Terugkerend virus op zowel android, iOs en os X

Pagina: 1
Acties:

Acties:
  • 0 Henk 'm!

  • huub8
  • Registratie: Maart 2009
  • Laatst online: 28-06-2021
Sinds een paar weken begonnen hier in huis problemen op twee android telefoons waarbij steeds meer popups verschenen tijdens het browsen en bijvoorbeeld de video's hier op tweakers vervangen werden door schimmige reclames die doorverwezen naar even schimmige websites. Dit waren twee android telefoon (een nexus en een galaxy s4).

Het nare was toen al dat het niet verdween na een factory reset, en dus naar mijn weten wel in de root moet zijn gekomen. De stock firmware opnieuw erop zetten is nog niet geprobeerd (geen tijd gehad).

Ik ging er zelf vanuit dat het wellicht via popcorn time was binnengekomen, aangezien het op beide telefoons was gedownload, maar ca 1,5 week geleden dook het ook op op mijn windows 10 laptop. Avg gaf toen aan dat er iets als adware7 (ik herinner me de naam niet precies meer) gevonden was. Omdat avg het er niet af kreeg heb ik toen voor de zekerheid windows teruggebracht naar de fabrieksinstellingen, waarna het een tijdje weg leek. Een paar dagen later keerde het echter weer terug, waarbij avg nu MalSign.Generic.ABF aangeeft.

Op een andere laptop van een huisgenoot is het virus ongeveer tegelijk ook opgedoken, en ook teruggekomen na een factory reset. Nog weer een andere laptop waar het ook opdook lijkt nu schoon te zijn na windows via een usb stick helemaal opnieuw te installeren, maar dit is heel kort geleden gedaan en het lijkt steeds een tijdje te duren voor de systemen opnieuw besmet raakten.

Wat mij helemaal verbaaste is dat ik er vandaag achterkwam dat dezelfde popups en dergelijke ook op de iphone en macbook van weer een andere huisgenoot verschijnen. Voor zover ik kan bedenken hebben we geen bestanden of iets anders gedeeld tussen de android/windows apparaten en de apple apparaten. Het enige dat ik kan bedenken dat we delen is het wifi netwerk, dat met een goed wachtwoord (lang en wpa) is beveiligd. Kan het op de een of andere manier via wifi zijn verspreidt of kennen jullie een andere verklaring?

Alvast bedankt!

Acties:
  • +1 Henk 'm!

Anoniem: 16328

Check de instellingen van je router. Misschien heeft de malware je DNS gewijzigd waardoor je vaak en op verschillende computers wordt doorgestuurd naar een andere website of vreemde advertenties krijgt. Je moet inloggen op je router, staat vermeld in het boekje van je ISP (internetprovider bijv. Ziggo of KPN) of op de website. Vervolgens zoek je naar DNS instellingen. Als de instelling staat op dynamic DNS dan is er geen probleem. Als er manual of static servers staan dan moet je deze checken tegen de door de provider opgegeven DNS servers. Als er een probleem is met de DNS server, deze dus zijn veranderd door onbekenden, is het slim om je wachtwoord te veranderen en een reset van de modem uit te voeren.

Acties:
  • +1 Henk 'm!

  • DJMaze
  • Registratie: Juni 2002
  • Niet online
Er zijn ook zat routers met beveiligingsgaten. Zorg dat je de nieuwste firmware hebt.

Maak je niet druk, dat doet de compressor maar


Acties:
  • 0 Henk 'm!

  • huub8
  • Registratie: Maart 2009
  • Laatst online: 28-06-2021
Ik kan mij niet herrineren of ik of een huisgenoot deze gegevens een keer heeft aangepast, maar het staat niet allemaal op automatisch.

We hebben een ziggo router/modem, waarvan de router uitstaat. Daaraan zit een edimax met de volgende instellingen:

http://i.imgur.com/Rg8GebM.jpg

Daaraan zit boven nog een router (dlink) waar ik zo snel niet ik kan komen (ken het ip adres niet), ik weet ook niet zeker of de router functie hiervan aan of uit staat.

