[VirusAlert] Bagle varianten lijken o.a. van ISP af te komen

[Verwijderd]

Heb de twee Bagle topics gemerged, want wat is het nut van een Bagle topic als er een ander topic over geopend wordt om daarin verder te gaan?

Titeledit.

[Verwijderd]

Verwijderd schreef op 04 maart 2004 @ 14:09:
[...]

Misschien dat ik nog niet helemaal wakker ben, maar ik snap de strekking van je verhaal eigenlijk niet.
Misschien dat dit heel duidelijk is voor andere NAI users, maar zelf zou ik wat meer info leuk vinden.

Gokje: NAI heeft pwdzip sig niet aangepast.
Daarnaast is die methode/sig ook niet echt secuur.

De pwdzip werd niet herkent als virus maar doorgelaten, ik herkende het echter handmatig als virus en heb hem gesubmit om te kijken of het een nieuw of een bestaand virus was. Het bleek een bestaand virus te zijn, en de detectie zit al ingebakken in de 2 laatste dats (welke beide zijn geinstalleerd).

Kortom, waarom herkend mijn virusscanner het bericht niet als virus terwijl de goede dat files wel zijn geladen? En waarom herkend de online scanner hem wel?

[RobIII]

offtopic:
Wat is er met deze draad gebeurd? Ik was topicstarter, nu sta ik ergens op de 2e of 3e pagina met mijn topic-start en de titel is ook compleet omgegooid?
Had er niet beter een nieuw topic gestart kunnen worden ofzo? Hier word niemand wijs uit?

[Verwijderd]

RobIII schreef op 04 maart 2004 @ 17:36:

offtopic:
Wat is er met deze draad gebeurd? Ik was topicstarter, nu sta ik ergens op de 2e of 3e pagina met mijn topic-start en de titel is ook compleet omgegooid?
Had er niet beter een nieuw topic gestart kunnen worden ofzo? Hier word niemand wijs uit?

offtopic:
Dat is nou de kracht van het mergen van topics, ik ben er zelf geen voorstander van, maar organisatie-technisch valt er wel wat voor te zeggen.

[Yoeri]

Stel je voor dat een virusschrijver op het idee komt om dit systeem (password encrypted zipfile met paswoord in de mail) te combineren met die IE bug (waar hééééééél wat mensen nog geen patch voor hebben) namelijk: het paswoord is te vinden op www.provider.com:blabla@fakeurl

Dan gaan gebruikers pas ècht vertrouwen hebben in de authenticiteit en wordt de chaos zo mogelijk nog groter imho

offtopic:
hopelijk breng ik niemand op ideeën

RobIII schreef op 04 maart 2004 @ 17:36:

offtopic:
Wat is er met deze draad gebeurd?

Verwijderd schreef op 04 maart 2004 @ 14:49:
Heb de twee Bagle topics gemerged, want wat is het nut van een Bagle topic als er een ander topic over geopend wordt om daarin verder te gaan? Titeledit.

[ Voor 41% gewijzigd door Yoeri op 04-03-2004 17:56 ]

[Verwijderd]

Het lijkt er trouwens verdacht veel op dat het w32/bagle.gen!pwdzip alleen wordt tegengehouden met de extra.dat file en niet met de reguliere (up-to-date) dat files...

Weet niet precies hoe en wat, maar zonder de extra.dat wordt dat virus gewoon doorgelaten...

[Verwijderd]

Verwijderd schreef op 04 maart 2004 @ 11:59:
[...]

Eigenlijk niet Demon stuurt altijd mails die beginnen met een Nederlandse mededeling waarna deze ook nog eens vertaald wordt naar het Engels. Ook op de website is dat zo, zo doen die lui het altijd

Dat weet jij, dat weet ik.
Dat weet alleen 95% van de mensen niet

En dan heb je het alleen over Demon. Ik had het uiteraard over alle mails verstuurd binnen TLD's

[Zandor]

ik was er dus ingestonken...

Heb eigenlijk betrekkelijk weinig last van virussen, maar was al een beetje moe en schrok van de melding.
dus opende de attachment... (toen ratelde dus ff mijn hd)

ja wist toen wel dat er stront aan de knikker was.
de k variant overigens

[ Voor 5% gewijzigd door Zandor op 07-03-2004 10:47 ]

[Verwijderd]

Robbedoeske schreef op 04 maart 2004 @ 17:48:
Stel je voor dat een virusschrijver op het idee komt om dit systeem (password encrypted zipfile met paswoord in de mail) te combineren met die IE bug (waar hééééééél wat mensen nog geen patch voor hebben) namelijk: het paswoord is te vinden op www.provider.com:blabla@fakeurl

Dan gaan gebruikers pas ècht vertrouwen hebben in de authenticiteit en wordt de chaos zo mogelijk nog groter imho

offtopic:
hopelijk breng ik niemand op ideeën

[...]


[...]

nou begrijp ik ineens waarom ze bij mcafee besluiten hebben om die exploit als virus aan te duiden. (dus ff een verzoek aan iedereen die erop reageert: svp geen werkende url-exploit-link neer te zetten want dan kan ik weer allerlei warnings wegklikken)

[Flame17]

Ik had al problemen met de Mail verzending etc, etc en stond ook op de site van Tiscali, dus via de website mijn mail binnengehaald aangezien Outlook niet werkte door dit probleem.

Ik zie dus mail van [e-mail] met daar in het Nederlands vermeld dat vanaf mijn mailadres Virus wordt verspreid met een zip bestandje erbij, ik klik op dat bestandje en gelijk begint Norton Antivirus 2004( updated 5maart) te stampen en te roken en uiteindelijk deleted het bestandje.

Het leek dus HEEL erg betrouwbaar en ik ben bang dat ik niet de enige ben die het heel erg betrouwbaar vond klinken.

Een gewaarschuwd mens telt voor 2.

PS-->>> Voor de zekerheid 3x Online gescand met verschillende tools en niks gevonden.

[Verwijderd]

Let the fight continue:

I-Worm.Bagle.k, I-Worm.Bagle.l, I-Worm.Bagle.m

Drie nieuwe varianten dus ontdekt, gaat goed.

[Verwijderd]

Verwijderd schreef op 09 maart 2004 @ 12:40:
Let the fight continue:

I-Worm.Bagle.k, I-Worm.Bagle.l, I-Worm.Bagle.m

Drie nieuwe varianten dus ontdekt, gaat goed.

code:

./f-prot /home/william/Mail

code:

./trash/cur/1078843007.4258.zd9Li:2,S->MoreInfo.pif  Infection: W32/Bagle.K@mm

"Afkomstig" van [e-mail]. Met MoreInfo.pif bestand attached.

