docs/README.Win32-Viruses

   1 While this article is specific to the recent Nimda worm,
   2 the information can be applied to preventing the spread
   3 of many Win32 viruses.  Thanks to the Samba Users Group of Japan
   4 (SUGJ) for this article.
   5 ===============================================================================
   6 Steps againt Nimba Worm for Samba
   7
   8 Author: HASEGAWA Yosuke
   9 Translator: TAKAHASHI Motonobu <monyo@samba.gr.jp>
  10
  11 The information in this article applies to
  12     Samba 2.0.x
  13     Samba 2.2.x
  14     Windows 95/98/Me/NT/2000
  15
  16 SYMPTOMS
  17   This article has described the measure against Nimba Worm for Samba
  18   server.
  19
  20 DESCRIPTION
  21   Nimba Worm is infected through the shared disk on a network besides
  22   Microsoft IIS, Internet Explorer and mailer of Outlook series.
  23
  24   At this time, the worm copies itself by the name *.nws and *.eml on
  25   the shared disk, moreover, by the name of Riched20.dll in the folder
  26   where *.doc file is included.
  27
  28   To prevent infection through the shared disk offered by Samba, set
  29   up as follows:
  30
  31 -----
  32 [global]
  33   ...
  34   # This can break Administration installations of Office2k.
  35   # in that case, don't veto the riched20.dll
  36   veto files = /*.eml/*.nws/riched20.dll/
  37 -----
  38
  39   Setting up "veto files" parameter, the matched files on the Samba
  40   server are completely hidden from the clients and become impossible
  41   to access them at all.
  42
  43   In addition to it, the following setting are also pointed out by the
  44   samba-jp:09448 thread: when the
  45   "\e(Jreadme.txt.{3050F4D8-98B5-11CF-BB82-00AA00BDCE0B}"\e(B file exists on
  46   a Samba server, it is visible only with "readme.txt" and a dangerous
  47   code may be performed when this file is double-clicked.
  48
  49   Setting the following,
  50 -----
  51   veto files = /*.{*}/
  52 -----
  53   no files having CLSID in its file extension can be accessed from any
  54   clients.
  55
  56 This technical article is created based on the discussion of
  57 samba-jp:09448 and samba-jp:10900 threads.
  58