[VirusAlert] NetSky varianten - Discussie Only

[Verwijderd]

Nóg een uitbraak deze week..
Gaan we net zoals met Mydoom aan het einde van de week weer een klapper zien?
Of is dit de klapper?

Moodown.B (also known as NetSky.B) worm was found on 18th of February 2004. It is a minor variant of NetSky.A worm that appeared 2 days earlier. The worm spreads itself in e-mails inside a ZIP archive or as an executable attachment. It also copies itelf to shared folders of all available drives.

Paar write-ups:
http://www.viruslist.com/eng/alert.html?id=989639
http://www.f-secure.com/v-descs/netsky_b.shtml
http://us.mcafee.com/viru...escription&virus_k=101034
http://securityresponse.symantec.com/avcenter/venc/data/[e-mail]

Meer info later.

[wildhagen]

Gaan we net zoals met Mydoom aan het einde van de week weer een klapper zien?
Of is dit de klapper?

Laat ik het zo zeggen: deze gaat momenteel sneller dan Mydoom destijds ging... enkele tientallen detecties hier binnen een minuut of 5 al.

McAfee heeft momenteel een EXTRA.DAT gereleased (sinds een uurtje ongeveer): http://a64.g.akamai.net/7...mcafee-avert/101034-a.exe

[ Voor 27% gewijzigd door wildhagen op 18-02-2004 15:26 ]

[Jelmer]

hmmm bij mij gaat deze ook zeker een stuk harder dan MyDoom ja.. Daar kreeg ik pas na een paar dagen sinds de eerste uitbraak meldingen van, maar van NetSky (waar sophos rond 13u ide's voor had) inmiddels 2 ja.. (15:17) Beloofd nog wat..

[ Voor 6% gewijzigd door Jelmer op 18-02-2004 15:31 ]

[YoMarK]

http://www.sophos.com/virusinfo/analyses/w32netskyb.html : voor de mensen met Sophos.
We hebben er hier ok al diverse binnegekregen.

[Verwijderd]

@Schouw; Thanks for the info .

Ter info (van http://securityresponse.s...data/[e-mail] )

/snip
6. Deletes the values:

"KasperskyAV"
"System."

[Verwijderd]

Damm dit virus is echt rappido!

Krijgen echt binnen 5 minuten direct overal telefoon....
Is niet leuk als helpdesk medewerker

Nah jah.. 2200 PC's geinfecteerd, 1e update van Kaspersky gedaan,
die herkent het virus wel, maar verwijderd het niet Lekker handig...

Mijn oren zijn rood van de telefoon!

[dxta]

Phew

The worm's file is attached to the infected e-mail inside a ZIP archive or as an normal binary file. A recipient has to unpack the worm's attachment from a ZIP archive and to run it or to run an executable attachment to get infected.

Had de zip geopend Maar ben niet zo stom om een .exe.scr te runnen
Wel vaag dat ik hem nu al binnen heb, normaal krijg ik ze nooit

[Jimbolino]

It also copies itelf to shared folders of all available drives

dat vind ik de vervelendste virussen, moet je al je pc's tegelijk opnieuw instaleren ...

[RaZ]

hmm..
final.zip -> final.txt.scr

Heb hem ook 20 mins binnen, gelukkig maar 1'tje nu nog, maar McAfee herkent hem nog niet. Dit is voor het errst dat ik hier een virus binnen krijg waar ik geen protectie voor hem

[wildhagen]

RaZ schreef op 18 februari 2004 @ 15:51:

Heb hem ook 20 mins binnen, gelukkig maar 1'tje nu nog, maar McAfee herkent hem nog niet. Dit is voor het errst dat ik hier een virus binnen krijg waar ik geen protectie voor hem

Zie de 1e reply (van mij), daar is een EXTRA.DAT te downloaden, dan herkent McAfee hem prima.

[0xDEADBEEF]

Hmm al 2 updates van F-Secure sinds dat ik thuis ben _{was thuis om 14:30}
2e nu net, tijdens deze draad lezend.

Sticky perhaps ?

[Verwijderd]

Verwijderd schreef op 18 februari 2004 @ 15:43:
Nah jah.. 2200 PC's geinfecteerd, 1e update van Kaspersky gedaan,
die herkent het virus wel, maar verwijderd het niet Lekker handig...

Wordt er wel regelmatig genoeg geupdate?

quote: AG

urgent update was released 13:46 MSK

Dus 11:46 onze tijd, dat zou toch op tijd moeten zijn..

[Verwijderd]

Deze update hebben we gedaan, maar deze herkent alleen het virus, maar verwijderd het niet....

[Boboga]

Is er al iets bekend over een removal tool? Ik ben hard op zoek namelijk

[dennismaus]

Ik had hem binnen 5 min ook al zeer ergelmatig overigens haald trend micro hem er ook al een tijdje uit. Daarvoor heb ik 6 wijzigingen in de pattern file gehad.

Maar hij gaat vele malen sneller als mydoom.

[Masch]

Sooow, gaat echt snel nu!

