Newsgroup: it.discussioni.ufo
Titolo: [OT] SOBIG: come difendersi dal più grande spam di tutti i tempi

La diffusione del worm denominato Sobig, o più compiutamente W32/Sobig.f@MM
o worm_sobig_f. sta avanzando sempre più rapidamente in tutto il mondo. La
nuova minaccia informatica si è già impadronita della posta elettronica di
numerosi utenti non solo negli Stati Uniti ma anche in Francia, Germania,
Spagna e Paesi scandinavi. E sono arrivate moltissime segnalazioni anche
dall'Italia, tanto che il Ministero per l'Innovazione e le Tecnologie, nella
persona del Presidente del Centro Nazionale per l'Informatica nella Pubblica
Amministrazione ha diffuso una speciale comunicazione di allerta riguardante
le caratteristiche del virus e il sistema per disfarsene.
Il virus, potente, velocissimo e soprattutto difficile da riconoscere, è
scritto in linguaggio MVSC e si propaga via mail. È poi in grado di generare
messaggi uscenti utilizzando un proprio motore SMTP, quindi di diffondersi
anche su reti condivise.
Ovviamente la prima azione da intraprendere per difendersi è la verifica
della data di aggiornamento del proprio antivirus, seguita dall'eventuale
installazione della versione più recente, anche se il sistema migliore per
non contagiarsi rimane sempre l
Il vero problema di questo worm è però la sua individuazione: per non farsi
riconoscere, Sobig F cambia continuamente aspetto e il soggetto del
messaggio. Al fine di non essere rilevato automaticamente da possibili
filtri dei server di posta, che potrebbero escludere l'ingresso di file
aventi una precisa dimensione, il worm trasporta informazioni prive di
senso - in quantità variabile di volta in volta - accodate al file infetto,
in modo da renderlo non identificabile dai normali sistemi di check. Ad ogni
buon conto il file originario pesa 72295 bytes.
Se ricevete una mail con uno di questti file in allegato, non apritelo!Quasi
sicuramente contiene il worm Sobig
application.pif
details.pif
document_9446.pif
document_all.pif
movie0045.pif
thank_you.pif
your_details.pif
your_document.pif
wicked_scr.scr
Il mittente del messaggio può essere un qualunque indirizzo estratto dalla
rubrica di uno dei computer vittima, pertanto la mail sembra provenire da un
normale interlocutore. Oppure può essere un indirizzo falso di una persona
conosciuta.
'evitare di aprire i file allegati a messaggi sospetti.
L'oggetto del messaggio che veicola il virus è scelto a caso tra uno dei
seguenti:
Re: Approved
Re: Details
Re: Re: My details
Re: Thank you!
Re: That movie
Re: Wicked screensaver
Re: Your application
Thank you!
Your details
Il corpo del messaggio è normalmente uno dei seguenti:
Please see the attached file for details.
See the attached file for details
Il file allegato, quello che contiene il virus, si nasconde sotto le
sembianze di uno screensaver (.scr) o di un file contenente un programma di
informazione Windows (.pif). I nomi degli attachment più comuni sono:
. "application.pif"
. "details.pif"
. "document_9446.pif"
. "document_all.pif"
. "movie0045.pif"
. "thank_you.pif"
. "wicked_scr.scr"
. "your_details.pif"
. "your_document.pif"
Una volta che l'incauto destinatario del messaggio infetto abbia aperto
l'allegato, il worm va a copiarsi sul computer assumendo il nome di
WINPPR32.EXE oppure WINSTT32.DAT, e si memorizza nella directory di Windows
(es. C:\WINNT\WINPPR32.EXE) creando un file di configurazione WINSTT32.DAT
(es. C:\WINNT\WINSTT32.DAT).
A questo punto "Sobig" va ad aggiungere le seguenti chiavi di registro:
HKLM\Software\Microsoft\Windows\Run\CurrentVersion\TrayX con valore:
%WINDIR%\winppr32.exe /sinc
HKCU\Software\Microsoft\Windows\Run\CurrentVersion\TrayX con valore:
%WINDIR%\winppr32.exe /sinc
Che fanno in modo che il programma virus si auto-esegua ogni volta che il
computer viene acceso.
Per diffondere l'infezione, il worm ricerca poi nell'hard disk del computer
indirizzi email contenuti in file di tipo: *.dbx, *.eml, *.hlp, *.htm,
*.html, *.mht, *.txt, *.wab e, dpo averli trovati vi si auto-invia.
Come disfarsi del virus
Le principali case produttrici di software antivirus hanno creato dei
cleaner, ossia dei programmi che rimuovono automaticamente il virus e
ripuliscono i registri. Gli antivirus rilevano la presenza di tutte le
versioni di Sobig attualmente conosciute, cancellano i file infetti,
eliminano i processi di elaborazione infetta presenti in memoria e riparano
i file di registro di Windows eliminando quanto aggiunto indebitamente da
Sobig. Programmi di questo tipo sono scaricabili gratuitamente dalla rete da
indirizzi come, per esempio, 
http://www.nod32.it/home/home.htm
.
Chi ha esperienza nell'utilizzo del proprio personal computer può comunque
procedere alla rimozione manuale dell'infezione seguendo le seguenti tappe:
1) Avvio del computer
L'utente che utilizza Windows nelle versioni 95, 98 e ME deve riavviare il
computer in "modalità protetta", avendo cura di premere il tasto F8 non
appena il testo di avvio di Windows viene visualizzato sul monitor.
Chi, invece, utilizza Windows nelle versioni NT, 2000 e XP deve premere
contemporaneamente i tasti CTRL, ALT e DEL (o CANC, a seconda del modello di
tastiera) così da far apparire al centro dello schermo una finestra dedicata
alla protezione di Windows; deve quindi fare clic con il mouse in
corrispondenza del pulsante "Task Manager"; selezionare "Processi" e - fatto
scorrere l'elenco dei programmi in esecuzione - posizionare il cursore o il
mouse su WINPPR32.EXE; fare clic su "Termina processo".
2) Eliminazione dei file dalla directory di Windows
Cancellare dala directory di Windows (normalmente C:\WINDOWS oppure
C:\WINNT) i file WINPPR32.EXE e WINSTT32.DAT.
3) Revisione del file di registro
Eliminare il valore "TrayX" da
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_CURRENT_USERS\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
I Paesi colpiti da Sobig F sono almeno 134 e, contemporaneamente a questo
virus, ci sono attualmente almeno due altre grandi offensive scatenate da
bachi informatici: quella provocata dal famigerato MSBlaster e quella
attuata dal virus Welchia che, sfruttando la stessa vulnerabilità di Windows
distrugge il predecessore Lovsan e poi, entra in azione.
Cnn Italia 23 Agosto 2003
-- 
Leonard Sersani

