Antivirusscherm.com

[MrDummy]

De laatste tijd krijg ik geforceerde popup melding:


De Firefox zelf wordt plotseling verkleind (zie hier rechts) en krijgt dan Engelse waarschuwingstekst in de titelbalk "WARNING.... enz" Alleen popup is opmerkelijk in het Nederlands.
Doordat alles geforceerd gebeurd is het gelijk verdacht en besluit ik via Taakbeheer meteen FF te sluiten in het geheel. Geforceerde acties zijn verboden op internet.
(zelfs X sluiten werkt niet, je wordt toch nog geleid naar hun site)

Uit McAfee usermededelingen heb ik begrepen dat het om nieuwe soort attack is. Het doet zich voor als een tool die virussen en zo voor je verwijdert. Er bestaat hele programma voor.
Maar de programma is zelf fake. Het doet net alsof ie zijn werk doet, en je moet ook nog betalen als je (valse) gevonden trojans moet weghalen.
Melding:

This is one of the many AVSystemcare(rogue security application) clone website....

The site distributes AvsystemCare Rogue Security application.

Avoid it at all cost...

McAfee Virusscanner maakt nu nog geen melding van.
Het valt op dat het even niet terugkomt als ik verder surft. Na ongeveer een week stilte begint het weer plotseling tijdens surfen. Ik heb nog niet op de banner geklikt of wat dan ook.

Een onderzoek op Google blijkt dat het vrij nieuw is. Ongeveer ruim 1 maand is het actief.
Mensen zijn er ook mee getroffen:
http://forums.breekpunt.n...archTerms=antivirusscherm
http://www.nucia.nl/forum/showthread.php?t=30200
http://forums.zita.be/showthread.php?p=1931802
http://www.aso.eu/forum/showthread.php?p=282966
Het is gebleken dat ze poging doen om via popup mensen paniek te zaaien. Vroeger deden ze al via emailspam (ongeveer half jaar terug), nu gaan ze harder tegenaan via browser.
http://www.siteadvisor.com/sites/antivirusscherm.com

De beruchte site staat zelfs doodleuk in Google Search resultaten.
Verbaast me dat het al zo lang loopt.
En als je probeert te mailen:
http://forum.fok.nl/topic/1089516/3/50#54183161
Krijg je antwoord terug met foutieve behandelingen die je niet moet doen.

Ik heb even nagekeken hoe ver ik ben getroffen. Maar ik kon niet veel vinden na het bekijken van mijn computer. Ik wijk dus iets af van anderen.

Graag wil ik meningen van anderen horen en hoe ze eenvoudig hebben opgelost. Ik kan ook paar tools installeren, maar ik heb weinig trek in en Windows XP is aardig clean, het is niet zo lang geleden geheel nieuw ingestalleerd (paar maanden oud). Ik surf zelf netjes en weet wanneer het misgaat.
Alvast dank.

Edit: https://addons.mozilla.org/nl/firefox/addon/722 heb ik gelijk erin gedaan.

[Sebazzz]

Je hebt zeker sessie herstellen aan staan?
Zo wel en zo niet, probeer dit: Firefox starten, en via de Taskmanager van Windows geforceerd afsluiten (Tabblad processen, Firefox.exe, Processtructuur beindigen, Ja, Ok).
Firefox weer starten, zal melding geven van verkeerd afsluiten, en dan op 'Nieuwe sessie starten' klikken.

[Resistor]

Het is gewoon een hele irritante popup, op mijn Windows computer heb ik hem nog nooit gezien (op een of andere manier wil die van een site heel beperkt ads weergeven), maar ik zie hem regelmatig met mijn Ubuntu computer (zelfde site) wel, en volgens mij in diverse vormen, ook met Virusschild.[nogiets] of iets wat daar op lijkt.

Ze zijn dus actief met meerdere namen.

-edit-
dokterfix.com is een andere die op de zelfde manier adverteerd.

[ Voor 9% gewijzigd door Resistor op 18-11-2007 09:51 ]

[MrDummy]

Sebazzz schreef op donderdag 15 november 2007 @ 19:48:
Firefox weer starten, zal melding geven van verkeerd afsluiten, en dan op 'Nieuwe sessie starten' klikken.

