Newsgroup: it.hobby.pescare
Titolo: BADTRANS: TUTORIAL (e un sentito, ma amichevole "mortacci tua" a chi me lo ha mandato)

Ringrazio pubblicamente Mauro Sanna per il Virus.
So che non è colpa sua, ma un bel "mortacci tua" voglio dirglielo lo stesso.
Amichevolmente s'intende.
Ecco a voi il fantasmagorico mondo di BADTRANS.
Pensavate di infilarglielo, e ve lo infila lui a voi.
Nel nome un destino:
http://www.avp.it/text/badtrans.htm
Analisi I-Worm.BantransII
(Future Time di Paolo Monti © 2001) 
--------------------------------------------------------------------------------
Si tratta di un worm (i worm sono particolari tipi di virus che si diffondono
in reti di computer) che si propaga sotto sistemi Win32 sotto forma di allegato
infetto a dei messaggi di posta elettronica. Come ulteriore componente, il worm
comprende anche un cavallo di troia che ha il compito di rubare informazioni
riservate sui computer dove diventa attivo. Una seconda variante del Badtrans è
stata scoperta "in the wild" (cioè particolarmente diffusa) nel Novembre 2001.
Il worm è un file eseguibile di circa 29 Kb, compresso con il programma UPX.
Una volta decompresso, la lunghezza del file è di circa 60 Kb.
Come accennato sopra, il Badtrans è costituito da due parti: il worm e il
cavallo di troia. La parte "worm" ha il compito di inviare delle e-mail
infette, mentre il trojan invia a uno specifico indirizzo e-mail informazioni
riservate presenti sul computer infettato (informazioni sull'utente, dati RSA,
cached password, log dei tasti premuti). Tra l'altro, il cavallo di troia
contiene anche un programma utile all'intercettazione dei tasti premuti, che
viene installato sul sistema infetto.
Infezione del sistema
Il file infetto può essere eseguito i due modi 
se l'utente clicca esplicitamente con il mouse su un allegato infetto
se il sistema presenta la vulnerabilità IFRAME, sfruttata dal worm per venire
eseguito in automatico quando si effettua l'anteprima o lettura di un messaggio
con Outlook Express
Tale vulnerabilità di sicurezza è stata descritta da Microsoft: nel seguente
bollettino:
Microsoft Security Bulletin (MS01-020): Incorrect MIME Header Can Cause IE to
Execute E-mail Attachment
http://www.microsoft.com/technet/security/bulletin/MS01-020.asp
Per prelevare la patch:
http://www.microsoft.com/windows/ie/downloads/critical/q290108/default.asp
Una volta eseguito il worm installa i suoi vari componenti sul sistema e crea
delle chiavi nel Registro, utili all'esecuzione automatica del worm/trojan ogni
volta che si avvia Windows.
Il nome del trojan, la cartella dove viene memorizzato e la relativa chiave nel
Registro di sistema sono variabili. Questi dati vengono memorizzati in forma
cifrata alla fine del programma trojan. Un persona malintenzionata potrebbe
configurarli come preferisce prima di inviare il worm via e-mail o di renderlo
disponibile su un sito web.
Una volta installato sul sistema, il worm crea un ulteriore file (una libreria
dinamica a 32-bit, cioè una DLL) che ha il compito di intercettare i tasti
premuti dall'utente, spiandone l'attività. Anche il nome della DLL è opzionale.
Il worm presenta ulteriori parti o azioni variabili, modificabili da parte di
un malintenzionato:
il worm cancella il file originale quando l'installazione è completata.
Quest'azione può essere omessa.
la dimensione del file di log creato durante l'intercettazione dei tasti
premuti dall'utente, che può essere configurata ad hoc.
Diffusione
Per inviare dei messaggi infetti il worm usa una connessione diretta a un
server SMTP (Simple Mail Transfer Protocol), evitando di impiegare come tramite
