Newsgroup: it.comp.sicurezza.windows
Titolo: invio da Microsoft per posta

Vi risulta che Microsoft invii per e-mail della patch?
Ho ricevuto stamattina una e-mail in inglese e in perfetto stile
Microsoft dove mi si consigliava di applicare una patch per la
sicurezza allegata alla e-mail.
Il file allegato, che non ho aperto ma cestinato immediatamente, si
chiama PACK7466.EXE.
Mi sa tanto di fregatura, qualcuno ha notizie in merito? Cercando fra
i vari gruppi e sul Web non ho trovato riscontri.
Grazie Paolo ezzekjele

 wrote in message
news:4d8b4bd8.03091...@posting.google.com...

Trattasi di Worm.Automat.AHB worm

...

NON aprire niente,anche io ho ricevuto addirittura 4 di qeste E-mail
un file exe ed un file bat.gli ho fatto fare via diretta nel
cestino...
ciao ciao

...

estratto da SalvaPC news del 19/09/2003 : 
 ATTENZIONE A SWEN (o GIBE-F)
 ----------------------------
Un worm sta sollevando l'attenzione degli osservatori specializzati
per la velocita' con cui riesce a diffondersi su Internet. Si tratta
di Gibe-F, anche noto come Swen, un worm capace di diffondersi
attraverso piu' sistemi: posta elettronica, reti locali di computer,
sistemi di condivisione peer-to-peer e altro ancora.
 MESSAGGI FASULLI
 ----------------
Quando arriva via email, il worm e' un allegato ad un messaggio di
posta elettronica che puo' assomigliare in tutto e per tutto ad una
comunicazione ufficiale proveniente da Microsoft, oppure mascherarsi
come messaggio che ha fallito la sua spedizione e sta quindi tornando
indietro (delivery failure).
L'email e' fasulla e contiene un allegato che non va aperto perche'
capace di infettare il sistema.
 NON PROVIENE DA MICROSOFT
 -------------------------
L'email infetta contiene, in inglese, il pressante invito ad
installare un presunto aggiornamento di Windows che dovrebbe mettere
al riparo da qualsiasi problema di sicurezza.
Come se non bastasse, oltre ad una dettagliata descrizione dei sistemi
supportati dall'aggiornamento, l'email fasulla rimanda nel testo anche
ad articoli del team tecnico e di sicurezza di Microsoft che si
riferiscono a note vulnerabilita', il tutto per indurre l'utente a
considerare attendibile l'email e quindi a cliccare sul file allegato.
 CHI PUO' ESSERE COLPITO
 -----------------------
Ad essere vulnerabili sono tutti i sistemi Windows da Windows 95 a
Windows Server 2003.
 COME FUNZIONA
 -------------
Se l'allegato viene aperto, il worm fa apparire una serie di finestre
che inducono l'utente a ritenere che si tratti di un software di
aggiornamento Microsoft. In realta', mentre questo accade, il worm si
installa nel sistema.
Una volta dentro, Swen tenta di bloccare il funzionamento di sistemi
di sicurezza come i firewall e i software antivirus, infila una copia
di se stesso nella directory di Windows generando un file con un nome
casuale, crea un secondo file con tutti gli indirizzi di posta
elettronica che riesce ad individuare sul computer colpito e un terzo
file con tutti i dati sul tipo di computer che ha colpito e sul quale
si e' installato.
A questo punto il worm compie modifiche nel file di registro di
Windows per garantirsi la riattivazione ad ogni riavvio di Windows e
il funzionamento di un proprio sistema di posta elettronica.
Addirittura presenta all'utente una schermata che sembra perfettamente
legittima e che lo invita ad inserire i propri dati, compreso
l'account email, in un modulo. Dati che poi il worm utilizza per
diffondersi.
 COME SI DIFFONDE
 ----------------
Si diffonde per posta elettronica ma anche attraverso le condivisioni
in reti locali, le chat di IRC e i sistemi di file sharing come Kazaa.
Quando l'utente si connette ad IRC, dunque, Swen fa partire uno script
che gli consente di inviarsi a tutti gli altri utenti della chat IRC
alla quale si e' connesso il computer infetto. Su Kazaa, invece, il
worm copia se stesso nella directory dei file condivisi dall'utente
infetto in attesa di essere scaricato da altri utenti. Nelle reti
locali, infine, Swen compie una mappatura dei sistemi che ne fanno
parte e individua le directory in cui installarsi.
 COME PROTEGGERSI
 ----------------
In queste ore tutti i principali produttori di software antivirus
stanno aggiornando i propri sistemi di difesa ed e' dunque bene
scaricare le ultime definizioni.
Inoltre, non e' mai accaduto che Microsoft abbia diffuso per posta
elettronica un aggiornamento ad un utente che non abbia un contratto
con l'azienda stessa e non abbia espressamente richiesto uno speciale
servizio di assistenza. Dunque, tutte le email non richieste di questo
tipo, per quanto possano sembrare ufficiali, devono essere scartate
perche' potenzialmente pericolose.
I worm sfruttano una vulnerabilita' dei sistemi Windows per cui
Microsoft ha rilasciato una patch nello scorso giugno. Chi non
l'avesse installata puo' provvedere immediatamente a partire da questo
indirizzo:
http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/bulletin/MS01-020.asp
 ULTERIORI INFORMAZIONI
 ----------------------
Per approfondire le caratteristiche di Gibe-F/Swen, Sophos ha
realizzato una pagina di approfondimento a disposizione degli utenti:
http://www.sophos.com/virusinfo/analyses/w32gibef.html
Spiegazioni per una (complessa) rimozione manuale del worm sono
offerte a questo indirizzo:
http://securityresponse.symantec.com/avcenter/venc/data/w32.s...@mm.html
----------------------------------------------------------------------