Newsgroup: it.hobby.viaggi
Titolo: nuovo Virus

-------------
(((((((((((((((((( McAfee.com Dispatch )))))))))))))))))))))
------------------------------------------------------------
        ** EMERGENCY VIRUS ALERT - W32/Goner@MM **
------------------------------------------------------------
Dear Giuseppe,
McAfee.com has seen an OUTBREAK of computers infected with
W32/Goner@MM, also known as Pentagone, Goner or Gone. This
is a NEW, HIGH RISK virus that spreads via Microsoft Outlook
email and ICQ instantmessaging programs. This mass-mailing
worm will arrive from someone you know with the following
email message:
Subject: Hi
Body: How are you ?
When I saw this screen saver, I immediately thought about
you
I am in a harry, I promise you will love it!
Attachment: GONE.SCR
Goner has a DESTRUCTIVE PAYLOAD. When the attachment is
opened, it will look for a variety of anti-virus, firewall
and other security programs and attempt to delete them,
along with ALL FILES in the same directory. This worm
will also place a trojan, REMOTE32.INI, on the system, which
contains instructions to attempt Denial-of-Service attacks
on other IRC users.

 wrote in message KOoP7.846$Sq4....@news1.tin.it...


 Ciao Marco S.
McAfee da queste indicazioni:
Manual Removal Instructions
WINDOWS 95/98/ME
Restart Windows in Safe Mode (reboot your computer, just before the large
WINDOWS startup screen comes up, hit the F5 key). You can recognize that you're
in Safe Mode by the text Safe Mode in the 4 corners of the desktop.
Click START | FIND | Files or Folders ...
Type Gone.scr and hit ENTER
Delete GONE.SCR (if present)
Click START | RUN, type REGEDIT and hit ENTER
Click the (+) next to HKEY_LOCAL_MACHINE
Click the (+) next to SOFTWARE
Click the (+) next to MICROSOFT
Click the (+) next to WINDOWS
Click the (+) next to CURRENTVERSION
Click RUN
Click on C:\WINDOWS\SYSTEM\gone.scr on the right and hit DELETE on the keyboard
Restart the computer
Additional Windows ME Info:
NOTE: Windows ME utilizes a backup utility that backs up selected files
automatically to the C:\_Restore folder. This means that an infected file could
be stored there as a backup file, and VirusScan will be unable to delete these
files. These instructions explain how to remove the infected files from the
C:\_Restore folder.
Disabling the Restore Utility
1. Right click the My Computer icon on the Desktop.
2. Click on the Performance Tab.
3. Click on the File System button.
4. Click on the Troubleshooting Tab.
5. Put a check mark next to "Disable System Restore".
6. Click the Apply button.
7. Click the Close button.
8. Click the Close button again.
9. You will be prompted to restart the computer. Click Yes.
NOTE: The Restore Utility will now be disabled.
10. Restart the computer in Safe Mode.
11. Run a scan with VirusScan to delete all infected files, or browse the file's
located in the C:\_Restore folder and remove the file's.
12. After removing the desired files, restart the computer normally.
NOTE: To re-enable the Restore Utility, follow steps 1-9 and on step 5 remove
the check mark next to "Disable System Restore". The infected file's are removed
and the System Restore is once again active.
Computer Associated dice che ha un utility per rimuoverlo:
http://www3.ca.com/solutions/collateral.asp?CT=65&ID=1212
In fondo alla pagina c'è un link... però mi pare non funziona.
Norton consiglia:
http://securityresponse.symantec.com/avcenter/venc/data/w32.g...@mm.html
auguri!
nb

 ------------------------------------------------------------
Stamattina ho subito aggiornato l'antivirus, e dopo un primo veloce scan mi ha
 segnalato la presenza di Gen.Hooker : 
dev'essere uno dei tanti travestimenti di Badtrans.  Che stress !!!! :))))
Ciao      Marco
*************************************************
http://www.geocities.com/TheTropics/Paradise/3687/
 
-- 
Posted from  [194.185.78.66] 
via Mailgate.ORG Server - 
http://www.Mailgate.ORG