un client di posta elettronica.
Gli indirizzi e-mail ai quali inviare i messaggi infetti sono ottenuti in due
diversi modi:
il worm scandisce i file *.HT* e *.ASP per estrarre eventuali indirizzi e-mail
usando le funzioni MAPI (Messaging API) il worm legge le e-mail presenti nella
Posta in arrivo e da lì ottiene gli indirizzi e-mail delle vittime potenziali
Quindi il worm invia delle e-mail aventi una copia di se stesso in allegato. Il
corpo del messaggio è in formato HTML ed è costruito in modo tale da sfruttare
la vulnerabilità IFRAME per essere eseguito sui sistemi che non hanno applicato
la patch rilasciata da Microsoft (vedere sopra).
Il messaggio si presenta nel modo seguente:
Mittente: indirizzo reale del mittente o indirizzo falso selezionato tra i
seguenti:
" Anna" 
"JUDY" 
"Rita Tulliani" 
"Tina" 
"Kelly Andersen" 
" Andy" 
"Linda" 
"Mon S" 
"Joanna" 
"JESSICA BENAVIDES" 
" Administrator" 
" Admin" 
"Support" 
"Monika Prado" 
"Mary L. Adams" 
" Anna" 
"JUDY" 
"Tina" 
Oggetto: vuoto o "Re:" o "Re:" seguito da un oggetto trovato nella Posta in
arrivo della macchina infettata che ha spedito il messaggio
Corpo del messaggio: vuoto
Allegato: selezionato a caso dalla combinazione "nome file + ext1 + ext2" dove:
"Nome file": 
Pics (o PICS ) Card (o CARD)
images (o IMAGES) Me_nude (o ME_NUDE)
README Sorry_about_yesterday
New_Napster_Site info
news_doc (o NEWS_DOC) docs (o DOCS)
HAMSTER Humor (o HUMOR)
YOU_are_FAT! (o YOU_ARE_FAT!) fun (o FUN)
stuff SEARCHURL
SETUP S3MSONG
"ext1": .DOC .ZIP .MP3
"ext2": .scr, .pif
Per esempio: "info.DOC.scr"
Il worm non invia due volte un messaggio infetto alla stesso indirizzo e-mail.
Per implementare tale funzione, il worm memorizza tutti gli indirizzi ai quali
ha spedito una e-mail infetta nel file PROTOCOL.DLL all'interno della cartella
di sistema di Windows e controlla tali indirizzi prima di inviare un messaggio
infetto.
Trovato "in the wild"
Una variante del worm, il Badtrans.b o BadtransII, si è diffusa rapidamente il
24 Novembre 2001, e presenta le seguenti caratteristiche:
si installa nella cartella di sistema di Windows usando il nome KERNEL32.EXE e
crea una chiave nel Registro:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce Kernel32 =
kernel32.exe
l nome del programma che ha il compito di intercettare le chiavi premute
dall'utente è KDLL.DLL e invia le informazioni all'indirizzo
"
uck...@hotmail.com
". Il log creato durante la pressione dei tasti da parte
dell'utente viene memorizzato nella cartella di sistema di Windows con il nome
CP_25389.NLS
Roma, 27/11/2001 - testo a cura di Paolo Monti
--------------------------------------------------------------------------------
 
-- 
Posted from 
ppp-193-175.24-151.libero.it
 [151.24.175.193] 
via Mailgate.ORG Server - 
http://www.Mailgate.ORG

 ha scritto nel messaggio
news:0b077de053aad5b873e...@mygate.mailgate.org...



http://www.avp.it/text/badtrans.htm
Aggiungo solo un paio di link:
http://securityresponse.symantec.com/avcenter/venc/data/w32.bad...@mm.html
http://www.mcafee.com/anti-virus/viruses/badtrans/default.asp?cid=2607
Ciao
Esox® <AdS>

E io un grazie
--------------------------------
Inviato via 
http://usenet.iol.it
 

 ha scritto nel messaggio
news:0b077de053aad5b873e...@mygate.mailgate.org...


 BUONA PESCA PER TUTTO L'ANNO 2001/2002/2003/2004/2005.
guarda che chi te l'ha mandato è stato involontario.. il solo colpevole è chi l'ha
creato e tu che usi il profilattico per PC ;)
ti mando il file di diagnosi e sblocco, poi puoi usare l'antivirus
domani sera siamo a pesca dalle parti di terracina/sabaudia, organizzati con nik e
pugnax e vieni, ci tengo!!!!
ciao
Vittorix