[MSN] Bropia-varianten (handcuffs.pif)

[AW_Bos]

Ik kreeg net van twee dezelfde mensen een MSNbericht in hun MSNlettertype waarin iets stond in de trant van:
wow, check this: *knip*

Ik heb er op geklikt omdat ik dacht dat het iets geild was en het een PDF was, en meteen heb ik hem meteen weggeklikt toen er nog stond: Bezig met zoeken naar locatie... in mijn statusbalk.
Is dit een nieuw MSNvirus ofzo?
Google meldt nog niks aangezien het virus vrij recent is (naar mijn idee)

[ Voor 26% gewijzigd door AW_Bos op 09-09-2010 12:07 ]

[Icey]

Je bent een sukkel dat je erop klikt... Toevallig net 2 mensen op msn gehad die mij een berichtje gaven met die url erin idd.. Beide gozers geblokkeerd, en toevallig waren het ook 2 gasten die ooit eerder op got gebanned waren ivm hun niveau

[lo3k]

zo te zien wel, ik heb em ook al van een aantal mensen gekregen en mn zus is zo stom geweest om em te openen... Nu komt ze niet meer op MSN...

Zo te zien net nieuw, kga eens kijken of ik em kan verwijderne.

[Verwijderd]

kreeg ik net ook van verschillende mensen ja...
toen ik dit wilde openen met firefox stond er iets van dat het een ms-dos snelkoppeling was dus heb ik het maar late zitte ... gelukkig maar blijkt later .. iedereen was ineens offline

[Verwijderd]

Post nou eens geen links naar virussen?

4 mensen die dit naar mij stuurden

[ Voor 52% gewijzigd door elevator op 15-02-2005 21:14 ]

[SyS_ErroR]

Hmm.. moet zeggen dat ik de link ookal een keer of 10 voorbij heb zien komen, en iedereen die hem stuurde was meteen daarna offline.

_{ikzelf heb nergens last van -> mac os x}

[HeepH]

y0 me2

naar een of andere chello accountje werd er gelinkt.

[ Voor 6% gewijzigd door HeepH op 15-02-2005 20:59 . Reden: chello ja..al smell the same ]

[Choxo]

Ik heb het ook net gehad,
en toen ik het wou open zei firefox dat Pif een snelkoppeling naar een Msdos-applicatie was...
Toen heb ik het maar wijselijk weggeklikt

[Mark309]

Hij gaat hard, krijg hem al van verschillende mensen als url binnen. zag gelukkig optijd dat het pif was.

[AW_Bos]

Nou. Ik heb er op geklikd . Maar de server deed ut niet (hoe komt dat toch ). En me MSN doet ut nog steeds hoor .
Kan iemand deze eens downloaden? En door Jottiscan halen?

[ Voor 21% gewijzigd door AW_Bos op 15-02-2005 21:00 ]

[HeepH]

wat doet het eigenlijk?

[Verwijderd]

Vaag, ik heb hem net ook 3x gekregen en nog niet afgemeld/afgesloten ? Ik gebruik MSN7.0Beta.

[ScuL]

ik kreeg hem ook van een Franse vriend, hij gaat dus al hard rond

[Whieee]

OS X user meldt

heb hier mn halve lijst offline omdat ze dus WEL geklikt hebben

[niels88]

Ik heb net ook gehad. Ik heb het op een "test" pc geopend. Je ziet een afbeelding waarna het progje naar iedereen via msn de link doorstuurd. Zodat dit dus rond gaat. Mijn Panda Titanium merkte het wel op. Maar het is in mijn ogen niet echt een virus. Meer zo'n mess.be progje

[AjDuLion]

net ook gehad 1 x van een of anderne vage dude vriendin van me gewaarschuwd zei ze ja heb ik net 2 x op geklikt kwamen 2 jongens mee zucht wie leert het nou eens dat je dat niet moet doen..

[Wijnbo]

Hier ook 70% mensen off na melding.

[Verwijderd]

net even chello gemailed dat er een virus(?) op een van de servers staat

[Wijnbo]

Verwijderd schreef op dinsdag 15 februari 2005 @ 21:01:
net even chello gemailed dat er een virus(?) op een van de servers staat

En ook even vermeld onder welk account? Denk dat die z'n verbinding wel kan vergeten de komende tijd...

