XS4ALL & Virus

[Verwijderd]

We hebben een Email account bij XS4ALL en sinds 1 week is onze Account afgesloten en kunnen wij onze email niet meer ophalen. De reden dat XS4ALL hiervoor geeft is dat er een klacht kwam van "Mensen" dat we de Blaster Virus vespreiden. Als bedrijf houden wij ons niet met zulke rotzooi bezig. Zelf krijgen we dagelijks honderde geinfecteerde MyDoom virussen binnen. We hebben zoals ze bij de helpdesk ons hadden gemeld alle PC en server gescanned (circa 100 PC's) en op aanraden van hen met het programma STINGER.EXE. Geen Virussen te vinden en toich wil men onze account niet vrijgeven. Men belooft ons dat de afdeling ABUSE ons zou terug bellen, maar na dagen hebben we nog steeds niks gehoord. Zelf zijn ze telefonisch niet bereikbaar en moeten we via de Helpdesk een bericht laten. Als je naar de Helpdesk belt moet je wel lang geduld hebben voor er iemand opneemt.

Als informaticus heb ik respect voor wat ze willen doen om virussen tegen te houden, maar ik denk niet dat ze dat oplossen door zoveel Nederlandse bedrijven op vermoeden af te sluiten. Een bewijs dat onze PC's besmet zijn, krijgen we niet. Wel krijgen we Arrogante antwoorden. Dit is Machtmisbruik.

Volgens een arrogante helpdesk dame, zouden wij 150 ongelezen emails hebben verwijderd. Als je weet dat wij onze mail met een Exchange Server binnen halen en onze mailbox ledigen, hoe kan zij dat nu weten? Wij halen de mails die voor ons bestemd zijn en de rest blijft staan. Dit is een teken dat XS4ALL zelf problemen heeft, maar het niet wil toegeven aan haar klanten.

Welke recht heeft XS4ALL om een bedrijf plat te leggen? want dat zijn we nu. We zijn afhankelijk van bestellingen via Email. We kunnen zelfs niet op internet.

[Tachyon]

Volgens een arrogante helpdesk dame, zouden wij 150 ongelezen emails hebben verwijderd.

Nou en Dat is toch uit je eigen mailbox, toch? Moet je toch zelf weten? Of mis ik iets?

[blackd]

Verwijderd schreef op 12 februari 2004 @ 17:21:
Welke recht heeft XS4ALL om een bedrijf plat te leggen?

Het gaat er niet om dat ze een bedrijf platleggen, dat is het gevolg. De oorzaak daarvan is dat de internetverbinding down is. En welke rechten XS4ALL heeft mbt het afsluiten van die lijn, staat in de voorwaarden waaronder het abonnement is afgesloten. Over wat voor abonnement hebben we het trouwens?

[waslijn]

Welke recht heeft XS4ALL om een bedrijf plat te leggen? want dat zijn we nu. We zijn afhankelijk van bestellingen via Email. We kunnen zelfs niet op internet.

Als je daar zo afhankelijk van bent, hebben jullie vast wel een backup lijn in de vorm van een isdn of tweede adsl verbinding. Hebben jullie btw een zakelijk of particuliere aansluiting? Bij een normale verbinding worden geen garanties gegeven voor uptime.

[Tukk]

Ze kunnen op binnenkomende mail scannen, waarom hebben ze die niet bij jullie even op de uitgaande gezet, nadat ze dit tegen jullie hadden gezegd.

* Tukk denkt dat xs4all zelfs niets kan maken als tukk via zijn mail MET OPZET mydoom gaat verspreiden..

[Verwijderd]

Xs4all kan prima zien waar virussen vandaan komen, aan de hand van een ip nummer, Xs4all houdt van iedere klant bij hoeveel meldingen er over zijn geweest en vervolgens worden ze nagetrokken.

Xs4all sluit *nooit* klanten af zonder waarschuwing. Overigens is bij xs4all de policy dat je andere geen last bezorgd en het versturen van virussen wordt niet op prijs gesteld.

Kortom ik kan Xs4all niets dan gelijk geven, vooral de xs4all klanten hebben in Nederland de MyDoom virusepedemnie veroorzaakt. Een hoop dsl gebruikers zijn (dagenlang) virussen gaan versturen via email.

