Mail bandenconcurrent met virus

[Getest]

Beste Tweakers,

Mijn schoonmoeder heeft een email ontvangen van zogenaamd de Bandenconcurrent, over een openstaande factuur die binnen 7 dagen betaald moet worden. Helaas heeft ze het zip-bestand in de bijlage geopend ondanks dat ze het idee had dat er iets niet klopte.

Een korte Google zoek actie geeft de volgende resultaten:
http://opgelicht.avrotros...-e-mail-bandenconcurrent/

https://www.fraudehelpdes...concurrent-nl-is-malware/

Ook de echte bandenconcurrent waarschuwt hierover op hun website:

Oplichters hebben valse e-mails gestuurd namens BandenConcurrent. In de bijlage zit een .zip- of pdf bestand met kwaadaardige software.
De mail is verzonden vanaf adressen dat lijkt op dat van ons bijvoorbeeld, [e-mail]. Het echte adres van ons bedrijf eindigt op @bandenconcurrent.nl, dus zonder toevoeging van –nl, cijfers of een variant daarvan.
Advies
Gooi de mail gelijk weg. Er staat geen factuur open, dat is slechts een smoes van oplichters.

Zover ik heb kunnen achterhalen gaat het over een vorm van ransomware, maar welke variant het precies is weet ik nog niet.

Ik heb helaas maar weinig informatie over wat er precies is gebeurd, mijn schoonmoeder wist het niet goed na te vertellen. Ze had op het bestand in de bijlage geklikt, ze kreeg de vraag met welk programma ze het wilde openen en of ze dit in het vervolg altijd wilde. Welk programma dat was weet ze niet meer, maar ze heeft op OK geklikt.

Ik weet dus niet zeker of de PC is geïnfecteerd, maar ik ga er vanuit van wel. Mijn schoonouders hebben wel Bullguard draaien, maar die heeft waarschijnlijk niet ingegrepen. De PC is ongeveer 5 minuten na de besmetting afgesloten op mijn advies. Er is ooit wel een backup ingesteld, maar ik betwijfel of die nog regelmatig draait.

Afhankelijk van de weersomstandigheden ga ik later vandaag of morgen bij ze langs. Mijn idee is om een Kaspersky bootable USB stick te maken en op die manier de PC te scannen. Is dat ook de aanpak waar jullie voor zouden kiezen? Hebben jullie nog tips?

Zodra ik meer weet zal ik mijn bevindingen hier plaatsen, wie weet heeft iemand er nog wat aan.

[Baserk]

Ik zou een linux distro live draaien in het geheugen en kijken of bestanden gelezen/gekopieerd kunnen worden.
En wellicht eerst een backup van de schijf maken.
Daarna ook bijv. hier kijken: Nomoreransom.org.
De feitelijke besmetting is de volgende zorg.
Als de data is gered/gebackuped, is een clean install mijn keuze ipv met een bootable AV image gaan scannen.

[Squ1zZy]

"Zover ik heb kunnen achterhalen gaat het over een vorm van ransomware"

Als het ransomware is zou je computer gegijzeld moeten zijn in de vorm van bestanden of het OS. Hoe kom je erbij dat het een vorm van ransomware is dan?

"ze kreeg de vraag met welk programma ze het wilde openen en of ze dit in het vervolg altijd wilde"

Lijkt mij dan geen executabel. Wat kreeg ze na het klikken van ok? Een bestand wat werd geopend?

Als je het echt goed wilde doen zou je alleen de netwerk moeten ontkoppelen. Dan kan je nog een analyse los laten (ook in het geheugen).

Hier nog een tip:

Een herinstalleren wordt snel gedaan, maar dan ben ik het vaak niet mee eens. Je kunt na een herinstalleatie niet een complete analyse doen namelijk. Als je weet dat de malware je cookies heeft gestolen weet je ook dat je je wachtwoorden moet veranderen. Misschien verwijder je de malware wel door een herinstall, maar wijzig je misschien je wachtwoorden niet. Je zou echt moeten weten wat de malware gedaan heeft voor je een herinstall doet in mijn ogen.