[AjDuLion]

Verwijderd schreef op dinsdag 15 februari 2005 @ 21:01:
net even chello gemailed dat er een virus(?) op een van de servers staat

hoop dat ze het snel blokken want mn contacts vallen als bosjes

[tweakerbee]

Jottiscan gaf alleen heuristics (door NOD32).

'k Heb hem toen maar met "reduced priviliges" geopend. Hopelijk stuurt ie hem daardoor niet naar iedereen door.

De windows firewall begon ook al te mekkeren (Access denied uiteraard.)

[ Voor 18% gewijzigd door tweakerbee op 15-02-2005 21:03 ]

[scorpie]

Volgens mij is die chello user straks niet echt blij

Ik kreeg em net ook, niet op geklikt though

[Verwijderd]

Kunnen we die chello site niet plat leggen? Ik word er behoorlijk gek van op het moment

*edit* hij is al plat

[ Voor 15% gewijzigd door Verwijderd op 15-02-2005 21:04 ]

[Choxo]

StonedKinG schreef op dinsdag 15 februari 2005 @ 21:01:
Hier ook 70% mensen off na melding.

offtopic:
Bij mij blijven ze alle 100% online
Of is het omdat ik alleen mezelf in m'n lijst heb staan

[insan1ty]

Hmm vond het wel interessant.. wilde kijken wat de inhoud was kan ik m niet meer krijgen..
Was wel benieuwd naar wat het deed..

[Magic]

net ff gedownload en in testomgeving geprobeert, het lijkt erop dat ie niks anders doet dan zich doorsturen en afmelden, verder niks. wel machtig irritant, gewoon 8x in 5 minuten ofzo.
ff gerenamed naar .exe, lijkt een vb progsel te zijn.

[ Voor 14% gewijzigd door Magic op 15-02-2005 21:04 ]

[theezeefje]

lijkt me duidelijk

[ID-College]

Ok ik ook met me stomme kop.
Eerst weg, is er een removal of zo?
Maar waarom klikte ik, omdat mijn naam erin stond

[ Voor 29% gewijzigd door ID-College op 15-02-2005 21:07 ]

[Verwijderd]

beter wordt die link ff weggehaald voordat neiuwsgierige onwetende kleters gaan klikken

[Verwijderd]

Verwijderd schreef op dinsdag 15 februari 2005 @ 20:59:
Vaag, ik heb hem net ook 3x gekregen en nog niet afgemeld/afgesloten ? Ik gebruik MSN7.0Beta.

Voorlopige conclusie is dus dat ie alleen in de 6.x en lager loopt? Kan iemand anders dit nog testen?
Ik heb iig in mijn msn naam een waarschuwing gezet dat iedereen alles met handcuffs.pif moet negeren.

[Wijnbo]

Verwijderd schreef op dinsdag 15 februari 2005 @ 21:05:
beter wordt die link ff weggehaald voordat neiuwsgierige onwetende kleters gaan klikken

Boeie het loopt nu toch al...

[Swandertj]

Hmm volgens een vriend komt het bestandje in je Apparaatbeheer te staan en als je em daar dan afsluit kun je als het goed is weer op MSN.

Maar ik weet niet of dit bestandje ook in je opstartbestand terecht komt, want anders ben je als huis-tuin en keukenuser ook flink genaaid

[Faust]

Ik ben in linux met AMSN. Kreeg net ook het bericht van de 'dommere mensen' (uit de mappen "Reserve sletjes" en "nepvrienden"), ik heb er voor de grap op geklikt, maar er gebeurde niks.
Mss dat het door linux komt of zo.

[Wormaap]

Dit is gewoon weer zo'n bestandje dat onder een sappige naam door BrEeZaH-dozen verspreid wordt
'K zie nu wel meteen wie in mijn MSN-lijst wat euhm... Minder intelligent is. Voor zover alleen meiden

[JvdS]

Berichtje op fok.nl laten posten.
Is het grootste probleem voor de n00bs al opgelost toch?

