En weer een nieuwe vermomd als fax pdf?

[DJMaze]

Kreeg vandaag 2 e-mails, gelijk maar gerapporteerd aan Google.

Iemand zin om deze "fax_msg1027.scr" uit te zoeken op een Windows VM?
KNIP

[ Voor 22% gewijzigd door F_J_K op 27-10-2014 15:55 ]

[F_J_K]

Laten we hier maar geen malware uitwisselen. Dat gaat een keer verkeerd Ik haal de URL dus weg. En inderdaad, zo af en toe komen er helaas mails binnen met malware: vaak met URL of PDF (al dan niet gezipt).

Boodschap: gebruik een goed spamfilter + goede malwarescanner + nooit met adminrechten werken + belangrijkste: gezond verstand.

[DJMaze]

F_J_K ik begrijp je reactie, echter blijkt het tegenwoordig schering en inslag en dat de virusscanners ze niet herkennen omdat het steeds aangepaste varianten zijn (zoals die van PostNL)
Leek mij dus een goeie om die ".scr" bestanden (al dan niet gezipt) onder de profs te verspreiden voor een snellere adoptie van reparaties en preventie.

[Thralas]

Was het ook getarget op Nederland? Dat maakte de PostNL-run zo bijzonder, generieke 'facturen' worden al tijden verstuurd.

Overigens zie ik het probleem met het delen van malware niet. Daar geldt eveneens 'gebruik je gezond verstand'. Even zippen met password 'infected' is wel zo netjes.

[Mavamaarten]

Beste wat je kan doen is uploaden op Virustotal, die sturen samples door naar de AV-makers om te analyseren. Hier op tweakers kunnen geïnteresseerden er eens naar kijken, maar verder kunnen we er weinig mee.

[Thralas]

Mavamaarten schreef op maandag 27 oktober 2014 @ 16:16:
Hier op tweakers kunnen geïnteresseerden er eens naar kijken, maar verder kunnen we er weinig mee.

Nee? Als het een boeiende sample is (specifiek NL-targeted) en andere partijen tekort schieten (blogpost van Fox over torrentlocker miste details over de werking) of het argeloze gebruikers mogelijk klauwen vol met geld kost wil ik nog wel eens een sample reversen.

Moet het wel relevant zijn, die PostNL-run is inmiddels mosterd na de maaltijd. Maar het jeukt me dat er mensen hebben betaald voor ze uberhaupt wisten of de versleuteling degelijk in elkaar stak.

Eerdere versies van die torrentlocker waren blijkbaar brak, maar over deze run heb ik nergens gelezen hoe het nu werkelijk in elkaar stak.

Hoewel sommige writeups suggereerden dat er eerst AES-OFB met een-en-dezelfde key werd gebruikt, en men later switchte naar CBC-mode waren ook die writeups net echt duidelijk en is er natuurlijk ook geen garantie dat een 'latere' run niet alsnog een 'verouderde' versie gebruikt (iets met levendige malwarehandel)