Archivio » 2004 » dicembre » mercoledì 15 »

Virus, Mcafee: ecco come funziona il worm di Natale

» falle di sicurezza

(ASCA) - Roma, 15 dic - Mcafee Avert (Anti-virus and Vulnerability Emergency Response Team) ha elevato la valutazione di rischio a media per il worm W32/Zafi.d@MM. Zafi.d è un worm mass-mailing che costruisce i messaggi utilizzando il proprio motore Smtp e camuffando l’indirizzo del mittente.

Meglio proteggersi Questo virus tenta anche di diffondersi tramite reti P2p, duplicandosi nelle cartelle presenti sul sistema locale. I ricercatori Mcafee Avert, che hanno identificato il worm questa mattina presto in Europa, hanno ricevuto numerose segnalazioni provenienti da Germania, Italia e Spagna, dove Zafi.d è stato rilevato o ha infettato sia utenti consumer che aziendali.

Zafi.d è un worm mass mailing che, una volta eseguito, si duplica due volte nella cartella windir system32.
Il worm crea una chiave di registro, in modo che i file infetti siano eseguiti ogni volta che un computer infetto viene acceso.
Inoltre, Zafi.d è in grado di ricercare le directory di software antivirus e personal firewall, per poi sovrascrivere gli eseguibili con una copia di se stesso. Gli utenti devono immediatamente cancellare i messaggi e-mail che contengono quanto segue: From: (L’indirizzo è falsificato).
Il worm va alla ricerca di indirizzi e-mail sul disco rigido locale, raccogliendo gli indirizzi dai file che hanno le seguenti estensioni: htm, wab, txt, dbx, tbb, asp, php, sht, adb, mbx, eml, pmr, fpt, inb.

Gli indirizzi raccolti sono memorizzati in cinque file nella cartella system32 utilizzando nomi casuali e l’estensione .Dll. Subject: Re: (oggetto originale). Il messaggio può contenere diversi oggetti e testi.
Corpo del testo: Il corpo dell’e-mail inviato dal worm è un semplice messaggio di auguri di Buon Natale. Come le varianti precedenti, il worm si invia in diverse lingue in base al Top Level Domain (Tld) dell’indirizzo del destinatario.

Per esempio, un utente con un indirizzo e-mail .com ricevera’ il testo in inglese, mentre coloro che hanno un indirizzo e-mail .it lo riceveranno in italiano. Una volta eseguito, Zafi.d si copia due volte nella cartella %windir%system32 utilizzando un nome casuale e l’estensione .Dll. Il worm si duplica nelle directory presenti sul drive C: che contengono una delle stringhe, share, upload o music, e utilizza uno dei seguenti nomi di file: winamp 5.7 new!.exe, ICQ 2005a new!.exe.
Per maggiori informazioni: http://vil.mcafeesecurity.com/vil/content/v_130371.htm.