[Verwijderd]

Ik heb hem gewoon gedwonload, niet gerunned, straks eens kijken wat erin het pakkje zit

[seeKo]

Swandertj schreef op dinsdag 15 februari 2005 @ 21:06:
Hmm volgens een vriend komt het bestandje in je Apparaatbeheer te staan en als je em daar dan afsluit kun je als het goed is weer op MSN.

Maar ik weet niet of dit bestandje ook in je opstartbestand terecht komt, want anders ben je als huis-tuin en keukenuser ook flink genaaid

euhm, ik heb wel ineens een SCSI controller die ik niet had :\

[DaWaN]

Hmm, ff scannen met eTrust, resultaat: vindt geen virus

[ Voor 122% gewijzigd door DaWaN op 15-02-2005 21:10 ]

[PilatuS]

ik kreeg em net ook van iemand op msn, heb er wel opgeklinkt maar toen ie na 10 sec nog niets deed heb ik em maar weer weg geklikt

verder heb ik nergens last van dus ik neem aan dat mijn firewall zijn werk wel goed gedaan heeft

of heeft een firewall bij zulk soort dingen helemaal geen nut

[Ferguson755]

Het is een variant van het bropia virus, en de helft van mijn lijst is er ook al door offline.

Kunnen mensen eens een keer gewoon kijken waar ze op klikken en extensies die ze niet kennen negeren.

(overigens heb ik er ook op geklikt maar omdat ik de moeite heb genomen om te kijken wat IE zei ben ik nu niet offline)

edit(gevonden op secunia en andere site's ):

#6 - F-SECURE

Bropia.F
Severity:
- File Size:
-
Reported:
2005-02-03 10:45 Last Update:
2005-02-03 16:11
Description:
Bropia.F is a minor variant of Bropia.A. Like the previous variants, it uses MSN messenger for spreading. It also drops a variant of Rbot on the infected system.
Full Report From Vendor View/Hide ChangeLog

[ Voor 38% gewijzigd door Ferguson755 op 15-02-2005 21:10 ]

[Rickbv]

Doet dat beest nog wat als er een 404 melding kwam te staan? Was druk bezig, begint er opeens een kerel tegen me aan te lullen, dus druk druk douw ik op een linkje met .gif erin... dat dacht in tenminste, maar een snelle analyse leverde op dat het niet .gif maar .pif was

[Wijnbo]

seeKo schreef op dinsdag 15 februari 2005 @ 21:07:
[...]

euhm, ik heb wel ineens een SCSI controller die ik niet had :\

Ik ook! Inde vorm van een kerstboom

[theezeefje]

Verwijderd schreef op dinsdag 15 februari 2005 @ 21:05:
[...]


Voorlopige conclusie is dus dat ie alleen in de 6.x en lager loopt? Kan iemand anders dit nog testen?
Ik heb iig in mijn msn naam een waarschuwing gezet dat iedereen alles met handcuffs.pif moet negeren.

ik gebruik MSN 7 Beta

[yohan]

angel008 schreef op dinsdag 15 februari 2005 @ 21:01:
net ook gehad 1 x van een of anderne vage dude vriendin van me gewaarschuwd zei ze ja heb ik net 2 x op geklikt kwamen 2 jongens mee zucht wie leert het nou eens dat je dat niet moet doen..

andere vriendin zoeken

kreeg em hier ook een aantal keer, pc schijnt een beetje te flippen, msn offline maar verder niks rampzaligs op het eerste gezicht.

[Wormaap]

Rickbv schreef op dinsdag 15 februari 2005 @ 21:08:
Doet dat beest nog wat als er een 404 melding kwam te staan? Was druk bezig, begint er opeens een kerel tegen me aan te lullen, dus druk druk douw ik op een linkje met .gif erin... dat dacht in tenminste, maar een snelle analyse leverde op dat het niet .gif maar .pif was

Doet alleen maar iets als je'm daadwerkelijk binnensleurt en opent.

[Ilya]

Verwijderd schreef op dinsdag 15 februari 2005 @ 21:03:
Kunnen we die chello site niet plat leggen? Ik word er behoorlijk gek van op het moment

*edit* hij is al plat

Je kan elke veel sites zo downleggen door een attackje uit te voeren met accesdriver. Alleen wel een dikke kans dat je ge-sued wordt

[MoiZie]

Firefox + zonelabs security suite, im secure = nergens last van, heb em geopend van hier en het plaatje is wel leuk vind ik . Anywayz, geen last van spyware oid, alleen een winis.exe bestandje wat naar internet wilde (wat ik natuurlijk niet toestond ).

