Newsgroup: it.comp.sicurezza.windows
Titolo: trojan in un jpg: BackDoor-G22

Come da oggetto mi sono beccato questo trojano in forma di jpg!!
Ora che dite di fare???Lo trova solo McAfee!
Che ne dite? ve lo posto??
Gilga

Che ne dite? ve lo posto??
No, grazie.
Ma ho alcune idee:
-Non e' una backdoor, e mcafee ha trovato, nell'accozzaglia di bit che
compongono in'immagine, una sequenza che ripete una firma del virus.
-E' una backdoor, ma non e' un jpg, e' pippo.jpg.exe, o pippo.jpg.pif, e
il sistema non sa come visualizzare la seconda estensione.
-E' una backdoor, che qualcuno ha rinominato pippo.jpg, ma e' l'exe,
nudo e crudo, con l'estensione cambiata.
 
-- 
           |Save our planet!
  Ciao     |Save wildlife;
  roberto  |For your E-MAIL use only recycled Bytes !!
           |roberto poggi  
rpo...@softhome.net

Ti ringazio per la risposta.
Credo perň che tu non abbia ben capito.
Beccati questa pagina del mcafee: 
http://vil.nai.com/vil/default.asp
č nelle top-ten. Anzi al primo posto.
Inserendo poi nel motore di ricerca BackRoor-G22 ecco che ti dice:
Discovery Date:  12/16/1999  
Origin:  Netherlands  
Length:   
Type:  Trojan  
SubType:  Remote Access  
Minimum Dat:  4118  
Minimum Engine:  4.0.70  
DAT Release Date:  01/31/2001  
Description Added:  01/25/2000  
Virus Characteristics  
Update March 12, 2001:
Sub7 2.2 Beta was published by the Trojan author on March 9, 2001.
McAfee AVERT has added detection for this edition of the Trojan in
4128 DAT. 
This is a trojan which has been consistently updated by the author.
With each revision, updates if needed, are added to the DAT files.
Version "Sub7 2.13" may be detected as BackDoor-EP by 4076 DAT however
future DAT will identify as "BackDoor-G2.svr". 
This trojan is the result of further development of the BackDoor-G
trojan (v1.0 - v2.13) and offers the usual access to the users files
and data on his system via the Internet. 
By default the Trojan uses TCP port 27374, but this is configurable by
the configuration program. 
It is normally distributed as a Win32 PE exe dropper that may be
disguised as a JPG or BMP picture. When run, this dropper installs two
files into the WINDOWS folder of the user's hard disk. These two files
are the main server exe files, normally called "MSREXE.EXE", and a
loader program normally called "RUN.EXE", "WINDOS.EXE" or
"MUEEXE.EXE". 
These filenames are only the default names and can be changed by the
trojan's configuration program. The main server exe file is identified
as "BackDoor-G2.svr" or "BackDoor-G2.svr.gen". The loader program is
identified as "BackDoor-G2.ldr". 
Two other files are associated with this trojan the configuration
program and the client program used to communicate with the main
server program. These are identified as BackDoor-G2.cfg and
BackDoor-G2.cli respectively. These files do not hook the operating
system and may be safely deleted if detected on the system. 
 
 
Symptoms  
Files copied to the local system as mentioned above, changes to system
registry as mentioned above, strange or unexplained dialogue boxes on
the machine with coversation or keystrokes entered without your
interaction.  
 
Method Of Infection  
The trojan hooks into the host operating system in one or more of 4
different ways: 
1) Adds the name of the main server exe file to the run= line in the
[windows] section of WIN.INI. 
2) Adds name of the main server exe file to the end of the shell= line
in the [boot] section of SYSTEM.INI. 
3) Adds the main server exe file to the registry under the keys
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\
CurrentVersion\RunServices\ 
and 
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\
CurrentVersion\Run\ 
4) Changes the way in which the operating system runs exe files by
changing the registry value at
HKEY_CLASSES_ROOT\exefile\shell\open\command\
(Default) 
from ""%1" %*" to "mueexe.exe "%1" %*".This causes the operating
system to run the loader program every time an executable file is
launched. The loader program then runs the main server exe (if not
already running) file and then runs the executable file requested by
the operating system. 
The Trojan also registers the file extension .dl as an executable file
type that can be run by the operating system just like any .exe file.
This allows the attacker to download files onto the victims system and
run them. Because the extension is not usually associated with
executable files some virus scanners will not scan these files and the
victim will not suspect these files. 
 
