Newsgroup: it.comp.sicurezza.windows
Titolo: WINDOWS modifica il boot dei floppy?

devo dire di non aver mai preso un virus né di essere mai stato una
persona a rischio data la mia conoscenza di windows superiore alla
media. Però, come tutti i pseudoesperti, neanche ho un livello tale di
conoscenze da permettermi di fare sogni tranquilli.
Uno di questi giorni i sono accorto che al momento del boot il pc
cercava di leggere (o scrivere) sul floppy. All'inizio ho pensato di
avere attivato qualche opzione strana di windows giocando con il file
di configurazione. Però dato che non riuscivo a ripristinare la cosa
sono andato a vedere cosa potesse mai scrivere eventualmente....
Per precauzione ho prima verificato il boot record del dischetto.
Messo nel drive, riavviato. 
Con mio stupore e allarme ho verificato che il boot era davvero stato
modificato. In particolare la stringa che viene creata al momento
della formattazione "tipo win4.1" viene sostituita con caratteri
incomprensibili in cui c'è una sequenza di 3 costante: "IHC".
Dopo qualche tempo, ripristinando il registro ho eliminato il problema
(non c'entra niente norton auto protect o simili!) dell'accesso al
floppy quando si chiude sessione ma il problema di fondo rimane:
quando si accede al medesimo, magari facendo "dir" da una finestra dos
viene modificato il boot record. Nessun virus segnalato, ovviamente.
ho pensato che non modificasse qualcosa per registrare l'ultimo
accesso, però....
E' una normale attività di windows o questa volta je l'hanno fatta a
infettarmi?

 infettarmi?
Hai creato un dischetto di avvio di Windows?
Hai salvato ed aperto una decina di file su dischetto?
Hai spento e riacceso (o riavviato) senza modificare altri file?
Tac-tac-tac-tac... il drive cerca qualcosa.
C:\Windows\Recent
Cancella tutto il contenuto, riavvia e... ooohhhh, silenzio...
Apri il cestino... tac-tac-tac-tac... cavolo, di nuovo!!
Svuota il cestino e... ooohhhh, silenzio...
-- 
Bye by V.


wrote:
non c'entrano niente dati recenti o cestino
ti dico che modifica il boot record dei floppy
debug
L 0 0 0 1
d 0
deassemblando il codice è modificato!

 Hai salvato ed aperto una decina di file su dischetto?
State ruotando le dita?
State facendo amicizia con persone del vostro stesso sesso?
...
ok ok.. scappo :)
-- 
(Sempre Yari ed il Boffi al castoro su IFQ):
Didietry: Piu' passano le ore e piu' mi rendo coglione
Yari: finalmente un po' di autocritica.
Boffi: no, e' ancora al livello dell'autocoscienza

 State facendo amicizia con persone del vostro stesso sesso?
LOLlone! (e trollone, persino!) ;-)
Max che scappo pure io.
-- 
"Ehi, fratelli. Qui c'e' scritto che c'e' anche il tempo per combattere".
SecurFaq             : 
http://securfaq.usenet.eu.org
cERCCHI VIRUSZZZ?    : 
http://viruz4lamers.usenet.eu.org
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/

 infettarmi?
Per quanto riguarda i caratteri IHC non mi pronuncio perche' non mi dicono
nulla, ma mi riservo il diritto di fare una ricerchina con Google appena
torno on-line... ;-) 
Per quanto riguarda il modificare il boot sector con un semplice "dir",
temo proprio che le cose stiano come dici tu. Non so esattamente cosa
Windows vada a modificare, di sicuro non e' qualcosa di utile visto che i
floppy funzionano anche se protetti da scrittura... 
Hai presente il programma "2M"? Serve a formattare i floppy ad alta
capacita', riuscendo a stivare fino a 1.8 mega su un solo floppy HD senza
usare nessuna forma di compressione dei dati. Pero' questo formato di
floppy e' totalmente illeggibile sotto windows, mentre quelli a 1.72
funzionano bene, cosa che ha decretato la fine pressoche' totale di 2M. 
Orbene, se inserisci un floppy formattato 2M nel drive di un computer con
Win95 e ti limiti anche solo a tentare di vederne il contenuto con
"esplora risorse", otterrai un messaggio di errore del tipo "floppy non
formattato" e il floppy diventera' illeggibile anche in un computer con 2M
correttamente installato. Questo perche' Win95 va a tentare di scrivere
qualcosa nel boot sector e questo corrompe i dati in esso contenuti, visto
che il formato e' diverso da quelo che WIn95 si aspetta. C'e' anche un
apposita funzione di 2M per riparare i floppy "corrotti" da Win95. 
Tutto quello che ho scritto qui sopra sta nel manuale di 2M, non ho mai
fatto prove di persona ma non ho motivo di non crederci. 
Quindi Win95 (e penso anche i suoi successori) scrivono qualcosa nel boot
sector di ogni floppy, ma non ho idea di che cosa. Quel IHC pero' mi
sembra strano, non vorrei che ci fosse sotto anche dell'altro... 
-- 
Carlo Luciano
GPG ElG/DSA 4096/1024 Key: 
http://web.tiscali.it/clbianco/clbianco.asc
ID: 0x5324A0DA - Fingerprint: 8B00C61034120506111B143DEDBF71B45324A0DA

 appena torno on-line... ;-) 
Appunto, come dicevo...
Uno dei siti trovati da Google con chiave di ricerca "IHC boot sector" e':
http://www.virusbuster.hu/gyik.en.shtml
 