[ Voor 5% gewijzigd door Verwijderd op 09-03-2004 15:25 ]

[Zym0tiC]

Ok even een verhaal vooraf, ik heb weinig meegekregen van Bagle maar toen ik net mijn mail checkte moest ik gelijk hieraan denken.

Ik draai thuis een imap server (Mdaemon) die van 5 mail accounts waaronder 4 van mijn .nl domein afkomstig zijn de mail ophaalt.

Ik kreeg het volgende mailtje:

code:

Dear user of "Shinebox.nl" mailing  system,

Your e-mail account has been temporary disabled  because of unauthorized access.

Advanced details can be found in attached file.

Sincerely,
    The  Shinebox.nl  team                    http://www.shinebox.nl

vervolgens gelijk erna het volgende mailtje:

code:

The following message contained restricted attachment(s) which have been removed:

From      : [e-mail]
To        : xxxxxx@shinebox
Subject   : Notify about using the e-mail account.
Message-ID: <[e-mail]>

Attachment(s) removed:
-----------------------------------------
Message.pif

Zo te zien heeft mdaemon het betreffende bestand eruit gehaald. 2de mailtje kwam van postmaster@shinebox wat een standaard mdaemon account is. Het eerste mailtje kwam van support@shinebox wat dus niet bestaat.

Wanneer ik de header opvraag van het eerste mailtje dan zie ik idd het bovenstaande yahoo mail adres staan + een @home adres incl. cp nummer.

Nu is mijn vraag, hoe te handelen, mijn mailserver heeft het bestand wel geblocked maar zijn er punten waar ik op kan letten of die ik nu in de gaten moet houden?

[Verwijderd]

Nu is mijn vraag, hoe te handelen, mijn mailserver heeft het bestand wel geblocked maar zijn er punten waar ik op kan letten of die ik nu in de gaten moet houden?

Sja, het is een virus dus gewoon zo snel mogelijk verwijderen en zorgen dat de virusscanner op je mailserver een beetje up-to-date blijft want er komen tegenwoordig meerdere gevaarlijke virussen (varianten) per dag uit. In vrijwel alle gevallen was er al een grote uitbraak voordat de grote scanner firma's afdoende definitie bestanden hadden vrijgegeven....

[RaZ]

Ik kreeg vandaag helemaal een mooie binnen op het werk, die was afkomstig van ons (afzenders-adres), gericht aan ons info-adres, dat wij problemen zouden hebben met onze eigen mail-server, en dat de bijlage attachment.zip een how-to/patch bevatte en die zip was password protected.
Vond het opzich wel grappig, moest er wel om lachen.

Het lijkt trouwens wel alsof het steeds erger wordt met virussen, gaat op me werk geen dag voorbij of ik heb er wel 3 a 4.

[Verwijderd]

Er is weer een nieuwe variant ontdekt.
En er zit weer een TrojanProxy 'bij'.

I-Worm.Bagle.m and TrojanProxy.Win32.Mitglieder.t

(Die I-Worm.Bagle.m detectie van paar dagen geleden is geschrapt omdat het geen echte I-Worm was)

A new Bagle.M worm variant has been found 15 minutes ago. It drops a new Mitglieder.T proxy trojan and an loader component for it. This variant is similar to the previous .L variant of the worm.

[wildhagen]

Tralalala. Het is een paar dagen rustig geweest, en de hormoontjes bij de virusmakers spelen kennelijk weer op, want Bagle.N is gereleased.

McAfee/NAI write-up: http://vil.nai.com/vil/content/v_101095.htm

[Verwijderd]

En Bagle.o is er nu ook...

quote: F-Secure

Saturday, March 13, 2004
Bagle.O found Posted by Ero @ 23:13 GMT


Yet another one. We have generic detection for this variant.

Edit:
Over Bagle.n
NAI: upgraded to Medium Risk
FSAV: Level 2 risk

Interessante dingetjes:

This time the executable can be packed inside a ZIP or RAR archive, which can be encrypted with a password. Password can be shown as a BMP/GIF/JPG image, like this:

Password:

This is of course an attempt to make the work of gateway-based scanners harder (after we and many other vendors started detecting password-protected ZIP files sent by previous Bagles).

Ook nog nieuw: encrypted polymorphic parasitic file infector

Deze is toch een stuk gevaarlijker, naast de backdoor, nu ook verspreiding via RAR, wat toch een paar AVs niet(goed)ondersteunen.
File-infector component is ook niet echt iets om vrolijk van te worden eigenlijk.

Edit2:
NAI en Symantec zullen hier vandaag/vannacht nog een weekly/LU voor releasen.
_{Het blijft erg dat een update 'bijzonder' is, zeker als je je bedenkt dat het de twee met het grootste marktaandeel zijn}

[ Voor 80% gewijzigd door Verwijderd op 14-03-2004 02:25 ]

[Piet Marisael]

Ben er dus ook mooi mee gen**id, het bagle-o virus heeft mijn gehele Anti-Virus en Internet Securytie plat gegooid.
HouseCall ziet ze wel maar voert geen actie uit.
Online Scan bij symantec ziet helemaal niks.
Hoe kom ik er nu vanaf van dat virus?

[wildhagen]

Heb je Stinger al eens geprobeerd?

Dat is de removal tool van NAI, die zou in staat moeten zijn om het virus de nek om te draaien.

[Verwijderd]

Bagle.o of bedoel je toch Bagle.n ?
Probeer NAI stinger maar eens..
http://download.nai.com/products/mcafee-avert/stinger.exe

[Piet Marisael]

ik bedoel deze: bagle N-O
Stinger heb ik zojuist opgehaald op http://vil.nai.com/vil/stinger/
die draait momenteel, nu maar hopen dat alles goed komt
Jeetje dat ik zo dom heb kunnen wezen om in dat mailtje te trappen
was dus afkomstig van zogenaamd mijn provider ( [e-mail] )
in het vervolg maar beter opletten en gelijk mijn broer waarschuwen.

in een uurtje tijd meer dan 500 files ge-infecteerd

en Symantec maar roepen:

26681 gescande bestanden, 0 geïnfecteerde bestanden.

Ik ben er ondertussen ook achter dat het overal in kruipt, niet alleen op je C:-schijf.
Het is dus raadzaam om gelijk alle schijven te controleren.

