Archivio » 2005 » gennaio » giovedì 20 »

Baba, worm ingannevole (e il ritorno di Mydoom)

Scritto da Guido Sintoni

Difendetevi!» Virus alert XML

“Important! XXX sites found on your computer!”.
Firmato, Baba. Che, contrariamente a quanto si può supporre, non è un novello Savonarola di Internet o un integerrimo difensore di costumi morali, ma un semplice (e in sé banale) worm di tipo mass-mailer.
Proteggetevi Il messaggio (in inglese) è chiaro: sul Pc del destinatario sarebbero presenti contenuti pornografici, che l’allegato della e-mail (un eseguibile da 37 Kbyte) si offre di nascondere. Va da sé che, se incautamente lanciato, l’eseguibile aziona i meccanismi tipici di un worm di tipo mass-mailer: ricerca di indirizzi e contatti cui propagarsi, installazione di un piccolo motore Smtp sulla macchina infetta (con invio di messaggi di posta elettronica con allegato infetto) e installazione di una backdoor sul sistema target.

Rimuovere Baba.C è possibile con scanner antivirus dotati di file di definizione aggiornati.
Ritorna Mydoom. Curiosamente, Baba.C segue di poche ore la comparsa dell’ennesima variante di Mydoom (Mydoom.AI per F-Secure, e Mydoom.AE per altri vendor) si diffonde mediante una e-mail che promette di fornire password per siti pornografici.
Come prevedibile, l’allegato contiene malware che disattiva software di protezione (antivirus e firewall) e ne sfrutta la banda a disposizione per attacchi di tipo distributed denial of service. Anche per Mydoom.AI i vendor hanno già approntato gli opportuni rimedi; per il worm (la cui versione originale sta per compiere un anno) si tratta della prima nuova variante dopo quasi un trimestre di silenzio.