Trend Micro had gisternacht al een pattern update en was (net zoals bij al die andere virussen) weer mooi op tijd

[0xDEADBEEF]

Boboga schreef op 18 februari 2004 @ 16:02:
Is er al iets bekend over een removal tool? Ik ben hard op zoek namelijk

Weet niet of je er iets aan hebt maar VirusAlert heeft altijd _{bij een virusbeschrijving} removal instructies

[Verwijderd]

Verwijderd schreef op 18 februari 2004 @ 16:02:
Deze update hebben we gedaan, maar deze herkent alleen het virus, maar verwijderd het niet....

Ehh
Dat zou niet moeten kunnen afaik.
Het kan zijn dat sig nog niet optimaal was, maar dat staat los van de verwijdering.
Ben op het moment aan het wachten op een sample van HQ..

Er is in de tussentijd trouwens nog een update uitgebracht.

[Metzie]

Wij krijgen dit virus ook bij bosjes binnen. Gelukkig blokkeren wij al uitvoerbare bestanden op onze spamserver. Echter komt dit virus ook in een .zip bestand, wat wel doorgelaten wordt. Hopen dus dat de mensen die dit ontvangen hebben het niet geopend hebben.

Weet iemand trouwens of dit virus zijn afkomst spooft?

[RaZ]

wildhagen schreef op 18 februari 2004 @ 15:52:
[...]


Zie de 1e reply (van mij), daar is een EXTRA.DAT te downloaden, dan herkent McAfee hem prima.

Spanx, alle pc's beschermd.
Wel vaag dat'ie niet in de auto-update zit, onze systemen checken standaard 1 keer in't uur, maarja, moeten die updates WEL recent zijn. Dit was wel close eigenlijk...

[Masch]

Metzie schreef op 18 februari 2004 @ 16:06:
Wij krijgen dit virus ook bij bosjes binnen. Gelukkig blokkeren wij al uitvoerbare bestanden op onze spamserver. Echter komt dit virus ook in een .zip bestand, wat wel doorgelaten wordt. Hopen dus dat de mensen die dit ontvangen hebben het niet geopend hebben.

Weet iemand trouwens of dit virus zijn afkomst spooft?

Yep dat doet ie!

[Verwijderd]

Masch schreef op 18 februari 2004 @ 16:05:
Sooow, gaat echt snel nu!

Trend Micro had gisternacht al een pattern update en was (net zoals bij al die andere virussen) weer mooi op tijd

Niet hiervoor hoor.
Detectie is pas 1 uur beschikbaar.
En ze waren met sommige Mydoom gerelateerde malware dus echt wel laat tov. de rest.

[Verwijderd]

ja dit virus faked het afzenderadres, zie http://www.sophos.com/virusinfo/analyses/w32netskyb.html

[dennismaus]

Volgens mij spooft ie wel anders hebben heel veel vrienden van me nu een probleem. En zeker omdat ik vrijdag op vakantie ga en ze dus lekker niet ga helpen. Ben en blijf een BOFH

[ramonp]

wildhagen schreef op 18 februari 2004 @ 15:26:
[...]

McAfee heeft momenteel een EXTRA.DAT gereleased (sinds een uurtje ongeveer): http://a64.g.akamai.net/7...mcafee-avert/101034-a.exe

Ik kreeg twee verdachte mailtjes binnen, die heb ik meteen naar McAfee gestuurd.
Vervolgens kreeg ik van hun via de mail de EXTRA.DAT

[Masch]

Ik kreeg gister om 19:07 uur al een alert van TM;

Hier stond dus een alert over een ander virus

edit:

O.... wacht, nou week nie zeker of hetzelfde virus bedoeld wordt

[ Voor 80% gewijzigd door Masch op 18-02-2004 16:12 ]

[wildhagen]

Masch schreef op 18 februari 2004 @ 16:10:
Ik kreeg gister om 19:07 uur al een alert van TM;


[...]

Dit is dus een ander virus: Bagle.B (loopt al een topic over)

[RaZ]

Masch schreef op 18 februari 2004 @ 16:10:
Ik kreeg gister om 19:07 uur al een alert van TM;


[...]

Da's een andere volgens mij hoor

[Verwijderd]

Verwijderd schreef op 18 februari 2004 @ 16:06:
[...]

Ehh
Dat zou niet moeten kunnen afaik.
Het kan zijn dat sig nog niet optimaal was, maar dat staat los van de verwijdering.
Ben op het moment aan het wachten op een sample van HQ..

Er is in de tussentijd trouwens nog een update uitgebracht.

Tis echt waar! Die 2e wordt nu over het netwerk verspreid, hopen dat dat het oplost. Email servers ondertussen gewoon stop gezet.. scheelt werk.
1 Nadeel, krijg je ook weer telefoontjes over

[gomaster]

Ik kreeg een paar minuten geleden een sms van de waarschuwingsdienst en zie dit topic op GoT al . Net een update gedaan. Ik heb op mijn eigen bak kaspersky maar weet iemand of norton ook al met een update komt?