[ Voor 32% gewijzigd door Piet Marisael op 14-03-2004 15:23 ]

[Piet Marisael]

Krijg nou tieten:

het bagle-n virus blijft in m'n systeem zitten.
Steeds na een herstart is het weer actief terwijl ik alle mogelijke schijven had gescand.

Blijft dit virus in het geheugen zitten ofzo??

[Verwijderd]

Piet Marisael schreef op 14 maart 2004 @ 16:09:
Blijft dit virus in het geheugen zitten ofzo??

Dat zou niet het geval moeten zijn..
Probeer Stinger eens in safe-mode.

[Piet Marisael]

Verwijderd schreef op 14 maart 2004 @ 16:21:
[...]

Dat zou niet het geval moeten zijn..
Probeer Stinger eens in safe-mode.

Oja en dan wel als admin inloggen.
Ga het eens proberen.
Heb trouwens niet echt de indruk dat m'n tweede HD daadwerkelijk gescand wordt.

[Ruzor]

Piet Marisael schreef op 14 maart 2004 @ 16:25:
Heb trouwens niet echt de indruk dat m'n tweede HD daadwerkelijk gescand wordt.

Misschien gebeurd dat ook helemaal niet, omdat het virus zich alleen op c: installeerd?

[ralfbosz]

Toevallig een week of twee geleden begonnen met een mailserver oplossing compleet met virusscanning, dus volg dit soort berichten met grote nieuwsgierigheid. Mijn oplossing is up-and-running, maar moet dus constant in de gaten gehouden worden. Die wachtwoorden waren al een probleem, maar gelukkig snel op te lossen door een aanpassing in het script. En nu dit weer.

De gebruikte virusscanner kent hem gelukkig al, nu eens kijken of ik ze in de grafieken zie terugkomen....

<code> ClamAV database updated (2004.03.13 20:51 GMT): daily.cvd, viruses.db2
Version: 181

Submission: 1954, 1955
Sender: Bill Landry, Alex Povolotsky
Submitted virus name: Unknown Virus
Virus name: Worm.Bagle.N
Added: Yes </code>

voor de nieuwsgierigen: de oplossing bestaat uit Postfix met Amavisd-new en Clamav (clamd). SpamAssassin draait ook, maar is puur informatief (er worden grafieken gemaakt met hoeveelheid post, spam en virussen).

[Piet Marisael]

Ook na een scan via veilige mode als Admin blijft het virus terug komen.
En steeds weer als eerste in C:\Windows\System32\winupd.exe
Dit bestandje is al vele malen gedelete maar blijkt weer na een herstart op de computer te staan.
Hebben we nu met een hardnekkige variant te maken??

[wildhagen]

Zoek eventueel eens in je registry, of daar een verwijzing naar die winupd.exe staat (zo ja, weg ermee).

Het gaat om twee keys:

The following Registry key is added to hook system startup:

* HKEY_CURRENT_USER\Software\Microsoft\Windows\
CurrentVersion\Run "winupd.exe" = C:\WINNT\SYSTEM32\winupd.exe

An additional key is created as well:

* HKEY_CURRENT_USER\Software\winupd

Bron: http://vil.nai.com/vil/content/v_101095.htm

[Verwijderd]

Stinger werkt niet fatsoenlijk.
Wat wil je ook, ze hebben langer nodig om een sigupdate uit te brengen dan een nieuwe stingerversie.
Als je je daarbij bedenkt dat de engine polymorphic is...sig dus niet goed genoeg.

Heb testbak geïnfecteerd met Bagle.n, daarna Stinger eroverheen gegooid, en ben op het moment aan het scannen met KAV.
Op dit moment heeft KAV al twee file-infecte samples gevonden...

Wat wel niet handig aan KAV atm is, is dat file-infecte samples via heuristics worden gedetecteerd.
Maw: je kan ze nog niet cleanen..
Niet echt heel handig.

Probeer eens een andere removal tool.

[Piet Marisael]

Verder zoekende heb ik ook gevonden dat je "Systeemherstel" moet uitschakelen.
Het gaat we erg ver zeg, het is ook bekend dat het zichzelf na 31 december 2005 uitschakeld.
Dat wordt dus de volgende stap als dit ook niet lukt.

Een andere removal tool?
Het is me ook al duidelijk dat het regedit uitschakelt als het virus aktief is.

[ Voor 22% gewijzigd door Piet Marisael op 14-03-2004 17:27 ]

[Verwijderd]

Piet Marisael schreef op 14 maart 2004 @ 17:25:
Dat wordt dus de volgende stap als dit ook niet lukt.

SystemRestore moet je zeker uitzetten als je dit dingetje wilt verwijderen.
Mijn bevindingen zijn echter @ win2k, waar geen SR op zit.

[Piet Marisael]

Verwijderd schreef op 14 maart 2004 @ 17:28:
[...]

SystemRestore moet je zeker uitzetten als je dit dingetje wilt verwijderen.
Mijn bevindingen zijn echter @ win2k, waar geen SR op zit.

SR staat uit, de verwijzingen uit het register gehaald en Stinger opnieuw gedraaid.
Niks meer te zien, alhoewel.....
Na een nieuwe opstart ben ik weer bij AF.
winupd.exe bestaat weer en dus ook bagle-n
dus dat helpt ook niet veel.
Systeemtijd dan maar veranderen?
Zie er eerlijk gezegd ook niet veel heil in.

[Verwijderd]

Ah, bedoelde je dat zo.(systeemtijd veranderen)
Zoek eens naar een andere removal tool..hoewel ik er zo 1,2,3 geen kan vinden eigenlijk.

[Piet Marisael]

Hmm systeemtijd vooruit zetten heeft ook al geen succes gehad.
Ook in 2006 blijft het virus aktief.
Alleen Stinger gaf aan dat hij sterk veroudert was en aan een update toe was.
Op naar de volgende oplossingen?

[Piet Marisael]

Ook in 2006 blijft het bestaan.

Momenteel heb ik Spyhunter v 1.1.29 draaien.
Die ziet hem staan als virus Enterprise in de memory.
AHA het blijft dus in het geheugen aktief ook na een nieuwe opstart.

EDIT:

Spyhunter vind je hier: http://softwho.com/mcafee-virusscan.htm
En die zoekt dus ook in het geheugen.

NOG meer EDIT:

Enigma vraagt er geld voor als je het zaakje wil removen.
Begint er zachtjes op te lijken dat de herkomst van het virus bekent gaat worden.

