! Segnalazione Alert di Nuovi Virus !

[piercing]

Con la collaborazione di amvinfe abbiamo deciso di aprire questo topic, per aggiornare tempestivamente sull'uscita di nuovi virus.

Terrò il topic marchiato come importante, ma vi prego di limitare i commenti a ciò che risulta essere strettamente necessario... Farò comunque pesante uso di forbici

Nel caso voleste approfondire un virus specifico... o perchè ve lo siete preso... o per pura curiosità... aprite pure un topic apposito...

[amvinfe]

W32.Blaster.Worm descrizione e rimozione.


Descrizione:

W32.Blaster.Worm è un worm che sfrutta una vulnerabilità nell’interfaccia RPC/DCOM (Remote Procedure Call – Distributed Component Object Model).
La vulnerabilità sembra che colpisca solo S.O. su piattaforma NT (NT, XP, 2000), ma non è escluso che S.O su piattaforma 9x (95, 98, ME) possa creare lo stesso problemi sia di riavvio che di crash.
Ma come fa il worm a sfruttare questa vulnerabilità sui S.O. non patchati?
Come prima cosa scansione un numero di IP in maniera casuale collegandosi sulla porta 135 in TCP ed inizia ad inviare dati che gli serviranno per verificare la presenza di macchine non patchate, quando ne trova una genera una shell utile per collegarsi da remoto facendo in modo che la shell di sistema CMD.EXE sia in ascolto sulla porta 4444 in TCP.
Dopodiché cerca di trasferire il file msblast.exe (compresso in UPX) attraverso il servizio TFTP (questo servizio viene installato per difetto nei sistemi XP, 2000 e Server 2003), rimanendo in ascolto sulla porta 69 UDP, il file infetto verrà collocato in System32.

N.B.
TFTP (Trivial File Transfer Protocol)
È una versione semplificata del protocollo FTP (File Transfer Protocol) e permette il trasferimento di archivi fra due macchine connesse alla rete.

Una volta infettata la macchina crea un mutex (BILLY) questo per evitare che eventuali copie del worm presenti sulla macchina agiscano contemporaneamente.
Crea una nuova chiave nel registro
”windows auto update" = MSBLAST.EXE nella chiave
HKEY_LOCAL_MACHINE>Software>Microsoft>Windows>CurrentVersion>Run

All’interno del suo codice è presente questa striscia di testo non visibile all’utente infettato.
I just want to say LOVE YOU SAN!!
billy gates why do you make this possible ?
Stop making money and fix your software!!
Da menzionare anche che il worm dal giorno 16 Agosto e fino all’ultimo giorno dell’anno in corso tenterà diversi attacchi DoS (Denial of Service) ai danni del sito windowsupdate.com, un po’ come è accaduto lo scorso 11 Agosto.


Rimozione:

Aprite la task (CTRL+SHIFT+ESC in NT, XP, 2000) (CTRL+ALT+CANC in ME)
terminate il processo MSBLAST.EXE
chiudete la task e riapritela per verificare d'avere effettivamente terminato il processo.

Eliminare il file MSBLAST.EXE in C:\Windows\System32 o C:\WINNT\System32

Portatevi in Start>Esegui => regedit
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Wi
ndows\CurrentVersion\Run
ed elimate dal pannello di dx il valore
”windows auto update" = MSBLAST.EXE
Chiudete il registro.


Disabilitare il System Restore, riavviare e riabilitarlo.

Installare la patch Microsoft.
N.B.
Dopo l'installazione della patch RIAVVIARE la macchina per permettere l'aggiornamento.

Installate un Firewall.


Link utili:

Patch Microsoft
tool Symantec
tool Bitdefender
tool stinger N.A.I.





Marco(amvinfe)

[amvinfe]

La Symantec avvisa attraverso il suo sito di una nuova variante di W32.Blaster.worm.
W32.Blaster.B.Worm questa è la nuova variante, al momento l'unico dettaglio rilasciato è che il suo eseguibile ha questo nome Penis32.exe

http://securityresponse.symantec.com/av ... .worm.html


Marco(amvinfe)

[BianConiglio]

Leggermente offtopic.. per una segnalazione abbastanza tempestiva degli ultimi virus dei quali l'utente medio dovrebbe preoccuparsi è utile iscriversi alla newsletter SALVA PC di punto-informatico http://punto-informatico.it/r/nuova.asp

Se pensate di essere infetti da un virus di cui consocete il nome, cercate il removal tool ( per rimuoverlo ) o le istruzioni di rimozione manuale sul sito

http://it.trendmicro-europe.com/
o
http://securityresponse.symantec.com/
( o cmq un sito di case antivirus )

[dado]

Riporto direttamente dalla newsletter di SalvaPc che comunica l'arrivo di un nuovo virus: Welchia.


WORM SEMPRE PIU' PERICOLOSO
---------------------------

Si chiama Welchia (o anche Nachi-a) e nonostante sia stato scoperto solo ieri gia' sta facendo tremare i computer e i server Internet non opportunamente patchati. Welchia, oltre ad attaccare la stessa vulnerabilita' di Blaster (DCOM RPC, oggetto dello scorso SalvaPC) sfrutta un ulteriore buco di sicurezza per il quale Microsoft aveva gia' rilasciato una patch nello scorso marzo.