[Steephh]

Mwa. Was wel aardig iemand van wie ik dat bestandje kreeg. Dus kdacht, kan geen kwaad. Ik vond het een beetje raar dat het een pifje was, maar ach. Naja, je kan iig niet meer aanmelden zodra je het bestand hebt geopend maar dat is zo opgelost. Gewoon even ctrl+alt+delete en afsluiten.

[Magic]

Voor de geinteresseerden die hem veilig binnen willen halen:
Doe maar even niet.. misschien later als de hype een beetje over is

het is een rar bestand met als wachtwoord "tweakers" (zonder de quotes ). weet wat je doet als je hem uitpakt

[ Voor 29% gewijzigd door elevator op 15-02-2005 21:21 ]

[RSpliet]

Ik ben nog niks tegengekomen, denk dat ik uitsluitend inteligente mensen in mijn contactpersonenlijst heb ofzo ... (en het feit dat er meerdere Linux gebruikers tussen zitten like me helpt ook natuurlijk)... Nu nog iemand die dit virus combineert met het contactpersonen-exploitje, zodat die wat sneller verspreid ofzo

[Wijnbo]

Nog meer iemand een SCSI controller er bij ??

XMASSCSI SCSI CONTROLLER heet ie hier...

[Gorion3]

Ik gebruik dus firefox, en ik heb hier nergens last van, dit komt omdat firefox vraagt of je het bestand wilt downloaden (wat je natuurlijk niet moet doen ) .

Maarja, ook bij mij is iets van 80% neer gehaald door dat virus. Ik denk dat die gast wel iets krijgt te horen van chello over dat virus op zijn webspace

[XyritZz]

Ik ben dus ook zo stom geweest om erop te klikken (Ik vertrouw de mensen in mn lijst dus TE goed)

Ik open dit "virus"
Ik zie een stom plaatje
Iedereen in mn contactlist krijgt een bericht met een URL erin
Ik meldt mezelf af
Ik meldt mezelf aan,

Zo is het gegaan dus, nu vraag ik me af of er schade aan mn machine gedaan kan zijn en of ik na het bestand verwijdert te hebben nog steeds irritante url's stuur naar mn contacts.

[The Evil Brain]

pfieuw, gelukkig onderschepte Firefox het bestand als MS-Dos snelkoppeling, toen maar niet verder geklikt Maar met Kasperksy voor de zekerheid scannen heeft waarschijnlijk nog geen zin, aangezien het 'virus' net nieuw is (toch?)

[Steephh]

Hijs gewist, volgens mij... Op zich wel leuk bedacht, hoe dat die dan rondgaat.

offtopic:
Kkrijg dalijk een computer, helemaal gratis.....

[AjDuLion]

MoiZie schreef op dinsdag 15 februari 2005 @ 21:10:
Firefox + zonelabs security suite, im secure = nergens last van, heb em geopend van hier en het plaatje is wel leuk vind ik . Anywayz, geen last van spyware oid, alleen een winis.exe bestandje wat naar internet wilde (wat ik natuurlijk niet toestond ).

kan je het ''veilige'' plaatje niet ff posten ?

[Verwijderd]

Ik gebruik ook firefox maar ik denk...die komt van een bekende ff kijken
Lekker dom dus
Maar al weer verwijderd

[elevator]

dicht voor onderhoud.

[elevator]

En terug open
Ik wil iedereen vriendelijk vragen om op dit moment geen links naar dat virus te posten (voor de mensen die dat niet begrijpen: Linken naar de PIF posten levert een OW op)

Verder - een masssale 'Ik heb hum ook !!!11' mag je weglaten - dat is niet zo relevant voor dit topic

[Wijnbo]

Mja ben nog steeds benieuwd of mensen een extra SCSI controller er bij hebben..

[r0b]

ele: De Demon mirror (password + rar'red) is wel oké neem ik aan?