[ Voor 43% gewijzigd door Piet Marisael op 14-03-2004 18:24 ]

[Piet Marisael]

PandaActiveScan ziet meer dan Stinger.
Maar helaas krijg je na de scan al snel het bericht dat ze het nog niet kunnen ontsmetten.

[Mentalist]

Ik ben een leek op dit gebied, maar ik heb het bekende mailtje ook gehad op m'n GMX account. Nu valt het natuurlijk op dat de mail niet Duits was maar Engels, de mailclient die ik gebruik (Foxmail) laat standaard mail alleen in textmode zien (eventuele zieke HTML troep werkt dus niet ) en attachments open ik nooit.. Maar als het een Duitse mail was geweest was ik er bijna ingetrapt.

Echter, de reden dat ik deze reply nog type is vanwege het wazige return-path :

Return-Path: <ver[e-mail]>

Van dat return-path kreeg ik aan aantal uurtjes eerder ook al een mail, alleen dan met subject "Site changes" en een .pif erbij (en wat wazige tekst, maar die mail heb ik al getrashed). Die had ik toen geforward naar Schouw, en zodoende geloofde ik ook bijna dat mailtje dat m'n mailaccount op inactief gezet zou worden (sja, ik _had_ idd wel net een virus geforward ).

Maar het lijkt erop dat je aan het return-path dan nog kan zien of een mail fake is . Of is dit ondertussen misschien ook alweer veranderd met een nieuwe variant

[ Voor 8% gewijzigd door Mentalist op 14-03-2004 21:25 ]

[Piet Marisael]

Het begint erop te lijken dat ik er van verlost ben, hoop ik.
Wat heb ik gedaan?
Gewoon een cocktail aan scanners tegelijk laten lopen.
Natuurlijk allemaal op het laatste moment nog laten updaten.
Wat heb ik dan wel tegelijk laten draaien?

Spyhunter
PandaActiveScan
Stinger
Ad-Aware
SpyBot-Search
RegVac

Nadat ik opnieuw heb opgestart lijkt het wel of er niks meer gevonden kan worden.
Inderdaad ook helemaal geen Winupd.exe meer te vinden.
En nou maar hopen dat het ook werkelijk weg blijft.

Kan ik weer aan de klus beginnen om Internet Security en NAV draaiende te krijgen.

[Verwijderd]

W3ird_N3rd schreef op 14 maart 2004 @ 21:14:
Echter, de reden dat ik deze reply nog type is vanwege het wazige return-path :

Return-Path: <ver[e-mail]>

Maar het lijkt erop dat je aan het return-path dan nog kan zien of een mail fake is . Of is dit ondertussen misschien ook alweer veranderd met een nieuwe variant

From : (the address may be spoofed, using the recipient's domain name and a user name taken from the following list, or another address found on the local system)

* management@
* administration@
* staff@
* noreply@
* support@
* other address found on the system

In dit geval dus eens de laatste ipv 'eigen domein'.

Ik denk dat je in dit geval gerust mag stellen:
return-path = from field

Anders kan ik het ook niet zo 1,2,3 verklaren eigenlijk.

[Mentalist]

Verwijderd schreef op 14 maart 2004 @ 21:40:
[...]


[...]

In dit geval dus eens de laatste ipv 'eigen domein'.

Ik denk dat je in dit geval gerust mag stellen:
return-path = from field

Anders kan ik het ook niet zo 1,2,3 verklaren eigenlijk.

Nope. In het from-field stond [e-mail] oid. (ja, of het nou support of management of administration was weet ik niet meer )

Als de mail Duitstalig was geweest en een geloofwaardiger return-path had gehad dan was het mailtje al een akelig stuk geloofwaardiger geworden

[Verwijderd]

W3ird_N3rd schreef op 14 maart 2004 @ 21:57:
[...]

Nope. In het from-field stond [e-mail] oid. (ja, of het nou support of management of administration was weet ik niet meer )

Als de mail Duitstalig was geweest en een geloofwaardiger return-path had gehad dan was het mailtje al een akelig stuk geloofwaardiger geworden

Hmm...
Had me dan ook de hele mail gestuurd, prutser.

Ik kan er zo niets over vinden, zal anders nog eens navragen of het normaal is.

[Mentalist]

Verwijderd schreef op 14 maart 2004 @ 22:09:
[...]

Hmm...
Had me dan ook de hele mail gestuurd, prutser.

Ik kan er zo niets over vinden, zal anders nog eens navragen of het normaal is.

Oh crap. Ik dacht dat is natuurlijk weer een of ander prul wat Schouw allang heeft, heb ik 'm getrashed .

Als ik nog meer rotzooi ontvang zal ik het bewaren. Sorry

[edit]
Ik zal even een poging wagen met getdataback. Who knows..

[ Voor 8% gewijzigd door Mentalist op 14-03-2004 22:36 ]

[Verwijderd]

W3ird_N3rd schreef op 14 maart 2004 @ 22:31:
[...]

Oh crap. Ik dacht dat is natuurlijk weer een of ander prul wat Schouw allang heeft, heb ik 'm getrashed .

Als ik nog meer rotzooi ontvang zal ik het bewaren. Sorry

Zoals ik vanmiddag al zei: Ding was toen je hem kreeg nog geen 16 uur oud.
De exe-file had ik idd al, maar geen mail.(De eerste kreeg ik van source die hem via kazaa had)

/off-topic.

Misschien iemand anders die W3ird_N3rd's bevestigingen kan bevestigen?
(Ik blijf er gewoon bij dat het aan de sample ligt en er niets bijzonders aan de hand was btw)

[Mentalist]

Verwijderd schreef op 14 maart 2004 @ 22:38:
[...]

Zoals ik vanmiddag al zei: Ding was toen je hem kreeg nog geen 16 uur oud.
De exe-file had ik idd al, maar geen mail.(De eerste kreeg ik van source die hem via kazaa had)

Dat was de eerste mail (site changes, die had ik ook geforward). Die 2de mail was echter natuurlijk wel weer van hetzelfde planet.nl adres (zo leek het, zelfde return-path).

Anyway, eens zien of ik wat uit getdataback krijg. Ik typ dit nu al vanaf laptop omdat FireFox op m'n werkbak op dezelfde partitie als Foxmail staat

[edit]
Iig wat files teruggevonden. Net even getdataback geregistreert, dus nu even checken. Just a moment

[edit2]
Allemaal dezelfde MD5 sum.

