Newsgroup: it.comp.os.win.win9x
Titolo: Worm sospetto...

Ciao a tutti. Vorrei raccontarvi cosa mi è capitato fra ieri e oggi, sperando di trovare
una risposta a quello che è successo...
Ho una rete locale di una quindicina di pc in workgroup, tutti (tranne il mio) con win98.
Tra questi ho configurato un pc in modo che faccia da "server", che resta sempre acceso e
condivide due stampanti e un TA isdn tramite Wingate, tra le altre cose.
Ora, la connessione internet condivisa viene utilizzata effettivamente da 3 persone (agli
altri non interessa neanche sapere cos'è internet, e comunque non saprebbero configurarsi
il browser o peggio ancora un client di posta).
Ieri mi capitava che Wingate non disconnettesse la connessione dopo i canonici 3 minuti di
inattività, ed in effetti c'era una attività da parte del server che non capivo da dove
arrivasse... facendo le solite ricerche mi sono imbattuto in uno worm, Bymer o qualcosa
del genere.
Ho controllato la tipologia di questo virus ed ho visto che si auto-replica in rete,
quindi ho pensato subito che uno di noi 3 l'avesse preso... ma su tutti gli altri pc della
mia rete locale non c'è traccia.
Nessun problema per rimuoverlo, però mi chiedo: come ha fatto ad arrivare un worm su un pc
che, di fatto, nessuno usa (non ha neanche tastiera e mouse, lo comando solo io via VNC),
ma soprattutto come si è eseguito sul sistema!?
Voi che ne dite???
Grazie.
--
Jax


Io non conosco questo virus....pero' se provi a domandare in I.C.S.V.
....;-)
W


Rettifico ....:-) cercando con google qualcosa ho trovato...
da :
http://www.networkingitalia.it/SECUR/virus/W32HLLWBymer.htm
W32.HLLW.Bymer
Scoperto intorno al 10 ottobre 2001, W32.HLLW.Bymer è un worm complesso che
si diffonde attraverso condivisioni di rete, cercando cartelle condivise e
inserendo all' interno copie di se stesso ed all' interno della cartella di
sistema . E' conosciuto anche come Dnet.Dropper, W32/Msinit .
Che cosa fa ?
Il worm si presenta in 2 forme differenti. La prima è riconoscibile dal file
"Wininit.exe" ed il secondo dal file "Msinit.exe". Non ci sono particolari
differenze tranne quella che la variante Wininit.exe copia un software
Client ( Dnetc ) di lunghezza variabile ( 20 - 200 kb ), non rilevata dagli
antivirus, mentre il Msinit copia solo se stesso.
Il file Dncnet è un software utilizzato per la diffusione del worm e
dovrebbe risiedere in C:\Windows\System\dnetc.exe .
In dettaglio il worm, una volta eseguito, va a modificare i valori nelle
chiavi
HKLM\Software\Microsoft\
Windows\CurrentVersion\Run :
distributed.net.client "C:\Windows\System\dnetc.exe"
internat "C:\Windows\internat.exe" -hide"
msinit "C:\Windows\System\ms***.exe"
---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- -
--- ---- ---- ----
HKLM\Software\Microsoft\Windows\
CurrentVersion\RunServices :
distributed.net.client "C:\Windows\System\dnetc.exe"
internat "C:\Windows\internat.exe" -hide"
msinit "C:\Windows\System\ms***.exe"
per assicurare l' avvio automatico. Oltre questo il worm inizia a cercare
indirizzi IP in modo randomico che abbiano condivisioni attive per la
propria diffusione. Cerca inoltre sistemi che abbiano la cartella di sistema
condivisa per porre una copia all' interno ( es. windows\system ) e per
modificare il win.ini modificando la chiave Load = , sempre per assicurare
l' avvio ad ogni restart :
load=c:\windows\system\wininit.exe
run=c:\windows\system\wininit.exe
*******************************************************
Come liberarsene ?
- Aggiornare con le ultima firme il vostro antivirus
- Effettuare uno scan completo
- Controllare che il vostro sistemi non abbia condivisioni attive, questo
infatti potrebbe essere un pericolo per la diffusione del worm. Se le
condivisioni sono necessare disattivarle prima, effettuare uno scan completo
e poi riattivarle. Nel momento in cui effettuate l' aggiornamento dell'
antivirus sarete comunque informati se il worm sta cercando di sfruttare le
vostre condivisioni per infettare il sistema.
- Eliminare le voci inserite nel registro ed eliminare le eventuali voci
inserite nel file win.ini
- Eliminare qualsiasi files infetto dal worm W32.HLLW
- Eliminare i files Wininit.exe e Msinit.exe. Attenzione : nel sistema
dovrebbe già esistere un file Wininit.exe necessario al sistema operativo in
\Windows. La copia infetta è in \Windows\System
( per Windows intendo la directory di sistema ).
****************************************************************
Se dovessere presentarsi dei problemi nell' avvio del sistema in modalità
normale, provare un avvio in modalità provvisoria ed effettuate i passi su
descritti.
Infatti la modalità provvisoria carica una suite minima di driver che
potrebbe permettere al sistema di partire in modo corretto.
Un ulteriore consiglio è quello di deflaggare l' opzione " Nascondi files
nascosti e di sistema ", in opzioni cartella. Infatti i worms tendono a
presentarsi con tali attributi .
Walter

 "Wininit.exe" ed il secondo dal file "Msinit.exe". Non ci sono particolari
La mia era più una domanda di carattere "perché", più che "cosa fare"...
comunque la variante msinit.exe mi era sconosciuta... proverò a cercare questo
file su tutti i pc... il primo che trovo lo crocifiggo (se lo trovo sul mio mi
autocrocifiggo)!
Grazie intanto.
Jax

 La mia era più una domanda di carattere "perché", più che "cosa fare"...
Se a quest'ora non ti hanno ancora risposto su I.C.S.V. ....forse un motivo
ci sarà...!
Io purtroppo non conosco questo virus "de visus" e quindi ho fatto del mio
meglio....
Ciao,
Walter

 meglio....
Eh io anche, ma in una azienda non basta...
Piccola elucubrazione/divagazione: mi sto sempre più rendendo conto di come i problemi su
una rete locale, anche piccola, vengono a galla in maniera allucinante, ma soprattutto che
anche le persone più preparate (non parlo di me ovviamente) molte volte davanti a certi
comportamenti allargano le braccia dicendo "che ci vuoi fare". Ma l'informatica non era
una scienza sicura? Di sicuro so solo che da piccolo forse era meglio che imparassi unix,
invece del dos... ma non conoscendo Linux non posso giudicare fino a questo punto.
Probabilmente di difetti ne ha molti anche lui, ma davvero certe volte Windows mi lascia
un po' perplesso... nonostante lo usi da parecchi anni.
Comunque grazie dell'interessamento :)
Jax