Il Disinformatico: trojan horse

Visualizzazione post con etichetta trojan horse. Mostra tutti i post

2018/03/02

Occhio alle mail che parlano di prenotazioni di voli FlySwiss

Se ricevete messaggi o mail che sembrano provenire da FlySwiss, fate molta attenzione, perché si può trattare di tentativi di infettare il vostro computer con un trojan bancario denominato Retefe. Lo ha tweetato pochi giorni fa @Govcert_ch, l’account Twitter della Centrale d’annuncio e d’analisi per la sicurezza dell’informazione della Svizzera MELANI.

Attention: Miscreants are currently sending out fake emails pretending to come from @FlySWISS, trying to infect Swiss citizens with eBanking Trojan "Retefe".

Help us and report suspect emails to https://t.co/EQYuk9dEOW pic.twitter.com/yfRg9CShIK
— GovCERT.ch (@GovCERT_CH) 27 febbraio 2018

Lo schema della truffa è abbastanza classico, ma non manca mai di fare vittime: il messaggio-trappola parla di una prenotazione di un volo con la Swiss International Air Lines e include un allegato Word che a prima vista sembra la documentazione della prenotazione ma in realtà è infettante.

Il documento, infatti, contiene una dicitura che dice che per visualizzare il testo bisogna abilitare le macro e fornisce le istruzioni per farlo. Non è vero: abilitando l’esecuzione delle macro si attiva l’installazione del malware. Cestinate il messaggio senza aprire l’allegato e senza abilitare le macro e sarete a posto.

Retefe (documentato qui da Govcert.ch) circola almeno dal 2013 e si evolve man mano. Esiste anche in versione per Mac e Android, e usa una complessa serie di trucchi informatici per modificare la configurazione del computer e intercettare i dati delle transazioni bancarie.

Se ricevete questo genere di trappola, segnalatelo presso Antiphishing.ch.

2016/09/09

Allerta GovCERT.ch: trojan bancario nascosto in finta fattura

Si sente spesso parlare di malware truffaldino in astratto, ma è più raro vederlo in azione concretamente. Eppure vedere gli esempi reali è fondamentale affinché il concetto rimanga bene impresso e la vigilanza resti alta perché il rischio viene percepito come reale e attuale.

In questo senso è molto utile la serie di segnalazioni diffusa online da GovCERT.ch, servizio gestito dalla Centrale d'annuncio e d'analisi per la sicurezza dell'informazione MELANI della Confederazione Svizzera, che per esempio in questi giorni sta segnalando la disseminazione via mail di false fatture in formato Word, apparentemente provenienti da una nota marca, che in realtà sono trappole che diffondono il malware Dridex dedicato al furto di credenziali di e-banking.

Se volete ricevere questi avvisi e diffonderli come promemoria periodici, seguite GovCERT.ch su Twitter (anche in italiano). Il servizio consente anche agli utenti di inviare segnalazioni e offre numerose guide per l’uso sicuro dei servizi bancari online.

2012/04/03

Malware per Mac, meglio disabilitare Java

Questo articolo vi arriva grazie alla gentile donazione di “sylb”. L'articolo è stato aggiornato dopo la pubblicazione iniziale. Ultimo aggiornamento: 2012/04/04.

Macworld segnala una variante del trojan Flashback che si può installare in un Mac anche senza chiedere la password di amministratore, sfruttando una vulnerabilità di Java, come descritto qui da F-Secure. Per infettarsi può essere sufficiente visitare un sito ostile, che fa partire un finto aggiornamento di OS X o di Flash.

Apple non ha ancora rilasciato l'aggiornamento che risolve il problema, e questo non è l'unico attacco per Mac che si basa sulle falle di Java, come ho raccontato qui per la RSI qualche giorno fa. In attesa dell'aggiornamento che corregga la falla è quindi consigliabile disabilitare Java (da non confondere con Javascript) nei browser.