Nog een info pagina
http://www.waarschuwingsdienst.nl/render.html?it=742

[Verwijderd]

gomaster schreef op 18 februari 2004 @ 16:13:
Ik kreeg een paar minuten geleden een sms van de waarschuwingsdienst en zie dit topic op GoT al . Net een update gedaan. Ik heb op mijn eigen bak kaspersky maar weet iemand of norton ook al met een update komt?

Nog een info pagina
http://www.waarschuwingsdienst.nl/render.html?it=742

Die Nederlandse sites hebben meetal ruk write-ups..
NAV heeft nog geen IU/LU uit, je zal je atm op beta defs moeten beroepen.

[Masch]

Info van Trend Micro.

Ook over het verwijderen (al is het wat summier);

http://nl.trendmicro-euro...ame=WORM_NETSKY.B&VSect=T

[Verwijderd]

Verwijderd schreef op 18 februari 2004 @ 16:13:
[...]


Tis echt waar! Die 2e wordt nu over het netwerk verspreid, hopen dat dat het oplost. Email servers ondertussen gewoon stop gezet.. scheelt werk.
1 Nadeel, krijg je ook weer telefoontjes over

Werkt deze wel?
Nouja, kan ook daily van vanmorgen regelen..

[Verwijderd]

hier staat de lijn ook roodgloeiend, ik kreeg zelfs iemand die mij vroeg haar te helpen een bepaalde attachment te openen beetje helpen met het virus openen mensen klikken gewoon overal op, daarom verpreid het zo snel (?)

[dennismaus]

Zulk dom volk overal op klikken zou wel eens een heel grappig mailtje kunnen zijn en anders kan ik vanavond op de sportschool er niet over meepraten.

[Verwijderd]

Verwijderd schreef op 18 februari 2004 @ 16:21:
hier staat de lijn ook roodgloeiend, ik kreeg zelfs iemand die mij vroeg haar te helpen een bepaalde attachment te openen beetje helpen met het virus openen mensen klikken gewoon overal op, daarom verpreid het zo snel (?)

Idd is hier ook!

Nah jah, weet overigens nog niet of die update werkt, ik denk het wel...

[gomaster]

Verwijderd schreef op 18 februari 2004 @ 16:17:
[...]

Die Nederlandse sites hebben meetal ruk write-ups..
NAV heeft nog geen IU/LU uit, je zal je atm op beta defs moeten beroepen.

Op de site van NAV staat dat ie wel in de LU en IU zit. Ik heb net LU gedaan en hij download idd wat. Ze zetten hem daar als low neer
http://www.sarc.com/avcenter/venc/data/[e-mail]

edit: is die van vandaag, dus komt morgen pas

[ Voor 6% gewijzigd door gomaster op 18-02-2004 16:32 ]

[Verwijderd]

Verwijderd schreef op 18 februari 2004 @ 16:24:
[...]


Idd is hier ook!

Nah jah, weet overigens nog niet of die update werkt, ik denk het wel...

Ik zal het checken, zodra ik oudere daily binnen heb.

Sample spooft from field.
Lijkt ook naar random adressen mail te sturen..

[gomaster]

@schouw: hoe kom ik aan beta defs? Kan er niks over vinden op hun site.

[Masch]

Inderdaad.. ik krijg hier veel mailtjes binnen op [e-mail] met als afzender info@onsdomein.

Waarschijnlijk (dit gok ik) staat info in het adresboek van de besmette persoon en wordt ers gegokt?

[Verwijderd]

gomaster schreef op 18 februari 2004 @ 16:33:
@schouw: hoe kom ik aan beta defs? Kan er niks over vinden op hun site.

ftp://ftp.symantec.com/pu...ons/norton_antivirus/beta

[Verwijderd]

Verwijderd schreef op 18 februari 2004 @ 16:13:
[...]


Tis echt waar! Die 2e wordt nu over het netwerk verspreid, hopen dat dat het oplost. Email servers ondertussen gewoon stop gezet.. scheelt werk.
1 Nadeel, krijg je ook weer telefoontjes over

Hehe hetzelfde hier ook ja, alleen wel handig dat wij callcenter hebebn emt extra berichten en een omroep installatie

[Verwijderd]

Ik zie het al..
Nogal wat gelockte files, waarvoor je dus moet rebooten wil je ze kunnen deleten.

atm:
738 infected files
698 deleted files
Voor de rest moet gereboot worden.

[edit]
"Enable delete or rename of archives" moet ook aanstaan.

[ Voor 16% gewijzigd door Verwijderd op 18-02-2004 16:46 ]

[Verwijderd]

Verwijderd schreef op 18 februari 2004 @ 16:38:
[...]

Hehe hetzelfde hier ook ja, alleen wel handig dat wij callcenter hebebn emt extra berichten en een omroep installatie

Das echt mega handig, heb hier al een tijdje om lopen zeuren, krijgen wij binnenkort ook!

[Verwijderd]

McAfee weekly update released.

Dat file: 4325
Date: 02/18/2004

[Verwijderd]

Dit virus gaat echt hard, de een na de ander komt ermee

[DJSmiley]

lag dus niet aan mij, mn mailservert (Mdaemon) heeft m al weer 20x opgevangen ofzo vandaag.

