Trojan Win32:Crypt-RNV melding

[Ontspannen]

Hoi allemaal,

Ik heb zojuist van AVG een 'threat blocked' melding gekregen.
Het zou gaan om een: Win32:Crypt-RNV[Trj] Ik was me aan
het afvragen of ik me hier zorgen om moest maken.

De melding kwam zonder dat ik naar virussen was aan het scannen.
Dus dan moet daar toch iets actief zijn geraakt. Aan de andere kant
is het schijnbaar een Win32 bestand en hoe kan dat dan op OsX?
Ik ben nu wel de mac aan het scannen.

Ik hoop dat jullie me er wat over kunnen zeggen.

Thnks

[nelizmastr]

Wat heb je zelf al gevonden hierover? Alleen neerplempen en een zinnig antwoord verwachten is niet de bedoeling

[supersnathan94]

Volgens de signature is dat een 32-bit windows cryptolocker die als Trojan wordt gezien. Zou ik me niet teveel druk over maken zolang de melding er niet legit uitzag.

[Switchie]

Ontspannen schreef op donderdag 6 april 2017 @ 19:09:
Ik heb zojuist van AVG een 'threat blocked' melding gekregen.
Het zou gaan om een: Win32:Crypt-RNV[Trj] Ik was me aan
het afvragen of ik me hier zorgen om moest maken.

Logischerwijs heb je in beginsel toch een virusscanner om (eventuele) bedreigingen tegen te houden? Waarom maak je je dan zorgen wanneer je een melding krijgt dat die virusscanner zijn taak uitvoert?

De melding kwam zonder dat ik naar virussen was aan het scannen.

Ideaal toch?

Dus dan moet daar toch iets actief zijn geraakt.

Wat snap je niet aan het woord "blocked"?

[vj_slof]

hoe kom je aan zo'n geinfecteerd bestand? is het een keygen of patch van het een of het ander?

[Ontspannen]

Bedankt voor de reacties.


Ik had zelf ook wel wat gedaan:

Eerst gekeken via link van avg voor info, maar dat was niet veel.

gezocht op Win32:Crypt-RNV[Trj] mac
gezocht op Win32:Crypt-RNV[Trj] macOs sierra
gezocht op Win32:Crypt-RNV[Trj] avg mac
gezocht op avg melding Win32 macOs

Maar ook daar vond ik niet wat ik zocht omdat ik een gedachte fout gemaakt had.

Omdat het als Win32:Crypt-RNV[Trj] geïdentificeerd werd was ik in de veronderstelling dat een windowsbestand actief werd (heb een dual boot systeem). Daarom was ik me zorgen aan het maken.
Natuurlijk kan een windowsbestand niet actief worden maar is dit een mac bestand geweest dat
toen als Win32:Crypt-RNV[Trj] is geïdentificeerd.

Het bestand had ongeveer de volgende naam: A40767A18EA31AFB3703EA10450812D06BCA44C5

Het systeem zou schoon moeten zijn van rotzooi omdat ik daar eventueel een hobby pc voor heb.

Bitdefender heb ik gedwnld en volledig laten scannen.
Door avg het bestand laten verwijderen.

In ieder geval thanks voor de reacties

[supersnathan94]

Heb je toevallig een iPhone (of iPad oid)?

Dikke kans dat je nu namelijk 1 van je back-ups hebt weggegooid. Toevallig enig idee wat de extensie van het bestand was?

[ Voor 4% gewijzigd door supersnathan94 op 07-04-2017 13:11 ]

[Ontspannen]

Naar de extensie heb ik niet naar gekeken.

Als het een backup was dan zou ik nu m'n iPad gewoon weer kunnen backupen.
Maar wel vreemd dat zo'n bestand actief zou worden zonder enige aanleiding.

[Switchie]

Ontspannen schreef op vrijdag 7 april 2017 @ 13:33:
Naar de extensie heb ik niet naar gekeken.

Als het een backup was dan zou ik nu m'n iPad gewoon weer kunnen backupen.
Maar wel vreemd dat zo'n bestand actief zou worden zonder enige aanleiding.

Het überhaupt binnenhalen lijkt me aanleiding genoeg. Zo'n virus gaat vervolgens echt geen pop-upje geven met de vraag of je hem wilt uitvoeren of niet.

