Newsgroup: it.diritto.assicurazioni
Titolo: Vi è capitato ???

Sono giorni che sto combattendo con un virus che mi entra da ogni dove :
navigando, leggendo la posta, in questo N.G. ecc....
Per fortuna Norton me lo blocca sempre e lo distruggo ma, il problma
principale è che continua ad arrivare e, soprattutto, che, quando il mattino
accendo il computer, mi appare una finestra che mi avverte di non trovare un
file e poi un altra che mi invita a cancellarne un altro.....
Tutti i tentativi di cancellare questo avvio automatico (anche con tencici
di laboratorio) non ha dato esito.
Il farabutto si chiama W32.Opaserv.Worm che mi infetta C\:Windows\scrsvr.exe
(o qualcosa del genere : scusate ma non sono un esperto in informatica...).
Come ultima ipotesi il tecnico mi ha detto che devo portargli il computer
per azzerarlo e installare tutto nuovamente in quanto, dice che c'è un
"buco" nel sistema...
A qualcuno è capitato qualcosa del genere ?????
Grazie.
ZanRe


wrote:


Se ti compri un Mac queste cose non ti accadranno mai più.
Microsoft: se lo conosci lo eviti, se lo conosci non ti uccide.
Microsoft: chi lo usa avveleena anche te, digli di smettere.
Microsoft: e sai cos'è che ti si beve la vita.


 >ZanRe
http://securityresponse.symantec.com/avcenter/venc/data/w32.opaserv.worm.htm
l
Qui trovi tutte le informazioni riguardo al virus. Puoi anche scaricare il
removal tool. Non credo che tu debba necessariamente reinstallare il
sistema; forse basta un po' di pazienza.
Ciao.
Matto

 wrote in message
QOXr9.48201$RO.11...@twister1.libero.it...


Vi ringrazio TUTTI ma, ho provato ogni vostro suggerimento senza
risultato.....
La ricerca del virus nel mio computer risulta sempre NEGATIVA (l'esito, dopo
aver lanciato i vari programmini ed anche con la ricerca di Norton, mi dice
che il virus non è stato trovato !!!)
Il virus, ogni giorno, tenta di entrare da ogni dove (navigando in internet,
leggendo la posta, in questo N.G. ecc....)
ma, per fortuna Norton me lo blocca ed ora, sistematicamente, non lo metto
più neppure in quarantena ma, lo distruggo direttamente.
Il problema principale è che ogni volta che accendo il computer, sul Desktop
appare una prima finestra di allerta (disco rosso con croce di S.Andrea)
intitolata ""scrsvr.exe""contenente la scritta"""Impossibile trovare il file
"scrsvr.exe" o uno dei suoi componenti: Verificare che il percorso o il nome
del file siano corretti e che tutte le librerie necessarie siano
 disponibili""".
Premuto l'unico tasco di ""OK"" appare una seconda finestra di pericolo (con
triangolo giallo e punto esclamativo) intitolata ""Desktop"" contenente la
scritta """Impossibile caricare o eseguire il programma "scrsvr.exe",
specificato in WIN.INI. Controllare che il programma esista, oppure
rimuovere la riga di WIN.INI relativa al programma""".
Premuto ancora una volta l'unico tasto di ""OK"" tutto torna "normale" e
posso lavorare tranquillamente senza constatare altri problemi.
La cosa è molto fastidiosa e, neppure i tecnici di laboratorio chiamati sono
riusciti a far sparire quelle finestre di avvio....
Qualcuno ne sa di più ???
Grazie.
ZanRe