In Safari basta andare nelle Preferenze, scegliere la scheda Sicurezza e togliere il segno di spunta dalla casella Abilita Java.
Per Firefox si va nel menu Strumenti, si sceglie Add-ons (Componenti aggiuntivi) e poi Plugin, cliccando su Disattiva accanto alla voce Java Plug-in.
Per Chrome, mi risulta che Java sia disabilitato per default e venga chiesto il consenso dell'utente se il sito visitato richiede Java, per cui non occorre fare nulla se non usare la testa.

Più in generale, visto che Java si sta rivelando un colabrodo in termini di sicurezza e che i siti che lo usano sono pochi, vale la pena di valutare se è il caso di rimuovere Java del tutto oppure tenerlo sempre disabilitato, attivandolo solo se strettamente necessario e solo sui siti affidabili. Le istruzioni per rimuovere Java da OS X Lion sono qui. Per verificare se per caso un Mac è già infettato si può eseguire questa serie di istruzioni di test.

Questa storia dovrebbe chiarire, una volta per tutte, che anche i computer Apple sono vulnerabili semplicemente visitando un sito se non si prendono le precauzioni opportune. Fra l'altro, vale la pena di ricordare che è buona norma usare un antivirus anche per Mac, come per esempio quello gratuito di Sophos.

2012/04/04

Apple ha rilasciato un aggiornamento: i dettagli sono in questo mio articolo.

2010/06/03

Mac, girano salvaschermo e applicazioni infette

No, il Mac non è invulnerabile: occhio a salvaschermo e applicazioni scaricate

Questo articolo vi arriva grazie alle gentili donazioni di "alessio" e "ale.agost".

Conviene prenderla come regola generale: i salvaschermo per Mac che trovate in giro su Internet sono esattamente come quelli per Windows. In altre parole, sono uno specchietto per allodole, una trappola infetta per la quale anche il Mac è vulnerabile. E non si può essere disinvolti neanche con le applicazioni Mac scaricate da Internet.

La società di sicurezza informatica Intego segnala un caso specifico, con tanto di nome e cognome dei siti che ospitano i salvaschermo e le altre applicazioni gratuite che iniettano nei Mac non protetti un virus (più propriamente trojan) denominato OSX/OpinionSpy: si tratta di 7art-screensavers(punto)com, MacUpdate, VersionTracker e Softpedia. Alcuni sono fra i nomi più popolari nel mondo Mac. Non è detto che siano gli unici portatori d'infezione, per cui è opportuno essere prudenti con qualunque fonte di software per Mac.

Il cavallo di Troia si maschera da software per indagini di mercato incluso nei salvaschermo o nelle applicazioni, ma stando a Intego in realtà apre una backdoor HTTP sulla porta 8254, inietta del codice in Safari, Firefox e iChat e copia i dati personali presenti in queste applicazioni. Esamina vari file dell'utente e poi passa gli indirizzi e-mail trovati e altri dati, in forma cifrata, a dei server su Internet, oltre a fare molte altre cose poco rispettose dell'utente, come descritto nell'avviso di Intego.

La cosa interessante di questo trojan è che non è contenuto nel salvaschermo o nell'applicazione scaricata, ma viene scaricato durante l'installazione di questi ultimi. In questo modo, una scansione del software scaricato dà esito negativo.

Intego dichiara che il suo antivirus (a pagamento) è in grado di identificare, bloccare ed eliminare questa minaccia. Attenzione ai metodi manuali: alcuni siti consigliano di andare nella cartella Applicazioni del proprio Mac, trovare la sottocartella PremierOpinion e lanciare il programma Uninstall, oppure trascinare il tutto nel Cestino e poi svuotare il Cestino (se non si svuota, selezionate Svuota il Cestino intanto che tenete premuto il tasto Opzione), ma non è detto che sia sufficiente. La cosa migliore è prevenire l'infezione scaricando soltanto il software strettamente indispensabile da fornitori affidabili. E magari dotarsi di un antivirus anche sul Mac.

Maggior dettagli sul comportamento di questa minaccia per Mac sono presso ZDNet, Intego, Macworld, The Guardian, Mac OS X Hints.

2010/03/19

Energizer, il virus arriva dal caricabatterie [UPD 2010/03/22]

Il software per caricabatterie della Energizer contiene conteneva un virus

Questo articolo vi arriva grazie alle gentili donazioni di "marianone" e "pot" ed è stato aggiornato dopo la pubblicazione iniziale.

