mini-FAQ Opaserv

Versione 0.0.1a-pre-pre-alfa by HappyCactus

D: La connessione è lenta, ho controllato sulle applicazioni in avvio automatico e ho trovato un file scrsvr.exe, che cosa è?

R: E' il sintomo dell'infezione dal worm Opaserv.

D: Opaserv? e chedd'è?

R: Opaserv è uno dei virus attualmente più diffusi in internet. Un Worm è un programma che si copia nei sistemi altrui, sfruttando alcune vulnerabilità e misconfigurazioni del tuo sistema windows.

D: Ma io ho l'antivirus, perché non lo trovo?

R: L'antivirus è aggiornato?

D: Come posso rimuovere opaserv?

R: Difendersi da opaserv è abbastanza semplice, se uno ha l'accortezza di prendere le adeguate precauzioni per chiudere le condivisioni dei dischi e tenere aggiornato l'antivirus. Consiglio di leggere innanzitutto le analisi del virus ai link che trovi in fondo a questo documento. Per prima cosa è indispensabile chiudere le falle che permettono a opaserv di entrare nel sistema. Esso è un worm classico, utilizza le condivisioni del disco C non protette da password e quelle protette da password ma vulnerabili ad un certo exploit. Innanzitutto, quindi, bisogna proteggere tali condivisioni. Il metodo piu' sicuro è quello di rimuovere completamente la condivisione file e stampanti di windows. Tuttavia il primo passo è quello di applicare la patch necessaria (solo se hai Win98 o ME, invece Windows XP e 2Mila NON hanno bisogno di questa patch). Via al sito indicato in fondo a questo documento e segui le istruzioni. Poi devi utilizzare un tool specifico, come quelli che trovi in fondo a questo documento. Oppure puoi eliminarlo a manina, le istruzioni le trovi sui siti delle analisi.

D: Ho Win98/ME, come rimuovo le condivisioni ?

R: Segui le seguenti istruzioni.

Pannello di controllo -> rete -> TCP/IP (doppio click)

Vai alla pagina "Binding", dovrebbe esservi scritto "Condivisione file e stampanti". Questa voce NON deve essere selezionata (non deve esservi la crocetta di fianco).

Se hai anche una scheda di rete, la voce "TCP/IP" sarà presente assieme a "Dispositivo di accesso remoto", scegli solo quella, altrimenti non riuscirai più a condividere le risorse all'interno della rete locale.

Se la condivisione non serve affatto, eliminala completamente come protocollo:

Pannello di controllo -> rete -> selezionare "Condivisione file e stampanti" -> Elimina.

D: Ho Windows 2000/XP, come rimuovo le condivisioni?

R: ****da fare****

D: Ho una rete infetta, come rimuovo Opaserv?

R: Beh, con una rete le cose diventano un pelino più complesse. Per prima cosa devi staccare completamente tutte le macchine della rete, ho detto tutte! Quindi procedi a disinfestarle ad una ad una, patchando i sistemi che lo richiedono, rimuovendo le condivisioni, o (se proprio non puoi rimuoverle) proteggendole da password. Ricollega alla rete le macchine solo quando sei sicuro che siano completamente pulite!

D: Ma è un lavoro immane, non c'è un metodo più semplice?

R: No.

D: Ma io non ho mai condiviso il disco C, perché il virus entra lo stesso?

R: Il disco C è una condivisione amministrativa nascosta, quindi accessibile anche se non l'hai fatto esplicitamente.

D: Io ho protetto le condivisioni con una password, perché continuo ad infettarmi?

R: Perchè non hai patchato il tuo Win98 o WinME. Corri subito ad applicarla al sito in fondo alla pagina! e poi elimina gli share!

D: Non voglio eliminare gli share, come posso difendermi?

R: Puoi installare e configurare un firewall, ma attenzione, prima di farlo devi capire come funziona e come configurarlo, altrimenti avrai un falso senso di sicurezza o prenderai tanti spaventi per nulla. Leggi le istruzioni sul sito del produttore del firewall che sceglierai, leggi le far, leggi le securfaq.

D: Ho un firewall, da un po' di tempo continuano ad arrivarmi allarmi di tentate intrusioni dall'ip (un-ip-qualunque) alla porta 137, che cosa è?

R: Opaserv che cerca di infettarti. Sei il firewall ti allerta, vuol dire che funziona bene. Disabilita gli alert e vivi felice!

D: Ho un firewall, da un po' di tempo continuano ad arrivarmi allarmi di tentate intrusioni dall'ip (un-ip-qualunque) alla porta 137, Ho fatto la scansione con l'AV ma non mi trova niente, aiutooooO!

R: Infatti: le connessioni vengono dall'esterno, non dall'interno. Il virus è al di fuori!

D: Opaserv viene rilevato nella cartella C:\_RESTORE, come faccio a eliminarlo?

R: devi eliminare la cartella di restore di quel benedetto Windows ME / XP. Cerca il link infondo alla pagina.

D: Al boot compare un messaggio "Impossibile eseguire il file scrsvr.exe". cosa vuol dire?

R: Vuol dire che opaserv ha tentato di infettare il computer tramite una condivisione aperta, ma non ci è riuscito, ha solo modificato il win.ini con la chiave

run = scrsvr.exe

Controlla comunque con un Antivirus aggiornato, ma soprattutto chiudi le condivisioni!!!