Cabir, il primo virus per cellulari, symbian

[Vin81]

Martedì 15 Giugno 2004

E' stato battezzato Cabir ed entrerà probabilmente nella storia della telefonia mobile come il primo virus che attacca i cellulari. E' stato scritto da Vallez, pseudonimo usato da 29a, un gruppo internazionale che scrive concept-virus.

Scoperto dalla società russa Kaspersky, Cabir sfrutta la tecnologia Bluetooth per cercare cellulari Symbian nel raggio di 10 metri e poi moltiplicarsi. Non contiene codice malizioso, semplicemente si replica in altri telefoni.

Il worm crea un pacchetto di installazione (file SIS) e lo invia ad un altro telefono con Bluetooth: il cellulare che riceve il file lo riconosce come parte di Caribe Security Manager, applicativo di sicurezza di Symbian OS. Lanciato il file, il worm si installa nel cellulare, attivandosi ad ogni accensione per cercare cellulari Bluetooth nei paraggi.

Un virus tutto sommato innocuo dunque, ma è evidente che si tratta di un primo tentativo a cui ne seguiranno certamente altri più pericolosi. E' stato definito "concept-virus", scritto cioè da qualcuno che voleva solo mostrare che anche i cellulari moderni possono essere colpiti. Non a caso Vallez in passato ha scritto Cap, il primo macro-virus a diffondersi su scala globale, Stream, primo virus NTFS, Donut, primo virus per .NET ed infine Rugrat, primo virus per Win64.

Con l'uscita di terminali evoluti, in grado di compiere diverse operazioni tipiche dei personal computer, il pericolo esiste.

Nel mondo dei personal computer, i virus attaccano solitamente il sistema operativo più diffuso, MS Windows: chi ha scritto Cabir, non poteva che puntare su Symbian, il sistema operativo leader sul mercato del mobile.


Istruzioni per la rimozione:
(controllare eventuali aggiornamenti sul sito Symantec)


Bisogna dotarsi di un programma di file manager come ad esempio FileExplorer v.1.11 (gratuito: http://users.skynet.be/domi/download.html).

Cercare in tutti i drives, utilizzando la funzione di FileExplorer, la directory chiamata "\SYSTEM\APPS\CARIBE".
I seguenti files sono da eliminare:"CARIBE.APP", "CARIBE.RSC" e "FLO.MDL".

Nella directory "C:\SYSTEM\SYMBIANSECUREDATA\CARIBESECURITYMANAGER", sono da rimuovere i files "CARIBE.APP", "CARIBE.RSC", e "CARIBE.SIS".

Infine in "C:\SYSTEM\RECOGS", bisogna eliminare anche il file di nome "FLO.MDL".

Il file "CARIBE.RSC" non può essere rimosso mentre è in esecuzione l'applicazione. Può essere necessario quindi rimuovere gli altri file e poi riavviare per poter eliminare quest'ultimo.

E' consigliabile anche cancellare il file "CARIBE.SIS" dalla directory "C:\SYSTEM\INSTALLS".

Vi ricordiamo di non installare applicazioni illegali e non firmate.
Il worm viene distribuito come pacchetto d'installazione Symbian (.SIS): è buona regola non installare programmi la cui provenienza e/o legalità non sono garantite.