 risultato.....[cut]
Questa e' la FAQ creata da Happy Cactus per il problema che affligge
te..........ed altre migliaia di persone. :^)
mini-FAQ Opaserv
----------------
Versione 0.0.1a-pre-pre-alfa by HappyCactus
D: La connessione e' lenta, ho controllato sulle applicazioni in avvio
automatico e ho trovato un file scrsrv.exe, che cosa e'?
R: E' il sintomo dell'infezione dal worm Opaserv.
D: Opaserv? e chedd'e'?
R: Opaserv e' uno dei virus attualmente piu' diffusi in internet.
Un Worm e' un programma che si copia nei sistemi altrui, sfruttando
alcune vulnerabilita' e misconfigurazioni del tuo sistema windows.
D: Ma io ho l'antivirus, perche' non lo trovo?
R: L'antivirus e' aggiornato?
D: Come posso rimuovere opaserv?
R: Difendersi da opaserv e' abbastanza semplice, se uno ha l'accortezza
di prendere le adeguate precauzioni per chiudere le condivisioni dei
dischi e tenere aggiornato l'antivirus.
Consiglio di leggere innanzitutto le analisi del virus ai link che trovi
in fondo a questo documento.
Per prima cosa e' indispensabile chiudere le falle che permettono a
opaserv di entrare nel sistema.
Esso e' un worm classico, utilizza le condivisioni del disco C non
protette da password e quelle protette da password ma vulnerabili ad un
certo exploit.
Innanzitutto, quindi, bisogna proteggere tali condivisioni.
Il metodo piu' sicuro e' quello di rimuovere completamente la
condivisione file e stampanti di windows.
Tuttavia il primo passo e' quello di applicare la patch necessaria (solo
se hai Win98 o ME, invece Windows XP e 2Mila NON hanno bisogno di questa
patch). Via al sito indicato in fondo a questo documento e segui le
istruzioni.
Poi devi utilizzare un tool specifico, come quelli che trovi in fondo a
questo documento.
Oppure puoi eliminarlo a manina, le istruzioni le trovi sui siti delle
analisi.
D: Ho Win98/ME, come rimuovo le condivisioni ?
R: Segui le seguenti istruzioni.
Pannello di controllo -> rete -> TCP/IP (doppio click)
Vai alla pagina "Binding", dovrebbe esservi scritto "Condivisione file e
stampanti". Questa voce NON deve essere selezionata (non deve esservi la
crocetta di fianco).
Se hai anche una scheda di rete, la voce "TCP/IP" sara' presente assieme
a "Dispositivo di accesso remoto", scegli solo quella, altrimenti non
riuscirai piu' a condividere le risorse all'interno della rete locale.
Se la condivisione non serve affatto, eliminala completamente come
protocollo:
Pannello di controllo -> rete -> selezionare "Condivisione file e
stampanti" -> Elimina.
D: Ho Windows 2000/XP, come rimuovo le condivisioni?
R: ****da fare****
D: Ho una rete infetta, come rimuovo Opaserv?
R: Beh, con una rete le cose diventano un pelino piu' complesse.
Per prima cosa devi staccare completamente tutte le macchine della rete,
ho detto tutte! Quindi procedi a disinfestarle ad una ad una, patchando i
sistemi che lo richiedono, rimuovendo le condivisioni, o (se proprio non
puoi rimuoverle) proteggendole da password. Ricollega alla rete le
macchine solo quando sei sicuro che siano completamente pulite!
D: Ma e' un lavoro immane, non c'e' un metodo piu' semplice?
R: No.
D: Ma io non ho mai condiviso il disco C, perche' il virus entra lo
stesso?
R: Il disco C e' una condivisione amministrativa nascosa, quindi
accessibile anche se non l'hai fatto esplicitamente.
D: Io ho protetto le condivisioni con una password, perche' continuo ad
infettarmi?
R: Perche' non hai patchato il tuo Win98 o WinME. Corri subito ad
applicarla al sito in fondo alla pagina! e poi elimina gli share!
D: Non voglio eliminare gli share, come posso difendermi?
R: Puoi installare e configurare un firewall, ma attenzione, prima di
farlo devi capire come funziona e come configurarlo, altrimenti avrai un
falso senso di sicurezza o prenderai tanti spaventi per nulla. Leggi le
istruzioni sul sito del produttore del firewall che sceglierai, leggi le
far, leggi le securfaq.
D: Ho un firewall, da un po' di tempo continuano ad arrivarmi allarmi di
tentate intrusioni dall'ip (un-ip-qualunque) alla porta 137, che cosa e'?
R: Opaserv che cerca di infettarti. Sei il firewall ti allerta, vuol dire
che funziona bene. Disabilita gli alert e vivi felice!
D: Ho un firewall, da un po' di tempo continuano ad arrivarmi allarmi di
tentate intrusioni dall'ip (un-ip-qualunque) alla porta 137, Ho fatto la
scansione con l'AV ma non mi trova niente, aiutooooO!
R: Infatti: le connessioni vengono dall'esterno, non dall'interno. Il
virus e' al di fuori!
D: Opaserv viene rilevato nella cartella C:\_RESTORE, come faccio a
eliminarlo?
R: devi eliminare la cartella di restore di quel benedetto Windows ME /
XP. Cerca il link infondo alla pagina.
D: Al boot compare un messaggio "Impossibile eseguire il file
scrsrv.exe". cosa vuol dire?
R: Vuol dire che opaserv ha tentato di infettare il computer tramite una
condivisione aperta, ma non ci e' riuscito, ha solo modificato il win.ini
con la chiave
run = srcsrv.exe
Controlla comunque con un Antivirus aggiornato, ma soprattutto chiudi le
condivisioni!!!
------------------------
Link utili:
* Analisi:
http://www.sarc.com/avcenter/venc/data/w32.opaserv.worm.html
http://www.sophos.com/virusinfo/analyses/w32opaserva.html
* Removal tools:
http://securityresponse.symantec.com/avcenter/FixOpsrv.exe
* Patch per windows:
http://www.microsoft.com/technet/security/bulletin/MS00-072.asp
* Come rimuovere la system restore da windows:
ME:
http://service1.symantec.com/SUPPORT/tsgeninfo.nsf/docid/2001012513122239
XP:
http://service1.symantec.com/SUPPORT/tsgeninfo.nsf/docid/2001111912274039
--
HappyCactus - Linux User #209744 - LFS User #6046 - >>> SMSPM1050 <<<
              YAGF Member Group >>> 
www.google.com
 <<<
Ci sono 10 categorie di persone al mondo: quelle che capiscono
il sistema binario e quelle che non lo capiscono.
L'ho riportata papale papale firma e link inclusi.
Un ultimo suggerimento.....cambia tecnici!!!!! ;^))
Ciao
Lello
--
"Who caused the sun to shine again to me"

 risultato.....

 Ti do una dritta, anzi due:
1 - apri il file win.ini nella directory di windows e cancella la riga
run: scrsrv.exe
2 - scarica da un sito ftp, per esempio 
ftp.vol.it
 (il sito della
Mondadori) il programma regcleaner (è freeware) e con il medesimo
cancelli dal file di registro il programma scrsrv.exe
Dovrebbe bastare per non ritrovarti i due tags all'avvio.
Sappi dire come è andata.
Ciao
--
Giampaolo Natali
natalia...@libero.it
natalia...@tiscalinet.it

Ho girato il tuo proble al mio fratre. Se c'è soluzio farà sapere a me o 
diretta a te.