[WhatsappHack]

Het bestand is niet perse schadelijk voor je Mac, maar uiteraard wel voor mensen waar je t misschien (onbewust) naar doorstuurt. Daarom geven virusscanners waarschuwingen voor virussen op alle platforms. Een beetje scanner tenminste. Heb op Windows wel eens een linux rootkit gedetecteerd en ClamAV op Linux geeft zo vaak meldingen van rotzooi die ie tegenkomt aan Windows virussen (in mail).

Het is dus niet perse een dreiging voor jou, maar wel voor andere mensen. Dus opruimen!
(En als algehele internet veiligheid je boeit moet je je er uiteraard wel zorgen om maken en niet achteloos mee omgaan. Stel je mailt t per ongeluk naar een klant op wat voor manier dan ook, ai!)

[ Voor 17% gewijzigd door WhatsappHack op 07-04-2017 23:59 ]

[Switchie]

supersnathan94 schreef op donderdag 6 april 2017 @ 22:12:
Volgens de signature is dat een 32-bit windows cryptolocker die als Trojan wordt gezien. Zou ik me niet teveel druk over maken zolang de melding er niet legit uitzag.

Nee joh, lekker negeren. Niet legit uitziende meldingen over crypto's en trojans zijn doodnormaal.

Legitiem-ogend of niet. Een dergelijke melding moet je alles behalve negeren. Loskoppelen van internet en verwijderen die troep. Zeker niet nonchalant achterover leunen zoals jij adviseert.

supersnathan94 schreef op vrijdag 7 april 2017 @ 13:11:
Heb je toevallig een iPhone (of iPad oid)?

Dikke kans dat je nu namelijk 1 van je back-ups hebt weggegooid. Toevallig enig idee wat de extensie van het bestand was?

Fles champagne voor jou als je deze bewering kunt onderbouwen!

WhatsappHack schreef op vrijdag 7 april 2017 @ 23:57:
Het is dus niet perse een dreiging voor jou, maar wel voor andere mensen. Dus opruimen!
(En als algehele internet veiligheid je boeit moet je je er uiteraard wel zorgen om maken en niet achteloos mee omgaan. Stel je mailt t per ongeluk naar een klant op wat voor manier dan ook, ai!)

Als het virus dit al niet zelf gedaan heeft
Dat het bestand in essentie een exploit in Windows wil benutten en dit trucje niet kan toepassen op Mac Os sluit imho niet direct uit dat deze geen 2e, 3e of 4e functie heeft om een simpele bijlage aan mails toe te voegen.

Wat mij betreft geld qua mogelijke virussen altijd: bij twijfel, ethernet stekkertje eruit en isoleren die boel

[supersnathan94]

Fles champagne voor jou als je deze bewering kunt onderbouwen!

Okee. Het is eigenlijk vrij simpel. De genoemde bestandsnaam is namelijk eenzelfde hexadecimale string als de iPhone backup files die ik met een korte zoektocht tegenkwam. Vandaar dat ik ook naar de extensie vroeg. Als dat bijvoorbeeld S2Mh is dan heb je een backupbestand verwijderd en was de melding dus kompleet irrelevant.

[Ontspannen]

supersnathan94 schreef op zaterdag 8 april 2017 @ 09:39:
[...]


Okee. Het is eigenlijk vrij simpel. De genoemde bestandsnaam is namelijk eenzelfde hexadecimale string als de iPhone backup files die ik met een korte zoektocht tegenkwam. Vandaar dat ik ook naar de extensie vroeg. Als dat bijvoorbeeld S2Mh is dan heb je een backupbestand verwijderd en was de melding dus kompleet irrelevant.

Welke zoekmachine heb je gebruikt?

Met google en bing kreeg ik geen resultaten.

[supersnathan94]

Ontspannen schreef op zaterdag 8 april 2017 @ 13:05:
[...]

Welke zoekmachine heb je gebruikt?

Met google en bing kreeg ik geen resultaten.

Niet. Gewoon mijn eigen mac en backups van mn iphone. Ik kan wel een screenshotje plaatsen van de bestanden die er in zo'n mapje staan. Dat zijn er een hele hoop namelijk. Allemaal netjes hexadecimaal encoded. Maar daarom vroeg ik ook naar de extensie van het bestand. Zonder dat gegeven kunnen we überhaupt al niet zoveel nuttigs zeggen.