[VirusAlert] NetSky varianten - Discussie Only

[Verwijderd]

Over hoe je systemrestore moet uitzetten is genoeg te vinden via GoT search/google/microsoft.

[meelmark]

Verwijderd schreef op 28 maart 2004 @ 00:58:
Over hoe je systemrestore moet uitzetten is genoeg te vinden via GoT search/google/microsoft.

check symantec daarvoor

overigens, had nieuwe software aangeschaf voor anti-virus; Panda antivitus.. echt ik lig dubbel als je daarin komt in die app; dan hoor je met zo'n onvervalst spaans/italiaans stemmetje; welcome to panda anti-virus

[ Voor 34% gewijzigd door meelmark op 28-03-2004 15:25 ]

[Bor]

Verwijderd schreef op 28 maart 2004 @ 00:58:
Over hoe je systemrestore moet uitzetten is genoeg te vinden via GoT search/google/microsoft.

Wellicht is het handig dit ook in de faq op te nemen daar er veel mensen dit niet weten.

[Miki]

meelmark schreef op 28 maart 2004 @ 15:23:
[...]


check symantec daarvoor

overigens, had nieuwe software aangeschaf voor anti-virus; Panda antivitus.. echt ik lig dubbel als je daarin komt in die app; dan hoor je met zo'n onvervalst spaans/italiaans stemmetje; welcome to panda anti-virus

Panda is inderdaad een spaanse vendor. Maar waar precies hoor jij dat stemmetje? In die 3 weken dat ik nu PAV 2004 heb, heb ik nog geen enkel stemmetje gehoord wat met PAV te maken heeft.

[jules]

Verwijderd schreef op 28 maart 2004 @ 00:52:
systemrestore uitzetten kun je me er iets meer over uitleggen wat dat inhoud Ik had in het form bij iemand ander gelezen dat ie het zelfde probleem heeft.Ook zijn systeem laten scannen geenvirus gevonden maar even later wel de melding krijgen dat er een op zit.

offtopic:
System restore zorgt ervoor dat er herstel punten worden aangemaakt bij het installeren van programma's en of drivers van hardware. Als je een verkeerde driver installeerd waardoor je computer niet goed op start, dan kun je dus terug keren naar zo'n herstel punt.
Het vervelende van dat netsky.p virus bij jouw is dus dat Windows denkt dat je virusscanner een belangrijk bestand verwijderd, waardoor Windows dat dus in zijn system restore opneemt... Doordat die map normaal gesproken onbereikbaar is voor normale windows gebruikers en ook online virusscanners, zie je het niet. Maar je geïnstalleerde virusscanner ziet hem dus wel.
Voorlopig staat het virus enigszins "veilig", zolang je maar niet terug keert naar zo'n herstel punt. Want dan word het virus weer terug gezet...

Er is dus geen andere mogelijkheid dan dat system restore uit te zetten, waardoor je meteen al die herstelpunten kwijt raakt.

simpele stappen (let wel: geheel eigen risico!!!!!(ik weet ook niet ofdat dit de juiste stappen zijn om dit virus te verwijderen!)). Klik met je rechter muisknop op deze computer-> eigenschappen -> system restore en voila, zie daar het vinkje om het uit te zetten.

Maar wat ik al eerder zei, sorry dat ik het zeg, maar bij mij kom je niet zo kundig over. Laat het daarom liever doen door iemand die meer verstand heeft van computers/windows XP/ME, zeker als je nog langer achter deze windows installatie wilt werken...

[Verwijderd]

Bedankt ik heb zeker wel wat duidelijkheid gekregen ik wil alleen nog ff kwijt dat ik het over de I-worm/netsky.Q en dus niet de P versie heb.De scanners hebben het over "p" volgens mij lopen ze ff achter de feiten aan

[Verwijderd]

Virusscanners geven vaak verschillende (type)namen aan een bepaald virus.
Zo is datgene wat door bijvoorbeeld KAV als I-Worm.NetSky.q wordt gedetecteerd, hetzelfde als datgene wat door McAfee NetSky.p wordt genoemd.

Voor zover ik weet zijn er geen nieuwere varianten bijgekomen op dit moment, dus mag je er wel vanuit gaan dat alle scanners deze variant kunnen detecteren.

