Newsgroup: it.sport.calcio.inter
Titolo: [OT] - W95.Hybris.gen

Ringrazio NightRise® e MaXXe per le informazioni che mi hanno mandato.
Ritengo di dover postare qui alcune informazioni su questo worm, benché
OT.
Tralasciando la differenza che passa tra un virus ed un worm, diciamo
che cosa fa.
Il suo scopo è quello di infettare il file WSOCK32.dll, che è una
libreria di Windows. Questa sovrintende, tra le altre funzioni, alle
chiamate al modem. Hybris manipola le funzioni CONNECT, RECV e SEND.
Quello che è interessante è che non ha importanza quale client usate per
leggere la posta. A Hybrys questo non interessa. Non importa che usiate
Agent, Eudora o Outlook: lui va a monte, e spedisce tramite WOSK32
modificato. Così non potete neanche vedere che c'è posta nella casella
di uscita.
Bon. Ammettiamo che voi, prudenti come siete, abbiate messo l'attributo
di sola lettura al file; oppure ammettiamo, più semplicemente, che siete
collegati alla linea: in questo caso WSOCK32 è in uso, e dunque Hybris
non può accedervi.
Voi penserete di stare tranquilli. E invece no!
Il fetentone crea una copia identica di WSOCK32, lo rinomina a caso, e
lo infetta. Poi aggiunge un "rename" ai file di inizializzazione di
Windows. Infine aggiunge:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce
  {Default} = %WinSystem%\WormName
dove %WinSystem% la path della directory System e WormName è
quell'eseguibile col nome random che dicevamo. Per cui potete trovare:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce
  {Default} = c:\windows\system\koekicko.exe
come nel caso dell'amico NighRise®.
Purtroppo tutto ciò che è sotto RunOnce viene eseguito una volta sola,
al primo riavvio, e viene svuotata. E dunque, anche se siete infetti e
andate a controllare, non troverete niente. Attenzione: può essere che
RunOnce lo troviate sotto
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce.
Arriviamo ora allo scopo di tanto bel daffare, e il motivo per cui
voglio allertarvi. Questo Worm intercetta TUTTE le comunicazioni in
rete, e dunque anche le connessioni in Internet. Filtra le informazioni
che transitano, in uscita e in entrata, e ogni qual volta odora qualcosa
che assomiglia ad un indirizzo Email, la trattiene in memoria, aspetta
un pò e poi spedisce una copia di se stesso a quell'indirizzo. Il bello
è che manipola tutte le informazioni riguardanti il vostro computer.
Così, ad esempio, se io sono infetto e inavvertitamente ne spedisco uno
a Maxxe, lui non potrà mai avvertirmi perché non sa che gliel'ho spedito
io.
 Ciò è molto più pericoloso di quanto pensassi all'inizio. Prima pensavo
fosse una variante di un worm che andava a spulciare la rubrica di
Outlook. Questo se ne frega se avete la rubrica di Outlook! E rimane tra
il vostro client e il modem.
Non ho potuto verificare se un firewall intercetta le sue uscite. Ho
verificato che Norton Antivirus, con le definizioni di Dicembre,
identifica correttamente questo Worm. Ricapitolando:
- Se ricevete un eseguibile dal nome incomprensibile come le decisioni
di Braschi, cancellatelo, e prima di chiudere il client, svuotate il
cestino.
- Se volete capire se siete infetti, speditevi un'email. Se ricevete DUE
vostre email...siete infetti.
- Non prendetevela se ve lo spediscono. Non l'hanno fatto apposta.
Probabilmente neanche vi conoscono. Basta scaricarsi i messaggi dal ng e
quello pesca a caso. In questo caso modificare il proprio indirizzo
risolve molto parzialmente la cosa.
- Munitevi di un Antivirus di cui potete aggiornarlo periodicamente.
- Se usate Internet per Napster, Chat, IRCI, o navigare a lungo,
munitevi di Firewall. Non tanto per vedere quanti idioti bussano alle
vostra porte, quanto per vedere quali applicazioni fanno uscire
informazioni.
- Non ho descritto tutte le potenzialità di questo worm che si
autoaggiorna tramite connessione ad un sito web (fra più di 70
disponibili) con una chiave di criptazione a 128 bit del tipo RSA.
- Uno dei metodi di upgrade di questo worm è l'uso di ng quali
alt.comp.virus. Se trovate post con subject con lettere a caso, o è Lù
Ré oppure è frutto di Hybris. E' inutle che non scarichiate i body di
questi messaggi. Se serviva, lui l'ha già fatto. Piuttosto controllate
se nella directory %WindowsSystem% trovate file random tipo DJVIUKN.IHD,
oppure file eseguibili doppi, tipo FONTREG.EXE e FONTREG.EX$
- Non avviate eseguibili sconosciuti
- Disabilitate gli script in Outlook e Internet Explorer:
Opzioni Internet --> Personalizza Livello --> cercate dove compare
Script o Java o Active-X, mettete su Chiedi conferma o disattiva (a
seconda dei gusti)
Pant, pant...ho finito
--
Fede Nerazzurra
Matloc®
¯¯¯¯¯¯¯
#6 Inter NET Club Beppe Bergomi
http://www.interisti.net
INC: 
intern...@iname.com

 oppure file eseguibili doppi, tipo FONTREG.EXE e FONTREG.EX$
Eih... e io che c'entro ???
w la Rai e Interisti.net...
http://www.raisport.rai.it/news/sport/calcio/200012/09/3a311f7901059/
Lù Ré ®
Tessera I.N.C. 040
www.interisti.net
« sei un Grande Merdazzurro Perdentone...
   e non vincerai mai un GROSSO C@zZo...
   ... cambia allenatore, vale solo il 10 % ...
   ... cambia il tuo nick   1, 2, ...1000 volte!   »

Grazie MatlocŽ.

 Eih... e io che c'entro ???
:-D
