Het YaHa / Virus I-Worm.Lentin.g topic

[tiguan]

Ik krijg me toch een hoop meldingen binnen van dit virus. Niet normaal meer, elke 5 minuten 5 mailtjes de geinfecteerd zijn.

[eNaSnI]

Hahahaha arme jij. Dan ben je dus wel errug populair dat je adres zo bekend is

[Justice]

Results for: i-worm.lentin.g
No results were found for your search.
Try changing some of the words in your query.

Norton kent het virus niet?

[MADG0BLIN]

Google kan ook niets vinden hierover.

[We Are Borg]

Op vrijdag 21 juni 2002 12:01 schreef eNaSnI het volgende:
Hahahaha arme jij. Dan ben je dus wel errug populair dat je adres zo bekend is

Is systeembeheerder ofzo Heb hier ff gekeken, norton kent het idd niet. Nog iemand met mcafee

[Masselink]

Is het die Valentine variant ?

wat is de tekst in het mailtje/subject ?

[tiguan]

Nee ik ben niet zelf het slachtoffer, ik krijg deze meldingen van onze mailserver (ben beheerder).

Maar enkele voorbeelden zijn:

Fw: Bullshit Love to watch !!
Fw: Savatage
Fw: Cool Friendship to check !
Fw: Wonderfool Friendship to check


Wel grappig dat het allemaal 'zgn.' forwarders zijn.
Het zijn overigens allemaal .scr (screensaver) bestanden als attachments.

En ik snap ook niet waarom onze mailserver zulke rare beschrijvingen aan het virus geeft, ik kan ze ook nooit vinden. Gebruik MDaemon met Kaspersky MailScan.

[bloody]

is dat geen alias voor YaHa??
http://www.sophos.com/virusinfo/analyses/w32yahae.html

[topic=530593/1/25]

[eNaSnI]

http://support.centralcommand.com/cgi-bin/command.cfg/php/enduser/std_alp.php?p_sid=4HP_Ycig&p_lva=020305-000011&p_li=&p_page=1&p_prod_lvl1=%7Eany%7E&p_cat_lvl1=%7Eany%7E&p_search_text=lentin&p_new_search=1&p_search_type=3&p_sort_by=dflt

[tiguan]

Heftig virusje. Maar ik ben veilig

[vandijk]

http://www3.ca.com/Virus/Virus.asp?ID=12380

[blackd]

Oh die YaHa... stuurt die weer met een ander mail adres willekeurig uit je lijst ofzo? Ik krijg allemaal bounce berichten van berichten die ik nooit gestuurd heb, maar wel op mijn naam staan Heel vreemd allemaal.

[MaNDaRK]

Uit topic:
[topic=530593/1/25]

Door Quasi3 - vrijdag 21 juni 2002 10:45

Removaltool voor YAHA:

http://www.bitdefender.com/html/free_tools.php

Suc6 met verwijderen... het is echt een pokke virus gelukkig dat ik het niet heb! :

[GandalfTheGrey]

maar hij runt het m toch niet automatisch alleen als je zo stom bent om die .scr te openen...

[mlevd]

Kreeg net een mailtje van het KPN cyber-centre waar ons inetrnet- en emailverkeer langs gaat over dit virus:

To help identify the virus:

Scanner 3 (NAI Virus Scan) reported the following:

/var/qmail/queue/split/0/113157_2MA-OCTET-STREAM_werfriends.scr
Found the W32/Yaha.g@MM virus !!!

Dit is dus een notificatie die ik krijg als iemand mij een virus stuurt en onderschept wordt.

[Attilla]

Mijn vader heb dit virus (denk ik)

Maar hij heb een uptodate virusscan enzow en ik heb hem wel wijs gemaakt om niets te openen.

En toch wordt er nu onder zijn naam dingen verstuurd.

Hij had net 1200 bounce mails in zun box het lijkt me sterk dat hij zoveel mensen in zun adres boek heb.

En xs4all dreigt nu met afsluiten enz enz grz

[Anoniem: 49350]

ik heb sophos antivirus en die herkende hem als yaha-d,
en er is gisteren een update geweest voor yaha-e
en nu wordt hij herken als yaha-e

[Anoniem: 55788]

hi ik krijg ook steeds blokeer berichten van het kaartenhuis dat ik een mail heb gestuurd naar die ronot ofzow terwijl ik niks heb gestuurd en een keer van dit:Uw bericht (Fw: goldfish) is geblokkeerd omdat u een bestand heeft meegestuurd dat de
geadresseerde niet kan ontvangen.


______________________________________________________
ik heb niemand een mail gestuurd die zo heet heel raar?

[Anoniem: 1688]

norton antivirus vangt hem meteen.

The email attachment TRMPROT.zip.pif is infected with the W32.Yaha.F@mm virus.
The file was quarantined.

nix gebeurd hiero...
I love the virusscanner

[Anoniem: 49239]

hem em net ook binnengrkegen vertrouwde het al niet, weggegooit, ben clean

[InSaNiTy_nl]

hmzz ik heb hem ook gehad alleen mcafee gaf een andere naam

exploit-mime.gen.b is het dezelfde of zitten er twee in een mailtje?

[Anoniem: 40595]

kan hem niet openen
telkens gooit mijn virusscanner hem weg.

[Anoniem: 49239]

Is ook de bedoeling Dutchtubby

[GandalfTheGrey]

Op vrijdag 21 juni 2002 20:00 schreef [MYC]CBS het volgende:
norton antivirus vangt hem meteen.

The email attachment TRMPROT.zip.pif is infected with the W32.Yaha.F@mm virus.
The file was quarantined.

nix gebeurd hiero...
I love the virusscanner

ik draai ook NAv2002 met nieuwste defs, maarem.. als je m niet opent doet ie ook niks, ik bedoel in de preview pane dan, bij klez altijd meteen pop-up, nu niet? laad deze niet auto??

zijn bat files of .scr bij mij..