Da FreakingNews.

Siamo al ridicolo. Adesso si può infettare un PC anche usando un caricabatterie. E di marca, fra l'altro: per la precisione, della Energizer.

La Energizer, infatti, vende in Europa un caricabatterie USB, denominato semplicemente USB Charger, che permette appunto di ricaricare le batterie AA e AAA collegandolo a una porta USB di un computer. C'è anche una versione americana di questo prodotto, chiamata Duo Charger.

Un caricabatterie USB è un'idea astuta, visto che permette di ricaricare le batterie anche lontano dalle prese di corrente, utilizzando la carica della batteria del laptop (non è il massimo dell'efficienza, ma in emergenza non si va per il sottile), e consente di avere un dispositivo particolarmente compatto perché non ha la spina elettrica che sporge.

Idea meno astuta, invece, quella di fornire maldestramente un programma per PC e Mac che permette di monitorare lo stato di carica delle batterie, di sapere il tempo necessario per completare la ricarica e di rilevare eventuali batterie difettose. Maldestramente perché il programma, nella versione per PC Windows, ha una funzione supplementare non proprio desiderata dagli utenti: contiene un trojan che Microsoft identifica come Win32/Arurizer.A. Questo simpatico virus consente di accedere da remoto al computer infetto e di controllarlo, per esempio caricando, scaricando, cancellando o eseguendo dei file a piacere.

Sono ormai due settimane che la Energizer è al corrente del problema, con tanto di comunicato stampa in cui avvisa che il link fornito nelle istruzioni del caricabatterie, www.energizer.com/usbcharger, portava a del software infetto per Windows (maggiori dettagli tecnici sono disponibili presso il CERT). Quel link è stato disattivato, ma quello europeo funziona ancora. Ho verificato adesso.

Andando a http://www.energizerrecharge.eu/it/range/chargers/usb, infatti, si trova questa schermata:

In fondo alla pagina c'è il link che porta al software per PC e Mac. La versione Mac non ha problemi, ma quella per PC, che si chiama UsbCharger_setup_V1_1_1.exe, risulta tuttora infetta, secondo il controllo che ho effettuato con l'antivirus di Kaspersky per Mac. Secondo i test di The Register, il virus distribuito dalla Energizer è riconosciuto da quasi tutti i principali antivirus.

È francamente scandaloso che un'azienda di questo calibro, di cui gli utenti tendono a fidarsi, abbia procedure di gestione talmente scadenti da disseminare virus attraverso i propri siti. Virus che si devono essere insediati anche altrove nella rete aziendale, visto che sono riusciti a infettare il software che Energizer distribuisce. Ed è ancora più scandaloso che questo software infetto sia ancora lì da scaricare dopo due settimane.

2010/03/22

Come segnalato dai commenti a questo articolo, il sito europeo della Energizer è stato aggiornato e ora la pagina citata sopra non contiene più il link al software infetto. Al suo posto ci sono un link a un comunicato stampa tradotto in italiano alla buona che spiega il problema e un link alle istruzioni per rimuovere il software ostile.

2010/03/12

Playstation, occhio agli emulatori fasulli

Sesso, soldi, sangue, salute e... videogame?

Si dice spesso che il giornalismo si basa su quattro S: sesso, sangue, soldi e salute. Anche l'ingegneria sociale che viene usata per imbrogliare i navigatori in Rete si basa di solito su queste quattro S (soprattutto la prima), ma vi aggiunge anche una V: quella di videogame.

Arriva dalla società di sicurezza Sunbelt Software un avviso che riguarda il recente proliferare di siti che offrono applicazioni gratuite per emulare la Playstation 2 sul PC. Cosa già di per sé poco legale, secondo alcuni, ma non è questo il problema.

Banner come quello mostrato qui accanto si spacciano per emulatori o crack o keygen per la popolare ma ormai vecchiotta console, ma il software che permettono di scaricare non è quello promesso.

