Newsgroup: it.aiuto
Titolo: AIUTO per virus HAPPY 99

Ho ricevuto tramite posta elettronica un virus che si chiama HAPPY 99 (detto
anche "fuochi d'artificio").
Qualcuno conosce un sistema efficace per rimuoverlo???
P.S. Non sono un esperto.
marco...@libero.it



Dal sito :
http://www.symantec.com/avcenter/venc/data/happy99.worm.html
Happy99.Worm
Aliases: Trojan.Happy99, I-Worm.Happy
Likelihood: Common
Region Reported: World Wide
Characteristics: Trojan Horse, Worm
Description
This is a worm program, NOT a virus. This program has reportedly been
received through email spamming and USENET newsgroup posting. The file
is usually named HAPPY99.EXE in the email or article attachment.
When being executed, the program also opens a window entitled "Happy
New Year 1999 !!" showing a firework display to disguise its other
actions. The program copies itself as SKA.EXE and extracts a DLL that
it carries as SKA.DLL into WINDOWS\SYSTEM directory. It also modifies
WSOCK32.DLL in WINDOWS\SYSTEM directory and copies the original
WSOCK32.DLL into WSOCK32.SKA.
WSOCK32.DLL handles internet-connectivity in Windows 95 and 98. The
modification to WSOCK32.DLL allows the worm routine to be triggered
when a connect or send activity is detected. When such online
activity occurs, the modified code loads the worm's SKA.DLL. This
SKA.DLL creates a new email or a new article with UUENCODED
HAPPY99.EXE inserted into the email or article. It then sends this
email or posts this article.
If WSOCK32.DLL is in use when the worm tries to modify it (i.e. a user
is online), the worm adds a registry entry:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce=SKA.EXE
The registry entry loads the worm the next time Windows start.
Removing the Worm Manually
1.delete WINDOWS\SYSTEM\SKA.EXE
2.delete WINDOWS\SYSTEM\SKA.DLL
3.in
 WINDOWS\SYSTEM\ directory, rename WSOCK32.DLL to WSOCK32.BAK
4.in
 WINDOWS\SYSTEM\ directory, rename WSOCK32.SKA to WSOCK32.DLL
5.delete the downloaded file, usually named HAPPY99.EXE
Windows prevents you to do step #3 and #4 above if the machine is
still connected to the Internet. The file "windows\system\wsock32.dll"
is used whenever the machine is connected to Internet (i.e. through
dial-up or LAN connection).
Oppure, se preferisci le istruzioni in italiano :
Basta andare in DOS e dare questi comandi
cd \windows\system
del WSOCK32.DLL
rename WSOCK32.SKA WSOCK32.DLL
del SKA.*
del *.SKA
Nel file LISTE.SKA (da consultare prima della cancellazione) c'e' la
lista degli indirizzi e-mail a cui happy99 ha spedito messaggi, cosi'
puoi anche vedere / avvisare chi e' stato infettato.
ciao

 anche "fuochi d'artificio").
ma l`hai aperto? se no, basta cancellare il file...
se no, senza scomodare it.comp.sicurezza.virus, basta cercare per "virus 
eliminare happy99" su internet; questa pagina e` buona, per esempio: 
http://www.mastertravel.it/Help/Happy99/index.html
-- 
Ciao! 
      Gian Matteo

 
marco...@libero.it
Dal sito : 
http://www.symantec.com/avcenter/venc/data/happy99.worm.html
Happy99.Worm
Aliases: Trojan.Happy99, I-Worm.Happy
Likelihood:  Common
Region Reported: World Wide
Characteristics: Trojan Horse, Worm
Per rimuovere manualmente il worm:
1.Cancella  WINDOWS\SYSTEM\SKA.EXE
2.Cancella  WINDOWS\SYSTEM\SKA.DLL
3.Nella directory WINDOWS\SYSTEM\ , rinomina WSOCK32.DLL in WSOCK32.BAK
4.Nella directory WINDOWS\SYSTEM\ ,  rinomina WSOCK32.SKA to WSOCK32.DLL
5.Cancella il file scaricato dalla rete, chiamato di solito HAPPY99.EXE
Per ulteriori dettagli vai all'URL indicato.
Ciao
Paolo

To Jaffar:
Una bella coincidenza, abbiamo postato entrambi la risposta nello stesso
identico
minuto! :-)
Ciao
Paolo

 zona Milano... (o traggo conclusioni utontiche?)
Sono a una cinquantina di km dalla sede principale del mio provider ;-)
Ciao
Paolo

 minuto! :-)
e a giudicare dalla velocita` con cui mi e` tronato il messaggio sei in 
zona Milano... (o traggo conclusioni utontiche?)
-- 
Ciao! 
      Gian Matteo