Ik heb Hotmail account en gepatchte Outlook Express 6

[Anoniem: 2355]

Vexira Antivirus for Windows 95/98/Me/NT/2000/XP Workstations
Lentin virus is bij Vexira bekend.


Details:
--------
Name: Worm/Lentin
Alias: <none>
Type: Internet Worm
Discovered: 17-02-2002
Size: ~21KB


Description:
------------
Worm/Lentin is an Internet worm that arrives as a Valentine's Day screensaver, Valentin.scr. It spreads by retrieving e-mail addresses from the Windows Address Book, as well as, from addresses found in cached webpages.

The worm arrives through e-mail in the following format:

Subject: Fw: Melt the Heart of your Valentine with this beautiful Screen saver
Body: Hi
Check this screen saver
Happy Valentines day
<recipient>

Attachment: valentin.scr

If executed, the worm copies itself in the \Recycled\ directory under the filenames "Msmdm.exe" and "Msscra.exe". It also modifies the following registry key:

HKEY_CLASSES_ROOT\exefile\shell\open\command
@="\" %1 %*"
@="\"c:\\recycled\\msmdm\" %1 %*"

**This modification allows it to run each time another executable file is ran.

[Anoniem: 46713]

het virus verwijdert natuurlijk niet alle exe's maar saboteert de verwijzing naar .exe's zodat er een melding komt.

[Anoniem: 46713]

Virus onschadelijk gemaakt, door in veilige modus regedit.exe naar regedit.scr te hernoemen.

[Binnetie]

Ik had al eerder een topic geopend over dat ik norton niet kan installen, dat komt dus door dit virus!
Ik heb een systeem herstel gedaan en norton opnieuw proberen te installeren en nu met suc6!

Ik ben nu mijn hele systeem aan het scannen en hij heeft nog geen virus gevonden... misschien is dit ook wel een oplossing...

[Anoniem: 35432]

ik word er ook onderhand stront ziek van, zet vandaag me mail client aan, krijg ik fucking 47 mailtjes binnen van de zelfde persoon, allemaal da virus, gister ook al de hele dag.. ik wil zijn email adres blokken bij de provider.. is dat mogelijk ? ? ik word er stront ziek van, moet steeds bij norton dat virus verwijderen en dan de mailtjes verwijderen. .echt irri .

[Anoniem: 56026]

Een record! 29 virusmails in 2 minuten

[fleppuhstein]

Ik heb het virus gehad, verwijderd ik was dus door het dolluh en dacht dat ik was gered, ik kan nu alleen geen msn outlook, of kazaa openen, en zelfs regedit kan ik niet openen ? iemand die tips heeft ik kan nergens iets vinden over dit probleem

[Anoniem: 46713]

Dat komt door een registry verwijzing.
Ga in veilige modus naar de windows map en rename regedit.exe naar regedit.scr
want alle exe's worden nu dus met een niet bestaand prog geopend.
Ga nu naar HKEY_CLASSES_ROOT\exefile\shell\open\command en verwijder daar alle dingen die je tegen komt.
/edit het virus wil dus het .exe bestand openen met een progamma dat er niet meer is.
/edit2 je moet ook via je opstartdiskette de bestanden in je recycled verwijderen. Hiervoor moet je zorgen dat je attrib op je bootdisk hebt staan, dit staat er standaard niet op

[HooGLaNDeR]

sjit, je was met net voor

[fleppuhstein]

thnx mates, alles draait nu weer zoals het hoort.

[BreadFan]

* BreadFan had er gisteren 4

Maar ik was gisteravond bij een collega, die had er op 3 adressen in totaal 65

Van http://vil.mcafee.com/dispVirus.asp?virus_k=99528 :

Virus Information:

Date Discovered:
6/15/2002

Date Added:
6/19/2002

Origin:
Unknown

Length:
29,839 bytes

Type:
Virus

SubType:
Internet Worm

DAT Required:
4208

Mcafee gebruikers, hier dus ff heen.

[Padje]

Ik heb er totaal 75 gehad en nog steeds komen ze binnen

Ze komen alleen in me bluk mail terecht van hotmail dan.

[RocketKoen]

Op vrijdag 21 juni 2002 21:09 schreef InSaNiTy_nl het volgende:
hmzz ik heb hem ook gehad alleen mcafee gaf een andere naam

exploit-mime.gen.b is het dezelfde of zitten er twee in een mailtje?

http://vil.nai.com/vil/content/v_99273.htm

[Dirk J]

Ik krijg er de laatste tijd ook enorm veel...
Gelukkig heb ik linux, dus nergens last van

[DjGeRo]

K heb der ook last van idd KUT mails zoon dertig ofzo per dag

Word er ziek van man

[RUFFNECK]

ff hulpvraagje. Ik weet dat er in deze thread wat ideeen/oplossingen gegeven zijn voor het verwijderen van dit yaha virus, maar ik probeer bij een vriendin van me het virus te verwijderen.
Doe ik volgens de methode die op de site van symantec beschreven staat hier: leesmij

Kunnen jullie dit lezen en kijken of het allemaal klopt? Met name dat stukje over het copieeren van regedit.exe, klopt dat wel??
Na de nodige wijzigingen in de register, reboot ik zoals gezegd, maar als ik weer in windows kom kan d'r NAV nog steeds niet starten en in de register lijkt het alsof er niks veranderd is (de recycle bin waarde is er weer).

Iemand een idee?

[Anoniem: 45366]

http://www.bitdefender.com/html/free_tools.php


ik heb vandaag door simpelweg deze tool te draaien (vanaf de site niet downloaden) pc bij vriendin schoongepoetst

overigens moest het losstaande bestand kitkat nog wel met de hand worden verwijderd.
In het register niets hoeven aan te passen dus

[RUFFNECK]

Op zaterdag 22 juni 2002 19:33 schreef nickles het volgende:
http://www.bitdefender.com/html/free_tools.php


ik heb vandaag door simpelweg deze tool te draaien (vanaf de site niet downloaden) pc bij vriendin schoongepoetst

overigens moest het losstaande bestand kitkat nog wel met de hand worden verwijderd.
In het register niets hoeven aan te passen dus

Hoezow vanaf site niet downloaden? De removal tool is ook een .src ??

