Giugno 2003

Symantec Security Response

Symantec Security Response è un team dedicato di esperti sulle intrusioni; tecnici della sicurezza e gruppi di supporto tecnico operano in collaborazione per fornire copertura estesa per la clientela (aziende e privati). Symantec Security Response fornisce ai clienti competenze sulla sicurezza in Internet complete, globali, 24h x 7 giorni per vigilare contro le odierne minacce di tipo misto provenienti da Internet. I centri di risposta di Symantec sono strategicamente dislocati in tutto il mondo con sedi a Dublino in Irlanda, Sydney in Australia, Tokyo in Giappone e varie località negli Stati Uniti.

Principali Minacce:

W32.Bugbear.B@mm
A causa di un significativo incremento delle richieste di assistenza, Symantec Security Response ha aumentato il livello di gravità della minaccia portandolo dalla categoria 3 alla 4.

Caratteristiche del worm W32.Bugbear.B@mm:

- Variante di W32.Bugbear@mm.
- Worm mass-mailing in grado di propagarsi su condivisioni di rete.
- Worm polimorfico in grado di infettare un certo numero di file eseguibili.
- Capacità di memorizzare i dati digitati sulla tastiera e funzionalità backdoor.
- Tenta di terminare i processi di vari programmi antivirus e firewall.

Il worm sfrutta la vulnerabilità Incorrect MIME Header Can Cause IE to Execute E-mail Attachment per autoeseguirsi su sistemi non protetti da patch alla lettura o anteprima di un messaggio di posta infetto.

Il worm contiene inoltre determinate routine in grado di colpire gli istituti finanziari. Grazie a questa funzionalità il worm è in grado di inviare dati ad uno dei dieci indirizzi e-mail pubblici non localizzati. Le informazioni inviate comprendono password trovate in memoria e dati digitati sulla tastiera.

Poiché il worm non gestisce correttamente i vari tipi di risorse di rete è possibile che ingombri le risorse della stampante, provocando stampe sbagliate o compromettendo il normale funzionamento della stampante.

NOTA: se si ritiene che il proprio computer sia stato infettato da W32.Bugbear.B@mm, ed il programma antivirus installato non funziona, è possibile eseguire una scansione in rete mediante Symantec Security Check.

Symantec Security Response ha reso disponibile uno strumento per rimuovere W32.Bugbear.B@mm, che costituisce il modo più semplice per eliminare il worm.

Va anche sotto il nome di: Win32.Bugbear.B [CA], W32/Bugbear.b@MM [McAfee], PE_BUGBEAR.B [Trend], W32/Bugbear-B [Sophos], I-Worm.Tanatos.b [KAV], W32/Bugbear.B [Panda], Win32/Bugbear.B@mm [RAV]
Tipo: virus, worm
Lunghezza dell'infezione: 72,192
Sistemi operativi minacciati: Windows 95, Windows 98, Windows NT, Windows 2000, Windows XP, Windows Me
Riferimenti CVE: CVE-2001-0154

Per maggiori informazioni visita la pagina dedicata

W32.Sobig.B@mm
W32.Sobig.B@mm è un worm di distribuzione di massa che si invia a tutti gli indirizzi contenuti nei file con le seguenti estensioni, fingendo di provenire da Microsoft (support@microsoft.com):
- .wab
- .dbx
- .htm
- .html
- .eml
- .txt

Dettagli della routine della posta
Il messaggio di posta elettronica si presenta come segue:

Da: support@microsoft.com

Oggetto:
L'oggetto è uno dei seguenti:
- Your details
- Approved (Ref: 38446-263)
- Re: Approved (Ref: 3394-65467)
- Your password
- Re: My details
- Screensaver
- Cool screensaver
- Re: Movie
- Re: My application

Corpo del messaggio: All information is in the attached file.

Allegato:
Il nome dell'allegato è uno dei seguenti:
- your_details.pif
- ref-394755.pif
- approved.pif
- password.pif
- doc_details.pif
- screen_temp.pif
- screen_doc.pif
- movie28.pif
- application.pif

NOTE:
Il worm viene disattivato il 31 maggio 2003, di conseguenza l'ultimo giorno di attività di tale codice nocivo è il 30 maggio 2003.
Le definizioni dei virus precedenti il 19 maggio 2003 potrebbero rilevare questa minaccia come W32.HLLW.Mankx@mm.

Symantec Security Response ha reso disponibile uno strumento per la rimozione di W32.Sobig.B@mm.

Va anche sotto il nome di: W32.HLLW.Mankx@mm, W32/Palyh@MM [McAfee], W32/Palyh-A [Sophos], I-Worm.Palyh [KAV], WORM_PALYH.A [Trend], Win32.Palyh.A [CA]
Tipo: worm
Lunghezza dell'infezione: 52,898 bytes
Sistemi operativi minacciati: Windows 95, Windows 98, Windows NT, Windows 2000, Windows XP, Windows Me

Per maggiori informazioni visita la pagina dedicata