[We Are Borg]

Norton vangt dit virus nog niet op heb ik gemerkt . Niet geopend uiteraard, eerst even op GoT kijken

[wildhagen]

Boboga schreef op 18 februari 2004 @ 16:02:
Is er al iets bekend over een removal tool? Ik ben hard op zoek namelijk

De nieuwste versie van Stinger (2.02) is in staat om de boel te cleanen.

Gratis te downloaden op http://download.nai.com/products/mcafee-avert/stinger.exe

[Verwijderd]

Vanmiddag begon Norton ineens te flippen omdat mijn pc emails wilde versturen met afzenders die volges mij uit de temp internet files ofzo geplukt zijn. Ze kwamen namelijk allemaal van sites die ik bezocht heb. Maar toen had Norton nog geen update, net nog ff liveupdate gedaan en hij vindt hem

[Tachyon]

Valt me nu pas op: als je de lettergrepen van NetSky omdraait krijg je: SkyNet....
Nou waar heb ik dat eerder gehoord... Spooky...

ClamAV noemt hem trouwens Worm.SomeFool

[IceStorm]

Yippie, eindelijk een virus dat ik ook krijg

Wel een vrij nasty one, hij stroomt echt binnen.

[rammes]

ik heb op werk meteen de extentie ZIP geblocked.. heleboel boze mensen maar geen virus!

daarna relaxed de extradat van mcafee gedraaid en no problemo meer

[anandus]

Grappig, heb hem net gekregen op mijn hotmail. Ik heb normaliter nooit een virus gekregen op mijn hotmail... Weet iemand hoe 'veilig' Hotmail-McAffee is, eigenlijk?

[wildhagen]

anandus schreef op 18 februari 2004 @ 21:30:
Grappig, heb hem net gekregen op mijn hotmail. Ik heb normaliter nooit een virus gekregen op mijn hotmail... Weet iemand hoe 'veilig' Hotmail-McAffee is, eigenlijk?

Hotmail loopt vaak één of twee versies achter met het updaten van hun dat-files. Tsja, dan kan je nog zo'n goeie virusscanner hebben, als hij niet uptodate is schiet je er nog niks mee op natuurlijk.

[Resistor]

ik kom er langzaam achter dat ik totaal geen sociaal leven heb, alle mensen die mijn mailadressen hebben zijn nerds die hun spullen goed op orde hebben
In mijn hele leven maar 2x een virus gehad. (en natuurlijk gator + lop.com slachtoffer, maar dat maakt iedereen wel eens mee)

Is dat Kapersky eigenlijk ook in normale computerwinkels te koop? Ik zie het niet vaak in de softwarelijsten staan. Er zijn wel winkels in de buurt die het verkopen, maar dat zijn winkels waar ik nog nooit van gehoord heb en ik betwijfel het of ze ook aan particulieren verkopen.

[anandus]

wildhagen schreef op 18 februari 2004 @ 21:32:
[...]

Hotmail loopt vaak één of twee versies achter met het updaten van hun dat-files. Tsja, dan kan je nog zo'n goeie virusscanner hebben, als hij niet uptodate is schiet je er nog niks mee op natuurlijk.

offtopic:
Grappig, ik zou denken dat Hotmail een of andere exclusieve deal zouden hebben dat ze direct de nieuwe .dats zouden krijgen, aangezien het ook niet een kleine mailprovider is enzo..
Maar ja

[wildhagen]

anandus schreef op 18 februari 2004 @ 21:54:
[...]

offtopic:
Grappig, ik zou denken dat Hotmail een of andere exclusieve deal zouden hebben dat ze direct de nieuwe .dats zouden krijgen, aangezien het ook niet een kleine mailprovider is enzo..
Maar ja

Zou je idd wel denken, maar ik heb het zelf ervaren: had een tijdje geleden een besmet attachment ontvangen (Backdoor-Anogwat), die door Hotmail als 'clean' werd bestempeld, maar toen ik hem opsloeg, sloeg mijn lokale McAfee (die wél uptodate was) meteen groot alarm.

[tijn.online]

Raar, m'n vriendin heeft een mailtje van mijn adres gekregen met dit virus, maar ik kan op mijn pc geen aanwijzingen vinden dat ik geïnfecteerd zou zijn. Meer mensen met dit rare voorval?

[Tachyon]

tijn.online schreef op 18 februari 2004 @ 22:10:
Raar, m'n vriendin heeft een mailtje van mijn adres gekregen met dit virus, maar ik kan op mijn pc geen aanwijzingen vinden dat ik geïnfecteerd zou zijn. Meer mensen met dit rare voorval?

Dat is nou spoofing...

[hufkes]

tijn.online schreef op 18 februari 2004 @ 22:10:
Raar, m'n vriendin heeft een mailtje van mijn adres gekregen met dit virus, maar ik kan op mijn pc geen aanwijzingen vinden dat ik geïnfecteerd zou zijn. Meer mensen met dit rare voorval?

dit is een van de vele virussen die zijn afkomst spooft... je hoeft dus zeker niet degene met de besmetting te zijn...