Come segnala Sunbelt, scaricando e installando questi programmi sul PC (solo se Windows) l'utente si troverà il computer infetto da un cavallo di Troia dal nome chilometrico Trojan-Downloader.Win32.CodecPack.2GCash.Gen, che installa nella cartella di Windows un file eseguibile con un nome generato a caso e colloca un file xpysys.dll nella cartella System32. Il virus è un downloader, ossia è in grado di scaricare altri componenti infettanti, e secondo Sunbelt è stato usato per porcherie di vario genere, dai finti codec video agli antivirus fasulli.

Niente panico, comunque: è già riconosciuto da tutti i principali antivirus. Ma resta sempre valido il consiglio di adottare la prevenzione ancora prima della cura: non andate a cercare software di dubbia provenienza in siti che offrono cose troppo belle per essere vere.

2009/05/01

Volete usare gratis il prossimo Windows 7?

Windows 7, versione preliminare in prova gratuita fino a giugno 2010

L'articolo è stato aggiornato dopo la pubblicazione iniziale.

Se vi interessa provare la Release Candidate (una sorta di ultima bozza quasi definitiva) di Windows 7, il successore di Vista, potrete farlo legalmente e gratuitamente per 13 mesi, dal 5 maggio prossimo al primo giugno del 2010. Le date erano state rivelate da una fuga di notizie e sono state confermate ieri da Microsoft, come riferisce Computerworld.

Questa Release Candidate è già disponibile da ieri agli sviluppatori del Microsoft Developers Network (MSDN) e agli utenti paganti di TechNet, in versione a 32 bit e a 64 bit. Tuttavia le pagine dalle quali scaricare il sistema operativo sono rimaste a lungo inaccessibili, come lamentano gli utenti.

Aggiornamento: Windows 7 è ora disponibile a tutti presso l’Evaluation Center italiano. Grazie a Renato per la dritta.

Va sottolineato che si tratta di una versione di prova, da non usare per lavoro o per situazioni critiche, e che scaduto questo termine temporale il prodotto smetterà di funzionare e non sarà possibile aggiornarlo alla versione definitiva.

E' un periodo di prova ben più lungo rispetto alle versioni di prova di Windows Vista, che funzionarono per un massimo di otto mesi (da settembre 2006 al primo di giugno 2007).

Ci sono buone notizie per questa nuova versione: finalmente è stato rimosso quasi completamente l'Autoplay/Autorun che ha permesso a tante infezioni virali, compreso il recente Conficker, di propagarsi semplicemente collegando al PC una penna USB, un CD/DVD o un disco rigido infetto. Ci sarà anche una finestra di compatibilità con Windows XP, ma sarà una macchina virtuale scaricabile come opzione, per cui richiederà un computer dalle prestazioni decisamente vivaci.

Microsoft sta facendo di tutto per blindare e velocizzare il suo nuovo sistema operativo, soprattutto all'avvio e alla chiusura, ed evitare le lamentele che hanno afflitto Vista. La BBC cita anche un taglio di 400 millisecondi alla musica di Windows 7, vantato da John McCurran di Microsoft UK, per rendere più rapida la chiusura del sistema operativo. Wow. Io avrei un'idea ancora più brillante: sbarazzarsi completamente della musica di chiusura.

Battute a parte, la gestione della grafica dovrebbe essere più snella e le prime recensioni indicano un'effettivo miglioramento delle prestazioni rispetto a Vista. Visivamente, Windows 7 sembra essere una versione drasticamente ripulita e snellita di Vista (con degli sfondi assolutamente psichedelici, da non perdere), per cui la migrazione non dovrebbe essere troppo sofferta. La versione base dovrebbe poter girare (con alcune limitazioni) anche sui netbook di fascia medio-alta.

Una raccomandazione importante: non scaricate le copie pirata che sono già in circolazione. Molte sono infette e sono un perfetto veicolo di propagazione di ogni sorta di porcheria informatica.

2009/04/17

Mac infettati, arriva la prima iBotnet

Anche i Mac finiscono zombificati

Gli esperti della società di sicurezza informatica Symantec hanno annunciato di aver scoperto quella che sembra essere la prima botnet di Mac, ossia una rete di computer Apple infetti e comandati da un unico padrone come se fossero zombi, in questo caso per lanciare attacchi contro siti specifici interrompendone o intasandone i servizi (denial of service).

