|
|
|
 |
|
|
| |
Notiziario Marketpress di
Mercoledì 18 Febbraio 2004
|
|
| |
|
|
| |
Pagina5 |
|
| |
TREND MICRO AVVISA DEL NUOVO “WORM_BAGLE.B” IL WORM RESIDENTE IN MEMORIA DI TIPO “MASS-MAILER” È CLASSIFICATO COME RISCHIO MEDIO. (ALIASES:W32/BAGLE.B@MM, W32.ALUA@MM) |
|
| |
|
|
| |
Milano, 18 febbraio 2004 – 18.15 Gmt –Trend Micro Inc., leader mondiale negli antivirus di rete e nelle soluzioni per la sicurezza dei contenuti Internet, oggi avvisa gli utilizzatori di computer di una nuova variante del worm Bagle, chiamato Worm_bagle.b . Le prime segnalazioni di questo worm residente in memoria di tipo “mass-mailer” sono pervenute dalla Francia. Successive segnalazioni sono giunte anche dalla Germania, dagli Usa e dal Cile ed hanno portato alla dichiarazione dell’allarme di livello “medio” alle ore 14.46 Gmt. Da quell’ora, segnalazioni sono giunte anche da Spagna e Svezia. Questo worm che risiede in memoria si propaga tramite un massiccio invio di mail utilizzando il protocollo Smtp (Simple Mail Transfer Protocol), oppure attraverso la porta 8866, forse come una backdoor. (La variante Bagle.a utilizzava la famosa porta Irc 6777). La porta 8866 è un di solito aperta su alcuni firewall, ed ha alcuni riferimenti al servizio di messaggistica “'Ultima Online “. Sono attualmente in corso ulteriori analisi da parte di Trend Micro per capire con precisione quali comandi accetta questa porta. In ogni caso, sarebbe quasi certo supporre che agisca allo stesso modo della backdoor del precedente codice maligno – si scarica per l’esecuzione e l’aggiornamento - in quanto fornisce le funzionalità per recuperare varie informazioni dai computer e dati di tipo confidenziale. Il messaggio di posta che spedisce contiene i seguenti dettagli, raccoglie gli indirizzi dalle macchine infette e falsifica l’indirizzo del mittente. Giunge con un allegato eseguibile (.Exe) e si presenta come segue: Soggetto: Id %random% ... Thanks Da: <random letters>@<spoofed domain> Corpo del messaggio: Yours Id <random> -- Thank Allegato: <random>.Exe (Nota: %Random% è composto da lettere casuali) Così, nonostante continui avvisi agli utilizzatori dei computer, sembrerebbe che tuttora molti non siano consapevoli del pericolo che scaturisce dall’apertura di tali file, specialmente quando l’icona è di tipo Ms-dos. Una volta che il file passa nel sistema, si camuffa da icona di Windows Sound Recorder nella cartella di sistema di Windows, tentando di lanciare il “vero” Windows Sound Recorder per nascondere le sue attività ( a differenza di Bagle.a che tentava di lanciare la “Calcolatrice”). Come la variante .A, Bagle.b cerca di collegarsi ad una lista di server compromessi e “webboards” che servono la pagina “1.Php”, la sola differenza è che ora controlla anche “2.Php”. Sembra che tutti i siti compromessi siano in Germania (De). Curiosamente, uno dei siti a cui Bagle.b si connette pare essere un sito di gioco ( http://intern.Games-ring.de < http://intern.Games-ring.de/ > ), suggerendo in qualche modo che l’autore sia un avido giocatore di “Ultima Online”. Il worm non funziona sui sistemi con data a partire dal 25 Febbraio 2004, giorno in cui è programmato per fermarsi. Jamz Yanenza, Senior Antivirus Consultant di Trend Micro afferma: “Bagle.a è stato scoperto il 18 Gennaio ed era programmato per estinguersi il 28 Gennaio, cioè dopo un periodo di 10 giorni di attacco. Da parte sua Bagle.b è impostato per terminare il 25 Febbraio. Sebbene l’allerta sia di oggi, circa 8 giorni prima della sua fine, questo codice maligno ha impiegato un po’ di tempo per essere notato, poiché probabilmente in origine è stato distribuito il 15 Febbraio ed ha ottenuto il suo massimo slancio solo oggi. Questa appare una idea che accomuna gli attuali autori di worm, allo stesso modo delle numerose varianti di Sobig e Mydoom, Ci sono molte teorie sulle porte di tipo “backdoor”, ma in questa fase è difficile determinare le esatte intenzioni, poichè un sistema compromesso può essere utilizzato per fare molto altro – spam relay, furto di dati, controllo remoto e così via.” Il codice maligno funziona su Windows 95,98,Me, Nt,200 e Xp. La dimensione totale della nuova variante è più piccola di quella originale: Worm_bagle.a (15.872 Bytes) vs. Worm_bagle.b (11.264 Bytes). Secondo il Wtc (il sistema di rilevazione delle infezione online di Trend Micro) la variante originale (Worm_bagle.a) causò all'incirca 31.000 infezioni. Alle 9:42 Pst del 17 Febbraio, ci sono state segnalati 8 casi di utenti infetti. Si suppone che questo numero sia superato nel giro di pochi giorni. I clienti Trend Micro dovrebbero scaricare il pattern file 767, quelli del Outbreak Prevention Services dovrebbero scaricare la Opp 78 per assicurarsi che i loro sistemi siano protetti contro quest’ultima minaccia. Tutti gli altri utenti dovrebbero utilizzare Housecall, lo scanner gratuito online di Trend Micro, che può essere scaricato all’indirizzo http://housecall Trendmicro.com/ Per le ultime informazioni siete pregati di visitare il sito : http://www.Trendmicro.com/vinfo/virusencyclo/default5.asp?vname=worm_bagle.b Attenzione: Al momento della distribuzione questi dettagli sono esatti.
|
|
| |
|
|
| |
<<BACK
|
|
|
|
|
|
|
|
