ecco la risposta:
4870 messaggi, per un totale di 85MB di spazzatura: questo quello che abbiamo appena trovato scaricando la
posta elettronica (operazione temporizzata in automatico ogni 30 minuti).
Si tratta di una aggressione di cui purtroppo si hanno ancora pochissimi dettagli, e di cui le case
antivirus danno ancora descrizioni solo parziali, segnalata addirittura come “a bassa diffusione”.
In Italia, Zane & Friends Site è fra le prime e-zine a riportare la cosa.
Quello che è certo è che si tratta di Erkez.B (anche noto come Zafi.B), un nuovo worm di mass-mailing che
colpisce tutti i sistemi Windows, da 95 fino alle moderne versioni Windows Server 2003.
Il worm, almeno in questa variante, non è particolarmente dannoso per chi lo contrae, ma crea seri problemi
agli amministratori di rete e a chi dispone di indirizzi postali su un proprio dominio.
Una volta installato, il verme tenta di sferrare un attacco di tipo Denial of Service contro alcuni siti
ungheresi, fra cui quello del parlamento e alcune case di rilevazione virus.
Mostra quindi a video un messaggio firmato “SNAF Team” dal contenuto politico in lingua ungherese, che
esorta il Governo a trovare una sistemazione per i senzatetto e votare l’introduzione della pena di morte
per contrastare la criminalità.
E’ la prima volta che un gruppo di virus writer, spesso legati a frange di estrema sinistra, chiede
l’introduzione della pena di morte, e non l’abolizione.
Dopodichè parte l’opera di replicazione: il verme accede alla rubrica di Windows raccoglie tutti gli
indirizzi presenti, che vengono conservati in un file dal nome variabile contenuto nella cartella di sistema.
Passa poi allo scanning del disco, da cui raccoglie tutti i recapiti e-mail.
Gli unici indirizzi ignorati sono quelli che includono i domini delle case antivirus più famose, quali
McAfee, Sophos, Kaspersky, Trend Micro e altri: in questo modo, il virus cerca di limitare la propria
visibilità da parte degli “antibiotici”.
Da quanto abbiamo rilevato, il malware accresce la propria lista di bersagli, combinando qualsiasi username
e nome di dominio rintracciato sulla macchina colpita: ad esempio, se trova pippo@libero.it e
pluto@zanezane.net, il verme aggiungerà al proprio elenco anche pippo@zanezane.net e pluto@libero.it
Una volta aver compilato la lista con tutte le possibili combinazioni, utilizza un motore SMTP interno per
autospedirsi a tutti i destinatari, naturalmente alterando il mittente con un nome fasullo.
Il corpo del messaggio è vario, così come il nome dell’allegato e l’oggetto: il worm è poliglotta, e fra le
tante versioni sono presenti anche messaggi in italiano, cosa che potrebbe contribuire a creare notevoli
problemi anche nel nostro paese.
Ecco alcuni fra gli oggetti che abbiamo rilevato più di frequente:
Importante!
Ti e stata inviata una Cartolina Virtuale!
You've got 1 VoiceMessage!
Don't worry, be happy!
Check this out kid!!!
Il virus non ha grandi capacità di automazione, e perché divenga attivo è necessario che l’utente apra
manualmente l’allegato.
Raccomandiamo ancora una volta di fare la _massima attenzione_ ad aprire gli allegati, magari chiedendo
conferma al mittente, e solo dopo averli debitamente controllati con un antivirus.
Essendo una minaccia relativamente nuova, le Case antivirus non hanno ancora rilasciato un fix apposito:
raccomandiamo quindi di fare una scansione completa dei sistemi con un antivirus tradizionale, aggiornato
almeno a ieri.
In caso l’antivirus non fosse disponibile, segnaliamo la soluzione di scansione on-line offerta
gratuitamente da Panda Antivirus http://www.zanezane.net/z.asp?code=408
In caso vi trovaste la mailbox stracolma e foste impossibilitati a proseguire con il normale download della
posta, vi consigliamo di utilizzare l’interfaccia webmail per cancellare i messaggi indesiderati, o in
alternativa un applicativo POP3 che lavori direttamente sul server, quale Ultrafunk Popcorn (gratuito) http:/
/www.ultrafunk.com/products/downloads/popsetup.exe
Qualche raccomandazione per amministratori di rete: disabilitate momentaneamente le caselle postali di
raccolta degli utenti non riconosciuti, e soprattutto disabilitate i responder automatici che avvisano gli
utenti di essere infetti: il virus altera il mittente, e finireste quindi per segnalare l’infezione ad un
utente totalmente estraneo alla vicenda.
Portate a termine inoltre la scansione di tutte le workstation, e accertatevi che l’antivirus sul mailserver
in uscita blocchi correttamente i messaggi infetti.
Se durante la notte lasciate i sistemi accesi per la manutenzione, impostate il firewall affinché blocchi
ogni accesso alla Rete non sia strettamente necessario.
Zane & Friends Site (http://www.zanezane.net)
--====----====----====----====----====----====--
Copyright & Policy: http://www.zanezane.net/servizi.asp?id=14
--====----====----====----====----====----====--
__________ Informazione NOD32 1.789 (20040614) __________
Questo messaggio è stato controllato dal Sistema Antivirus NOD32
part000.txt - e OK
http://www.nod32.it