Net nog een brakke file teruggekregen.. Maar die mail is weg

[ Voor 24% gewijzigd door Mentalist op 14-03-2004 23:26 ]

[wildhagen]

Yes. Weer een nieuwe variant, Bagle.O: http://vil.nai.com/vil/content/v_101098.htm

Let me guess: Kaspersky gaat hem .P noemen

[0xDEADBEEF]

wildhagen schreef op 15 maart 2004 @ 11:42:
Yes. Weer een nieuwe variant, Bagle.O: http://vil.nai.com/vil/content/v_101098.htm

Let me guess: Kaspersky gaat hem .P noemen

NAI tagged m Bagle.p / Bagle.P

Panda AV tagged m Bagle.O : http://www.pandasoftware....aspx?IdVirus=45607&sind=0

[ Voor 28% gewijzigd door 0xDEADBEEF op 15-03-2004 13:20 . Reden: Added "Bagle" ]

[wildhagen]

NAI tagged m Bagle.p / Bagle.P

Ik zie het ja. Daar straks heette hij nog .O...

[0xDEADBEEF]

Write-up van Trend: http://www.trendmicro.com...ult5.asp?VName=PE_BAGLE.P

[D2k]

0xDEADBEEF schreef op 15 maart 2004 @ 13:44:
Write-up van Trend: http://www.trendmicro.com...ult5.asp?VName=PE_BAGLE.P

Yellow alert issut zelfs, zit al in de daarstrax uitgebrachte pattern 819

[Verwijderd]

wildhagen schreef op 15 maart 2004 @ 11:42:
Yes. Weer een nieuwe variant, Bagle.O: http://vil.nai.com/vil/content/v_101098.htm

Let me guess: Kaspersky gaat hem .P noemen

Je bent eens afwezig en je weer een nieuwe variant..

KAV: I-Worm.Bagle.o (for now iig)
Dus toch weer afwijkend.

[Piet Marisael]

Zojuist maar weer eens de computer opgestart en tot nu toe gelukkig geen enkele aanwijzing dat ik nog besmet ben.

[Verwijderd]

Trend heeft nieuwe pattern gereleased:
Release Type: New Malware Threat
Notes: PE_BAGLE.N-1 and PE_BAGLE.P-1

Die [virus]-0, [virus]-1 namen geven normaal gesproken(bij Trend iig)aan dat het om een aangepaste sample gaat.(Dus edited/crypted/etc versie van een verder(meestal)compleet identieke sample)

Heb even rondgekeken op paar vendors hun site, heb nog niets kunnen vinden erover.
Bagle.p werd eerst als Bagle.o-0 gedetecteerd door Trend, dus ben benieuwd wat we hier van moeten verwachten.

[D3NN1S]

Vandaag hebben wij een variant van het bagle virus ontvangen met een NEDERLANDSE tekst erin.

Er stond iets in als:

Hallo!

Ik had ook het bagle virus maar door het bijgevoegde tooltje is mijn pc nu weer schoon!
Doe het snel!

Meer mensen die dit gehad hebben?

[Verwijderd]

D3NN1S schreef op 17 maart 2004 @ 07:53:
Vandaag hebben wij een variant van het bagle virus ontvangen met een NEDERLANDSE tekst erin.

Er stond iets in als:

[...]


Meer mensen die dit gehad hebben?

Dat klinkt interessant..
Als welke variant werd de attachment gedetecteerd?
(Als attach niet gedetecteerd werd en jullie hebben de sample nog, dan zou ik die érg graag willen zien, zie sig voor mail).

[wildhagen]

Verwijderd schreef op 17 maart 2004 @ 09:44:
[...]

Dat klinkt interessant..
Als welke variant werd de attachment gedetecteerd?
(Als attach niet gedetecteerd werd en jullie hebben de sample nog, dan zou ik die érg graag willen zien, zie sig voor mail).

Ik denk dat-ie voorlopig even niet kan mailen

Zijn emailadres geeft namelijk best wel wat errors:

A message that you sent could not be delivered to one or more of its recipients. This is a permanent error. The following address(es) failed:

<knip>@cistron.nl
Account has been disabled

Volgens mij heeft-ie hem geopend ofzo en vond Cistron dat niet zo fijn

D3NN1S: ik ben ook geinteresseerd in het mailtje, als je toevallig even tijd/zin hebt (emailadres: zie mijn profile)..

[D3NN1S]

wildhagen schreef op 17 maart 2004 @ 10:16:
[...]


Ik denk dat-ie voorlopig even niet kan mailen

Zijn emailadres geeft namelijk best wel wat errors:

[...]


Volgens mij heeft-ie hem geopend ofzo en vond Cistron dat niet zo fijn

D3NN1S: ik ben ook geinteresseerd in het mailtje, als je toevallig even tijd/zin hebt (emailadres: zie mijn profile)..

Ja sorry dat mail adres werkt niet meer.. ik zit nu bij demon maar ben het vergeten aan te passen in mn profiel

Maar die mail is bij een collega binnengekomen op de helpdesk van gemeente zaanstad.. ik zal hem zo eens vragen en post het dan hier.

[D3NN1S]

Nou het blijkt allemaal loos alarm te zijn!! Een of andere grapjas vond het leuk om zn alert.txt in een mailtje te plakken omdat ie dacht dat hij een virus op zn pc had.. en heeft hem vervolgens met een hele vage tekst doorgestuurd vanaf een nog vager privé address al met al loos alarm.

[wildhagen]

ALERT.TXT kan ook toegevoegd zijn door de virusscanner op de mailserver van die grapjas. NAI GroupShield (en ik neem aan elk goed scanprodukt voor mailservers) kan bijvoorbeeld ook een besmet attachment vervangen door een ALERT.TXT, waarbij de tekst van de mail ongewijzigd blijft

Maargoed, beter zo dus

[D3NN1S]

wildhagen schreef op 17 maart 2004 @ 14:30:
ALERT.TXT kan ook toegevoegd zijn door de virusscanner op de mailserver van die grapjas. NAI GroupShield (en ik neem aan elk goed scanprodukt voor mailservers) kan bijvoorbeeld ook een besmet attachment vervangen door een ALERT.TXT, waarbij de tekst van de mail ongewijzigd blijft

Maargoed, beter zo dus

Dat weet ik en dat doen die servers dus ook alleen daarop heeft hij een nieuwe mail getypt die attachement (alert.txt) toegevoed en vanaf zijn thuis pc verstuurd. met de melding dat hij het virus had (dacht ie was dus al afgevangen door de server) en dat ie het met het tooltje had verwijderd... welke hij dus niet heeft bijgevoegd.

