Last Update: 01/02/2002 |
 |
|
Ovviamente, non essendo espertissima, mi limito ad inserire le notizie con un pizzico di sarcasmo... dopotutto bisogna imparare a prendere le cose con filosofia, non credete?
Attenzione!!! prima di cancellare il file leggete questa mia aggiunta... (so che per alcuni sarà noiosa, ma per altri molto utile).
Tutto questo per dire che è buona cosa stare attenti a questi messaggi, ma
la soluzione ottimale è quella di avere un buon antivirus e di mantenerlo
aggiornato (quando esce un nuovo virus è importante avere un aggiornamento
dalla casa produttrice di antivirus). Ce ne sono tanti buoni (Norton,
PC-Cillin, Panda, ...): scegliete quello che vi garantisce maggiori
possibilità di aggiornamento.
Quando arrivano messaggi come questi, prima di cancellare il file fate un
controllo con l'antivirus (aggiornato) e, nel caso che il file sia infetto,
l'antivirus stesso cercherà di pulirlo o vi consiglierà di cancellarlo...
L'offensiva, inoltre, anziché fermarsi dopo l'arresto del colpevole della diffusione di «I love you», sembra aver subito un'ulteriore impennata, con l'arrivo di nuovi e più terribili virus.
Ciò che più spaventa è la notizia che i virus di prossima generazione saranno capaci, al contrario di quanto succede oggi, di contagiare il computer semplicemente nel momento stesso in cui si riceve un'e-mail infetta, senza che ci sia bisogno di aprire il messaggio.
Il laboratorio di ricerca di F-Secure Corporation, una delle più importanti realtà mondiali nella lotta contro i virus, ha recentemente individuato decine di nuovi focolai di infezione, che in moltissimi casi hanno evidenziato una grande capacità di diffusione, replicandosi automaticamente con l'invio del messaggio infetto a tutti i contatti della rubrica di posta elettronica.
Livello di pericolosità: 3/5
Magistr, un complesso virus-worm distruttivo per sistemi Win32, e' stato rilevato verso la meta' del marzo 2001.
Il suo payload viene attivato dopo un mese esatto dall'infezione; il che significa che tra pochi giorni le prime macchine ad essere infettate dal virus potrebbero soffrirne gli effetti, ossia la cancellazione dei dati del CMOS, del Flash Bios (su sistemi Win9x e WinME) e dei dischi fissi, in modo simile a Win95 CIH, alias Chernobyl.
Magistr, apparentemente scritto in Svezia, e' un virus estremamente complesso e avanzato, scritto in Assembler e dotato di funzionalita' Worm. Proprio tale funzionalita' permette a Magistr di propagarsi su reti locali e di auto-inviarsi per posta elettronica usando allegati con estensione EXE e SCR e nome variabile, con le devastanti conseguenze che possiamo immaginare.
Si diffonde attraverso server di posta STMP, senza necessitare di client di posta come Microsoft Outlook o Netscape e raccoglie indirizzi di posta elettronica da file inviati con Address Book di Windows e da Outlook.
Si attacca fino a un massimo di 6 file a caso, a prescindere dalla tipologia di file. Per infettare gli altri uno dei documenti allegati deve, in ogni caso, includere uno dei file .exe infettati e l'utente deve aprire il documento infettato.
Genera una riga di testo nel soggetto che può contenere fino a 60 caratteri e danneggia l'ambiente di avvio, cercando di resettare il BIOS e cancellando i file. Tenta di modificare i file Win.ini su drive di rete.
Il codice di Magistr e' circa 30Kb e include numerose funzioni, tra cui le routine infettive e di diffusione via rete, due motori polimorfici e alcuni accorgimenti per rendere difficile il lavoro degli analisti.
E' da notare che il nome di questo file corrisponde a un eseguibile gia' presente sul sistema, quindi l'utente, pur notando queste modifiche, potrebbe essere portato a pensare che non c'e' nulla di anomalo.
