Newsgroup: it.comp.os.win.win9x
Titolo: Problema strano

Un mio amico mi ha esposto il seguente problema che a me pare alquanto
strano. Lui dice che lo spazio occupato sul suo pc si sta riducendo
progressivamente, nonostante non abbia installato altri programmi o creato
documenti. Mi ha detto che naviga su Inet e alla mia domanda classica "
pulisci la cache?" ha risposto che lo fa molto spesso ma il problema sembra
persistere.
Da che dipende?
Grazie

 documenti.
Ha provato a controllare con l'AV?....puo' darsi che non c'entri
niente....ma  Sircam puo' farlo:
********
Ogni volta che viene eseguito, con una probabilita' di 1 su 50, il worm
crea un file SirCam.sys nella cartella radice del drive corrente e vi
scrive il seguente testo, cifrato nel codice del worm:
 [SirCam_2rP_Ein_NoC_Rma_CuiTzeO_MicH_MeX]
 [SirCam Version 1.0 Copyright © 2001 2rP Made in / Hecho en - Cuitzeo,
Michoacan Mexico]
 Sembra che il worm scriva queste frasi in un ciclo continuo, con
l'intento di esaurire lo spazio libero disponibile sul disco. Altra cosa
antipatica...
(Fonte: informazioni  ed analisi a cura di Paolo Monti e  Eugene
Kaspersky di 
http://www.avp.it
 )
********
Ciao
nuccia

 wrote in message
9nis1k$7ucdc$1...@ID-96859.news.dfncis.de...


 ha scritto nel messaggio
news:lf6n7.24501$ul3.8...@news.infostrada.it...

Se ha installato ME č la cartella di ripristino del sistema che cresce.
A me aveva "mangiato" tutto l' HD.
ciao
Gigi

 Francesco
Non c'è di che! Cerco di fare qualcosina anch'io:
molte volte sbaglio :-(
raramente ci prendo ;-)
stavolta....mi è venuta in mente questa, ma....chissà :-/
Ciao da
nuccia :-)


