schoonouders met 1800 returned spammailtjes

[maxtrash]

Kreeg net een telefoontje van mijn schoonmoeder. Ineens stonden er 1800 mailtjes in haar inbox, allemaal undeliverable mail.
Het lijkt erop dat de computer gehackt is en gebruikt in een of ander botnetwerk om spam te versturen, niet echt leuk.

Het is een standalone pc met een adsl-modem die geen ingebakken router heeft. Als firewall wordt de windows-firewall gebruikt, virusscanner wordt netjes up-to-date gehouden (AVG). Af en toe wordt ook adaware en spybuster gedraaid. Heeft niet echt mogen baten kennelijk.

Mijn plan is:

- windows opnieuw installeren (hoe kan je anders zeker weten dat het extern bestuurde proces echt weg is?)
- mijn asus wl500g die ik over heb als router er tussen zetten. Is er in ieder geval een hardware firewall.

Vergeet ik iets of hebben jullie nog andere goede ideeën?

[TimDJ]

denk eraan dat het niet perse vanaf haar pc verstuurd hoeft te zijn. Mijn email adres heeft ook eens in een spamrun als afzender gestaan. Wordt je niet vrolijk van

[Outerspace]

Kijken welke services er open staan en welke worden opgestart (via msconfig danwel het register). Daarna kijken met procesexplorer als je rare processen open hebt staan.

[TheZeroorez]

Echt formatteren voor het installeren, en erna meteen volop updaten.

Ook je schoonouders leren dat altijd op 'ja' klikken bij de firewall/antivirus niet goed is.

[Beugelfles]

Is het niet zo dat de spam filter van haar e-mail provider hier het beste tegen op kan treden? Waarschijnlijk haar internet service provider?

Of praat ik nu onzin?

[gambieter]

Echte firewall gaan gebruiken? Windows updates installeren? Router ertussen is een goed idee, maar blijkbaar is er wat meer fout met je schoonmoeders PC.

(niet stiekem schoonmama's PC gesaboteerd voor een wit voetje? )

[croontje]

Ik heb eergisteren nacht op men Gmail ook 8000 spam mails binnengekregen waarvan een deel bounced mails (ik heb wel de catch all van men domein op die account staan)
Gmail heeft 7500 mails kunnen onderscheppen en in men spambox gezet.
Om 10 uur smorgens was het gedaan. Het was begonnen om iets na 12 uur snachts.

[Outerspace]

TheZeroorez schreef op donderdag 02 augustus 2007 @ 22:49:
Echt formatteren voor het installeren, en erna meteen volop updaten.

Ook je schoonouders leren dat altijd op 'ja' klikken bij de firewall/antivirus niet goed is.

Incorrecte handeling:
Formateren -> installeren -> virusscanner / firewall -> dan updaten
Iets over nieuwsfeitje dat een virus zich kan nestelen in 20 minuten nadat hij / zij gekoppeld is met het internet.

[AndriesLouw]

Oh ja, en niet aan het internet hangen voordat alles geupdated is (of in ieder geval het laatste Service Pack erop staat), het handigst is een geslipstreamde CD.

[DinX]

FAD schreef op donderdag 02 augustus 2007 @ 22:48:
denk eraan dat het niet perse vanaf haar pc verstuurd hoeft te zijn. Mijn email adres heeft ook eens in een spamrun als afzender gestaan. Wordt je niet vrolijk van

Precies. Het kan evengoed iemand anders zijn waar je schoonmoeder in het adresboek staat ofzo. Of dat ze haar adres ergens van een site gehaald hebben. Ze kunnen namelijk gewoon het afzendadres faken om spam te versturen.

In dat geval kan je er bar weinig aan doen. ij ons op het werk gebeurt het ook al eens. Krijgt iemand (waaronder ik ook reeds 2 maal) allerlei gebouncete mailtjes terug.

[Marzman]

FAD schreef op donderdag 02 augustus 2007 @ 22:48:
denk eraan dat het niet perse vanaf haar pc verstuurd hoeft te zijn. Mijn email adres heeft ook eens in een spamrun als afzender gestaan. Wordt je niet vrolijk van

Dat is inderdaad goed mogelijk. Leuk dat er hier meteen reacties komen van "formateren". Beetje overdreven als je een (of 1800) failed delivery terug krijgt.

Je kunt proberen het orginele mailtje te achterhalen (zit vast wel ergens bijgevoegd bij die 1800 mailjtes) en dan kijken of het met de computer van je schoonouders is verzonden. Als dat niet zo is hoef je niet zo veel op hun computer te doen (je kan een filter instellen dat ze al die niet afleverbare mailtjes niet meer zien).