 
Il resto lo ometto.
Ciao
Gilga

 Inserendo poi nel motore di ricerca BackRoor-G22 ecco che ti dice:
Forse sei tu a non capire bene l'inglese:
"It is normally distributed as a Win32 PE exe dropper that may be 
disguised as a JPG or BMP picture. When run, this dropper installs 
two..."
disguised=travestito.
Ovvero se hai windows abilitato a 'nascondere' le estensioni dei file
un file chiamato pippo.jpg.exe appare come pippo.jpg
Ma ciň non significa che č DENTRO un jpg.
Chiaro ora?
-- 
News2000 1.5ß Version 
http://socket2000.8m.com

disguised as a JPG or BMP picture. When run, this dropper installs two
E'normalmente distribuito come un eseguibile portabile per win32 (un
exe, normalissimo), che puo' essere travestito da jpg o bmp (in uno dei
modi che ti ho detto prima).


modi che ti ho detto prima).
caro roberto,
se io creo un file txt e lo rinomino con una fila estensioni le vedo
tutte.
quindi la tua idea, tra l'altro piuttosto banale, che sia un *.jpg.exe
non regge.
Ti ringrazio comunque
Gilga

Chiaro ora?
ora le idee te le chiarifico io: non ho windows abilitato a nascondere
le estensioni dei file (anche senza virgolette perchè il termine è
usato in senso proprio).
io i *.exe li vedo tutti.
se creo un txt e ci aggiungo .exe.jpg li vedo tutti
La tua idea nemmeno troppo originale non funziona.
Ciao
Gilga

non regge.
Allora, che cosa e'?
Tu hai detto che hai trovato una backdoor dentro un jpg.
Io ti ho dato due possibilita': la prima rende pericoloso il
birbantello, perche' con una doppia estensione potresti lanciarlo, la
seconda, lo rende solo patetico.
Se e' pippo.jpg, se ci clicchi sopra, non succede nulla, si aprira' il
lettore apposito, e ti dira' che non e' un jpeg valido.
Forse, e dico forse, se hai i jpg associati a IE per l'apertura, e IE
settato da bestia, ad eseguire tutto cio' che gli passa vicino, IE puo'
prendere lucciole per lanterne, ed eseguire l'exe contenuto, ma non ho
nessuna voglia di provare.
Propendo comunque per una doppia estensione, di quelle veramente
nascoste.
Oppure, stai trollando, o piu' semplicemente, hai letto la notizia, e
hai equivocato sul significato del "disguised".
A questo punto, potrei arrivare a chiederti di spedirmelo, quel
gioiellino, che vediamo che cosa e' davvero, e come si comporta in
ambiente di prova.
Ma sappi, la cosa potrebbe essere intesa da qualcuno come un reato di
diffusione di virus.


diffusione di virus.
sei patetico e ridicolo in questo caso


sei patetico e ridicolo in questo caso
Tu dici?
Basta che io, in realta', sia il famoso maresciallo cacace, e se tu mi
invii il virus, ti posso fare una sorpresina, se non ricordo male, da
sei mesi a tre anni.
Sai, andare a finire sul giornale per aver bloccato il pericolosissimo
"acher" nostrano, puo' far gola, e far avanzare la carriera.
Se non sono io, il maresciallo, ma lo fossi tu, o qualcun altro del news
group, il solo richiederti l'invio, mi esporrebbe al reato di
istigazione a delinquere.
Vedi tu, se sono davvero patetico e ridicolo.
E se lo sono, beh, preferisco esserlo, ma a piede libero.
Purtroppo, quando si parla di queste cose, il buon senso (con cui ti
darei ragione, tali avvertimenti sono ridicoli) si scontra con il codice
penale (fatto sicuramente in modo contorto, in questo caso, ma questo e'
cio' che abbiamo in vigore adesso, e dobbiamo farci i conti) e porta a
prendere queste piccole precauzioni.