....molto probabile....!  anche se l'analisi di AVP deve comunque essere
tenuta in considerazione...
Analisi I-Worm.Sircam.c
(Future Time di Paolo Monti © 2001)
----------------------------------------------------------------------------
----
Si tratta di un nuovo worm (i worm sono particolari tipi di virus in grado
di diffondersi in reti di computer) che si propaga via Internet e all'
interno di network locali.
Il worm è costituito da un file eseguibile di circa 130 KB di lunghezza
scritto in Delphi (un compilatore prodotto da Borland). Quando si diffonde,
il worm può appendere a se stesso un file DOC, XLS, ZIP o di altro tipo
(vedere più sotto), quindi la lunghezza del worm può essere superiore ai 130
KB.
Una volta eseguito (ad esempio, per mezzo di un clic del mouse su un file
allegato a un messaggio di posta elettronica) il worm si installa nel
sistema, invia dei messaggi infetti che hanno il worm in allegato, infetta
dei computer collegati in rete locale, se sono presenti dei drive condivisi,
e in base alla data di sistema esegue il proprio payload (routine
distruttiva).
Diffusione via e-mail
Il worm invia se stesso da computer infetti sotto forma di allegato a dei
messaggi di posta elettronica. Il file allegato ha un nome variabile e una
estensione doppia:
nomefile.ext1.ext2
dove "ext1" può essere una delle seguenti estensioni
DOC, XLS, ZIP, EXE
Mentre "ext2" viene selezionata casualmente tra
PIF, LNK, BAT, COM
Ad esempio:
feb01.xls.pif
normas.doc.bat
Il "nomefile.ext1" viene determinato da uno dei file presenti sulla macchina
infettata: il worm, infatti, compie una ricerca sul computer usando come
parametro l'estensione "ext1" e una volta trovato un file che soddisfa tale
condizione, ne usa il nome per determinare quello dell'allegato infetto.
Quindi il worm legge il contenuto del file trovato, lo appende in coda a una
copia di se stesso e la spedisce sotto forma di allegato a un messaggio di
posta elettronica.
I file infetti che vengono spediti via e-mail sono costituiti da due parti:
una copia del worm
un file appeso in coda al codice del worm, selezionato casualmente tra file
DOC/XLS/ZIP/EXE presenti sul sistema infetto
E' importante notare che il metodo di diffusione usato dal worm può causare
la trasmissione di informazioni riservate.
Il messaggio di posta elettronica ha come oggetto il nome del file in
allegato. Il corpo del messaggio può essere in due linguaggi: inglese e
spagnolo. La prima e l'ultima riga sono sempre uguali:
Prima linea : Hi! How are you? Hola como estas ?
Ultima linea: See you later. Thanks Nos vemos pronto, gracias.
 Il contenuto variabile tra la prima e l'ultima riga viene selezionato fra
le seguenti stringhe di testo:
I send you this file in order to have your advice
I hope you can help me with this file that I send
I hope you like the file that I sendo you
This is the file with the information that you ask for
Te mando este archivo para que me des tu punto de vista
Espero me puedas ayudar con el archivo que te mando
Espero te guste este archivo que te mando
Este es el archivo con la información que me pediste
Il worm ottiene gli indirizzi e-mail ai quali spedire se stesso effettuando
una scansione dei file che possono contenere indirizzi di posta elettronica:
SHO*, GET*, HOT*, *.HTM, *WAB e altri.
Il risultato delle varie ricerche effettuate dal worm viene memorizzato in
una serie di "false" DLL all'interno della cartella di sistema:
SCD.DLL: contiene una lista dei file con estensione "ext1"
SCH1.DLL, SCI1.DLL: contengono una lista degli indirizzi di posta
elettronica trovati nei file sottoposti a scansione.
SCW1.DLL: contiene l'elenco di indirizzi e-mail trovati nella Rubrica di
Windows.
Oltre a questi file, possono esserci anche i file SCT1.DLL e SCY1.DLL dove
il worm memorizza altri dati.
Installazione sul sistema
Quando infetta un computer il worm copia se stesso in
La cartella speciale \RECYCLED del drive dove è stato installato Windows
usando il nome SirC32.exe. Ad esempio, se Windows è presente nella cartella
C:\Windows, il worm copierà se stesso in C:\RECYCLED\SirC32.exe
Nella cartella di sistema di Windows con il nome Scam32.exe
Nella cartella Windows con il nome ScMx32.exe
Nella cartella di Esecuzione automatica di windows con il nome "Microsoft
Internet Office.exe"
E' da notare che tali azioni non vengono compiute dal worm la prima volta
che viene eseguito, alcuni file infatti vengono creati a seconda del
verificarsi di certe condizioni. Tutti i file creati hanno impostato l'
attributo "nascosto"
Il worm registra i due primi file all'interno del Registro di sistema
HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices
  Driver32 = %windows sytem directory%\SCam32.exe
HKCR\exefile\shell\open\command
  SirC32.exe
Quindi estrae nella cartella temporanea di Windows il file che ha
memorizzato alla fine del proprio codice, aprendolo con l'applicazione ad
esso associata: WINWORD.EXE, WORDPAD.EXE, EXCEL.EXE, WINZIP.EXE, a seconda
del tipo di file.
Il worm crea un'ulteriore serie di chiavi nel Registro dove memorizza altri
dati
HKLM\SOFTWARE\SirCam
Diffusione in rete locale
Per diffondersi in rete locale, il worm enumera tutte le risorse di rete del
computer infettato, ottenendo tutte le cartelle remote condivise, dove copia
se stesso. Se esiste una cartella \Recycled nella cartella condivisa, il
worm vi crea una copia del proprio codice usando il nome SirC32.exe. Quindi
modifica il file AUTOEXEC.BAT inserendo alla fine del file la linea
@win \recycled\SirC32.exe
Se esiste una cartella \Windows, il worm rinomina il file RUNDLL32.EXE in
RUN32.EXE e quindi sovrascrive il file RUNDLL32.EXE originale con una copia
di se stesso. Il worm imposta l'attributo nascosto sulle proprie copie.
La routine del payload
A seconda della data e del tempo di sistema, con una probabilità di 1 a 20
il worm cancella tutti i file sul drive dove è installato Windows e quindi
rimuove tutte le cartelle.
Ogni volta che viene eseguito, con una probabilità di 1 su 50, il worm crea
un file SirCam.sys nella cartella radice del drive corrente e vi scrive il
seguente testo, cifrato nel codice del worm:
[SirCam_2rP_Ein_NoC_Rma_CuiTzeO_MicH_MeX]
[SirCam Version 1.0 Copyright © 2001 2rP Made in / Hecho en - Cuitzeo,
Michoacan Mexico]
Sembra che il worm scriva queste frasi in un ciclo continuo, con l'intento
di esaurire lo spazio libero disponibile sul disco.
A causa di errore presente nel codice del worm, le routine del payload non
vengono eseguite correttamente, rendendo il worm meno pericoloso di quello
che doveva essere nelle intenzioni del suo autore. Ad ogni modo, la prima
routine (cancellazione di tutti i file nel drive di Windows) verrà eseguita
nel caso in cui le copie del worm SIRC32.EXE, SCAM32.EXE e RUNDLL32.EXE
vengano rinominate ed eseguite.
Roma, 20/07/2001 - Analisi a cura di Paolo Monti e Eugene Kaspersky
----------------------------------------------------------------
La frase "saliente è questa...:"
***Sembra che il worm scriva queste frasi in un ciclo continuo, con l'
intento di esaurire lo spazio libero disponibile sul disco.***
Và detto che un disco da 1.2 GB potrebbe avere "prima o poi ..." una
saturazione...
....ma prima che il virus sircam abbia "replicato se stesso ..fino ad
arrivare ai 30 e perfino 80 Gb dei dischi moderni ....si fà notte...e il
computer è talmente infettato da non partire piu'!!
Pertanto io propendo che  l'esaurimento dello spazio puo' essere dovuto a
Windows ME e ai suoi punti di ripristino che partono da un Minimo di 200MB !
Walter

 A me aveva "mangiato" tutto l' HD.
Impossibile. Al massimo può arrivare al 12% (che comunque non è poco
considerando le capacità dei dischi attuali).
Ciao,
Pamela


Mi dispiace smentirti Pamela!!!!!!!
A me' aveva mangiato l'80% della partizione HD di MB.
E mi era impossibile selezione la capacita' della cartella "restore".
L' ho eliminata con un programma "System  Restore Remover Pro" suggeritomi
su questo NG: non si è piu' ricreata.
Ciao
Gigi

 su questo NG: non si è piu' ricreata.
Non riuscivi nemmeno a disattivare il Restore con il metodo standard?
Ciao,
Pamela


Sara' pure responsabilita' della progettazione ....!
La MS dichiara questo su un sistema perfettamente funzionante...
chi glielo diceva all'estensore che in determinate occasioni (virius
informatici o altro ...)
i "parametri.." di "progetto" potevano cambiare..?
Ciao,
Walter


IL problema era che il ripristino di configurazione è stato sempre
disattivato: il ripristino non funzionava, ma la cartella cresceva sempre.
Me ne sono accorto quando non avevo piu spazio su HD, in quanto è una
cartella nascosta.
La partizione è di 5 MB, sono arrivato a 3.5 MB di restore.
Ciao
Gigi