Newsgroup: it.comp.retrocomputing
Titolo: [OT] VIRUS - WORM_BADTRANS.B

Ho beccato da un ragazzo di it.comp.software.emulatori il famoso
worm_badtrans.b l'ultima variante del 24 novembre. Mi dispiace se ho
infettato qualcuno del ng. Oggi ho recuperato uno script che elimina il
virus badtrans.b Mi dispiace per l'inconveniente, pensavo di essere al
sicuro con il mio antivirus, ma questo era troppo recente. Tra le altre cose
quando ho visto l'allegato di del mio amico ho pensato che mi mandasse
l'allegato che stavo aspettando e cosi' ho aperto fiducioso.
Comunque per chi e' stato infettato ecco alcune info su badtrans:
dal sito 
www.zdnet.it
Per fortuna, la protezione è già disponibile. Anche il servizio Antivirus
Online di ZDNet Italia è già in grado di identificare i file del virus per
consentirne la rimozione.
Il worm Badtrans.b arriva via e-mail con la seguente struttura:
· Oggetto: Un oggetto variabile
· Allegato: Un allegato dal nome variabile tra:
FUN
HUMOR
DOCS
S3MSONG
Sorry_about_yesterday
ME_NUDE
CARD
SETUP
SEARCHURL
YOU_ARE_FAT!
HAMSTER
NEWS_DOC
New_Napster_Site
README
IMAGES
PICS
Questi allegati hanno una doppia estensione, la prima è a scelta tra:
DOC
MP3
ZIP
mentre la seconda può essere:
pif
scr
Una volta arrivato su una macchina infettabile BadTrans tenta di far
eseguire il payload contenuto nell'allegato alla mail. L'allegato puo'
essere eseguito in modo automatico quando i messaggi di posta vengono aperti
in modo automatico, per ottenere questo effetto Badtrans.B usa una
vulnerabilita' di Internet Explorer che permette di eseguire questa
operazione. Per riparare questa vulnerabilità, è possibile scaricare il fix
dal sito Microsoft al seguente indirizzo.
Il worm installa sui sistemi infettati il file KDLL.DLL che contiene un
trojan il cui scopo e' impossessarsi delle password dell'utente, questo
trojan e' riconosciuto da F-Secure Anti-Virus come Trojan.PSW.Hooker.
Maggiori informazioni su Badtrans nell'archivio dei virus alert di ZDNet
Italia...
Approfondimenti su BadtransIl worm di cui abbiamo dato notizia stamattina
sta continuando a diffondersi Secondo Symbolic, che stamattina aveva
comunicato la presenza della nuova variante di Badtrans, il virus in
questione si sta diffondendo a grande velocità di Paolo Soldan26 novembre
2001Secondo quanto riportato da Symbolic, la diffusione del virus BadTrans
procede a ritmi sostenuti. Badtrans e' in grado di inviare allegati con nomi
variabili, che al verificarsi di alcune condizioni e su certi tipi di client
potrebbero auto-eseguirsi durante la lettura della mail.
Badtrans.B si diffonde sui sistemi Win32. Oltre alla diffusione via posta
elettronica, e' in grado di installare componenti trojan al fine disottrarre
informazioni dai sistemi infettati.Badtrans.B viene trasmesso tramite un
eseguibile in formato PE (Portable Executable), di circa 29 Kb nella sua
forma compressa. E' composto da due parti - Worm e Trojan. La prima
componente si occupa di inviare i messaggi infetti, mentre la seconda invia
informazioni sull'utente e sul pc infetto a un indirizzo esterno di posta
elettronica.Il worm si puo' attivare in due modalita' differenti: con la
collaborazione dell'utente (se quest'ultimo esegue l'allegato infetto) o
autonomamente, sfruttando la vulnerabilita' IFRAME del client Internet
Explorer. In seguito all'attivazione, il worm rilascia nel sistema la sua
componente Trojan. Il nome del file che contiene il trojan, la directory in
cui viene creato e la chiave di registro in cui viene inserito il
riferimento possono essere configurati dall'hacker prima di spedire la mail.
Inoltre, viene installata una DLL dal nome variabile con funzioni di
Keylogger (cioe' in grado di memorizzare il testo digitato tramite
tastiera). Opzionalmente, Badtrans.B puo' cancellare il file originale
infetto dopo l'installazione del trojan.