[The_Scarabial]

Ik heb um ook gehad, maar het rare is hij kwam gewoon binnen bij hotmail ik kijken of hotmail um vond, maar die zag um nie, ik vertrouwde het voor geen meter en heb het direct verwijderd.

[Verwijderd]

Godver was vanmiddag vrij, college neemt het over, let even niet op de virus mailinglists en update het filter niet handmatig, gevolg een hoop mailtjes gaan fijn door het filter heen.

Tijd om ons update schema aan te passen. Ons huidige schema is:

van 23.00 tot 08.00 ieder uur daarna om 12.00 en om 18.00

dit omdat ervaringen leerden dat virussen vaak vanuit de usa hier naar toe komen en in veel gevallen hier in 's nachts voor het eerst aankomen, en op die tijdstippen ook de meeste releases worden gemaakt.

De reden dat er overdag niet zo frequent wordt geupdate is dat wij het riscio niet willen lopen dat het email verkeer plat gaat omdat er een foutieve update wordt gedaan. Daarom wordt er overdag handmatig geupdate.

Het is in ieder geval een les voor ons geweest dat we er zelf nog dichter op moeten zitten, en in ieder geval de av scanner gewoon ieder uur moeten laten updaten vanaf nu.

maar vandaag kreeg ik dus het eerste virus al net na 12.00 uur binnen terwijl de avert melding pas om 15.00 uur binnen kwam, ik moet zeggen ik wordt wel een beetje weemoedig van het aantal virusuitbraken dat niet herkend wordt door av bedrijven.

geen fijne dag voor mij laat ik dat wel zeggen

[Harrie]

volgens de site van symantec is er een live update:
http://securityresponse.s...data/[e-mail]

Maar als ik dan de liveupdate runt staat er dat alles up to date is behalve bij de virus definities. Daar staat:

LU1844: Coupled Groups aborted with no abort Text

Iemand een oplossing? Behalve dan gewoon handmatig de definities installeren? Want ik zou graag willen dat volgede definities updates allemaal automatisch gaan.
Ik heb overigens ook een meeltje met die virus gehad, wat betekent de de mailservers op de TU ook nog niet up-to-date zijn.

edit: Denk dat mijn jaar van gratis updates net voor bij was.. Nu NAV2004 maar geinstalleerd.

[ Voor 9% gewijzigd door Harrie op 19-02-2004 00:03 ]

[Verwijderd]

Verwijderd schreef op 18 februari 2004 @ 22:47:

maar vandaag kreeg ik dus het eerste virus al net na 12.00 uur binnen terwijl de avert melding pas om 15.00 uur binnen kwam, ik moet zeggen ik wordt wel een beetje weemoedig van het aantal virusuitbraken dat niet herkend wordt door av bedrijven.

Mja, NAI/NAV hebben vaak genoeg al uren een write-up online staan, alleen blijven de definities dan achterwege...

Met betadefs zijn ze best snel, maarja, het gaat toch om de officiële...(imo)
Ik betwijfel of uurlijks checken voor updates tegenwoordig nog wel goed genoeg is, ik check om de 10 minuten en zelfs dat vind ik nog veel.
Yup, ik ben een beetje paranoia.

Het lijkt erop dat KL meer dan een uur eerder dan de eerst volgende AV was met een update hiervoor, de enige dus voor 12.00 uur.

[KompjoeFriek]

wat een pokke virus weer...
dat ze zelfs hun eigen SMTP erin hebben zitten, echt irritant.

gelukkig heb ik hem nog nul keer binnen gekregen

en gelukkig hebben de mannen van symantec ook al een removal-tool voor de n00bs gemaakt

[Verwijderd]

KompjoeFriek schreef op 19 februari 2004 @ 01:31:
wat een pokke virus weer...
dat ze zelfs hun eigen SMTP erin hebben zitten, echt irritant.

Dat heeft 99% van de tegenwoordige mailers hoor.

edit:
Kennelijk heeft NAI zojuist nog een weekly released, waarschijnlijk dus een foutje in de vorige.

[ Voor 18% gewijzigd door Verwijderd op 19-02-2004 01:40 ]

[Dennis]

NAI released altijd een weekly, al komen er nog zoveel extra's uit. Welk nummer heb je het over dan, want om 21:00 was 4325 de nieuwste.

Er is trouwens sinds kort ook een nieuwe engine uit van NAI.

[Verwijderd]

Bedenk me nu pas dat het eigenlijk nog woensdag is.
DAT: 4326 02/18/2004

[Dennis]

Ok, die zal mijn server hier dan morgenochtend om 9uur wel weer binnenhalen . In USA is het inderdaad nog woensdag.

