Ben ik nou geinfecteerd?

[YoG]

Dit is vreemd: Ik heb sinds gisteren 3 mailtjes gehad waar een virus aan bijgesloten zat. Met mailwasher heb ik ze toch maar even 'binnengelaten'. In de tekst stond de bekende cliché "See attachements for details", met verder geen tekst en een onbekende afzender. Dus dat lijkt me een geinfecteerde mail.
Afijn, bericht dus ge-previewed in Outlook maar daar had ie geen attachement meer (heeft mailwasher die verwijderd?)

Nou krijg zonet een email terug van Koss (fabrikant waar ik eens een maand geleden iets besteld hebt) met de melding dat zij vanaf mijn adres een emailtje hebben ontvangen met een virus!

This message was created automatically by mail delivery software.

A message that you sent could not be delivered to one or more of its
recipients. This is a permanent error. The following address(es) failed:

[e-mail]
This message has been rejected because it has
a potentially executable attachment "details.pif"
This form of attachment has been used by
recent viruses or other malware.
If you meant to send this file then please
package it up as a zip file and resend it.

------ This is a copy of the message, including all the headers. ------

Return-path: <[e-mail]>
Received: from [210.187.122.186] (helo=DNC61)
by jesskahn.uurnet.net with esmtp (Exim 4.20)
id 19rbYE-000731-SP
for [e-mail]; Tue, 26 Aug 2003 06:59:52 -0400
From: <[e-mail]>
To: <[e-mail]>
Subject: Re: Wicked screensaver
Date: Tue, 26 Aug 2003 19:03:36 +0800
X-MailScanner: Found to be clean
Importance: Normal
X-Mailer: Microsoft Outlook Express 6.00.2600.0000
X-MSMail-Priority: Normal
X-Priority: 3 (Normal)
MIME-Version: 1.0
Content-Type: multipart/mixed;
boundary="_NextPart_000_003E1B80"
Message-Id: <[e-mail]>

This is a multipart message in MIME format

--_NextPart_000_003E1B80
Content-Type: text/plain;
charset="iso-8859-1"
Content-Transfer-Encoding: 7bit

See the attached file for details
--_NextPart_000_003E1B80
Content-Type: application/octet-stream;
name="details.pif"
Content-Transfer-Encoding: base64
Content-Disposition: attachment;
filename="details.pif"

..en dan veel binary van het geinfecteerde bestand.

Ik denk "shit!" en gelijk de virusscanner (AVG 7 met de LAATSTE updates) aangezet. Die vind niks nada.
Toen even de faq hier doorgespit en Stinger van Mcafee geprobeerd, vind ook niks, met de online scanner van Housecall idem dito!
Het vreemde is dat m'n firewall (Norton met Internet Security) ook niks heeft opgemerkt.

Wat moet ik hier verder mee??

[ Voor 4% gewijzigd door YoG op 07-02-2005 12:16 . Reden: spelfouten :) ]

[Teckna]

Virussen lame VBS scriptjes faken het afzendadres, in dit geval is jouw email adres gebruikt.

[ Voor 15% gewijzigd door Teckna op 26-08-2003 14:32 ]

[samo]

Het kan ook zijn dat een andere geinfecteerde computer jou als afzender 'faked' zonder dat jij geinfecteerd bent...
Dat is iets dat wel vaker met deze email virussen gebeurt..

maar teckna was me voor... snelle jelle!

[ Voor 15% gewijzigd door samo op 26-08-2003 14:32 ]

[YoG]

Damn.. is daar iets tegen te doen?
Maar hoe komen die virussen dan aan dat email adres van Koss ?! Ze moeten toch in mijn systeem geweest zijn en mn adressenboek bekeken hebben??

[ Voor 28% gewijzigd door YoG op 26-08-2003 14:34 ]

[samo]

Dat zal in iemands adresboek hebben gestaan.
Er is niks tegen te doen behalve: jouw email adres niet meer uitgeven... maar dan heb je dr ook niks meer aan...

[Verwijderd]

YoG schreef op 26 augustus 2003 @ 14:33:
Damn.. is daar iets tegen te doen?
Maar hoe komen die virussen dan aan dat email adres van Koss ?! Ze moeten toch in mijn systeem geweest zijn en mn adressenboek bekeken hebben??

zorgen dat je bij niemand anders in het adresboek staat >> nee niets aan te doen dus

/laat

[ Voor 3% gewijzigd door Verwijderd op 26-08-2003 14:35 ]

[YoG]

wat is dit voor vage shit? Waarom heb ik hier nog nooit eerder van gehoord?! Is dit pas nieuw ofzo, virussen die beginnen te faken

Ik snap t nog niet helemaal 100%.. dat virus heeft dus bij Koss in het adressenboek gekeken, mijn adres eruit gepikt en doet nu net alsof ik HUN een virusmailtje heb verstuurd?