Dat doe ik altijd. Ik begin liefst helemaal nieuw.
De addon NoScript zou de ellende flink beperken omdat zulke popups altijd via Javascript gaat, je kan hiermee dan rechten bepalen of het mag uitvoeren of niet.

[ Voor 22% gewijzigd door MrDummy op 15-11-2007 19:54 ]

[jan99999]

Noscript en adblock installeren bij firefox (is een addon).

[ Voor 3% gewijzigd door jan99999 op 18-11-2007 14:04 ]

[F_J_K]

Noscript zal er inderdaad voor zorgen dat je geen last meer hebt van die onzin. En dan natuurlijk alleen alle "zeker" te vertrouwen sites in de whitelist zetten, anders mis je een hoop functionaliteiten. De rest doe je dan alleen tijdelijk aan als je het en vertrouwt en de scripts niet kunt missen.

offtopic:
Als je een adblocker installeert, vergeet dan niet de T.net ads te deblokkeren

[Brainsz]

Ik krijg soms ook van die pop-ups, meteen process-beeindigen doen.

Maar het heet niet alleen maar antivirusscherm.
Ik heb er vele gezien met Schrijfbewaker, DriveCleaner etc. Zelfde pop-up maar andere naam.

[Petervanakelyen]

Volgens mij is dit net zoals bij al die andere idiote softwarebeverijven zoals ErrorSafe, DriveCleaner en dergelijke. Ze proberen je via popups en ads naar hun website te sturen, waneer je op annuleren klikt ga je toch naar hun website, en wanneer je op de website zelf zit, proberen ze dmv allerlei "scans" aan te tonen dat je PC is geïnfecteerd. Ik heb eens een computertje ingesteld als "virusbak", en eens geprobeerd te zien wat er allemaal gebeurt:

1. Je surft en je krijgt een popup (al dan niet door andere malware) waarin staat dat je PC moet schoongemaakt worden.

2. Je klikt op OK, Annuleren of op het kruisje, maar je komt toch op de site van ErrorSafe terecht.

3. Je PC wordt zogezegd gescand, maar in werkelijkheid zet het programma allerlei adware op je computer.

4. Wanneer de "scan" voltooid is, krijg je de melding dat je PC is geïnfecteerd, en er wordt aangeraden dat je het programma installeerd om de virussen op je PC te verwijderen.

5. Wanneer je dat doet, komt er nog extra malware op je PC te staan, en moet je het programma kopen om de zogezegde trojans te verwijderen. Wanneer je dat niet doet, staat er toch al allerlei malware op de computer, die dan de installer gewoon voor jou, ongevraagd download, waarna je weer overspoeld wordt met reclame, ads, andere programma's of constant de vraag om het programma te kopen.

6. Wanneer je nu nog niet door hebt dat je besmet bent, en je nog steeds surft alsof er niets gebeurt is, is je computer een soort van internethardeschijf geworden. Als je in Internet Explorer gaat zien bij geschiedenis, staan er vanalle dingen die daar niet horen te staan, en waar je (hopelijk) niet naar gezocht hebt.

Dat is ongeveer wat er gebeurt. Wat je daarna het beste kan doen is een hamer pakken en je HDD in frut kloppen

[Brainsz]

Daarom zelfs niet op Annuleren drukken, gewoon met taakbeheren hele explorer/firefox beeindigen.
Dat is de enige manier om zeker van te zijn dat je gen troep op je pc hebt gekregen.

[FunkyTrip]

Ik druk op annuleren en vervolgens op het kruisje. Dan ga ik met de backtoets historie terug naar de pagina VOOR de popup (dat was namelijk mijn point of interest). Dan verschijnt hij niet meer (tot de volgende keer natuurlijk, overkomt me elke avond wel een keer, het kutding). Als het de variant is die ook nog eens mijn browserwindow rechtsonderin neerknalt, doe ik wel gewoon een paar keer alt+f4 want ook nog eens resizen kost me te veel tijd.