[Entity]

Een aantal users heeft hier op het bedrijf gisteren weer een harde les geleerd. En wij konden de boel weer opruimen. Rond 15.00 uur kreeg ik de eerste melding binnen van iemand die een verdachte email had geopend en in no-time stond het halve bedrijf op m'n kamer... Mailserver uitgeschakeld, iedereen ge-netsend dat hij/zij die een dergelijk mailtje geopend hadden de netwerkstekker eruit laten trekken en mij laten bellen en vervolgens handmatig het virus van de PC's halen. Mijn collega ging tegelijkertijd op zoek naar de extra.dat van McAfee en ging eerst de servers updaten en scannen. Het virus zelf was binnen een kwartiertje onder controle, maar we zijn uiteindelijk nog 2 uur bezig geweest met de nasleep

En dan te bedenken dat het hier om hoger opgeleide IT'ers gaat, zoals software ontwikkelaars...

[ Voor 8% gewijzigd door Entity op 19-02-2004 08:13 ]

[Jelmer]

Ok Netsky.b wordt niet gezien door McAffee onder linux (defs 4326) + extradat voor Netsky.. Zit vrolijk in mn mailbox, ook de losse attachment (exe file) wordt niet gedetecteerd. Sophos pikt m wel meteen op..

Schouw, heb m ook even naar jouw virus-submit gestuurd

[ Voor 15% gewijzigd door Jelmer op 19-02-2004 08:31 ]

[Wolfje666]

Bij ons op het werk ruim 800 meldingen met gemiddeld zo'n 3000 virusses found.
Sophos kan hem niet verwijderen, dus we moeten lokaal langs. (dit was gisteren, vandaag wordt gelukkig alles geblocked door McAfee en Sophos).
Vandaag alleen nog langs de mensen die gistermiddag al naar huis waren voor de update.

[Verwijderd]

Hmmm... Dat is dus dat virus wat nu al die PC's hebben op onze school.

Krijg allemaal mailtjes van leraren/etc naar onze studievereniging gestuurd

(Gelukkig draaien al onze systemen een UNIX-variant/kloon)

[rammes]

ik heb zelf een abbo op de mailing list van sophos, mcafee en de waarschuwingsdienst.,die sturen me ook nog een SMSje.
Maar wat vaak vergeten word is dat veiligheid voor funcionaliteit gaat. DUS eerst ZIP blocken. eventueel (op exchange dan) internet connector stoppen. rustig de datfiles updaten de mailboxen scannen en dan weer de boel aanzetten. Als ik dat niet doe, idd dan hebben de gebruikers nergens "last" van , totdat er een virus uitbreekt. en dan mag rammes op het matje komen. daar heb ik geen zin in hoor!

[ Voor 3% gewijzigd door rammes op 19-02-2004 09:04 ]

[Rob]

Het eerste wat ik deed toen ik het virus in me mailbox zag, was NIET openklikken , maar op de tweakers frontpage kijken en daarna naar GOT/SA waar ik dus deze thread zie.

Maar er staat dus niets op de frontpage, misschien is het een idee om een extra blokje op de Frontpage te zetten met de nieuwste virusuitbraken erin vermeld?

[ Voor 1% gewijzigd door Rob op 19-02-2004 10:13 . Reden: incompatible smile even compatible gemaakt ]

[ChUcKiE]

Ik ben blij dat wij als plugin van Exchange 2000 eht pakket Antigen van Sybari hebben draaien. Het pakket bestaat uit de anitvirus engines van 6 of 7 vooraanstaande antivirus programma's.
Deze worden elke nacht indien nodig geupdate.
Voordeel hiervan is, dat er altijd wel een als eerste een nieuw virus herkent voordat de mail bij de gebruiker komt.
Perfect programma.

En tsja het gaat hier ook echt hard, zoals gezegd eerder en heviger dan MyDoom. Dat kwam later, alhoewel dat toen het er eenmaal was enorm vaak binnen gekomen is. Ben benieuwd over een paar dagen hoeveel meldingen we krijgen.

[Verwijderd]

Jelmer schreef op 19 februari 2004 @ 08:20:
Ok Netsky.b wordt niet gezien door McAffee onder linux (defs 4326) + extradat voor Netsky.. Zit vrolijk in mn mailbox, ook de losse attachment (exe file) wordt niet gedetecteerd. Sophos pikt m wel meteen op..

De DailyDATs flaggen hem iig.
Probeer die eens?
Gebruik eigenlijk alleen dailies om NAI mee te testen..

[Verwijderd]

Jelmer schreef op 19 februari 2004 @ 08:20:
Ok Netsky.b wordt niet gezien door McAffee onder linux (defs 4326) + extradat voor Netsky.. Zit vrolijk in mn mailbox, ook de losse attachment (exe file) wordt niet gedetecteerd. Sophos pikt m wel meteen op..

Nou.....
Ik krijg o.a. deze mailtjes binnen:

code:

A virus (W32/Netsky.b@MM) was found.

A banned name (swimmingpool.doc.scr) was found.

