Zoon voegt sub7 aan eigen applicatie toe? *

[Verwijderd]

hallo, ik heb de volgende vraag ;
mijn zoon heeft zelf een progammaatje gemaakt om de buzzer in msn vaker te laten gaan dan 1 of 2 keer achter elkaar. hij heeft dat op verzoek gemaakt en verstuurt, alleen geeft de firewall bij die persoon dat er een sub7 is meegestuurt. kan die sub7 met dat progammaatje mee gestuurd zijn zonder dat mijn zoon daar vanaf weet?
mvg monique

[Onbekend]

Het kan best zijn dat dat per ongeluk is gedaan, maar het kan ook opzet zijn.

Draait op jullie computer wel een virusscanner?
Zo nee, schaf die aan of download die gratis van http://www.gratissoftwaresite.nl/softwareav.php#rv1

[Verwijderd]

ik heb ook nog de volgende vraag : hoe kan ik het achterhalen of mijn zoon het zelf heeft verstuurd of dat het door derde is gedaan of dat het zichzelf in een progammaatje nesteld.
en hoe schadelijk is sub7
mvg monique

[Spike_wolf]

Sub7 is al best oud, en voor zover ik weet gaat die alleen mee als je dat zelf wil.
Die moet je zelf in een bestand inbakken..
Ik zou eens opzoek gaan op het systeem of Sub7 daar ergens geinstalleerd staat.

[Edit]
Sub7 is een hacking tool. Als de andere persoon het bestand geopend had, dan zou de dader (je zoon) toegang kunnen krijgen tot het systeem van de ontvanger.

[ Voor 28% gewijzigd door Spike_wolf op 06-10-2007 20:44 ]

[DRaakje]

http://en.wikipedia.org/wiki/Sub7

Bij mijn weten moet je het programma zelf toevoegen, en attached het zich niet uit zichzelf aan programma's.

p.s mvg aan einde is niet gebruikelijk ;-)

[Verwijderd]

ok het is dus zo; hij maakt een progammaatje met visual basic en hij moet sub7 echt toevoegen. en ja ik heb sub7 in zijn register zien staan.

[Onbekend]

Verwijderd schreef op zaterdag 06 oktober 2007 @ 21:56:
ok het is dus zo; hij maakt een progammaatje met visual basic en hij moet sub7 echt toevoegen. en ja ik heb sub7 in zijn register zien staan.

Van wie moet hij die dan toevoegen?

Sub7 is dus een z.g.n. Paard van Troje. Dat wordt gebruikt om andermans computer te misbruiken. Dat is niet toegestaan.

[Spike_wolf]

Verwijderd schreef op zaterdag 06 oktober 2007 @ 21:56:
ok het is dus zo; hij maakt een progammaatje met visual basic en hij moet sub7 echt toevoegen. en ja ik heb sub7 in zijn register zien staan.

Dan is het helemaal duidelijk.
Opzet in het spel.
Dan is het alleen de vraag hoeveel kwaad hij zelf in de zin had.
Sub7 geeft je controle over de geinfecteerde pc, je kunt hem gebruiken alsof je er zelf voor zit, dus letterlijk de muis over het scherm bewegen, CDspeler open gooien, dat soort ongein, maar als je kwaad in de zin hebt kun je dus ook at random files weg gooien en dergelijke.

Misschien eens tijd om met je zoon te gaan praten?

[Snake]

Je zoon stuurt je virussen?

Daar ging lekkker een slot op de pc.

[Verwijderd]

Verwijderd schreef op zaterdag 06 oktober 2007 @ 20:32:
alleen geeft de firewall bij die persoon dat er een sub7 is meegestuurt.

De firewall of de virusscanner? Bij de firewall zou het om een vals alarm kunnen gaan.
Ik ben een anti-virus onderzoeker, desgewenst kun je het bestand naar [e-mail] sturen en dan zal ik eens kijken of sub7 daadwerkelijk in het bestand zit.

[Onbekend]

Verwijderd schreef op zaterdag 06 oktober 2007 @ 22:11:
[...]
De firewall of de virusscanner? Bij de firewall zou het om een vals alarm kunnen gaan.

quote uit Wikipedia:
Sub7 is usually stopped by antivirus software and a firewall

Beiden dus.

[Verwijderd]

Onbekend schreef op zaterdag 06 oktober 2007 @ 22:19:
[...]


quote uit Wikipedia:
Sub7 is usually stopped by antivirus software and a firewall

Beiden dus.

Lees mijn vraag nog eens - alleen de topicstarter kan vertellen of het de firewall of de virusscanner was die de sub7 waarschuwing gaf.

[Dutch_Razor]

Upload t anders even naar virustotal.com die scant t met allerlei virusscanners eens kijken wat die zeggen.

[Spike_wolf]

Ik weet niet, maar ze heeft sub7 zelf al op het systeem gevonden... is verder niet meer echt nodig te kijken of het er echt in zat toch? Is wel duidelijk.
Het zoontje heeft S7 geinstalleerd staan. Iemand krijgt een file van hem, en de firewall/virusscanner zegt dat het geinfecteerd is met de Sub7 server.. nja.. duidelijke zaak in mijn ogen.

[Rambo]

Sub7 richt geen schade aan maar zet de pc open voor de buitenwereld. Als diegene die sub7 heeft ontvangen het programma gewoon delete is er niks aan de hand. Sowieso wordt het meteen herkend door de virusscanners...

Het valt allemaal wel mee.

[Spider.007]

Ik verplaats je topic met een titel-wijziging even naar het juiste subforum

sub7 > Zoon voegt sub7 aan eigen applicatie toe? *
CSA > BV

[melly]

Jammer dat deze post hierheen is verhuist gezien het geringe belangstelling voor dit gedeelte,maargoed.
Het betreft mijn neefje hier die nu dus wordt beschuldigt van het feit dat hij een trojan heeft verstuurd.
Is het mischien mogenlijk dat hij zelf het slachtoffer is van sub7 en dat een 3de via zijn pc die trojan verstuurd heeft?