La scoperta chiarisce ulteriormente il concetto che l'invulnerabilità di Mac OS X è un mito: la realtà è che qualunque sistema operativo è robusto quanto lo è l'anello più debole della sicurezza informatica, che è l'utente. Infatti le due varianti di software ostile per Mac che stanno creando la botnet circolano in Rete veicolate da copie pirata della suite di programmi iWork 09 e Adobe Photoshop CS4. Entrambe catturano la password dell'utente e prendono il controllo del Mac infetto usando tecniche di vario genere: per infettarsi è comunque sufficiente installare i programmi piratati, che funzionano regolarmente senza rivelare che sono cavalli di Troia.

Non si tratta quindi di virus, ma di trojan, e nessun sistema operativo è a prova di utente incosciente. Secondo i ricercatori Mario Ballano Barcena e Alfredo Pesoli del Virus Bulletin di Symantec e le ricerche complementari di Intego, i Mac infettati in questo modo sono alcune decine di migliaia e vengono già usati attivamente per scopi criminali, come segnala questo blog, che mostra uno script PHP che gira come root e attacca un sito (la cui identità non viene mostrata).

Un altro mito che cade è quello che il numero di utenti Mac sia troppo basso per renderli un bersaglio appetibile per i vandali e criminali informatici. A fine 2008, Apple deteneva il 7,2% del mercato dei personal computer negli USA: una quota di mercato evidentemente sufficiente a ingolosire i malfattori, tentati forse anche dalla diffusa tendenza degli utenti Mac a comportarsi in modo imprudente perché si ritengono immuni.

Rimuovere l'infezione è abbastanza facile, secondo Symantec, usando queste istruzioni.

Fonti: ZDNet, CBC.ca, Slashdot, The Register.

2009/02/06

Virus nelle multe, nuove frontiere del social engineering

Quando il virus arriva su carta

Nuove frontiere delle aggressioni virali: il SANS Institute segnala che a Grand Forks, nel North Dakota, vari automobilisti hanno trovato sui propri veicoli dei volantini che li avvisavano di un'infrazione al codice della strada dovuta al modo in cui avevano parcheggiato e li invitavano a visitare un sito specifico (che non cito qui) per vedere immagini dell'infrazione.

In realtà il sito usa un trucco psicologico per installare un virus, o meglio un trojan horse, denominato Vundo, che si spaccia per un antivirus. Gli aggiornamenti dei principali antivirus (quelli veri!) sono già in grado di riconoscere questo attacco decisamente originale.

L'aspetto del sito-trappola è quello di un servizio dedicato alla pubblicazione di foto di infrazioni automobilistiche: per consultarlo, chiede di installare un apposito programma, PictureSearchToolbar.exe, che in realtà inietta nel computer della vittima (se si tratta di una macchina Windows che visita il sito con Internet Explorer) una DLL ostile dal nome generato a caso.

A sua volta, questa DLL scarica di nascosto da Childhe.com un'altra DLL. Al riavvio del computer, durante la navigazione in Internet compare un falso avviso di sicurezza, che informa l'utente di "vari segni della presenza di virus e malware" e offre una scansione gratuita del computer infetto. Cliccando su OK, la vittima viene portata a un sito che ospita un antivirus fasullo, che in realtà fa da talpa per infettare il computer della vittima con ogni sorta di porcherie.

E' la prima volta, a quanto mi risulta, che una campagna d'infezione virale sfrutta un oggetto del mondo reale a basso costo come un foglio di carta (ci sono precedenti a base di penne USB infette lasciate in giro, ma sono approcci costosi). Altre immagini di questa nuova tecnica, come la schermata qui sopra, sono pubblicate da McAfee.

L'attacco gioca dunque sulla pressione psicologica doppiamente (oddio, ho preso una multa; oddio, ho il computer infetto) per scavalcare le difese informatiche dell'utente e depositare nel suo computer un malware che per il resto segue uno schema già visto, quello del falso antivirus: la novità sta nell'esca cartacea.

