina su cosa e' ricaduta la mia scelta?
Andrea

Indovina su cosa e' ricaduta la mia scelta?
Panda, ovviamente :p

 I migliori AV sono:
InoculateIT
Non esiste altro.
La fuffa che usi tu e f-secure buttali nel cesso.
Cla.

InoculateIT
BWAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHH
Cioe', basta il nome.... InoculateIT....
BWAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHHH

 >InoculateIT
Si vede che non lavori in un'azienda.
Senza offesa, eh.
Cla.

 wrote in message
news:gqMz9.7667$5a.5...@tornado.fastwebnet.it...

Boh? Al momento stiamo con F-Prot, leggero, efficente & economico, si
installa senza rompere i coglioni, mette tutto su un unica chiave nel
registro per la quale e' possibile definire i privilegi di accesso con un
livello di precisione chirurgico.
Che informazioni mi puoi dare su InoculateIT ?
Ciau
Andrea

Senza offesa, eh.
Idem :)

Boh? Al momento stiamo con F-Prot, leggero, efficente & economico, si
Falconi! Ottimo AV, veramente.