La routine infettiva inizia poi a esaminare le directory locali e i volumi condivisi su rete, cercando di infettare gli eseguibili in formato Portable Executable con estensione EXE o SCR, che non superino i 132Kb. Uno dei segnali piu' evidenti della presenza di Magistr e' la creazione di un file DAT (nella directory di Window, oppure in \programmi o \program files, o ancora nella radice del disco C:). Il nome di questo file e' ricavato dal nome dell'host sulla rete, cifrato secondo un codice fisso: a=y, b=x, c=w ecc. I segni di interpunzione e i numeri non vengono sostituiti.
Stando alle segnalazioni in arrivo in queste settimane, numerosi sono anche gli "avvistamenti" del virus in Italia.
MTX è un virus che si diffonde nel "solito modo", come attachment di posta elettronica con la capacità, se aperto, di infettare sistemi Outlook che girano su Windows.
Secondo quelli del SARC, i labs Symantec, W95.MTX ha la particolarità di essere costituito da due componenti principali: un virus e un worm. Capace di aggredire alcuni eseguibili in determinate directory dei sistemi Windows a 32 bit, il componente worm si occupa di effettuare una copia di Wsock32.dll, rinominandolo in Wsock32.mtx e modificandolo per consentire alla componente virus di inviare una copia del worm-virus a qualsiasi destinatario a cui l'utente infettato invii un messaggio di posta elettronica.
L'email che arriva all'ignaro destinatario non ha subject e contiene in attachment un file la cui vera estensione può non essere visualizzata dal client di posta elettronica dell'utente perché "nascosta" dietro estensioni fittizie e dietro uno dei tanti nomi utilizzati a caso dal virus.
Ecco l'elenco dei nomi degli attachment infetti:
|
|
Se non li trova, invece, decomprime il componente worm, infila una copia di quest'ultimo nella directory di Windows e lo fa girare. Il nome del file "inserito" dal virus è Ie_pack.exe. Una volta che questo viene eseguito, si autorinomina in Win32.dll.
Non contento, il virus infila nel sistema anche il file Mtx_.exe. Si tratta di un software di scaricamento che si collega ad un sito specifico dove sono presenti plug-in per il virus, da scaricare e attivare sui computer vittima. Nel registro di Windows, inoltre, viene inserita una istruzione che attiva in modalità nascosta il programma di download ogni volta che il sistema viene fatto ripartire.
Prima di concludere la sua opera, la più recente versione del virus, che pare originaria della Germania, sembra si dedichi ad aprire anche la porta 1137, che da quel momento in poi può essere utilizzata come via di ingresso dall'esterno di pressoché qualsiasi codice senza che l'utente ne sia consapevole.
Per eliminare il virus, oltre allo scaricamento degli upgrade antivirus successivi al primo settembre scorso, si può procedere cercando ed eliminando qualsiasi file W95.mtx, W95.mtx.dll, W95.mtx.dr.
E togliendo dal registro la chiave HKLM\Software\Microsoft\Windows\CurrentVersion\Run as value "SystemBackup"="C:\WINDOWS\MTX_.EXE".
L'antivirus McAfee versione 5.01 con ultimo aggiornamento riesce a trovarlo. Ricordatevi, quindi, di aggiornare spesso il vostro antivirus.
In mancanza di un antivirus aggiornato tenete in considerazione che questo virus non permette di mandare in esecuzione programmi .exe, il problema è risolvibile senza formattare la macchina. Le indicazioni per la soluzione si possono trovare nel sito della McAffe.
In poche parole il procedimento da seguire è il seguente:
- rinominare regedit.exe in regedit.com
- lanciare regedit
- cancellare le righe che fanno riferimento al file winsvrc.exe che si possono trovare sotto le seguenti voci (per sicurezza fate anche una ricerca del nome del file):
- HKEY_CLASSES_ROOT\exefile\shell\open\command\
- HKEY_LOCAL_MACHINE\Software\CLASSES\exefile\shell\open\command\
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ - rinominare regedit.com in regedit.exe
- riavviare il computer
ATTENZIONE: PERSONALMENTE SCONSIGLIO VIVAMENTE DI FARE QUESTE OPERAZIONI A CHI NON HA DIMESTICHEZZA CON REGEDIT.