[Verwijderd]

Valt me toch op, dat de wat minder begaafde op internet allemaal hebben geklikt (lijkt het) en nu het niet meer strom loopt op msn met die links ....even een hoos

[elevator]

r0b schreef op dinsdag 15 februari 2005 @ 21:24:
ele: De Demon mirror (password + rar'red) is wel oké neem ik aan?

Op dit moment zie ik daar niet heel veel heil in eigenlijk Ik denk dat als de 'hype' over een tijdje (uren/dagen) wat voorbij is dat dat geen enkel probleem is

[ Voor 19% gewijzigd door elevator op 15-02-2005 21:25 ]

[dreeke]

StonedKinG schreef op dinsdag 15 februari 2005 @ 21:23:
Mja ben nog steeds benieuwd of mensen een extra SCSI controller er bij hebben..

Weinig info over te vinden,
http://www.anti-spy.info/process/xmasscsi.sys.html

Maar programma's met een virtual cd drive gebruiken volgens mij ook wel eens een XMASSCSI controller.

[Icey]

StonedKinG schreef op dinsdag 15 februari 2005 @ 21:10:
Nog meer iemand een SCSI controller er bij ??

XMASSCSI SCSI CONTROLLER heet ie hier...

Waarschijnlijk heb je ooit alcohol of een andere image progje geinstalleerd.

[blup]

Iemand enig idee welk virus er nu precies achter zit en wat t aanricht?..
Ik ben zelf gelukkig niet geinfecteerd, maar ik heb dr een hoop in me lijst die de link stuurde..

[HunterPro]

ik probeer nu een pakketje te pakken te krijgen om te decompilen - ondertussen zit ik bij een vriend te kijken (remote desktop ) wat er allemaal aan de hand kan zijn.

[Steephh]

Verwijderd schreef op dinsdag 15 februari 2005 @ 21:24:
Valt me toch op, dat de wat minder begaafde op internet allemaal hebben geklikt (lijkt het) en nu het niet meer strom loopt op msn met die links ....even een hoos

Dat is logisch. De site waar het op stond die is down. Chello heeft er denk ik al wat gedaan. En niet alleen de minder begaafde hebben er denk ik op geklikt hoor. Ook de wat meer begaafden denk ik.

offtopic:
Pc was een 286/8086 , zou ik er nog wat leuks mee kunnen doen, behalve basketballen en dergelijke?

[zetje01]

Die gasten met die SCSI-controller moeten Alcohol eens verwijderen...

Ik kreeg 'm trouwens net ook (ja, van een 15-jarige meid) maar ik kreeg gelukkig een pop-up van SP2. En ik gebruik Miranda, hier is dus niet veel gebeurt...

[0fbe]

Ik heb al een post naar Chello gestuurt ivm met het virus

[Verwijderd]

Ik heb
A ) Geen plaatje gezien
B ) Geen afmeldingscherm van MSN gezien.

Zit ik nu in de safe zone? Wat doet dit script eigenlijk?

Helaas toch geklikt, aangezien hij heel toevallig in een discussie over handboeien voorbijkwam Daarnaast stuurde een computer "gevorderde" het naar me toe

[Verwijderd]

BMRS schreef op dinsdag 15 februari 2005 @ 21:29:
[...]


Dat is logisch. De site waar het op stond die is down. Chello heeft er denk ik al wat gedaan. En niet alleen de minder begaafde hebben er denk ik op geklikt hoor. Ook de wat meer begaafden denk ik.

offtopic:
Pc was een 286/8086 , zou ik er nog wat leuks mee kunnen doen, behalve basketballen en dergelijke?

Dus jij wilt zeggen dat jij ook alle linkjes gewoon aanklikt en niet eens denkt van: huh wat is dat....en ook moet je nog accepten
By the way dan is Chello best snel geweest al zeg ik hetzelf....

[ Voor 6% gewijzigd door Verwijderd op 15-02-2005 21:34 ]

[Carpento]

Ik zal mn auto-accept eens uitzetten

edit:


Waarom zou ik eigenlijk, hij gaat toch niet vanzelf op links klikken of bestanden openen

[ Voor 68% gewijzigd door Carpento op 15-02-2005 21:37 ]

[XyritZz]

StonedKinG schreef op dinsdag 15 februari 2005 @ 21:23:
Mja ben nog steeds benieuwd of mensen een extra SCSI controller er bij hebben..