[besmart]

Ik krijg op mijn eigen server ook vaak meldingen. Viel nog mee op me andere mailserver dat daar weinig op kwam. Sommige gasten heb ik mooi in de badrcpthost gegooid. Opzouten

Hopelijk is deze virusvloed binnenkort weer afgelopen. Hoppakee naar de volgende variant

[Anoniem: 45366]

als je die url opent krijg je scherm met een aantal tools

ziet er zo uit
Virus Name Virus Info Free Antidot
Win32.Yahaa.E@mm info AntiYahaa.scr
Win32.Worm.Benjamin info AntiBenjamin.exe
Win32.Klez info AntiKlez(A,D,E,H).exe

(en dan in een een netjes overzicht)


je klikt die bovenste aan (rechtse) ziet er dan uit alsof je een file wilt gaan downloaden)
keuze openen van locatie of opslaan op schijf
wanneer je kiest voor openen van locatie, dan krijg je een scherm met een button SCAN wijst zichzelf eigenlijk

succes met cleanen en vraag gerust verder als je vast zit

* Anoniem: 45366 moet toch eens leren hoe nette plaatjes te maken in een post sorry!

[RUFFNECK]

Op zaterdag 22 juni 2002 19:42 schreef nickles het volgende:
als je die url opent krijg je scherm met een aantal tools

ziet er zo uit
Virus Name Virus Info Free Antidot
Win32.Yahaa.E@mm info AntiYahaa.scr
Win32.Worm.Benjamin info AntiBenjamin.exe
Win32.Klez info AntiKlez(A,D,E,H).exe

(en dan in een een netjes overzicht)


je klikt die bovenste aan (rechtse) ziet er dan uit alsof je een file wilt gaan downloaden)
keuze openen van locatie of opslaan op schijf
wanneer je kiest voor openen van locatie, dan krijg je een scherm met een button SCAN wijst zichzelf eigenlijk

succes met cleanen en vraag gerust verder als je vast zit

* Anoniem: 45366 moet toch eens leren hoe nette plaatjes te maken in een post sorry!

Ah dank u
Ik ga et later wel weer proberen. Hoorde net dat de .src ook gewoon een soort scan uitvoert

[Anoniem: 45366]

ehm ja ik had het misschien beetje ongelukkig gepost.

zat zelf ook raar naar die .scr te kijken als TOOL.

overigens werkt het via mozilla NIET (wel via i-explorer)

[Anoniem: 40595]

Op vrijdag 21 juni 2002 21:12 schreef ThaQuick het volgende:
Is ook de bedoeling Dutchtubby

aha dus toch iets wat goed werkt dan ?????
maar dat bedoelde ik er dus niet mee, ik wilde het even gaan bekijken om te zien hoe het opgebouwd is.
het heeft dus en bat en een scr bestand.

[FastBunny]

Ik krijg echt veel van die mailtjes de laatste tijd. Allemaal van verschillende. Herkent Notron 2001 dat virusje

Niet dat ik zo stom ben geweest om die attachments te openen maar toch

[RRX]

ik krijg ze gelukkig alleen bij me hotmail:

Fw: goldfish

[..]

filename="goldfish.gif.pif"

[Anoniem: 46713]

Hotmail detect het virus nog steeds niet

[Anoniem: 35948]

Op zaterdag 22 juni 2002 22:55 schreef fdamasta het volgende:
Hotmail detect het virus nog steeds niet

Das ook de reden dat veel mensen 'em gewoon gaan openen uit nieuwsgierigheid en daardoor verspreid dat geintje zich uiteraard, waardoor er nu al velen last van hebben.

[Tweetyfrk]

Ik had hem ook dacht ik, blijkt het leuke te zijn dat aangezien ik me recycled bin uit heb staan, de hele dir niet bestaat!! dus heb gewoon de regkey weggegooid, en nooit ergens last van gehad. Het vervelende is trouwens wel dat hotmail ze verder stuurt zonder dat je ook maar iets opent trouwens hoor. Want ik kreeg mijn eerste mailtjes 's nachts, en toen ik 's ochtends me comp opstartte kreeg ik meteen 3 mensen over me heen dat ik niet zoveel irri mailtjes moest sturen, terwijl me comp dus uitstond!

[Tweetyfrk]

Op zaterdag 22 juni 2002 19:33 schreef nickles het volgende:
http://www.bitdefender.com/html/free_tools.php


ik heb vandaag door simpelweg deze tool te draaien (vanaf de site niet downloaden) pc bij vriendin schoongepoetst

overigens moest het losstaande bestand kitkat nog wel met de hand worden verwijderd.
In het register niets hoeven aan te passen dus

Ok, negeer vorige post, ik heb deze tool ff gebruikt en er zijn me toch wat files infected joh

En nu ben ik er dus achter waarom, dit virus verbergt ook mijn recycled dir. Hidden files staat bij mij altijd uit, maar toch liet hij vrolijk geen c:\recycled zien, en dat cleantooltje gooit net een zoot files eruit weg

AAHHHH, nou heb ik echt een probleem, nadat dat tool klaar was moest ik dus me pc restarten en nadat ik dat gedaan had wou me pc nix meer opstarten, maar alles downloaden vanaf me eigen pc!!! en als ik dan openen deed, kreeg ik zelfde dialoogje weer

[Anoniem: 44172]

ik heb me pc ook al opnieuw moeten instaleren

echt een klote ding ik krijg allemaal meeltjes... je hebt een virus

of je hebt een virus naar me gestuurt en nou is me computer stuk smerige (mijn naam) betalen zul je

en dan mail ik vriendelijk dit topic door

[Anoniem: 44172]

Op zondag 23 juni 2002 03:01 schreef Tweetyfrk het volgende:

[..]