Zijn er nog andere verklaringen naast een verpeste router?

[ Voor 7% gewijzigd door huub8 op 14-03-2016 22:04 ]


Acties:
  • 0 Henk 'm!

  • True
  • Registratie: April 2011
  • Niet online

True

Dislecticus

huub8 schreef op maandag 14 maart 2016 @ 22:02:
Ik kan mij niet herrineren of ik of een huisgenoot deze gegevens een keer heeft aangepast, maar het staat niet allemaal op automatisch.

We hebben een ziggo router/modem, waarvan de router uitstaat. Daaraan zit een edimax met de volgende instellingen:

http://i.imgur.com/Rg8GebM.jpg

Daaraan zit boven nog een router (dlink) waar ik zo snel niet ik kan komen (ken het ip adres niet), ik weet ook niet zeker of de router functie hiervan aan of uit staat.

Zijn er nog andere verklaringen naast een verpeste router?
Nee het je is verpeste router, zie je wel aan het eerste DNS adres terug: 217.12.218.114.
http://whois.domaintools.com/217.12.218.114

person: Dmitry Deineka
remarks: Please use abuse mailbox for any reports about network abuse. Thank you.
address: Zornitsa district Suite 1
address: Nessebar, Burgas reg.
address: Bulgaria 8240

>:)

VW ID.7 Tourer Pro S | 5670 Wp JA Solar - 14x405 33° op Zuid | Twente


Acties:
  • 0 Henk 'm!

  • HyperioN
  • Registratie: April 2003
  • Laatst online: 24-05 15:42
Staat dat 217.12.218.114 adres daar bewust? Reverse lookup verwijst naar "forza5.me" - daar heb ik in elk geval nog nooit van gehoord.
Lijkt me dus niet helemaal de bedoeling.
Haal die eens weg.. 8.8.8.8 en 8.8.4.4 zijn Google DNS-servers, die zijn prima.

Je kunt ook de DNS op automatisch zetten, dan krijg je een DNS-server van je provider.

Acties:
  • 0 Henk 'm!

  • Crazy JoJo
  • Registratie: December 2009
  • Laatst online: 09:31
In dat plaatje zie je bij DNS1 een cijfer staan, deze kan je veranderen in een openDNS server:

208.67.222.222 of 208.67.220.220

Don't Worry, Be Happy


Acties:
  • 0 Henk 'm!

  • Thralas
  • Registratie: December 2002
  • Laatst online: 10:46
huub8 schreef op maandag 14 maart 2016 @ 22:02:
We hebben een ziggo router/modem, waarvan de router uitstaat. Daaraan zit een edimax met de volgende instellingen:

http://i.imgur.com/Rg8GebM.jpg
Die eerste is naar alle waarschijnlijkheid rogue.

$ whois 217.12.218.114

% Information related to '217.12.218.0 - 217.12.218.255'

% Abuse contact for '217.12.218.0 - 217.12.218.255' is 'abuse@uaservers.net'

inetnum:        217.12.218.0 - 217.12.218.255
netname:        ITL-CST-BB2
remarks:        INFRA-AW
descr:          VDS/VPS/DEDICATED subnet
country:        NL


Krijg er alleen zo 1-2-3 geen poisoned records uit. Zal wel enkel met specifieke record gebeuren.
Zijn er nog andere verklaringen naast een verpeste router?
Nee.

Acties:
  • 0 Henk 'm!

  • huub8
  • Registratie: Maart 2009
  • Laatst online: 28-06-2021
Ok in ieder geval fijn om te weten. Is het mogelijk dat een van de geinfecteerde apparaten de router opnieuw kan aanpassen mocht er nog een apparaat zijn waar we het "vergeten" af te halen?

De problemen zijn in ieder geval nog aanwezig na dns1 te veranderen, dus zal ik ook wel iets op de apparaten zijn geinstalleerd?