[Spike_wolf]

melly schreef op zondag 07 oktober 2007 @ 11:14:
Is het mischien mogenlijk dat hij zelf het slachtoffer is van sub7 en dat een 3de via zijn pc die trojan verstuurd heeft?

De mogelijkheid is er, maar die is echt heel erg klein.
Het moment dat iemand een geinfecteerd systeem over neemt word dat toch wel gemerkt door het slachtoffer, onschuldige dingetjes niet, maar als jij een programma installeerd, en vervolgens bestanden gaat infecteren, dan moet het systeem lang onbeheert zijn terwijl het aan staat, en moet de dader weten waar hij moet zoeken naar bestanden die naar andere mensen gestuurd gaan worden.
Verder heeft de dader er niet veel aan als hij niet weet naar WIE het gestuurd gaat worden.
Dus de dader is of het zoontje/neefje zelf, of iemand die hem heel goed kent en weet waar hij mee bezig is.
De 2e optie lijkt mij zelf erg onwaarschijnlijk.

[SYQ]

sub7, nostalgie goeie geintjes mee uitgehaald vroeger

[gambieter]

melly schreef op zondag 07 oktober 2007 @ 11:14:
Jammer dat deze post hierheen is verhuist gezien het geringe belangstelling voor dit gedeelte,maargoed.
Het betreft mijn neefje hier die nu dus wordt beschuldigt van het feit dat hij een trojan heeft verstuurd.
Is het mischien mogenlijk dat hij zelf het slachtoffer is van sub7 en dat een 3de via zijn pc die trojan verstuurd heeft?

Hoe oud? Tijd voor een goed gesprek over de bloemetjes, de bijtjes en dat dit soort geintjes niet kunnen. Als het om een 10-jarige gaat dan is er nog de kans dat hij de implicaties niet doorhad. Als het om een 15+ gaat, dan is het tijd voor het computerslot...

[melly]

Bedankt voor jullie reacties.
Nu rest eigenlijk nog 1 vraag en dan is het denk ik wel duidelijk.
De virusscanner (of firewall) van het slachtoffer gaf echt expleciet aan dat het om sub7 ging.
Kan het toch zo zijn dat de virusscanner of firewall zich vergist en gewoon het tooltje wat mijn neefje geschreven had voor msn aangezien wordt als sub7?

(hij is overigens 14 )

[ Voor 3% gewijzigd door melly op 07-10-2007 12:27 ]

[Spike_wolf]

melly schreef op zondag 07 oktober 2007 @ 12:26:
Bedankt voor jullie reacties.
Nu rest eigenlijk nog 1 vraag en dan is het denk ik wel duidelijk.
De virusscanner (of firewall) van het slachtoffer gaf echt expleciet aan dat het om sub7 ging.
Kan het toch zo zijn dat de virusscanner of firewall zich vergist en gewoon het tooltje wat mijn neefje geschreven had voor msn aangezien wordt als sub7?

Nope.
Als de virusscanner/firewall zegt dat het sub7 was dan mag je er wel vanuit gaan dat het sub7 was.
Als dat jochie zelf wat gemaakt heeft met VB dan gaat geen enkele virusscanner dat herkennen als Sub7

[gambieter]

melly schreef op zondag 07 oktober 2007 @ 12:26:
Bedankt voor jullie reacties.
Nu rest eigenlijk nog 1 vraag en dan is het denk ik wel duidelijk.
De virusscanner (of firewall) van het slachtoffer gaf echt expleciet aan dat het om sub7 ging.
Kan het toch zo zijn dat de virusscanner of firewall zich vergist en gewoon het tooltje wat mijn neefje geschreven had voor msn aangezien wordt als sub7?

(hij is overigens 14 )

De virusscanner kan een vals alarm zijn omdat het een signatuur herkend, maar dat is onwaarschijnlijk. Als het een firewall was, dan is het zeker sub7, omdat het actief werd.

14? Maandje geen computer en verder een proeftijd van 6 maanden

[GlowMouse]

Lees even wat Schout zei:

Verwijderd schreef op zaterdag 06 oktober 2007 @ 22:11:
[...]

De firewall of de virusscanner? Bij de firewall zou het om een vals alarm kunnen gaan.
Ik ben een anti-virus onderzoeker, desgewenst kun je het bestand naar [e-mail] sturen en dan zal ik eens kijken of sub7 daadwerkelijk in het bestand zit.

Dat is de enige manier om echt zeker te weten of er sprake is van sub7, want vergissen lijkt zeker bij een firewall niet onwaarschijnlijk.

[melly]

GlowMouse schreef op zondag 07 oktober 2007 @ 12:32:
Lees even wat Schout zei:

[...]

Dat is de enige manier om echt zeker te weten of er sprake is van sub7, want vergissen lijkt zeker bij een firewall niet onwaarschijnlijk.

Yep..zou een prima optie zijn geweest ware niet dat het bestand van beide pc's verwijderd is.
Anders zou dit idd. het 1 en ander verduidelijken.
Ik begreep trouwens dat Norton aangaf dat het ging om sub7.

[ Voor 6% gewijzigd door melly op 07-10-2007 12:43 ]

[Spike_wolf]

Een heel stuk terug schrijft burgt190 dit al:

Verwijderd schreef op zaterdag 06 oktober 2007 @ 21:56:
ok het is dus zo; hij maakt een progammaatje met visual basic en hij moet sub7 echt toevoegen. en ja ik heb sub7 in zijn register zien staan.

Lijkt me al redelijk duidelijk dat het echt wel om sub7 gaat
Plus dat het een programa is dat geschreven is door een 14 jarige in VB, never nooit niet dat hij iets maakt dat een virusscanner herkent als Sub7.

Gewoon een maand geen PC geven, en daarna zorgen dat hij niks meer kan installeren ofzo.. zal hem leren dit soort ongein uit te halen.

[Verwijderd]

Spike_wolf schreef op zondag 07 oktober 2007 @ 12:28:
[...]

Nope.
Als de virusscanner/firewall zegt dat het sub7 was dan mag je er wel vanuit gaan dat het sub7 was.

(Sommige) Firewalls hebben nog wel eens de neiging om een vals alarm te geven als er een 'obscure' poort voor het een of ander wordt gebruikt. Dus daar zou ik niet bij voorbaat van uit gaan.