Ok, negeer vorige post, ik heb deze tool ff gebruikt en er zijn me toch wat files infected joh

En nu ben ik er dus achter waarom, dit virus verbergt ook mijn recycled dir. Hidden files staat bij mij altijd uit, maar toch liet hij vrolijk geen c:\recycled zien, en dat cleantooltje gooit net een zoot files eruit weg

AAHHHH, nou heb ik echt een probleem, nadat dat tool klaar was moest ik dus me pc restarten en nadat ik dat gedaan had wou me pc nix meer opstarten, maar alles downloaden vanaf me eigen pc!!! en als ik dan openen deed, kreeg ik zelfde dialoogje weer

jep

bestand.exe kon niet geopent worden

en dan ga je kijken en dan staat hij er wel gewoon (in programfiles ofzo)

[Brakius]

Wat ik bij iemand heb gedaan, is eerste de recyclebin gerenamed. De virusfile unhidden gemaakt en daarna opgestart met een floppy met msdos erop. De virus gedeleted en met scanreg /restore (staat onder windows/command) effe de oude registry terug gezet. Dan ben je verlost van de virus.

Dit geldt voor windows 95 tot en met ME. Weet iemand hoe je registry terug zet van Windows XP?

[Anoniem: 46713]

Op zaterdag 22 juni 2002 11:59 schreef fdamasta het volgende:
Dat komt door een registry verwijzing.
Ga in veilige modus naar de windows map en rename regedit.exe naar regedit.scr
want alle exe's worden nu dus met een niet bestaand prog geopend.
Ga nu naar HKEY_CLASSES_ROOT\exefile\shell\open\command en verwijder daar alle dingen die je tegen komt.
/edit het virus wil dus het .exe bestand openen met een progamma dat er niet meer is.
/edit2 je moet ook via je opstartdiskette de bestanden in je recycled verwijderen. Hiervoor moet je zorgen dat je attrib op je bootdisk hebt staan, dit staat er standaard niet op

In XP kun je gewoon in veilige modus regedit.exe naar regedit.scr renamen en dan de dingen verwijderen.

[Tweetyfrk]

Op zaterdag 22 juni 2002 11:59 schreef fdamasta het volgende:
Dat komt door een registry verwijzing.
Ga in veilige modus naar de windows map en rename regedit.exe naar regedit.scr
want alle exe's worden nu dus met een niet bestaand prog geopend.
Ga nu naar HKEY_CLASSES_ROOT\exefile\shell\open\command en verwijder daar alle dingen die je tegen komt.
/edit het virus wil dus het .exe bestand openen met een progamma dat er niet meer is.
/edit2 je moet ook via je opstartdiskette de bestanden in je recycled verwijderen. Hiervoor moet je zorgen dat je attrib op je bootdisk hebt staan, dit staat er standaard niet op

Dit is dus wat ik heb gedaan, maar ik het de bestanden verwijderd met dat bitdefender tooltje. Nou krijg ik dus als ik me comp opstart ongeveer 15 schermpjes genaamd "Bestand downloaden" precies hetzelfde als dat je iets download van internet. Maar nu wil hij dus iets gaan downloaden van me eigen pc, wat daar dus ook staat. Het probleem is dus volgens mij dat exe files gekoppeld zijn aan internetexplorer ofzow, want ipv dat hij exe files opstart gaat ie ze downloaden.

EDIT

JAAAAHHHHH ik heb hem eindelijk verslagen
Ik heb in mapopties de bind van exe files teruggezet, en nou doet ie het wel gewoon. Dit was op de een of andere manier dus ook veranderd? Vind het maar een vaag ding.

[harmageddon]

Ik twijfel of ik dit virus ook heb...in me hotmail krijg ik alleen maar mailtjes van returned mail enzo dat dat adres niet bestaat.. (me adres book is leeg)
en in me planet mail adres (via outlook) is me adres book ook helemaal leeg maar daar krijg ik niet van dat soort mailtjes..

Ik snap er geen drol meer van

[Anoniem: 41216]

Op zondag 23 juni 2002 12:15 schreef harmageddon het volgende:
Ik twijfel of ik dit virus ook heb...in me hotmail krijg ik alleen maar mailtjes van returned mail enzo dat dat adres niet bestaat.. (me adres book is leeg)
en in me planet mail adres (via outlook) is me adres book ook helemaal leeg maar daar krijg ik niet van dat soort mailtjes..

Ik snap er geen drol meer van

het kan ook de adressen gebruiken die je in MSN Messenger staat


Maar ik heb ook last van die messages. Alleen nog een paar extra. Er staat dan 1 regel van mijn website (waar nooit iemand komt) dan 2 punten en dan staat er 'See Attachment'. De attachment is dan een .jpg.scr bestand, dus denk ik gewoon de zelfde Yahaa virus. Maar ik vind het zo raar dat er 1 regel van mijn website instaat.

En ik dus heel mun pc gescanned met Norton Antivirus, en niks gevonden. Al mun exe bestanden doen ut gewoon, dus ik denk niet dat ik besmet ben. Maar toch krijg ik van die mailtjes 'Undelivered Mail Returned to Sender'.

ERG irritant allemaal, is da nou gewoon dat ik besmet ben?
Of andere mensen, waardoor ik die emailtjes krijg?

[Vincentio]

Ik heb met verschillende scanners gescanned enzo, maar ik kon zelf niks vinden op mijn pc. Ook dat BitDefender kon niks vinden. Toch beweren mensen mailtjes van mij te krijgen, best wel weird. Maar die persoon had het virus wel.

Ook krijg ik van die return mails, maar als ik dan kijk naar waar ie vandaan verstuurd is dan is dat niet van mijn ip gekomen.. Nog raarder?

[alt-92]

Nogmaals: net zoals Klez deed stuurt ook dit virus zichzelf door met een random adres als afzender en geadresseerde.

