E’ questo l’oggetto delle mail che oggi hanno riempito la mia casella di posta Hotmail, di seguito il testo contenuto all’interno delle email:

Y che como estas!! tanto tiempo!! el otro dia hable con
Roberto..dice que ta todo bien..me paso unas fotos del
y su mujer…me dijo que te pasara, descargalas de aca:
http: // ????? .t35 .com/fotos.zip ..tene cuidado a
quien le mostras he! responde o conectate al MSN algun
dia q hace anto tiempo q no nos juntamos todos los gurises!

Ovviamente il link l’ho reso non cliccabile.

Il collegamento punta ad un file compresso, fotos.zip per l’appunto, che contiene un eseguibile dal nome “fotos roberto.exe“. Una volta estratto, il file si presenta con l’icona predefinita delle immagini BMP di Windows XP e l’estensione .EXE non viene visualizzata se le impostazioni del sistema operativo sono quelle predefinite.

In realtà le fantomatiche foto di Roberto altro non sono che un trojan ( variante di Win32/Agent.NBE ) dagli effetti un po’ particolari: infatti oltre che controllare eventuali suoi aggiornamenti, disabilita alcune opzioni di Windows e nasconde le icone del desktop ed il pulsante start dell’utente che lo ha lanciato; inoltre limita i privilegi dell’utente in questione impedendo di scaricare o lanciare programmi. I mittenti delle email che ho ricevuto erano tutti miei contatti MSN/Live Messenger, probabilmente infettati dal trojan (ma non è detto) che si è autospedito acquisendo gli indirizzi dalla rubrica di Outlook oppure dalla lista dei contatti.

I campanelli d’allarme sono tanti: un vostro amico che vi scrive in spagnolo (???), una raccolta di foto che ha per estensione un .exe, la firma in calce della mail che corrisponde al nick del contatto, compresi i codicilli per farlo apparire colorato o contornato da faccine.

Insomma se dovesse capitare a qualcuno, uomo avvisato mezzo salvato…purtroppo c’è sempre qualche rincoglionito che clicca su ste robe.

Fonte ed approfondimenti: http://www.vsantivirus.com/05-06-07.htm ( è in spagnolo)

ISTRUZIONI PER LA RIMOZIONE

Per scrivere questa guida ho installato una macchina virtuale sul mio pc con Ubuntu e vi ho installato Windows, in seguito ho infettato volontariamente il sistema con il trojan.

Innanzitutto dovete procurarvi Msn Cleaner, un antispyware dedicato alla pulizia di malware per Msn Messenger. Il file si trova al seguente indirizzo:

Scarica Msn cleaner

in fondo alla pagina trovate il link al programma ed alla richiesta di login scrivere:

nome utente: dsadsada

password: 1234asd

che è un account trovato tramite Bugmenot. Il file se proprio dovete potete scaricarlo anche dal windows infetto (sconsigliabile).

Se avete lanciato il trojan vi saranno scomparse le icone sul desktop, la tray bar e i pulsanti di spegnimento. Per riavviare il computer premiamo

Ctrl+Shift+Esc

e dal menu del task manager scegliamo

Chiudi Sessione->Riavvia il sistema

Se il task manager non dovesse apparire dovrete spegnere il computer dal bottone.

Una volta riavviato dobbiamo entrare in modalità provvisoria con supporto di rete ( premendo F8 prima dell’avvio di Windows) ed entrare con l’account Administrator o con un account diverso da quello che avete usato per aprire il file.

Adesso dobbiamo usare Msn Cleaner e impostare le opzioni come in figura

e cliccare su Analizar.

Quando il programma avrà terminato la scansione bisognerà cliccare su Eliminar e i file infetti verranno eliminati.

Riavviamo ed entriamo normalmente per cancellare quelle chiavi di registro che impediscono l’accesso alle impostazioni.

Premiamo la combinazione di tasti

Tasto di Windows + R

e nella finestra che appare digitiamo regedit. Adesso bisogna seguire il percorso

HKEY_LOCAL_MACHINE \Software \Microsoft \Windows \CurrentVersion \Policies \Explorer

ed eliminare le chiavi che vedete nell’immagine

ma potrebbero essercene delle altre, qui un elenco delle eventuali altre possibilità:

• DisableRegistryTools
• DisableTaskMgr
• NoDeskTop
• NoFolderOptions
• NoRun
• NoDevMgrPage

Riavviate nuovamente, o tramite il task manager oppure con il comando

shutdown -r -f

e il tutto tornerà normale. Ovviamente procedete con la scansione con un buon antispyware ed un buon antivirus e la prossima volta che aprite allegati sospetti vi taglio le ditina.