P.s. Zet het zip bestand eens online. Dan kan ik voor je kijken wat het precies doet.

[Getest]

Squ1zZy schreef op zaterdag 7 januari 2017 @ 13:53:
"Zover ik heb kunnen achterhalen gaat het over een vorm van ransomware"

Als het ransomware is zou je computer gegijzeld moeten zijn in de vorm van bestanden of het OS. Hoe kom je erbij dat het een vorm van ransomware is dan?

Ik heb nog geen toegang tot de computer, deze is zo snel mogelijk uit gezet en moet nog naar mijn schoonouders toe. Volgens de waarschuwingen die ik vond in mijn Google zoektocht betreft het ransomware dus de PC zo snel mogelijk uitzetten lijkt een goede beslissing.

"ze kreeg de vraag met welk programma ze het wilde openen en of ze dit in het vervolg altijd wilde"

Lijkt mij dan geen executabel. Wat kreeg ze na het klikken van ok? Een bestand wat werd geopend?

Dit is wat mijn schoonmoeder vertelde, maar ze heeft er niet veel verstand van. Het was een gezipt bestand van ca 5kB. Ze probeerde het te openen en toen dat leek te lukken, gebeurde er naar zeggen niets. Dat wil natuurlijk niet zeggen dat er geen bestanden op de achtergrond werden versleuteld.

Als je het echt goed wilde doen zou je alleen de netwerk moeten ontkoppelen. Dan kan je nog een analyse los laten (ook in het geheugen).

Ik ga er vanuit dat het prima mogelijk is voor een crypto locker ransomware om offline te werken?

Hier nog een tip:

Een herinstalleren wordt snel gedaan, maar dan ben ik het vaak niet mee eens. Je kunt na een herinstalleatie niet een complete analyse doen namelijk. Als je weet dat de malware je cookies heeft gestolen weet je ook dat je je wachtwoorden moet veranderen. Misschien verwijder je de malware wel door een herinstall, maar wijzig je misschien je wachtwoorden niet. Je zou echt moeten weten wat de malware gedaan heeft voor je een herinstall doet in mijn ogen.

P.s. Zet het zip bestand eens online. Dan kan ik voor je kijken wat het precies doet.

Bedankt voor de tip, dat is een goede. Ik zal het bestand via DM linken. Ik ben ook erg benieuwd wat het virus doet. Of er daadwerkelijk toegang tot de PC is verkregen of dat inhoud van bestanden voor anderen inzichtelijk zijn geworden. Zou mij namelijk niets verbazen als er ergens een document staat met allemaal wachtwoorden. Dat geeft ook wel aan hoe goed de beveiliging is geregeld op die pc..

Maargoed aan mij de schone taak om de schade zoveel mogelijk te beperken en de PC weer schoon van virussen te krijgen.
Ik ga inderdaad proberen de bestanden op de PC te kopiëren naar een externe hdd.

[Squ1zZy]

Stuur de zip maar op. Zolang je de zip niet uitpakt is er niets aan de hand. Let wel op wat je doet zodat je niet nog een machine infecteert

"PC zo snel mogelijk uitzetten lijkt een goede beslissing"

Jazeker. Alles uit het geheugen ben je nu echter kwijt. Uiteraard is dit beter dan de machine aanlaten. Goede keuze geweest.

"Ik ga er vanuit dat het prima mogelijk is voor een crypto locker om offline te werken?"

Cryptolocker is de naam van de malware. De juiste benaming is ransomware, maar je hebt gelijk. Deze draait uiteraard door offline. Al moet je wel verdomd snel zijn als je het voor wilt zijn om alle data niet encryptie te hebben.

Ben benieuwd naar de malware. Zou die graag eens willen zien

[Getest]

Gezien de weersomstandigheden wordt het morgen dat ik naar mijn schoonouders ga. Ik laat zeker weten hoe het herstellen verloopt en waar ik tegenaan loop. Wordt vervolgd!