CHI VIENE COLPITO
-----------------

I sistemi Windows e in particolare quelli che utilizzano i servizi RPC e WebDAV, tra loro quelli piu' a rischio sono Windows 2000 e XP. Windows 95/98/Me non utilizzano i servizi RPC e WebDAV e sono quindi immuni.
In particolare sono soggetti a Bluster i server web e i computer connessi a Internet che non hanno installato le patch Microsoft.

COME FUNZIONA
-------------

Come per Blaster il virus tenta di entrare nel computer dalla porta TCP 135 (per attaccare via RPC) nelle macchine con WindowsXP, mentre sfrutta la porta TCP 80 (quella comunemente utilizzata per il Web) per i sistemi dotati di Internet Information Server 5.0.

Questo worm e' capace di debellare Blaster ma potrebbe rendere instabile il sistema e arriva ad installare un TFTP server compromettendo la sicurezza della macchina. Automaticamente il worm prova quanti indirizzi IP possibili per tentare di insinuarsi in un sempre maggiore numero di computer connessi a Internet.

COME RICONOSCERLO
-----------------

Una volta entrato nel sistema Welchia crea due servizi ex novo che ne segnalano la presenza. Questi sono:
- "RpcTftpd", descritto come "Network Connections Sharing"
- "RpcPatch", descritto come "WINS Client"
Entrambi i servizi sono impostati per essere avviati automaticamente e di fatto avviano Welchia, che dopo la sua comparsa nel computer infettato subito lo riavvia per poter entrare in azione.

CHE DANNI PROVOCA
-----------------

Come si e' detto sopra potrebbero verificarsi problemi, anche dopo la rimozione del worm, con i servizi che sfruttano RPC. Inoltre, l'attivazione di un server TFTP consente teoricamente a chiunque di accedere al file system della macchina rimasta infetta, pregiudicandone notevolmente la privacy.

COME DIFENDERSI
---------------

Fondamentale e' installare le patch per le vulnerabilita' sfruttate da Welchia. Per farlo e' sufficiente collegarsi al sito Microsoft ai seguenti indirizzi:
http://www.microsoft.com/technet/treevi ... 03-026.asp
http://www.microsoft.com/technet/treevi ... 03-007.asp

Symantec ha reso disponibile un tool per rimuovere Welchia, disponibile da questo link:
http://securityresponse.symantec.com/av ... .tool.html

Aggiornare il proprio sistema antivirus.

[amvinfe]

Altri due worms da tenere d'occhio, entrambi si propagano via mail ed entrambi hanno un livello d'attenzione (Symantec) 3
La Symantec ha già rilasciato le firme, qualora la macchina sia già infetta sono stati rilasciati i relativi tools

http://securityresponse.symantec.com/av ... ru@mm.html

http://securityresponse.symantec.com/av ... .f@mm.html



Marco(amvinfe)

[piercing]

W32/Blaxe.worm Made in Italy

Il rischio è basso ma è carino perchè è frutto di casa nostra...
Si prende dai programmi di file sharing...

http://vil.nai.com/vil/content/v_100607.htm

[JollyRogers]

Nuova falla in Windows e nuovo rischio Worm ...

http://punto-informatico.it/p.asp?i=45198

[amvinfe]

E' un worm che si propaga via mail, KaZaa, via IRC.
Come testo mail può avere un falso messaggio Microsoft


Prestate la massima attenzione in quanto si prevede una larga diffusione!

W32.Swen.A@mm




Marco(amvinfe)

[amvinfe]

Alcune mail possono sfruttare questo bug. Il bug colpisce IE 5.01 SP1 e 5.5 SP1 non patchati, in Internet Explorer 6 il bug è stato corretto.


Marco(amvinfe)

[amvinfe]

Alcune mail possono sfruttare questo bug. Il bug colpisce IE 5.01 SP1 e 5.5 SP1 non patchati, in Internet Explorer 6 il bug è stato corretto.


Marco(amvinfe)

Ovviamente non è il bug che colpisce IE, ma il worm.

Ma perchè non inserite nuovamente la funzione "modifica" ???????

[amvinfe]

E' stato rilasciato dalla Bitdefender il fix per la rimozione automatica.


Marco(amvinfe)

[amvinfe]

La Symantec ha modificato il numero della gif che descriveva la mail, questa è la giusta immagine

[amvinfe]

Rimozione W32.Swen.A@mm



Bisogna come prima cosa disabilitare il Ripristino di configurazione di Sistema, ma purtroppo se si viene infettati da questo worm il tasto dx potrebbe non funzionare più, quindi bisogna disattivare questa funzione seguendo un altro percorso, vediamo quale.