Scanners detecting a virus: NAI McAfee AntiVirus (uvscan), F-Secure Antivirus

Ze worden dus wel degelijk door 4326 opgepakt.
Mailserver:
Postfix+Amavisd-new+Spamassassin+McAfee+F-Prot+Clamav

[Verwijderd]

Ik had hem hier ook op me stage bedrijf. Gelijk alle virus software geupdate. Het verspreid zich idd wel super snel. Binnen 15 minuten een stuk of 6 mailtjes bij 1 gebruiker

[Verwijderd]

Ze worden dus wel degelijk door 4326 opgepakt.

Dat een file wordt geflagd, houdt niet direct in dat alle 'varianten' van dat virus geflagd worden.
(Crappy sigs enzo).

Maar alle ontvangen samples zijn identiek, dus dat zou het niet mogen zijn.

[D2k]

Verwijderd schreef op 19 februari 2004 @ 12:53:
Ik had hem hier ook op me stage bedrijf. Gelijk alle virus software geupdate. Het verspreid zich idd wel super snel. Binnen 15 minuten een stuk of 6 mailtjes bij 1 gebruiker

dat moet je niet met de hand doen, doet moet automatisch gebeuren...

ik snap dat niet. bedrijven waarbij de sysadmin een pattern moet downloaden (met de hand) op een netwerk share moet zetten (met de hand) en dan hopen dat de clients het een beetje snel oppikken?

[JeroenNietDoen]

Het probleem is niet zozeer het virus zelf, alleen de gigantische hoeveelheid dataverkeer dat ie regelt.

Bij de gemeente vlissingen heeft de mailserver een que van enkele duizenden emails. Bij mijn werk valt het nog wel mee, wel heel veel mailtjes maar tot nu toe houden we het uit.

Bij een andere bedrijf hier in de buurt was er zoveel verkeer gegenereerd dat de complete verbinding het begeven had.

Dit is by far het ergste virus wat ik ooit meegemaakt heb.

[Jaccoh]

Wij hebben gister ook de firewall een uur dicht gehad. Ik heb nu de mailserver uitgebreid met een attachment filter.

Overigens pakt Central Command (linux, postfix) hem netjes op!

[Verwijderd]

Verwijderd schreef op 19 februari 2004 @ 12:59:
[...]

Dat een file wordt geflagd, houdt niet direct in dat alle 'varianten' van dat virus geflagd worden.
(Crappy sigs enzo).

Op regel 1 staat: "A virus (W32/Netsky.b@MM) was found."
Een virus wordt dus gevangen en keurig in quarantaine geplaatst. De besmetting kwam in verschillende soorten bestanden binnen (pif, bat, scr etc.) en die werden allemaal gepakt door McAfee.

[Verwijderd]

Verwijderd schreef op 19 februari 2004 @ 15:54:
[...]

Op regel 1 staat: "A virus (W32/Netsky.b@MM) was found."
Een virus wordt dus gevangen en keurig in quarantaine geplaatst. De besmetting kwam in verschillende soorten bestanden binnen (pif, bat, scr etc.) en die werden allemaal gepakt door McAfee.

Your point?

[Verwijderd]

Verwijderd schreef op 19 februari 2004 @ 15:57:
[...]

Your point?

W32/NetSky.B wordt dus wel degelijk door 4326 opgepakt (zie boven).

[bitflusher]

ik kreeg dit virus maarliefst 4 keer in mijn inbox vandaag op school en alle andere leerlingen ook minimaal 1 keer. we vermoeden dat het virus op een machine op de administratie stond ofzo, iig een machine met alle leerlingen in het adressboek
na een uur of 3 stopte de stroom van virussen, officiel is er natuurlijk nix gemeld (negatief nieuws wordt bij ons op school nooit gemeld) dus ik denk dat de virusscanner weer werkte op die machine

[Verwijderd]

Verwijderd schreef op 19 februari 2004 @ 16:06:
[...]

W32/NetSky.B wordt dus wel degelijk door 4326 opgepakt (zie boven).

Kennelijk niet in alle gevallen.
Kan gerust bug in software zijn hoor.(waarmee ik een usererror niet wil uitsluiten hoor).
En het is dat het ding niet polymorphic of iets in die trant is, want anders zou je best wel eens ongelijk kunnen hebben.

[TD-er]

Kaspersky op de mailserver op mijn werk pikte de eerste er om 03:21 vannacht uit en heeft sindsdien er zo'n 50 tussenuit geplukt (bedrijfje met 12 werknemers)
Maar als ik het dus goed begrijp was Kaspersky er dus erg snel bij... stelt me weer gerust

Het meest irritante van dit soort virussen vind ik nogwel de telefoontjes die je krijgt omdat anderen zogenaamd van jou een virus gekregen hebben, doordat de mail-afzender gefaked is. Dat is mogelijk nog irritanter dan de overige neveneffecten van een virus.

[Jelmer]

Verwijderd schreef op 19 februari 2004 @ 12:21:
[...]

De DailyDATs flaggen hem iig.
Probeer die eens?

nope geen succes.. Heb de attachement opgeslagen en die gescanned, Sophos pikt m net als de windows versie van McAfee gewoon op..

Verwijderd schreef op 19 februari 2004 @ 12:53:
[...]