Visto che quest'attacco richiede manovalanza sul posto e permette di circoscrivere il tentativo d'intrusione a una zona geografica ben precisa, viene da chiedersi se la scelta di Grand Forks sia mirata. Il nome della località è infatti ben noto a chi si occupa di sicurezza militare strategica, perché è quello dell'unica base di missili antimissili nucleari mai installata dagli Stati Uniti: i missili sono stati poi smantellati, ma la base rimane ed ora è candidata ad essere l'area di collaudo dei nuovi aerei senza pilota. Un caso?

Comunque sia, provo una certa invidia per la genialità di questi criminali e non posso fare a meno di pensare che sarebbe una bella forma di vendetta verso gli idioti che parcheggiano come se fossero i padroni del mondo.

2009/01/30

My.barackobama.com, trappola presidenziale

Barack attack!

Nell'era di Internet, la popolarità di un presidente americano si misura anche dal numero di trappole informatiche che lo coinvolgono. Websense riferisce che il sito My.barackobama.com, creato come luogo d'incontro virtuale per i sostenitori del neoeletto Barack Obama, in stile MySpace, viene sfruttato dagli aggressori per iniettarvi delle immagini che sembrano video di Youtube, con l'invito a cliccarvi sopra. Chi clicca viene portato a un sito che fa finta di essere Youtube (esteticamente è identico) ed è pieno di immagini porno. Cliccando sui filmati si viene invitati a scaricare un "codec" che servirebbe per vedere i video ma in realtà è un software ostile: un trojan horse. Altri dettagli tecnici sono disponibili presso Vil.nai.com.

Il trucchetto del codec non è originale; la novità sta nello sfruttamento di un sito molto visibile e di ottima reputazione. Gli aggressori hanno infatti disseminato di link alle pagine taroccate di My.barackobama.com i commenti dei blog e i forum in giro su Internet, sapendo che gli utenti, vedendo che il link porta a un sito affidabile, saranno portati a cliccarvi sopra.

Non è nota al momento la funzione di questo software ostile, che è un file .exe su misura per Windows. Gli utenti Mac e Linux non sono quindi vulnerabili a questa minaccia. Per gli utenti Windows resta sempre valido il consiglio di non scaricare ed eseguire nulla che non provenga da fonti tradizionali: perché mai un sito di Barack Obama dovrebbe chiederci di installare un programma?

2009/01/23

Mac, occhio ai trojan nel software piratato

Mac infettabile, se piratate i programmi

Molti utenti Mac credono di essere invulnerabili, ma non è così, soprattutto quando si adottano comportamenti a rischio che scavalcano le difese naturali del sistema.

La società di sicurezza informatica Intego avvisa che le copie pirata di iWork 09, recente aggiornamento di una suite di programmi molto popolari e desiderati per il mondo Mac, circolano in una versione infettata da un trojan horse denominato OSX.Trojan.iServices.A.

E' un vero e proprio cavallo di Troia, perché quello che viene offerto nei circuiti del software pirata è effettivamente iWork 09, ma al suo interno c'è una sorpresa infettante chiamata iWorkServices.pkg, che viene installata anch'essa quando si installa la copia pirata di iWork 09.

L'installazione del trojan horse richiede che l'utente digiti la propria password di amministratore, ma dato che l'utente sta intenzionalmente installando del software, è normale che la digiti quando gli viene chiesta. Il software ostile viene installato in modo che si avvii automaticamente ogni volta che si avvia Mac OS X ed ha i permessi di root in lettura, scrittura ed esecuzione: in altre parole, può fare quello che gli pare, perché l'utente gli ha dato le chiavi.

Il trojan si collega via Internet a un server remoto, il cui proprietario potrà prendere il controllo del Mac infetto, per esempio installandovi altri programmi ostili di qualsiasi genere. Secondo Intego sono già 20.000 le vittime informatiche di questa trappola.

La soluzione più semplice è la prevenzione: evitate di scaricare e installare programmi piratati e usate un buon antivirus.

2006/05/09

Attenti al “video violento” via e-mail: ritorna la trappola del codec fasullo

Questo articolo vi arriva grazie alle gentili donazioni di "maria" e "carmelo".