Zal me niets verbazen als er binnenkort nog zwaardere varianten 'forced popups' ontwikkeld worden waar je dat ding automatisch installeert zonder popups en ondanks je internetsecurity

[ Voor 3% gewijzigd door FunkyTrip op 20-11-2007 20:40 ]

[Sebazzz]

Lijkt me sterk dat dat ding dingen op je PC zet zonder dat je er zelf vanaf weet. Dat kan gewoon niet in een moderne browser zoals Firefox. Misschien IE6 of zelfs 7, maar in Firefox is dat niet mogelijk. Zelfs al download ie dingen automatisch wat denk ik al niet mogelijk is, dan nog kan hij die exe's niet direct uitvoeren.

[Bitage]

So true. Zijn waarschijnlijk gewoon javascript confirm-boxes ( confirm('AANDACHT: Besmetting van uw computer met virussen ... onzin blaat'); ) dus idd met NoScript ben je er vanaf.

Voor de rest wordt ik de laatste tijd doodgegooid met die MSN grap "OMG! Jij naakt!" gevolgd door een malafide link waarin je mailadres wordt meegestuurd (op een nubish manier, maar dat terzijde) waarin je gevraagd wordt om een msn.com ding te d/l'en. Irri shizzle en misleidend voor de niet wakkeren onder ons.

[Fish]

toch grappig dat iedereen via taakbeheer gaat afsluiten

terwijl taak altijd eerst een aplicatie normaal probeert te closen, equavilent aan het kruisje
als dat niet werkt kilt hij je proces
Maar doordar taakbeheer eerst normaal probeert te closen krijg je wel een close event, die meestal weer nare dingen veroorzaakt

je moet zo'n process beter killen met bijv process explorer. die kilt gelijk zonder poespas

[Bitage]

fish schreef op dinsdag 20 november 2007 @ 21:05:
toch grappig dat iedereen via taakbeheer gaat afsluiten

terwijl taak altijd eerst een aplicatie normaal probeert te closen, equavilent aan het kruisje
als dat niet werkt kilt hij je proces
Maar doordar taakbeheer eerst normaal probeert te closen krijg je wel een close event, die meestal weer nare dingen veroorzaakt

je moet zo'n process beter killen met bijv process explorer. die kilt gelijk zonder poespas

Killen kan ook gewoon door naar het Process tab te gaan van Taakbeheer en daar firefox.exe dte "dellen"

[Fish]

te dellen ....... ik kan me heel erg vergissen maar hij probeert ook daar eerst een "nette" close te doen

[Bitage]

Neen, als je het uit de lijst "Toepassingen" verwijderd, heeft het hetzelfde effect als "op het kruisje klikken". Verwijderen uit de processes tab zorgt voor een harde shutdown. Probeer maar eens met Firefox

[Fish]

ik heb hier een demotje voor je zelf geschreven in delphi ....
je zal zien dat "end task" niet onmiddelijk de aplicatie sluit

maar het leukste .. de end task zorgt ervoor dat aplicatie wat speciaals doet
in ditgeval de tijd weergeven wanneer. en als dat kan, kan alles

www.xs4all.nl/~fishbowl/got/demo.zip

unit Unit1;

interface

uses
Windows, Messages, SysUtils, Variants, Classes, Graphics, Controls, Forms,
Dialogs, StdCtrls;

type
TForm1 = class(TForm)
Label1: TLabel;
procedure FormClose(Sender: TObject; var Action: TCloseAction);
private
{ Private declarations }
public
{ Public declarations }
end;

var
Form1: TForm1;

implementation

{$R *.dfm}

procedure TForm1.FormClose(Sender: TObject; var Action: TCloseAction);
begin
form1.Label1.Caption:='Het programme heeft een close event onvangen om '+timetostr(time());
form1.Label1.Refresh;
sleep (10000);
end;

end.

moraal van het verhaal, gebruik een echte process killer

[ Voor 3% gewijzigd door Fish op 20-11-2007 21:41 ]

[Bitage]

Ik waardeer het echt dat je een Delphi app maakt om je standpunt te bewijzen, echter, als ik het sluit met het Process tab krijg ik geen stop-melding te zien: http://media.putfile.com/Project1exe

[Fish]

aha ...

ik zie nu het verschil .. ik heb altijd aangenomen dat het gedrag vanuit de process tab hetzelfde was
als die van de aplicaties.

weer wat geleerd tnx.

de app was 2 minuten werk hoor

[Exitium]

Nieuwe oplossing! Heb hier zelf al een maand of twee geregeld last van. Virusscans, Hijack This logs gemaakt en laten checken, Ad-aware en Spybot laten checken, niets hielp. Was toen ook nog nauwelijks iets over te vinden, dus werd langzamerhand gek. Net via google op deze topic gestuit, vanavond maar even die addons installeren dan.

