Spam via e-mail

zaterdag 29 januari 2011 18:22

Acties:

0 Henk 'm!

Topicstarter

Hallo

Wat kan je doen tegen spam die verzonden wordt via jouw e-mailadres?

Ik heb een vriendin die dit voor heeft. Ik heb haar laten scannen met virusscanner en nog eens met malwarebytes, maar geen resultaten. Zij zei dat haar vader zei dat het virus in haar mail zat (dus in hotmail), maar dat kan toch niet?

En, als het nu toevallig is op een computer van haar zus, dan zou via het e-mailadres van haar zus toch ook spam moeten worden verzonden hé, of niet?

Ik heb haar ook gevraagd een hijackthislogje te maken:

code:

Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 17:59:05, on 29/01/2011
Platform: Windows 7  (WinNT 6.00.3504)
MSIE: Internet Explorer v8.00 (8.00.7600.16700)
Boot mode: Normal

Running processes:
C:\Program Files (x86)\EgisTec\MyWinLocker 3\x86\mwlDaemon.exe
C:\Program Files (x86)\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\Program Files (x86)\Microsoft Office\Office12\ONENOTEM.EXE
C:\Program Files (x86)\Intel\Intel(R) Rapid Storage Technology\IAStorIcon.exe
C:\Program Files (x86)\EgisTec Egis Software Update\EgisUpdate.exe
C:\Program Files (x86)\NewTech Infosystems\Acer Backup Manager\BackupManagerTray.exe
C:\Program Files (x86)\Launch Manager\LManager.exe
C:\Program Files (x86)\Internet Explorer\iexplore.exe
C:\Program Files (x86)\Internet Explorer\iexplore.exe
C:\Program Files (x86)\Google\Google Toolbar\GoogleToolbarUser_32.exe
C:\Windows\SysWOW64\Macromed\Flash\FlashUtil10l_ActiveX.exe
C:\Program Files (x86)\Internet Explorer\iexplore.exe
C:\Users\Femke\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\Z1BKAJ4C\HijackThis[1].exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://homepage.acer.com/rdr.aspx?b=ACAW&l=0813&m=aspire_5741&r=27360710b545l0494z195t44m2j805
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.be/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://homepage.acer.com/rdr.aspx?b=ACAW&l=0813&m=aspire_5741&r=27360710b545l0494z195t44m2j805
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://homepage.acer.com/rdr.aspx?b=ACAW&l=0813&m=aspire_5741&r=27360710b545l0494z195t44m2j805
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = C:\Windows\SysWOW64\blank.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
F2 - REG:system.ini: UserInit=userinit.exe
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files (x86)\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Symantec NCO BHO - {602ADB0E-4AFF-4217-8AA1-95DAC4DFA408} - C:\Program Files (x86)\Norton Internet Security\Engine\18.5.0.125\coIEPlg.dll
O2 - BHO: Symantec Intrusion Prevention - {6D53EC84-6AAE-4787-AEEE-F4628F01010C} - C:\Program Files (x86)\Norton Internet Security\Engine\18.5.0.125\IPS\IPSBHO.DLL
O2 - BHO: Windows Live Aanmelden - Help - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files (x86)\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - C:\Program Files (x86)\Google\Google Toolbar\GoogleToolbar_32.dll
O2 - BHO: SkypeIEPluginBHO - {AE805869-2E5C-4ED4-8F7B-F1F7851A4497} - C:\Program Files (x86)\Skype\Toolbars\Internet Explorer\skypeieplugin.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files (x86)\Google\GoogleToolbarNotifier\5.6.5805.1910\swg.dll
O3 - Toolbar: Google Toolbar - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\Program Files (x86)\Google\Google Toolbar\GoogleToolbar_32.dll
O3 - Toolbar: Norton Toolbar - {7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA} - C:\Program Files (x86)\Norton Internet Security\Engine\18.5.0.125\coIEPlg.dll
O4 - HKLM\..\Run: [IAStorIcon] C:\Program Files (x86)\Intel\Intel(R) Rapid Storage Technology\IAStorIcon.exe
O4 - HKLM\..\Run: [EgisTecLiveUpdate] "C:\Program Files (x86)\EgisTec Egis Software Update\EgisUpdate.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files (x86)\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [BackupManagerTray] "C:\Program Files (x86)\NewTech Infosystems\Acer Backup Manager\BackupManagerTray.exe" -h -k