Ik wel in ieder geval, heb dat ding nog nooit eerder gezien, denk dus ook niet dattie van Alcohol of dergelijken is. Ik heb dat ding gewoon uninstalled, werkte perfect. Ik zie wel of het ooit nog problemen oplevert.

Ik vraag me meer af of dit virus naast irritant zijn nog meer doet. Het massaal versturen van berichten is gestopt, waarschijnlijk ook doordat de website down is.

[Verwijderd]

Ff zieltjes ronselen
http://amsn.sourceforge.net
http://gaim.sourceforge.net
http://www.mercury.to/

Ik had ook al last van mensen met wazige links, dus klikte ik erop en heb die meteen aan mijn w32 viruscollectie toegevoegd Draai hier OSX + aMSN btw

Modbreak:

Doe maar niet. Met jouw aMSN ga je niet tegen houden dat mensen programma's opstarten die ze niet moeten opstarten. Tenzij natuurlijk die brakke software die feature niet ondersteund, maar dan is het geen alternatief.

[ Voor 31% gewijzigd door elevator op 15-02-2005 21:39 ]

[Verwijderd]

Toen een week af wat geleden msn het lang niet deed,zei m$n MSN tegenover planet dat het niet kon zeggen waarom ze het stil hielden tegenover de gebruikers (want dat deden ze).
Ik ben benieuwd of ze er nu weer geen melding van gaan maken...

[ Voor 4% gewijzigd door elevator op 15-02-2005 21:40 ]

[Verwijderd]

Gorion3 schreef op dinsdag 15 februari 2005 @ 21:10:
Ik gebruik dus firefox, en ik heb hier nergens last van, dit komt omdat firefox vraagt of je het bestand wilt downloaden (wat je natuurlijk niet moet doen ) .

Maarja, ook bij mij is iets van 80% neer gehaald door dat virus. Ik denk dat die gast wel iets krijgt te horen van chello over dat virus op zijn webspace

Zelfde hier, Firefox geeft het gewoon aan dat het geen normaal bestand is en vraagt om hem te downloaden of te openen, I love Firefox

[Rafe]

Verwijderd schreef op dinsdag 15 februari 2005 @ 21:36:
Ff zieltjes ronselen
http://amsn.sourceforge.net
http://gaim.sourceforge.net
http://www.mercury.to/

Ik had ook al last van mensen met wazige links, dus klikte ik erop en heb die meteen aan mijn w32 viruscollectie toegevoegd Draai hier OSX + aMSN btw

Een andere client gebruiken helpt niet zoveel bij klikzieke mensen .

[AW_Bos]

Als je op die piflink klikt, krijg je dan meteen dat virus. Of vraagt ie of je hem wilt Downloaden/openen als je geen SP2 hebt?

[MadMarky]

AW_Bos schreef op dinsdag 15 februari 2005 @ 21:38:
Als je op die piflink klikt, krijg je dan meteen dat virus. Of vraagt ie of je hem wilt Downloaden/openen als je geen SP2 hebt?

Wat ik hieruit opmaak:
Als je IE als standaardbrowser hebt wordt ie meteen geopend
Firefox vraagt eerst wat ie ermee moet doen

[Verwijderd]

MadMarky schreef op dinsdag 15 februari 2005 @ 21:44:
[...]


Wat ik hieruit opmaak:
Als je IE als standaardbrowser hebt wordt ie meteen geopend
Firefox vraagt eerst wat ie ermee moet doen

Nee ik draaide met sp2, en daar vroeg hij het

[elevator]

MadMarky schreef op dinsdag 15 februari 2005 @ 21:44:
Wat ik hieruit opmaak:
Als je IE als standaardbrowser hebt wordt ie meteen geopend
Firefox vraagt eerst wat ie ermee moet doen

Een van de verbeteringen van SP2 (en welke Tweaker draait er tegenwoordig nog geen SP2 als hij Windows XP gebruikt) is dat ook executables niet zomaar uit te voeren zijn met IE.

