[WinME] Onzichtbare keylogger op het systeem?*

[Verwijderd]

Ik heb sterk het vermoeden dat ik gelogd wordt door een persoon
van MSN.
NAV en keylogdetectors die vinden niks, het zou dan ook wel
een slechte keylogger zijn vind ik zelf.
Het enige hoe de keylogger binnen gekomen kan zijn
is door een .jpg
Persoon in kwestie vraagt ook steeds om bepaalde foto's weer terug te sturen,
volgens mij om een andere rede als alleen de foto aan de buitenkant te bekijken.
Ik kan het bijna niet voorstellen, maar is het mogelijk om via
een .jpg bij iemand een onzichtbare keylogger erop te krijgen.
Iemand tips , hoe erachter te komen?
En graag geen format c: want ik zou weleens willen weten hoe ze dat dan flikken
of waar hij verborgen zit.
Scriptkiddies??
Het zou wel de perfecte logger zijn, alleen ik ben er zelf niet zo gelukkig
mee.
Wie helpt me uit mijn droom?
Oja - Win ME draai ik.

Alvast bedankt.

[simon]

Ik denk dat het niets is, het zou sterk zijn als het kon.. Je kan die fotos ook ons showen, en als iemand iets 'herkend' of het ziet dan weten wij het.

Maar ik denk dat er niets aan de hand is..

[Rafe]

Gebruik je MSN 6? Er zijn ook van die programma's waarmee je de achtergronden, smilies en icons kan pikken van een ander, zonder toestemming (als je dat bedoeld tenminste).

[DutchTSE]

je kunt wel uitvoerbare code in een jpeg stoppe, dus lijkt ut ook mogelijk om er gewone text in te stoppen

[SlaadjeBla]

DutchTSE schreef op 20 September 2003 @ 14:31:
je kunt wel uitvoerbare code in een jpeg stoppe, dus lijkt ut ook mogelijk om er gewone text in te stoppen

Nee, het zit iets anders. Je kunt boodschappen versleuteld in een plaatje verwerken zonder dat het plaatje er zichtbaar door veranderd. Uitvoerbare code heeft geen zin, daar een jpg nooit uitgevoerd, maar slechts geopend en bekeken wordt.

[DutchTSE]

jawel, heb laatst nog een plaatje gehad, als je hem opent (het plaatje) gaan je cdrom drives open, lijkt me toch een uitvoering van de code

file maakte je zo:

zet de code om je drives te openen in een html bestand + een link naar het plaatje (img src= enz). hernoem dan de html file naar .jpg en als je het plaatje opent gaan je cdrom drives ook open

[Verwijderd]

DutchTSE schreef op 20 September 2003 @ 14:38:
jawel, heb laatst nog een plaatje gehad, als je hem opent (het plaatje) gaan je cdrom drives open, lijkt me toch een uitvoering van de code

file maakte je zo:

zet de code om je drives te openen in een html bestand + een link naar het plaatje (img src= enz). hernoem dan de html file naar .jpg en als je het plaatje opent gaan je cdrom drives ook open

Ik dacht al dat je dat bedoelde, dat is dus geen jpg..
Dat is meer de ranzigheid van IE die niet naar extensies kijkt maar gewoon alles uitvoert wat ie tegenkomt

[Verwijderd]

makkelijke oplossing codeer je msn verkeer. Persoon met wiejje chat moet het ook hebben anders werkt het niet .

Kijk op http://www.secway.fr/products/simplite_msn/home.php

[SlaadjeBla]

DutchTSE schreef op 20 september 2003 @ 14:38:
jawel, heb laatst nog een plaatje gehad, als je hem opent (het plaatje) gaan je cdrom drives open, lijkt me toch een uitvoering van de code

file maakte je zo:

zet de code om je drives te openen in een html bestand + een link naar het plaatje (img src= enz). hernoem dan de html file naar .jpg en als je het plaatje opent gaan je cdrom drives ook open

dat is een visualbasic script en geen gevaarlijke code om keys mee te loggen. En echt uitvoerbare code kun je het ook niet noemen, de functionaliteit is zeer beperkt.

[Verwijderd]

SlaadjeBla schreef op 20 September 2003 @ 14:42:
[...]

dat is een visualbasic script en geen gevaarlijke code om keys mee te loggen. En echt uitvoerbare code kun je het ook niet noemen, de functionaliteit is zeer beperkt.