Quoto direttamente dal sito:
Q: I encountered a boot-virus, which is neglected by several anti-virus
programs or their resident protection signals that an unknown virus was
found on the floppy disk. When this virus infects, it replaces the last
three letters of the text, which indicates the boot-record's type and
which is situated at the beginning of the floppy's boot sector with the
"IHC" character string.
A: When a floppy disk is inserted into the drive under the Windows 95
operating system, Windows 95 rewrites the disk OEM field in its boot
sector. If the disk is not write-protected, the content of this field will
be 4 random characters and the "IHC" character string (IHC is supposed to
come from Windows 95's development codename, Chicago). The supposed reason
for this behaviour is that Windows 95 detects the floppy's changing in the
drive this way. 
Pero' Google trova anche: 
http://www.f-secure.com/v-descs/quandary.shtml
Spero che nel tuo caso sia vera la prima... ;-)


 Pero' Google trova anche: 
http://www.f-secure.com/v-descs/quandary.shtml
Nahh, infetta solo gli hard disk, quello, niente floppy.
-- 
          |Save our planet!
   Ciao   |Save wildlife!
  roberto |For your E-MAIL use ONLY recycled Bytes  !!
          |roberto poggi   
rpo...@softhome.net

 sembra strano, non vorrei che ci fosse sotto anche dell'altro... 
C'e' sotto dell'altro, ma lo sapremo solo se si convince Bill a farsi
curare la sua megalomania informatica.
O forse e' solo un riflesso ancestrale, come i cani che marcano il
territorio con ... beh, dai, lo sapete, con cosa.


On Sun, 21 Jul 2002 11:57:43 +0200, 
rpoggi...@softhome.net
 wrote:
Eh sì ho verificato io stesso. Vengono modificati i byte relativi
all'identificazione del sistema che ha formattato il disco, ma non il
codice di boot. Però capite bene, quando non si sa e arrivano una
serie di circostanze, per cui ci sono accessi inspiegabili al floppy
con relative modifiche... 
L'accesso al floppy però mi rimane, pure quando faccio
start/chiudisessione e poi annullo. Chissà perchè non trovo nessun
collegamento, nessuna dll... sarà pure innocua la cosa però CHE
FASTIDIO!!!! mi sa che comincerò a deinstallare i prog ad uno ad uno x
vedere cosa accade.

In un messaggio a nome di Norberto e` scritto:

Intanto c'e' da disattivare la ricerca di nuove unita' all'avvio:
Pannello di controllo > Sistema > Prestazioni > File System > Disco
floppy
Questo in WinME, credo che ci sia anche negli altri.
-- 
Federico Spano`

 Nahh, infetta solo gli hard disk, quello, niente floppy.
Beh, ma sai, li' per li' ho pensato: metti che c'e' una variante... 


 curare la sua megalomania informatica.
Avra' a che fare con i Bozo che abitano in user.exe? Forse potremmo
chiedere a loro... ;-))) 



nah, secondo me era un sistemista (ex unix) disgustato che voleva dire I
Hate Chicago
A.

windows.
Uhm. IHC. XP. Prevedo che il simbolo per il prossimo Windows sara' un pesce
stilizzato. O magari lo chiameranno "StairOS" [1].
Leonardo
[1] orribile gioco di parole per <font="symbol">stauros</font> (stayros).
-- 
ftp://warez.slashdot.com:12345
 - Warez for nerds. Stuff that matters.

 
ftp://warez.slashdot.com:12345
 - Warez for nerds. Stuff that matters.
Ho controllato anche con il font Wingdings e per fortuna stavolta non
vengono fuori immagini di distruzione di massa, in compenso con il font
FOOD! esce una bella tavola imbandita. Con HolidayPi BT c'e' invece una
serie di addobbi natalizi. :-)
Max Nostradamus della domenica.


FOOD! esce una bella tavola imbandita.
In effetti, c'e' un collegamento fra IHC, XP e tavole imbandite :-)
Prova a cercare con Google IHC (forma alternativa: IHS), XP, "fish", e i
vari spellings di stauros simultaneamente.
Se ti senti fortunato: 
http://www.gospelfacts.org/symbols.php
Leonardo
