Newsgroup: it.comp.os.win.win2000
Titolo: O.T. abuse

E' qualche giorno che una certa vilma72 mi spedisce e-mail; l'ho avvisata
ma, continua.
Qualcuno mi suggerisce l' indirizzo per segnalare ,
era un certo   abuse...........
Grazie

potrebbe non essere colpa sua. C'è un virus che si diffonde in questi giorni
via mail, molto probabilmente non sa neanche che ti spedisce quelle e-mail.
Digli di scaricarsi un buon antivirus o di andare su 
www.antivirus.com
 per
controllarsi il computer.
"Joe" <nin...@NOSPAMhotmail.it> ha scritto nel messaggio
news:6X1N7.24851$4M2.6...@news2.tin.it...


 controllarsi il computer.
Alcuni virus tra cui il badtrans alterano il campo "reply" del messaggio...
badtrans aggiunge un underscore.
Quindi ti conviene segnalarla all'abuse che provvedera' ad avvertirla... se
poi lei continua per ignoranza (insiste che il sistema e' pulito) o non
curanza e gli segano l'account e' affar suo!
Stef_Ozzy

 ha scritto nel messaggio
news:ga9N7.195102$sq5.9...@news.infostrada.it...


 ci sono parecchi pc infettati
Tratto da 
http://www.avp.it/text/badtrans.htm
Analisi I-Worm.BantransII
(Future Time di Paolo Monti © 2001)
----------------------------------------------------------------------------
----
Si tratta di un worm (i worm sono particolari tipi di virus che si
diffondono in reti di computer) che si propaga sotto sistemi Win32 sotto
forma di allegato infetto a dei messaggi di posta elettronica. Come
ulteriore componente, il worm comprende anche un cavallo di troia che ha il
compito di rubare informazioni riservate sui computer dove diventa attivo.
Una seconda variante del Badtrans è stata scoperta "in the wild" (cioè
particolarmente diffusa) nel Novembre 2001.
Il worm è un file eseguibile di circa 29 Kb, compresso con il programma UPX.
Una volta decompresso, la lunghezza del file è di circa 60 Kb.
Come accennato sopra, il Badtrans è costituito da due parti: il worm e il
cavallo di troia. La parte "worm" ha il compito di inviare delle e-mail
infette, mentre il trojan invia a uno specifico indirizzo e-mail
informazioni riservate presenti sul computer infettato (informazioni
sull'utente, dati RSA, cached password, log dei tasti premuti). Tra l'altro,
il cavallo di troia contiene anche un programma utile all'intercettazione
dei tasti premuti, che viene installato sul sistema infetto.
Infezione del sistema
Il file infetto può essere eseguito i due modi
  1.. se l'utente clicca esplicitamente con il mouse su un allegato infetto
  2.. se il sistema presenta la vulnerabilità IFRAME, sfruttata dal worm per
venire eseguito in automatico quando si effettua l'anteprima o lettura di un
messaggio con Outlook Express
Tale vulnerabilità di sicurezza è stata descritta da Microsoft nel seguente
bollettino:
Microsoft Security Bulletin (MS01-020): Incorrect MIME Header Can Cause IE
to Execute E-mail Attachment
http://www.microsoft.com/technet/security/bulletin/MS01-020.asp
Per prelevare la patch:
http://www.microsoft.com/windows/ie/downloads/critical/q290108/default.asp
Una volta eseguito il worm installa i suoi vari componenti sul sistema e
crea delle chiavi nel Registro, utili all'esecuzione automatica del
worm/trojan ogni volta che si avvia Windows.
Il nome del trojan, la cartella dove viene memorizzato e la relativa chiave
nel Registro di sistema sono variabili. Questi dati vengono memorizzati in
forma cifrata alla fine del programma trojan. Un persona malintenzionata
potrebbe configurarli come preferisce prima di inviare il worm via e-mail o
di renderlo disponibile su un sito web.
Una volta installato sul sistema, il worm crea un ulteriore file (una
libreria dinamica a 32-bit, cioè una DLL) che ha il compito di intercettare
i tasti premuti dall'utente, spiandone l'attività. Anche il nome della DLL è
opzionale.
Il worm presenta ulteriori parti o azioni variabili, modificabili da parte
di un malintenzionato:
  1.. il worm cancella il file originale quando l'installazione è