O4 - HKLM\..\Run: [NortonOnlineBackupReminder] "C:\Program Files (x86)\Symantec\Norton Online Backup\Activation\NobuActivation.exe" UNATTENDED
O4 - HKLM\..\Run: [LManager] C:\Program Files (x86)\Launch Manager\LManager.exe
O4 - HKLM\..\RunOnce: [Malwarebytes' Anti-Malware] C:\Program Files (x86)\Malwarebytes' Anti-Malware\mbamgui.exe /install /silent
O4 - HKCU\..\Run: [swg] "C:\Program Files (x86)\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe"
O4 - Startup: OneNote 2007 Schermopname en Snel starten.lnk = C:\Program Files (x86)\Microsoft Office\Office12\ONENOTEM.EXE
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~2\MICROS~1\Office12\EXCEL.EXE/3000
O8 - Extra context menu item: Google Sidewiki... - res://C:\Program Files (x86)\Google\Google Toolbar\Component\GoogleToolbarDynamic_mui_en_E11712C84EA7E12B.dll/cmsidewiki.html
O9 - Extra button: In weblog opnemen - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files (x86)\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra 'Tools' menuitem: &In weblog opnemen met Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files (x86)\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra button: Send to OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~2\MICROS~1\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: S&end to OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~2\MICROS~1\Office12\ONBttnIE.dll
O9 - Extra button: Skype add-on for Internet Explorer - {898EA8C8-E7FF-479B-8935-AEC46303B9E5} - C:\Program Files (x86)\Skype\Toolbars\Internet Explorer\skypeieplugin.dll
O9 - Extra 'Tools' menuitem: Skype add-on for Internet Explorer - {898EA8C8-E7FF-479B-8935-AEC46303B9E5} - C:\Program Files (x86)\Skype\Toolbars\Internet Explorer\skypeieplugin.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~2\MICROS~1\Office12\REFIEBAR.DLL
O16 - DPF: {34DC6011-88B5-4EA9-BA7A-DC7B4F4437FE} (JordanUploader Class) - http://foto.hema.be/ips-opdata/layout/hema/objects/jordan.cab
O16 - DPF: {3D3B42C2-11BF-4732-A304-A01384B70D68} (UploadListView Class) - http://picasaweb.google.com/s/v/68.16/uploader2.cab
O16 - DPF: {C345E174-3E87-4F41-A01C-B066A90A49B4} (WRC Class) - http://trial.trymicrosoftoffice.com/trialoaa/buymsoffice_assets/framework//microsoft/wrc32.ocx
O18 - Protocol: skype-ie-addon-data - {91774881-D725-4E58-B298-07617B9B86A8} - C:\Program Files (x86)\Skype\Toolbars\Internet Explorer\skypeieplugin.dll
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~2\COMMON~1\Skype\SKYPE4~1.DLL
O23 - Service: McAfee Application Installer Cleanup (0142611296313318) (0142611296313318mcinstcleanup) - McAfee, Inc. - C:\Users\Femke\AppData\Local\Temp\014261~1.EXE
O23 - Service: @%SystemRoot%\system32\Alg.exe,-112 (ALG) - Unknown owner - C:\Windows\System32\alg.exe (file missing)
O23 - Service: Dritek WMI Service (DsiWMIService) - Dritek System Inc. - C:\Program Files (x86)\Launch Manager\dsiwmis.exe
O23 - Service: @%SystemRoot%\system32\efssvc.dll,-100 (EFS) - Unknown owner - C:\Windows\System32\lsass.exe (file missing)
O23 - Service: Acer ePower Service (ePowerSvc) - Acer Incorporated - C:\Program Files\Acer\Acer ePower Management\ePowerSvc.exe
O23 - Service: @%systemroot%\system32\fxsresm.dll,-118 (Fax) - Unknown owner - C:\Windows\system32\fxssvc.exe (file missing)
O23 - Service: GRegService (Greg_Service) - Acer Incorporated - C:\Program Files (x86)\Acer\Registration\GregHSRW.exe
O23 - Service: Google Updateservice (gupdate) (gupdate) - Google Inc. - C:\Program Files (x86)\Google\Update\GoogleUpdate.exe
O23 - Service: Google Software Updater (gusvc) - Google - C:\Program Files (x86)\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Intel(R) Rapid Storage Technology (IAStorDataMgrSvc) - Intel Corporation - C:\Program Files (x86)\Intel\Intel(R) Rapid Storage Technology\IAStorDataMgrSvc.exe