[ Voor 25% gewijzigd door huub8 op 14-03-2016 22:12 ]


Acties:
  • 0 Henk 'm!

  • True
  • Registratie: April 2011
  • Niet online

True

Dislecticus

huub8 schreef op maandag 14 maart 2016 @ 22:10:
Ok in ieder geval fijn om te weten. Is het mogelijk dat een van de geinfecteerde apparaten de router opnieuw kan aanpassen mocht er nog een apparaat zijn waar we het "vergeten" af te halen?
Ja. Maar het is maar de vraag of de router van binnenuit geïnfecteerd is en niet van buiten af.
  1. DNS adres in router aanpassen.
  2. Veilig wachtwoord op router gooien(minimaal 20 tekens lang, geen pers. gegevens).
  3. Firmware googlen en kijken of er een update is, die eventueel updaten.
  4. Voor de zekerheid overal even een fatsoenlijke scan overheen halen.

VW ID.7 Tourer Pro S | 5670 Wp JA Solar - 14x405 33° op Zuid | Twente


Acties:
  • 0 Henk 'm!

  • Crazy JoJo
  • Registratie: December 2009
  • Laatst online: 09:31
Ik weet niet of dat mogelijk is, misschien dat iemand anders dat weet. Je kan voor de zekerheid altijd de inloggegevens van je Edimax router veranderen (ander wachtwoord voor admin). En zoals DJMaze al aangaf kan je even kijken of je een nieuwe firmware op je router kan installeren.

Don't Worry, Be Happy


Acties:
  • 0 Henk 'm!

  • DJMaze
  • Registratie: Juni 2002
  • Niet online
True schreef op maandag 14 maart 2016 @ 22:13:
Ja. Maar het is maar de vraag of de router van binnenuit geïnfecteerd is en niet van buiten af.
Zet elke vorm van toegang van buitenaf uit!

Dan blijft alleen nog de CSRF malware in je webbrowser over.

Maak je niet druk, dat doet de compressor maar


Acties:
  • 0 Henk 'm!

  • HyperioN
  • Registratie: April 2003
  • Laatst online: 24-05 15:42
Sowieso inderdaad je admin pasword veranderen. Maar dat wil niet zeggen dat je daarmee zeker goed zit; het kan namelijk ook zijn dat de malware een lek in de router-software gebruikt (waardoor het admin-password dus omzeilt wordt).
Ik heb het al eerder gezien.. Sowieso dus ook op de site van je routerfabrikant kijken of er nieuwere firmware beschikbaar is; en die dan erop zetten.
Hier een artikeltje over wat waarschijnlijk gebeurt is:
If the attack is successful, the router's primary DNS server is set to one controlled by attackers and the secondary one, which is used as a failover, is set to Google's public DNS server.
Wil niet zeggen dat exact dit bij TS gebeurt is, maar artikel gaat over soortgelijke hijack.

Acties:
  • 0 Henk 'm!

  • Thralas
  • Registratie: December 2002
  • Laatst online: 10:46
DJMaze schreef op maandag 14 maart 2016 @ 22:18:
Dan blijft alleen nog de CSRF malware in je webbrowser over.
Bingo.

An Exploit Kit dedicated to CSRF Pharming
DNS are now changed to : 217.12.202.93
$ whois 217.12.202.93

% Abuse contact for '217.12.202.0 - 217.12.202.255' is 'abuse@uaservers.net'

inetnum:        217.12.202.0 - 217.12.202.255
netname:        OURNET-UA-NET
descr:          ITLDC-BG
descr:          Sofia, Bulgaria
descr:          Abuse reports send to abuse@layer6.net
country:        BG


Reeks is van dezelfde toko. Zou me niet verbazen als het dezelfde groep criminelen is.

Acties:
  • 0 Henk 'm!

