[Mailserver] Virus of niet?

[m33p]

Ik draai een mailserver met MailEnable (www.mailenable.com) op Windows 2000 Advanced Server. Nou werkt het allemaal perfect, maar ik krijg vreemde mailtjes, die dynamisch zijn, maar met een statische inhoud. De berichten zijn als volgt:

Hello there,

I would like to inform you about important information regarding your
email address. This email address will be expiring.
Please read attachment for details.

---
Best regards, Administrator
taxtdbad

De tekst "taxtdbad" onderaan wordt willekeurig ge-genereerd, en veranderd dus elke keer. Verder zijn er ooko geen mail-adressen / domeinen die gaan verlopen, dus daar kan het ook niet aan liggen, en housecall en mcafee vonden ook niks.

De header is als volgt:

Received: with MailEnable Postoffice Connector; Thu, 16 Oct 2003 18:08:39 +0200
Received: from 200.157.164.135 ([200.157.164.135]) for <[e-mail]> with MailEnable Catch-All Filter; Thu, 16 Oct 2003 18:08:38 +0200
Received: from localhost ([200.157.164.135]) by mijndomein.nl with MailEnable ESMTP; Thu, 16 Oct 2003 18:08:12 +0200
From: [e-mail]
To: Dnl <[e-mail]>
Reply-To: [e-mail]
X-Mailer: The Bat! (v1.61)
X-Priority: 2 (High)
Subject: your account taxbdbai
MIME-Version: 1.0
Content-Type: multipart/mixed; boundary="----------D1C66AB6002B587"

Ook heb ik dat IP (200.157.164.135) al geblocked, maar dit maakt ook niks uit, plus dat ik dit IP ook niet kan pingen?!?!

Iemand enig idee wat dit kan zijn want ik krijg er zo´n één per dag van, wat behoorlijk irriterend is...

Alvast bedankt

[Mike Jarod]

Dat lijkt het W32.Mimail.A@mm virus. Meer info op de Symantec site.

Je zou erachter moeten komen van wie precies die mail komt en deze persoon even informeren dat ie een virus heeft. Hoe zou ik niet weten . Zelf zou je ook ff kunnen checken of je geinfecteerd bent.

[ Voor 95% gewijzigd door Mike Jarod op 16-10-2003 18:53 ]

[m33p]

Ajjj, maar wel vreemd dat housecall + mcafee (up2date) hem dan niet zien? enig idee hoe ik dit kan oplossen zonder centjes neer te moeten tellen voor de norton virusscan?

@Mikejarod
Virusscanners vinden dus niks, en ik kan niet zien van wie ik hem krijg omdat ik em van localhost krijg (dus van de mailserver zelf al.... dus mischien krijg ik hem niet van iemand)

[ Voor 37% gewijzigd door m33p op 16-10-2003 18:55 ]

[Mike Jarod]

m33p schreef op 16 October 2003 @ 18:52:
Ajjj, maar wel vreemd dat housecall + mcafee (up2date) hem dan niet zien? enig idee hoe ik dit kan oplossen zonder centjes neer te moeten tellen voor de norton virusscan?

Je kan die fix tool even downloaden en scannen of je het virus ook echt hebt. Op de Symantec pagina uit m'n vorige post zie ik ook staan dat het virus gebruikt maakt van een lek in Windows (wanneer niet ), en daar verwijzen ze naar deze patch/pagina.

m33p schreef op 16 October 2003 @ 18:52:
ik kan niet zien van wie ik hem krijg omdat ik em van localhost krijg (dus van de mailserver zelf al.... dus mischien krijg ik hem niet van iemand)

Dan zou het best wel eens kunnen zijn dat je al geinfecteerd bent .

Edit: een virusscanner op een mailserver is overigens geen overbodige luxe .

[ Voor 29% gewijzigd door Mike Jarod op 16-10-2003 19:02 ]

[Verwijderd]

m33p schreef op 16 October 2003 @ 18:52:
Ajjj, maar wel vreemd dat housecall + mcafee (up2date) hem dan niet zien? enig idee hoe ik dit kan oplossen zonder centjes neer te moeten tellen voor de norton virusscan?

Hmm, misschien een nieuwe variant, want ik denk dat McAfee de .b variant toch wel zou vinden, de .a variant sowieso(zelf gezien).

Stuur me de file anders eens.

[m33p]

De tool vind niks, Mc Afee vind nix, en Housecall vind niks

(kort bericht maar veel meer kan ik er niet over zeggen wel dan)

@Schouw:
welke file bedoel je? er wordt geen geinfecteerd bestand gevonden, dat is het probleem juist

Edit:
Net klaar met het scannen van alle clients (5) maar ook niks gevonden

[ Voor 45% gewijzigd door m33p op 16-10-2003 20:28 ]

[Verwijderd]

Argh, dit is niet mijn dag merk ik..
Mja, ik nam aan omdat je zei dat geen enkele AV wat zei, dat er een attachment was..

[m33p]

Ah, de attachment, daar had ik niet aan gedacht, die zit er idd bij, hieronder de download link:

-------
DISCLAIMER
Onderstaande link openen op eigen risico!!!
------

http://www.3d-gamers.nl/message.zip

[Verwijderd]

Scan type: Realtime Protection Scan
Event: Virus Found!
Virus name: W32.Mimail.A@mm

[m33p]

En met welke virusscanner als ik vragen mag?

[Verwijderd]

Mcafee 4.5.1 SP1 met virusdefinities 4928 pakt hem meteen.

[Verwijderd]

m33p schreef op 17 oktober 2003 @ 08:38:
En met welke virusscanner als ik vragen mag?

Deze is oud en heeft in USA voor flink wat problemen gezorgd, elke AV vindt deze al geruime tijd..

Dus als up to date housecall/McAfee hem niet vinden, dan is er denk ik iets anders mis..

[Mike Jarod]

Op die Symantec link van een paar posts geleden stonden een aantal regkeys die het virus aan zou maken. Je kan even met de hand kijken of die keys ook echt bestaan. Misschien dat dit virus de meeste virusscanners uitschakelt ofzo

[m33p]

Helaas, ik kon deze registery key op geen één van de Clients en de server vinden... virusscan vind ook niks, en ik heb de bijlage ook nog niet geopend.

Kan het mischien zijn dat iemand deze dus naar mij / mijn mailserver stuurt op dé een of andere manier?

[m33p]

Hmz, ik draaide net voor de gein nog es die scan tool van symantec, en nu wordt hij dus WEL gevonden, op de workstations (die de mailtjes kregen) EN de server, wat ik wel heel vreemd vind, ook omdat de virusscanner niks vond, maar als het goed is, is het probleem dan nu opgelost.

Bedankt voor de hulp iig!

[m33p]

Hmz, het probleem schijnt nog niet opgelost te zijn, want ik krijg de mailtjes nog steeds. Net alles clients geer gescanned en de server maar weer helemaal niks gevonden. Dit wordt nu toch wel een beetje frustrerend en formateren is geen optie. Ook heb ik geen recente backup die ik kan gebruiken. Iemand enig idee of er nog andere opties zijn?

[m33p]

* voorzichtig schopje *

Het probleem is er nog steeds ondanks de fix tools / virusscannners