Grazie per la segnalazione.
Ho immediatamente aggiornato il Norton!
Elisabetta

 non č riuscito ad intercettarlo.
il virus infatti blocca l'efficacia della maggior parte dei programmi di
sicurezza (poteva mancare NAV?) "stallando" tutti i files in esecuzione
collegati ad essi e subito dopo "purgando" (pruning) tutte le directory che
li contengono.
questo e' in effetti molto pericoloso.
istruzioni in inglese per la disinfezione:
http://www.antivirus.com/pc-cillin/vinfo/virusencyclo/default5.asp?VName=WOR
M_GONE.A
nei technical details c'e' anche la lista dei programmi che blocca e
cancellera', i quali quindi non gli resisterebbero.
ancora una volta mi permetto suggerire:
1) disattivate la visualizzazione anteprima
2) non aprite gli allegati
(anzi, quando potete non ne mandate nemmeno voi, mandiamo fuori moda
quest'usanza non sempre irresistibile)
3) se proprio non potete resistere, evitate almeno quelli con le estensioni
che si sa che usualmente li veicolano
(.scr e' insieme a .pif ed .exe fra i top ten)
4) aggiornate quotidianamente le definizioni degli antivirus
(sapendo che cmq non e' sufficiente)
5) usate MIRC e ICQ con la consapevolezza che un virus (anche questo per
esempio) puo' entrare anche da li'
(in questo caso usando cloni di utenti connessi)
mi rincresce e chiedo anzi perdono per aver assunto in tema una posizione
piuttosto pedante, che non vorrei mi appartenesse e della quale in realta'
non sono tecnicamente all'altezza.
devo pero' riscontrare positivamente che da quando su IHV si discute di
questi temi diciamo Base-Topic, la quantita' di mail infette che ricevo e'
proporzionalmente molto diminuita (e immagino possiate avere un riscontro
simile anche voi), e decresce sensibilmente ogniqualvolta qualcuno,
fortunatamente sempre piu' users, richiama gli altri alla prudenza.
ad es., dai 70/80 al giorno di qualche giorno fa, oggi ho ricevuto sinora
solo _1_ mail con badtrans da uno straniero (quindi forse non legge IHV).
:-)
percio' approfitto anche per ringraziare chi spende o ha appena iniziato a
spendere con costanza quel minimo di attenzione occorrente per tenere al
riparo se' e gli altri, e mi conforta vedere che il tema incontra
l'attenzione generale.
:-)))))))))))))))))))))))))))))))))))
ciao
Farmer

sono andato in :
http://securityresponse.symantec.com/avcenter/venc/data/w32.g...@mm.remov
al.tool.html
e ho scaricato :
http://securityresponse.symantec.com/avcenter/FixGoner.exe
cmq grazie 1000 nb


 Ciao Marco S.
Di niente, Marco...
Una curiosità, per prenderlo hai aperto un allegato ?
O ti è arrivato in altro modo ?
Ho letto che entra anche attraverso ICQ ...
ciao
nb
P.S. I virus non sono animaletti pure loro ?
Devono aver scoperto che "ami gli animali " !!!
Forse volevano farsi fotografare...
;-p

 ;-p
;-DDDD
Non possiedo un'ottica macro in grado di fotografarli, il Nikkor 100 micro
non mi basta ;-)))


 Farmer
Io invece ringrazio te! Dai un sacco di informazioni
utili (anche se ne capisco un 70%)!!!
Ho disattivato l'anteprima della posta di OE e sono
già molto più tranquilla.
Elisabetta

 monte tutto quello che passa da Exchange Server, sperem.
Io ho scaricato subito l' aggiornamento al 4/12 di McAfee.
Il problema è che più spazio dai alla scansione virus, più
si rallenta il pc.
beppe°

non č riuscito ad intercettarlo.
Ma cazzarola, se non erro questo ti infetta solo aprendo l'allegato...
come fai a farti fregare ancora???? :-))
-- 
Ciao!!!
Michele

P.S. I virus non sono animaletti pure loro ?
Hehehehehe... in realta' anche i virus "veri" non sono esseri viventi
ma solo rna e proteine... non sanno neanche riprodursi da soli...
...a ben pensarci ho un po' di amici che sarebbero definibili come
virus ;-)))
-- 
Ciao!!!
Michele

 non sono tecnicamente all'altezza.
secondo me, stai facendo un gran servizio a tutti.
Certe cose č meglio sentirsele dire piů volte che non saperle per niente!!
:))
Grazie e Ciao     Marco
************
http://www.geocities.com/TheTropics/Paradise/3687/

 Farmer
Caro Farmer, grazie nuovamente a te per i preziosi consigli piuttosto!
Riapprofitto per chiederti ancora se il contenuto di questo sistema
"antidiffusione" che mi č giunto ieri in inglese e che riepilogo
sommariamente, puņ essere utile:
- per evitare che ,specialmente i Worms, si autodiffondano attraverso la
vostra rubrica, seguite la seguente procedura:
- aprite la rubrica
- cliccate su nuovo/nuovo contatto
- nella casella di riconoscimento alfabetico (cognome), digitate " !000 "
(esclamativo e tre zeri).
- nella casella indirizzo posta el. digitate " Wormalert", il sistema
risponderą che l'indirizzo non č corretto, ma confermate ugualmente.
Lo scopo di questa procedura, sarebbe quello di impedire l'entrata dei worm
nella rubrica, bloccando la replicazione che avverrebbe progressivamente in
ordine alfabetico , impedendo con un indirizzo pe non valido,
l'autoreplicazione.
Ti risulta?
Ciao
Beppe