[WimB]

Is er weer een nieuwe Netsky variant? Ik krijg volgende melding van de Kaspersky virusscanner in MDaemon mailserver:

Virus definitions added/edited
------------------------------
Backdoor.Iroffer.1306.e, Backdoor.Iroffer.1306.e.f, Backdoor.Krepper.k, I-Worm.Bagle.t, I-Worm.Fischo, I-Worm.NetSky.r, Trojan.PSW.Comart, Trojan.PSW.LdPinch.ci, Trojan.PSW.Malpi, Trojan.Win32.Small.a, TrojanDownloader.Win32.Asune, TrojanDownloader.Win32.Sherlol, TrojanDownloader.Win32.Small.gh, TrojanDownloader.Win32.Stickyhall,
TrojanDropper.Win32.Small.fm, TrojanSpy.Win32.Banker.h, TrojanSpy.Win32.Porder

[Schonhose]

Via het mail account van mijn vader krijg ik een mail terug die volgens de administrator aldaar besmet is met W32.Netsky.P@mm.

Aangezien ik niet eerder meer in regio ben dan donderdagavond moeten ze tot nader order van het internet blijven. Op mijn advies staat de router nu uit en dit blijft zo.

Verdere verspreiding is zo niet meer mogelijk. We gebruiken Trend Anti4us die automatisch update na een reboot. Weet alleen niet of er de laatste week nog updates overheen zijn gegaan.

Mijn zus moet echter nog iets met word doen, naar mijn idee kan dit wel, mits het internet maar uitblijft om verdere verspreiding te voorkomen.

Ik ben me er van bewust dat adressen gespoofd worden, zodat de besmetting niet bij ons hoeft te zitten (een vriendin van mijn ouders gaf aan dat ze een virus vermoedde, die kan ook het e.a. verstuurd hebben uit naam van mijn vader.)

Enige tips hoe ik snel kan zien of wij besmet zijn? Het moet uit te leggen zijn aan een n00b zusje... (ik zit te denken aan een bestand o.i.d.)

Google levert weinig informatie: lijkt me een nieuwe variant (21 maart).

^{Kloten dat ik nu de hele week in Utrecht zit.....}

[ Voor 9% gewijzigd door Schonhose op 29-03-2004 10:43 ]

[wildhagen]

WimB schreef op 29 maart 2004 @ 10:19:
Is er weer een nieuwe Netsky variant? Ik krijg volgende melding van de Kaspersky virusscanner in MDaemon mailserver:

[...]

Yep... NetSky.Q is vandaag uitgekomen (Kaspersky noemt hem dus .R)

Write-Ups:

- http://vil.nai.com/vil/content/v_101145.htm
- http://securityresponse.s...data/[e-mail]

Hij lijkt redelijk hard te gaan...

[Verwijderd]

WimB schreef op 29 maart 2004 @ 10:19:
Is er weer een nieuwe Netsky variant? Ik krijg volgende melding van de Kaspersky virusscanner in MDaemon mailserver:

[...]

That's right.
(Ook logisch he)

Daarnaast ook nieuwe Bagle variant dus.

[Schonhose]

Verwijderd schreef op 29 maart 2004 @ 10:57:
[...]

That's right.
(Ook logisch he)

Daarnaast ook nieuwe Bagle variant dus.

Is die van mij de nieuwe Bagle variant?

[Verwijderd]

Schonhose schreef op 29 maart 2004 @ 11:10:
[...]


Is die van mij de nieuwe Bagle variant?

Nope..

It is a very simple worm variant, it sends itself in messages with an empty subject and attachment name game.exe.

Ik zou ze opdragen om met NAI's Stinger te scannen, denk dat dat overall het makkelijkst is.

[jules]

Schonhose schreef op 29 maart 2004 @ 10:42:
Enige tips hoe ik snel kan zien of wij besmet zijn? Het moet uit te leggen zijn aan een n00b zusje... (ik zit te denken aan een bestand o.i.d.)

Google levert weinig informatie: lijkt me een nieuwe variant (21 maart).

^{Kloten dat ik nu de hele week in Utrecht zit.....}

Word de pc merkbaar trager bij het opstarten als daarvoor?
Is de pc continu aan het ratelen/HDD activiteit (brand er naats het power lampje ook de HDD lamp/LED continu?)

Kan je niet via MSN/mail hulp op afstand doen? Als jij windows XP prof hebt, en zij minimaal XP, dan kun je ze al helpen. Moet het handeltje natuurlijk bij hun wel zo ingesteld staan dat ze hulp kunnen vragen.
Als ze geen MSN hebben: in het start menu: help & support -> rechts boven, remote assistance/hulp op afstand. Verzoekjes kunnen ook per mail verstuurd worden..

[ Voor 10% gewijzigd door jules op 29-03-2004 12:06 ]

[Verwijderd]

Symantec heeft nu al een LiveUpdate gereleased. \o/
Maw: Hij gaat erg hard.

