di Gianluigi Zanettini

Caselle di posta sotto assedio!! Erkez.B/Zafi.B

4870 messaggi, per un totale di 85MB di spazzatura: questo quello che abbiamo appena trovato scaricando la posta elettronica (operazione temporizzata in automatico ogni 30 minuti).

Si tratta di una aggressione di cui purtroppo si hanno ancora pochissimi dettagli, e di cui le case antivirus danno ancora descrizioni solo parziali, segnalata addirittura come "a bassa diffusione".

Quello che è certo è che si tratta di Erkez.B (anche noto come Zafi.B), un nuovo worm di mass-mailing che colpisce tutti i sistemi Windows, da 95 fino alle moderne versioni Windows Server 2003.

Il worm, almeno in questa variante, non è particolarmente dannoso per chi lo contrae, ma crea seri problemi agli amministratori di rete e a chi dispone di indirizzi postali su un proprio dominio.

Una volta installato, il verme tenta di sferrare un attacco di tipo Denial of Service contro alcuni siti ungheresi, fra cui quello del parlamento e alcune case di rilevazione virus.

Mostra quindi a video un messaggio firmato "SNAF Team" dal contenuto politico in lingua ungherese, che esorta il Governo a trovare una sistemazione per i senzatetto e votare l’introduzione della pena di morte per contrastare la criminalità.

E’ la prima volta che un gruppo di virus writer, spesso legati a frange di estrema sinistra, chiede l’introduzione della pena di morte, e non l’abolizione.

Dopodichè parte l’opera di replicazione: il verme accede alla rubrica di Windows raccoglie tutti gli indirizzi presenti, che vengono conservati in un file dal nome variabile contenuto nella cartella di sistema. Passa poi allo scanning del disco, da cui raccoglie tutti i recapiti e-mail.

Gli unici indirizzi ignorati sono quelli che includono i domini delle case antivirus più famose, quali McAfee, Kaspersky, Panda, Sophos e altri: in questo modo, il virus cerca di limitare la propria visibilità da parte degli "antibiotici".

Da quanto abbiamo rilevato, il malware accresce la propria lista di bersagli, combinando qualsiasi username e nome di dominio rintracciato sulla macchina colpita: ad esempio, se trova pippo@libero.it e pluto@zanezane.net, il verme aggiungerà al proprio elenco anche pippo@zanezane.net e pluto@libero.it

Una volta aver compilato la lista con tutte le possibili combinazioni, utilizza un motore SMTP interno per autospedirsi a tutti i destinatari, naturalmente alterando il mittente con un nome fasullo.

Il corpo del messaggio è vario, così come il nome dell’allegato e l’oggetto: il worm è poliglotta, e fra le tante versioni sono presenti anche messaggi in italiano, cosa che potrebbe contribuire a creare notevoli problemi anche nel nostro paese.

Ecco alcuni fra gli oggetti che abbiamo rilevato più di frequente:

• Importante!
• Ti e stata inviata una Cartolina Virtuale!
• You`ve got 1 VoiceMessage!
• Don`t worry, be happy!
• Check this out kid!!!

Il virus non ha grandi capacità di automazione, e perché divenga attivo è necessario che l’utente apra manualmente l’allegato.

Raccomandiamo ancora una volta di fare la massima attenzione ad aprire gli allegati, magari chiedendo conferma al mittente, e solo dopo averli debitamente controllati con un antivirus.

Essendo una minaccia relativamente nuova, le Case antivirus non hanno ancora rilasciato un fix apposito: raccomandiamo quindi di fare una scansione completa dei sistemi con un antivirus tradizionale, aggiornato almeno a ieri. In caso l’antivirus non fosse disponibile, segnaliamo la soluzione di scansione on-line offerta gratuitamente da Panda Antivirus.

In caso vi trovaste la mailbox stracolma e foste impossibilitati a proseguire con il normale download della posta, vi consigliamo di utilizzare l’interfaccia webmail per cancellare i messaggi indesiderati, o in alternativa un applicativo POP3 che lavori direttamente sul server, quale Ultrafunk Popcorn (gratuito)

Qualche raccomandazione per amministratori di rete: disabilitate momentaneamente le caselle postali di raccolta degli utenti non riconosciuti, e soprattutto disabilitate i responder automatici che avvisano gli utenti di essere infetti: il virus altera il mittente, e finireste quindi per segnalare l’infezione ad un utente totalmente estraneo alla vicenda. Portate a termine inoltre la scansione di tutte le workstation, e accertatevi che l’antivirus sul mailserver in uscita blocchi correttamente i messaggi infetti. Se durante la notte lasciate i sistemi accesi per la manutenzione, impostate il firewall affinché blocchi ogni accesso alla Rete non sia strettamente necessario.

Aggiornato il 18 giugno 2004