Als dat jochie zelf wat gemaakt heeft met VB dan gaat geen enkele virusscanner dat herkennen als Sub7

Waarom niet?

gambieter schreef op zondag 07 oktober 2007 @ 12:29:
[...]

De virusscanner kan een vals alarm zijn omdat het een signatuur herkend, maar dat is onwaarschijnlijk. Als het een firewall was, dan is het zeker sub7, omdat het actief werd.

Andersom is waarschijnlijk. Valse alarmen op Sub7 van firewalls komen nog steeds voor.
Sub7 an sich is oud dus de kans dat een virusscanner hier een vals alarm op heeft is klein(er), hoewel we nog nieuwe varianten hebben gevonden 30 augustus jongstleden. ;-)

melly schreef op zondag 07 oktober 2007 @ 12:42:
[...]


Yep..zou een prima optie zijn geweest ware niet dat het bestand van beide pc's verwijderd is.

Bewijsmateriaal vernietigen is nooit verstandig.

Ik begreep trouwens dat Norton aangaf dat het ging om sub7.

Anti-Virus of Firewall?

[gambieter]

Wat ik nog niet gezien heb is wat onze 14 jarige whizzkid/potentiele hacker ervan zegt. Waarschijnlijk was het bedoeld als een grap om iemand te kunnen plagen, en heeft hij niet doorgehad hoe dom hij bezig was. Nu is onwetendheid geen excuus, maar kan wel tot strafvermindering lijden

[Spike_wolf]

Verwijderd schreef op zondag 07 oktober 2007 @ 12:51:
[...]

(Sommige) Firewalls hebben nog wel eens de neiging om een vals alarm te geven als er een 'obscure' poort voor het een of ander wordt gebruikt. Dus daar zou ik niet bij voorbaat van uit gaan.

Lijkt me sterk dat dat progsel van hem wazige poorten gaat gebruiken, welke door een firewall gezien worden als acties van Sub7... die kans is heeeeel klein, en dat Sub7 dan nog 'toevallig' geinstalleerd staat op de pc van dat jochie.. de kans van deze 2 toevalligheden is echt 1 op de weet ik hoeveel miljoen.

[...]

Waarom niet?

Hoeveel van de code van zijn programmeerseltje zal lijken op code uit sub7? nee de kans dat zijn VB progseltje aangezien zal worden voor een sub7 server is ook één op de weet ik hoeveel miljoen

[Synch]

Wow wacht ff:

Ik zie hier een halve topic geschreeuwd worden dat onze 14 jarige een virus in een progje heeft gestopt. Dit geschreeuw begon naar aanlijding van deze zin:

ok het is dus zo; hij maakt een progammaatje met visual basic en hij moet sub7 echt toevoegen. en ja ik heb sub7 in zijn register zien staan.

Ik denk dat jullie deze zin verkeert begrijpen.

Er staat: Ok het zit dus zo; hij maakt een programmaatje met visual basic en om sub7 in het programma te krijgen moet hij sub7 zelf echt toevoegen? (ik denk vraagteken geen punt)...

Dus de ts heeft nooit gezegd dat hij de zoon het zelf in het progje heeft gestopt.

[melly]

Helaas weet ik niet of het Norton firewall of Norton antivirus was.
Hij had in VB een tooltje gemaakt waarmee je onbeperkt iemand kan buzzen in MSN.
Geen idee of hier poorten mee gemoeid zijn?

Even een verduidelijking:
Vriendje van mijn neefje vroeg aan hem hem of hij een tooltje voor hem wilde maken in VB (onbeperkt buzzen in MSN).
Dit heeft hij gemaakt en via MSN verzonden.
Hier kreeg die vriend al een virusmelding.
Wat later belt de vader van het vriendje kwaad op dat mijn neefje trojans verstuurd naar zijn zoon en dat Norton bij hem aangaf dat het om sub7 ging.
Dit wordt hem zeer kwalijk genomen en de vader neemt dit ook best hoog op.
Uiteraard ontkent mijn neefje dat hij ook maar iets met sub7 te maken heeft gehad.
Mijn neefje moest met een zoekopdracht aantonen aan zijn ouders dat er echt niets op zijn pc te vinden was wat met sub7 te maken had en toen werd er alleen iets gevonden in zijn register.
Hij had niet eerder eventueel sub7 kunnen verwijderen omdat in de tijd van het belletje tot aan de zoekopdracht hij niet alleen achter de pc heeft gezeten.

[ Voor 69% gewijzigd door melly op 07-10-2007 13:17 ]

[Spike_wolf]

ozakigames schreef op zondag 07 oktober 2007 @ 13:04:
Er staat: Ok het zit dus zo; hij maakt een programmaatje met visual basic en om sub7 in het programma te krijgen moet hij sub7 zelf echt toevoegen? (ik denk vraagteken geen punt)...

Dus de ts heeft nooit gezegd dat hij de zoon het zelf in het progje heeft gestopt.

Er is niet gezegt dat hij het er zelf in gestopt heeft.. neemt niet weg dat het er wel in gestopt moet worden. Door hem of iemand anders.
sub7 staat op z'n pc... dus of hij, of iemand anders met toegang tot die pc heeft het er in gestopt.

[ibmos2warp]

melly schreef op zondag 07 oktober 2007 @ 13:07:
Hij had in VB een tooltje gemaakt waarmee je onbeperkt iemand kan buzzen in MSN.
Geen idee of hier poorten mee gemoeid zijn?

Msn gaat altijd (naja, voor zover bekent) over poort 1863, het kan ook via port 80 gaan als msn als http verbinging maakt. Sub7 gaat over poort 27374.
Buzzers, emoticons enzovoort gaan dus over die twee poorten, niet over anderen.
Een buzzer is eigenlijk niet meer dan een commando aan een andere msn van "Hé, jij moet nu gaan trillen en zeg effe dat contactpersoon x dat heeft verzonden".

[Verwijderd]

Spike_wolf schreef op zondag 07 oktober 2007 @ 13:00:
[...]