Approfondimenti su BadtransPer reinviare i messaggi infetti, il worm usa una
connessione diretta al server SMTP; gli indirizzi dei destinatari vengono
ricavati dalla casella della Posta in Entrata oppure analizzando il
contenuto dei file *.HT* e *.ASP Il messaggio e' in formato HTML e sfrutta
la vulnerabilita' IFRAME. Il campo "From" della mail infetta puo' contenere
il vero indirizzo dell'utente infettato oppure un indirizzo scelto a caso
tra i seguenti:
" Anna""JUDY"
"Rita Tulliani"
"Tina"
"Kelly Andersen"
" Andy""Linda"
"Mon S"
"Joanna"
"JESSICA BENAVIDES"
" Administrator"
" Admin""Support"
"Monika Prado"
"Mary L. Adams"
" Anna"
"JUDY"
"Tina"
Il soggetto della mail e' vuoto, oppure "Re:", o "Re:" piu' il soggetto di
una mail trovata nella casella della Posta in Entrata; il corpo del
messaggio e' vuoto. L'allegato ha un nome casuale con doppia estensione,
seguendo questo schema:[Nome del
File]Pics(o PICS ),  Card(o CARD),  images(o IMAGES),  Me_nude(o ME_NUDE),
README,  Sorry_about_yesterday,  New_Napster_Site,  info,  news_doc(o
NEWS_DOC), docs(o DOCS),  HAMSTER,  Humor (o HUMOR),  YOU_are_FAT!(o
YOU_ARE_FAT!),  fun(o FUN),  stuff,  SEARCHURL,  SETUP,  S3MSONG[Prima
estensione]DOC .ZIP .MP3[Seconda estensione].scr, .pifAd es.:
"info.DOC.scr"Il worm conserva le mail da cui ha recuperato gli indirizzi
dei destinatari in un file denominato PROTOCOL.DLL nella directory di
sistema di Windows; prima di inviare una mail infetta, controlla nel file
che l'indirizzo non sia gia' stato contattato in precedenza, in modo da non
inviargli due volte il worm.
Approfondimenti su Badtrans
Badtrans.B si installa nella directory di sistema di Windows in un file
chiamato KERNEL32.EXE, registrato in questa chiave del System Registry:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce
Kernel32 = kernel32.exe
Il programma per il keyboard hooking e' contenuto in una libreria denominata
per default KDLL.DLL e ha il compito di inviare le informazioni sul sistema
a un indirizzo di Hotmail. Per default il log e' contenuto nel file
CP_25389.NLS nella directory di sistema di Windows.
Informazioni sulla vulnerabilita' IFRAME
L'allegato di Badtrans.B puo' autoeseguirsi durante la lettura della mail
infetta su sistemi che montano Internet Explorer e che non abbiano gia'
installato la patch disponibile presso:
http://www.microsoft.com/windows/ie/downloads/critical/q290108/default.asp
Disinfezione:
Per disinfettare il sistema, basta cancellare i file rilevati come infetti
dal worm e dal trojan. La cancellazione potrebbe non essere immediata se i
file sono in uso dal sistema operativo. In questo caso occorre scaricare e
lanciare con un doppio clic questo file REG:
ftp://ftp.europe.f-secure.com/anti-virus/tools/bt_b_dis.reg
Dopo il riavvio del sistema, il file del worm puo' essere cancellato. Il
file contenente il trojan, invece, puo' essere variabile, cosi' come la
relativa chiave di registro; quando FSAV rileva il file infetto, annotate il
nome e il percorso. Poi riavviate la macchina in DOS e cancellate il file
con il comando DEL (es: DEL nomefile). Per i sistemi basati su NTFS (Windows
NT, 2000, XP) e' necessario rinominare il file con nome e estensione
differenti (es. TROJAN.VIR) e riavviare il sistema. Dopo il riavvio, il file
sara' accessibile e potra' essere rimosso.
sopportare un peso maggiore, così facilmente rallentando, quando in realtà
non ce n'è bisogno.
Noi consigliamo di settare il timeout di una sessione a circa 5-10 minuti.