Secondo procedimento possibile (suggerito dalla Symantec):
- Premere lo start di Windows , sotto programmi prendere MS-DOS Prompt.
Il comando prompt apprairà sullo schermo che mostra la directory di windows così:
c:\WINDOWS> - Digitare : type ren REGEDIT.EXE REGEDIT.COM
- Premere Invio
- Digitare : REGEDIT
- Premere : invio
- Modificare il seguente valore di registro:
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefile\shell\open\command
e cambiare
"c:\WINDOWS\SYSTEM\winsvrc.vxd" "%1"%*
in
"%1"%*
Per chiarire i caratteri sopra descritti sono : Virgolette, percento, uno, virgolette, spazio, percento e asterisco. Non dimenticare lo spazio. - Cancella la chiave di registro:
HKEY_USERS\DEFAULT\Software\Navidad - Riavvia il computer
- Poi usa esplora risorse di windows e cancella sotto la directory Windows\System\winsvrc.vxd file
Analogo a LoveLetter NL arriva come allegato ad un messaggio di posta elettronica. Se l'allegato viene aperto il virus cancella interi file dell'hard disk e spedisce messaggi infetti a tutti i nominativi della rubrica dell'Outlook. Ma oltre a far questo NL blocca il PC!!!
Come riconoscere il virus?
- nella riga "Oggetto" il nome del messaggio è preceduto dalla sigla Fw. Attenzione! L'oggetto dell'e-mail vi può risultare familiare... non fatevi ingannare!!! Il virus riesce a scegliere il titolo di un oggetto a caso tra i nomi delle cartelle presenti nel PC;
- l'allegato ha estensione Vbs (una delle estensioni spesso legate ai virus);
- il mittente vi è familiare? Non fidatevi lo stesso!!! Date retta ad una che una volta è cascata nel tranello (per fortuna senza danni grazie all'antivirus).
- con Win 95 o 98: impostare la protezione che si trova nelle opzioni internet almeno a "media" in modo tale che l'allegato non possa eseguirsi automaticamente;
- disattivare la funzione Windows Scripting Host:
- selezionate tasto Start
- portarsi su Impostazioni
- Pannello di controllo
- Installazione applicazioni
- Installazione di windows
- Accessori
- togliere la selezione della funzione Windows Scripting Host, se presente
- salvare le modifiche
Il virus ha avuto origine da Manila, Filippine (si dice che sia partito per errore da un PC in cui veniva sviluppato), e dal 4 maggio 2000 ha già infettato centinaia di migliaia di computer.
Il virus, che parte se si apre l'allegato Love-letter-for-you.txt.vbs, sostituisce col proprio codice i file con le seguenti estensioni: *.vba, *.vbe, *.jss, *.jse, *.css, *.wsh, *.sct, *.hta, *.jpg, *.jpeg, *.wav, *.txt, *.gif, *.doc, *.htm, *.html, *.xls, *.ini, *.bat, *.com, *.mp3 e *.mp2.
Se lo si riceve, per evitare l'infezione è sufficiente NON ESEGUIRE O APRIRE L'ALLEGATO e cancellare subito l'e-mail!!!
Se però l'avete aperto, ecco cosa succede:
- Viene mandata automaticamente una mail a tutti i propri contatti della rubrica con in allegato una copia del virus
- Viene settata come HomePage di Internet Explorer, un file eseguibile che verrà scaricato (o lanciato) non appena si apre Internet Ex.
- Vengono cancellati o rinominati tutti i files con estensione .mp3 .mp2 .jpg .jpeg
- Quelli rinominati vengono rinominati in xxxx.vecchiaestensione.vbs
- Vengono aggiunti un paio di files nel registro in modo che, sia l'eseguibile scaricato, sia il vbs vengono lanciati all'avvio.
