Il virus (worm) Erkez.B - Zafi.B

Si tratta di una aggressione di cui purtroppo si hanno ancora pochissimi dettagli, e di cui le case antivirus danno ancora descrizioni solo parziali, segnalata addirittura come "a bassa diffusione".

Quello che Ë certo Ë che si tratta di Erkez.B (anche noto come Zafi.B), un nuovo worm di mass-mailing che colpisce tutti i sistemi Windows, da 95 fino alle moderne versioni Windows Server 2003.

Il worm, almeno in questa variante, non Ë particolarmente dannoso per chi lo contrae, ma crea seri problemi agli amministratori di rete e a chi dispone di indirizzi postali su un proprio dominio.

Una volta installato, il verme tenta di sferrare un attacco di tipo Denial of Service contro alcuni siti ungheresi, fra cui quello del parlamento e alcune case di rilevazione virus.

Mostra quindi a video un messaggio firmato "SNAF Team" dal contenuto politico in lingua ungherese, che esorta il Governo a trovare una sistemazione per i senzatetto e votare líintroduzione della pena di morte per contrastare la criminalità.

DopodichË parte líopera di replicazione: il verme accede alla rubrica di Windows raccoglie tutti gli indirizzi presenti, che vengono conservati in un file dal nome variabile contenuto nella cartella di sistema. Passa poi allo scanning del disco, da cui raccoglie tutti i recapiti e-mail.

Gli unici indirizzi ignorati sono quelli che includono i domini delle case antivirus pi˘ famose, quali McAfee, Kaspersky, Panda, Sophos e altri: in questo modo, il virus cerca di limitare la propria visibilità da parte degli "antibiotici".

Da quanto abbiamo rilevato, il malware accresce la propria lista di bersagli, combinando qualsiasi username e nome di dominio rintracciato sulla macchina colpita: ad esempio, se trova pippo@libero.it e pluto@zanezane.net, il verme aggiungerà al proprio elenco anche pippo@zanezane.net e pluto@libero.it

Una volta aver compilato la lista con tutte le possibili combinazioni, utilizza un motore SMTP interno per autospedirsi a tutti i destinatari, naturalmente alterando il mittente con un nome fasullo.

Il corpo del messaggio Ë vario, cosÏ come il nome dellíallegato e líoggetto: il worm Ë poliglotta, e fra le tante versioni sono presenti anche messaggi in italiano, cosa che potrebbe contribuire a creare notevoli problemi anche nel nostro paese.

Ecco alcuni fra gli oggetti che abbiamo rilevato pi˘ di frequente:

• Importante!
• Ti e stata inviata una Cartolina Virtuale!
• You`ve got 1 VoiceMessage!
• Don`t worry, be happy!
• Check this out kid!!!

Il virus non ha grandi capacità di automazione, e perchÈ divenga attivo Ë necessario che líutente apra manualmente líallegato.

Raccomandiamo ancora una volta di fare la massima attenzione ad aprire gli allegati, magari chiedendo conferma al mittente, e solo dopo averli debitamente controllati con un antivirus.

Essendo una minaccia relativamente nuova, le Case antivirus non hanno ancora rilasciato un fix apposito: raccomandiamo quindi di fare una scansione completa dei sistemi con un antivirus tradizionale, aggiornato almeno a ieri. In caso líantivirus non fosse disponibile, segnaliamo la soluzione di scansione on-line offerta gratuitamente da Panda Antivirus.

In caso vi trovaste la mailbox stracolma e foste impossibilitati a proseguire con il normale download della posta, vi consigliamo di utilizzare líinterfaccia webmail per cancellare i messaggi indesiderati, o in alternativa un applicativo POP3 o IMAP che lavori direttamente sul server.

Qualche raccomandazione per amministratori di rete: disabilitate momentaneamente le caselle postali di raccolta degli utenti non riconosciuti, e soprattutto disabilitate i responder automatici che avvisano gli utenti di essere infetti: il virus altera il mittente, e finireste quindi per segnalare líinfezione ad un utente totalmente estraneo alla vicenda. Portate a termine inoltre la scansione di tutte le workstation, e accertatevi che líantivirus sul mailserver in uscita blocchi correttamente i messaggi infetti. Se durante la notte lasciate i sistemi accesi per la manutenzione, impostate il firewall affinchÈ blocchi ogni accesso alla Rete non sia strettamente necessario.

Autore: Gianluigi Zanettini
Scritto il 18 giugno 2004