Newsgroup: it.arti.musica.strumenti.basso
Titolo: [OT] virus

Per dare maggiori informazioni riguardo ad un thread di qualche giorno fa
Se vi arriva una caterva di messaggi con RE:
nell'oggetto e provenienti da indirizzi (noti e non) che incominciano con un
underscore _ molto probabilmente provengono da un pc infettato con Badtrans
ver b.
Patchate il vostro IExplorer e aggiornate l'antivirus
ciao
Sneaker

On Wed, 28 Nov 2001 12:42:53 +0100, "Sneaker" <NOS...@NOSPAM4N.com>
wrote:

Per info seguire il link:
http://www.punto-informatico.it/p.asp?i=38203
o chiamate i supereroi se preferite....
Joe Yabuki

Sneaker <NOS...@NOSPAM4N.com> wrote in message
9u2ilb$nau$1...@stargate1.inet.it...

Posto qualcosa che può essere utile. Io l'ho debellato così.
Ciao Suz.
Analisi I-Worm.BantransII
(Future Time di Paolo Monti © 2001)
----------------------------------------------------------------------------
----
Si tratta di un worm (i worm sono particolari tipi di virus che si
diffondono in reti di computer) che si propaga sotto sistemi Win32 sotto
forma di allegato infetto a dei messaggi di posta elettronica. Come
ulteriore componente, il worm comprende anche un cavallo di troia che ha il
compito di rubare informazioni riservate sui computer dove diventa attivo.
Una seconda variante del Badtrans è stata scoperta "in the wild" (cioè
particolarmente diffusa) nel Novembre 2001.
Il worm è un file eseguibile di circa 29 Kb, compresso con il programma UPX.
Una volta decompresso, la lunghezza del file è di circa 60 Kb.
Come accennato sopra, il Badtrans è costituito da due parti: il worm e il
cavallo di troia. La parte "worm" ha il compito di inviare delle e-mail
infette, mentre il trojan invia a uno specifico indirizzo e-mail
informazioni riservate presenti sul computer infettato (informazioni
sull'utente, dati RSA, cached password, log dei tasti premuti). Tra l'altro,
il cavallo di troia contiene anche un programma utile all'intercettazione
dei tasti premuti, che viene installato sul sistema infetto.
Infezione del sistema
Il file infetto può essere eseguito i due modi
se l'utente clicca esplicitamente con il mouse su un allegato infetto
se il sistema presenta la vulnerabilità IFRAME, sfruttata dal worm per
venire eseguito in automatico quando si effettua l'anteprima o lettura di un
messaggio con Outlook Express
Tale vulnerabilità di sicurezza è stata descritta da Microsoft nel seguente
bollettino:
Microsoft Security Bulletin (MS01-020): Incorrect MIME Header Can Cause IE
to Execute E-mail Attachment
http://www.microsoft.com/technet/security/bulletin/MS01-020.asp
Per prelevare la patch:
http://www.microsoft.com/windows/ie/downloads/critical/q290108/default.asp
Una volta eseguito il worm installa i suoi vari componenti sul sistema e
crea delle chiavi nel Registro, utili all'esecuzione automatica del
worm/trojan ogni volta che si avvia Windows.
Il nome del trojan, la cartella dove viene memorizzato e la relativa chiave
nel Registro di sistema sono variabili. Questi dati vengono memorizzati in
forma cifrata alla fine del programma trojan. Un persona malintenzionata
potrebbe configurarli come preferisce prima di inviare il worm via e-mail o
di renderlo disponibile su un sito web.
Una volta installato sul sistema, il worm crea un ulteriore file (una
libreria dinamica a 32-bit, cioè una DLL) che ha il compito di intercettare
i tasti premuti dall'utente, spiandone l'attività. Anche il nome della DLL è
opzionale.
Il worm presenta ulteriori parti o azioni variabili, modificabili da parte
di un malintenzionato:
il worm cancella il file originale quando l'installazione è completata.
Quest'azione può essere omessa.
la dimensione del file di log creato durante l'intercettazione dei tasti
premuti dall'utente, che può essere configurata ad hoc.
Diffusione
Per inviare dei messaggi infetti il worm usa una connessione diretta a un
server SMTP (Simple Mail Transfer Protocol), evitando di impiegare come
tramite un client di posta elettronica.
Gli indirizzi e-mail ai quali inviare i messaggi infetti sono ottenuti in
due diversi modi:
il worm scandisce i file *.HT* e *.ASP per estrarre eventuali indirizzi
e-mail
usando le funzioni MAPI (Messaging API) il worm legge le e-mail presenti
nella Posta in arrivo e da lì ottiene gli indirizzi e-mail delle vittime
potenziali
Quindi il worm invia delle e-mail aventi una copia di se stesso in allegato.
Il corpo del messaggio è in formato HTML ed è costruito in modo tale da
sfruttare la vulnerabilità IFRAME per essere eseguito sui sistemi che non
hanno applicato la patch rilasciata da Microsoft (vedere sopra).
Il messaggio si presenta nel modo seguente:
Mittente: indirizzo reale del mittente o indirizzo falso selezionato tra i
seguenti:
" Anna"
"JUDY"
"Rita Tulliani"
"Tina"
"Kelly Andersen"
" Andy"
"Linda"
"Mon S"
"Joanna"
"JESSICA BENAVIDES"
" Administrator"
" Admin"
"Support"
"Monika Prado"
"Mary L. Adams"
" Anna"
"JUDY"
"Tina"
Oggetto: vuoto o "Re:" o "Re:" seguito da un oggetto trovato nella Posta in
arrivo della macchina infettata che ha spedito il messaggio
Corpo del messaggio: vuoto
Allegato: selezionato a caso dalla combinazione "nome file + ext1 + ext2"
dove:
"Nome file":
Pics (o PICS ) Card (o CARD)
images (o IMAGES) Me_nude (o ME_NUDE)
README Sorry_about_yesterday
New_Napster_Site info
news_doc (o NEWS_DOC) docs (o DOCS)
HAMSTER Humor (o HUMOR)
YOU_are_FAT! (o YOU_ARE_FAT!) fun (o FUN)
stuff SEARCHURL
SETUP S3MSONG
"ext1": .DOC .ZIP .MP3
"ext2": .scr, .pif
Per esempio: "info.DOC.scr"
Il worm non invia due volte un messaggio infetto alla stesso indirizzo
e-mail. Per implementare tale funzione, il worm memorizza tutti gli
indirizzi ai quali ha spedito una e-mail infetta nel file PROTOCOL.DLL
all'interno della cartella di sistema di Windows e controlla tali indirizzi
prima di inviare un messaggio infetto.
Trovato "in the wild"
Una variante del worm, il Badtrans.b o BadtransII, si è diffusa rapidamente
il 24 Novembre 2001, e presenta le seguenti caratteristiche:
si installa nella cartella di sistema di Windows usando il nome KERNEL32.EXE
e crea una chiave nel Registro:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce
Kernel32 = kernel32.exe
il nome del programma che ha il compito di intercettare le chiavi premute
dall'utente è KDLL.DLL e invia le informazioni all'indirizzo
"
uck...@hotmail.com
". Il log creato durante la pressione dei tasti da parte
dell'utente viene memorizzato nella cartella di sistema di Windows con il
nome CP_25389.NLS
Disinfezione
Per eliminare il worm dai sistemi infetti basta cancellare i file
KERNEL32.EXE e KDLL.DLL. E' importante notare che entrambe i file NON fanno
parte del sistema operativo, ma sono stati creati dal worm, quindi possono
essere eliminati senza alcun problema. Nel caso in cui il sistema operativo
impedisca l'accesso ai file infetti perché in uso da Windows, far ripartire
il sistema in modalità provvisoria o altrimenti usare il task manager per
chiudere i task del worm attivi e procedere alla cancellazione. Una volta
cancellati i file riavviare di nuovo il sistema operativo. Ricordiamo
inoltre che per evitare future infezioni è necessario applicare la patch di
Microsoft riportata sopra.
Roma, 27/11/2001 - testo a cura di Paolo Monti