- Se usate programmi di chat tipo MIRC, il virus viene spedito anche agli utenti con cui chattate.
- Chiudere il programma di posta elettronica
- Premete CTRL ALT CANC
- Terminare l'esecuzione di WSCRIPT
- Eseguire "trova file" dal menu avvio (o start) e ricercare tutti i file .VBS (digitare il comando *.VBS)
- Dovreste trovare tre script .VBS: Win32DLL.VBS, MSKernel32.VBS e LOVE-LETTER-FOR-YOU.txt.vbs ; cancellate questi files
- Fate ripartire il PC in modalità prompt di MS-DOS
- eseguite SCANREG /RESTORE; vi verrà evidenziata una lista di copie del registro di configurazioen di sistema
- Scegliete una copia del registro ANTECEDENTE la data in cui il virus ha infettato il PC quindi scegliete RESTORE
- Il pc ricarica il registro di configurazione e si riavvia. L'operatività torna normale.
- Eliminare il file MSKernel32.vbs nella directory Windows
- Eliminare il file Win32DLL.vbs nella directory Windows/system
- Eliminare il file LOVE-LETTER-FOR-YOU.TXT.VBS nella directory Windows/system
- Eliminare tutti i files contenenti la frase "<i hate go to school>" (virgolette escluse) di dimensione pari a 11 Kb
- Eliminare il file LOVE-LETTER-FOR-YOU.HTM
- Eliminare dal registro le entry in HKLM\Software\Microsoft\Windows\Current Version\Run le entry con estensione .vbs
- Eliminare dal registry le entry in HKLM\Software\Microsoft\Windows\Current Version\RunServices le entry con estensione .vbs
- Eliminare dal registry l'entry in HKLM\Software\Microsoft\Windows\Current Version\Run\WIN-BUGSFIX
Attenzione! Il virus non passa solo con la posta elettronica, ma anche con mIRC.
Il primo caso concreto di virus ai cellulari si è verificato in Giappione, a Tokyo, a metà agosto.
Durante un gioco a premio organizzato da un sito internet a cui si partecipava col telefonino, i cellulari degli utenti hanno effettuato automaticamente una telefonata alla Polizia Locale.
E' stata poi la volta della Spagna dove degli hacker hanno deciso di protestare verso le tariffe del gestore iberico ritenute monopoliste intasando centinaia di telefonini con un messaggio sms, che ha raggiunto gli utenti via internet tramite pc collegati in rete. Si tratta del bug TIMOFONICA (timofonica.txt.vbs nella versione e-mail). Di recente poi è stato scoperto un nuovo software (un piccolo programma scritto in Visual Basic e denominato SMS Flooder) in grado di inondare una rete cellulare di messaggi sms, ma questa volta senza dover usare come ponte i PC tradizionali.
Questo software si interfaccia ai siti Web che consentono l'invio gratuito di SMS e lanciano migliaia di messaggi verso lo stesso utente, contemporaneamente. Sembra che, in questo modo, il cellulare diventi inutilizzabile. Se tale attività fosse estesa a più utenti si potrebbero generare disservizi anche sulla Rete GSM. Il programma e' stato realizzato in Germania e ci si augura che non oltrepassi i confini!.
Anche se gli operatori telefonici italiani (così come i produttori di cellulari) escludono il rischio di intrusioni non autorizzate nelle loro reti, c'è chi ha ipotizzato un possibile blocco di rete dovuto a un malsano moltiplicarsi di SMS!!!
Certo è che gli esperti stanno già studiando prodotti antivirus e i nuovi modelli dovrebbero avere più sofisticati sistemi di protezione.
- Un programma non autorizzato nascosto all'interno di uno autorizzato che esegue operazioni all'insaputa dell'utente.