Automatisch werd dus door mijn collega gedach aangezien hij een mailtje van een onbekend adres in het nederlands met een alert.txt aantrof dat dit een nieuwe variant was allemaal ophef om niets dus

Maarja you can't be to carefull

[Piet Marisael]

Zojuist zag ik alweer een mailtje op de server klaar staan in de vorm als afgelopen zaterdag waar toen het Bagle-N in zat.
Even de Full-Header bekeken en jawel hoor de virusscanner van @HOME melde:
Found to be CLEAN.
Daarop heb ik de helpdesk gebeld met de vraag: hoe kan dit nu?
Helpdesk:"Tja alle virusscanners laten wel eens iets doorglippen, dus zo ook bij de providers".
Goh ook een die blij is dat hij zijn vrije uurtjes mag opvullen bij een "helpdeskie".
Wat is eigenlijk het nut van een helpdesk?
Je eigen tekortkomingen goedpraten?
Ik heb het mailtje zelf maar op de server verwijderd.

[ Voor 3% gewijzigd door Piet Marisael op 17-03-2004 20:15 ]

[Verwijderd]

@home kan de mailserver gewoonweg niet fatsoenlijk configgen..
Maar los daarvan: _alle_ virusscanners detecteren niet alle virussen, dus om over die uitspraak te gaan zeuren, is niet juist. imho

Zelfs de combo KAV+NAI+DIALS+NOD32 AH is niet 100% proof.
Dat zegt genoeg imo.

[wildhagen]

En wederom een nieuw variantje: Bagle.Q

Write-Up: http://vil.nai.com/vil/content/v_101108.htm

Edit: AFAIK is dit nieuw gedrag:

NOTE: In our analysis, AVERT that the virus has the ability to propagate via email containing hidden HTML code. These emails do not contain a binary attachment, but utilize Microsoft vulnerabilities to download the virus from the remote sites.

[ Voor 61% gewijzigd door wildhagen op 18-03-2004 09:38 ]

[wildhagen]

En dan doen we Bagle.R ook maar meteen. We gaan weer lekker vandaag...

Write-up: http://vil.nai.com/vil/content/v_101109.htm

edit: en dit had een edit moeten zijn op mijn vorige post...

[ Voor 21% gewijzigd door wildhagen op 18-03-2004 10:14 ]

[Verwijderd]

Dan doe ik er nog een schepje bovenop en zeg dat Bagle.s ook al weer gevonden is...
http://www.f-secure.com/weblog/

[D2k]

http://www.trendmicro.com...ult5.asp?VName=PE_BAGLE.Q

Yellow alert bij trend. maar of trend's Q R is weet ik niet.

[BoGhi]

Deze varianten gaan vast en zeker een andere doelgroep treffen, gezien er geen bijlage geopend hoeft te worden voor verspreiding.. als je IE niet gepatched is tenminste.

[wildhagen]

Verwijderd schreef op 18 maart 2004 @ 10:16:
Dan doe ik er nog een schepje bovenop en zeg dat Bagle.s ook al weer gevonden is...
http://www.f-secure.com/weblog/

En ik doe er nog één schepje bovenop, met Bagle.T

Write-up: http://vil.nai.com/vil/content/v_101112.htm

Overigens is er voor alle nieuwe varianten (Q, R, S en T) een extra.dat uitgekomen van NAI/McAfee: http://a64.g.akamai.net/7...mcafee-avert/101108-a.exe

[ Voor 24% gewijzigd door wildhagen op 18-03-2004 15:02 ]

[jejeh]

NOD32 - v.1.678 (20040318)
Virus signature database updates:
Win32/Bagle.S

NOD32 - v.1.677 (20040318)
Virus signature database updates:
Win32/Bagle.T

NOD32 - v.1.676 (20040318)
Virus signature database updates:
Win32/Bagle.{Q,R}

NOD32 - v.1.675 (20040318)
Virus signature database updates:

chapeau nod32, al 4 updates vandaag.

[Verwijderd]

Het is niet de bedoeling hier 'updatelogs' van je favo AV neer te zetten, iig niet zonder extra info.
Dat gaat de draad nogal vervuilen nml.

offtopic:
Vier updates op een dag is niet zo héél bijzonder hoor, kijk maar naar Dr. Web/BD/KAV.

[Miki]

Write-up van Panda: toevallig vandaag een licentie gekocht

wirte-up Gebruik de overige tabs voor specifieke info.

Daarnaast zijn er al repair utilities voor alle Bagle virussen tot en met O.

[ Voor 4% gewijzigd door Miki op 18-03-2004 18:28 ]

[AW_Bos]

Ik las op teletext dat het Bagle Q virus om zich heen grijpt en dat hij bij het ophalen al automagisch wordt opgestart.
Dit kan toch niet lijkt me? Of is dat via het voorbeeldvenster dat ie zich activeerd?

[wildhagen]

AW_Bos schreef op 18 maart 2004 @ 19:06:
Ik las op teletext dat het Bagle Q virus om zich heen grijpt en dat hij bij het ophalen al automagisch wordt opgestart.Dit kan toch niet lijkt me? Of is dat via het voorbeeldvenster dat ie zich activeerd?

Jawel. Check (o.a.) de NAI-site (http://vil.nai.com/vil/content/v_101108.htm):

This virus spreads by sending a seemingly blank email. This email uses a Microsoft vulnerability found in security bulletin MS03-032 to download the worm on port 81 without requiring user intervention/action

Iedereen moet dus gewoon de patches tegen de MS03-032 installeren. Die zijn hier te downloaden: http://www.microsoft.com/...ty/bulletin/MS03-032.mspx (kijken bij Patch Availabelity).

Overigens geld dit niet alleen voor de Q-variant, maar ook voor R, S en T-varianten van Bagle.

[ Voor 14% gewijzigd door wildhagen op 18-03-2004 20:04 ]

[BoGhi]

Volgens mij moet je deze hebben, die oudere bleek niet helemaal oke te zijn..:
http://www.microsoft.com/...ty/bulletin/MS03-040.mspx

[Verwijderd]

Het heeft even geduurd maar er is weer een nieuwe variant..
http://www.f-secure.com/v-descs/bagle_u.shtml

[wildhagen]

Ah, ik dacht al zoiets... krijg hier opeens attachments van (afgerond) 9 kB binnen met een mooi icoontje van een (soort van) klokje, en allemaal weirde random filenames...