Overigens heb je een verkeerde keuze gemaakt als je voor je totale business afhankelijk bent van 1 adsl lijn. Dat is jouw schuld niet die van xs4all

[Verwijderd]

Verwijderd schreef op 12 februari 2004 @ 17:21:

De reden dat XS4ALL hiervoor geeft is dat er een klacht kwam van "Mensen" dat we de Blaster Virus vespreiden. Als bedrijf houden wij ons niet met zulke rotzooi bezig.

Als informaticus heb je nu toch (hoop ik) wel door dat jij je niet bezig hoeft te houden met de verspreiding van Blaster, dat doet een besmette/ongepatchte server wel voor je.
Als jij geen firewall tussen je netwerk en internet hebt hangen maar bv NAT gebruikt hebben al je werkstations onbeperkte toegang tot internet.

..op vermoeden af te sluiten. Een bewijs dat onze PC's besmet zijn, krijgen we niet.

Die hoeven ze ook niet te geven, jij veroorzaakt overlast op hun netwerk waardoor je de algemene voorwaarden overtreed.

Welke recht heeft XS4ALL om een bedrijf plat te leggen?

Dat is dus het bindende contract wat door beide partijen is getekend

Wat ik daarentegen niet begrijp is dat XS4ALL poort 135 nog niet dicht heeft gezet.
De oplossing van het probleem is zo simpel.

De schade die hierdoor wordt voorkomen staat totaal niet in verhouding tot de overlast die zeer weinig mensen ervan zullen hebben.

[RaZ]

X4ALL heeft wel degenlijk dat poortje dicht gehad.
Bron

[Verwijderd]

als ik op mijn werk met een fallback internetverbinding inbel dan krijg ik toch nog om de paar minuten een melding in de logging dat iemand een msrpc scan uitvoerd.

Juist op de inbelverbindingen zou ik dit permanent dichtzetten want mensen met een inbelverbinding zijn juist de mensen die niet kunnen/willen updaten omdat een complete update niet te doen is via de telefoon lijn.

[-=bas=-]

We hebben zoals ze bij de helpdesk ons hadden gemeld alle PC en server gescanned (circa 100 PC's) en op aanraden van hen met het programma STINGER.EXE.

Ik kan me haast niet voorstellen dat XS4ALL jullie zonder gegronde reden zomaar afsluit.
Als je jullie zoveel PC's hebben dan kan het natuurlijk altijd dat er een rotte appel tussen zit.
Of iemand die z'n eigen notebook even aan het bedrijfsnetwerk hangt (heb ik ook wel eens meegemaakt)?

[Rob]

De vraag of hij nou wel of niet geinfecteerd is achterwegende latend, vind ik het onjuist dat xs4all de gebruiker niet helpt het probleem op te lossen, vooral als het een redelijk groot bedrijf betreft.

[DiedX]

-Rob- schreef op 13 februari 2004 @ 12:25:
De vraag of hij nou wel of niet geinfecteerd is achterwegende latend, vind ik het onjuist dat xs4all de gebruiker niet helpt het probleem op te lossen, vooral als het een redelijk groot bedrijf betreft.

Volgens mij is het niet de taak van XS4ALL om het bedrijf te helpen. Pointen naar problemen en oplossingen, ok, maar meer niet.

Ik denk dat systeembeheerders beter hun werk moeten doen. Met een goede firewall kom je al een end, en nee, die zijn niet duur.

[Rob]

DiedX schreef op 13 februari 2004 @ 12:32:
[...]

Volgens mij is het niet de taak van XS4ALL om het bedrijf te helpen. Pointen naar problemen en oplossingen, ok, maar meer niet.

Ik denk dat systeembeheerders beter hun werk moeten doen. Met een goede firewall kom je al een end, en nee, die zijn niet duur.

Ik doel meer op dit stukje uit zijn tekst: "Men belooft ons dat de afdeling ABUSE ons zou terug bellen, maar na dagen hebben we nog steeds niks gehoord. Zelf zijn ze telefonisch niet bereikbaar en moeten we via de Helpdesk een bericht laten. Als je naar de Helpdesk belt moet je wel lang geduld hebben voor er iemand opneemt. "

Het ziet er ook niet naar uit dat XS4ALL duidelijk de klant geinformeerd heeft betreffende de problemen.