Lijkt me sterk dat dat progsel van hem wazige poorten gaat gebruiken, welke door een firewall gezien worden als acties van Sub7... die kans is heeeeel klein,

Die kans is lang niet zo klein als je aanneemt.

en dat Sub7 dan nog 'toevallig' geinstalleerd staat op de pc van dat jochie..

Dat acht ik nog niet bewezen.

Hoeveel van de code van zijn programmeerseltje zal lijken op code uit sub7? nee de kans dat zijn VB progseltje aangezien zal worden voor een sub7 server is ook één op de weet ik hoeveel miljoen

Hoewel de kans op een vals alarm zeker in dit geval lager is bij de AV dan bij de FW, is het toch niet geheel uit te sluiten. Sub7 is antiek, tegenwoordig gebruiken de kiddies andere progs.

melly schreef op zondag 07 oktober 2007 @ 13:07:
Geen idee of hier poorten mee gemoeid zijn?

Ligt aan de implementatie. Waarschijnlijk niet.

Hier kreeg die vriend al een virusmelding.

Dat geeft aan dat het om een melding van Anti-Virus gaat, niet Firewall.
Staat het bestand misschien nog in de quarantine?

en toen werd er alleen iets gevonden in zijn register.

Wat is de precieze locatie in het register?

[engelbertus]

sub7 in het register kan ook gewoon toeval zijn. als dat het enige is dat op de pc staat dat in de verte op sub7 lijkt is het inderdaad twijfelachtig of dat wel op de pc staat.

dus er is in dat geval geen sprake van sub7 en een waarschuwing van een firewall of antivirus tool kan natuurlijk om meerdere redenen worden getrioggerd.
diir sub7 is er du sniemand mee die ergens poort 27374 durft te gebruiken, en zodra dat wel gebeurt is het dan slim mom dan meteen een larm te laten afgaan, terwijl dat niet perse ook daadwerkelijk om sub7 gaat

dat msn met slechts 2 poorten werkt ben ik het ook niet mee eens.

het is wel noodzakelijk, maar daarna kan de ene msn met de andere onderhandelen welke poorten( binnen een beriek) er vervolgens gaan owrden gebruikt voor transfers etc.

een programma dat een buzzer stuurt hoeft volgens mij alleen maar eebn bericht te sturen naar de poort waar sn op luistert, maar schrijft niet voor dat dat buzzerverzoek vanaf een bepaalde poort verzonden moet worden.

als daarvoor beijvorbeeld 27374 wordt gebruikt, dan gaat er een alarm. en wel bij de verzender, en niet bij de ontvanger
de kans dat een 14 jarige sub7 na een progsel in vb , meteen in een keer met succes aan programma toevoegt is ook al appart, o het moet wel heeeel erg eenvoudig zijn om dat te doen?

nou ja enige kennis zal er wel zijn bij die 14 jarige, anders programmeer je nietzomaar ff een programma voor die buzzers neem ik aan.

ook al is het programma er niet meer, de vb code is er waarschijnlijk nog wel ? als je dat bestand nu nog eens makt en verstuurd en de virus/firewall slaan dan geen alarm dan is duidelijk dat er de vorige keer toch iets extras is meegeonden.

(wel ff checken dat er niet een regel is toegevoegd aan de firewall, over dat programma, warin het gebruik al is toegestaan bijvoorbeeld, want dat gaat er geen alarm af.

[ibmos2warp]

engelbertus schreef op zondag 07 oktober 2007 @ 13:49:
dat msn met slechts 2 poorten werkt ben ik het ook niet mee eens.

het is wel noodzakelijk, maar daarna kan de ene msn met de andere onderhandelen welke poorten( binnen een beriek) er vervolgens gaan owrden gebruikt voor transfers etc.

Jah, dat klopt. Dat zeg ik ook (naja, niet zo duidelijk, ik bedoel het wel iig), msn kan inderdaad op een andere poort overspringen, maar dit komt niet veel voor, daarom heb ik dat er niet bij gezet. Msn maakt gebruik van veel meer poorten:[small]
• Audio and Video - dynamic ports were chosen for the audio-video (AV) stream.... using dynamically allocated UDP ports in the range of 5004 to 65535.
• Application Sharing and Whiteboard - whiteboard (WB) data uses port 1503...
• File Transfer - Both incoming and outgoing TCP connections use the range of ports from 6891 to 6900...
• Remote Assistance - TCP port 3389 is used for the TCP connection for the Remote Assistance protocol.
• TCP port 80 (the 'http' standard web port - see also Web Messenger blocking)
• TCP port 1863
• TCP port 6901 (possibly)
• TCP ports 6891 to 6900.
• UDP on ports 1503, 3389, 5004-65535
• Service: remote: 1963 and 1863 local: 1542 and 1493.
• Audio: local: 13803, 1556, 11771
• File transfer: remote: 6891 local: 1544
• Messenger Update: remote: 80 local: 1457
• Sign-In: remote: 443 local: 1484, 2400
• Remote Desktop: local/remote: 389, 522, 1503, 1720, and 1731.
bron

[Raven]

Maw, je moet ontiegelijk veel poorten open zetten (als je geen UP'nP hebt, of wil gebruiken, bedoel ik) voordat MSN goed/volledig werkt?

[ Voor 9% gewijzigd door Raven op 07-10-2007 15:52 ]

[engelbertus]

niet helemaal volgens mij. programmas kunnen na het initiele contact overspringen op andere poorten, door dat met elkaar af te spreken. een standaard nat-router blokeert niet zomaar alle poorten, maar dropt gewon verkeer dat bestemd is voor een poort waarop geen verkeer zit op het interne lan (ik bedoel dus geen upnp) dw windows firewall gebruikt zelf wel upnp dus dat is geen probleem.

de nat router kan dit doen omdat hij een tabel opbouwt die poorten op het lan koppelt aan poorten op de wanpoort. deze tabel is een 1 op 1 tabel.

komt er dus iets binnen op een poort op de wan kant die niet in de tabel staat, dan is er op het lan geen pc die communiceert via die poort, en wordt het pakket gedropt.


je hebt echter wel routers die alle poorten boven 1024 of zo standaard blokeren zodat je die inderdaad eerst open moet zetten voordat je iets kunt doen op die poorten

[Verwijderd]

melly schreef op zondag 07 oktober 2007 @ 13:07:
Helaas weet ik niet of het Norton firewall of Norton antivirus was.
Hij had in VB een tooltje gemaakt waarmee je onbeperkt iemand kan buzzen in MSN.
Geen idee of hier poorten mee gemoeid zijn?

