Is mijn webserver gehacked? (email van Banco do Brazil)

[frankknopers]

Hoi,

Ik vond net een berichtje in mijn mailbox waarvan ik niet precies weet wat ik ermee moet. De email is afkomstig van de Banco do Brazil. Ze beweren dat mijn server gehacked is en dat deze nu mogelijk gebruikt wordt voor frauduleuze activiteiten..

De email is naar mij verstuurd en naar de bedrijven die mij deze domeinnaam hebben verstrekt. Wat moet ik hiermee doen?

Mijn webserver staat thuis en is via router verbonden op internet. De server draait Ubuntu 8.04 en heeft de laatste updates. Een paar dagen terug heb ik mijn webserver (tijdelijk) verhuisd naar een andere computer met Windows Vista met alle updates.

Dear Sir/Madam

INDENTIFICATION:

This e-mail was sent to you by Banco do Brazil´s Computer Security Incident
Response Team (CSIRT). Banco do Brasil is the largest bank in Brazil, South
America. Our web site is located at http://www.bb.com.br.

THE INCIDENT:

We have received information that crackers may be using *your*
infrastructure to host a crimeware/trojan horse designed to steal sensitive
information (office branch, account number and PIN) from our clients.

How the fraud occurs:

1. Spam is sent to random e-mail addresses in Brazil (not necessarily using
your computers);

2. This spam sends the victim where the trojan is located (PLEASE SEE
BELOW);

3. The victim's computer is compromised by the trojan horse;

4. The trojan horse acquires sensitive information and sends data to the
cracker;

5. The cracker then impersonates our client in the official Banco do Brasil
Internet banking page and frauds the account.

Please verify if the file is, indeed, a crimeware/trojan horse and take
appropriate measures. You can use tools like Virus Total
(http://www.virustotal.com) to scan the file.

Best regards,

Banco do Brasil
CSIRT - Computer Security Incident Response Team
[e-mail] http://www.bb.com.br

The file is located at:
http://www.knopers.net/im...php?codigo=Foto_14_01.jpg

//dit is een afbeelding op het online fotoalbum van mijn webserver. Deze is normaliter alleen te bekijken als je inlogt met een account dat ik verstrekt heb. Bij de verhuizing naar een andere PC heb ik de betreffende map niet mee gekopieerd, dus vandaar dat je een 404 error krijgt als je erop klikt.

Ocorr"encia 2009-01-24_AH

Wat is hier aan de hand? Moet ik een antivirus iets installeren of is dit gewoon spam?

[ Voor 3% gewijzigd door frankknopers op 26-01-2009 19:30 ]

[CyBeR]

Kan allebei. Virusscannertje fixen is sowieso geen slecht idee.

[marcieking]

Als je dat bestand scant, zit er dan een virus in? Upload hem eens naar een aantal verschillende online antivirusdiensten en kijk wat er uit komt. Als dat clean is kun je het als spam beschouwen, anders zou ik toch even kijken of er iets met je server gebeurd is.

[frankknopers]

marcieking schreef op maandag 26 januari 2009 @ 19:29:
Als je dat bestand scant, zit er dan een virus in? Upload hem eens naar een aantal verschillende online antivirusdiensten en kijk wat er uit komt. Als dat clean is kun je het als spam beschouwen, anders zou ik toch even kijken of er iets met je server gebeurd is.

Laatst benaderde ik mijn website via google Chrome en toen kreeg ik ook opeens een waarschuwing dat mijn eigen site niet veilig was. Daar heb ik later niets meer van weer gehoord. Ik zal eens kijken of ik dat bestand kan scannen.

CyBeR schreef op maandag 26 januari 2009 @ 19:28:
Kan allebei. Virusscannertje fixen is sowieso geen slecht idee.

Heb je een goede tip voor mij? Ik heb al een beetje gegoogled en dan kom ik uit op AVG Free, maar volgens mij wordt deze niet meer ontwikkeld.

[ Voor 20% gewijzigd door frankknopers op 26-01-2009 19:34 ]

[dev10]

Heb je een goede tip voor mij? Ik heb al een beetje gegoogled en dan kom ik uit op AVG Free, maar volgens mij wordt deze niet meer ontwikkeld.

Deze wordt nog wel ontwikkeld, maar het is verstandiger om een pakket als McAfee of Norton te gebruiken.

[LuckY]

Controleer ook is de header van de email.

Tevens kan je de verdachte files uploaden via htp://virusscan.jotti.org

[ Voor 47% gewijzigd door LuckY op 29-01-2009 18:56 ]