Procurarsi questo fix per la rimozione automatica.
SCOLLEGARSI DA INTERNET!!!
Eliminare tutte le mail infette.
Portarsi su Pannello di Controllo>Sistema click su "Ripristino configurazione di sistema" abilitate la casellina "Disattiva Ripristino configurazione di sistema su tutte le unità", ciccate poi su OK.
Riavviate il computer per permettere le modifiche.
Riavviate nuovamente in modalità provvisoria (premete il tasto F8 al caricamento del sistema operativo), IMPORTANTE!!! Disabilitate il vostro antivirus prima di lanciare la scansione con il fix!!! E lanciate il fix per la rimozione automatica.
Riavviate in modalità normale, riattivate il “Ripristino di configurazione di Sistema” togliendo la spunta da "Disattiva Ripristino configurazione di sistema su tutte le unità", riavviate in modalità provvisoria E SEMPRE CON L’ANTIVIRUS DISABILITATO!!! Fate girare nuovamente il fix_tool e se è tutto a posto riavviate un’ultima volta in modalità normale.

Da quanto affermato dalla Bitdefender, questo fix_tool è in grado di ripristinare anche le chiavi di registro modificate dal worm.



Marco(amvinfe)

[piercing]

Ecco la tipica email di Swen... un vero capolavoro... ci cascherà mezzo mondo!!!

[amvinfe]

Ecco la tipica email di Swen... un vero capolavoro... ci cascherà mezzo mondo!!!

[img]

l'ho già modificata due volte (continuano a modificare il numero delle .gif su Symantec), speriamo che almeno la tua duri un po' di più

[JollyRogers]

Virus su WinMx:

Guardate all'interno dei vostri file condivisi se si trova una certa cartella Kernell/ (grandezza variabile tra 0,05 MB e 0,08 MB) contenente circa 600 virus (tutti sotto falso nome)

All'apertura di WinMx la cartella si autocondivide ...

Questo è l'elenco dei file contenenti il virus

Qui se ne parla

Si tratta di un Worm, W32.HLLW.Blaxe

[amvinfe]

http://securityresponse.symantec.com/avcenter/venc/data/w32.marque@mm.html



Non ci sono ancora molti dettagli in merito, ma se ne prevede una larga diffusione.



Marco(amvinfe)

[dado]

Riguardo alla segnalazione di amvinfe sul virus 'zelig', ecco un approfondimento di SalvaPC (P.I.).

UNA EMAIL SOSPETTA
------------------

Nelle ultime ore si sta diffondendo sempre di piu' sulla rete italiana un messaggio di posta elettronica in italiano che invita a scaricare uno screen saver (salva schermo) di Zelig, la popolare trasmissione televisiva.

Sono pero' diverse le ragioni che inducono a ritenere che si tratti di un worm, se non anche di un trojan: prima fra tutte il testo del messaggio, sempre uguale e l'indirizzo del mittente dell'email, sempre diverso.

Gli esperti sono tuttora al lavoro per capire quali siano con esattezza gli effetti del file una volta aperto. SalvaPC consiglia di non scaricare il file sul proprio computer prima che i tecnici abbiano concluso le loro analisi.

Di certo in questo momento nessun antivirus e' in grado di individuare questo file come un worm.

COME RICONOSCERE IL MESSAGGIO INFETTO
-------------------------------------

Come detto, il mittente dell'email e' sempre diverso e potrebbe corrispondere all'email di un utente che e' stato colpito dal worm.
Il soggetto del messaggio e' invece sempre lo stesso: Il momento e' catartico.

Nel corpo del messaggio si trova sempre lo stesso testo:

Ricevo e cortesemente inoltro,.... un premio per la genialita'
hanno reso mitico un salva schermo scaricalo, poesie catartiche, che non sai cosa ti perdi
ciao

Dove "poesie catartiche" e' linkato ad una pagina accedendo alla quale viene richiesto di scaricare il file sospetto.

UN SITO SPARAVIRUS?
-------------------

Senza biosgno di ulteriori click, accedendo al sito viene richiesto lo scaricamento di Zelig.scr.

Sul sito, francescone.com/index.html, si trova una sola frase:
Il momento e' catartico... per parafrasare un noto comico di ZELIG !!!

COME COMPORTARSI
----------------

Al momento la cosa migliore da fare e' evidentemente evitare di aprire o scaricare il file o, ancor meglio, di recarsi sul sito pubblicizzato dalle email infette.

Nelle prossime ore e' probabile che i maggiori produttori di antivirus metteranno a punto aggiornamenti specifici per individuare e bloccare il probabile worm. E' anche possibile, anche se appare per ora improbabile, che si tratti di una bufala ben organizzata.

[amvinfe]

Sono andato sul sito da dove è possibile lo scaricamento del file infetto, ho effettuato il download ed il mio antivirus (aggiornato) ha bloccato il download.
Poi ho voluto fare un'altra prova, ho visitato in sequenza e per più volte il sito ed ho chiuso la finestra del download con la funzione "annulla", lo scaricamento del file non è avvenuto, ma quando ho provato a cliccare sul bottone "X" della stessa finestra il download è partito in automatico. Quindi verificate con attenzione d'avere le definizioni virali del vostro anrivirus aggiornate


Marco(amvinfe)