Dus iemand die jouw email addy op z'n PC heeft en besmet raakt kan met jouw adres als afzender het virus verder verspreiden.


[off-topic]
Er zit iemand met een vervelend icon in dit topic die op een server zonder anon-webaccess zit, ik krijg constant een popup met Mozilla, ftp 421 error...

Edit: Tweetyfrk, kijk je FTP serverconfig eens na, je icon staat met een FTP link geplaatst.

[MankE NeliZ]

En ik dus heel mun pc gescanned met Norton Antivirus, en niks gevonden. Al mun exe bestanden doen ut gewoon, dus ik denk niet dat ik besmet ben. Maar toch krijg ik van die mailtjes 'Undelivered Mail Returned to Sender'.

Dit heb ik ook..maar dan in mijn hotmail!...te vaag allemaal. Weet iemand waar dit aan ligt?

[RustyTank]

Ik ben volgens mij nog niet daadwerkelijk geinfecteerd, maar ik krijg wel een berg mail en verstuur mail via Yahoo.
Hoe kan ik er voor zorgen dat ik die mail niet meer krijg??
Yahoo verstuurt steeds mail uit mijn naam naar mezelf?

[Glacier]

Een of andere grapjas hier in huis heeft het W32/Yaha.g@MM dus geopend en nu heb ik het zelf wel voor elkaar gekregen om em weg te krijgen, maar ik krijg nu telefoontjes van collegas van mijn ma die em hebben geopend
Is er voor dat virus een tool om em weg te halen of is er een makkelijke manier om em weg te halen (heb net al een half uur aan de lijn met iemand gehangen om het te proberen uit te leggen)...
Help would be appr....hoe je het ook schrijft

Edit: Ook een probleem : internet is ook down bij de mensen die mij hebben gebeld..dus ze kunnen zelf nix downloaden

[DaRKoNe]

Ik heb al ruim 53 mailtjes gehad met dat virus..
Maar Norton heeft tot nu toe alles nog onderschept en in quarantine gegooid.

[Anoniem: 39077]

is dit ook zoiets?

[Anoniem: 16328]

Ik heb ook last van deze irritante emailtjes bij hotmail had er vandaag al iets van 7 . Volgens mij ben ik niet zelf bestmet met het virus want heb geen een van deze mailtjes de bestanden geopend. En heb net NAV2002 nog een full scan laten doen en deze heeft ook niks gevonden.

Bij heet het bestand iets van alsdeaardeeenappelis.pif of .scr een andere extensie.

Als ik het dus goed begrijp is er niks aan de hand zolang je de attatchments niet opent

Op zondag 23 juni 2002 14:23 schreef MankE NeliZ het volgende:

[..]

Dit heb ik ook..maar dan in mijn hotmail!...te vaag allemaal. Weet iemand waar dit aan ligt?

Dit heb ik dus ook

[Anoniem: 7010]

Dit schijnt een fix te zijn: http://www.bitdefender.com/download/download.php?file=AntiYahaa.scr

[www.virusalert.nl]
Naam:
W32.Yaha.E@mm / Yaha.F / Yaha.G
Type:
Internet Worm
Besturing:
Microsoft Windows
Datum:
18 juni 2002
Risico:
Middel
Bron:
(c) 2002, VirusAlert
Aliassen:
W32.Yaha.D@mm
WORM_YAHA.E
w32.Yaha.F
w32.Yaha.G
© VirusAlert schaal

Innovatie: 25
Besturing: 45
Logistiek: 15
Schade: 27


Schaal: 28/100


Aanduiding: GEVAARLIJK








Eigenschappen:
Laatste update: 22-06-2002 om 01.40
Er is nu ook een gratis verwijderingstool beschikbaar zie hieronder!
Het risico voor ontvangst van dit virus is toegenomen. VirusAlert heeft daarom het risico verhoogd naar "middel/medium".

Yaha.E is een mass-mailer internetworm die zich verspreidt via e-mail.
Het virus is afkomstig uit India.
Het virus wordt geactiveerd door het bijlagebestand te openen, of automatisch indien gebruikers geen Microsoft-patches tbv. "Incorrect MIME-header" hebben geinstalleerd. (zie hieronder)

Het virus installeert zich vervolgens op het systeem en verstuurt zichzelf naar alle contactpersonen die het vindt in het adressenboek van de volgende programma`s:

- Microsoft Windows (.WAB)
- MSN Messenger
- Yahoo pager list
- ICQ
- en overige adressen die het vindt in bestanden waarvan de extensie begint met .ht (bijvoorbeeld .htm of .html)

Het virus verstuurt zichzelf door onder wisselende naamstellingen van de onderwerp-aanduiding als de tekst van het bericht. Het bestand waarin het virus zit verpakt is altijd 25.619 byte groot. Het virus tracht geinstalleerde firewall en AV-software uit te schakelen. Op bepaalde systemen slaagt het virus erin om ervoor te zorgen dat bepaalde programma`s niet kunnen starten.

Afhankelijk van de naam van de Windows "prullenbak" plaats het virus zich op deze locatie, of anders in de standaard Windows directorie (meestal c:\windows). De naamstelling van dit bestand wisselt en wordt samengesteld uit 6 willekeurige getallen. De extensie van dit bestand is altijd .dll.