 La tua idea nemmeno troppo originale non funziona.
Tu non hai nemmeno idea di cosa stai parlando. Il testo è chiaro: PE 
eseguibile... Se non sai cosa vuol dire perchè ti ostini a cianciare?
P.S.
Potresti passare alla storia come l'uomo che scopri come 'eseguire' 
un JPG.


un JPG.
Costui non è uno da poco, è riuscito a soppravvivere a un diluvio
universale, vuoi che non riesca in cosette del genere?
--
negroboldo

 universale, vuoi che non riesca in cosette del genere?
Già. Questo particolare non indifferente mi era sfuggito! :D


eseguibile... Se non sai cosa vuol dire perchè ti ostini a cianciare?
Lui sa benissimo cosa vuol dire. Ha un file che in DOS, poniamo, si
chiama
	STICAZ~1.JPG
e il Norton glielo trova come virus.
Suppongo che originariamente si chiamasse VIRUS.EXE, e poi qualcuno
lo ha rinominato STICAZZI.JPG anziche' STICAZZI.JPG.EXE. Cosi', ora
non e' piu' eseguibile, anche se Norton lo vede come virus.
Bisognerebbe vedere se rinominandolo di nuovo in .EXE, gli altri AV
lo trovano.
Leonardo
-- 
Vuoi guadagnare navigando? ARRUOLATI IN MARINA

se creo un txt e ci aggiungo .exe.jpg li vedo tutti
crea un file pippo.txt<premi la barra spaziatrice 100 volte>.exe e
vedi in esplora risorse cosa appare.
__
Cicero®

 >tutte.
Scusate la mia ignoranza, mi spiegereste il sisgnificato di questa
affermazione?
Ho creato, per provare, un file di testo salvandolo con il nome TEST. In
ambiente dos, ad un semplice dir, mi veniva riportato il file TEST.TXT. A
questo punto ho rinominato:
rename TEST.TXT TEST.EXE;
con il comando dir veniva visualizzata sempre e solo una estensione.
Gradirei lumi.
Saluti

 non e' piu' eseguibile, anche se Norton lo vede come virus.
Questa ipotesi gli era già stata prospettata da roberto... E lui gli 
ha risposto postando la pappardella di Mcafee...


 con il comando dir veniva visualizzata sempre e solo una estensione.
rinominalo in file.txt.exe, ovvero rename test.txt test.txt.exe


 Ringrazio di cuore tutti quelli che mi hanno risposto.
Il file in questione è un eseguibile rinominato jpg (modifica
estensione). (MZ-grazie Leonardo!).
Che la backdoor in formato jpg fosse la chimera assoluta lo sapevo; mi
chiedo quale sia stato il vantaggio di diffondere tale tradizionale
backdoor in formato jpg. L'unica idea che mi viene è che normalmente
gli antivirus sono settati in modo da "guardar dentro" solo ai program
file e non ai jpg..... quindi forse c'è la possibilità che qualche
routine o qualche altro programma li vada a ricercare e modifichi le
estensioni attivandoli.
Aprendo inoltre tale eseguibile (o jpg che dir si voglia) tramide word
(modificando l'estensione in .doc) ecco dopo pochi simboli che appare:
This file is packed with UPX..... executable packer 
http://upx.tsx.org
.
Avete idee in proposito?

 universale, vuoi che non riesca in cosette del genere?
Guarda che anche tu dici sciocchezze come queltal gilgamesh che risce ad
eseguire i jpeg..:-)
Non era Gilgamesh quello che dici tu, ma Utnapishtim.
E piantatela altrimenti chiamo Humbaba! :-))))
--
   Dotto
---
Per scrivermi togli lo spam dall'indirizzo.
Sei anche tu stanco dei messaggi spam? Usa Terminator, il programma
anti-spam italiano FREEWARE! 
http://www.sertel.net/terminator/

E piantatela altrimenti chiamo Humbaba! :-))))
Ah ah un po' di umorismo non fa mai male.
Ciao.
--
negroboldo