Newsgroup: it.comp.giochi.simulatori.volo
Titolo: [ot] Warning Virus

 IL MEGAVIRUS CHE COLPISCE AL CUORE!
Arriva come una lettera d'amore, con tanto di I Love You nel soggetto, ma
dietro si cela l'inganno: un virus scritto in VBScript che si sta
diffondendo alla velocita' della luce
URL: 
http://punto-informatico.it/pi.asp?i=31719
Occcio raga !
Lupin

 ha scritto nel messaggio
news:8euf12$80d$1...@nmaster.tin.it...

Se lo è beccato un mio collega proprio ieri sera, e mi ha costretto ad una
giornata di inferno, a ripulire la sua macchina ed ad installare gli ultimi
aggiornamenti devirus su tutte le reti locali dell'azienda... quelle remote
me le faccio lunedì.
Ma che fesso, pensare che il mittente era una fornitore (maschio) che non
spiccica una parola di inglese, quindi sospetto, no?
Ma il caro collega aummm, ha abboccato :-)
cmq tutto risolto almeno spero.
P.S. attenti perchè gira anche una mutazione con oggetto "joke".
--
Chi non ha dubbi è un idiota...
Non ne ho alcun dubbio.
--
Francesco
Nick: Naso
e-mail: frca...@NOSPAMtin.it

 Ma il caro collega aummm, ha abboccato :-)
Una volta, tanto tempo fa, chi correva meno veloce degli altri diventava
preda di qualche bestia piu` affamata di lui. Chi era piu` debole
soccombeva: si chiamava legge di selezione naturale. Al giorno d'oggi
soccombe chi e` piu` stupido e apre un attachment non richiesto :-): e`
sempre selezione naturale.
Ciao
Franco

sempre selezione naturale
ROTFL :-))))))))))
_
Lecter
°°°°°°°°°°°°° Non essere un Volpilla °°°°°°°°°°°°°
(con la forza della Volpe e l'astuzia del Gorilla)
                   <saggezza orientale>

sempre selezione naturale.
Consigli di abbattere il collega? :-)
D'altra parte se un fornitore mi scrive che mi ama, un minimo di
sospetto che sia una fregatura, mi viene...
Ciao
-- 
==============
Kilroy è stato qui
==============
#45962348
SETI @ Home    ver 2.4
http://setiathome.ssl.berkeley.edu/

Toglietemi una curiositą,ma basta leggere il post oppure devi aprire anche i
file allegati?
Penso la seconda,ma spesso(sui giornali) la notizia viene riportata male e
perciņ mi č saltato questo dubbio.
Ciao
Rauno

diffondendo alla velocita' della luce
pensa che a me č arrivato dall'ufficio... da un certo Alessandro...
che mi diceva ILOVEYOU...!!!! (con estensione vbs...)
ehe...  il mio infallibile sesto senso mi ha detto che qualcosa non
andava... ehe... mica sono scemo io!
...allora ho fatto un doppio clic sull'allegato...
adesso scrivo dal pc di mia cugina, perchč al mio č successa una cosa
strana, che non ho capito... bo'.. speriamo che il tecnico sappia cosa
fare...
=(
ciaů!
Ryz
Se non hai paura di morire...
...non morirai di paura!
Erberto Di Ruggiero

 ciaù!