[Petervanakelyen]

Sebazzz schreef op dinsdag 20 november 2007 @ 20:43:
Lijkt me sterk dat dat ding dingen op je PC zet zonder dat je er zelf vanaf weet. Dat kan gewoon niet in een moderne browser zoals Firefox. Misschien IE6 of zelfs 7, maar in Firefox is dat niet mogelijk. Zelfs al download ie dingen automatisch wat denk ik al niet mogelijk is, dan nog kan hij die exe's niet direct uitvoeren.

Hmm, het gaat dan wel over IE6, maar ik heb het nogmaals opnieuw geprobeerd, en mijn virusscanner geeft direct melding van adware in de Temp folder. Het wordt ook uitgevoerd.

[Brainsz]

Hoewel ik vista bagger vind, maar wel gebruik. Merk ik dat ie veel meer dingen zoals opstart-programma's, cookies en scripted dingen tegenhoud.
Het is heel irritant om steeds een bevestiging voor je neus te krijgen van een programma die wilt runne. Maar zo hou je nog iets tegen.

En hoezo mensen het vaak via taakbeheer afsluiten? Omdat je zulke pop-ups nooit kan vertrouwen, wie zegt dat het knopje Annuleren ook echt annuleren is????
Het kan net zo goed zo geprogrammeerd zijn dat ie juist troep op je pc smijt als je op annuleren drukt.

[hessel]

dit vond ik http://www.security.nl/ar...cteerde_advertenties.html

en http://www.security.nl/ar..._online_advertenties.html

[FunkyTrip]

Brainsz schreef op woensdag 21 november 2007 @ 13:48:
En hoezo mensen het vaak via taakbeheer afsluiten? Omdat je zulke pop-ups nooit kan vertrouwen, wie zegt dat het knopje Annuleren ook echt annuleren is????
Het kan net zo goed zo geprogrammeerd zijn dat ie juist troep op je pc smijt als je op annuleren drukt.

Kweenie of dit mogelijk is. Het lijkt een gewone standaard message box te zijn en niet zo'n fake ding. Meestal herken je dat als overal in de box de muiswijzer zo'n handje is.

[Verwijderd]

Ik werk met IE en ik heb er ook last van de 'schrijfbewaker'.

Ik ben een leek in computers.

Is er een eenvoudige manier om dit te verwijderen ?

mvg

[Onbekend]

Sebazzz schreef op dinsdag 20 november 2007 @ 20:43:
Lijkt me sterk dat dat ding dingen op je PC zet zonder dat je er zelf vanaf weet. Dat kan gewoon niet in een moderne browser zoals Firefox. Misschien IE6 of zelfs 7, maar in Firefox is dat niet mogelijk. Zelfs al download ie dingen automatisch wat denk ik al niet mogelijk is, dan nog kan hij die exe's niet direct uitvoeren.

Dit is ook mogelijk met Firefox. Echter, de kans is een stuk minder.


Ik heb hier namelijk ook last van gehad. (Surf alleen met Firefox.)
Ik heb eerst Adaware gedraait, en daarna Spybot 2x. De bestanden die Spybot niet kon verwijderen heb ik handmatig verwijderd.
Nu heb ik er i.i.g. geen last meer daarvan.

[Mar2zz]

Ik was benieuwd of ik dit ook kon "oplopen" dus ben ff naar die website gegaan (uiteraard met meerdere security-addons ingeschakeld). Staat een prachtig staaltje nederlands taal op:
Ons bedrijf doet alles om de meest doeltreffende veiligheidsoplossingen aan onze klanten te bezorgen die tegelijk zeer handig een gebruikersvriendelijk zijn. Daarom kunnen onze klanten van een aantal GRATISCHE, maar hierdoor niet minder kwalitatieve diensten genieten

En de volgende pagina:
Uw huidige antivirusbescherming is niet effectief!