O23 - Service: @keyiso.dll,-100 (KeyIso) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: Intel(R) Management and Security Application Local Management Service (LMS) - Intel Corporation - C:\Program Files (x86)\Intel\Intel(R) Management Engine Components\LMS\LMS.exe
O23 - Service: McShield - Unknown owner - C:\Program Files\Common Files\McAfee\SystemCore\\mcshield.exe (file missing)
O23 - Service: McAfee Firewall Core Service (mfefire) - Unknown owner - C:\Program Files\Common Files\McAfee\SystemCore\\mfefire.exe (file missing)
O23 - Service: McAfee Validation Trust Protection Service (mfevtp) - Unknown owner - C:\Windows\system32\mfevtps.exe (file missing)
O23 - Service: @comres.dll,-2797 (MSDTC) - Unknown owner - C:\Windows\System32\msdtc.exe (file missing)
O23 - Service: MyWinLocker Service (MWLService) - Egis Technology Inc. - C:\Program Files (x86)\EgisTec\MyWinLocker 3\x86\\MWLService.exe
O23 - Service: @%SystemRoot%\System32\netlogon.dll,-102 (Netlogon) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: Norton Internet Security (NIS) - Symantec Corporation - C:\Program Files (x86)\Norton Internet Security\Engine\18.5.0.125\ccSvcHst.exe
O23 - Service: NTI IScheduleSvc - NewTech Infosystems, Inc. - C:\Program Files (x86)\NewTech Infosystems\Acer Backup Manager\IScheduleSvc.exe
O23 - Service: NTI Backup Now 5 Backup Service (NTIBackupSvc) - NewTech InfoSystems, Inc. - C:\Program Files (x86)\NewTech Infosystems\NTI Backup Now 5\BackupSvc.exe
O23 - Service: NTI Backup Now 5 Scheduler Service (NTISchedulerSvc) - NewTech Infosystems, Inc. - C:\Program Files (x86)\NewTech Infosystems\NTI Backup Now 5\SchedulerSvc.exe
O23 - Service: @%systemroot%\system32\psbase.dll,-300 (ProtectedStorage) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%systemroot%\system32\Locator.exe,-2 (RpcLocator) - Unknown owner - C:\Windows\system32\locator.exe (file missing)
O23 - Service: @%SystemRoot%\system32\samsrv.dll,-1 (SamSs) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%SystemRoot%\system32\snmptrap.exe,-3 (SNMPTRAP) - Unknown owner - C:\Windows\System32\snmptrap.exe (file missing)
O23 - Service: @%systemroot%\system32\spoolsv.exe,-1 (Spooler) - Unknown owner - C:\Windows\System32\spoolsv.exe (file missing)
O23 - Service: @%SystemRoot%\system32\sppsvc.exe,-101 (sppsvc) - Unknown owner - C:\Windows\system32\sppsvc.exe (file missing)
O23 - Service: @%SystemRoot%\system32\ui0detect.exe,-101 (UI0Detect) - Unknown owner - C:\Windows\system32\UI0Detect.exe (file missing)
O23 - Service: Intel(R) Management & Security Application User Notification Service (UNS) - Intel Corporation - C:\Program Files (x86)\Intel\Intel(R) Management Engine Components\UNS\UNS.exe
O23 - Service: Updater Service - Acer - C:\Program Files\Acer\Acer Updater\UpdaterService.exe
O23 - Service: @%SystemRoot%\system32\vaultsvc.dll,-1003 (VaultSvc) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%SystemRoot%\system32\vds.exe,-100 (vds) - Unknown owner - C:\Windows\System32\vds.exe (file missing)
O23 - Service: @%systemroot%\system32\vssvc.exe,-102 (VSS) - Unknown owner - C:\Windows\system32\vssvc.exe (file missing)
O23 - Service: @%SystemRoot%\system32\Wat\WatUX.exe,-601 (WatAdminSvc) - Unknown owner - C:\Windows\system32\Wat\WatAdminSvc.exe (file missing)
O23 - Service: @%systemroot%\system32\wbengine.exe,-104 (wbengine) - Unknown owner - C:\Windows\system32\wbengine.exe (file missing)
O23 - Service: @%Systemroot%\system32\wbem\wmiapsrv.exe,-110 (wmiApSrv) - Unknown owner - C:\Windows\system32\wbem\WmiApSrv.exe (file missing)
O23 - Service: @%PROGRAMFILES%\Windows Media Player\wmpnetwk.exe,-101 (WMPNetworkSvc) - Unknown owner - C:\Program Files (x86)\Windows Media Player\wmpnetwk.exe (file missing)

