Come accennato nell'articolo precedente, sta circolando un e-mail che parla di poesie catartiche e invita a visitare il sito www.francescone.com, che contiene un file di nome zelig.scr.

La mia segnalazione originale secondo la quale si tratta di un dialer, come riferitomi dettagliatamente da un lettore, è confermata dal newsgroup it.comp.sicurezza.virus. Si sa anche il numero composto dal dialer: 899208906.

Nel frattempo, tramite i lettori di Zeus News sono arrivati ulteriori dettagli. Secondo Symantec, il file Zelig.scr è un worm, precisamente il worm W32.Marque, scoperto il 24 ottobre 2003 (ieri, insomma). Ha effetto su Windows (2000, 95, 98, Me, NT, Server 2003, Windows XP) ma non su DOS, Linux, Macintosh, OS/2, UNIX.

Sempre secondo Symantec, il worm, se installato sul vostro computer (se usa Windows), scavalca il vostro programma di posta e spedisce e-mail agli indirizzi presenti nella vostra rubrica. Questi e-mail invitano a scaricare il falso salvaschermo presente presso www.francescone.com, diffondendo ulteriormente l'infezione. Il salvaschermo in realtà c'è dentro Zelig.scr, ma è semplicemente una scritta scorrevole che (secondo McAfee) dice "A volte ti sento così vicina...A volte ti sento così lontana...Certo che hai proprio un cellulare di m****!" e serve a nascondere il vero scopo del worm.

La documentazione Symantec è qui. La documentazione McAfee è invece qui. Il file viene ora sicuramente riconosciuto come pericoloso dall'antivirus Symantec e da quello di McAfee.

Che si tratti di un dialer o di un worm o di entrambi insieme, poco importa: il fatto rimane che è porcheria da non toccare assolutamente. Non scaricate il file e soprattutto non eseguitelo.

Per gli appassionati delle indagini, può essere interessante sapere che quando si scarica e si esegue il worm Zelig, si viene portati a un'altra pagina Web di Francescone.com, che contiene un rimando al contatore ShinyStat.it.

A quanto pare il contatore serve per sapere quanti sono gli utenti infetti. Notate il nome "Alberto Tremonti". Visitando Shinystat.it e immettendo il nome, compaiono le statistiche di infezione. Al momento in cui scrivo, il contatore è intorno a quota 2000.

Potrebbe valer la pena di contattare ShinyStat.it e chiedere chi è questo loro utente. Fra l'altro, frugando nelle pagine delle statistiche di Shinystat.it relative all'utente "albertotremonti" compare un link a una pagina inesistente di Xoom.it.

A voi, se vi interessa, il resto dell'indagine, e l'eventuale denuncia.

Hai a disposizione ancora caratteri. Per inserire commenti più lunghi (e senza CAPTCHA), iscriviti.
Il tuo nome:		La tua email: