KLEZ #2

[Mikizo]

Guardate un po' questa mail che mi è arrivata ieri:

Sender, InterScan has detected virus(es) in your e-mail attachment.

Date: Wed, 08 May 2002 21:47:49 +0200 (W. Europe Daylight Time)
Method: Mail
From: <mikizo@inwind.it>
To: <redazione@zdnet.it>
File: endspan.pif
Action: clean failed - moved to endspan.pif.2
Virus: WORM_KLEZ.E
Questo è l'header:
Return-Path: <postmaster@inwind.it>
Received: from fw (217.56.72.34) by mailrelay2.inwind.it (6.5.015)
id 3CAA382B017A92AC for mikizo@inwind.it; Wed, 8 May 2002 21:54:43 +0200
Date: Wed, 08 May 2002 21:47:49 +0200 (W. Europe Daylight Time)
From: postmaster
To: <mikizo@inwind.it>
Subject: InterScan NT Alert
Ora:
1) Io non ho mandato nessun messaggio (mikizo come account lo uso solo per il forum)
2) Nella mia rubrica l'indirizzo <redazione@zdnet.it> non c'è, ne' vi ho mai mandato una mail in vita mia
3) NAV aggiornato a IERI (8 maggio) non trova tracce di virus da nessuna parte
4) Verificando nel registro e nello startup non trovo le classiche tracce di klez (di cui si parla diffusamente in un altro topic: http://www.pc-facile.com/phpBB/viewtopic.php?t=2915 )

Cos'è questo messaggio?
Esiste questo postmaster di inwind?

[dado]

Mmm... mi sa proprio che qs tipo di email, che in qs giorni stanno affliggendo un pò di gente (me e te compresi), siano dovute a qualche amico che ha il pc infetto e da cui il klez prende i nostri indirizzi e li usa x spedirsi.... sennò che altra spiegazione dare?

[Mikizo]

Effettivamente per quanto mi riguarda è l'unica cosa possibile, perchè, come ti ripeto, quest'indirizzo ce l'ho "solo" qui sul forum...
Fate una piccola indagine: almeno uno di voi 1899 iscritti ha Klez sul PC.

[kadosh]

Non preoccupatevi eccessivamente per Klez, è solo un Worm quindi decisamente limitato, fate tutti una bella scansione con un AV aggiornato e via

[dado]

Cmq, per sicurezza.... affidatevi ad un software specifico.
Symantec ha rilasciato questo tool:

http://www.pcalmeglio.it/public/downloa ... asp?id=479

[BianConiglio]

Nessun problema......pure io sto venendo bombardato da questi stupidi messaggi.. Ma sono chiaramente delle "trappole"....
Anche il fatto che in allegato ci sia SOLO un eseguibile e nessun txt o dat ( come di solito in una mail tornata al mittente )

Qualcuno ha anche giustamente parlato del fatto che klez si sia infettato ( quale eseguibile ) col virus chernobyl. A mio parere non è vero, non si è infettato, ma è stato infettato, il cambio della data di "esplosione" ne è una delle prove lampanti. Insomma.....questo è uno dei virus worm che sono stati maggiormente manipolati e potenziati col passare del tempo.... il suo creatore penso si stia facendo grasse risate

[dado]

Anche xè virus che si infettano tra di loro... è un pò un azzardo!
Parlare di manipolazione invece è molto meglio. Per potenziare i virus è la cosa migliore....

[Mikizo]

il fatto che in allegato ci sia SOLO un eseguibile

Veramente in allegato non c'era nulla... diciamo che è proprio questo che mi ha fatto dubitare, altrimenti sarei stato sicuro che si trattasse di una trappolona...

Non preoccupatevi eccessivamente per Klez

Beh, se lo becchi non è proprio pacifico, o no? Certo, io ho il Norton aggiornato... Ma se mi mandano una nuova versione mezz'ora prima che sia riuscito a scaricare l'aggiornamento?

[BianConiglio]

Be, può darsi che il tuo indirizzo sia stato preso come indirizzo mittente dal virus che ha spedito sè stesso a zdnet dal pc di un altro, non utilizzando la sua mail ( la ultime versioni fanno pure questo ). Zdnet, si è vista recapiare una mail da te ( anzi, dalla tua casella di posta ) e ha risposto a quest'ultima. E' possibile ch ei server zdnet per replicare a mil del genere, GIUSTAMENTE non rispediscano al mittente la mai infetta, ma solo un avviso.

[Mikizo]

Grazie BC, in effetti era questa la risposta che cercavo alla domanda:
Cos'è questa mail?
Il dubbio di avere io il worm sul pc non mi ha sfiorato neanche per un attimo.
Ce l'ha però necessariamente qualcuno che ha il mio indirizzo in rubrica...

[don]

Purtroppo anche io ricevevo e-mail inutili e credevo che la colpa fosse degli altri. La cosa è andata avanti per mesi fino a quando ho visto decadere le prestazioni del mio pc. Mi sono informato su klez ed ho scoperto che può accadere che sia lui il responsabile di questi messaggi. Quindi può essere il computer stesso infettato a mandarseli e nessun postmaster ipotetico. Klez successivamente ha cominciato a sovrascrivere i files eseguibili e mi ha mangiato l'antivirus aggiornato (Norton). L'antivirus non lo riconosce, o almeno non ha riconosciuto la versione che mi sono beccato. Per liberarmene ho usato un programmino facile che si chiama Antiklez e si trova su tucows. Purtroppo gli eseguibili infettati vengono persi definitivamente e bisogna reinstallare i programmi. Adesso non ricevo più messaggi inutili.

[Mikizo]

Grazie della segnalazione don, per chi fosse interessato il link esatto è questo:
http://www.tucows.com/system/preview/259252.html

Ora lo lancio e vi faccio sapere...