Wat is dit? Virus?

[WFvN]

Ik heb nu enkele keren van iemand uit België (mogelijk meerdere personen maar in ieder geval dezelfde provider) het Bugbearvirus 'gekregen'. Elke keer begon Norton Antivirus direct te mekkeren dat ik het virus in m'n e-mails had staan.

Vandaag kreeg ik wederom bij diezelfde provider vandaan een vreemd mailtje.
Grootte: 86 kB
Enige tekst in het mailtje:

Beste,

Voor de mensen die willen komen helpen met de wedstrijd. Je kan je aanmelden
via mail of op het blad aan het prikbord aan de Keiheuvel (lesl

Verdachte tekst dus; gewoon een geknipt stukje

Verder zit er een 'leuke' verdachte bijlage bij: scan.pdf.pif à 63,3 kB

Kortom: een paar vage dingen die behoorlijk duiden op een besmet e-mailtje. Alleen begon NortonAV nu niet te mekkeren. Ook kreeg ik niet spontaan het popup-venstertje waarin mij gevraagd wordt het bestand te openen of op te slaan. Ook als ik m'n pc handmatig laat scannen op virussen, wordt niets gevonden.

WTF is hier aan de hand?

Voor de duidelijkheid: NAV haalt zelf steeds updates op

[ Voor 11% gewijzigd door WFvN op 03-07-2003 13:59 ]

[Verwijderd]

Lijkt me vrij duidelijk dat dat een virus is, wat norton niet kent. Ik neem aan dat je norton geupdate is?

Wat zegt een online-scanner ervan? (bv: www.housecall.nl), of McAffee?

[dxta]

Het zou een nieuwe worm kunnen zijn, mail anders ff een sample naar Symantec, dan kunnen ze het analyzen.
Ik neem aan dat je de laatste virusdefs hebt?
.pif is sowieso geen normaal mailtje, dus sowieso deleten.

[Cyb]

Ik hoor de laatste tijd steeds meer van virussen/trojans die niet door virusscanner herkend worden......
Ik er zelf 2 weken terug ook mee te maken gehad.
Een virusscanner alleen is niet meer voldoende.

[WFvN]

Hm.... er is me inmiddels meer duidelijk. Ik wilde de sample gaan opsturen naar Norton. Dus ik open het e-mailbericht en wil de bijlage opslaan. Dus ik klik op 'opslaan'. Toen pas kreeg ik gemekker van NortonAV. Hij herkende ook de naam; een Bugbearvariant in ieder geval.

Blijkbaar mekkert Norton niet altijd direct bij bekijken van het mailtje.

Problem solved wat mij betreft.

[Erkens]

attachements met rara extentsies als .pif .lnk etc nooit maar dan ook nooit vertrouwen, wie stuurt er immers een snelkoppeling/info bestand over dos toepassingen naar je toe

Uiteraard wel vreemd dat NAV hem niet pakt, dat is ook 1 van de redenen dat ik die progsels niet vertrouw en dat vuile werkje zelf opknap

[CoRrRan]

Maar toch is het op zich niet onverstandig om het als sample op te sturen naar Norton. Volgens mij willen zij graag zien dat er attachments binnen kunnen komen zonder dat virussen gevonden worden. Die hele e-mail scanner is eromheen gebouwd om te zorgen dat de virussen gevonden worden voordat ze in je inbox staan.

[Cyb]

Ik vind Norton sowieso al slecht om virus samples naar toe te sturen.
Tegen mij zeiden ze dat er doodleuk niks aan de hand was, terwijl het vrij duidelijk een IRC trojan was.

Mcafee AVERT LABS virus research doet zijn werk een stuk beter, en gaf snel via email aan dat zijn heuristic scanner het als bedreiging zagen.

[SkyStreaker]

Heb je de HAWK wel goed geconfigureerd van Norton AV?

[Verwijderd]

TIP:

Verwijder Norton, deze kost alleen maar geld en levert toch meer problemen op dan dat ze oplossen.

Scan 1x per week met de GRATIS online virusscanner www.bitdefender.com
Deze vindt zeer veel virussen !

[YorgoB]

Nou, dat lijkt me niet, dan krijg je dus wel elke keer een virus op je computer, en stuur je sommige virussen ook door naar anderen. Misschien haalt hij dan wel het virus weer eraf, maar ik denk dat je zoiets beter voor kunt zijn.

[Verwijderd]

nofi: lijkt me niet handig om 6 dagenlang virussen op te lopen, om ze vervolgens online te laten herkennen.
Als je het zo doet is het niet zo vreemd dat ie veel virussen vindt, je moet tegenwoordig gewoon een scanner hebben die continue aanstaat.
Ik gebruik Pc-cillin (zat bij mobo) en ben er erg tevreden over.

[SkyStreaker]

Het is wel een feit dan zowel Norton AV als McAfee AV veel prestatiekracht zuipen... PC-Cillin doet het wel een stukje beter ja.

[Verwijderd]

/me is ook niet zo'n fan van norton.

Toch, het lijkt me in dit geval meer een instellingsfout te zijn. Staan alle opties wel aan voor de email-protect functie?

[Plofkotje]

Ik heb het ook niet zo met Norton. Een keer had iemand een trojan die Norton met de laatste definities niet herkende, hij was wel 2 jaar oud die trojan. Wij zetten AVG Free Edition erop, halen Norton ervanaf, en bij de eerste reboot vond AVG zonder scannen al de trojan.

Stuur eens wat sampletjes van die mail naar Bitdefender, TrendMicro, Kaspersky , Grisoft, Symantec of Macaffee . Hun heurialistic scanners (weet ik veel hoe je dat typt) zien dat meestal wel.

[ Voor 2% gewijzigd door Plofkotje op 03-07-2003 15:27 . Reden: ff trendmicro erbijzetten :P ]

[SkyStreaker]

Plofkotje schreef op 03 juli 2003 @ 15:05:
Ik heb het ook niet zo met Norton. Een keer had iemand een trojan die Norton met de laatste definities niet herkende, hij was wel 2 jaar oud die trojan. Wij zetten AVG Free Edition erop, halen Norton ervanaf, en bij de eerste reboot vond AVG zonder scannen al de trojan.

Stuur eens wat sampletjes van die mail naar Bitdefender, Kaspersky , Grisoft, Symantec of Macaffee . Hun heurialistic scanners (weet ik veel hoe je dat typt) zien dat meestal wel.

Norton IS van Symantec

[Yo-han]

Deze mailtjes zijn zo f*****g irritant!! Kreeg van de week een mailtje over computers binnen, en dacht leuk ff kijken op die site. Kom ik op een of andere gore porno site.

Een dag later kom ik op werk, en wat denk je? w32/pate.b worm...

[Plofkotje]

tranztaz schreef op 03 July 2003 @ 15:08:
[...]


Norton IS van Symantec

Ik weet het, maar ze hebben wel een van de beste virusresearch labs. Jammer dat je dat niet in Norton kan merken kwa virusherkenning.

[Verwijderd]

Verwijderd schreef op 03 juli 2003 @ 14:29:
TIP:

Verwijder Norton, deze kost alleen maar geld en levert toch meer problemen op dan dat ze oplossen.

Scan 1x per week met de GRATIS online virusscanner www.bitdefender.com
Deze vindt zeer veel virussen !

Voordeel van kazaa is de autoprotect die je aan kunt zetten. Alle schijfactiviteit wordt bekeken, download je een virus van kazaa, herkent ie direct het .dat bestand zonder dat je hem daar de opdracht toe geeft als virus. Dat is voor veel mensen natuurlijk geweldig gebruiksgemak.
Als je echt optimale veiligheid wilt moet je simpelweg niet afhankelijk zijn aan één virusscan. Een wekelijkse online scan zou geen overbodige luxe zijn, ook al heb je NAV (maar daar ben ik veels te lui voor ).

dayoman schreef op 03 July 2003 @ 15:12:
Deze mailtjes zijn zo f*****g irritant!! Kreeg van de week een mailtje over computers binnen, en dacht leuk ff kijken op die site. Kom ik op een of andere gore porno site.

Een dag later kom ik op werk, en wat denk je? w32/pate.b worm...

Van enkel een website lijkt me sterkt, of je moet zo'n irritante windowsvraag met ja hebben weggeklikt...

[ Voor 22% gewijzigd door Verwijderd op 03-07-2003 15:18 ]

[equinoxe]

Een virusscanner haalt niks uit tegen een nieuw of een crypted virus, d'r zijn enkele methoden om bekende virussen "onzichtbaar" te maken voor virusscanners (dit is selfs vrij simpel om te doen)..

Ook zijn er methoden om stealth files in IE (of outlook) te laten downloaden en te executen..
Voor het eerste is er geen remedie, voor het 2e is de enige remedie de nieuwste hotfixes van IE te downloaden, hoewel dat niet altijd iets uithaald...

[ Voor 13% gewijzigd door equinoxe op 03-07-2003 15:27 ]

[SkyStreaker]

Je moet in principe gewoon dergelijke dingen als java, activex en automatisch downloaden uitzetten. Het beste is zelfs nog een gratis emailtooltje bij download.com weg ofzo. Die hebben veel flexibere instellingen (meestal) dan outlook wat je wat mij betreft mag omdopen tot Lookout lichtelijk ironisch eigenlijk...

[equinoxe]

tranztaz schreef op 03 July 2003 @ 15:31:
Je moet in principe gewoon dergelijke dingen als java, activex en automatisch downloaden uitzetten. Het beste is zelfs nog een gratis emailtooltje bij download.com weg ofzo. Die hebben veel flexibere instellingen (meestal) dan outlook wat je wat mij betreft mag omdopen tot Lookout lichtelijk ironisch eigenlijk...

LOL@lookout aangezien dat normaal de tool is waarmee je outlook mailtjes kunt infecteren..

[Verwijderd]

Het voordeel van het gebruik maken van software die niet vaak wordt gebruikt, is dat virusschrijvers er ook geen rekening mee houden. Waarom moet je virus door de beveiliging van pegasus heen komen als 98 % van je slachtoffers outlook gebruiken. Waarom zou je je virus onzichtbaar maken voor antivirus merk X, als de ene 48 procent macafee gebruikt, en de andere 48 Norton antivirus.

[BJD]

Plofkotje schreef op 03 July 2003 @ 15:13:
[...]


Ik weet het, maar ze hebben wel een van de beste virusresearch labs. Jammer dat je dat niet in Norton kan merken kwa virusherkenning.

Als je een file upload naar Symantec dan word deze door een systeem gecontroleerd en niet door een medewerker. Opzich vind ik dat al genoeg zeggen.

[The Dolf]

tranztaz schreef op 03 July 2003 @ 14:43:
Het is wel een feit dan zowel Norton AV als McAfee AV veel prestatiekracht zuipen... PC-Cillin doet het wel een stukje beter ja.

Norton AV corporate zuipt bijna niks. Het doet wat het moet doen en supersnel. Grafisch gezien is het wel een ramp maar daarvoor heb je geen virusscanner.

[Cyb]

BJDI schreef op 03 July 2003 @ 17:08:
[...]

Als je een file upload naar Symantec dan word deze door een systeem gecontroleerd en niet door een medewerker. Opzich vind ik dat al genoeg zeggen.

Precies.
Hier het bewijs:

Dear **********,

We have analyzed your submission. The following is a report of our
findings for each file you have submitted:

filename: C:\SVCHOST.EXE
machine: ANONYMO************
result: See the developer notes

Developer notes:
C:\SVCHOST.EXE does not appear to contain malicious code.


Our automated system has performed an extensive analysis on the file(s)
that you have submitted and found no evidence of malicious code. If you
have additional evidence to suggest that a malicious program still resides
in the file that was submitted to us, please contact Symantec Technical
Support for assistance.

Should you have any questions about your submission, please contact
your regional technical support from the Symantec website and give them
the tracking number in the subject of this message.

Zelfs als ze een "extensive analysis" uitvoeren, heeft Symantec nog niet door dat het een IRC Trojan backdoor is.

[Verwijderd]

equinoxe schreef op 03 July 2003 @ 15:24:
Een virusscanner haalt niks uit tegen een nieuw of een crypted virus, d'r zijn enkele methoden om bekende virussen "onzichtbaar" te maken voor virusscanners (dit is selfs vrij simpel om te doen)..

Ook zijn er methoden om stealth files in IE (of outlook) te laten downloaden en te executen..
Voor het eerste is er geen remedie, voor het 2e is de enige remedie de nieuwste hotfixes van IE te downloaden, hoewel dat niet altijd iets uithaald...

Doet niets tegen een crypted virus? Ooit van Kaspersky gehoord?
Mime header gepiel, yet again, Kaspersky beschermt hiertegen.
Dat er maar twee AV's zijn die hier wat aan doen houdt niet in dat geen enkele er wat aan doet.

E-Mail scanning is overrated, als het goed is beschermt de RTM hier ook tegen.
Jammergenoeg support ook de 2004 versie van NAV geen packers, dus het blijft feest met NAV.
Verder is die bot van Symantec idd sjrottie, mocht er iemand per se wat willen opsturen naar Symantec, dan kan ik daar voor zorgen.

Leuk voor alle kazaa gebruikers trouwens om te weten dat de AV die zij gebruiken(alles wat niet KAV/McAfee is), nog geen 30% detecteert van wat ze tegenkomen.

[equinoxe]

Verwijderd schreef op 03 July 2003 @ 17:43:
[...]
Doet niets tegen een crypted virus? Ooit van Kaspersky gehoord?
Mime header gepiel, yet again, Kaspersky beschermt hiertegen.
Dat er maar twee AV's zijn die hier wat aan doen houdt niet in dat geen enkele er wat aan doet.

Kaspersky herkent geen van mijn crypted rotzooi, dit kan ook niet, want ik klooi niet met mime headers.
Ik zorg ervoor dat de complete file anders in elkaar komt te zitten, natuurlijk wel met 100% functionaliteit van de file.
Er zijn zelfs progjes voor: bijv. Sennaspy's avp offset tool (gelukkig niet voor het grote publiek te verkrijgen) daarmee kan je eenvoudig je files undetected maken zodat ook kav in mijn ogen waardeloos is.

[Verwijderd]

Kaspersky herkent geen van mijn crypted rotzooi, dit kan ook niet, want ik klooi niet met mime headers.
Ik zorg ervoor dat de complete file anders in elkaar komt te zitten, natuurlijk wel met 100% functionaliteit van de file.
Er zijn zelfs progjes voor: bijv. Sennaspy's avp offset tool (gelukkig niet voor het grote publiek te verkrijgen) daarmee kan je eenvoudig je files undetected maken zodat ook kav in mijn ogen waardeloos is.

Misschien beter om dat soort namen voor jezelf te houden. Het kan mensen op ideëen brengen...

Begrijp ik het goed dat jij virussen bakt?

[Verwijderd]

@ equinoxe

Heb je een eigen crypter geschreven? Of heb je een onbekende gevonden?
Of gebruik je een bekende crypter maar een al gepatchte file?

Ik had het over je gestealthte e-mail virii, niet over gewone virii. Wat noem je stealthen, gewoon via Iframe, of wat anders?

Schrijf je ook zelf nog wat of gebruik je alleen maar spul van anderen?

[equinoxe]

Verwijderd schreef op 03 July 2003 @ 19:03:
[...]


Misschien beter om dat soort namen voor jezelf te houden. Het kan mensen op ideëen brengen...

Begrijp ik het goed dat jij virussen bakt?

Ik kan deze naam vrij posten omdat dit progje GELUKKIG niet vrij te verkrijgen is dus n00bs prutsers en anderen maloten kunnen hier niet aan komen..

Verwijderd schreef op 03 July 2003 @ 20:04:
@ equinoxe

Heb je een eigen crypter geschreven? Of heb je een onbekende gevonden?
Of gebruik je een bekende crypter maar een al gepatchte file?

Ik had het over je gestealthte e-mail virii, niet over gewone virii. Wat noem je stealthen, gewoon via Iframe, of wat anders?

Schrijf je ook zelf nog wat of gebruik je alleen maar spul van anderen?

Ik heb bekende cryptors, die bijna allemaal met een *custom* patch zijn "ge-upgrade".

Met stealthen bedoel ik gebruik maken van ontberingen in microsoft programma's..
Zodat IE niet meld dat een programma wordt gedownload en gestart (hier ga ik ook niet verder op in, om niemand op ideeen te brengen)

Ikzelf schrijf zelf geen virussen.. Ik ben alleen geintereseerd in het hoe en wat van die dingen.
NB Ik haat virii, maar wel weet ik bepaalde programeer oplossingen waarderen, sommige virii (echt eerder uitzondering dan regel) zijn (hoe verwerpelijk dan ook) kunststukjes qua programering..

