Un nuovo worm si sta diffondendo in queste ore. Si tratta del solito mass mailing worm che si propaga come allegato a una e-mail. Come molti suoi colleghi, Zafi, questo il nome del worm, una volta eseguito sul computer vittima cattura tutti gli indirizzi e-mail e si autoinvia utilizzando mittenti casuali.

Direte voi nulla di nuovo. E invece la novità o comunque la particolarità del worm è quella di parlare più lingue. Nella variante "b" Zafi infatti è in grado di analizzare gli indirizzi e-mail catturati e inviare messaggi nella lingua dei destinatari. Al worm basta controllare il top level domain degli indirizzi (per l'Italia ad esempio .it) e il gioco è fatto. Il testo dell'e-mail contenente l'allegato infetto per i destinatari italiani è il seguente:

Ciao!
"nome del mittente" ha visitato il nostro sito, cartolina.it e ha creato una cartolina virtuale per te! Per vederla devi fare click sul link sottostante: http://cartolina.it/asp.viewcard=dex4g345a Attenzione, la cartolina sara visibile sui nostri server per 2 giorni e poi verra rimossa automaticamente.

Una volta eseguito l'allegato infetto il worm diventa davvero pericoloso. Copia se stesso due volte nella directory Windows\system32 usando nomi random ed estensioni .dll o .exe e va alla ricerca di cartelle condivise utilizzate da programmi di p2p come Kazaa (es. My Shared Folder). Non contento il worm crea un entry nel registro che permette di autoeseguirsi all'avvio di Windows: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run "_Hazafibb" = %windir%\System32\jrbtgmqi.exe (il nome dell'eseguibile può ovviamente variare).

A questo punto Zafi cerca e raccoglie tutti gli indirizzi e-mail presenti nel sistema e li salva in dei file nella cartella system32. Ecco un esempio:

C:\WINNT\system32\kenbdplk.dll
C:\WINNT\system32\zibscdes.dll
C:\WINNT\system32\qfafsxoz.dll
C:\WINNT\system32\zhzukrhp.dll
C:\WINNT\system32\sdxsuwxt.dll

Zafi inoltre cerca nel computer infetto directory al cui interno siano contenuti antivirus e firewall e ne sovrascrive gli eseguibili con una copia di se stesso rendendoli inutilizzabili. Da quanto si apprende dal sito di F-Secure anche regedit e taskmanager di Windows risulterebbero inutilizzabili mentre il worm è attivo.

Le contromisure sono le solite per worm di questo tipo: cautela nell'apertura di allegati con estensioni pericolose e l'aggiornamento delle firme del proprio antivirus.

Hai a disposizione ancora caratteri. Per inserire commenti più lunghi (e senza CAPTCHA), iscriviti.
Il tuo nome:		La tua email: