Newsgroup: italia.genova.discussioni
Titolo: attenzione: virus

non aprire assolutamente email che ha come mittente "Stefano Finauri"
stef...@tiscalinet.it
qualche bastardo mi ha inviato un virus e me lo sono beccato. Questo
spedisce email con quell'altro mio indirizzo, e si replica da solo tramite
outlook express.
ciao
Stefano

outlook express.
 Probabilmente si tratta di  "Bad Trans", in circolazione da sabato: ha due
allegati, uno con estensione ".txt" ma vuoto e l'altro con doppia estensione,
tipo ".mp3.pif"?
 Usando autlucco pare basti avere attiva l'anteprima per attivarlo. Se non si ha
un antivirus *molto* aggiornato un sistema facilissimo per vedere se si e'
attivato e' controllare se nella directory c:\windows\system si e' creato un
file "kernel32.exe" (".exe", non ".dll": quello e' normale che ci sia): e' lungo
29KB. Per cancellarlo bisogna andare in DOS. Giacche' si e' li', conviene
cancellare anche il file "kdll.dll", lungo 5632 byte, e gli eventuali
"protocol.dll" e "CP_25389.NLS", che comunque lasciati li' da soli dovrebbero
essere innocui.
 Ci sarebbe poi da cancellare la voce "kernel32.exe" dal Registro di
Configurazione: siccome spippolare il Registro e' un'operazione delicata,  non
vado oltre, tanto ormai ci sono gli aggiornamenti degli AV che fanno tutto
loro...   8-)
 ciao
	pgg

Ios <none...@cubo.cul> wrote in message 3c04973b$1...@news.mediaset.it...

me ne ha stoppate un paio il norton giusto ieri, bastardo questo visus,
perchè oltre ad infettare il PC "sputtana" in giro pure il proprietario a
sua insaputa.
CMQ deve aver fatto anche un'altra vittima, perchè una era tua ma l'altra
aveva un diverso mittente.
--
Ciao Michele
http://web.tiscalinet.it/mikyra

  Usando autlucco pare basti avere attiva l'anteprima per attivarlo.
..
L'ho appena ricevuta e posso confermare
che non basta vedere in anteprima la mail
per attivare il virus: ho provato, e il mio PCCillin
superaggiornato non ha rilevato niente.
Però, quando ho salvato la mail in una cartella
temporanea e l'ho fatta analizzare dall'antivirus,
ha rilevato il virus:  WORM_BADTRANS.B
e l'ha eliminato.
--
Ciao :-)
Angelo
A mæ patria a l'é Zena, a "Superba"!
¤º°`°º¤ø,¸¸,ø¤º°`°º¤øø¤º°`°º¤ø,¸¸,ø¤º°`
http://space.tin.it/lettura/xpavese

vado oltre, tanto ormai ci sono gli aggiornamenti degli AV che fanno tutto
hai ragione il virus è proprio lui, mi son permesso di fare una copia
del tuo post che ho già mandato a 4 persone mi mandano mail "infette".
--
Ciao Michele                         ICQ #53115667
e a montâ l'äse gh'é arrestòu Dio
o Diäo l'é in çê e o se gh'à fæto o nïo
ne sciortìmmo da o mâ pe sciugâ e osse do Dria
e-a fontann-a di cömbi 'nta cà de pria
Faber  (CREUZA DE MÂ)
*** Sign random: programma Random Sign© (il nonno) ***

"Ios"  ha scritto nel messaggio

:-) me lo hai inviato poco fa.
Sono due giorni che ne ricevo una media di 20 al giorno,c'č un'epidemia!!
Comunque un qualsiasi antivirus aggiornato va bene per difendersi a dovere.
Ciao smack

hai ragione il virus è proprio lui, mi son permesso 
 E' un piacere, per me: mi ci sono un po' affezionato a questo virus... l'ho
visto nascere e ne ho seguito lo sviluppo, nel weekend...  8-)
 Ho allertato i colleghi e ne ho salvati diversi, convinti che un aggiornamento
a settimana sia piu' che sufficiente, e d'altronde per il nostro AV ufficiale
lunedi' mattina l'aggiornamento in rete non c'era ancora (ma i virus si'!).
 ciao
	pgg

e l'ha eliminato.
 Tutto e' bene cio' che finisce bene!  8-)
 ciao
	pgg

Ciao a tutti, vi leggo da un pň, ma non ho mai postato su questo NG.
Ho ricevuto il virus in oggetto e  preoccupandomi moltissimo sono andato a
scartabellare nella cartella System di Windows, per trovare il famigerato
file kernel32.exe, ma non c'č, risulta soltanto quello con estensione dll.
Che devo pensare? Che non  mi si č infettata la macchinetta?
Ho perň trovato un file KRNL.exe.
Qualcuno mi sa dire se devo preoccuparmi e aggiornare l'AV?
Grazie per l'aiuto
P.s. ma 'sto virus che danni provoca?
Stefano