Ik wil weten waar je dit virus/trojan hebt opgelopen, dan kan ik er ff mee gaan testen en kijken hoe ie weg moet. Het gekke is: Als je op download nu op hun pagina klikt dan begint ie niet met downloaden (had ik wel verwacht) maar dan willen ze gegevens hebben voor de betaalwijze van het produkt.

Zowel in IE6 en 7 als in Firefox laadt de site geen gevaarlijke dingen, ook zegt het in beide niets over besmetting, wel dat mijn antivirus niet effectief zou zijn, maar dat is ongevaarlijk verder. Dit loop je dus ergens anders op.

Kan iemand me vertellen waar dit op te lopen valt of waar ik die scan kan doen die zou beweren dat mijn pc besmet is? Of is dit iets wat geinstalleerd moet worden? Zoiets wat misschien gratis pr0n beloofd ofzo? Dus TS, wees eens eerlijk, wat heb je geinstalleerd waarna dit op je pc kwam? Of wou je wat hackertools of cracks ergens weghalen?

[ Voor 24% gewijzigd door Mar2zz op 24-11-2007 09:34 ]

[Petervanakelyen]

Mar2zz schreef op zaterdag 24 november 2007 @ 09:16:
Ik was benieuwd of ik dit ook kon "oplopen" dus ben ff naar die website gegaan (uiteraard met meerdere security-addons ingeschakeld). Staat een prachtig staaltje nederlands taal op:
Ons bedrijf doet alles om de meest doeltreffende veiligheidsoplossingen aan onze klanten te bezorgen die tegelijk zeer handig een gebruikersvriendelijk zijn. Daarom kunnen onze klanten van een aantal GRATISCHE, maar hierdoor niet minder kwalitatieve diensten genieten

En de volgende pagina:
Uw huidige antivirusbescherming is niet effectief!

Ik wil weten waar je dit virus/trojan hebt opgelopen, dan kan ik er ff mee gaan testen en kijken hoe ie weg moet. Het gekke is: Als je op download nu op hun pagina klikt dan begint ie niet met downloaden (had ik wel verwacht) maar dan willen ze gegevens hebben voor de betaalwijze van het produkt.

Zowel in IE6 en 7 als in Firefox laadt de site geen gevaarlijke dingen, ook zegt het in beide niets over besmetting, wel dat mijn antivirus niet effectief zou zijn, maar dat is ongevaarlijk verder. Dit loop je dus ergens anders op.

Kan iemand me vertellen waar dit op te lopen valt of waar ik die scan kan doen die zou beweren dat mijn pc besmet is? Of is dit iets wat geinstalleerd moet worden? Zoiets wat misschien gratis pr0n beloofd ofzo? Dus TS, wees eens eerlijk, wat heb je geinstalleerd waarna dit op je pc kwam? Of wou je wat hackertools of cracks ergens weghalen?

Je moet geluk hebben Als je gewoon wat rondsurft en foutief googled op ErrorSafe ofzo, kom je uiteindelijk wel op die popup. Je moet niet per se malware op je PC hebben staan voor je die popup krijgt. Als je dan op OK of Annuleren klikt begint de site een "scan" te doen.

Trouwens, als je gewoon naar de site surft zal je die dingen niet krijgen !

Zie ook: Winantivirus, Drivecleaner, Trojan.Metajuan spyware

[Bezulba]

Brainsz schreef op woensdag 21 november 2007 @ 13:48:
Hoewel ik vista bagger vind, maar wel gebruik. Merk ik dat ie veel meer dingen zoals opstart-programma's, cookies en scripted dingen tegenhoud.
Het is heel irritant om steeds een bevestiging voor je neus te krijgen van een programma die wilt runne. Maar zo hou je nog iets tegen.

