ALERT: "Love Letter" worm [ID: A-00011C]
-----BEGIN PGP SIGNED MESSAGE----- GARR-CERT Security Alert ---------------------------------------------------------------------------- Alert ID: A-00011C Data di creazione: Fri May 5 10:09:27 2000 Titolo: "Love Letter" worm Gravita': media ---------------------------------------------------------------------------- 1) Descrizione del problema E' apparso un nuovo worm che ha avuto larga diffusione su Internet negli ultimi due giorni. Quella che segue e' una descrizione del worm con alcuni suggerimenti per evitare il contagio. Il worm si chiama "Love Letter" ed e' scritto in Visual Basic Script. Si diffonde sia attraverso mIRC (un programma per accedere alle Internet Relay Chat) che attraverso la posta elettronica, spedendo una copia di se stesso agli indirizzi contenuti nell'address book di Microsoft Outlook. Inoltre sovrascrive, con una copia di se stesso, i files con estensioni .vbs, .vbe, .js, .jse, .css, .wsh, .sct, .hta, .jpg, .jpeg, .mp3, e .mp2 sia sui dischi locali che sui dischi di rete. Una volta attivato, il worm setta la Home Page di Internet Explorer ad una pagina dalla quale cerca di scaricare un programma per la cattura delle passwords. Il messaggio di posta elettronica che il worm spedisce puo' avere uno dei seguenti subject: - ILOVEYOU - Susitikim shi vakara kavos puodukui... - Joke ed ha come attachment un file chiamato Love-letter-for-you.txt.vbs che e' il worm vero e proprio. 2) Piattaforme interessate I client di posta elettronica della Microsoft, Outlook e Outlook Express: infatti questi due programmi potrebbero eseguire automaticamente del codice Visual Basic Script senza interazione con l'utente. I mailer che non eseguono codice arbitrariamente non sono affetti dal problema. 3) Impatto La propagazione del worm puo' degradare le performance dei mail server principali. Inoltre si possono avere perdite di informazioni derivanti dal fatto che il worm sovrascrive alcuni tipi di files. 4) Soluzioni Tutti gli antivirus piu' diffusi hanno messo a disposizione degli aggiornamenti che servono per individuare il worm. 5) Regole per sistemi di Network Intrusion Detection Non Disponibile. 6) Riferimenti Documento del GARR-CERT sui virus diffusi attraverso la posta elettronica: http://www.cert.garr.it/documenti/virus/ Alert del CERT/CC: http://www.cert.org/advisories/CA-2000-04.html Descrizione del worm dalla Symantec: http://www.symantec.com/avcenter/venc/data/vbs.loveletter.a.html Descrizione del worm dalla MCAfee: http://www.mcafee.com/viruses/loveletter/ Appendice GARR-CERT Home Page http://www.cert.garr.it ---------------------------------------------------------------------------- ---------------------------------------------------------------------------- Paolo Amendola Phone. +39 80 5443194 GARR-CERT / I.N.F.N. Fax. +39 80 5442470 Bari, Italy email.Questo indirizzo email è protetto dagli spambots. È necessario abilitare JavaScript per vederlo. http://security.fi.infn.it/cgi-bin/spgpk.pl?KeyId=12DA1A6D ---------------------------------------------------------------------------- -----BEGIN PGP SIGNATURE----- Version: 2.6.3ia Charset: noconv iQCVAwUBORKCLCkc7/YS2hptAQEPqwQAgo7vv9O4FihVIdQ+xEQ4S8mM3hrxdIS9 40q5RHaUGloSaJQAN0pzf3inGlg+2+r+Q5EXOavbBAlsAO04tLAmZqwcZb67rn1C vGHK/vuTsD3Zof7Qd3A6RY+Oge7JzOAeoWfQ897l6qB6pwt5rQ6d6oPAFCTYOLyd qhL2XEG24Ks= =2ms2 -----END PGP SIGNATURE-----