Maxso's Blog

Ebbene la società di sicurezza Sophos, in questi giorni ha isolato “SillyFD-AA”, il primo worm che si diffonde tramite pen drive USB. Il basso prezzo di queste piccole memorie di massa portatili, fanno si che molti di noi le hanno per trasferire dati da un PC all’altro. Ma come si diffonde il worm?

Il worm una volta eseguito, si diffonde attraverso tutti i dispositivi removibili creando due file, autorun.inf e una copia di se stesso denominata handydriver.exe.. Il file di autorun è utilizzato per l'esecuzione automatica del worm non appena una pen drive usb viene inserita nel sistema e crea una copia di se stesso anche all’interno della directory di Windows.

I PC infetti da questo worm hanno inseriti nel proprio registro di sistema due chiavi per l’esecuzione all’avvio del sistema. Le chiavi in questione sono:

HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon
"Userinit" [System]\userinit.exe,[System]\systeminit.exe

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
"Wininit" [System]\wininit.exe

Ma il modo più semplice per scoprire se un PC è stato infettato da questo worm, è aprire Internet Explorer e vedere se nel titolo della finestra compare la frase “Hacked by 1BYTE”. Nel caso compaia questa scritta, evitate di inserire un dispositivo removibile...