ALERT: Un nuovo worm: W32/BadTrans [ID: A-01011C]
-----BEGIN PGP SIGNED MESSAGE----- Per motivi tecnici questo alert e' firmato con la chiave PGP di Roberto Cecchini. - ---------------------------------------------------------------------------- Alert ID: A-01011C Data di creazione: Thu Nov 29 20:15:33 CET 2001 Titolo: Un nuovo worm: W32/BadTrans Gravita': media - ---------------------------------------------------------------------------- 1) Descrizione del problema: Si sta diffondendo un nuovo worm, denominato W32/BadTrans, che sfrutta i soliti meccanismi utilizzati da alcuni suoi illustri predecessori (Nimda, Love letters e similari). Il virus si propaga via posta elettronica, grazie alle vulnerabilita' nella gestione di attachment MIME (gia' segnalata nello advisory http://www.kb.cert.org/vuls/id/980499 ) presenti in Internet Explorer e che consentono a molti client di posta elettronica di eseguire il worm nel momento in cui il messaggio viene visualizzato. 2) Piattaforme interessate: Le piattaforme interessate sono: Microsoft Windows 95, 98, ME, NT, and 2000 3) Impatto: Il worm si memorizza nella directory c:windows, e scrive una dll che contiene delle funzioni che sono in grado di acquisire i caratteri digitati dall'utenti, memorizzarli su disco e in alcuni casi inoltrarli via posta elettronica a indirizzi predefiniti . Inoltre il programma apre una backdoor. Il worm si propaga via posta elettronica e uno dei caratteri distintivi dei messaggi da esso spediti e' la presenza di un indirizzo mittente preceduto dall'underscore (es.Questo indirizzo email è protetto dagli spambots. È necessario abilitare JavaScript per vederlo. ..). Gli indirizzi a cui il worm tenta di spedirsi vengono recuperati: a) leggendo i file *.HT* e *.ASP ed estraendo gli indirizzi email contenutivi b) utilizzando funzioni MAPI, legge gli indirizzi email persenti nei messaggi contenuti nell'incoming box Al fine di evitare duplicazioni, il worm memorizza in protocol.dll gli indirizzi ai quali ha gia' spedito una copia. Sono inoltre gia' stati segnalati dei 'mutanti' (es. BadTransII) con comportamenti leggermente differenti. 4) Soluzioni: Le soluzioni al problema sono aggiornare Internet Explorer, e applicare la patch riportata in: http://www.microsoft.com/technet/security/bulletin/MS01-020.asp oltre a utilizzare antivirus aggiornati ed evitare di eseguire attachment. 5) Riferimenti: http://www.cert.org/incident_notes/IN-2001-14.html http://securityresponse.symantec.com/avcenter/venc/data/Questo indirizzo email è protetto dagli spambots. È necessario abilitare JavaScript per vederlo. l http://www.symantec.com/avcenter/security/Content/2000_05_12.html http://www.antivirus.com/pc-cillin/vinfo/virusencyclo/default5.asp?VName=WORM _BADTRANS.B&VSect=T http://www.viruslist.com/eng/default.asp?tnews=12&nview=1&id=1255&page=0 Appendice GARR-CERT Home Page: http://www.cert.garr.it - -- Massimo Ianigro - GARR-CERT email:Questo indirizzo email è protetto dagli spambots. È necessario abilitare JavaScript per vederlo. CNR Irmec via E. Orabona, 4, Bari, Italy tel. +39 80 5442220 / fax +39 80 5442591 -----BEGIN PGP SIGNATURE----- Version: GnuPG v1.0.6 (FreeBSD) Comment: For info see http://www.gnupg.org iQCVAwUBPAeXnFEAn5NbqdJxAQHnRgQAhUbzKkw2TW/ojjGoVjL+DWDGGS5kErDj nuS59P05RK+xcCLuSzNHIY1QOYbHu6CwmVNa82qHkgZwBygp+Q17xDobCwHeqd4G wLwv2YhyOwjEo2xjI3yuQxx6THVmKLtSzHGB1EduhGN02r3riP90jUf0mPAV4jwH r7Rev4NRK04= =cDeH -----END PGP SIGNATURE-----