completata. Quest'azione può essere omessa.
  2.. la dimensione del file di log creato durante l'intercettazione dei
tasti premuti dall'utente, che può essere configurata ad hoc.
Diffusione
Per inviare dei messaggi infetti il worm usa una connessione diretta a un
server SMTP (Simple Mail Transfer Protocol), evitando di impiegare come
tramite un client di posta elettronica.
Gli indirizzi e-mail ai quali inviare i messaggi infetti sono ottenuti in
due diversi modi:
  1.. il worm scandisce i file *.HT* e *.ASP per estrarre eventuali
indirizzi e-mail
  2.. usando le funzioni MAPI (Messaging API) il worm legge le e-mail
presenti nella Posta in arrivo e da lì ottiene gli indirizzi e-mail delle
vittime potenziali
Quindi il worm invia delle e-mail aventi una copia di se stesso in allegato.
Il corpo del messaggio è in formato HTML ed è costruito in modo tale da
sfruttare la vulnerabilità IFRAME per essere eseguito sui sistemi che non
hanno applicato la patch rilasciata da Microsoft (vedere sopra).
Il messaggio si presenta nel modo seguente:
Mittente: indirizzo reale del mittente o indirizzo falso selezionato tra i
seguenti:
  " Anna"
  "JUDY"
  "Rita Tulliani"
  "Tina"
  "Kelly Andersen"
  " Andy"
  "Linda"
  "Mon S"
  "Joanna"
  "JESSICA BENAVIDES"
  " Administrator"
  " Admin"
  "Support"
  "Monika Prado"
  "Mary L. Adams"
  " Anna"
  "JUDY"
  "Tina"
Oggetto: vuoto o "Re:" o "Re:" seguito da un oggetto trovato nella Posta in
arrivo della macchina infettata che ha spedito il messaggio
Corpo del messaggio: vuoto
Allegato: selezionato a caso dalla combinazione "nome file + ext1 + ext2"
dove:
"Nome file":
Pics (o PICS ) Card (o CARD)
images (o IMAGES) Me_nude (o ME_NUDE)
README Sorry_about_yesterday
New_Napster_Site info
news_doc (o NEWS_DOC) docs (o DOCS)
HAMSTER Humor (o HUMOR)
YOU_are_FAT! (o YOU_ARE_FAT!) fun (o FUN)
stuff SEARCHURL
SETUP S3MSONG
"ext1": .DOC .ZIP .MP3
"ext2": .scr, .pif
Per esempio: "info.DOC.scr"
Il worm non invia due volte un messaggio infetto alla stesso indirizzo
e-mail. Per implementare tale funzione, il worm memorizza tutti gli
indirizzi ai quali ha spedito una e-mail infetta nel file PROTOCOL.DLL
all'interno della cartella di sistema di Windows e controlla tali indirizzi
prima di inviare un messaggio infetto.
Trovato "in the wild"
Una variante del worm, il Badtrans.b o BadtransII, si è diffusa rapidamente
il 24 Novembre 2001, e presenta le seguenti caratteristiche:
  1.. si installa nella cartella di sistema di Windows usando il nome
KERNEL32.EXE e crea una chiave nel Registro:
  HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce
Kernel32 = kernel32.exe
  2.. il nome del programma che ha il compito di intercettare le chiavi
premute dall'utente è KDLL.DLL e invia le informazioni all'indirizzo
"
uck...@hotmail.com
". Il log creato durante la pressione dei tasti da parte
dell'utente viene memorizzato nella cartella di sistema di Windows con il
nome CP_25389.NLS
Disinfezione
Per eliminare il worm dai sistemi infetti basta cancellare i file
KERNEL32.EXE e KDLL.DLL. E' importante notare che entrambe i file NON fanno
parte del sistema operativo, ma sono stati creati dal worm, quindi possono
essere eliminati senza alcun problema. Nel caso in cui il sistema operativo
impedisca l'accesso ai file infetti perché in uso da Windows, far ripartire
il sistema in modalità provvisoria o altrimenti usare il task manager per
chiudere i task del worm attivi e procedere alla cancellazione. Una volta
cancellati i file riavviare di nuovo il sistema operativo. Ricordiamo
inoltre che per evitare future infezioni è necessario applicare la patch di
Microsoft riportata sopra.
Roma, 27/11/2001 - testo a cura di Paolo Monti
Stef_Ozzy

ci sono parecchi pc infettati
Infatti, ricevo parecchie mail infetta da qualche giorno.
E NON USATE OUTLOOK!!!
Ciao ciao.
--
Gabriele Pranzo-Zaccaria architetto
*UNDERLABO Laboratorio associato di progettazione
membro dello staff di 
www.cadlandia.com
gabri...@tiscalinet.it
  ICQ 77540493