--
End of file - 12202 bytes

Alle hulp welkom!

zaterdag 29 januari 2011 18:26

Acties:

0 Henk 'm!

job

BramVroy schreef op zaterdag 29 januari 2011 @ 18:22:
Hallo

Wat kan je doen tegen spam die verzonden wordt via jouw e-mailadres?

Ligt eraan vanaf welke pc de spam wordt verstuurd. Stel ik verstuur post met als afzender jouw naam. Dat betekent toch niet dat jij het verzonden hebt? Een emailadres is doodeenvoudig te faken.

Ik heb een vriendin die dit voor heeft. Ik heb haar laten scannen met virusscanner en nog eens met malwarebytes, maar geen resultaten. Zij zei dat haar vader zei dat het virus in haar mail zat (dus in hotmail), maar dat kan toch niet?

Dat kan niet.
Wat wel kan is dat iemand/iets haar wachtwoord heeft weten te achterhalen en op die wijze via hotmail mail verstuurt. Kijk eens in de verzonden emails lijst op hotmail.com.

En, als het nu toevallig is op een computer van haar zus, dan zou via het e-mailadres van haar zus toch ook spam moeten worden verzonden hé, of niet?

Kan, hoeft niet.. zie hierboven.

Ik heb haar ook gevraagd een hijackthislogje te maken:

Ga eerst zelf uitzoeken waar elke regelt bijhoort.. Wij weten niet welke software er allemaal op die pc hoort.
Gebruik ook deze site om te achterhalen of er op het eerste gezicht iets raars bij zit: http://hijackthis.de/

Andere tip: zorg dat je bij de ontvangende partij de spam email kan inzien en kijk dan in de email header naar het verzendende ip adres.

[ Voor 6% gewijzigd door job op 29-01-2011 18:29 ]

zaterdag 29 januari 2011 18:27

Acties:

0 Henk 'm!

Petervanakelyen

Waarschijnlijk is een of andere spammer gewoon achter het wachtwoord gekomen en wordt er op die manier misbruik van het account gemaakt. Het HijackThis logje ziet er alleszinds redelijk normaal uit.

[ Voor 10% gewijzigd door Petervanakelyen op 29-01-2011 18:29 ]

Somewhere in Texas there's a village missing its idiot.

zaterdag 29 januari 2011 18:27

Acties:

0 Henk 'm!

r0b

BramVroy schreef op zaterdag 29 januari 2011 @ 18:22:
Hallo

Wat kan je doen tegen spam die verzonden wordt via jouw e-mailadres?

