Newsgroup: it.cultura.cattolica
Titolo: [INFO] Virus "SirCam", fare attenzione

Cari amici,
senza voler creare inutili allarmismi, vi inviamo questa notizia
(verificata, non è la solita catena).
Si sta propagando in Internet l'ennesimo virus che si diffonde per posta
elettronica.
Il virus porta il nome di "SirCam", nome completo W32.Sircam.Worm@mm
Il messaggio che arriva assomiglia al testo riprodotto qui sotto:
=======================
Hi! How are you?
I send you this file in order to have your advice
See you later. Thanks
=======================
Il suddetto messaggio sembra provenire da un mittente "credibile" (cioè da
un nome di persona o di azienda) e ha un oggetto "normale"  (cioè una parola
o una frase di senso compiuto).
Il messaggio può contenere uno o più allegati, dalle estenzioni un po'
particolari.
ATTENZIONE: solitamente l'allegato si presenta con una estensione "doppia",
una delle quali può anche essere .doc oppure .txt o .xls (per esempio:
pluto.xls.bat, oppure topolino.doc.exe)
Come difendersi?
NON APRITE ASSOLUTAMENTE i file allegati o il vostro PC sarà infettato ed il
virus comincerà ad inviare e-mail utilizzando gli indirizzi e-mail che trova
nel client di posta, nonchè a diffondersi tra computer in rete.
Per evitare problemi, è sufficiente eliminare il messaggio incriminato,
cancellandolo senza aprirlo.
IMPORTANTE: se vi arrivano le e-mail con il virus non vuol dire che ne siate
contagiati.
Il virus, in questo caso, lo ha chi vi ha mandato il messaggio.
Eventualmente inviate un email al mittente (meglio nuova, evitate di
rispondere al mittente) in cui riferite che ha il virus e che all'indirizzo
della Norton che riportiamo può scaricare il programmino per eliminarlo.
http://www.symantec.com/avcenter/venc/data/w32.sir...@mm.removal.tool.h
tml
Ricordiamo che, usando intenet (ma non solo) è buona norma dotarsi di un
buon antivirus, e ancora più importante è tenerlo periodicamente aggiornato.
In guardia! ^_^
Angela & Fede


Non solo: il virus e' dotato del suo personale client di posta, e quindi invia le mail infette da solo!
L'unico modo per impedirglielo e' spegnere il modem!
A me le cose sono andate cosi': ho cercato di salvare un allegato rinominandolo con un'estensione innocua per esaminarlo meglio, ma ho premuto il pulsante sbagliato e l'ho eseguito!!!
Per fortuna Windows 2000 e' costruito in modo diverso da Windows 9x ed ME, per giunta l'ho configurato in modo bizzarro, e l'unico danno che il virus e' riuscito a farmi e' stato alterare il registro di sistema in modo non grave. Nessuno e' stato infettato a causa mia (sembra).
Ho voluto comunque far girare il programma di riparazione consigliato da Angela & Fede, e tutto sembra essere andato bene.
Ciao.

 (verificata, non è la solita catena).
Confermo la notizia, il virus e' arrivato anche a me ... ma non ho
abboccato, anche se la mail era di un amico, ehehe  ;-))
grazie ai mods, angeli custodi dei nostri hd!!
--
=============================================
Fabrizio Consorti
bib...@libero.it
=============================================