 Ciao Suz.
...Grazie susy..;-))...anche a me č servito....!!...solo la patch non me
l'ha applicata in quanto dice che al mio OE non serviva.....mah....intanto
il virus l''avevo preso...!!
Ciao
FF

messaggio con Outlook Express......
Ricolgo l'occasione per riconsigliare di usare dei programmi per la posta e
per i newsgroup diversi da Outlook.
Saluti.
Marco Brancalion
mailto:
bra...@iol.it
http://users.iol.it/branka
       ALWAYS UPDATED ;)

 wrote in message
news:qlbN7.196616$sq5.9...@news.infostrada.it...
ho cazzo! ed io che pensavo che bastasse non essere donna....che scemo! ]B)
Cybantylatencysystem
-- 
Posted from 
ppp-62-11-106-229.dialup.tiscali.it
 [62.11.106.229] 
via Mailgate.ORG Server - 
http://www.Mailgate.ORG

 per i newsgroup diversi da Outlook.
INFAME!!!!!! tutti dobbiamo usare outlukke ...cosi' non capiamo un cazzo di
quello che ci succede attorno! ma che cazzo ce lo hai a fare il conto
corrente?? non ti ha insegnatoniente?
e' solo questione di tempo...lo standard arrivera' per tutti, perche' tutti
abbiamo un piatto di pasta assicurato per sfogarci ]B)
Cyb
P.s.
se reggo....scrivo un 3d esplicativo....scusa marcuz(en)...ho assistito ad una
performanz gieh niente male....seguita da 3 boccaloni di birra.*Hic*
P.s.
per Fabio^F cazzo quel testa di cazzo di danese m'e' partito. ma ho il suo
numeo di tel.]B9 non scappera' lontano quel maledetto vichingo succhiasole!


 per i newsgroup diversi da Outlook.
io stavo per farlo quando arriva un mio amico che usa eudora che se lo
prende pure lui... e anche di brutto...
mah...
ciaociao!
d.

prende pure lui... e anche di brutto...
Non saprei.
Personalmente uso AkMail v. 3.0b e per posta non ho mai preso niente. E'
altamente improbabile.
Ciao.