Ti risulta?
A me risultava che fosse per accorgersi se si e' infetti, in questo
modo infatti si riceverebbe una mail di risposta che il messaggio non
puo' essere processato con l'indicazione del destinatario (e qui vedi
che e' quello falso che avevi creato e a cui tu non avevi spedito
nulla di tua volonta' => sei infetto).
Comunque attendo anch'io la smentita o la conferma di qualcuno piu'
esperto, se funzona anche da blocco come sapevi tu e' molto
interessante.
-- 
Ciao!!!
Michele

 risponderà che l'indirizzo non è corretto, ma confermate ugualmente.
In attesa di conferma, io precedo.
Male non farà!
Grazie.
Elisabetta

Ovviamente: procedo!

 ha scritto nel messaggio
news:fdvu0u8r6ucb97s0j...@4ax.com...


 Ti risulta?
questo e' un modo, uno dei primi studiati, per fare in modo che quando il
worm e' dentro la rubrica e prova a mandare i messaggi, incontri per primo
(in ordine alfabetico) questo contatto e gli invii la mail infetta.
se nella casella indirizzo del contatto metto un address fasullo (era
"worm.alert" nella versione piu' nota, ma sarebbe meglio
!
0...@novirus.com
 ), il worm scrive ma la posta verrebbe respinta perche' il
destinatario non esiste. dal messaggio di errore che ti torna indietro
(mailer-daemon, system administrator, etc) puoi leggere che la tua posta a
!
0...@novirus.com
 non e' stata consegnata per destinatario inesistente o
qualsiasi altra cosa, e tu da quello capisci che ovviamente e' una posta che
non hai mandato tu.
in realta' l'accorgimento non blocca l'azione del virus, semplicemente ti fa
sapere appunto che qualcuno usa la tua rubrica a tua insaputa; e non
impedisce l'invio a tutti gli altri indirizzi a meno che il worm non sia
cosi' semplice da fare un solo messaggio collettivo a tutti gli indirizzi (e
pure in questo caso potrebbe fare la consegna agli altri), oppure che -
improbabile - frapponga tempo fra un messaggio e l'altro (l'avviso di errore
dovrebbe tornare fulmineamente e fermare un programma che il worm in realta'
sta gia' violando).
anche se cosi' fosse pero' e' aggirabile perche' questo metodo cosi' com'e'
funziona solo se il worm agisce rispettando l'ordine alfabetico di default e
se, gia' che sta appunto violando il programma, non impedisce il ritorno di
posta-messaggio_di_errore (anche solo perche' occupa le porte trasmettendo i
nuovi); nel frattempo corrode le tue directory o fa quello che deve fare.
basta che contenga l'istruzione di irrisoria semplicita' $sort=reverse, o
una simile, che per esempio comincerebbe dalla Z.
dovresti percio' settare almeno 6 contatti fasulli, i quali vadano a
diventare il primo e l'ultimo contatto della rubrica, sia che l'ordine usato
dal worm vada per nickname ("mario"), sia che vada per address
("
ma...@rossi.it
"), o per dominio ("
rossi.it
"), oltre ai rispettivi inversi.
nick
!000
ZZZZZZZZ
address
!
0...@novirus.com
ZZ...@novirus.com
dominio
qualsiasi@!
000nothing.com
qual...@ZZZZZelse.com
nota che molti worm usano un loro SMTP (protocollo di posta in uscita) e non
otterresti il messaggio di errore.
la maggior parte poi usano prendere gli indirizzi da posizioni a caso
(random).
se poi un pirata ha 3 minuti da buttare, ci mette l'istruzione di saltare il
primo e l'ultimo indirizzo della lista. gia' solitamente un virus non scrive
agli indirizzi che corrispondono ai tuoi account che per caso avessi anche
in rubrica.
alcuni infine semplicemente prelevano l'intera lista, la spediscono tutta
insieme fuori e li' verra' processata con un'elaborazione migliore (in
quell'ottica) e sempre da laggiu' (?) inviata, quindi l'errore non arriva a
te ma al sistema che fa da ponte.
intendiamoci, non e' affatto inutile farlo, quindi io lo metterei.
pero' e' un campanellino di allarme che vale per un solo tipo di percorso e
se l'intruso ne usa un altro non lo puo' urtare e farlo suonare.
aggiungilo tenendo quindi presente che non siamo affatto al sicuro. e'
adatto per un tipo di azione, non per molte.
percio' non coltivare sensazioni di guadagnata sicurezza, ma resta in
allerta.
se c'e' spazio sul HD, meglio creare un nuovo utente di Windows.
la cosa consuma spazio, appunto, pero' crea nuove directory e "trasla" molte
cartelle di posta in altre directory, rendendo (solo lievemente) meno
immediato il ritrovamento da parte dell'intruso.
non creerei altre identita' di OE, perche' se c'e' qualche incespico di
memoria e qualche cattivo settaggio generale (tipo: la memoria non si
sgombra allo switch/cambio di identita'), basta aprire un file grosso come
quello (solitamente) del Ng di IHV e la velocita' di lavoro scende
vertiginosamente.
se l'esigenza di sicurezza e' elevata invece, certamente si richiede un
programma diverso dalla rubrica di windows o quantomeno il passaggio
attraverso qualche facile macro di Word/Excel (non Outlook quello grande)
per scrivere la posta con quei programmi pescando gli indirizzi da una lista
creata e mantenuta ad hoc in altro formato (es. un semplice database .csv da
gestire con excel, all'occorrenza importabile in OE).
se pero' l'uso della rubrica e' ordinario, serve di piu' osservare le spie
del modem, che se non fosse per le interferenze andrebbe messo sotto il
monitor come il contakm va sotto il parabrezza. ;-)
quanto a tecniche di disorientamento, ci stavo pensando qualche tempo fa, si
potrebbe fare forse qualcosa creando delle finte rubriche-esca, con contatti
e indirizzi inesistenti. in pratica il medesimo principio che accennavi ma
usato sulle rubriche, che sono cio' che il worm cerca.
costa un bel po' di mega di spazio sul HD, ma appena mi si rallenta un
minimo il lavoro, ci volevo studiare un po' su per compilarle in automatico.
certo una la riempirei di indirizzi di spammers ;-))))
l'utilita' vera sarebbe dare in pasto qualcosa al worm e tenerlo occupato in
attesa che magari ti disconnetti o ti accorgi di irregolarita'.
anche perche' (spero il caso sia istruttivo per chi ancora non si dota di un
firewall) l'altra sera avevo un simpaticone con un falso IP, addirittura
inesistente, che mi stava provando ad attaccare tutte le porte una dopo
l'altra.
il bello della vicenda e' che mi rintracciava anche quando cambiavo il mio
IP di connessione (non amo contrattaccare), quindi escluso un trojan
estremamente sofisticato (tutta la macchina mi sono controllato...), si
trattava di un bug del mio provider e voglio sperare ovviamente che il
simpaticone non fosse _IL_ provider.
cosa avrebbe guardato se fosse entrato? secondo me la rubrica era fra le
prime cose, qualunque fosse il suo interesse.
teniamo presente che anche i dati professionali e commerciali sono
potenzialmente interessanti da prelevare...
il prelievo di un grosso file eseguito abusivamente sara' ovviamente
nascosto ai principali programmi, percio' si nota solo dalle spiette
"fisiche" del modem; un po' di pesanti rubriche da scaricare ci dovra'
capitare di vederle passare, speriamo.
* * * * * *
* * * * * *
attenzione:
oggi mi e' arrivato un badtrans con un subject compilato, anziche' il solito
[ Re:      ], quindi occhio ! ! !
se avete dubbi (questo non mi segnalava allegati ! ! ! ! ! !), clic destro
Proprieta' / Dettagli / Message Source (o l'equivalente in italiano). non e'
una lettura agevole ma almeno da' l'idea del contenuto.
il subject era ben congegnato [Re: Re: a farm in Tuscany]  preso forse da
qualche mia pagina - stavo per cascarci, e solo il peso  di 41 kb mi ha
indotto a sospettare.
* * * * * *
* * * * * *
ciao
Farmer