Aan de andere kant - als je al een keer op zo'n link klikt, is de kans groot dat mensen er ook twee keer op klikken

[Verwijderd]

SP2 geeft dus schijnbaar eerst een vraag. Zoals altijd

//damn you elevator

[ Voor 21% gewijzigd door Verwijderd op 15-02-2005 21:46 ]

[amd187]

hmmz, kheb het net dus ook gehad...
ik kreeg de link van een goede vriend van me, dus ik dacht: dat zal wel een lache plic zijn oid.
zonder echt op te letten wat ik aan het doen was, opende ik dus dat bestandje, en idd kreeg ik een wijf te zien met handboeien om, en de link werd naar iedereen verstuurd, waarna msn zich afmelde...
erg leuk allemaal weer hoor....
sommige mensen hebben ook echt niets beters te doen dan zulke onzin te schrijven
maar goed, kheb de boel via taakbeheer weten uit te zetten, en zover ik kan zien is er voor de rest niets qua schade aangericht....
hopen dat dit zo blijft

[Utopist]

In de map c:windows/prefetch stond bij mij het "handcuffs.pif" bestand, op het bureaublad ston opeens een msdos batch bestand, en in lopende apps, stond opeens het handcuffs.pif dingetje,

Verder had ik ook nog opeens de map "startup" erbij onder alle programma's.

Ik ben al een tijdje aan het scannen, maar mijn pc heeft vooralsnog geen virus gevonden.

Heeft er iemand al wat meer info? is het schadelijk voor mijn pc?

[RaZ]

Removaltool van Symantec:
http://securityresponse.s....bropia.removal.tool.html

[ironx]

Voor degene die geintresseerd zijn, hier (100k) een log van Filemon en Regmon en de afbeelding die het laat zien. Ik heb het bestandje op een test-pc gedraait (stond echter geen MSN op).

Edit: 2 logs van winis.exe er bij gedaan.

Voor degene die geintresseerd zijn, hier (100k) een log van Filemon en Regmon en de afbeelding die het laat zien. Ik heb het bestandje op een test-pc gedraait (stond echter geen MSN op).

Edit: 2 logs van winis.exe er bij gedaan.

Paar registers die veranderd worden:

code:

SetValue HKLM\Software\Microsoft\Windows\CurrentVersion\Run\win-xp SUCCESS "winis.exe"
SetValue HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices\win-xp SUCCESS "winis.exe"
SetValue HKLM\Software\Microsoft\OLE\win-xp SUCCESS "winis.exe" 
SetValue HKLM\SYSTEM\CurrentControlSet\Control\Lsa\win-xp SUCCESS "winis.exe"
SetValue HKCU\Software\Microsoft\Windows\CurrentVersion\Run\win-xp SUCCESS "winis.exe"
SetValue HKCU\Software\Microsoft\Windows\CurrentVersion\RunServices\win-xp SUCCESS "winis.exe"
SetValue HKCU\Software\Microsoft\OLE\win-xp SUCCESS "winis.exe"
SetValue HKLM\Software\Microsoft\Windows\CurrentVersion\Run\win-xp SUCCESS "winis.exe"  

SetValue HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{3fcf3fb4-55af-11d9-bf47-806d6172696f}\BaseClass SUCCESS "Drive"

[ Voor 79% gewijzigd door ironx op 15-02-2005 22:11 ]

[elevator]

RaZ schreef op dinsdag 15 februari 2005 @ 21:47:
Removaltool van Symantec:
http://securityresponse.s....bropia.removal.tool.html

Last Updated on: February 4, 2005 08:13:14 PM PST

Ik gok niet dat die removal tool deze variant al (volledig) kan verwijderen

[Verwijderd]

Rafe schreef op dinsdag 15 februari 2005 @ 21:38:
[...]

Een andere client gebruiken helpt niet zoveel bij klikzieke mensen .

nee idd maar ik dacht dat msn die zelf meteen opende, ben een beetje vervreemd van het windows platform Mn broertje zei dat die dat bestand ook via 'bestand verzenden..' kreeg aangesmeerd, maar of dat klopt kan ik niet zeggen.

De bedoeling met die alternatieve messengers was dat die de bestanden opslaat ipv meteen uitvoerd.

[Wijnbo]

XyritZz schreef op dinsdag 15 februari 2005 @ 21:35:
[...]


Ik wel in ieder geval, heb dat ding nog nooit eerder gezien, denk dus ook niet dattie van Alcohol of dergelijken is. Ik heb dat ding gewoon uninstalled, werkte perfect. Ik zie wel of het ooit nog problemen oplevert.