Totdat je het gaat gebruiken voor arbritary commands..

[Verwijderd]

(edit) Was dus een beetje laat, maar mijn post is ook iets langer dan de voorgaande Was dus een reactie op DutchTSE (/edit)

Klinkt meer alsof er een verborgen extensie achter zit.

Windows verbergt standaard file extensies ('achternamen') en dat kan erg vervelend zijn. Een bestand wat bijvoorbeeld 'jan.jpg' heet, wordt dan weergegeven als gewoon 'jan'. Maar als het bestand 'jan.jpg.exe' heet, laat windows het zien als 'jan.jpg', en is er nog bijna niemand die het door heeft.

In geval van die CD-drive die open gaat denk ik dat het zo zit:
jpg plaatjes en html worden (op veel computers) allebei door MSIE geopend. Als je op de JPG klikt, dan ziet windows dat het een jpg is, en start het bijbehorende programma op. MSIE kijkt vervolgens naar de inhoud, ziet dat het HTML is, en displayt dus leuk dat HTML bestand (waarin wel een script zal zitten om die drive open te doen).

Het betreft hier dus een 'security-fout' in de applicatie die het bestand moet bekijken.

Wellicht dat in geval van de TS ook zoiets gebeurt.

In 'echte' JPG bestanden is het verder mogelijk extra 'informatie velden' toe te voegen, alleen zou geen enkel programma die moeten gaan uitvoeren tenzij het over een buffer overflow gaat of zo (of het programma daar specifiek voor gemaakt is - een soort Trojan).

[ Voor 10% gewijzigd door Verwijderd op 20-09-2003 14:50 ]

[bille]

@TS: installeer een firewall o.i.d. en check welke poorten er openstaan. Download een systeemprocessenbeheertool (leuk voor galgje) en bekijken welke processen gebruik maken van de poort die openstaat... genoeg opties iig.

[T-Junkie]

http://www.sysinternals.com/ntw2k/source/tcpview.shtml

met dit proggie kan je kijken welke verbindingen open zijn op je comp. dit kan je ook via het netstat commanline programma wat standaard in XP zit.
start - uitvoeren - type: cmd (enter) - type netstat -a

[Han]

Even het OS aan de topictitel toegevoegt, volgende keer zelf meteen even doen.
Zie ook: Windows Operated Systems - Policy

Overigens zijn je twee andere topics gesloten. Het is niet de bedoeling om meerdere topics te openen over één onderwerp. Ik raad je dan ook aan het volgende eens op je gemak door te lezen zodat je weet hoe dit forum werkt en wat wij van jou verwachten:
Algemene regels hoe je op het forum te gedragen (Netiquette)

Tip van mijn kant, blokkeer die gebruiker gewoon

[Verwijderd]

ik heb zonealarm draaien.
al mijn poorten staan volledig dicht (Shields up online getest, maarja das van buiten naar binnen)
en de logs willen naar de ontvanger toe natuurlijk.
Maargoed geen meldingen gehad van Zonealarm dat er iets vreemds naar buiten wil.
Het zijn wel gewoon normale .jpg bestanden hoor en geen .jpg.vbs of zoiets,dubbele
extensies, dan had de virusscanner ze ook wel gepakt.
Ik zal het nog wel eens afkijken dan, het lijkt me zelf ook wel heel sterk dat er zoiets
bestaat, maar zeg nooit, nooit bij computers.

[Spider.007]

Kun je niet de groottes of last modified van de fotos monitoren? Ook kun je proberen om hem door een foto programma te laten blurren oid; dan is de eventeuel tekst ook verdwenen

[Verwijderd]

sorry voor het meerdere posten , mijn fout, ik deed iets verkeerd.
1 slagroomtaart voor XceeD.

[sewer]

Wat is er nu concreet aan de hand dat je denkt dat er een keylogger op je systeem hebt? Doet je systeem raar ofzo?

Of komt dat alleen omdat iemand meerdere malen een .jpg aan je vraagt? Je kunt dan toch gewoon besluiten om die plaatjes niet te sturen als je het niet vertrouwt (of stuur ze alleen via mail), of blokkeer hem eventueel in MSN?