C'è posta per te... Arriva Nimda!

Un nuovo virus chiamato Nimda sta provocando guai agli utenti della Rete. In pericolo, ancora una volta, chi utilizza IIS, Explorer e Outlook.



[ZEUS News - www.zeusnews.it - 19-09-2001]

Non c'è pace per gli amministratori dei web server Microsoft, nè per coloro che sul proprio pc, a casa o in ufficio, utilizzano Explorer per navigare o Outlook per gestire le proprie email.

Proprio in questi giorni un nuovo virus, conosciuto con il nome di Nimda, è in via di rapida diffusione grazie a carenze nella gestione della sicurezza evidenziate dalla suite Microsoft di applicazioni Internet.

Nimda sfrutta una vulnerabilità nota nella gestione delle tipologie MIME assegnate ai files allegati alla posta elettronica, che consente ad un attaccante di specificare un tipo MIME innocuo (ad esempio quello corrispondente ad un file .wav) per un attachment pericoloso (ad esempio un file .exe): il risultato è che l'allegato viene eseguito senza che il destinatario lo richieda, se questi visualizza in Outlook o in Outlook Express il messaggio mediante l'anteprima.

Il virus, a questo punto, cerca sul disco del pc i files con estensione .ASP, .HTM e .HTML, aventi nomi quali HOME, DEFAULT e INDEX, e vi inserisce un po' di codice Javascript in grado di forzare Explorer ad aprire in una nuova finestra l'email infetta, replicando lo scenario appena descritto. Lo scopo è plaese: se il computer attaccato è un web server, dal momento che i nomi dei files modificati sono in genere utilizzati per le home pages, ci sono buone probabilità che qualcuno li apra col proprio browser. E quel qualcuno, senza rendersene conto, si porta a casa il pacco regalo. Semplicemente visitando un sito web infetto.

Ma Nimda non si accontenta di così poco: esso infatti, sulle macchine Windows 95, 98 e ME attiva la condivisione senza password di tutti i dischi della macchina; in Windows NT e 2000 aggiunge l'utente Guest al gruppo degli Amministratori.

Non basta ancora: il virus effettua poi uno scan della Rete alla ricerca di servers IIS e ne prende il controllo sfruttando la cosiddetta Web Server Folder Traversal Vulnerability, cioè un baco nel parser degli URL implementato in IIS, che consente all'attaccante di eseguire comandi a piacere sul server. In particolare, Nimda utilizza TFTP.EXE per spedire al server una propria DLL, mediante la quale infettare gli altri files .EXE individuati sulla macchina.

Naturalmente, Nimda non rinuncia alla ghiotta opportunità di utilizzare la rubrica degli indirizzi di Outlook per spedire mail infette a destra e a manca. All'erta: il body del messaggio è vuoto, mentre il subject può essere a sua volta vuoto o contenere uno spezzone di una chiave del registry.

Ancora, (ebbene si, Nimda è particolarmente alacre) viene salvata in ogni directory del sistema una copia del virus in formato MIME con estensione .EML o .NWS, e viene effettuata qualche modifica al registry. Ad esempio, in Windows NT e 2000 è eliminato il ramo del registry che gestisce la sicurezza della condivisione dei dischi.

Infine, alcuni files di sistema vengono modificati o sovrascritti, per fare in modo che i programmi che li utilizzano eseguano il codice del virus, contribuendo alla sua diffusione: un esempio è il file RICHED20.DLL, utilizzato da Word e Wordpad per gestire il Rich Text Format.

Inutile dire che la descritta attività di scanning volta a individuare nuovi bersagli, sommata all'invio a tappeto di posta, produce un incremento notevolissimo del traffico di rete, con tutte le ovvie conseguenze. A sua volta, la memorizzazione di numerose copie del virus sui dischi può causarne il riempimento imprevisto.

Fortunatamente, Nimda lascia alcune tracce che rendono possibile individuarne la presenza: nelle root directory dei dischi C:, D: ed E:, in caso di infezione, è presente il file ADMIN.DLL; un po' ovunque possono essere presenti README.EXE, LOAD.EXE e MEP*.TMP.EXE. Perciò non resta che lanciare la utility di ricerca dei files e incrociare le dita.

Chi si fosse già beccato il "regalino" può ricorrere a un apposito disinfettante.

In ogni caso, per garantirsi un po' di tranquillità, è necessario installare qualche patch: una per Internet Explorer e Outlook (per la gestione dei tipi MIME) e una per IIS.

Oppure passare a Linux.

Se questo articolo ti è piaciuto e vuoi rimanere sempre informato con Zeus News ti consigliamo di iscriverti alla Newsletter gratuita. Inoltre puoi consigliare l'articolo utilizzando uno dei pulsanti qui sotto, inserire un commento (anche anonimo) o segnalare un refuso.
© RIPRODUZIONE RISERVATA

Commenti all'articolo (0)


La liberta' di parola e' un diritto inviolabile, ma nei forum di Zeus News vige un regolamento che impone delle restrizioni e che l'utente e' tenuto a rispettare. I moderatori si riservano il diritto di cancellare o modificare i commenti inseriti dagli utenti, senza dover fornire giustificazione alcuna. Gli utenti non registrati al forum inoltre sono sottoposti a moderazione preventiva. La responsabilita' dei commenti ricade esclusivamente sui rispettivi autori. I principali consigli: rimani sempre in argomento; evita commenti offensivi, volgari, violenti o che inneggiano all'illegalita'; non inserire dati personali, link inutili o spam in generale.
E' VIETATA la riproduzione dei testi e delle immagini senza l'espressa autorizzazione scritta di Zeus News. Tutti i marchi e i marchi registrati citati sono di proprietà delle rispettive società. Informativa sulla privacy. I tuoi suggerimenti sono di vitale importanza per Zeus News. Contatta la redazione e contribuisci anche tu a migliorare il sito: pubblicheremo sui forum le lettere piu' interessanti.
Sondaggio
Controlli su Facebook le tue (o i tuoi) ex?
No, non ci penso proprio.
A volte guardo il loro profilo o i loro gli aggiornamenti di stato.
S, controllo ogni loro mossa.
Le ex (o gli ex) in genere non sono miei amici di Facebook.
Ma quale Facebook! Io uso Twitter (o Google+ o altro social media).

Mostra i risultati (1869 voti)
Settembre 2023
Microsoft, minireattori nucleari per alimentare i datacenter della IA
NFT senza valore, la bolla è scoppiata
X (ex Twitter), tutti gli utenti dovranno pagare
iPhone 15, il connettore USB-C è zoppo
Il bug di Windows che rende velocissimo Esplora File
Lidl, merendine ritirate: invitavano a visitare sito porno
Meta pensa a Instagram e Facebook a pagamento nella UE
Agosto 2023
Chrome, nuova interfaccia: ecco come abilitarla
L'Internet delle brutte Cose
LibreOffice balza dalla versione 7.6 alla 24.2
La scorciatoia che “congela” Gestione Attività
Ford agli utenti: spegnete il Wi-Fi dell'auto
Sony e Universal contro i 78 giri dell'Internet Archive
Meloni decide la nazionalizzazione di TIM
Da Z-Library un'estensione per aggirare i blocchi
Tutti gli Arretrati
Accadde oggi - 1 ottobre


web metrics