Nuova versione di una vecchia trappola: "Mi hanno appena mandato questo video, lo passo a tutti quelli della mia rubrica perchè certe cose sono da vedere", dice il messaggio. Allegato al messaggio c'è un file di nome censu_red_video.asx.

Chi incautamente apre il file, sulla scia dell'emozione e della curiosità che fanno mettere da parte le regole della prudenza informatica, scopre che il video non parte, ma viene visualizzato il messaggio "Impossibile Trovare il Codec", con l'invito a seguire un link per scaricare il codec mancante. La cosa comincia a suonarvi familiare?

Il link non porta a un codec, ma a un file ostile, come si può notare aprendo l'allegato con un editor di testi come il Blocco Note di Windows:

<ASX version="3.0">

<ENTRY>

<TITLE>Impossibile Trovare il Codec</TITLE>

<REF HREF="http://www.vcodecobtain.com/movies/video.avi"/>

<DURATION VALUE="60:00"/>

<BANNER HREF="http://www.vcodecobtain.com/movies/codec-alert.gif">

<ABSTRACT>Clicca qui per scaricare i codec aggiornati</ABSTRACT>

<MOREINFO HREF="http://www.vcodecobtain.com/download/VCodec1_01b.exe" />

</BANNER>

</ENTRY>

</ASX>

Un lettore, fc, mi segnala che ne esiste anche una versione che si intitola "Fw: devastazione uragano ivan, agghiacciante !!" e contiene il testo "Vi inoltro questo video... mai visto niente del genere nemmeno in tv :(", con un allegato che si spaccia per file video ma in realtà usa lo stesso meccanismo descritto qui sopra per portare a un file-trappola.

Luca.Berra****, invece, segnala una variante dal titolo "RE: Caccia ai cuccioli di foca, vergogna!", il cui testo è "a volte la tv non fa vedere certe cose... consiglio la visione del video allegato ad un pubblico "adulto" - buon lavoro a tutti": l'allegato è filmato_amato_riale_01.asx.

Il file-trappola (che non è l'allegato, ma il file EXE presente nel sito-trappola indicato dall'allegato) è stato identificato dopo qualche ora da Kaspersky come un trojan downloader: una roba assai tossica, insomma.

Fc mi segnala che una delle versioni dell'e-mail trappola che ha ricevuto "non funziona in quanto contiene un errore nel link. Se ci clicchi sopra, si apre il Media Player e ti dà un errore, ma non ci sono altri effetti". In ogni caso, è meglio starne alla larga. Ne parlo qui non tanto perché si tratta di una novità particolare, ma perché così chi ha il buon senso di cercare informazioni sul messaggio in Google troverà quest'articolo di avviso.

La regola è sempre la solita: non lasciatevi influenzare dal mittente apparente, dall'emozione o dalla tentazione nello scegliere quali allegati aprire. E' proprio su questo che contano i truffatori e i vandali della Rete.

Aggiornamenti

2006/05/09 19:00. Avevo segnalato a Netcraft l'URL a rischio, ma Netcraft ha rifiutato di aggiungerlo ai suoi siti bloccati perché non sono in grado di verificarne la pericolosità ("We cannot verify that this is a malicious executable"). Che testoni.

2006/05/09 21:30. Adesso Kaspersky riconosce il file ostile come Trojan-Downloader.Win32.Adload.ax. Ho aggiornato l'articolo per tenerne conto. Riprovo a inviare la segnalazione a Netcraft, con due parole di cordiale rimprovero.

2006/05/09 21:50. Arriva la risposta di Netcraft: "The URL you recently submitted could not be accepted as a phishing site by the Netcraft Anti-Phishing Team, for the following reason: We cannot verify that this is a malicious executable". Ci rinuncio.

2006/05/10 8:00. Dopo un mio nuovo e-mail di protesta, arriva una nuova risposta di Netcraft: dicono che bloccano il malware soltanto se Clamav o Bitdefender lo identifica come sospetto, e che pertanto dovrei segnalare il malware a questi due antivirus open source. Va bene: almeno adesso sappiamo come regolarci.

Cerca nel blog