P.s. ma 'sto virus che danni provoca?
 Non e' di quelli che rendono inservibile il PC o che comunque danneggiano
dei dati, ma oltre a rispedirsi a tuo nome puo' "aprire le porte" ad
intrusioni dall'esterno.
 ciao
	pgg

 Ciao smack
Io ho installato zone alarm pro dome firewall e da molto tempo hanno smesso
di arrivarmi quelle mail senza oggetto ma con degli allegati sospetti... o
comunque non mi sono + arrivate mail infette...prima ogni 2 giorni ne
trovavo qualcuna ... è il firewall che funge a dovere o sono solo
fortunato???
Un salutone a tutti!
Shock

 P.s. ma 'sto virus che danni provoca?
Ti consiglio caldamente di ripulire il tuo PC quando individui questi file:
INETD.exe,KERN32.exe e KRNL.exe in quanto appartengono al fottutissimo
W32.Badtrans.B@mm.
A proposito del virus,è pericoloso perché ci si infetta anche senza aprire
l'allegato,quindi l'unico sistema per proteggersi è l'antivirus aggiornato
quotidianamente.
Comunque basta scaricarsi INOCULATE  che individua questo worm non appena
visualizziamo il messaggio di posta infettato e lo elimina.Io l'ho scaricato
gratuitamente  qui dove trovo anche gli aggiornamenti
http://www.supereva.it/eccofatto/ef_1687.shtml

 ha scritto nel messaggio
news:S9AN7.206610$sq5.9...@news.infostrada.it...


W32.Badtrans.B@mm.
 Uhm ...ma stiamo parlando dello stesso virus? In effetti "badtrans" e' un
nome che mi pare fosse gia' circolato tempo fa, ma quello nuovo, di pochi
giorni fa, io ho provato ad attivarlo e non crea assolutamente file con
questi nomi... crea un "kernel32.exe" ed un "kdll.dll" piu' altri due "di
servizio" di cui adesso dovrei andare a cercare il nome.   Boh!
 ciao
	pgg

 ha scritto nel messaggio
news:b5od0uc97j2iths4k...@4ax.com...

 Il virus che sta infestando tutte le mailing list in questi giorni è il
badtrans,di questo ne sono sicura.
Ciao Niki

 Ciao Niki
Confermo che anche in due delle cinque ml dei Nativi americani a cui sono
iscritta è entrato un virus chiamato badtrans
La cosa terribile è che arriva da un iscritto di solito ed il poveraccio si
sente in colpa da morire...
Pero' è ovvio che l'hacker e' iscritto a qualche ml...chissà dove...
-- Pantera
http://mambers.xoom.it/Hanwi

   - sent by worm
Subject: - empty, or "Re:", or "Re:" followed by original Subject from
real Inbox messsage (see Way #2 above) 
Message text: - empty 
Attachment: randomly selected "filename + ext1 + ext2" where: 
 "Filename":
 Pics      (or PICS )                  Card     (or CARD)
 images    (or IMAGES)                 Me_nude  (or ME_NUDE)
 README                                Sorry_about_yesterday
 New_Napster_Site                      info
 news_doc  (or NEWS_DOC)               docs   (or DOCS)
 HAMSTER                               Humor  (or HUMOR)
 YOU_are_FAT! (or YOU_ARE_FAT!)        fun    (or FUN)
 stuff                                 SEARCHURL
 SETUP                                 S3MSONG
 "ext1": .DOC .ZIP .MP3
 "ext2":  .scr, .pif
For example: "info.DOC.scr" 
The worm doesn't send infected messages twice to the same address. To do
that it stores all affected emails in Windows system directory in
PROTOCOL.DLL file, and checks this file's content before sending a new
message. 
Spying trojan
This routine stores stolen information to a log file (with optional
name) and encrypts it with a key (which is also optional). In some
periods of time this information is then sent to one of randomly
selected email addresses. There is list of these addresses below, the
list has 22 addresses and email servers these messages are sent through
(email + server): 
 