[wvkreg]

Oplossing:

Installeer een hardware (liefst) firewall.
Zet packetlogging aan. Log port 135 rpc en dergelijke acties.
Kijk welke pc het veroorzaakt. Waarschijnlijk die ene onder het buro met dat nic-je erin.
Ongepatched en blaster verspreidend. Wij hebben hier hetzelfde ervaren, wij waren er echter na 1 uur achter. We waren toen al gefilterd (mail niet lezen, men kent het wel...).
In de A.V. van Xs4all staat dat ze je mogen afsluiten als je virussen e.d. verpreidt. Na een waarschuwing op je dsl account kunnen ze tot deze actie overgaan. Kijk eens naar www.eeye.com. Retina Scanner, dat heeft hier prima gewerkt. Suc6.

[wvkreg]

Ben benieuwd? Probleem al opgelost?

[kazuka]

Even een kickje aangezien ik hetzelfde mailtje van xs4all heb gehad als de topicstarter. Afgelopen vrijdag een mail gehad dat ik het Blaster virus zou verspreiden en als ik hier niets aan zou doen mijn account afgesloten zou worden. En jawel, een dag later was hij afgesloten.

Heb vanochtend een mail gestuurd naar helpdesk@xs4all met de mededeling dat ik GEEN virussen heb op mijn PC's na een virusscan en verzocht mijn account weer te activeren. Tot op heden nog niets gehoord.

Wel vreemd dat ze al meteen een dag later het boeltje afsluiten. Daar ik het weekend niet thuis was kon ik nog niet eens actie ondernemen. Een beetje klant onvriendelijk toch wel.

[CH4OS]

Verwijderd schreef op 12 februari 2004 @ 18:15:
Xs4all kan prima zien waar virussen vandaan komen, aan de hand van een ip nummer, Xs4all houdt van iedere klant bij hoeveel meldingen er over zijn geweest en vervolgens worden ze nagetrokken.

Als ze op mijn IP kunnen zien, dat ik [iets] (dit geval een virus) verstuur, dan is dat inbraak op de privacy -> mag dus niet.

Past dit niet beter eigenlijk in B&V?

kazuka schreef op 08 maart 2004 @ 14:05:
Even een kickje aangezien ik hetzelfde mailtje van xs4all heb gehad als de topicstarter. Afgelopen vrijdag een mail gehad dat ik het Blaster virus zou verspreiden en als ik hier niets aan zou doen mijn account afgesloten zou worden. En jawel, een dag later was hij afgesloten.

Heb vanochtend een mail gestuurd naar helpdesk@xs4all met de mededeling dat ik GEEN virussen heb op mijn PC's na een virusscan en verzocht mijn account weer te activeren. Tot op heden nog niets gehoord.

Was je virusscanner wel up-to-date dan?

Wel vreemd dat ze al meteen een dag later het boeltje afsluiten. Daar ik het weekend niet thuis was kon ik nog niet eens actie ondernemen. Een beetje klant onvriendelijk toch wel.

Ik weet niet of het het geval is, maar misschien heb je wel een PC die 24/7 aanstaat... En de meeste virussen doen aan e-mail spoofing. Gebruiken zelfs adreslijsten van een ander, om dan jouw e-mailadres te spoofen... En als niet iedereen dat weet... Dan krijg je gevallen zoals dit...

[ Voor 56% gewijzigd door CH4OS op 08-03-2004 14:23 ]

[slaay]

Ik zou ze ff bellen, dan weet je meteen meer!

Trouwens, waarom zouden al die ISP's toch de header verlangen bij een abuse melding? Juist ja voor het IP adres waar het mailtje verstuurd is!

Ze sluiten meteen af, want je kunt zo honderden virusmailtjes rondsturen als je er niets van merkt. Ze sluiten dus eerder preventief af, dan klantvriendelijk.