Even een verduidelijking:
Vriendje van mijn neefje vroeg aan hem hem of hij een tooltje voor hem wilde maken in VB (onbeperkt buzzen in MSN).
Dit heeft hij gemaakt en via MSN verzonden.
Hier kreeg die vriend al een virusmelding.
Wat later belt de vader van het vriendje kwaad op dat mijn neefje trojans verstuurd naar zijn zoon en dat Norton bij hem aangaf dat het om sub7 ging.
Dit wordt hem zeer kwalijk genomen en de vader neemt dit ook best hoog op.
Uiteraard ontkent mijn neefje dat hij ook maar iets met sub7 te maken heeft gehad.
Mijn neefje moest met een zoekopdracht aantonen aan zijn ouders dat er echt niets op zijn pc te vinden was wat met sub7 te maken had en toen werd er alleen iets gevonden in zijn register.
Hij had niet eerder eventueel sub7 kunnen verwijderen omdat in de tijd van het belletje tot aan de zoekopdracht hij niet alleen achter de pc heeft gezeten.

hallo ik was niet boos,ik wilde alleen maar waarschuwen,over de gevaren van een hackprogramma

[Verwijderd]

gambieter schreef op zondag 07 oktober 2007 @ 12:55:
Wat ik nog niet gezien heb is wat onze 14 jarige whizzkid/potentiele hacker ervan zegt. Waarschijnlijk was het bedoeld als een grap om iemand te kunnen plagen, en heeft hij niet doorgehad hoe dom hij bezig was. Nu is onwetendheid geen excuus, maar kan wel tot strafvermindering lijden

nu, de 14 jarige zoon zegt dat ie het niet heeft toegevoegd, nadat zijn pc is gecrasht is hij druk bezig het progammaatje te maken wat hij voor die jongen heeft gemaakt, om ons te laten zien wat hij gedaan heeft. nadat windows weer geinstallerd was kwam ik op zijn register weer dat sub7 bestand tegen en bij dat groepje ook het progammaatje visual basic . toen heb ik weer zijn pc door zocht maar niets kunnen vinden. en dit is allemaal ondertoe zicht gebeurd.

[Verwijderd]

Misschien moet je eens in zijn logboeken kijken

[Verwijderd]

Verwijderd schreef op woensdag 10 oktober 2007 @ 17:48:
Misschien moet je eens in zijn logboeken kijken

gedaan maar niet te vinden

[zetje01]

Bedoel je met register niet verkenner?

[Verwijderd]

engelbertus schreef op zondag 07 oktober 2007 @ 13:49:
sub7 in het register kan ook gewoon toeval zijn. als dat het enige is dat op de pc staat dat in de verte op sub7 lijkt is het inderdaad twijfelachtig of dat wel op de pc staat.

dus er is in dat geval geen sprake van sub7 en een waarschuwing van een firewall of antivirus tool kan natuurlijk om meerdere redenen worden getrioggerd.
diir sub7 is er du sniemand mee die ergens poort 27374 durft te gebruiken, en zodra dat wel gebeurt is het dan slim mom dan meteen een larm te laten afgaan, terwijl dat niet perse ook daadwerkelijk om sub7 gaat

dat msn met slechts 2 poorten werkt ben ik het ook niet mee eens.

het is wel noodzakelijk, maar daarna kan de ene msn met de andere onderhandelen welke poorten( binnen een beriek) er vervolgens gaan owrden gebruikt voor transfers etc.

een programma dat een buzzer stuurt hoeft volgens mij alleen maar eebn bericht te sturen naar de poort waar sn op luistert, maar schrijft niet voor dat dat buzzerverzoek vanaf een bepaalde poort verzonden moet worden.

als daarvoor beijvorbeeld 27374 wordt gebruikt, dan gaat er een alarm. en wel bij de verzender, en niet bij de ontvanger
de kans dat een 14 jarige sub7 na een progsel in vb , meteen in een keer met succes aan programma toevoegt is ook al appart, o het moet wel heeeel erg eenvoudig zijn om dat te doen?

nou ja enige kennis zal er wel zijn bij die 14 jarige, anders programmeer je nietzomaar ff een programma voor die buzzers neem ik aan.

ook al is het programma er niet meer, de vb code is er waarschijnlijk nog wel ? als je dat bestand nu nog eens makt en verstuurd en de virus/firewall slaan dan geen alarm dan is duidelijk dat er de vorige keer toch iets extras is meegeonden.

(wel ff checken dat er niet een regel is toegevoegd aan de firewall, over dat programma, warin het gebruik al is toegestaan bijvoorbeeld, want dat gaat er geen alarm af.

mijn zoon zegt dus dat hij voor zijn progamma deze poort gebruikt. om toestemming te krijgen om het progamma te gebruiken. ik ben er van overtuigd dat hij onschuldig is mede doordat hij precies het zelfde progje maakt en ja het is misschien naief maar ik ken mijn zoon. ik plaats het script wat hij heeft gemaakt ;
Private Sub Form_Load()
Winsock1.RemoteHost = "127.0.0.1"
Winsock1.RemotePort = 27374
Winsock1.Connect
End Sub
Private Sub Timer1_Timer()
Winsock1.SendData "validate|Msn Unlimetid Buzzers"
Timer1.Enabled = False
End Sub
Private Sub Winsock1_Connect()
MsgBox "Server found busy to validate", vbInformation, "Succes"
Timer1.Enabled = True
End Sub
Private Sub Winsock1_Error(ByVal Number As Integer, Description As String, ByVal Scode As Long, ByVal Source As String, ByVal HelpFile As String, ByVal HelpContext As Long, CancelDisplay As Boolean)
MsgBox "Can't connect to the server server, possible offline", vbCritical, "Error"
End
End Sub
Private Sub Winsock1_DataArrival(ByVal bytesTotal As Long)
On Error Resume Next
Dim dat As String
Winsock1.GetData dat, vbString
If LCase(Mid(dat, 1, 2)) = "ok" Then
MsgBox "You can use the program now", vbInformation, "Succes"
Form2.Show
Unload Me
Exit Sub
End If
If LCase(Mid(dat, 1, 5)) = "notok" Then
MsgBox "You can't use the program try later again", vbCritical, "Failed"
End
Exit Sub
End If
End Sub

[sewer]

Scriptje ziet er niet echt raar uit, maar ik vraag me af ook iets met de adviezen die hier gegeven worden doet? Je reageert daar namelijk helemaal niet op.