 Il messaggio che arriva assomiglia al testo riprodotto qui sotto:
Ciao Angela
Sono le 5.50,  scrivo da casa
Alle 6.30 ho appuntamento al Ced
con il mio  collega programmatore
Ieri e' stata una giornata impossibile
proprio a causa del Sircam :-((
ATTENZIONE : Un sintomo preoccupante per un PC in rete
( che indica un possibile contagio da SirCam )
e' quando al momento dello spegnimento di un  PC in rete
si viene avvisati di 1 ( o piu' ) utenti collegati al proprio PC
[ ovviamente per PC che non usano normalmente dischi condivisi ]
Torno alla storia della giornata di ieri :
Alle 9 di mattina abbiamo avuto segnalazione di 3 PC bloccati
( con ctrl-alt-canc si vedeva nell'elenco task sircam bloccato )
Contattati alcuni nostri consulenti siamo stati indirizzati
nella pagina di Symmantec che conteneva il Fixsirc.exe
[ lo si puo' scaricare dal link che ha indicato Angela ]
( Fixsric pulisce 3 file infetti e  3 righe di registry
poi a mano si deve togliere l'ultima riga in autoexec.bat )
Sircam e' un virus che va a installarsi nel cestino in modalita' nascosta,
e modifica l'ultima riga dell'autoexec.bat
per essere lanciato automaticamente all' avvio del PC
modifica anche alcune DLL come per esempio RUNDLL.EXE
ATTENZIONE !!!
sulla macchina che fa da gateway inserisce varie righe in autoexec
e cosi' si instrada tramite comando route nelle varie classi
di domini presenti nella rete
Alle 11 circa  i PC nella rete infettati erano circa 10 !!!!
Alle 18 circa  i PC nella rete infettati erano circa 20 !!!!
la rete dove lavoro io e' composta di circa 100 PC
Alcuni PC che erano stati puliti la mattina con Fixsric.exe
nel pomeriggio sono stati infettati di nuovo
Solo alle 18 abbiamo deciso di isolare dalla rete
[ fisicamente staccare dagli HUB tutti i PC ]
abbiamo aggiornato il Dat di MCAFEE
[ il DAT 4147 del 12 luglio 2001 non lo trova
mentre il DAT 4149 del 23 Luglio 2001 lo trova ]
e abbiamo ripreso a fare il giro completo dei PC
con il fixsric.exe che e' migliore del mcafee
[[ mcafee anche con nell' ultima versione
e con l'ultimo motore di scansione ha problemi
sulla rundll.exe ( o rundll32.exe )
quindi meglio di tutto e' il fixsirc ]]
oggi faremo un avviso per tutti gli utenti !
e non abbiamo ancora finito il giro
avevamo pensato di mettere in FixSirc.exe nello script di logon
ma non puo' essere eseguito in modalita' silent
e impiega circa 10 minuti a completare il suo lavoro
ora vedremo cosa fare
comunque e' il caso peggiore che mi sia mai capitato :-(
Ciao da Piero
e buona giorna (^___^)

 A me le cose sono andate cosi': ho cercato di salvare un allegato rinominandolo con un'estensione innocua per esaminarlo meglio, ma ho premuto il pulsante sbagliato e l'ho eseguito!!!
[...]
Alcune domande:
Queste righe interminabili del msg di Liang, sono una conseguenza del
virus, o di che cosa?
Chi non e` collegato alla rete tramite modem, ma, come me, tramite il
server dell'universita` di Pisa, che deve fare?
Qui si parla tanto dei diversi sistemi di Windows; ma chi ha, come me,
un siatema MacIntosh, ha da temere il virus o no?
Grazie in anticipo per le risposte
Giulio


Credo di no, perche' il virus e' un modulo eseguibile per
sistemi Windows 9x/ME. Non e' un virus macro.
Se usi Virtual PC per far girare una macchina virtuale Windows
sotto Mac OS, il sistema Windows installato potrebbe essere
vulnerabile al virus. Ma questa e' una domanda a cui non puo'
rispondere un "picciotto".
Ciao.

 la rete dove lavoro io e' composta di circa 100 PC
Alle ore 19 di questo pomeriggio
siamo riusciti a rendere
la rete era totalmente protetta
( spero )
Allora ho riattivato il Pop3 ( Mdeamon )
e mi sono arrivati all'istante dall'esterno
2 e-mail con il virus SIRCAM
[ in Veneto siamo infestati ! ]
prima che il vshield (mcafee ) mi avvisasse dei virus
(( forse mi avvisa solo al momento dell'apertura (?) ))
ho eliminato i 2 e-mail e ho cancellato la posta eliminata
Ho saputo da persone infettate
che aprendo gli attachment contengono
pezzi di documenti word o excel presi a caso
dal PC del mittente che potrebbero anche
essere anche documenti riservati :-(((
quindi doppia attenzione !!!!!
Ciao da Piero

 ho eliminato i 2 e-mail e ho cancellato la posta eliminata
Io fo normalmente uso di un programmino che permette di vedere cosa c'e' nel
server della posta *prima* di scaricarla, e se necessario di eliminare dei
messaggi direttamente dal server stesso [per la cronaca, si chiama AvirMail
e se ben rammento lo scaricai da Tucows]. Ultimamente ho notato l'arrivo di
una quantita' di messaggi pesanti circa un 200 KB. Puo' trattarsi di
messaggi portatori insani di SirCam?
Andrea
salo...@mediacomm.it

 messaggi portatori insani di SirCam?
i messaggi portatori di Sircam hanno tutti allegati
di dimensione 143 Kbyte
e con un nome con doppia estensione
per esempio : bilancio.xls.lnk
oppure : lettera.doc.pif
e diffondono oltre al virus
anche pezzi di documenti word o excel
presi a caso dal PC
il che puo' essere molto rischioso
per pc contenenti documenti riservati ....
ciao da Piero