En hoezo mensen het vaak via taakbeheer afsluiten? Omdat je zulke pop-ups nooit kan vertrouwen, wie zegt dat het knopje Annuleren ook echt annuleren is????
Het kan net zo goed zo geprogrammeerd zijn dat ie juist troep op je pc smijt als je op annuleren drukt.

waarom zou de popup zelf niet al dingen geinstalleerd hebben? de tijd die het kost om een process te annuleren kan er al een hoop geinstalleerd zijn...

i am paranoid but am i paranoid enough

[Mar2zz]

Ik heb even foutief gegoogled, maar mijn virusscanner grijpt dus netjes in bij het volgende bestand:
C:\DOCUME~1\MARS&J~1\LOCALS~1\Temp\0i1h2wwl.exe. Bij poging 2 op een andere site:
C:\DOCUME~1\MARS&J~1\LOCALS~1\Temp\6jeuz8z5.exe. De bestandsnaam is dus volstrekt willekeurig. Ik gebruik Avast Home Edition Free.
Die willekeurige .exe's zitten verstopt in ErrorSafeScannerSetup2222.exe en ErrorSafe_43264.exe.

Krijg het dus niet eens gedownload. Mocht je dit dus op je pc krijgen dan zou een bootscan van Avast het herkennen en weghalen lijkt me.

Het zijn vrij normale freeware/shareware/downloadsites waar je het "gewoon" kan downloaden alsof het echt een antispywarescanner zou zijn. Via brothersoft.com en softpicks.net heb ik geprobeerd te downloaden, maar dat lukt dus niet omdat mijn Avast ingrijpt. Dit zijn dus sites die wat mij betreft in ieders blocklist gaan, zo ook in de mijne.

[ Voor 10% gewijzigd door Mar2zz op 24-11-2007 13:05 ]

[matel]

M'n broertje had een soortgelijk bericht op zijn pc. Had ineens andere startpagina, stuk of drie programma's op de achtergrond die erbij waren gekomen etc. Gewoon even handmatig nalopen (verwijderen/schonen wat kan), scannen met Adaware en daarna AVG Antispyware. Volgens mij is de pc nu alweer enige tijd clean

[Verwijderd]

Verwijderd schreef op zaterdag 24 november 2007 @ 08:47:
Ik werk met IE en ik heb er ook last van de 'schrijfbewaker'.

Ik ben een leek in computers.

Is er een eenvoudige manier om dit te verwijderen ?

mvg

up

[FunkyTrip]

Maar de vraag is dus:

* Als je die popup krijgt en je sluit hem met kruisje/annuleren/alt+f4/proces e.d. en
* Je sluit de vervolgmelding ook met kruisje/alt+f4 enzo

Staat er dan iets op je pc geinstalleerd of niet? Het lijkt mij dat het gewoon een irritante popup is die je browser resized/je van je huidige pagina afhaalt en je tot 2-3 keer toe moet cancellen voor hij echt weg is.

Ik heb hier het idee dat mensen stellen "Als je de popup krijgt, dan ben je geinfecteerd",

[Sebazzz]

Zo stellen mensen het ook. Maar met moderne browsers die Firefox en Opera heten gebeurd zoiets niet. Hoogtens dat zo'n geinfecteerd bestand (plaatje, swf file) gedownload word naar een temp map maar uitgevoerd kan nooit. Dat zou in ieder geval niet mogelijk moeten zijn.

[FunkyTrip]

Sebazzz schreef op maandag 26 november 2007 @ 09:10:
Zo stellen mensen het ook. Maar met moderne browsers die Firefox en Opera heten gebeurd zoiets niet. Hoogtens dat zo'n geinfecteerd bestand (plaatje, swf file) gedownload word naar een temp map maar uitgevoerd kan nooit. Dat zou in ieder geval niet mogelijk moeten zijn.

Dat bedoel ik dus. Als zoiets wel uitgevoerd zou worden, zouden er al honderdduizenden van dit soort virussen rondwaren en is vrijwel geen enkele website meer veilig. Volgens mij is het niets meer dan een hardnekkige popup die je gewoon weg kunt klikken (en nog een keer... en dan moet je je pagina waar je mee bezig was weer helemaal opnieuw zien te vinden...en dat maakt het zo irri)