- Un programma "regolare" modificato per eseguire operazioni non volute dall'utente.
- Un programma che sembra eseguire determinate funzioni, ma che in realtà ne esegue anche altre.
Come fare per capire se siamo stati infettati?
- Con un antivirus aggiornatissimo.
- Controllando il registro di windows. Un trojan, infatti, si auto-carica all'avvio di windows tramite una cartella che contiene i collegamenti a tutti i programmi che vengono eseguiti in automatico all'avvio. Eccola:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run*
(* sta per tutte le key che iniziano con "run").
Bisognerà quindi verificare se c'è qualche programma di cui ignoriamo la funzione che viene caricato e rimuovere tale chiave (ed eventualmente il programma).
NOTA: i nuovi trojan tendono a nascondersi nella cartella di windows e ad assumere nomi credibili in modo che sia difficile capire se si tratta di files di sistema o no. - Controllare in WIN.INI i programmi che vengono caricati all'avvio. E anche nella cartella "Esecuzione Automatica".
- Scannerizzando le porte, per vedere quelle che abbiamo aperte sul nostro pc che potrebbero essere dovute alla penetrazione da parte di un trojan appunto.
- Aggiornare il più spesso possibile il proprio programma antivirus;
- Se si usano programmi come Outlook o Outlook Express, sarebbe meglio scaricare e installare le patch di sicurezza più aggiornate messe a disposizione da Microsoft;
- Compiere backup regolari, in modo da tenere una o più copie dei documenti più importanti su un altro disco;
- Non aprire mai gli allegati nei messaggi di posta elettronica;
- Non aprire mai file con estensione di tipo .VBS, .SHS, .PIF;
- Non aprire mai file che abbiano doppia estensione del tipo: Xxx.BMO.EXE, Xxx.TXT.VBS;
- Non lasciare mai nessun dischetto nel lettore (CD o floppy). Alcuni virus si diffondono a PC spento;
- Non accettare mai allegati da persone sconosciute durante un collegamento in una chat;
- Non aprire mai gli allegati dei messaggi di posta elettronica con un subject pubblicitario;
- Non aprire mai file con nomi evidentemente allettanti come Sex.EXE, Porno.VBS, ecc.;
- Non condividere, se non strettamente necessario, le proprie cartelle di lavoro con altri utenti;
- Verificare ogni nuovo software o dischetto (anche quelli preformattati e appena comprati), anche se proveniente da una ditta commerciale;
- Prestate attenzione a nuovi comportamenti del PC: messaggi di errore non usuali, memoria che decresce, luce d'attività disco che sta accesa un po' troppo, lentezza eccessiva;
- Staccare sempre il modem quando non si utilizza il PC, anche se il computer è spento;
- Non scaricare mai file da servizi come newsgroup o mailing list, a meno che non provengano da persone di fiducia.
- Nel caso in cui vi arrivino degli allegati salvateli nel vostro PC solo se zippati e ricordatevi sempre di usare un antivirus per controllare che non contengano brutte sorprese, prima di diszipparli.
Meglio ancora se prima di controllare aggiornate il vostro antivirus... non si sa mai!
(Questo discorso vale anche per i download da internet!!!) - Se avete un antivirus con incorporato un programma per ricevere messaggi sugli ultimi aggiornamenti e sui virus che sono in circolazione (come, per es. il Live advisor della Symantec) non fidatevi fino in fondo: i virus della famiglia "Love letter" sono particolarmente potenti e grossi e se sono riusciti a mettere in crisi Yahoo, per loro è certo uno scherzetto entrare in pagine protette! Ve lo dico perché è già successo...
- Se contraete un virus... innanzi tutto non fatevi prendere dal panico. Innanzi tutto staccate il modem e non collegatevi in rete fino a che non avrete risolto tutto... poi procuratevi un antivirus aggiornato e scandite tutto il computer... ma non fatevi prendere dal panico, mi raccomando!!!! O rischierete solo di fare ulteriori casini!