[MSN] Bot stuurt virus *

[Verwijderd]

Sinds gisteren voegde naar mijn weten iemand mij toe, zei niks, maar op het moment dat ik "hem" aansprak stuurde hij me onmiddelijk een zip file. Ik accepteerde het natuurlijk niet gezien de bogus bestandsnaam, maar vandaag kreeg ik weer de offer, en wel in 6KB. Ik dacht ik zit wel goed met een up 2 date virusscanner (die blokkeerde de troep ook), maar trend micro kon mij niet vertellen wat het virus precies inhield of doet.

Ik heb de file manual gedelete onder dos, en wel even ss's gemaakt natuurlijk





Is dit nou niet een nieuwe vorm van ontzettend vervelende IM spywaretroep Ook weet ik via iemand anders dat je nooit maar die msn adressen moet gaan zitten toevoegen die in je mailbox belanden van vage afzenders, ze schijnen je adress op te slaan en ook bij andere bots toe te voegen elke keer, en je websites en andere troep proberen te versturen.

[mjszwo]

Je kunt er vanuit gaan dat het een trojan/backdoor is. Als ik via Google op "Prorat" zoek, krijg ik o.a. dit soort resultaten:

Backdoor.Prorat.1.8.Dam.2
BackDoor.ProRat.18
BackDoor.Prorat.AR
Backdoor.Win32.Prorat.18
Backdoor.Win32.Prorat.18
Backdoor.Win32.Prorat.18
Backdoor.Win32.Prorat.18
BKDR_PRORAT.W

Virus ID: 75948
Virus designation: W32/Prorat.AQ@bd
Short form: Prorat.AQ@bd
Alias:
Discovering/admission: 19.05.2005
Kind of virus: DOS/Windows
Virus subspecies: W32
Type of virus: bd = Backdoor
Risk: No danger stage/no risk classification
Size:
Country of origin:
Date SIGN.DEF: 19.05.2005
Date SIGN2.DEF: 19.05.2005
Date MACRO.DEF: 19.05.2005
Active characteristic: 1
Last change: 19.05.2005 20:37:02
Remark:
Translated: No

[ Voor 44% gewijzigd door mjszwo op 22-07-2006 08:45 ]

[Verwijderd]

Verwijderd schreef op zaterdag 22 juli 2006 @ 08:21:
maar trend micro kon mij niet vertellen wat het virus precies inhield of doet.

TM geeft er een naam aan, daar kun je gewoon op zoeken.

Ik heb de file manual gedelete onder dos, en wel even ss's gemaakt natuurlijk

Als je erachter wil komen wat een sample precíes doet, is verwijderen het slechtste wat je kan doen. Immers is er dan niets meer om te onderzoeken. Bij zoiets multifunctioneels als Prorat hangt de precieze functionaliteit af van de sample zelf dus moet je deze kunnen onderzoeken om er iets zinnigs over te kunnen zeggen.

Is dit nou niet een nieuwe vorm van ontzettend vervelende IM spywaretroep

Define spyware. Backdoors/Trojans worden al erg lang via IM verspreid.

Ik zie de referentie van mogelijke exploit in de topictitel trouwens nergens terug in je verhaal

[Verwijderd]

Verwijderd schreef op zaterdag 22 juli 2006 @ 09:01:
[...]

TM geeft er een naam aan, daar kun je gewoon op zoeken.

En klik ik op de definitie, dan krijg ik een pagina met niks erin (niks over te vinden dus)

Als je erachter wil komen wat een sample precíes doet, is verwijderen het slechtste wat je kan doen. Immers is er dan niets meer om te onderzoeken. Bij zoiets multifunctioneels als Prorat hangt de precieze functionaliteit af van de sample zelf dus moet je deze kunnen onderzoeken om er iets zinnigs over te kunnen zeggen.

Ik ga het niet aan wagen aan m'n workstation vol met stuff wat ik geschreven heb. Liever ook dat het gelijk van m'n systeem afgaat.

[...]

Define spyware. Backdoors/Trojans worden al erg lang via IM verspreid.

Zoals ik al zei dat het hier om een "Bot" ging die mensen zomaar ongevraagd toevoegd (de msn naam zou je denken dat het om een real life persoon ging) maar het enige wat het deedt was bij signoff/signin mij gelijk een file proberen te sturen. Zelfde als die andere "bots" die je weblinks geven naar porno sites bijv met daarin je CC gegevens in te gaan vullen.

Ik zie de referentie van mogelijke exploit in de topictitel trouwens nergens terug in je verhaal

Excuus. MSN kopieert natuurlijk het ontvangen bestand naar %userprofile%\Local settings\Temp\ en daar is waar Trend micro bij kwam kijken.

Dus. topictitel was een beetje overdreven overigens

[Verwijderd]

Verwijderd schreef op zaterdag 22 juli 2006 @ 09:37:
[...]


En klik ik op de definitie, dan krijg ik een pagina met niks erin (niks over te vinden dus)

Andere write-ups kunnen je wel informatie geven over de familie.

Ik ga het niet aan wagen aan m'n workstation vol met stuff wat ik geschreven heb. Liever ook dat het gelijk van m'n systeem afgaat.

Dat is idd de andere kant van de afweging.

Zoals ik al zei dat het hier om een "Bot" ging die mensen zomaar ongevraagd toevoegd

Dat snap ik, maar wat heeft dat met spyware te maken?

[pasta]

offtopic:
Kleine titelfix