Dus, heb je zijn programma eens op de websites http://virustotal.com/ of http://virusscan.jotti.org/ geupload, en wat gaven deze sites aan

edit:
@hieronder: had erover heen gelezen dat de progjes definitief weg waren

[ Voor 17% gewijzigd door sewer op 12-10-2007 14:14 ]

[Pavla]

sewer schreef op vrijdag 12 oktober 2007 @ 13:27:
Scriptje ziet er niet echt raar uit, maar ik vraag me af ook iets met de adviezen die hier gegeven worden doet? Je reageert daar namelijk helemaal niet op.

Dus, heb je zijn programma eens op de websites http://virustotal.com/ of http://virusscan.jotti.org/ geupload, en wat gaven deze sites aan

De originele programma'tjes waren verwijderd van beide pc's zoals de TS al aangaf. Compleet uitsluitsel kan je dus zowiezo niet meer krijgen. En iedereen kan zien dat in de 10 bovenstaande regels code geen virus zit.

[Arunia]

En na het installeren van Windows en VB stond Sub7 er ook op in het register, aannemelijk om er vanuit te gaan dat hij geen virus heeft gemaakt en door het gebruik van die poort het getriggert heeft.

[ShadowBumble]

als ik even search op ms

werken de winsock hooks

code:

Winsock1.RemoteHost = "127.0.0.1"
Winsock1.RemotePort = 27374
Winsock1.Connect

Niet met direct integers maar met variablen waarom zou hij hier zijn integers al aanroepen ?

Bron : Microsoft

Bovendien werkt norton met signature detection en niet met port detection dus als hij de sub7 poort trigger zou er niks gebeuren omdat het script niet de signature draagt hiervan ( igg niet uit de opgegvene code echter is deze niet compiled zoals aangeleverd hier. Dus eigenlijk kunnen we er nog weinig uit opmaken als de officiele compiled code niet gedebugged kan worden.

[Verwijderd]

Na de discussie gevolgd te hebben wil ik het volgende even kwijt.
ik heb heb de geschiedenis van norton anti virus bekeken van de vriend. Daar kwam sub7 naar voren
Daarna heb ik sub7 gedownload ,deze programma's kwamen overeen.
Dus kan ik maar een konclusie hebben nl: !!!!!!!

[engelbertus]

ja, na het downloaden van sub7 stond die inderdaad in de registers

[Verwijderd]

dus?????????

[Japidoff]

http://www.linklogger.com/TCP27374.htm

ik heb t topic vluchtig doorgelezen, in zie in dat progje dat hij poort 27374 gebruikt, als ik daarop google, krijg ik de indruk dat dit ook een poort is die sub7 gebruikt!

[Verwijderd]

Japidoff schreef op vrijdag 19 oktober 2007 @ 17:10:
http://www.linklogger.com/TCP27374.htm

ik heb t topic vluchtig doorgelezen, in zie in dat progje dat hij poort 27374 gebruikt, als ik daarop google, krijg ik de indruk dat dit ook een poort is die sub7 gebruikt!

Ja dat staat al in het topic. De zoon heeft na een ''crash'' van zijn computer het programma opnieuw geschreven en gezegd dat hij die poort al gebruikte. Dus... Maar volgens mij is er nu uitgekomen dat het eerder gestuurde overeen kwam met sub7.

Het lijkt me vrij duidelijk dat hij het heeft toegevoegd en er op vertrouwde dat het vriendje de software als veilig zou markeren.

[Verwijderd]

Ok, ik heb alleen de ouders willen waarschuwen en dat er dan zo'n discussie uit voort komt verbaast mij
Het is nog steeds lastig om de pc schoon te krijgen

[zwippie]

Aan het script kun je eigenlijk verrekte weinig, maar toch wel iets zien.

quote:

Visual Basic:

Private Sub Form_Load()
    Winsock1.RemoteHost = "127.0.0.1"
    Winsock1.RemotePort = 27374
    Winsock1.Connect
End Sub

Private Sub Timer1_Timer()
    Winsock1.SendData "validate|Msn Unlimetid Buzzers"
    Timer1.Enabled = False
End Sub

Private Sub Winsock1_Connect()
    MsgBox "Server found busy to validate", vbInformation, "Succes"
    Timer1.Enabled = True
End Sub

Private Sub Winsock1_Error(ByVal Number As Integer, Description As String, ByVal Scode As Long, ByVal Source As String, ByVal HelpFile As String, ByVal HelpContext As Long, CancelDisplay As Boolean)
    MsgBox "Can't connect to the server server, possible offline", vbCritical, "Error"
    End
End Sub

Private Sub Winsock1_DataArrival(ByVal bytesTotal As Long)
    On Error Resume Next
    Dim dat As String
    Winsock1.GetData dat, vbString
    If LCase(Mid(dat, 1, 2)) = "ok" Then
        MsgBox "You can use the program now", vbInformation, "Succes"
        Form2.Show
        Unload Me
        Exit Sub
    End If
    If LCase(Mid(dat, 1, 5)) = "notok" Then
        MsgBox "You can't use the program try later again", vbCritical, "Failed"
        End
        Exit Sub
    End If
End Sub

Wat gebeurt er:
- Er wordt verbinding gemaakt met server 127.0.0.1 op poort 27374
- De string "validate|Msn Unlimetid Buzzers" wordt verstuurd
- Als de server reageert met "ok" wordt het tweede formulier getoond

Wat kunnen we daar uit afleiden:
a) Misschien wordt er geconnect met 127.0.0.1 omdat zoontje nog lokaal aan het testen is, misschien niet.
b) De enige typo in het geheel is 'Unlimetid' (ipv Unlimited), duidt misschien op scriptkiddie copy/paste gedrag waar dit slechts de enige kleine aanpassing is.
c) validate zou een opdracht kunnen zijn aan een programma wat ergens stiekem in de achtergrond loopt.
d) We weten niet wat Form2 doet.