Ik vraag me meer af of dit virus naast irritant zijn nog meer doet. Het massaal versturen van berichten is gestopt, waarschijnlijk ook doordat de website down is.

Was dus wel van alcohol, want er is een DVD (virtuele dus) pleite...

[ID-College]

Ik vind het wel raar.
Ik heb ook Firefox als standaard browser maar die vroeg niks. Ik kreeg wel van Windows SP2 zon schermpje en toen deed ik blokkeren. Ik heb net ad-aware in veilige modus eroverheen gehaald en die vond van 0 nu ineens 217 dingen
Ik heb mcAfee draaien en die heef took nog wat weggehaald. Tis nu weg geen last meer van. Wel geinig, maar zonde van me tijd

[TommyGun]

Welke frikandel klikt daar nou op? Heb hem wel gedownload (FireFox ) om vervolgens uit te lezen...

Maar runnen? Nee, zo'n n00b ben ik niet

(Maar meteen m'n zusje gewaarschuwd. Je weet maar nooit he )

Zulke dingen zijn leuk

[ Voor 17% gewijzigd door TommyGun op 15-02-2005 21:58 ]

[d0s]

Vriendin van me kan niet meer op internet naar het betreffende virus geopend te hebben.
ze kreeg ''uw chello service opnieuw isntallerne'' naar een reboot, en sindsdien doet hij niets meer

Ip adres is weer goed (gewoon 213..) maar website opent ie niet, net zoals msn niet kan aanmelden

[ Voor 27% gewijzigd door d0s op 15-02-2005 22:01 ]

[HunterPro]

d0s schreef op dinsdag 15 februari 2005 @ 22:00:
Vriendin van me kan niet meer op internet naar het betreffende virus geopend te hebben.
ze kreeg ''uw chello service opnieuw isntallerne'' naar een reboot, en sindsdien doet hij niets meer

Ip adres is weer goed (gewoon 213..) maar website opent ie niet, net zoals msn niet kan aanmelden

klinkt als een brakke hosts file

[Impry]

Ik heb er vanavond al 9 gehad... waaronder al een paar die ik al gewaarschuuwd had... Wat ben je dan?

[Admiral Freebee]

Hehe, ik heb ook die link gekregen van één van m'n contactpersonen. Ik ken ze alleen maar van enkele korte babbels op school en was dan ook verbaasd dat ze iets zei tegen me op Messenger Ik heb er wel niet op gelikt maar velen van m'n vrienden en vriendinnen zijn offline terwijl die normaal rond dit uur wel even online komen. Ik ben bijna zeker dat ze erin getrapt zijn.

Ik vraag me trouwens af hoe lang het gaat duren voor Chello dat accountje sluit

[Verwijderd]

ik kreeg net een funny.exe toegestuurd, wat ik ook automatisch doorverzend naar mijn contacts

[Verwijderd]

klikte er vanmiddag ook op, ik d8 het is geen exe & t was van een goeie vriendin van mij..
duzz, naja melding van me firewall en microsoft antispyare
hij zet zichzelf in de opstart file, tis zo weer weg door in taakbeheer ff wini en winis af te sluiten en in msconfig wini en winis uit te vinken.
(heb dit ook naar alle mensen toegestuurt)

[Verwijderd]

Ik krijg em nou zo elke 5 min een keer van iemand die al geinfecteerd is

Conclusie MSN gaat nu uit... CTRL + ALT + DEL --> Process beeindigen = No BS

[Verwijderd]

Verwijderd schreef op dinsdag 15 februari 2005 @ 22:19:
klikte er vanmiddag ook op, ik d8 het is geen exe & t was van een goeie vriendin van mij..
duzz, naja melding van me firewall en microsoft antispyare
hij zet zichzelf in de opstart file, tis zo weer weg door in taakbeheer ff wini en winis af te sluiten en in msconfig wini en winis uit te vinken.
(heb dit ook naar alle mensen toegestuurt)

Jah maar 99% van de MSN gebruikers kenne net chatten en wtf is dan een msconfig of wini Mja gewoon nooit op links klikken voor er een voice chat aan voor af gaat