Non c'è pace per gli amministratori dei web server Microsoft, nè per coloro che sul proprio pc, a casa o in ufficio, utilizzano Explorer per navigare o Outlook per gestire le proprie email.

Proprio in questi giorni un nuovo virus, conosciuto con il nome di Nimda, è in via di rapida diffusione grazie a carenze nella gestione della sicurezza evidenziate dalla suite Microsoft di applicazioni Internet.

Nimda sfrutta una vulnerabilità nota nella gestione delle tipologie MIME assegnate ai files allegati alla posta elettronica, che consente ad un attaccante di specificare un tipo MIME innocuo (ad esempio quello corrispondente ad un file .wav) per un attachment pericoloso (ad esempio un file .exe): il risultato è che l'allegato viene eseguito senza che il destinatario lo richieda, se questi visualizza in Outlook o in Outlook Express il messaggio mediante l'anteprima.

Il virus, a questo punto, cerca sul disco del pc i files con estensione .ASP, .HTM e .HTML, aventi nomi quali HOME, DEFAULT e INDEX, e vi inserisce un po' di codice Javascript in grado di forzare Explorer ad aprire in una nuova finestra l'email infetta, replicando lo scenario appena descritto. Lo scopo è plaese: se il computer attaccato è un web server, dal momento che i nomi dei files modificati sono in genere utilizzati per le home pages, ci sono buone probabilità che qualcuno li apra col proprio browser. E quel qualcuno, senza rendersene conto, si porta a casa il pacco regalo. Semplicemente visitando un sito web infetto.

Ma Nimda non si accontenta di così poco: esso infatti, sulle macchine Windows 95, 98 e ME attiva la condivisione senza password di tutti i dischi della macchina; in Windows NT e 2000 aggiunge l'utente Guest al gruppo degli Amministratori.

Non basta ancora: il virus effettua poi uno scan della Rete alla ricerca di servers IIS e ne prende il controllo sfruttando la cosiddetta Web Server Folder Traversal Vulnerability, cioè un baco nel parser degli URL implementato in IIS, che consente all'attaccante di eseguire comandi a piacere sul server. In particolare, Nimda utilizza TFTP.EXE per spedire al server una propria DLL, mediante la quale infettare gli altri files .EXE individuati sulla macchina.

Naturalmente, Nimda non rinuncia alla ghiotta opportunità di utilizzare la rubrica degli indirizzi di Outlook per spedire mail infette a destra e a manca. All'erta: il body del messaggio è vuoto, mentre il subject può essere a sua volta vuoto o contenere uno spezzone di una chiave del registry.

Ancora, (ebbene si, Nimda è particolarmente alacre) viene salvata in ogni directory del sistema una copia del virus in formato MIME con estensione .EML o .NWS, e viene effettuata qualche modifica al registry. Ad esempio, in Windows NT e 2000 è eliminato il ramo del registry che gestisce la sicurezza della condivisione dei dischi.

Infine, alcuni files di sistema vengono modificati o sovrascritti, per fare in modo che i programmi che li utilizzano eseguano il codice del virus, contribuendo alla sua diffusione: un esempio è il file RICHED20.DLL, utilizzato da Word e Wordpad per gestire il Rich Text Format.

Inutile dire che la descritta attività di scanning volta a individuare nuovi bersagli, sommata all'invio a tappeto di posta, produce un incremento notevolissimo del traffico di rete, con tutte le ovvie conseguenze. A sua volta, la memorizzazione di numerose copie del virus sui dischi può causarne il riempimento imprevisto.

Fortunatamente, Nimda lascia alcune tracce che rendono possibile individuarne la presenza: nelle root directory dei dischi C:, D: ed E:, in caso di infezione, è presente il file ADMIN.DLL; un po' ovunque possono essere presenti README.EXE, LOAD.EXE e MEP*.TMP.EXE. Perciò non resta che lanciare la utility di ricerca dei files e incrociare le dita.

Chi si fosse già beccato il "regalino" può ricorrere a un apposito disinfettante.

In ogni caso, per garantirsi un po' di tranquillità, è necessario installare qualche patch: una per Internet Explorer e Outlook (per la gestione dei tipi MIME) e una per IIS.

Oppure passare a Linux.

Hai a disposizione ancora caratteri. Per inserire commenti più lunghi (e senza CAPTCHA), iscriviti.
Il tuo nome:		La tua email: