Virus verzonden via Arethusa.webmagix.net :?

[SchizoDuckie]

Ik krijg zojuist het volgende mailtje binnen:

The following message contained restricted attachment(s) which have been removed:

From : *censuur*@quicknet.nl
To : *censuur*@*censuur*.demon.nl
Subject : Re: Approved
Message-ID: <[e-mail]>

Attachment(s) removed:
-----------------------------------------
details.pif

Ik weet niet wie die mailserver allemaal gebruikt, maar als dat alleen door de crew is, misschien is het dan een goed plan om een virusscanner te installen.

[ Voor 5% gewijzigd door SchizoDuckie op 19-08-2003 15:48 . Reden: zpelvaudten weggesext door mieren ]

[curry684]

offtopic:
cencuur schrijf je met een 's', dus censuur

[Jaymz]

Daar draait een virusscanner op, maar die zal de laaste updates nog niet hebben I guess

[m-m]

Dat is wel vreemd aangezien de crewmembers volgens mij geen gebruik maken van SMTP via de T.net servers, maar gewoon via de eigen provider. Dat zou dan gewoon dus via bijv. mail.home.nl moeten binnenkomen als een crewmember een virus heeft. Anders zou Arethusa een open relay moeten draaien (of natuurlijk authenticate-via-pop @ SMTP maar dat doet het volgens mij niet).

[ Voor 22% gewijzigd door m-m op 19-08-2003 15:49 ]

[Cereal]

[negeer deze onzin aub]
het is arethusa.tweakers.net

arethusa.webmagix.net heeft niets met tweakers te maken
[/negeer deze onzin aub ]

en het is de verzender die het virus toevoegd, niet de mailserver..

[ Voor 16% gewijzigd door Cereal op 19-08-2003 15:51 ]

[Kix@$$]

Het lijkt mij opzich dat het dezelfde server is als van de MyTweakers.net Abbo's en deze heeft een virus scanner

edit:

Argh weer te laat

[ Voor 18% gewijzigd door Kix@$$ op 19-08-2003 15:52 ]

[m-m]

Cereal schreef op 19 augustus 2003 @ 15:49:
het is arethusa.tweakers.net

arethusa.webmagix.net heeft niets met teakers te maken

en het is de verzender die het virus toevoegd, niet de mailserver..

'tis dezelfde server hoor. Arethusa.tweakers.net = arethusa.webmagix.net

arethusa.tweakers.net has address 213.239.154.22
arethusa.webmagix.net has address 213.239.154.22

[ Voor 14% gewijzigd door m-m op 19-08-2003 15:50 ]

[JvS]

Nou dat is een crewmember die EN mails STUURT met een smtp server van tnet EN z'n outlook niet goed ingesteld heeft ofzo . Wat is het IP van de zender?

(de mailserver heeft trouwens een firewall, alleen niet geupdate dus, deze mails stromen nu met vele tegelijk overal binnen en je hebt er vast wel meer gehad dan die ene die via arethusa komt).

[SchizoDuckie]

JvS schreef op 19 August 2003 @ 15:53:
Nou dat is een crewmember die EN mails STUURT met een smtp server van tnet EN z'n outlook niet goed ingesteld heeft ofzo . Wat is het IP van de zender?

(de mailserver heeft trouwens een firewall, alleen niet geupdate dus, deze mails stromen nu met vele tegelijk overal binnen en je hebt er vast wel meer gehad dan die ene die via arethusa komt).

Hmm beetje bizar dit dit is echt de enige mail die ik binnengehad heb, en 't ip van de zender traced naar dat demon adres.

edit:

sure, glad to help

[ Voor 6% gewijzigd door SchizoDuckie op 19-08-2003 16:10 ]

[m-m]

Zou je dat IP willen wegeditten? Ik heb even gezocht en weet nu van wie het komt

@ Crew: staat in topicreport

Ik heb diegene iig even een PM gestuurd met een verwijzing naar deze draad.

[ Voor 26% gewijzigd door m-m op 19-08-2003 16:10 ]

[samo]

[behulpzaammode]
bekijk dit topic eens: [rml][ VIRUS/WORM] Sobig.F[/rml] misschien dat het een inzicht geeft...
[/behulpzaammode]
:-)

[moto-moi]

Pff, die virusscanner van quicknet/multikabel zeikt overal over
Die begint al te miepen bij een .lnk file, en daar zit echt geen virus in, maar da's een beveiliging tegen een bug in Eudora ofzo

code:

The original e-mail attachment "Backup Files.lnk" contains the characteristics 
of a virus and has been replaced by this warning message. Please contact 
the sender of the e-mail to resend the attachment without the virus.

At Sun Jul 27 08:53:59 2003 the virus scanner said:
   Eudora *.lnk security hole attack (Backup Files.lnk)

Ik zou er zelf dus niet zo zwaar aan tillen, tis vast vals alarm

[Arnout]

er blijkt weer een uitbraak te zijn van dit virus. Hier op 't werk ook al 2 mensen gerustgesteld.
Vooral die warnings van (fake) mails zijn lastig te begrijpen / uit te leggen.

edit: [rml][ VIRUS/WORM] Sobig.F[/rml] (nieuw virus dus). Weinig origineel.

[ Voor 24% gewijzigd door Arnout op 19-08-2003 16:25 ]

[Kees]

ja ik weet wel wie het is, heb het net in de maillogs opgezocht, je bent overigens niet de enige die dat mailtje ontvangen heeft

[JvS]

Ik kopieerde net op m'n werk het pifbestandje op m'n desktop om 's te kijken (met notepad) wat erin stond (jibberish) en dat resulteerde even later in deze meldig:

[Kees]

papaeend; zou je mij de headers van die mail kunnen sturen? dan kan ik iets beter zoeken & maatregelen nemen.

[Arno]

Waarom heb ik die mail niet gehad

[JvS]

naja, ik denk dat er verder weinig nuttigs te melden valt hier. Leuk dat iemand het via de mailserver van tweakers heeft gestuurd (nooit geweten dat wij ook mail konden sturen via een eigen smpt overigens ), we weten lekker wie het is en verder is er nog geen update voor de virusscanner (zei iemnad firewall? Die heeft zich vergist ), als-ie er is, dan wordt-ie geinstalleerd .

[Kees]

Goed, in principe is degene die mm vond niet de 'dader' voor zover ik kan zien.

Wat er gebeurd is:

Het virus stuurde het virus naar [crew]@tweakers.net, het virus faked echter afzenders. Arethusa was nog niet up to date, maar de mailserver waar het vervolgens heenging wel. Die verwijderd het virus en stuurt de afzender een mailtje. Echter, de afzender is gefaked en de verkeerde persoon krijgt dus het mailtje.

Conclusie: Papa-eend en het crewlid hebben een gezamelijke kennis welke besmet is