Mailserver:
Postfix+Amavisd-new+Spamassassin+McAfee+F-Prot+Clamav

Hmm, welke versie van mcafee heb heb jij? Ik de laatste die Xs4all ooit aanbood (4.16.0), aangezien de engine support gestopt is zover ik weet.. [edit] ik zie op de eval. pagina van nai dat ze inmiddels bij 4.32.0 zijn..

[ Voor 41% gewijzigd door Jelmer op 19-02-2004 18:01 ]

[wildhagen]

Jelmer schreef op 19 februari 2004 @ 17:58:
[...]


Hmm, welke versie van mcafee heb heb jij? Ik de laatste die Xs4all ooit aanbood (4.16.0), aangezien de engine support gestopt is zover ik weet.. [edit] ik zie op de eval. pagina van nai dat ze inmiddels bij 4.32.0 zijn..

Engine-versie kun je ook onder Linux gewoon nog updaten. Was laatst nog een posting over op de Usenet-server van XS4All. En 4.3.20 is idd de laatste engine ja.

[JumpStart]

... en dan is een collega in paniek, die stronteigenwijs DrWeb als virusscanner draait. Maar de freeware versie kan alleen detecteren, niet cleanen.

We hèbben nota bene gewoon een campus licentie Nav2003 !!

DrWeb noemt het beestje Win32.HLLM.Foo.41984 en ik heb me ziek gezocht. Blijkt dat dit dus gewoon Netsky.b@mm is. Ja, daar was op de site van Symantec wel een removal tool voor te vinden.

Waarom in [vul vloeken naar keuze in] toch die verschillende namen ?

[Verwijderd]

... en dan is een collega in paniek, die stronteigenwijs DrWeb als virusscanner draait. Maar de freeware versie kan alleen detecteren, niet cleanen.

Would take Dr. Web over NAV2k3 any day, wel niet de freeware versie dus.
Stukken beter, alleen jammer dat het nogal eens neigt te fp'en.

Waarom in [vul vloeken naar keuze in] toch die verschillende namen ?

Wel apart dat ze bij zo'n bekende die naam aanhouden, maar het zal waarschijnlijk altijd blijven.

[Jelmer]

Na dus mn mcafee geupdate te hebben een paar bestanden van de evaluatie versie wordt ook NetSky.b@MM gevonden.

wildhagen, waar staat hij bij xs4all dan? Ik zie namelijk geen linux voor linuxversie in het service-center..

[ Voor 6% gewijzigd door Jelmer op 19-02-2004 18:22 ]

[Loev]

GVD wat stom van, kreeg een mail van een klasgenoot. Boom besmet
mail2[1].com weg geflikkerd maar dat kreng heeft zich in services genesteld. Dus services.exe uitgeschakeld bij het opstarten? Is dit een beetje slim? Had norton 2003 draaien maar die zag het te laat

[JumpStart]

Verwijderd schreef op 19 februari 2004 @ 18:17:
[...]

Would take Dr. Web over NAV2k3 any day, wel niet de freeware versie dus.
Stukken beter, alleen jammer dat het nogal eens neigt te fp'en.

[...]

Wel apart dat ze bij zo'n bekende die naam aanhouden, maar het zal waarschijnlijk altijd blijven.

Er zijn antivirus makers die er dan tenminste nog bijzetten "also known as [vul maar in]" maar dat kon ik dus niet vinden bij DrWeb.

Dankzij hijackthis vond ik de entry services.exe -serv en die herkende ik bij toeval omdat ik de avond ervoor nog de netsky.b@mm informatie op de symantec website had doorgelezen. Daardoor kwam ik erachter wat de meer gangbare naam was.

[wildhagen]

Jelmer schreef op 19 februari 2004 @ 18:19:

wildhagen, waar staat hij bij xs4all dan? Ik zie namelijk geen linux voor linuxversie in het service-center..

Nee, dat bedoelde ik niet. Die word idd niet meer aangeboden, maar met de oude versie van McAfee (4.x, weet niet precies) voor Linux kan je ook de nieuwste engine (4.3.20) en ofcourse DAT-files gebruiken.

De engine is gratis te downloaden op ftp://ftp.mcafee.com/pub/antivirus/engine/4.x/elnx4320.zip

[Verwijderd]

JumpStart schreef op 19 februari 2004 @ 18:31:
[...]

Er zijn antivirus makers die er dan tenminste nog bijzetten "also known as [vul maar in]" maar dat kon ik dus niet vinden bij DrWeb.

Mja, Dialogue Science is in verhouding klein he, die hebben wel wat beters te doen dan op te schrijven hoe andere vendors een sample detecteren.

[tijn.online]

Owke, m'n broertje heeft dus met z'n stomme hoofd dit virus op m'n pc gehaald (ik zag dat m'n firewall vroeg om services.exe toegang tot internet te geven), dus ik Stinger van Network Associates draaien. Services.exe inderdaad geïnfecteerd, maar ik zie dat Stinger het bestand ook meteen maar heeft verwijderd. Kan iemand mij vertellen of ik dit bestand nodig heb, en hoe ik het opnieuw kan krijgen?