 Spagna e Paesi scandinavi.
L'unica soluzione e' cambiare quella merda di windows :-)
dan

 dan
ma un antivirus aggiornato e un firewall vi fanno schifo?
--------------------------------
Inviato via 
http://usenet.libero.it

 L'unica soluzione e' cambiare quella merda di windows :-)
Non sono certo un fan di Windows (uso Mac, dove i virus sono una
eventualità molto remota) ma mi sembra che la soluzione migliore sia
quella di non aprire i messaggi che arrivano da sconosciuti O se si
tratta di mittenti conosciuti non aprire i file allegati se non si è
sicuri del contenuto.
-- 
D i e g o  C u o g h i
 
www.diegocuoghi.com

 dan

 L'unica soluzione e' cambiare quella merda di windows :-)
per usare quella cagata di MAC?? :-)))


basterebbe non aprire i file sospetti di Outlook, e non mi sembra molto
difficile, attivi la visualizzazione delle estensioni dei file e mi sembra
logico che un .pif o un .bat non lo apri,
se non hai questa capacità nel riconoscerli ti metti su un antivirus o passi
la posta su yahoo o hotmail e i virus te li tolgono loro.
X Daniele, quando uno col suo PC ci fa grafica di medio alto livello
(photoshop, multimedia, editing videogames), usa programmi che esistono solo
per Windows e se esistono per Linux vanno la metà e sono pieni di Bug? che
fai? smetti di lavorare?
kit

  e se esistono per Linux vanno la metà e sono pieni di Bug?
sul confronto gimp - fotosciopp per uno che ci sa fare quest'ultimo esce
con le ossa rotte:-))

 
a dire il vero ho notizie di grafici che passano a linux per poter usare 
gimp...sono notizie errate?
alek
-- 
agente operativo del BINT
appartenente ai gruppi d'assalto del SCS
presidente del LSFC
hacker della terribile banda del localhost

 con le ossa rotte:-))
Non conosco Gimp, ma non riesco ad immaginare cosa ci possa essere di meglio
di Photoshop...

 con le ossa rotte:-))
tutto puņ essere, Arecibo, resta il fatto che tutti quelli che conosco che
usano il PC per lavorare e anche giocare (che e' la maggior parte), devono
usare Windows, di riflesso, se devo comprarmi una suite come Red hat, per
avere la stessa interfaccia di Win, poi prendermi StarOffice od OpenOffice,
battere un testo di 50 pagine e poi vedermelo tutto rimescolato a cazzo:)
quando lo porto allo studio dove per forza di cose ho Windows...
kit

 ma un antivirus aggiornato e un firewall vi fanno schifo?
process exploer fa al caso dell'antivirus
si prega innoltre di aggiornare brain.sys
e controllare che sia caricato !


 eventualità molto remota)
direi impossibile.
Benvenuto compagno :-)
dan

 wrote:

l'ignoranza paga.
comunque dei fantastici argomenti per dibatterci!
Tra le altre cose impara a scrivere, se non altro fai più bella figura:
MAC = Mac 
MAC = INdirizzo scheda di rete
dan

 fai? smetti di lavorare?
GIMP gira su LInux
Tutti i programmi per pc e molto di più per grafica/impaginazione oltre
che video/musica ci sono anche per Mac... e girano molto meglio (uno che
c'ha provato.. :-)
Per i videogames, sono daccordo che non ci sono tutti...ma sinceramente
preferisco la play et console varie per giocare (sempre che abbia tempo
e voglia di usarle :-)
-- 
Daniele a.K.a Malcom
    | mail: 
malco...@nospam.libero.it
    | aim:  malcombsd
    | web:  
www.westcode.vze.com


:Provate a guardare gli ingredienti del famoso Labello che si usa per
:le labbra screpolate: Butirrospermum Parkii (sperma di maiale).