Uno strano file word

[Cecco]

Statemi a sentire, stamane aprendo la posta ricevo una email di un amico che non vedo da tempo, anch'egli appassionato d'informatica.
Contiene un'allegato zippato e criptato: l'amico scrive che gli è passato tra le mani un documento riservato che mi riguarda e che mi invia in uno alla password per decriptare il file compresso. Aggiunge che contiene un file di office criptato e che posso aprire con un doppio clik.

Conoscendo il personaggio, credo sia lui e deve senz'altro trattarsi di una specie di scherzo cui non voglio sottrarmi.

Dunque, non senza qualche preventiva cautela, decripto il file come suggerito, mi appare un file di word, ci clicco sù ma non si apre.

Cosa fareste al mio posto?

P.S. Vorrei pregisare, ve lo garantisco, che è storia vera.

[Flying Luka]

Io lo butterei immediatamente nel cestino perchè sa tanto di email + virus spedita all'insaputa del mittente.

Quel "documento riservato che mi riguarda " è la classica trappola per topi per incuriosire la gente ad aprire allegati potenzialmente dannosi.

[Cecco]

Originariamente inviato da Flying Luka
Io lo butterei immediatamente nel cestino perchè sa tanto di email + virus spedita all'insaputa del mittente.

Quel "documento riservato che mi riguarda " è la classica trappola per topi per incuriosire la gente ad aprire allegati potenzialmente dannosi.

Beh, questa è stato il mio primo istinto ma poi, verificato il mittente, ho pensato non potessero pervenire da lui intenzioni dannose.

[Flying Luka]

Infatti nel primo post ho scritto: email + virus spedita all'INSAPUTA del mittente: leggesi trojan horse!


Non a caso, questo tipo di email, sfruttano la buona fede di chi le riceve; esempio: "Ah me è una email di Pippo, un mio amico, quindi figuriamoci: sicurissima".

Solo che poi ti becchi il virus, e Pippo non sa neanche di averti spedito una email (come probabilmente non sa neanche di avere il PC infettato) !

[Cecco]

Originariamente inviato da Flying Luka
Infatti nel primo post ho scritto: email + virus spedita all'INSAPUTA del mittente: leggesi trojan horse!


Non a caso, questo tipo di email, sfruttano la buona fede di chi le riceve; esempio: "Ah me è una email di Pippo, un mio amico, quindi figuriamoci: sicurissima".

Solo che poi ti becchi il virus, e Pippo non sa neanche di averti spedito una email (come probabilmente non sa neanche di avere il PC infettato) !

Hai ragione ed infatti ho inviato una email all'amico raccontandogli il fatto e suggerendogli, ove mai non avesse lui spedito la email, di controllare il suo pc.

Mi ha risposto che non ne sapeva niente e che effettivamente ha scoperto di essere alquanto infestato.

Ciao, grazie

[Flying Luka]

[Commodore]

Arrivato ora anche a me. Deve essere nuovissimo in quanto non è rilevato da nessun AV

.....privato12

[Wip3out]

E' da oggi che seguo la cosa su un NG.

Mi sono fatto mandare il file. Una volta decompresso Kaspersky 2006 me lo segnala come

Trojan-Downloader.Win32.Agent.aew

Per la precisione

deleted: Trojan program Trojan-Downloader.Win32.Agent.aew File: C:\Documents and Settings\XXX\Desktop\Documentazione_riservata.exe/stream/data0002/UPX


Stasera provo ad installarlo e vedo se Kas è anche in grado di rimuoverlo dal sistema.

Cmq per ora sembrerebbe solamente autoinviarsi ad altri indirizzi inviando mail sulla porta 25. Se la bloccate con un FW dovreste essere momentaneamente al sicuro (ovviamente le mail però le dovrete spedire solo da interfaccia WEB).

Wip

[Wip3out]

Ora come ora questa è la situazione su VirusTotal (Jotti Malware scan non lo riporto perché ha meno motori di scansione...).

[Sbavi]

Beh...cmq potevi provare ad aprirlo con il notepad...

Al notepad il virus gli s'inciuccia

[cippico]

Originariamente inviato da Wip3out
Ora come ora questa è la situazione su VirusTotal (Jotti Malware scan non lo riporto perché ha meno motori di scansione...).

scusatemi...ma non potevo resistere...

Jotti Malware...

Jotti...la famosa donna in politica?(ormai defunta)

...oppure...

aho'...Totti Malware

scusatemi ancora...ma non ho resistito...

ciaooo

[Cecco]

Beh, visto che la cosa si diffonde vi racconto poi il resto della storia.

Quando ho ricevuto l'email, nonostante provenisse da fonte amica ho preso una serie di precauzioni.
Intanto non ho usato il mio pc preferito ma ho scaricato il file allegato in un vecchio portatile.
Ho quindi scansionato il file compresso con Kanspersky, Ad-aware e The Cleaner senza aver allarmi di sorta.
Ne è risultato un file dall'aspetto word, solo dall'aspetto però in quanto la sua estensione non era certo doc ma exe.
Già non c'erano più dubbi, e difatti davo ragione a flying, ma siamo un pò tutti matti e ho voluto proseguire aprendo il file con notepad leggendo un incomprensibile codice a conferma.
A questo punto mi son scaricato Hijackthis, ho fatto una scansione e mi ha trovato una voce sospetta nel registro riferita al file "msx.dll".
Ho quindi fatto una ricerca e sono arrivato a questa pagina:
http://www.greatis.com/security/ICQC...%20remover.htm
Dunque ho voluto cercare nel pc gli altri files segnalati ed ho trovato anche il "kaboom.dll".
A questo punto ho scaricato "RegRun Reanimator" e "Icqchk_kill.rnr" seguendo esattamente le istruzioni molto semplici seppure in inglese.
Risultato: pc pulitissimo.
Spero esser stato utile.

[Cecco]

Ho omesso solo che dopo aver aperto il file con notepad, ho fatto un bel doppio click sopra, ma insomma s'era capito.

[camino]

E' capitato anche a me stamane. Solo che con winzip, nel menù azioni gli ho fatto fare la scansione con norton, prima di szipparlo. Norton segnala trojan dropper, che a sua volta apre una backdoor. Naturalmente non ho aperto il file word sottostante.Farò una scansione completa. Siete sicuri che greatis.com fornisca un antispyware di rimozione che non contenga a sua volta altri spy? Come è già capitato? Per ora mi limito ad usare Norton

[Ninania]

Stavo per aprire un thread per chiedervi un aiuto su una mail che ho ricevuto in questo momento da una fantomatica responsabile di un negozio di mobili che mi dice che mi allega un file criptato che contiene dati miei personali e che lo avrei aperto solo con una chiave che lei gentilmente mi prestava ...
Naturalmente (visto l'esperienza passata di trojan e compagnia bella che mi sono beccata! ) ho preferito chiedere a voi aiuto ..
A questo punto cestino rulez