Schuldige Adware vinden

[Stoep]

Ik wist dat ik het kon verwachten:

Toen ik een mp3 had gedownload (die ik ook via iTunes heb gekocht) bleek het een .exe bestand te zijn.
Om onverklaarbare reden heb ik deze toen geopend, en ja hoor. Internet Explorer, dat ik nooit gebruik,
gaf al gelijk een popup. Niet heel irritant, wel als ik een film wou kijken ofzo . Nouja. Na het een week
aangezien te hebben, heb ik toch maar alle programma's verwijderd. Echter nu vraag ik me af: Hoe kan het in godsnaam dat ik banners krijg van KPN.nl Telfort.nl en Mobiel.nl ? Dit lijken me toch nog redelijke bedrijven en kan me niet voorstellen dat er op de een of andere manier een link is tussen KPN en de adware maker.

Ik werk in de advertising branch dus ik weet wel hoe het werkt. Campagne id's zijn gegeven en het schijnt
dus dat het in dit geval het proces zo verloopt: Ad ware maker maakt programma (in opdracht van?) > Online advertiser verkoopt impressions en clicks aan een bedrijf als > KPN.

Ik wil eigenlijk wel weten wie die Online advertiser dan wel niet is. Iemand een tip?
Dingen die ik heb gedaan.
1) De Portable Executable gedissambled < Werd ik niet veel wijzer van
2) Gekeken of de campagneid's meer informatie gaven, het enige wat ik daaraan zag was iets als
Yielddivision wat ook een online marketeer is.

Maar ik wil het graag zeker weten, ik weet dat dit een vage vraag is. Maar heeft iemand tips? Ben benieuwd in hoe dit soort afspraken worden gemaakt, of KPN bijvoorbeeld op de hoogte van de software die gebruikt wordt e.d.

[Jester-NL]

Ik lees een heleboel verdenkingen en rare kronkels, maar weinig substantiele informatie.
Een .mp3 (gekocht via iTunes) is een .exe? Heb je iTunes hier al van op de hoogte gebracht?
Hoe heet de .exe, of het progsel dat er uit voortgekomen is? Wat heb je (uiteindelijk) gedaan tegen de adware, en dan denk ik aan de antivirus, antispyware en andere pakketten die speciaal voor dit soort problemen zijn?
Kun je ons wat meer (en praktischer) informatie geven?

[Rowdy.nl]

Jester-NL schreef op woensdag 04 november 2009 @ 15:41:
Ik lees een heleboel verdenkingen en rare kronkels, maar weinig substantiele informatie.
Een .mp3 (gekocht via iTunes) is een .exe? Heb je iTunes hier al van op de hoogte gebracht?
Hoe heet de .exe, of het progsel dat er uit voortgekomen is? Wat heb je (uiteindelijk) gedaan tegen de adware, en dan denk ik aan de antivirus, antispyware en andere pakketten die speciaal voor dit soort problemen zijn?
Kun je ons wat meer (en praktischer) informatie geven?

TS heeft iig een mp3 gedownload. (van bron x, gezien zijn probleem via limewire oid)
Die is niet via iTunes gedownload, maar TS zegt dattie dat legaal deed omdat hij dat nummer (ooit) via iTunes aangeschaft heeft.
iTunes heeft iig niks hiermee te maken...

[MsG]

Je ziet trouwens ook heel vaak dat die MSN spam, en die MSN .exe's, ook verwijzen naar die ringtoneboeren en van die ps3winnen sites. Het verbaast me niks dat onderwater veel bedrijven toch wel met zulke louche advertentiekanalen bezig zijn. Al klinkt KPN al iets meer discutabel aangezien die zijn klanten minder op die manier moet hebben.

Om trouwens niet opeens voor verrassingen te komen te staan kan je bestandsextensies aanzetten in Windows, daardoor zie je duidelijk dat het liedje dan liedje.mp3.exe heet.

[Rowdy.nl]

^^ goede tip! (voor mensen die dat nog niet hadden)

Wat TS schetst is overigens wel een interessant onderwerp. Welk zichzelf respecterend bedrijf zou zichzelf willen associëren met zulke troep? TS zal na het verwijderen bij het woord KPN denken aan "die %$!%@$ adware die door m'n film heen sprong"

[lordgandalf]

Hoe dit gaat:

1. gerespecteerd bedrijf X vraag aan gerespecteerd marketing bedrijf Y om te marketen.
2. Bedrijf Y voegt de banner van bedrijf X toe aan hun banner campains.
3. Adware maker Z maakt een account aan bij bannerboer Y.
4. Adware maker Z maakt adware die banners toont van bedrijf Y

ofwel KPN enz weten helemaal niet dat hun banners in adware zitten waarschijnlijk weet de desbetreffende bannerboer dit niet eens want voor hem ziet het er naar uit dat de adware maker gewoon veel views heeft op verschillende websites.

[Stoep]

@Rowdy.nl ; Klopt helemaal. Mss heb ik het iets te los geformuleerd.

@ndeleeuw: Maar zelfs bij de bannerboer moet de adware maker toch een website opgeven waardoor de refers lopen? Ik krijg namelijk popups van KPN.com/campaignid=??. Lijkt me dat dan KPN doorgeeft aan de bannerboer dat er een impression (view) is van die pagina. In ieder geval moet de adware op een of andere manier aan internet explorer doorgeven van welke pagina die een popup moet laten zien. Ik wil dus proberen erachter te komen hoe dit precies gebeurd. Via welke connectie dat precies gebeurd. En dan moet liefst via welke website. Hiervoor heb ik dus geprobeerd de adware te disassemblen. (Ik heb de PE header gestript) en deze om laten zetten in .asm taal. Ik weet alleen niet wat de volgende stap is.. Heeft iemand daar tips voor?

[lordgandalf]

kpn besluit wij willen op sites onze banner plaatsen en lopen naar bannerboer x om met hem een deal te maken wij leveren jouw x geld en een banner die getoond moet worden.
bannerboer x maakt een campaign aan met daarin een link naar de website van kpn en de image van die actie.
adware maker y neemt een abbo op de campaign van kpn en programmeert een programmatje dat om x minuten een banner laat zien in dit geval uit de campaign van kpn.
Iedere keer dat zijn malware getoond word of een klik krijgt dan loopt dat via de bannerboer door een stukje php code ofzo en dan naar kpn als me er op klikt.
dus in de code van de banner dat kan vanalles zijn javascript,php of asp kun je dat zien waar het niet dat die code vaak geparsed word voordat hij jouw bereikt.
dus kom je niet achter de url waar de banner naar gelinkt is je ziet alleen de url van het plaatje en de link naar de campaign van kpn.