Maar goed, hij wil volgens mij toch zeker wel mensen sarren met zijn programma, dus geef hem maar een draai om zijn oren.

edit: Disclaimer: Msn (programma en protocol) ken ik zelf niet, dus misschien zie ik wat over het hoofd, maar unlimited buzzers klinkt niet meteen als de normale functionaliteit van een chat programma.

[ Voor 4% gewijzigd door zwippie op 19-10-2007 17:33 ]

[Ivo]

Wat betreft "buzzers" en MSN Messenger: De MSN Messenger client implementeert een timer die vorkomt dat je teveel buzzers verstuurt zodat de partij aan de andere kant compleet gestoord wordt. Dit wordt echter niet server-side gecontroleerd en dus kunnen andere clients wel onbeperkt veel buzzers sturen. Misschien dat dit een nieuwe irritatiepoging was, maar nu gericht op MSN Messenger-clients.

[RobIII]

ShadowBumble schreef op vrijdag 12 oktober 2007 @ 14:29:
als ik even search op ms

werken de winsock hooks
<snip>
Niet met direct integers maar met variablen waarom zou hij hier zijn integers al aanroepen ?

Waarom niet en wat is het verschil met een variabele die 27374 bevat of rechtstreeks de waarde erin zetten?

zwippie schreef op vrijdag 19 oktober 2007 @ 17:30:
Aan het script kun je eigenlijk verrekte weinig, maar toch wel iets zien.
Wat gebeurt er:
- Er wordt verbinding gemaakt met server 127.0.0.1 op poort 27374
- De string "validate|Msn Unlimetid Buzzers" wordt verstuurd
- Als de server reageert met "ok" wordt het tweede formulier getoond

Wat kunnen we daar uit afleiden:
a) Misschien wordt er geconnect met 127.0.0.1 omdat zoontje nog lokaal aan het testen is, misschien niet.

Of omdat 'ie met de lokale messenger probeert te connecten op poort 27374

zwippie schreef op vrijdag 19 oktober 2007 @ 17:30:
c) validate zou een opdracht kunnen zijn aan een programma wat ergens stiekem in de achtergrond loopt.

Nee, het validate event wordt gebruikt voor control validation en doet niks engs.
Oh, het gaat niet om het validate event In dat geval kan het ook zo zijn dat de 'tool' zich meldt bij MSN en dat je daar dan nog een 'ok' voor moet geven om 't ding te 'vertrouwen' ofzo. Ik zie hier echter ook niks engs in.

zwippie schreef op vrijdag 19 oktober 2007 @ 17:30:
Maar goed, hij wil volgens mij toch zeker wel mensen sarren met zijn programma, dus geef hem maar een draai om zijn oren.

Ik denk het juist niet; ik zie verder niets van Sub7 en ik kan me goed voorstellen dat als Sub7 toevallig dezelfde poort gebruikt een virusscanner gewoon alarm slaat omdat er iets gebeurt op die poort (of omdat vb6 een oude Winsock implementatie gebruikt bijvoorbeeld en de virusscanner het verschil niet ziet in legitieme en "sub7"-achtige dingen).

zwippie schreef op vrijdag 19 oktober 2007 @ 17:30:
edit: Disclaimer: Msn (programma en protocol) ken ik zelf niet, dus misschien zie ik wat over het hoofd, maar unlimited buzzers klinkt niet meteen als de normale functionaliteit van een chat programma.

Ik ken het protocol net zo min; ik ga er dus wel in deze post vanuit dat die poort "toevallig" door MSN en door Sub7 gebruikt wordt. Maar als ik zie hoe mensen hun pc's/auto's/desktops/whatever "pimpen" kan ik me prima voorstellen dat iemand het leuk vindt om z'n eigen MSN lekker vaak te laten buzzen...who cares als 't ding connect met 127.0.0.1? Wat dat betreft kan ik me eerder vinden in de verklaring van Ivo in "Zoon voegt sub7 aan eigen applicatie toe...". Je zou dan enkel door (in een later stadium) het localhost adres te vervangen door 'de andere kant' misschien nog dingen kunnen uithalen (lees: 'buzzen'), maar ik kan me sowieso al niet voorstellen dat dit door een firewall komt als die poort aan de andere kant gewoon dicht staat.

Neem 't van een devver aan; de code die hier in dit topic staat bevat niet, maar dan ook niets, engs.

[ Voor 11% gewijzigd door RobIII op 24-10-2007 17:27 ]

[Verwijderd]

Wil jij dan uitleggen hoe het komt dat norton sub7 herkent in het verzonden bericht.
En bij nader onderzoek blijkt dat het wel een sub7 programma is????

[Bitage]

Waarom gooi je niet gewoon een virtual machine open, pomp je het progsel erin en kijk je wat er achter schuilt.

[ShadowBumble]

RobIII schreef op woensdag 24 oktober 2007 @ 17:23:
[...]

Waarom niet en wat is het verschil met een variabele die 27374 bevat of rechtstreeks de waarde erin zetten?

He blame the sourc eniet mij dat was regelrecht copy/paste

Maar het feit blijft dat hoewel het script wat hier getoont word niks laat zien norton een signature scanner is en geen port trigger events doet.

Dus als dit het script was geweest had norton nooit over de zeik gegaan.

[alt-92]

Verwijderd schreef op zondag 28 oktober 2007 @ 20:14:
Wil jij dan uitleggen hoe het komt dat norton sub7 herkent in het verzonden bericht.
En bij nader onderzoek blijkt dat het wel een sub7 programma is????

Ik zou dan eerder met wat andere scanners (trial van Kaspersky bijvoorbeeld) kijken wat die te melden hebben, want zo'n hoge pet van NAV heb ik (met anderen) ook niet echt op.