[Verwijderd]

kazuka schreef op 08 maart 2004 @ 14:05:
Wel vreemd dat ze al meteen een dag later het boeltje afsluiten. Daar ik het weekend niet thuis was kon ik nog niet eens actie ondernemen. Een beetje klant onvriendelijk toch wel.

Het is ook nooit goed..
Ben blij dat ze je van tevoren gewaarschuwd hebben.

Goed om te horen dat het de goede kant opgaat, hoop dat andere ISPs snel zullen volgen.

[intoxicated]

I&T -> BV

[Verwijderd]

offtopic:
wat ik me altijd afvraag: hoe kun je nou normaal computeren op een pc die geïnfecteerd is met blaster? dat merk je toch? (shutdowns dus)

[CH4OS]

Verwijderd schreef op 08 maart 2004 @ 14:19:

offtopic:
wat ik me altijd afvraag: hoe kun je nou normaal computeren op een pc die geïnfecteerd is met blaster? dat merk je toch? (shutdowns dus)

offtopic:
Je krijgt die melding alleen als het virus zich installeerd... Als je die melding blijft krijgen, dan sta je zo open als een deur...

[Verwijderd]

Verwijderd schreef op 08 maart 2004 @ 14:19:

offtopic:
wat ik me altijd afvraag: hoe kun je nou normaal computeren op een pc die geïnfecteerd is met blaster? dat merk je toch? (shutdowns dus)

Als je de enige bent die die packets verstuurt is er niets aan de hand.
Lovesan verstuurt twee soorten packets:
-voor win2k
-voor winxp

Als een van de bovenstaande OSen de 'verkeerde' packets ontvangt, crasht de RPC service.
Bugje, anders was Lovesan nog wel wat succesvoller geweest.

[Verwijderd]

right ok.

[F_J_K]

En wat meer ontopic; ik ben er juist blij mee dat besmette klanten (zonder SLA) die (zonder het zelf te weten) virussen de wereld in sturen, worden afgesloten. Dat zorgt er voor dat de verspreiding een stuk minder wordt.

Maar enig bewijs, in de vorm van een virusmailtje met de headers waar jouw IP adres wordt genoemd als bron, is dan hard nodig. Alleen al omdat dat het verwijderen van het virus veel makkelijker maakt. Al kan je zeker als bedrijf natuurlijk wat netwerkverkeer kunnen gaan sniffen en/of al het verkeer naar o.a. poort 25 blokkeren cq. loggen om er vrij snel achter te kunnen komen waar het fout zit.

[Verwijderd]

F_J_K schreef op 08 maart 2004 @ 14:46:
Maar enig bewijs, in de vorm van een virusmailtje met de headers waar jouw IP adres wordt genoemd als bron, is dan hard nodig.

De TS zegt dat xs4all beweert dat zij blaster de wereld in helpen. Dit gaat niet via email.

@TS: als je hem nog niet hebt. Zorg voor een firewall die dus alle lekke windows poorten van binnen naar buiten blockt. Bel/mail xs4all, en leg uit dat je maatregelen hebt getroffen.
Vraag hen tevens naar bewijs dat jij de veroorzaker was van de blaster ellende.
Xs4all gaat je niet voor de gein afsluiten. Of zij hebben zelf gezien dat jij een blaster payload naar buiten gooit, of ze hebben abusemail gehad. In dat laatste geval kan er natuurlijk altijd een menselijke fout gemaakt zijn aan de kan van de abuse-melder/xs4all.

Sowieso is het verstandig om voor je nat netwerk wat filters aan te leggen.
Meeste dozen hebben alleen 80/443 nodig naar buiten.

Suc6

[F_J_K]

Verwijderd schreef op 08 maart 2004 @ 16:08:
De TS zegt dat xs4all beweert dat zij blaster de wereld in helpen. Dit gaat niet via email.

Klopt, ik bedoelde in het algemeen (de TS heeft sinds de topicstart niet meer gereageerd). In dit geval had er een log moeten komen ipv de mailheaders. Maar ook dat was er niet

Maar il ben het helemaal eens met je post; met de (eigenlijk volledig overbodige) aanvulling natuurlijk ook van buiten naar binnen de poorten te blokkeren

[Copycat]

ff een beetje Offtopic maar hebben jullie die mailscanners van XS4all wel aan dan.
Of werken die niet als je een eigen mailserver draait

[Verwijderd]

Mja. Interesant... Ik heb de TS (als infomaticus....) niet gehoord over de infrastructuur van zijn netwerk en de wijze van beveiliging; iets wat toch basic is bij dergelijke problemen....

