Troj_Apost.A, un altro worm, per gradire

Dopo le invasioni di queste settimane c'è ancora qualcuno che mette in giro virus nati al solo scopo di intasare la rete. Non ci vuole molto a capire che questo è un worm, eppure le segnalazioni di diffusione si moltiplicano

Troj_Apost.A, un altro worm, per gradireRoma - Ieri Trend Micro, uno dei principali produttori di software antivirus, ha emesso una nota di attenzione per un nuovo worm che colpisce i sistemi Windows e che al momento è classificato come "rischio medio" ma che mette in evidenza come persino i virus meno "intelligenti" riescono ancora a farsi sentire in rete.

Il rischio rappresentato da Troj_Apost.A, secondo l'advisory di Trend Micro è medio, vale a dire una spanna sopra la gran parte dei worm che circolano in queste settimane. Questo significa comunque che la sua diffusione non ha toccato, perlomeno non ancora, il livello di massima attenzione.

Sul piano tecnico, il worm si presenta esattamente come tanti altri che in questi mesi si sono visti in rete: una email con un testo, in inglese, che invita ad aprire un allegato, rigorosamente infetto e sospetto, perché si tratta di un file.exe. Sono proprio queste caratteristiche a sorprendere, perché un virus "così esplicitamente virus" non avrebbe mai dovuto superare la soglia di basso rischio. Ma "Troj_Apost.A" dimostra che la rete è ancora ben lontana dal potersi proteggere dai codicilli aggressivi.
Come se non bastasse, questo worm manda la bellezza di quattro messaggi per ciascun destinatario trovato nella rubrica di Windows, rendendo ancora più facile a chi lo riceve capire che quella che arriva è un'email sospetta. Il contenuto del messaggio è:
"Please find attached file for your review
I look forward to hear from you again very soon.
Thank you."

Il subject, invece, è "As per your request!", e il nome del file infetto è "README.EXE".

Una volta eseguito dall'utente che non abbia compreso di trovarsi di fronte ad un worm, questi fa partire un pulsante: "Urgent". Se si clicca sul bottone appare un altro messaggio:

"WinZip SelfExtractor:Warning
CRC error:234#21"

A quel punto copia sè stesso in un file READ.EXE in tutti i driver locali e nella directory C:\Windows. E modifica il registry per attivarsi al riavvio del sistema:

HKEY_CURRENT_USER\Software\Microsoft\Windows\
CurrentVersion\Run = Macrosoft c:\windows\readme.exe

HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\
CurrentVersion\Run = Macrosoft c:\windows\readme.exe

Dopodiché si autoinvia agli indirizzi contenuti nella rubrica di Outlook del computer infetto, ripetendo l'operazione, come detto, per quattro volte.
2 Commenti alla Notizia Troj_Apost.A, un altro worm, per gradire
Ordina