Na eens besmet te zijn met een virus dat mijn HDD finaal naar de mallemoer had geholpen (terwijl ik automaitisch de signature files update) wou ik meer weten, en heb ik me erin verdiept, dus in de werking van Virrii maar ook in de werking van AVP's, aangezien die mij had moeten beschermen.

[Verwijderd]

Ik kan deze naam vrij posten omdat dit progje GELUKKIG niet vrij te verkrijgen is dus n00bs prutsers en anderen maloten kunnen hier niet aan komen..

Het duurde niet lang eerdat ik hem had, was er al naar op zoek maar toen vond ik niets, maar nu dus wel en je hoeft dan echt niet veel moeite te doen.

Moet m'n Kaspersky contact maar eens vragen of ze er nog wat tegen kunnen doen.
En wie kun je beter vragen dan de man die over de unpackers gaat..

[Cyb]

@ equinoxe
En wat je het beste AV programma, en waarom?

[Verwijderd]

Zodat IE niet meld dat een programma wordt gedownload en gestart (hier ga ik ook niet verder op in, om niemand op ideeen te brengen)

Kaspersky en McAfee beschermen tegen deze exploits, iig als het gaat om diegene die ik denk.

@Cyb

Die tool om de bases van Kasperksy uit te lezen is niet voor niets gekomen.
Geen enkele AV heeft er op dit moment een oplossing voor, misschien Norman met hun sandbox technologie, maar die werkt zo vertragend dat hij alleen voor mailservers gebruikt gaat worden hoogstwaarschijnlijk.

[equinoxe]

@cyb
Tot nu toe heeft Kaspersky bij mij de voorkeur omdat ie meerdere methoden heeft om een virus te herkennen, McAffee komt mijns inziens vaak wat laat uit met virus definities (ik kan me gevallen herrinneren van bepaalde trojans die pas na 1 maand werden herkent NADAT het vrij verkrijgbaar was op internet)

[Masselink]

is het niet deze ?

W32.Mapson.C@MM is een nieuwe variant van W32.Mapson@mm. Het betreft een mass-mailer internetworm die zich verspreidt via e-mail en P2P-netwerken als Kazaa. Na infectie, handmatig door het bijlage- of gedeelde bestand te openen, installeert het zich op het systeem. De belangrijkste schade die het toebrengt is het de-activeren van geinstalleerde (security) software.

Het voegt een regel toe aan de registry en installeert een aantal bestanden. Indien Peer2Peer software, als bijv. Kazaa, is geinstalleerd, zal het zich beschikbaar stellen in een gedeelde directory van dit programma.

Eigenschappen van het e-mailbericht:

* Naam bijlagebestand: [wisselend, altijd extensie .pif of .scr]
* Onderwerp: [wisselend]
* Afzender: [nep afzendres : wisselend]
* Tekst van het bericht: [wisselend]

Deze schakelt Norton AV uit.

Die tool om de bases van Kasperksy uit te lezen is niet voor niets gekomen.
Geen enkele AV heeft er op dit moment een oplossing voor, misschien Norman met hun sandbox technologie, maar die werkt zo vertragend dat hij alleen voor mailservers gebruikt gaat worden hoogstwaarschijnlijk.

De Sandbox technologie blijkt groten deels hetzelfde te zijn als de Heuristic optie van McAfee. Bij Heuristic scanning wordt de code doorgelopen om te achterhalen of deze schadelijke instructies bevat. Deze stappen zijn nodig om een virus te vinden die zijn eigen kenmerk telkens aanpast.

[ Voor 8% gewijzigd door Masselink op 04-07-2003 08:38 ]

[Nulnulnix]

Erkens schreef op 03 juli 2003 @ 14:20:
attachements met rara extentsies als .pif .lnk etc nooit maar dan ook nooit vertrouwen, wie stuurt er immers een snelkoppeling/info bestand over dos toepassingen naar je toe

Uiteraard wel vreemd dat NAV hem niet pakt, dat is ook 1 van de redenen dat ik die progsels niet vertrouw en dat vuile werkje zelf opknap

.pif en .lnk rare extensies?
Daar vergis jij je in. Het zijn hele normale extensies...

