Troj_Apost.A, un altro worm, per gradire

Roma – Ieri Trend Micro, uno dei principali produttori di software antivirus, ha emesso una nota di attenzione per un nuovo worm che colpisce i sistemi Windows e che al momento è classificato come “rischio medio” ma che mette in evidenza come persino i virus meno “intelligenti” riescono ancora a farsi sentire in rete.

Il rischio rappresentato da Troj_Apost.A, secondo l’advisory di Trend Micro è medio, vale a dire una spanna sopra la gran parte dei worm che circolano in queste settimane. Questo significa comunque che la sua diffusione non ha toccato, perlomeno non ancora, il livello di massima attenzione.

Sul piano tecnico, il worm si presenta esattamente come tanti altri che in questi mesi si sono visti in rete: una email con un testo, in inglese, che invita ad aprire un allegato, rigorosamente infetto e sospetto, perché si tratta di un file.exe. Sono proprio queste caratteristiche a sorprendere, perché un virus “così esplicitamente virus” non avrebbe mai dovuto superare la soglia di basso rischio. Ma “Troj_Apost.A” dimostra che la rete è ancora ben lontana dal potersi proteggere dai codicilli aggressivi.

Come se non bastasse, questo worm manda la bellezza di quattro messaggi per ciascun destinatario trovato nella rubrica di Windows, rendendo ancora più facile a chi lo riceve capire che quella che arriva è un’email sospetta. Il contenuto del messaggio è:
“Please find attached file for your review
I look forward to hear from you again very soon.
Thank you.”

Il subject, invece, è “As per your request!”, e il nome del file infetto è “README.EXE”.

Una volta eseguito dall’utente che non abbia compreso di trovarsi di fronte ad un worm, questi fa partire un pulsante: “Urgent”. Se si clicca sul bottone appare un altro messaggio:

“WinZip SelfExtractor:Warning
CRC error:234#21″

A quel punto copia sè stesso in un file READ.EXE in tutti i driver locali e nella directory C:Windows. E modifica il registry per attivarsi al riavvio del sistema:

HKEY_CURRENT_USERSoftwareMicrosoftWindows
CurrentVersionRun = Macrosoft c:windowsreadme.exe

HKEY_USERS.DEFAULTSoftwareMicrosoftWindows
CurrentVersionRun = Macrosoft c:windowsreadme.exe

Dopodiché si autoinvia agli indirizzi contenuti nella rubrica di Outlook del computer infetto, ripetendo l’operazione, come detto, per quattro volte.