Ecco come :
<%
Session.TimeOut = tempoinminuti
%>
Esempio :
<%
Session.TimeOut = 7
%>
La Gran Bretagna invasa da Badtrans
Sembra che nel Regno Unito la nuova variante del worm abbia trovato un
terreno fertile dove propagarsi a grande velocità
A quanto pare, una nuova versione di worm Internet si è diffusa rapidamente
durante il weekend e sembra, secondo un'azienda inglese che si occupa di
antivirus, in procinto di raggiungere i livelli di epidemia di SirCam
di Wendy McAuliffe
27 novembre 2001
La variante "B" del virus W32/Badtrans@MM ha attaccato i pc domestici e
aziendali che hanno installato Microsoft Outlook. Inizialmente il rischio è
stato definito di medio livello, ma si prevede che raggiunga un livello
alto, alla fine della giornata di lunedì.
"Tutti i domini infetti che abbiamo riscontrato riguardano ISP (Internet
Service Providers) per utenti domestici: sembra che questo worm si sviluppi
in preferenza nel terreno fertile dell'utenza domestica , i dipendenti delle
aziende, tornando al lavoro lunedì lo importeranno anche sui network
aziendali", ha dichiarato Mark Sunner, chief technology officer della
società MessageLabs, che si occupa di antivirus.
A partire da lunedì mattina presto, MessageLabs ha riscontrato cento casi di
passaggio del worm attraverso i suoi server ogni minuto. In una giornata
normale, 10.000 virus vengono intercettati da Messagelabs a livello
Internet, ma Sunner prevede che oggi verranno segnalati oltre 30000
passaggi, 10.000 dei quali attribuibili a W32/Badtrans-B.
La variante "B", che si pensa abbia avuto origine in Inghilterra, unisce un
meccanismo di mass-mailing con un Remote-Access Trojan (RAT). I RAT
permettono di ottenere il controllo remoto di una macchina, senza che
l'utente si renda conto di essere stato infettato. In questo caso il RAT
viene inserito nella directory Windows, che cerca di inviare via e-mail
l'indirizzo IP della vittima all'autore del virus, il quale può dunque avere
accesso al pc e rubare password e altre informazioni riservate. Il Trojan,
inoltre, contiene un programma keylogger che registra le digitazioni
effettuate sul computer e pertanto può essere in grado di rubare
informazioni vitali, quali i numeri di carta di credito e di conto corrente
bancario. Il worm giunge via e-mail, come allegato, con una estensione
fasulla di 13.312 byte. Si diffonde grazie a Microsoft Outlook
riproducendosi su tutte le e-mail non ancora lette, nella casella posta in
arrivo.
"A causa del fatto che non utilizza una vulnerabilità del programma, ma si
diffonde grazie Microsoft Outlook, gli utenti sono esposti alle infezioni,
come loro erano con Melissa e Loveletter, se non hanno una protezione
adatta", ha dichiarato David Emm, manager product e marketing della società
McAfee AVERT, che produce antivirus.
L'originale worm Badtrans è stato scoperto l'11 aprile da McAfee AVERT. Il
computer che installano Microsoft Outlook possono essere protetti, da questa
nuova variante, semplicemente aggiornando il normale programma antivirus.

Problemi di Outlook ed Internet Explorer?
Cambia!
Browser:    
http://kmeleon.sourceforge.net
 (open source)
Mailer:     
http://www.kaufmansoft.com
 (shareware)
Newsreader: 
http://www.kaufmansoft.com
 (freeware)
I primi due sono OTTIMI, mentre il terzo lascia un po' a desiderare, 
comunque in ogni caso I VIRUS DI OUTLOOK NON LI PRENDONO! 
--
"La vita è ciò che ti accade quando sei intento a fare altri piani." 
(John Lennon) 
---------------------------------------
Francesco Sblendorio - Technical Writer
DEV - Login Internet Expert
Gruppo Editoriale Infomedia
ICQ# 123945003


E' la prima volta che li sento. Posso provare il browser e il mailer, per il
newsreader, sul mio computer, convive Forte' Free Agent che funziona alla
grande. Comunque grazie per l'informazione.
--
Zaxxon

 funziona alla grande. Comunque grazie per l'informazione.
Dove lo trovo Forte' Free Agent, che quello che uso io (ma anche 
Outlook) fa pietą? Pero' il browser ed il mailer sono fortISSIMI!!
--
"La vita č ciņ che ti accade quando sei intento a fare altri piani." 