Ho reperito questa utile, (spero se no' data la lunghezza me menate  :o(   )
informazione sempre sul virus LoveLetter.
Spero di non infrangere alcun diritto o Copyright... l'ho solamente reso
pubblico poiche' ritengo possa essere una buona prevenzione.
Ciao !
Lupin.
Analisi del worm I-Worm.LoveLetter (famiglia di virus)
(Future Time di Paolo Monti © 2000)
----------------------------------------------------------------------------
----
I-Worm.LoveLetter.A
I-Worm.LoveLetter è un nuovo Internet worm (particolari tipi di virus che si
diffondono in network di computer) in formato VBScript (Visual Basic Script)
per Windows Scripting Host (WSH) che si diffonde attraverso e-mail create
con Microsoft Outlook.
Il worm funziona soltanto su sistemi Windows dove è presente WSH, che viene
installato per default in Windows 98 e Windows 2000 o comunque in sistemi
dove è stato installato Internet Explorer 5.x. Il worm è in grado di
pilotare MS Outlook tramite MAPI (Messaging Application Programming
Interface).
Il worm sembra provenire dalle Filippine, dal momento che nel sorgente è
possibile leggere il seguente testo
barok ...i hate go to school suck ->by:spyder @Copyright (c) 2000
GRAMMERSoft Group >Manila,Phils.
I-Worm.LoveLetter ha effetti distruttivi per i dati. Dopo essere stato
eseguito, il worm comincia una ricerca su tutti i drive locali e di rete,
effettuando diverse operazioni sui file che hanno le seguenti estensioni:
VBE, VBS:
questi file vengono sovrascritti con il codice del worm
JS, JSE, CSS, WSH, SCT, HTA:
il worm crea un nuovo file avente lo stesso nome del file originale ma con
estensione .VBS. Il file originale è cancellato.
JPG, JPEG:
il worm crea un nuovo file con estensione .VBS, aggiunta al nome e
all'estensione del file originale (ad esempio un ipotetico file SAMPLE.JPG
diventa SAMPLE.JPG.VBS). Nel nuovo file viene scritto il codice del worm. Il
file originale è cancellato.
MP2, MP3:
viene creato un nuovo file nella modalità descritta per i file JPG e JPEG.
Il file originale viene mantenuto, ma con l'attributo "nascosto" impostato.
MIRC32.EXE, MLINK32.EXE, SCRIPT.INI, MIRC.HLP, MIRC.INI:
se uno di questi file viene trovato, il worm crea il file SCRIPT.INI nella
cartella dove risiedono tali file. Il worm inoltre crea anche alcune copie
di se stesso nella cartella di sistema, usando i seguenti nomi di file:
MSKERNEL32.VBS, WIN32DLL.VBS, LOVE-LETTER-FOR-YOU.TXT.VBS.
I-Worm.LoveLetter imposta alcune chiavi nel Registro allo scopo di eseguire
automaticamente i file VBS creati:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\MSKernel32
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices\Win
32DLL
Diffusione tramite posta elettronica
Il worm invia copie di se stesso a tutti gli indirizzi trovati nella Rubrica
di MS Outlook. E' importante sottolineare che il meccanismo di diffusione
attraverso e-mail può funzionare soltanto se sul sistema è installato MS
Outlook 98 o 2000. Il messaggio di posta elettronica creato dal worm si
presenta in questo modo:
Soggetto: ILOVEYOU
Testo: kindly check the attached LOVELETTER coming from me.
Allegato: LOVE-LETTER-FOR-YOU.TXT.vbs (cioè il worm)
Il worm crea anche una sorta di HTML dropper nella cartella di sistema di
Windows. Il dropper mostra sullo schermo il seguente messaggio:
This HTML file need ActiveX Control
To Enable to read this HTML file
- Please press 'YES' button to Enable ActiveX
Mostrato tale messaggio, il dropper crea il file MSKERNEL32.VBS contenente
il codice del worm e ne imposta l'esecuzione automatica attraverso la
creazione di un'apposita chiave nel Registro.
Altri effetti
I-Worm.LoveLetter testa la presenza del file WINFAT32.EXE nella cartella di
sistema di Windows. Nel caso in cui il file non sia presente, il worm
modifica una particolare chiave nel Registro che gli permette di impostare
l'indirizzo della pagina iniziale mostrata all'avvio di Internet Explorer.
Il nuovo indirizzo viene scelto a caso tra quattro possibili URL sul server
www.skyinet.net
. Tutti gli indirizzi puntano a un file WIN-BUGSFIX.EXE, che
nelle intenzioni dell'autore del worm dovrebbe essere prelevato attraverso
Internet Explorer e memorizzato nel percorso C:\, per poi essere eseguito al
successivo avvio del sistema operativo attraverso un'altra chiave Run creata
dal worm nel Registro. In realtà tale operazione non pare avere alcun esito,
dal momento che il file WIN-BUGSFIX.EXE sembra essere stato rimosso da tutti
gli indirizzi usati dal worm.
Secondo quanto riportato da Mikko Hypponen di F-Secure Corporation, il file
WIN-BUGSFIX.EXE è un cavallo di troia in grado di rubare delle password. Al
suo avvio, il trojan tenta di trovare una finestra nascosta di Windows con
nome 'BAROK.'. Se la finestra risulta assente il trojan effettua un test
sulla presenza della chiave WinFAT32 nel seguente percorso del Registro:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
Se la chiave non esiste, il trojan la crea, copia se stesso nella cartella
di sistema di Windows usando il nome WINFAT32.EXE e quindi scrive nuovamente
nel Registro allo scopo di creare una nuova chiave che permetterà
l'esecuzione del trojan ad ogni avvio di Windows. A questo punto il trojan
imposta la pagina iniziale di Internet Explorer a "about:blank" (pagina
vuota) e tenta di trovare e cancellare le seguenti chiavi nel Registro:
Software\Microsoft\Windows\CurrentVersion\Policies\Network\HideSharePwds
Software\Microsoft\Windows\CurrentVersion\Policies\Network\DisablePwdCaching
.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Policies\Network\HideShar
ePwds
.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Policies\Network\DisableP
wdCaching
Il trojan registra una nuova classe di finestre e ne crea una nascosta con
il titolo impostato a 'BAROK.', quindi rimane residente nella memoria del
sistema come applicazione non visibile. Subito dopo il suo avvio e nel
momento in cui un contatore interno raggiunge un determinato valore, il
trojan carica in memoria la libreria dinamica MPR.DLL, chiama la funzione
WNetEnumCachedPasswords e invia le password trovate all'indirizzo
mai...@super.net.ph
. Il trojan usa il server '
smpt.super.net.ph
' per spedire
le e-mail. Il soggetto delle e-mail è 'BAROK.
I-Worm.LoveLetter.B
Questa nuova variante del worm cancella tutti i file INI e BAT, invece dei
JPG e JPEG. Viene cambiato anche l'indirizzo dellla pagina iniziale alla
quale punta Internet Explorer, in modo tale da non tentare più il prelievo
del trojan WIN-BUGSFIX.EXE. Il messaggio di posta elettronica che contiene
l'allegato infetto si presenta in questo modo:
Soggetto: Mothers Day Order Confirmation
Testo: We have proceeded to charge your credit card for the amount of
$326.92 for the mothers day diamond special. We have attached a detailed
invoice to this email. Please print out the attachment and keep it in a safe
place.Thanks Again and Have a Happy Mothers Day! 
mothe...@subdimension.com
Allegato: mothersday.vbs (cioè il worm)
I-Worm.LoveLetter.ß
Questa è una variante del I-Worm.LoveLetter che presenta solo lievi
differenze rispetto all'originale. Il messaggio di posta elettronica che
contiene l'allegato infetto si presenta in questo modo:
Soggetto: fwd: Joke
Testo: <nessuno> (il messaggio non presenta alcun testo)
Allegato: Very Funny.vbs (cioè il worm)
Roma, 05/05/2000 - Analisi a cura di Paolo Monti e Eugene Kaspersky (C) 2000