ZVDO...@yahoo.com
 
mx2.mail.yahoo.com
 
udtz...@yahoo.com
 
mx2.mail.yahoo.com
 
DTCE...@yahoo.com
 
mx2.mail.yahoo.com
 
I1MC...@yahoo.com
 
mx2.mail.yahoo.com
 
WPAD...@yahoo.com
 
mx2.mail.yahoo.com
 
fj...@rambler.ru
 
mail5.rambler.ru
 
s...@eurosport.com
 
mail.ifrance.com
 
bg...@canada.com
 
mail.canada.com
 
muw...@fairesuivre.com
 
fs.cpio.com
 
rmx...@latemodels.com
inbound.latemodels.com.criticalpath.net
 
ecc...@ballsy.net
 
inbound.ballsy.net.criticalpath.net
 
suck_m...@ijustgotfired.com
 
mail.monkeybrains.net
 
suck_my...@ukr.net
 
mail.ukr.net
 
thisisno_f...@usa.com
 
usa-com.mr.outblaze.com
 
S_Me...@mail-x-change.com
 
mail-fwd.rapidsite.net
 
YJPF...@excite.com
 
mta.excite.com
 
JGQ...@excite.com
 
mta.excite.com
 
XH...@excite.com
 
mta.excite.com
 
OZUN...@excite.com
 
mta.excite.com
 
tsn...@excite.com
 
mta.excite.com
 
cxk...@krovatka.net
 
imap.front.ru
 
ss...@myrealbox.com
 
smtp.myrealbox.com
Found In-The-Wild
The worm variant that was found in-the-wild on November 24 2001 has the
following options. 
It installs itself to the Windows system directory with KERNEL32.EXE
name and registers it in registry key: 
 HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce
  Kernel32 = kernel32.exe
It drops a keyboard hooker with the name KDLL.DLL. The log info is
stored in Windows' system directory with the name CP_25389.NLS.
Information in this file is encrypted with key that is cache from the
"
uck...@hotmail.com
". 
Byez
--
Nico
"Ogni cosa che puoi immaginare, la natura l'ha già creata'' (Einstein)

badtrans,di questo ne sono sicura.
 E su questo non ci piove, ma, avendoci io "ravanato" abbastanza, mi sembra
un'altra cosa rispetto a quello da te descritto.
 Potrebbe essere che le info che hai trovato si riferiscano ad una versione
precedente con un nome simile... appena posso faro' una ricerchina.
 ciao
	pgg

Pero' è ovvio che l'hacker e' iscritto a qualche ml...chissà dove...
 Non necessariamente.
 ciao
	pgg

"
uck...@hotmail.com
". 
 Esaurientissimo! Ora non ho tempo di leggerlo tutto, ma, limitandoci a
quest'ultima parte, dice esattamente le cose che ho riscontrato in pratica (c'e'
anche un file di cui dovrei andare a cercare il nome che si crea *dopo* che ha
iniziato ad infestare): nessun riferimento a quanto descritto da Niki... questo
confermerebbe che stiamo parlando di 2 cose diverse.
 ciao
	pgg

 Arrivano veramente da lui, o appare solo come mittente?
Appaiono come mittenti...ma si sentono in colpalo stesso
-- Pantera
http://members.xoom.it/Hanwi/

Attenzione attacca anche Eudora cari miei!
-- Pantera
http://members.xoom.it/Hanwi/

Attenzione attacca anche Eudora cari miei!
 Intendi dire che se attivi il virus ti metti a spedire email infette anche se
usi Eudora? Io ho provato a lanciarlo ma l'ho fermato prima di mettermi a
contagiare, non me la sono sentita... penso comunque di si': dopotutto i virus
fanno direttamente chiamate alle routine di sistema (credo! Se c'e' qualche
superesperto...), per cui i vari client ci mettono "del loro" in modo
marginale... Certo che con OE i malefici sono agevolati...  >8->
 ciao
	pgg

 wrote in message
news:B82D3131.F0F%pant...@tin.it...

Sai dirmi niente degli Hopi?
Ultimamente mi occupo di alchimìa e sto leggendo che il loro e'
un linguaggio di tipo alchemico.
E' vero che lo parlano usando il concetto di "stato" o "posizione"?
Provo a fare un esempio: noi diciamo:
"Un uomo con un canotto attraversa il fiume"
In realta' non si capisce bene se questo avvenimento e'
1) reale... c'e' davvero un uomo che sta attraversando il fiume
2) probabile... un uomo "potrebbe" attraversare il fiume con un canotto
3) ipotetico... non e' mai successo, ma potrebbe succedere
Loro invece dalla "posizione" delle parole "uomo", "fiume" e "canotto"
a seconda di come le combinano posizionalmente sono in grado di esprimere
il concetto in maniera assai piu' chiara di noi.
Ne sai nulla? I Lakota usano un linguaggio piu' "tradizionale" oppure anche
loro come gli Hopi hanno un linguaggio alchemico?
Ciao, Beppe.
-- 
Posted from  [151.92.176.3] 
via Mailgate.ORG Server - 
http://www.Mailgate.ORG

 superesperto...),
Purtroppo qui non c'e' nessuno (credo) che lavori nel settore informatico.
Ad ogni modo mi pare di aver capito che questo virus peschi gli indirizzi
dalla "inbox".
A questo punto basta lasciare vuota la inbox (creandosi una pseudo-inbox e
ridirigendo automaticamente li dentro i messaggi in arrivo) ed il virus
e' fottuto per mancanza di indirizzi a cui spedire.
-------------------------------------------------------------------------
SEI TARMENTE STUPIDO CHE SI VAI AR CINEMA E LEGGI "VIETATO 
AI MINORI DI 18" RITORNI CO' 17 AMICI
-------------------------------------------------------------------------


 loro come gli Hopi hanno un linguaggio alchemico?
Usano linguaggi tipici
-- Pantera
http://members.xoom.it/Hanwi/