 Farmer
Grazie ancora ! (cacchio, anche tu....ci vai in bicicletta sulle p..le!)
Rassegnati: ti romperò ancora le scatole! -)))
Ciao
Beppe

 ("
ma...@rossi.it
"), o per dominio ("
rossi.it
"), oltre ai rispettivi inversi.
Ommamma! Stasera è troppo tardi
per ragionarci sopra. Domano lo rileggo!
Grazie cmq.
Elisabetta

 Certe cose č meglio sentirsele dire piů volte che non saperle per niente!!
concordo!
In tema sicurezza/virus segnalo la MS ha rilasciato un bollettino che
segnala alcune falle di sicurezza in Excel e Powerpoint: in alcune
versioni di questi programmi), c'č un baco nella gestione delle macro,
per cui č possibile che all'apertura di determinati documenti venga
eseguito (automaticamente e senza consenso dell'utente) del codice
potenzialmente dannoso. Maggiori info sul sito MS:
http://www.microsoft.com/technet/security/bulletin/ms01-050.asp
Cautela quindi anche con i file powerpoint, che spesso girano in rete!
Adri


Grazie 1000 per questa lezione sui virus.


> Rassegnati: ti romperò ancora le scatole! -)))
nessuna rottura, quando vuoi mi fa sempre piacere :-)))
(ma non sono un tecnico, eh)
ciao
Farmer