[Squ1zZy]

Getest schreef op zaterdag 7 januari 2017 @ 18:41:
Gezien de weersomstandigheden wordt het morgen dat ik naar mijn schoonouders ga. Ik laat zeker weten hoe het herstellen verloopt en waar ik tegenaan loop. Wordt vervolgd!

Ik kan begrijpen dat je niet graag naar je schoonouders wilt gaan, maar misschien weet je al wel wat meer?

[Squ1zZy]

Je moet wel een pleurishekel hebben aan je schoonouders
Ik voel met je mee! Als je d'r ooit komt horen we het wel

[DJMaze]

Squ1zZy schreef op vrijdag 13 januari 2017 @ 17:02:
Je moet wel een pleurishekel hebben aan je schoonouders
Ik voel met je mee! Als je d'r ooit komt horen we het wel

offtopic:
Gast, het is vrijdag de 13e en storm!

[Squ1zZy]

DJMaze schreef op vrijdag 13 januari 2017 @ 17:27:
[...]

offtopic:
Gast, het is vrijdag de 13e en storm!

Perfect moment om naar je schoonouder te gaan! Ik zie het bestand straks wel tegemoet

[Getest]

Excuses, ben de afgelopen dagen niet in staat geweest om een update te plaatsen.

Ik heb met behulp van een Kaspersky rescue disk een backup gemaakt van alle bestanden en gescand op virussen, totaal duurde dat zeker zo'n 8 uur . Lang leve USB 2.0..

Er werden 2 virussen en wat adware dingetjes gevonden. En nu komt het punt waarop mijn verhaal teleurstellend wordt; door de speciale omgeving waarin ik werkte kon ik helaas niet veel vastleggen. De virus bestanden stonden in de bestanden van Java en leken qua naamvorming erg op elkaar, veel meer weet ik niet.

Vervolgens heb ik Windows weer opgestart. Ik heb taakbeheer in de gaten gehouden om verdacht CPU gebruik in de gaten te houden, daar merkte ik niets geks maar het is een oude, voor mij onbekende PC met veel troep erop dus is meer een grove inschatting dat er niete geks gebeurde.

Ik heb nog in de mail gekeken voor het virus bronbestand, het ZIP bestand is helaas foetsie. Mijn schoonouders gebruiken POP3 en toen bleek dat ze wellicht een virus in huis hebben gehaald, is de ZIP bijlage direct verwijderd van de locatie waar die is binnengesleept, hij is uiteraard niet meer op de mailserver. Ik heb alleen een .dat bestand kunnen vinden van 8kB groot, ik weet niet precies wat het inhoudt maar heb niet het idee dat het de virus is, maar durf er ook niet echt in te duiken.

Ben nog van plan om Windows opnieuw te installeren, tot die tijd is mijn advies om de PC niet / zo min mogelijk te gebruiken. Heeft alleen aardig wat voeten in de aarde, er is veel in te stellen (mail accounts en synchronisatie, etc.) en ik ken die instellingen niet, waarschijnlijk mijn schoonouders ook niet allemaal.

Het grote manco op dit moment is vooral tijd..

[Squ1zZy]

Getest schreef op vrijdag 13 januari 2017 @ 21:11:
Het grote manco op dit moment is vooral tijd..

Je wilt niet naar je schoonouders en durf dit niet te posten omdat je bent bang dat ze meelezen.. Begrijpelijk

P.s. Ik zou een herinstall doen en je schoonouders een security awareness training geven. Hoe om te gaan met phising, hoe dit te herkennen, uitleggen dat email van bekende niet altijd veilig is etc. En als ze het niet vertrouwen dat je even meekijkt bij het openen van bijlages.

Edit: Het .dat bestand zou payload kunnen zijn of de virus zelf. Je zou kunnen kijken naar de eerste 2 bytes van het bestand, maar ik zou een scan doen, een herinstall, wachtwoorden wijzigen en het hier bij laten. Denk aan de cookies die gestolen kan zijn. Dus ik zou zeker de wachtwoorden even wijzigen en MFA aanzetten waar het kan.

[ Voor 25% gewijzigd door Squ1zZy op 14-01-2017 08:50 ]