Kaspersky vangt hem nog niet af, Trend ook niet, McAfee ook niet. Heb hem maar ff naar webimmune gesubmit.

Tot nu toe zo'n 10 exemplaren in het laatste halfuur.

[D2k]

http://www.trendmicro.com...t5.asp?VName=WORM_BAGLE.U
"working on it"

[Verwijderd]

Afaik is F-Secure een van de weinigen met daadwerkelijk al detectie ervoor.
KL is bezig met sig maken/testen.

Vind het overigens toch wel knap dat jij zo vaak zo snel al die nieuwe troep binnenkrijgt btw.

Edit:
Bad ik, KL heeft al 10 minuten detectie.

[ Voor 12% gewijzigd door Verwijderd op 26-03-2004 11:00 ]

[wildhagen]

Verwijderd schreef op 26 maart 2004 @ 10:59:

Vind het overigens toch wel knap dat jij zo vaak zo snel al die nieuwe troep binnenkrijgt btw.

Hé, ik niet persoonlijk, ik ben systeembeheerder, en ik houd de Quarantaine Manager van McAfee Groupshield hier in de gaten (13 servers die rapporteren), dus ik kan zien wat er zoals binnenkomt, en de (geblokeerde) files uit de database halen

En de write-up van McAfee is er ook al: http://vil.nai.com/vil/content/v_101141.htm

[ Voor 9% gewijzigd door wildhagen op 26-03-2004 11:04 ]

[wildhagen]

En ze hebben inmiddels een extra.dat gereleased: http://a64.g.akamai.net/7...mcafee-avert/101141-a.exe

edit: dit had dus een edit moeten wezen, stomme knopjes ook...

[ Voor 19% gewijzigd door wildhagen op 26-03-2004 11:15 ]

[Verwijderd]

Symantec heeft ook een write-up: http://securityresponse.symantec.com/avcenter/venc/data/[e-mail]

Note: Current virus definitions detect this threat as W32.Beagle.gen.

Dat is wel interessant...ben benieuwd wie het ding nog meer via heuristics/gen sig kan detecteren.

[wildhagen]

Voor de mensen met een firewall is dit wel interessant (komt uit de write-up van NAI/McAfee):

The worm sends notification via HTTP to a remote script. Users should block outgoing HTTP traffic to the following domain:

* http://www.werde.de

[Verwijderd]

wildhagen schreef op 26 maart 2004 @ 11:20:
Voor de mensen met een firewall is dit wel interessant (komt uit de write-up van NAI/McAfee):


[...]

Als deze echt widespread gaat worden, gaan we sowieso een increase in portscan op die specifieke poort zien. Als je kijkt naar tcp 3127(Mydoom)....
Er worden echt ontzettend veel Agobots zo naar besmette pc's ge-upload, evenals sdbots e.d..
Dus niet alleen de scriptkiddies(sdbot), maar ook de 'echte'(Agobots), hoewel Ago's ook wel door scriptkiddies worden gebruikt.

Edit:
Nog geen specifieke write-up, maar er wordt wel al melding van gemaakt op de site.
www.viruslist.com - Moderate Risk

Edit2:
http://www.viruslist.com/eng/viruslist.html?id=1221356

[ Voor 15% gewijzigd door Verwijderd op 26-03-2004 12:38 ]

[D2k]

Trend Pattern gereleased.

[Verwijderd]

Hij gaat hard...
McAfee heeft hem de status ook al verhoogd naar Medium.

[Caeruleus]

Hier is de Bagle.U ook al onderschept, het is ook bijna niet meer bij te houden, zo snel als die krengen zich verspreiden.

[ Voor 21% gewijzigd door Caeruleus op 26-03-2004 13:10 ]

[Miki]

Write-up van Panda: Bagle.U

Status: High
Poort die gebruikt wordt: TCP 4751
Bestanden die worden aangemaakt: GIGABIT.EXE, A.BAT, A.EXE

Mocht je besmet raken, de Panda online av-scanner herkend um al.

*note: het schijnt dat als het bestand GIGABIT.EXE actief is geworden het bestand A.BAT download en dan diezelfde GIGABIT.EXE verwijderd. Het bestand A.EXE wordt eveneens gedownload en is terug te vinden in één van de windows directory's.

[ Voor 29% gewijzigd door Miki op 26-03-2004 13:46 ]

[Verwijderd]

En een nieuwe variant is ITW: I-Worm.Bagle.t

Write-up: http://www.f-secure.com/v-descs/bagle_v.shtml

[Miki]

Verwijderd schreef op 29 maart 2004 @ 11:00:
En een nieuwe variant is ITW: I-Worm.Bagle.t

Write-up: http://www.f-secure.com/v-descs/bagle_v.shtml

Dit wordt gewoon belachelijk, het is niet leuk meer. Stiekem bekruipt me ook het gevoel dat vendors hier aan meewerken en er gretig op inspringen om te benadrukken dat een av-scanner belangrijk is. Bagle A tot T is er al, de vraag is wanneer de volgende komt

Ach ja, panda herkend het virus ook al: link write-up

Dit geldt ook voor de online scanner van Panda, dus mocht je besmet raken en je vendor heeft nog geen update ervoor... dan kun je het proberen.

[ Voor 12% gewijzigd door Miki op 29-03-2004 12:39 ]

[Verwijderd]

Miki schreef op 29 maart 2004 @ 12:32:
[...]


Dit wordt gewoon belachelijk, het is niet leuk meer. Stiekem bekruipt me ook het gevoel dat vendors hier gretig op inspringen om te benadrukken dat een av-scanner belangrijk is.

Gek he, de scanners blijken wel nodig te zijn...

Ach ja, panda herkend het virus ook al: link write-up

Dat is een oude variant, Panda zal het ding wel Bagle.V noemen.

[Miki]

Verwijderd schreef op 29 maart 2004 @ 12:35:
[...]

Gek he, de scanners blijken wel nodig te zijn...

Bekijk ff de aangepaste zin.... ik drukte te vroeg verzend

[...]

Dat is een oude variant, Panda zal het ding wel Bagle.V noemen.

Inderdaad het is de V variant en ook al link aangepast.