[DataGhost]

alt-92 schreef op zondag 28 oktober 2007 @ 22:49:
[...]

Ik zou dan eerder met wat andere scanners (trial van Kaspersky bijvoorbeeld) kijken wat die te melden hebben, want zo'n hoge pet van NAV heb ik (met anderen) ook niet echt op.

Maar ALS het dan een keer WEL iets detecteert, moet het wel serieus zijn, toch?

Anyway, ook al zijn de binaries weg, kan het programma niet opnieuw gecompileerd worden met dezelfde source (ik neem aan dat deze er nog wel is)? Als er echt geen opzet in het spel is moet Norton nu weer over de zeik gaan. Als dat gebeurt kan je het bestand eens door virusscan.jotti.org heen halen. Als meer scanners het als sub7 zien is het wellicht verstandig om de sourcebestanden naar een andere (schone) computer te halen en daar te compileren. Als er werkelijk geen opzet in het spel was zal er nu niks aan de hand zijn met het bestand.

Nu ik er nog eens over nadenk zou het ook kunnen dat Norton het herkent als een sub7 CLIENT, niet als server. Er is immers alleen een uitgaande verbinding naar die poort, die is verder niet random gekozen (tijdens runtime). Welk programma zou in godsnaam naar die hardcoded poort moeten verbinden? Misschien komt het daardoor. Ik zou persoonlijk een poort als 8080 gebruiken, als poorten < 1024 kennelijk niet gebruikt kunnen worden (neem ik dan maar aan, anders zou ik het gewoon over poort 80 doen).

[chromeeh]

Is het niet gewoon dat NAV een port sentry draait en port 27374 ziet en vervolgens waarschuwd?
Want Officescan gebruikt ook die poort wel eens en sommige firewalls gaan dan ook moord en brand schreeuwen.

Heb je al een een gecompileerde versie van programma door Jottiscan gehaald?
Want ik ben persoonlijk nog wel benieuwd naar de resultaten....
Waarschijnlijk als de source port wordt aangepast naar 31337 zal NAV wss Back Orifice vinden, aangezien dat de port is voor BO.

[Verwijderd]

Zijn nu met experts aan het werk die gaan het maar uitzoeken.
Ben benieuwd wat zij zullen vinden.
Ook alle bij hem binnengekomen post wordt onderzocht.
Zodat wij dan ook meteen weten wat anderen naar hem sturen of van hem vragen.

Beginnen het wel zat te worden wat sommige mensen die jongen toewensen.

[Onbekend]

Is er dan meer aan de hand dan een persoon die aangeeft dat er Sub7 in een programma zit?

[CrankyGamerOG]

Onbekend schreef op dinsdag 27 november 2007 @ 17:11:
Is er dan meer aan de hand dan een persoon die aangeeft dat er Sub7 in een programma zit?

Verwijderd schreef op dinsdag 27 november 2007 @ 17:02:
Zijn nu met experts aan het werk die gaan het maar uitzoeken.
Ben benieuwd wat zij zullen vinden.
Ook alle bij hem binnengekomen post wordt onderzocht.
Zodat wij dan ook meteen weten wat anderen naar hem sturen of van hem vragen.

Beginnen het wel zat te worden wat sommige mensen die jongen toewensen.

jah lijk me wel als ik de laatste reply zie ?, wat is er nu precies aan de hand

want dat ze hem vanalles gaan verwensen terwijl er feitelijk nog "niks" was gebeurd vind ik wel ver gaan

[ Voor 35% gewijzigd door CrankyGamerOG op 27-11-2007 17:26 ]

[zwippie]

zwippie schreef op vrijdag 19 oktober 2007 @ 17:30:
...
Maar goed, hij wil volgens mij toch zeker wel mensen sarren met zijn programma, dus geef hem maar een draai om zijn oren.
...

Bedoel je dit als je het hebt over verwensingen? Of gaat het om ouders van vriendje van zoontje ofzo?

Want zo erg was mijn opmerking toch ook weer niet.

[Verwijderd]

Denk namelijk niet dat hij kwaad in de zin had.
Anders verstuur je zoiets toch niet onder je eigen naam.
Die jongens zaten altijd samen programma's te maken.
Met Visual Basic en zo.
Ben wel benieuwd wat de heren vinden.
Hij is nu op mijn oude computer aan de gang omdat ze de zijne meegenomen hebben.
Om helemaal na te gaan wat er allemaal heeft afgespeeld.

[Verwijderd]

zwippie schreef op dinsdag 27 november 2007 @ 19:23:
[...]

Bedoel je dit als je het hebt over verwensingen? Of gaat het om ouders van vriendje van zoontje ofzo?

Want zo erg was mijn opmerking toch ook weer niet.

Denk niet dat hij wil sarren nee.
Hij wordt zelf namelijk al genoeg gepest.
Kan dit er echt niet bij hebben hoor

[CrankyGamerOG]

Verwijderd schreef op woensdag 28 november 2007 @ 09:00:
Denk namelijk niet dat hij kwaad in de zin had.
Anders verstuur je zoiets toch niet onder je eigen naam.
Die jongens zaten altijd samen programma's te maken.
Met Visual Basic en zo.
Ben wel benieuwd wat de heren vinden.
Hij is nu op mijn oude computer aan de gang omdat ze de zijne meegenomen hebben.
Om helemaal na te gaan wat er allemaal heeft afgespeeld.

wie heeft zijn pc meegenomen , dat gaat er bij mij toch niet in !
mijn pc krijgt toch niemand zomaar mee

[pasta]

Sorry, maar ik ga dit topic toch sluiten. Het is voor ons toch iets te veel speculeren wat er nou daadwerkelijk aan de hand is/was. Er zijn genoeg vragen geweest voor opheldering, en antwoord hierop bleef maar uit. Deze laatste 'plottwist' maakt het verhaal nog vager, en zonder ophelderende redenen over het laten controleren door experts kunnen we hier nu nog verder gaan speculeren, maar dan zou het inmiddels meer op een nieuw seizoen van Lost gaan lijken dan daadwerkelijk een tech-topic in Beveiliging & Virussen.