[Pogostokje]

Waarschijnlijk is er inderdaad niks met de PC aan de hand. Mail bounced tenslotte niet terug naar de PC maar naar e-mail adres. Het mail adres is dus 'gebruikt' en dat kan vanaf de eigen PC maar ook vanaf elke andere plek op aarde gebeurd zijn. In het laatste geval is er geen sprake van een 'hack' of ander vervelend spul op de PC.
Eenvoudig hulpmiddel om te zien of dit het geval is, is het volgende.
Bedenk dat een bounce als 'user does not exist' vrijwel direkt volgt op het verzenden van de mail. Daar zit geen uren tussen. Als de bounce mailtjes dus allemaal binnen zijn gekomen op een tijd dat de PC niet heeft aangestaan, dan weet je vrij zeker dat het gewoon een geleend mail adres betreft waar je schoonmoeder niks aan kan doen en waar dus de PC ook geen rol in heeft gespeeld.

Edit: een hardware router heeft als bijkomstigheid dat een goede firewall is voor het meeste ongewenste verkeer dat gebruik maakt van OS exploits. Het verdient dus zeker aanbeveling zoiets te plaatsen. Een computer rechtstreeks aan internet hangen is echt spelen met vuur, daar helpt geen OS firewall tegen. Zeker niet als de computer in kwestie bedient wordt door mensen die niet weten wat ze doen. Dat is een eenrichtingsweg waar aan het einde een format op je staat te wachten.

[ Voor 23% gewijzigd door Pogostokje op 02-08-2007 23:05 ]

[maxtrash]

bedankt voor de vele reacties in korte tijd!
Het idee van de hardware router ga ik sowieso doen. Op zich is het een geruststelling dat de computer misschien helemaal niet geinfecteerd is, maar het probleem is dat ik dat dan wel heel zeker moet weten. Anders hou je toch een vervelend onderbuik gevoel over (en uiteindelijk kan ik wel zeker zijn van mijn zaak maar het is natuurlijk niet mijn pc dus dat moet je ook respecteren).
Ik heb de pc nog niet grondig kunnen onderzoeken dus kan helaas nog niet meer zeggen.

[Marzman]

maxtrash schreef op donderdag 02 augustus 2007 @ 23:04:
bedankt voor de vele reacties in korte tijd!
Het idee van de hardware router ga ik sowieso doen. Op zich is het een geruststelling dat de computer misschien helemaal niet geinfecteerd is, maar het probleem is dat ik dat dan wel heel zeker moet weten. Anders hou je toch een vervelend onderbuik gevoel over (en uiteindelijk kan ik wel zeker zijn van mijn zaak maar het is natuurlijk niet mijn pc dus dat moet je ook respecteren).
Ik heb de pc nog niet grondig kunnen onderzoeken dus kan helaas nog niet meer zeggen.

Kijk gewoon in de mailtjes die terugkomen. Er zit altijd wel een mailtje bij dat het orginele bericht heeft bijgevoegd en dan kun je gewoon aan de headers zien vanaf waar het bericht is verzonden.

[maxtrash]

Pogostokje schreef op donderdag 02 augustus 2007 @ 23:02:
Eenvoudig hulpmiddel om te zien of dit het geval is, is het volgende.
Bedenk dat een bounce als 'user does not exist' vrijwel direkt volgt op het verzenden van de mail. Daar zit geen uren tussen. Als de bounce mailtjes dus allemaal binnen zijn gekomen op een tijd dat de PC niet heeft aangestaan, dan weet je vrij zeker dat het gewoon een geleend mail adres betreft waar je schoonmoeder niks aan kan doen en waar dus de PC ook geen rol in heeft gespeeld.

bedankt. Volgens mijn schoonmoeder was het inderdaad zo dat de pc niet aanstond dus wellicht valt het allemaal mee

[LiquidSmoke]

kom het ook vaak op het werk tegen, dan gebruiken ze minimaal ons domein als het afzender domein, bloed irritant soms...

Even een virus/spyware scanner eroverheen en je weet het zeker.

Denk dat als er daadwerkelijk in korte tijd 1800 mailtjes waren versturrd ze al wel bericht van de provider hadden gehad.

[Verwijderd]

Laatst gehad met m'n xs4all account. Heeft een kleine week geduurd met dagelijks ergens tussen de 800-2000 returned mails. Is erg vervelend inderdaad maar weinig tegen te doen.

[Pogostokje]

Verwijderd schreef op vrijdag 03 augustus 2007 @ 10:12:
Is erg vervelend inderdaad maar weinig tegen te doen.

Niet helemaal.

Het verschijnsel dat je al die mail in je mailbox krijgt heet Backscatter, en er zijn mail servers die er iets tegen hebben: Bounce Address Tag Validation (BATV).

Zie bv.
http://www.altn.com/Suppo...Results/?Number=KBA-01797
http://mipassoc.org/batv/index.html