De virusmailtjes stromen hier trouwens binnen En overal staat er "X-MailScanner: Found to be clean"

[ Voor 17% gewijzigd door YoG op 26-08-2003 14:40 ]

[samo]

Nee,
dit virus heeft bij jouw vriend Henk in het adres boek gekeken, jouw adres als afzender genomen, en een email naar mensen in henk's adresboek gestuurd
(en nu niet zeggen dat je geen henk kent...)

@ teckna voor zijn volledige en duidelijke antwoord

[ Voor 15% gewijzigd door samo op 26-08-2003 14:43 ]

[Verwijderd]

YoG schreef op 26 August 2003 @ 14:37:
wat is dit voor vage shit? Waarom heb ik hier nog nooit eerder van gehoord?! Is dit pas nieuw ofzo, virussen die beginnen te faken

bestaat al een tijdje.
als je echt bang wilt worden moet je even kijken naar nova van gisteravond: www.novatv.nl

Ik snap t nog niet helemaal 100%.. dat virus heeft dus bij Koss in het adressenboek gekeken, mijn adres eruit gepikt en doet nu net alsof ik HUN een virusmailtje heb verstuurd?

je snapt het dus wel

De virusmailtjes stromen hier trouwens binnen En overal staat er "X-MailScanner: Found to be clean"

automatisch laten trashen lijkt me de enige oplossing

[Verwijderd]

Ja dat zou goed kunnen hoor, een email adres faken is helemaal niet moeilijk. Zelfs ik kan nog onder jouw email adres naar iedereen mailen

[Teckna]

Okay

1. virus besmet pc
2. virus kijkt in adressenboek van pc
3. virus pakt een willekeurige afzender vanuit deze adressenboek
4. virus stuurt mailtjes naar complete adressenboek met jou als afzender
5. Virus komt bij bedrijf binnen en ziet dat een email besmet is
6. virusscanner van bedrijf heeft niet door dat het afzendadres een fake is
7 virusscanner stuurt automatische reply naar afzendadres
8. jij krijgt mailtje binnen van virusbericht.

Je kan enkel door de headers te bekijken van het orginele virusemailtje bepalen waar deze vandaan komt

[YoG]

Dus Koss is zelf geinfecteerd?

Misschien is dit wat voor de FAQ?

Teckna schreef op 26 August 2003 @ 14:42:
Okay

1. virus besmet pc
2. virus kijkt in adressenboek van pc
3. virus pakt een willekeurige afzender van deze adressenboek
4. virus stuurt mailtjes naar complete adressenboek met jou als afzender
5. Virus komt bij bedrijf binnen en ziet dat een email besmet is
6. virusscanner van bedrijf heeft niet door dat het afzendadres een fake is
7 virusscanner stuurt automatische reply naar afzendadres
8. jij krijgt mailtje binnen van virusbericht.

Je kan enkel door de headers te bekijken van het orginele virusemailtje bepalen waar deze vandaan komt

Received: from [210.187.122.186] (helo=DNC61)
<- hij dus?

[Verwijderd]

Stuur daarom nooit een mailtje terug met daarin de melding dat iemand een virus heeft..

Je hoeft hem niet te hebben om een afzender te zijn..

Lang leve de SMTP-engine (toch??)

[Verwijderd]

YoG schreef op 26 August 2003 @ 14:46:
Dus Koss is zelf geinfecteerd?

Misschien is dit wat voor de FAQ?


[...]


Received: from [210.187.122.186] (helo=DNC61)
<- hij dus?

ip adres uit maleisie. foute boel me dunkt

[samo]

Koss hoeft niet geinfecteerd te zijn, het kan iedereen zijn die jou in zijn adresboek heeft staan...

[YoG]

aah mn foster parent kind
Kan me niet herinneren ooit contact te hebben gehad met iemand uit Maleisië

Ah ik heb al wat zoekresultaten met Google als ik zoek op dat IP

From: suresh kumar (@ 210.187.122.186) on: Wed Jul 30 07:27:36 EDT 2003

i am suresh kumar from b.worth would like to wish
happy berthday to my sister daughter priyavinashini .and i would like to dedecated to my sister one song from kannithil muthamittal

Hij is het dus die geinfecteerd is right?

Ken m niet..

[ Voor 97% gewijzigd door YoG op 26-08-2003 15:00 ]

[Verwijderd]

Je hoeft niet in iemands 'adresboek' te staan. Het virus/worm kan ook ergens anders je e-mailadres vandaan halen. Misschien heeft die Maleisier wel een webpagina bekeken waarop jouw e-mailadres stond. Het virus heeft dat misschien uit de cache van de webbrowser gehaald?

[Verwijderd]

dan kan idd, dit is het sobig virus dat adressen uit de volgende bestanden op je pc haalt:

.wab
.dbx
.htm
.html
.eml
.txt

[CyBeR]

YoG schreef op 26 August 2003 @ 14:37:

De virusmailtjes stromen hier trouwens binnen En overal staat er "X-MailScanner: Found to be clean"

Guess what? Dat faken ze ook

[YoG]

aargh