Als eerder gezegd; geen SLA=dikke pech! Geen backup-lijn; dat is je eigen schuld.

Natuurlijk kan XS4ALL het mis hebben; maar als ik op de info van de TS af moet gaan gok ik dat XS4ALL in het gelijk staat. En mocht dat ook echt zo zijn; Super dat de verbinding eruit gerukt wordt!

Dat de abuse desk niet terugbelt is jammer; echter in die paar keren dat ik met ze te maken heb gehad was ik telkens verbaast over hun uitermate correcte werkwijze en werk snelheid.

Just my thoughts...

En Btw; als je *na* een infectie nog eens met stinger gaat scannen, zegt dat mijnsinziens iets over de werkwijze op het netwerk (je zou als informaticus moeten weten dat stinger een lapmiddel is en je echte scanner altijd zoveel mogenlijk up-2-date moet zijn.....)

[edit] bij nader inzien zal de TS niet meer reageren; er is slechts 1 post op zijn account en dat is de startpost....

[ Voor 6% gewijzigd door Verwijderd op 08-03-2004 21:41 ]

[kazuka]

Nou, daar ben ik weer, online en wel

Wat was nu het geval?

Ik had zonder dat ik het in de gaten had het W32.HLLW.Gaobot.gen virus op mijn PC staan (die idd 24/7 aanstaat) echter mijn Virusscanner (Grisoft AVG met laatste definities) vond het virus niet.

Ik dus Symantec NAV erop en ja hoor; 3 infected files met bovengenoemd virus: winhlpp32.exe
scvtw32.exe
Zsoft32.exe

Had nog nooit van dit virus gehoord maar blijkt dus idd een Blaster kloon te zijn. Echter NAV kon de files niet desinfecteren, alleen deleten. Ook de fix voor dit virus en die stinger vonden geen virus

Vreemde is echter wel, dat ik telkens als ik m'n PC opnieuw opstart, ik geen internetverbinding heb. Pas als ik m'n IP adres wijzig van bijv. 10.0.0.141 naar 10.0.0.142 werkt het ineens weer. Maar als ik dan weer reboot werkt het .142 adres ook weer niet

[RaZ]

Hmm... Da's minder dat AVG het niet vind. Toevallig van't weekend een mail-server zitten installeren met AVG en een plug-in die de mails moet scannen
Maargoed, XS4ALL bied voor hun klanten anders wel McAfee aan, en die draait ook op de werkstations hier

[Verwijderd]

Ago's zijn profi zut.
Gemaakt in opdracht van spammers, de infectors verkopen de IP's door aan de spammers die de spammer dan als spam-relay gebruikt.
En daar zit idd ook wel eens dcom functionaliteit in.

Het beste kun je je bak schoonvegen en dan een AV draaien die goed is met backdoors.
Of een fatsoenlijke AT draaien, de meeste daarvan zijn echter minder qua detectie dan KAV/NAI/DIALS.

Edit:
Als het dezelfde Ago is als die waar ik denk dat het over gaat, dan detecteert McAfee deze nog niet.

[ Voor 14% gewijzigd door Verwijderd op 10-03-2004 02:58 ]

[kazuka]

Verwijderd schreef op 09 maart 2004 @ 20:25:
Ago's zijn profi zut.
Gemaakt in opdracht van spammers, de infectors verkopen de IP's door aan de spammers die de spammer dan als spam-relay gebruikt.
En daar zit idd ook wel eens dcom functionaliteit in.

Het beste kun je je bak schoonvegen en dan een AV draaien die goed is met backdoors.
Of een fatsoenlijke AT draaien, de meeste daarvan zijn minder qua detectie dan KAV/NAI/DIALS.

Edit:
Als het dezelfde Ago is als die waar ik denk dat het over gaat, dan detecteert McAfee deze nog niet.