Mogelijke naamstelling: 64538920.dll

Eigenschappen van het e-mailtje:

-Onderwerp: [continue wisselend]

-Tekst van het bericht: [continue wisselend]

[Maar veel van de Yaha.E mailtjes bevatten een eerste alinea die luidt:]

This e-mail is never sent unsolicited. If you need to unsubscribe,
follow the instructions at the bottom of the message.
***********************************************************

-Naam bijlagebestand: Dit bestand is 25,619 byte groot.
1e deel van de naam is of/of:
[Al dan niet met FW: (forward) er voorgeplaatst]
checkfriends
dailyreport
darm
friends
friends4u
friendscr
friendsearch
frienship4u
FRUNLOG
goldfish
lbiodata
love
lovefinder
loveletter
loversgang
lovescr
mountan
New relations to check
New WordPad Document
ontslagwerf
passion
rampen in steden in de 14 eeuw
report
resume
rishtha
screensaver4u
shakingfriends
shakingfriendship
tHiZz
tHiZz iZz FroM me §t@ñ tHa EuRO
truelovers
Wachtwoorden enzo...
weeklyreport



De 1e extensie luidt of/of:

.doc
.mp3
.xls
.wav
.txt
.jpg
.gif
.dat
.bmp
.htm
.mpg
.mdb
.zip

De eindextensie is of/of:

.pif
.bat
.scr

Voorbeeld:
loveletter.txt.bat


Preventieve maatregelen:
-Installeer preventief de juiste patches van Microsoft. Deze zorgen ervoor dat het mailtje bij binnenkomst niet in staat is om zichzelf te activeren en door te sturen. Zie Windows-Update, hieronder.


Herkenning van besmetting:

-Trillen/bewegen van uw Windows-desktop.
-Weergave van een aantal tekst-vensters hiervan zijn de volgende teksten bekend:
-U r so cute today #!#!
-True Love never ends
-I like U very much!!!
-U r My Best Friend

1. Bestand(en):
Aanwezigheid van het volgende bestand op uw systeem:

Afhankelijk van de naam van de Windows "prullenbak" plaats het virus zich op deze locatie, of anders in de standaard Windows directorie (meestal c:\windows). De naamstelling van dit bestand wisselt en wordt samengesteld uit 6 willekeurige getallen. De extensie van dit bestand is altijd .dll.

Mogelijke naamstelling: 64538920.dll

2. Registry:
In de sleutel:
HKEY_LOCAL_MACHINE\Software\Classes\exefile\shell\open\command\

Wordt een verwijzing gemaakt naar "bestandsnaam, zie 1".

[Dit zorgt ervoor dat het virus iedere keer na het opstarten van Windows wordt geactiveerd.]




Verwijder instructies:
Optimaal verwijderen bestaat uit 2 stappen.

1a. Update uw antivirussoftware.

1b. Verwijder het virus met uw ge-update AV-software EN/OF via een online tool of scanner.
Online tools & scanners
U vindt een overzicht op de linkpagina, van deze site. klik hier.
zie voor de tools onder "antivirus-verwijderingstools"
zie voor de scanners onder "check online op.."

2. Pas de registry van Windows aan, zie hieronder.

Aanpassen van de registry:
Yaha.E tast de registryfunctie aan, daarom dient u eerst regedit.exe om te zetten in regedit.com
Ga naar "start" -> "uitvoeren / run"
type in: copy regedit.exe regedit.com [enter]
type in: start regedit.com [enter]

Vervolgens: Ga naar de waarde:
HKEY_LOCAL_MACHINE\Software\Classes\exefile\shell\open\command

Je ziet dan een mappenstructuur die eindigt in de geopende map "command".
(Of kies CTRL-F en zoek op de naam "command".
(Controleer vervolgens of je in de bovenstaande mappenstructuur zit!)

Deze selecteer je.
Kies vervolgens in het rechterpaneel de waarde "standaard"
Indien u hier een verwijzing vindt naar het virusbestand (zie "preventie maatregelen : 1") dan heeft het virus deze dus aangepast en dient u onderstaande stappen uit te voeren!

Klik met rechtermuisknop op dit icoon en kies "wijzigen".
Pas vervolgens de waardegegevens aan, type in ["%1" %*].
Kies [ok].
De standaardwaarde in de commandsleutel is nu veranderd in: ""%1" %*"

Start de PC opnieuw op en voer vervolgens met uw ge-update AV-software een volledige systeemscanuit, zet hierbij ook de scan op verborgen bestanden aan. Lees evt. hiervoor de helpfunctie van uw av-pakket.

[Anoniem: 39077]

Ik heb Yaha.g

het zou in C:\RECYCLER moeten staan, maar ik kan die directory nergens vinden?

[Anoniem: 12316]

Ik krijg de hele dag al mailtjes van iemand(ik ken dat hele iemand niet eens). Dus ik heb het spamfilter op m'n server maar ingesteld dat al z'n mailtjes gelijk wegkunnen.

Toch weer apart dat mensen dit soort dingen blijven openen. Na Melissa, I love you etc hebben we weer iets (ik tel dat Invalid MIME header niet mee, maar dat zou nu met zoveel XP gebruikers ook opgelost moeten zijn)

*zucht*

[Anoniem: 39077]

Op zondag 23 juni 2002 16:36 schreef Terr het volgende:
Ik krijg de hele dag al mailtjes van iemand(ik ken dat hele iemand niet eens). Dus ik heb het spamfilter op m'n server maar ingesteld dat al z'n mailtjes gelijk wegkunnen.

Toch weer apart dat mensen dit soort dingen blijven openen. Na Melissa, I love you etc hebben we weer iets (ik tel dat Invalid MIME header niet mee, maar dat zou nu met zoveel XP gebruikers ook opgelost moeten zijn)

*zucht*

dat heb ik dus ook gehad
Ik kreeg heeelee zooi meeltjes van iemand die ik ken en toen d8 ik, wat mag dat dan zijn, dus 1 keer op openen gedrukt

tis wel me eerste virus

[Xandrios]

Op zondag 23 juni 2002 16:35 schreef MasterOverdrive het volgende:
Ik heb Yaha.g

het zou in C:\RECYCLER moeten staan, maar ik kan die directory nergens vinden?

recycle bin

oftewel: prullemand van windows

[Anoniem: 39077]

Op zondag 23 juni 2002 16:39 schreef Cutebritney het volgende:

[..]

recycle bin

oftewel: prullemand van windows

die is leeg

en als ik met de virusscanner op delete ofzo druk zegtie IN USE, zou ik hem in safe mode kunnen deleten?