[Verwijderd]

de scans naar bagle.u geinfecteerde systemen zijn begonnen:
http://www.dshield.org/po...t=N&days=40&Redraw=Submit

[ralfbosz]

Op mijn domeintje nog geen Bagle.U gehad, maar wel via @home en inderdaad gewoon doorgelaten (vrijdagavond), en dat terwijl het virus al in de ochtend op mijn eigen Clamav-bakje bekend was. Beetje slordig, updaten ze bij @home maar om de zoveel dagen???

Op zich valt de Bagle stroom op mijn beheerde server wel mee, het zijn meer Netsky virussen (Worm.SomeFool volgens Clamav)



en afgelopen week:



En dit is nog niet eens een ongecensureerde stroom mail, sinds ik via Postfix er ook nog helo restricties heb opgezet. Elke mailserver die wil mailen moet zich aan de RFC houden en dat doen veel spammers en virussen niet ("HELO medion" kwam ik laatst tegen en tja dat geeft een: "Helo command rejected: need fully-qualified hostname"). Minder leuk is om te zien dat nog aardig wat mailservers op internet hetzelfde doen (jongens alleen een hostname is niet goed, er moet ook een domein bij !!!)

[Verwijderd]

nav I-worm/netsky.Q kan er iemand mijn hijackthis bekijken svp.

Logfile of HijackThis v1.97.7
Scan saved at 23:43:41, on 29-3-2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\AVPersonal\AVGUARD.EXE
C:\Program Files\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\drivers\CDAC11BA.EXE
C:\WINDOWS\Explorer.EXE
C:\windows\system\hpsysdrv.exe
C:\HP\KBD\KBD.EXE
C:\WINDOWS\ALCXMNTR.EXE
C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Program Files\Alcatel\SpeedTouch USB\Dragdiag.exe
C:\Program Files\Messenger Plus! 2\MsgPlus.exe
C:\Program Files\AVPersonal\AVGNT.EXE
C:\Program Files\AVPersonal\AVSched32.EXE
C:\Program Files\Preventon\Personal Firewall\PFwall.exe
C:\Program Files\Microsoft Office\Office\OSA.EXE
C:\DOCUME~1\Eigenaar\LOCALS~1\Temp\~ef7194.tmp
C:\Program Files\Internet Explorer\iexplore.exe
C:\Documents and Settings\Eigenaar\Local Settings\Temp\Tijdelijke map 1 voor hijackthis.zip\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.eo.nl/home/html/home.jsp
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://nl8.hpwis.com/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://nl8.hpwis.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [hpsysdrv] c:\windows\system\hpsysdrv.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe
O4 - HKLM\..\Run: [KBD] C:\HP\KBD\KBD.EXE
O4 - HKLM\..\Run: [Recguard] C:\WINDOWS\SMINST\RECGUARD.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /installquiet /keeploaded /nodetect
O4 - HKLM\..\Run: [PS2] C:\WINDOWS\system32\ps2.exe
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [AlcxMonitor] ALCXMNTR.EXE
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [SpeedTouch USB Diagnostics] "C:\Program Files\Alcatel\SpeedTouch USB\Dragdiag.exe" /icon
O4 - HKLM\..\Run: [ShowShifter TVTV EPG Daemon] "C:\Program Files\Home Media Networks Limited\ShowShifter\TVTVD.exe"
O4 - HKLM\..\Run: [MessengerPlus2] "C:\Program Files\Messenger Plus! 2\MsgPlus.exe"
O4 - HKLM\..\Run: [AVGCtrl] C:\Program Files\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [AVSCHED32] C:\Program Files\AVPersonal\AVSched32.EXE /min
O4 - HKCU\..\Run: [NVIEW] rundll32.exe nview.dll,nViewLoadHook
O4 - Startup: Office Opstarten.lnk = C:\Program Files\Microsoft Office\Office\OSA.EXE
O4 - Global Startup: Preventon Personal Firewall.lnk = C:\Program Files\Preventon\Personal Firewall\PFwall.exe
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Messenger (HKLM)
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab
O16 - DPF: {02BCC737-B171-4746-94C9-0D8A0B2C0089} (Microsoft Office Template and Media Control) - http://office.microsoft.com/templates/ieawsdc.cab
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec....ontent/vc/bin/AvSniff.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec....tent/common/bin/cabsa.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.../MessengerStatsClient.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.m...uctl.CAB?37984.3262037037
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload.macrome...ve/cabs/flash/swflash.cab
O16 - DPF: {EF791A6B-FC12-4C68-99EF-FB9E207A39E6} (McFreeScan Class) - http://download.mcafee.co...an/1,5,0,4342/mcfscan.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{588C3EE9-8B7C-4B25-B2A2-27196F4104B6}: NameServer = 195.121.1.34 195.121.1.66
_________________
oeps alweer een verkeerde toets...

[wildhagen]

Hmm... sneaky! Er is weer een nieuwe variant ontdekt: Bagle.X. Deze mass-mailed zichzelf niet, maar fungeert als spam-proxy... m.a.w.: we kunnen weer een extra dosis spam verwachten de komende dagen...

Write-up: http://vil.nai.com/vil/content/v_101166.htm

Tenzij ik ergens miskijk kan ik bij andere AV's nog geen write-up vinden (gekeken bij KAV, Symantec en F-Secure).

[Verwijderd]

F-Secure zal zo wel komen.
Detectie hiervoor is iig 10 minuten geleden gereleased door KL.

[Miki]

Panda heeft er al een update voor, write-up zal wel op korte termijn volgen.

[Verwijderd]

Miki schreef op 07 april 2004 @ 18:40:
Panda heeft er al een update voor, write-up zal wel op korte termijn volgen.

Kan ook nog over http://www.f-secure.com/v-descs/bagle_w.shtml gaan.
Zeker dat het de nieuwe variant is?

[wildhagen]

Verwijderd schreef op 07 april 2004 @ 18:42:
[...]

Kan ook nog over http://www.f-secure.com/v-descs/bagle_w.shtml gaan.
Zeker dat het de nieuwe variant is?

Ja, check de file name.

Wat F-Secure Bagle.W noemt noemt McAfee Bagle.L (http://vil.nai.com/vil/content/v_101086.htm)

[Verwijderd]

wildhagen schreef op 07 april 2004 @ 18:44:
[...]

Ja, check de file name.

Wat F-Secure Bagle.W noemt noemt McAfee Bagle.L (http://vil.nai.com/vil/content/v_101086.htm)

Ik quotte Miki, niet jou.
Dat er net een nieuwe variant is, wist ik al, gezien de update van zojuist.