Ik hanteer een hele simpele stelregel:
heeft een attachment meer dan 1 extensie dan wordt deze zondermeer verwijderd! Ik werk al sinds de jaren 80 met computers en ben alweer 7 jaar systeem-/netwerkbeheerder. Ik heb privé nog geen virus opgelopen...
Daarnaast verwijder ik ook elke e-mail van onbekende geadresseerden
En zet de preview uit...

Het is dus vrij eenvoudig om viri die via de e-mail binnenkomen te voorkomen!

[Domino]

equinoxe schreef op 03 July 2003 @ 15:24:
Een virusscanner haalt niks uit tegen een nieuw of een crypted virus, d'r zijn enkele methoden om bekende virussen "onzichtbaar" te maken voor virusscanners (dit is selfs vrij simpel om te doen)..

Ook zijn er methoden om stealth files in IE (of outlook) te laten downloaden en te executen..
Voor het eerste is er geen remedie, voor het 2e is de enige remedie de nieuwste hotfixes van IE te downloaden, hoewel dat niet altijd iets uithaald...

Tja, weer een reden om IE links te laten liggen .
Ik was fanatiek gebruiker van IE, maar sinds een week of drie surf ik met Phoenix/Firebird. Ik moet zeggen, er ging een wereld voor me open!.

tranztaz schreef op 03 July 2003 @ 15:31:
Je moet in principe gewoon dergelijke dingen als java, activex en automatisch downloaden uitzetten. Het beste is zelfs nog een gratis emailtooltje bij download.com weg ofzo. Die hebben veel flexibere instellingen (meestal) dan outlook wat je wat mij betreft mag omdopen tot Lookout lichtelijk ironisch eigenlijk...

Je weet ook dat lookout al bestaat? Het is een reincarnatie van de Lotus Notes client die er nagenoeg hetzelfde uitziet als outlook. Ik weet niet of deze ook POP3/IMAP ondersteunt, het is zoals gezegd een client voor corperate gebruik (aan een Domino server).

[Cyb]

Verwijderd schreef op 04 July 2003 @ 00:55:
[...]
Die tool om de bases van Kasperksy uit te lezen is niet voor niets gekomen.
Geen enkele AV heeft er op dit moment een oplossing voor, misschien Norman met hun sandbox technologie, maar die werkt zo vertragend dat hij alleen voor mailservers gebruikt gaat worden hoogstwaarschijnlijk.

Schouw en Equinoxe raden beiden KAV aan. Ik stap maar ff over van AVG naar KAV

Wat gebruiken jullie voor meer voor de security van je Systeem?
Heb ernaast nog System Safety Monitor en test regelmatig een andere firewall uit, op dit moment Agnitum Outpost Firewall Pro.

Dat Sandbox, is dat alleen van toepassing wanneer een executable gestart wordt, zodat het in een veilige omgeving uitgevoerd wordt? Of werkt dat ook bij een manuel file scan?

[ Voor 13% gewijzigd door Cyb op 04-07-2003 13:16 ]

[equinoxe]

ik gebruik verder Sygate pro als firewall (maar ben ook zeer goed te spreken over Black Ice Defender), en heb Registry Protector draaien.

[Verwijderd]

Masselink schreef op 04 July 2003 @ 08:38:
De Sandbox technologie blijkt groten deels hetzelfde te zijn als de Heuristic optie van McAfee. Bij Heuristic scanning wordt de code doorgelopen om te achterhalen of deze schadelijke instructies bevat. Deze stappen zijn nodig om een virus te vinden die zijn eigen kenmerk telkens aanpast.

Nee dat klopt niet, bij een sandbox maakt het niet hoe een file gepackt/gecrypt is.
Heb met McAfee heuristics wel vaker meegemaakt dat de upx variant(of juist unpacked variant)niet gevonden werd.(Ligt misschien ook voor een gedeelte aan de rotte signatures die McAfee gebruikt).

[blender]

@equinoxe

Handige link, leuke progseltjes daar bij DiamondCS, kende ze nog niet.