Je adviseerd me dus een andere virusscanner als Nav 8.1 Corp. ? Want waar AVG het virus niet vond, vond NAV hem wel, echter kon hij de files alleen maar deleten (wat dus voor dat IP probleem zorgt blijkbaar) en niet desinfecteren.

En met schoonvegen, bedoel je dan een formaten dan een verse XP installatie erop?
Is nogal rigoreus Maar op zich niet onoverkomelijk

Al met al vind ik toch dat XS4All terecht mijn verbinding heeft afgesloten. Bovendien was ik na 5 minuten bellen (en slechts 5 min. in de wachtrij) met de helpdesk weer on-line.

Daarnaast kwam ik tot de ontdekking dat ik de Xs4all virusfilters nog niet aan had staan
Dus ook maar gauw gedaan

[Verwijderd]

kazuka schreef op 09 maart 2004 @ 20:35:
[...]


Je adviseerd me dus een andere virusscanner als Nav 8.1 Corp. ? Want waar AVG het virus niet vond, vond NAV hem wel, echter kon hij de files alleen maar deleten (wat dus voor dat IP probleem zorgt blijkbaar) en niet desinfecteren.

Het alleen maar deleten en niet disinfecten is normaal, je kunt alleen maar files disinfecten waaraan het virus is 'vastgeplakt' zeg maar, zodat je de oude file overhoudt, dat is zeker tegenwoordig niet vaak het geval meer.
Over dat IP probleem durf ik zo niet veel zinnigs te zeggen.

En met schoonvegen, bedoel je dan een formaten dan een verse XP installatie erop?
Is nogal rigoreus Maar op zich niet onoverkomelijk

Daarmee bedoel ik een format ja, het is meer geluk dat je die Ago gevonden hebt, wie weet wat er nog meer op staat, het hoeft zeker niet alleen die file te zijn.

Al met al vind ik toch dat XS4All terecht mijn verbinding heeft afgesloten. Bovendien was ik na 5 minuten bellen (en slechts 5 min. in de wachtrij) met de helpdesk weer on-line.

Mooi.

Nog mbt. het aanraden van een andere AV..
Mja, het is veel belangrijker dat je zelf leert zien wat je wel en wat je niet kan vertrouwen.
Files desnoods submitten etc..
Geen enkele AV kan het tegenwoordig nog écht bijhouden, sommige komen er dicht bij in de buurt, maar zonder educatie van de user zie ik ons deze strijd absoluut niet winnen, je moet dus vooral zelf goed opletten waar je mee bezig bent.

Ik kan wel zeggen dat de eerder genoemde AVs het stukken beter doen tov de rest, maar daar word je ook niet heel veel wijzer van qua computinghabits, hoewel de betere detectieratio natuurlijk altijd leuk is.

[Paquito]

Even een schopje. Bij het bedrijf van mijn vader hebben ze dit geintje ook uitgehaald. Zakelijk account en zo blij waren wij niet.
Een avondje heeft er op een van de computers een worm gestaan die blijkbaar wat dingen (volgens de xs4all log 3 connecties) gedaan heeft. Nog diezelfde avond is het opgelost en verwijdert. Komt xs4all 2! dagen later: verbinding zonder aankondiging afgesloten. Ja, de aankondiging kwam pas per mail toen hij al afgesloten was. Lekker handig. Niet even bellen van tevoren ofzo.

Vervolgens heeft het 2 dagen geduurd voordat het weer werd aangesloten. Wederom ook geen belletje of mailtje met enige excuses. Weet meteen bij wie ik geen abo hoef te nemen, maar voor het bedrijf is het een stuk lastiger om zomaar even te switchen...

[darkadon]

hebben ze op mijn vorige werk ook vaak gedaan bleek om een menselijke fout te gaan.

Bij mij thuis hetzelfde een medewerken van de abuse afdeling gaf toe dat een ping -t command werd gezien als een synflood of iets dergelijks. Tijdens een verhuizing ( er waren geen computers aangesloten) weer afgesloten geraakt. Door een virus (nooit een virus gevonden) enz enz. Ze kloten daar maar wat aan. Ben blij dat ik van ze afben abuse medewerkers die me opbellen en me uit maken voor een leugenaar als ik zeg dat ik virus vrij ben