[Anoniem: 7010]

Dit virus heeft mij ook ontmaagd

[Anoniem: 16328]

Op zondag 23 juni 2002 16:36 schreef Terr het volgende:
Ik krijg de hele dag al mailtjes van iemand(ik ken dat hele iemand niet eens). Dus ik heb het spamfilter op m'n server maar ingesteld dat al z'n mailtjes gelijk wegkunnen.

Toch weer apart dat mensen dit soort dingen blijven openen. Na Melissa, I love you etc hebben we weer iets (ik tel dat Invalid MIME header niet mee, maar dat zou nu met zoveel XP gebruikers ook opgelost moeten zijn)

*zucht*

Die update voor XP is zeker een Critical patch ofzow. Btw hoe heet die dan?

[Anoniem: 31420]

Ze mogen wat mij betreft die makers van dat virus doodknuppelen! Schijtziek wordt ik er van!
Stoeh hoor een virusje schrijven

Ik hoop dat xs4all eens een keer virusfilters er op gaat zetten ipv die lakse houding die ze nu hebben

[Anoniem: 39077]

idd IK WIL DAT DING VAN M'N HD AF!

[DJSmiley]

Op zondag 23 juni 2002 16:40 schreef MasterOverdrive het volgende:

[..]

die is leeg

en als ik met de virusscanner op delete ofzo druk zegtie IN USE, zou ik hem in safe mode kunnen deleten?

Welk OS?? Welke schijfindeling??
IF FAT32: Use dos

dos owns nog steeds imho.. geen onnodige files in gebruik, alles te verwijderen..
wordt alleen wat lastiger bij NTFS partities

[DJSmiley]

Op zondag 23 juni 2002 16:53 schreef MasterOverdrive het volgende:
idd IK WIL DAT DING VAN M'N HD AF!

whehe lol @ je homepage:
http://www.masteroverdrive.tk/

Ik ben een echte loser poster

Ik post te pas en te onpas onzinige postings in forums!!! Het is een ziekte en ik kan er niets aan doen. Mij gaat het alleen om zoveel mogelijk posts en wil mensen geen nuttige informatie verschaffen. Sorry ik ben een echte loser.

[Vorkie]

Mijn norton draait overtoeren....

50 per minuut, 3000 per uur... tralalala... ga tog over ffies op webmail...


leuk... erg leuk... NOT... maja.. heb je ervan als je een drukke site runt...

De mensen die virussen maken moeten ze OPHANGEN... *************lyers!

[Glacier]

Op zondag 23 juni 2002 16:25 schreef Fate_mib het volgende:
Dit schijnt een fix te zijn: http://www.bitdefender.com/download/download.php?file=AntiYahaa.scr
[..]

Werkt die voor alle varianten? Ik heb de g variant

Broertjes....

[Anoniem: 35970]

Hij komt vooral veel in Nederland voor:

[Anoniem: 39077]

Op zondag 23 juni 2002 16:54 schreef DJSmiley het volgende:

[..]

whehe lol @ je homepage:
http://www.masteroverdrive.tk/
[..]

wat heeft dat in HEMELSNAAM met dit virus te maken

[Anoniem: 39077]

Ik krijg nu hele rare dingen, hij kan exe's niet vinden zoals m'n mail programma en dos, terwijl ze er zelf staan AAAH

[Anoniem: 7010]

Op zondag 23 juni 2002 17:38 schreef MasterOverdrive het volgende:
Ik krijg nu hele rare dingen, hij kan exe's niet vinden zoals m'n mail programma en dos, terwijl ze er zelf staan AAAH

Je hebt waarschijnlijk een besmet bestand verwijderd, dit is niet erg, maar je moet ook ff wat herstellen wat de worm in het register heeft aangepast.
Je moet regedit.exe renamen naar regedit.com en dan dit doen:

To edit the registry and reverse the change that the worm made:

CAUTION: Symantec strongly recommends that you back up the registry before you make any changes to it. Incorrect changes to the registry can result in permanent data loss or corrupted files. Modify only the keys that are specified. Read the document How to make a backup of the Windows registry for instructions.

1. Navigate to and select the following key:

HKEY_LOCAL_MACHINE\Software\Classes\exefile\shell\open\command

CAUTION: The HKEY_LOCAL_MACHINE\Software\Classes key contains many subkey entries that refer to other file extensions. One of these file extensions is .exe. Changing this extension can prevent any files ending with an .exe extension from running. Make sure that you browse all the way along this path until you reach the \command subkey.

Modify the HKEY_LOCAL_MACHINE\exefile\shell\open\command subkey that is shown in the following figure:

<<=== NOTE: Modify this key.

2. In the right pane, double-click the (Default) value.
3. Delete the current value data, and then type: "%1" %* (That is, type the following characters: quote-percent-one-quote-space-percent-asterisk.)

NOTE: Registry Editor will automatically enclose the value in quotation marks. When you click OK, the (Default) value should look exactly like this:
""%1" %*"

Make sure that you completely delete all value data in the command key before you type the correct data. If you leave a space at the beginning of the entry, any attempt to run program files will result in the error message, "Windows cannot find .exe." If this happens to you, start over at the beginning of this document, and make sure that you completely remove the current value data.

4. Restart the computer.
5. If you have not already done so, run Live Update, and then run a full system scan as described in the following section, "To scan with Norton AntiVirus and delete the infected files."

[Anoniem: 39077]

Op zondag 23 juni 2002 19:33 schreef Fate_mib heel veel

als ik'm dan opstart zechtie kan regedit.com.exe niet vinden

[Anoniem: 7010]

Op zondag 23 juni 2002 19:36 schreef MasterOverdrive het volgende:

[..]

als ik'm dan opstart zechtie kan regedit.com.exe niet vinden

zorg dat je extensies kan zien, dat je regedit.EXE renamet naar regedit.COM

wat jij net deed is gewoon regedit.exe renamen naar regedit.com.exe wat hetzelfde is als ****.exe

[Anoniem: 32923]

Mailwasher roeleert dus echt wel...ik veeg ze lekker van me email server af hoor.