Analisi del worm I-Worm.LoveLetter (famiglia di virus)
...per la pupazza incandescente!
(mi č venuta cosě in preda a raptus stupitus)
'sto virus č un flagello diddio!
=(
ciaů!


 dall'aprirle... o comunque farle scansire (si dice cosi?)
SCANNARE!! la parola è SCANNARE!
Ciao
"Io vivo solo in casa,
cioè da solo e solo in casa"




 >


SCANNARE!! la parola è SCANNARE!
scannare lo facevano gli indiani pellerossa ai cawboy come te!
=)
io preferisco dire scannerizzare... un po' più lungo, forse meno
elegante, ma certamente meno brutale!
e poi se dici ad un foglietto A4 che lo devi scannare, si mette a
vibrare tutto e poi viene mosso...
=)))
ciaù!


ma di solito ci si azzecca! :-)
nel senso che pensava di avere una zecca sulla gobba!
=)
questa è la peggiore di oggi... ehe


del PC infetto e si autoinvia a tutti gli indirizzi ivi riportati. 
Ok... a parte che non ho ( :((((  ) amiche su internet.... Poi, un I
LOVE YOU da parte di amici (maschi) č cmq un pochino strano ( o
perlomeno per me č cosi'... ;))) non trovi? 
Ciao,
Francesco Aruta
ICQ#27682852

 wrote in message
39157d8...@news.tiscalinet.it...

ASSSSSSOLUTAMENTE D'ACCORDO!!!!!!!
Pero' io ho tante amiche su internet per cui ho tanta paura di essere
infettatto :-)). (Magari fosse vero!)


 > >del PC infetto e si autoinvia a tutti gli indirizzi ivi riportati.
CUT...