AI MINORI DI 18" RITORNI CO' 17 AMICI
 Com'e' piu' quella... Sei talmente stupido che alle olimpiadi della stupidita'
arriveresti secondo. Perche'? Perche' sei stupido!    8-)
 ciao
	pgg

 	pgg
Bella :-)))
Se invece hai un amico nano puoi mandargli questa:
---------------------------------------------------------
SEI TARMENTE BASSO CHE QUANNO T'ALLACCI 'E 
SCARPE DEVI ARZÀ  LE BRACCIA



il firewall compie un lavoro profondamente diverso da quello di un
antivirus.
zone alarm, pero', ha una features di controllo delle email ricevute.
nonostante cio' ti consiglio di installare un **vero** antivirus
aggiornato e di disabilitare il controllo delle mail da ZA.
alek
-- 
vuoi guadagnare navigando? datti alla pesca d'altura!
 "Ciů un o l'e' grammo e ciů vedde grammi i ätri." (Angelo IDCG)
*aspirante VBI*


ehm.....inoculateit non e' piu' freeware, ma e' diventato a pagamento.
rimane attiva la versione free per coloro che erano gia' utenti al
momento del cambio, ma per coloro che non lo erano installarlo
potrebbe essere considerato pirateria software. inoltre se un sito
offrisse il programma da scaricare (che non e' piu' presente sul sito
di CA) secondo me potrebbe passare grane per violazione dei diritti
d'autore.
ah, per quanto riguarda i virus se passate all'accoppiata eudora+agent
dei virus ve ne fregate (sempre che non siate voi ad attivarli
manualmente :P ).
alek
-- 
vuoi guadagnare navigando? datti alla pesca d'altura!
 "Ciù un o l'e' grammo e ciù vedde grammi i ätri." (Angelo IDCG)
*aspirante VBI*


per quanto riguarda la vulnerabilita'di eudora devo deluderti e ti
spiego perche':
se io con OE apro l'anteprima di un badtrans vengo contagiato senza
bisogno di lanciare nessun allegato, cosa che con eudora non avviene.
dal sito symantech: "Email messages use the malformed MIME exploit to
allow the attachment to execute in Microsoft Outlook without
prompting", quindi OE e' vulnerabile e eudora no (certo se lancio
l'allegato manualmente....:) ).
per quanto riguarda la ricerca degli indirizzi a cui spedirsi, questa
avviene in una serie di file di win. la spedizione avviene con un
client smtp interno al virus che quindi non si appoggia ad alcun
programma esterno.


alla ricerca di qualche chiocciolina...  Verita' o LM? Mah!
badtrans cerca, oltre chein altri posti anche nella cache di IE.
alcuni virus sono in grado di intercettare qualsiasi indirizzo email
che passa attraverso l'interfaccia con la rete.


programma esterno.
 Oh, bene! Questo e' un'autorevole conferma, mi pare, alle mie
elucubrazioni: una volta che ci si sia infettati (e O.E. e I.E. sono
maggiomente predisposti), quale client si usi non fa differenza, perche' i
virus ne fanno a meno, per la propagazione. 
 E questo dovrebbe anche dare indirettamente una risposta a chi e' in dubbio
se le email infette si spediscano contestualmente ad una "sana", no?
 Certo che se uno si collega in rete solo per il tempo necessario a spedire
una email, quello e' il momento in cui parte anche l'infetta...
 ciao
	pgg

E' stato definito si chiama
*$(#*@ W32.Badtrans.B@mm virus
-- Pantera
http://members.xoom.it/Hanwi/

 aggiornato e di disabilitare il controllo delle mail da ZA.
Ma io ho anche installato Norton Antivirus che protegge la posta e tutte le
altre belle cosucce...
ah...già che ci sono.... ma che programmi usano gli hacker per entrare nei
pc altrui tramite le porte lasciate aperte dai trojan? (a parte BO, Netbus e
sub 7 che se non sbaglio usano trojan appositi.)
Shock


ogni backdoor e' composta da un server ed un client. se io mi scrivo
una backdoor personale devo usare quanto meno telnet per comunicare
con il server che ti ho installato.
alek
-- 
vuoi guadagnare navigando? datti alla pesca d'altura!
 "Ciù un o l'e' grammo e ciù vedde grammi i ätri." (Angelo IDCG)
*aspirante VBI*