Bij de meeste headers die ik in een txt file pass,geeft Kaspersy het Exploit.Iframe.Filedownload aan...
Af en toe het Lentin virus...
Kep er de laatste 2 dagen tegen de 60 gehad...ben gewoon de tel kwijt.
Maarum...als je die zooi niet wil binnenhalen gebruik je lekker Mailwasher.
Ook erg effectief tegen Spam

[TiG]

In sommige mail programmas is alleen preview/openen dus wel zat. Je hoeft niet persee de attatchment te openen. Dit staat namelijk in de source van het mailtje:

Content-Type: audio/x-midi;
name=goldfish.jpg.pif
Content-Transfer-Encoding: base64

Als je mailprog dus midi's af wil spelen zal hij dit bestand ook uitvoeren.

En volgens mij is de elende dat de webbased versie van Hotmail ook midi's probeert af te spelen

[Anoniem: 57736]

hmm mijn zus had em ook gedownload en geopend, gelukkig dat die fix er was, anders had ik haar pc moeten formateren.
Ook stom dat hotmail dat virus nog gewoon doorlaat.

[DJSmiley]

ik krijg idd het gevoel dat hotmail hier grotendeels schuldig aan is...

Op mn hotmail komt de meeste shit binnen, 20x vandaag ofzo al....

Gewone mailadres krijg im m maar paar keer binnen..

ook fijn dat hotmail m scant, en als veilig geeft, iedereen lekker openen, lang leve de schijnveilighed

[GandalfTheGrey]

jah idd, op mijn hotmail adres vandaag 33x keer , nou jah met Outlook Express 6 Gepatch, geen attachments openen en NAV2002 kom je er wel

[alt-92]

Op zondag 23 juni 2002 20:40 schreef TiG het volgende:
In sommige mail programmas is alleen preview/openen dus wel zat. Je hoeft niet persee de attatchment te openen. Dit staat namelijk in de source van het mailtje:
[..]

Als je mailprog dus midi's af wil spelen zal hij dit bestand ook uitvoeren.

En volgens mij is de elende dat de webbased versie van Hotmail ook midi's probeert af te spelen

Microsoft Security Bulletin MS02-023


15 May 2002 Cumulative Patch for Internet Explorer (Q321232)
Originally posted: May 15, 2002

Als je die nu nog niet hebt, dan vraag je om problemen.

Het is een exploit die ook door Badtrans, Sircam en Klez gebruikt werd.

[Anoniem: 39077]

Ik heb vandaag echt een k*tdag;

ten eerste, ik sloot gister me comp af met een vaag probleem.

Ik werd vanmorge wakker om 11:30 terwijl ik om 9 uur wou opstaan. Vervolgens comp aan met allemaal problemen, en de rest van de dag bezig gehouden met dat verdomde virus (zie software algemeen) op het laatst wou me windows niet meer opstarten en heb ik een andere hardeschijf gepakt, en erin gezet. Ik comp opstarten en raak prongelijk fandraadjes aan die kortsluiting maken Ik comp weer aan, wil niet, ik dus bios reset en nog niks. Ik 100 X keihard op die aanknop rammen tot BOOM, voeding ontploft, zwarte rook eruit. Ik vet schelden #(%*@(*%!! andere voeding erin. Dus ik zet comp aan, ga ff naar beneden, kom ik trug. Blauw scherm; your drivers are f*cked up, restart. Eindelijk, windows zonder virus! dus ik start inet explorer op. EHHHH geen netwerk verbinding _#(%*!_(*% dus ik kabels checken, lampje brand niet, naar beneden. DUs ik hub checken. Lampje brand wel! Ik dus nieuwe kabel pakken, door de muur halen (gat) en aansluiten. Precies het zelfde . Dus ik kijk bij system settings staat me netwerk kaart op disable ofzo dus ik druk enable. EN ben ik hier

wat een k*tdag!



Kreeg net weer een meeltje, dat auto geopend werd en 1000 telnet opende naar www.microsoft.com

[alt-92]

Leuk, maar wat is je probleem nou?

Kreeg net weer een meeltje, dat auto geopend werd en 1000 telnet opende naar www.microsoft.com

_{ik word zo moedeloos hiervan...}

[RuNnaH]

Dit is echt beroerd. Al m'n YaHa-mailtjes komen binnen via Hotmail, die werkelijk geen ene ruk controleert.

Net even die mailtjes bekeken op IP-adres, en bij mij komen ze van 2 IP-adressen: 62.163.x.x en 213.84.x.x
(GrunGe, een mede-GoTter, heeft ook YaHa-mailtjes van 62.163.x.x gekregen, en het vreemdste is dat die mailtjes een stuk uit een HTML-pagina van z'n site bevat. Hij is iig niet geïnfecteerd. In dat geval is het een bekende van mij en GrunGe)

[Anoniem: 39077]

welke site was dat ookweer dat je alle virusmeldingen van over de wereld kon zien?

[wzzrd]

Domme vraag misschien, maar wat valt er te "patchen" aan OE6?

[Anoniem: 41216]

Op zondag 23 juni 2002 21:55 schreef wzzrd het volgende:
Domme vraag misschien, maar wat valt er te "patchen" aan OE6?

Nou, zie een regel in de mailtjes:
X-Mailer: Microsoft Outlook Express 5.50.4133.2400
De mailtjes worden door MOE verzonden, dus een beveilingsfout in MOE.

In da reactie van Runnah. Toevallig staat er een stukje tekst van een pagina van mijn website. Maar ik heb ook mailtjes gehad met stuk tekst van een nieuwsbericht over de JSF. Dus de virus moet ergens, en ik heb geen idee waar, die gegevens vandaan halen. ERG irritant.

Teller staat op 31 besmette emailtjes ontvangen vandaag, en de dag is nog niet om.