Newsgroup: it.discussioni.varie
Titolo: Non aprite Happy99.exe, è un virus

Noterete che compare un'altra lettera con allegato il file Happy99.exe
E' l'ultimo ritrovato.....
Ho Norton ultima versione, ma è inefficace !
Si autoesegue, ovvero si allega da solo alle lettere che invio agli amici.
Sul principio della fiducia agisce. Chi si fida di me lo ha aperto ed è
rimasto, mio malgrado, fregato.
Proprio come ho fatto io, dando fiducia ad un amico ( e sempre a sua
insaputa ) ho aperto il file ed il gioco è stato fatto.
Lo si combatte semplicemente non aprendolo ed informando chi si può.
Per gli scettici: cliccate sul file e buon divertimento..............
Amar Utuke

Come Cancellare il virus Happy.99.
N.B. Nel mex sotto riportato dice di cancellare alcuni file, però i file
*.dll possono essere visualizzati solo se si mette l'opzione di visualizzare
tutti i file, anche quelli nascosti e di sistema.
Oggetto: Analisi nuovo worm: HAPPY99
I-Worm.Happy
-------------
Questo e' il primo, moderno Internet worm ("verme") conosciuto ad essere
scoperto "in the wild" (diffuso). Questo worm dei computer e' una sorta di
programma virus che per diffondersi non infetta dei file ma invece usa come
vettore le e-mail spedite via Internet, inserendo in allegato alle e-mail
una copia di se stesso.
Il worm e' stato spedito da qualcuno (forse lo stesso autore del worm)
su diversi server di notizie (Usenet newsgroups) nel gennaio 1999; in
pochi giorni si e' diffuso a macchia d'olio in Europa e continua a
diffondersi rapidamente.
Il worm arriva agli utenti come allegato alle e-mail, nella forma di un
file eseguibile con il nome HAPPY99.EXE. Allo scopo di dissimulare la sua
vera natura, quando viene eseguito il worm mostra sullo schermo un simpatico
effetto; dunque, si puo' affermare che presenta anche le caratteristiche
tipiche di un cavallo di troia.
Nel corso dell'esecuzione, il worm si installa nel computer,
intercettando delle chiamate di sistema che gli consentono monitorare
l'invio di e-mail su Internet; quindi converte una copia di se stesso come
allegato binario alle e-mail che vengono spedite. In questo modo il worm,
quando e' installato nel sistema, e' capace di inviare delle copie di se
stesso a tutti i destinatari delle e-mail che vengono spedite.
Quando si installa, il worm modifica soltanto dei file che risiedono
nella cartella di sistema di Windows. In tale cartella crea i file
SKA.EXE e SKA.DLL, copia il file WSOCK32.DLL nel file WSOCK32.SKA e modifica
la librearia originale WSOCK32.DLL allo scopo di intercettare l'invio di
e-mail.
Rimozione e Protezione
----------------------
Se il worm viene identificato sul proprio sistema, la sua eliminazione
e' semplice e non costituisce un problema. Basta cancellare i file
SKA.EXE e SKA.DLL dalla cartella di sistema. E' anche necessario
ripristinare il file originale WSOCK32.DLL, cancellando il file
WSOCK32.DLL modificato dal worm e quindi rinominando il file WSOCK32.SKA
in WSOCK32.DLL. Anche il file HAPPY99.EXE dovrebbe essere localizzato e
cancellato.
Per proteggere il proprio computer da una nuova, possibile infeziona da
parte del worm e' sufficiente impostare gli attributi di sola lettura
del file WSOCK32.DLL. Il worm, infatti, non prevede alcuna gestione
dell'attributo di sola lettura e quando tenta di modificare un file
WSOCK32.DLL che possiede tale attributo fallisce nell'operazione.
Alcuni consigli
---------------
Non aprire ed eseguire un eventuale file HAPPY99.EXE ricevuto in
allegato ad una o piu' e-mail. Anche se questo proviene da fonti di cui
si ha fiducia. E' anche necessario ricordare che i file prelevati da
Internet possono sempre contenere del codice pericoloso, capace di
infettare il proprio computer, compromettere dei dati, inviare
informazioni confidenziali su Internet o installare dei programmi-spia
capaci di monitorare il computer in remoto (backdoor). Quindi e' sempre
necessario prendere delle opportune precauzioni quando si preleva ed
installa del software ricevuto via e-mail.
L'apertura di documenti Office con la protezione dai virus disabilitata
e l'esecuzione di programmi sono operazioni molto rischiose. E'
necessario ricordare sempre questo principio ogni volta che si trova un
allegato nella propria posta elettronica.
Dettagli tecnici
-----------------
Il worm si presenta come un file di nome HAPPY99.EXE, lungo esattamente
10.000 byte.
Il file possiede una struttura interna del tipo Portable Executable
(PE), ovvero e' un programma a 32-bit per Windows. Il worm si installa in
sistemi Win95/98 e continua a diffondersi senza alcun problema.
Invece, a causa di errore di programma (bug), sotto Windows NT non e' capace
di diffondersi.
Il worm contiene delle stringhe di testo, alcune delle quali si
presentano in forma cifrata:
Is it a virus, a worm, a trojan? MOUT-MOUT Hybrid (c) Spanska 1999.  Happy
New Year 1999 !!
*°*°*°*°*°*°*°*°*°*°*°*°*°*°*°*°*°*°*°*°*°*
No te hieras en mì, que serà inùtil,
no me hieras a mì, porque te hieres.
*°*°*°*°*°*°*°*°*°*°*°*°*°*°*°*°*°*°*°*°*°*

Per gli scettici: cliccate sul file e buon divertimento..............
Se ti riferisci ai messaggi del tipo "guarda che non puo' esistere un
virus trasmesso via email", ti faccio presente che e' esattamente
cosi'. Infatti, come tu stesso hai appurato, il contaggio e' stato
possibile non perche' ti sia arrivata l'email, bensi' perche' tu hai
*ESEGUITO* il programma in questione. Leggere una email e' una cosa,
eseguire un programma ad esso attaccato e' un altra. Anzi,
quest'ultimo caso e' concettualmente uguale all'eseguire programmi
presenti su un dischetto passato da un amico: in questo caso il
rischio virus e' *CONCRETO*; per questo si sconsiglia sempre di
eseguire programmi (eseguibili) ricevuti per email: cio' vale sempre
quando il mittente non e' una persona nota e/o affidabile, e' quasi
sempre quando il mittente, pur essendo noto e/o affidabile, non fa
riferimento all'attachment nel testo del messaggio (il che fa
supporre, come nel tuo caso, che non l'abbia inserito
intenzionalmente).
Ciao,
      __
     (__
      __)tefano.