Niets.
Het probleem zit (vaak) niet lokaal op haar PC, maar op de mailserver van haar (mail)provider. Deze moeten SPF implementeren. Zolang dat niet gebeurt, kunnen anderen zich voordoen als pietje@tweakers.net.

Zie ook:
Wikipedia: E-mail spoofing
Wikipedia: Sender Policy Framework

Testen of je mailserver SPF ondersteund kan op http://www.kitterman.com/spf/validate.html

Mocht ze Hotmail/Gmail/Yahoo gebruiken dan zou ik inderdaad het advies van de heren boven mij ter hand nemen, dan is het mijn bovenstaande stuk namelijk niet van toepassing (deze drie diensten hebben SPF sowieso al toegepast.)

[ Voor 20% gewijzigd door r0b op 29-01-2011 18:31 ]

zaterdag 29 januari 2011 18:43

Acties:

0 Henk 'm!

BramVroy

Topicstarter

Bedankt voor jullie replies.

@Macintosh: het is inderdaad een hotmailaccount

Ik heb het haar net gevraagd en ze heeft haar wachtwoord al veranderd ...

Ik vraag me echt af hoe dit kan.
Volgens mij ziet het logje er ook normaal uit...

EDIT: ik heb haar gevraagd of die spam dan ook in haar outbox staat, en inderdaad! Dus iemand moet wel haar wachtwoord hebben denk ik zo..

[ Voor 22% gewijzigd door BramVroy op 30-01-2011 10:02 ]

zondag 30 januari 2011 15:14

Acties:

0 Henk 'm!

r0b

BramVroy schreef op zaterdag 29 januari 2011 @ 18:43:
EDIT: ik heb haar gevraagd of die spam dan ook in haar outbox staat, en inderdaad! Dus iemand moet wel haar wachtwoord hebben denk ik zo..

100%. Wellicht een keylogger op een andere pc of via een publieke hotspot verbinding gemaakt?

Let ook op de geheime vragen: vul juist niet een correct antwoord in, maar iets totaal ongerelateerd wat niet over je opgezocht kan worden.
("Wat is je moeder's meisjesnaam? => "Koffie met melk")
Alhoewel in dat geval het wachtwoord gewijzigd zou zijn, en het dus vrij duidelijk zou zijn. In dit geval gok ik op een keylogger / session hijack

Oh, en kies altijd voor inloggen via SSL (via):

HTTPS is now an option available to Windows Live users.

Instructions:

1. Login to your account: https://login.live.com/
2. Goto your account overview: https://account.live.com
3. Look for the 'Other Options' section
4. Choose 'Connect with HTTPS'
5. Choose 'Use HTTPS automatically'

Of, indien ze Firefox gebruikt, installeer HTTPS Everywhere.

maandag 31 januari 2011 10:40

Acties:

0 Henk 'm!

BramVroy

Topicstarter

Hey Mac, bedankt!

Maar als ik het goed begrijp kan de keylogger dus niet op haar computer staan (want dan had de virusscanner (norton) en malwarebytes het wel gevonden)? Dus eventueel via een andere computer. Maar hoe kan dit via een publiekelijke hotspot zijn gebeurd dan?

maandag 31 januari 2011 12:06

Acties:

0 Henk 'm!

-Vasa-

Wat overigens ook kan en vaak gebeurt is dat ze een phishing mail heeft gekregen voor één of andere dienst zoals facebook, hyves, e.d. daar gegevens heeft ingevuld, en ze 'toevallig' dezelfde wachtwoorden gebruikt voor al die diensten. (Zoals de meeste mensen doen)
Als je vermoed dat je wachtwoord ontdekt is moet je ELK wachtwoord wijzigen dat je hebt op elke website waar je met dat adres geregistreerd staat.

Onderwerpen