  • redfoxert
  • Registratie: December 2000
  • Niet online
Controleer na de wijziging of je bij een reboot van een pc/laptop ook de juiste DNS instellingen hebt. Als dit niet het geval is dan is je router misschien wel gerepareerd maar je clients dus nog niet (DHCP settings kunnen afwijken van de router instellingen!)

https://discord.com/invite/tweakers


Acties:
  • 0 Henk 'm!

  • D4NG3R
  • Registratie: Juli 2009
  • Laatst online: 12:52

D4NG3R

kiwi

:)

redfoxert schreef op maandag 14 maart 2016 @ 22:24:
Controleer na de wijziging of je bij een reboot van een pc/laptop ook de juiste DNS instellingen hebt.
Aanvullend hier op, controleer ook even de hostfiles van alle devices. Al acht ik de kans klein dat deze aan is gepast als er geen daadwerkelijke malwareinfectie is geweest.

Komt d'r in, dan kö-j d’r oet kieken


Acties:
  • 0 Henk 'm!

  • DJMaze
  • Registratie: Juni 2002
  • Niet online
Thralas schreef op maandag 14 maart 2016 @ 22:23:
Bingo.
Reeks is van dezelfde toko. Zou me niet verbazen als het dezelfde groep criminelen is.
Yep dat is hem ;)
Maar.... "Consumentenbond klaagt dat Samsung hun Android phones moet updaten ivm beveiliging"
Ik vind het eerder van de zotte dat niemand van die club klaagt over router updates en beveiliging die bijna geen een consument uitvoert.

Ah ja natuurlijk, je moet nooit met de vinger naar je leden wijzen, dan raak je ze kwijt. |:(

Wel gelijk zelf even mijn Draytek firmware (OpenWRT) gecheckt.
Had dus een update gemist om SSLv3 uit te schakelen.
Tja, zo snel gaat dat dus.

[ Voor 11% gewijzigd door DJMaze op 14-03-2016 22:53 ]

Maak je niet druk, dat doet de compressor maar


Acties:
  • 0 Henk 'm!

  • DJMaze
  • Registratie: Juni 2002
  • Niet online
Ik weet je wachtwoord! het is: 1234
Staat in hun handleiding op internet: http://www.edimax.us/html/Faq/FAQ_router_password.htm

[ Voor 10% gewijzigd door DJMaze op 14-03-2016 22:55 ]

Maak je niet druk, dat doet de compressor maar


Acties:
  • 0 Henk 'm!

  • huub8
  • Registratie: Maart 2009
  • Laatst online: 28-06-2021
ja die kende ik ook, helaas initieel door een ander niet veranderd.

Acties:
  • 0 Henk 'm!

Anoniem: 16328

Thralas schreef op maandag 14 maart 2016 @ 22:23:
[...]


Bingo.

An Exploit Kit dedicated to CSRF Pharming


[...]


$ whois 217.12.202.93

% Abuse contact for '217.12.202.0 - 217.12.202.255' is 'abuse@uaservers.net'

inetnum:        217.12.202.0 - 217.12.202.255
netname:        OURNET-UA-NET
descr:          ITLDC-BG
descr:          Sofia, Bulgaria
descr:          Abuse reports send to abuse@layer6.net
country:        BG


Reeks is van dezelfde toko. Zou me niet verbazen als het dezelfde groep criminelen is.
Inderdaad er staat daar ook dat ze altijd Google fallback DNS gebruiken zodat de gebruiker in elk geval altijd verbonden is. Dat is hier hetzelfde.

Acties:
  • 0 Henk 'm!

  • DJMaze
  • Registratie: Juni 2002
  • Niet online
huub8 schreef op maandag 14 maart 2016 @ 23:00:
ja die kende ik ook, helaas initieel door een ander niet veranderd.
Nou dan is het dus de CSRF. Heb je mooi weer wat geleerd over beveiliging :)

1. Maak een wachtwoord van minimaal 12 tekens (makkelijkst een zin zoals: ItTakes1PCToLogin)
2. Schrijf het op een briefje
3. Plak dat onderop de router

Maak je niet druk, dat doet de compressor maar

Pagina: 1