NAI rate hem nu als medium.

[jules]

Ik ga er nu al van balen, alleen van die p variant (in kav heet ie dus schijnbaar q) heb ik er al zeker een stuk of 5 gehad. En dat als privé e-mailer...

[wildhagen]

Verwijderd schreef op 29 maart 2004 @ 12:52:
Symantec heeft nu al een LiveUpdate gereleased. \o/
Maw: Hij gaat erg hard.

NAI rate hem nu als medium.

Yep, ook NAI heeft inmiddels een EXTRA.DAT uitgebracht, hier te downloaden: *klik*

Hij ging hier vanochtend al bizar hard...

[jules]

maandag 29-3-2004
12:35 Netsky.q opgewaardeerd naar medium risk.

VirusAlert-schaal : 25/100 "gevaarlijk"

W32.Netsky.q is een nieuwe mass-mailer internetworm die momenteel zeer actief is.

Netsky.q is zeer lastig te herkennen, de eigenschappen van het e-mailbericht variëren sterk.
Het kan zich bijvoorbeeld voordoen als een bericht van uw internetservice provider alsof er iets niet goed is met uw mailconfiguratie.
Via een link in het bericht zou u dan uw e-mail kunnen lezen.
Dit is geenzins het geval, wij adviseren u dergelijke berichten direct te verwijderen.

Ook kan Netsky.q gebruik maken van een lek in het programma Internet Explorer (onderdeel Outlook) waardoor het
automatisch wordt geopend. Microsoft heeft hiervoor reeds geruime tijd een oplossing beschikbaar. Wij adviseren u
deze oplossing (patch) z.s.m. te installeren. Meer informatie vindt u op de Netsky.q pagina:

Netsky.Q:
http://www.virusalert.nl/?show=virus&id=654


Met vriendelijke groeten,

VirusAlert redactie.

[Verwijderd]

Ik verplaats een aantal posts richting het discussietopic, dit is off-topic voor de draad, maar wel nog interessant genoeg imo om in dat topic te plaatsen.

_{Hopen dat het niet misgaat, dit is m'n eerste keer.}

[Verwijderd]

En weer een nieuwe...
I-Worm.NetSky.s

[wildhagen]

Verwijderd schreef op 31 maart 2004 @ 10:09:
En weer een nieuwe...
I-Worm.NetSky.s

Hmm... deze heeft twee gedragingen die volgens mij (correct me als het niet klopt) bij eerdere varianten nog niet voorkwamen:

# when executed this binary executes Notepad on the victim machine
# the binary drops a DLL component (18,944 bytes) which contains the worms functionality (including SMTP engine and mailing routine)

(Uit de NAI-writeup: http://vil.nai.com/vil/content/v_101149.htm)

Gelukkig maakt deze alleen PIF-files, worden lekker toch al geblocked hier

[mmedia]

@Schouw, ik heb een virus gesubmit, kan jij eens kijken welke variant dit is? NAV 2003 en online scan van Trend Micro herkende hem niet

edit:
Ah, de onlinescanner van Bitdefender herkent hem wel:
Win32.Odon.A@mm

[ Voor 26% gewijzigd door mmedia op 04-04-2004 15:29 ]

[Verwijderd]

mmedia schreef op 04 april 2004 @ 15:22:
@Schouw, ik heb een virus gesubmit, kan jij eens kijken welke variant dit is? NAV 2003 en online scan van Trend Micro herkende hem niet

Het gaat om deze: [rml][ VirusAlert] I-Worm.VB.c = Sober Variant *[/rml]
Het is trouwens niet helemaal de bedoeling dat je een topic daarvoor schopt.
Ik kijk zeer regelmatig of ik nieuwe mail heb.

[Bor]

mmedia schreef op 04 april 2004 @ 15:22:
@Schouw, ik heb een virus gesubmit, kan jij eens kijken welke variant dit is? NAV 2003 en online scan van Trend Micro herkende hem niet

edit:
Ah, de onlinescanner van Bitdefender herkent hem wel:
Win32.Odon.A@mm

Je kunt de on demand scanner van Bitdefender trouwens prima naast Norton gebruiken. Deze kan dan ook automatisch updaten. Dit heb ik zelf ook. Wellicht een goede tip voor de volgende keer.

[Verwijderd]

even kleine reactie tussendoor, mijn zus haar computer heeft problemen met opstarten; alles gaat gewoon zoals het hoort en bureaublad komt in beeld virusscanner opent zichzelf...dan na 5 seconden kan je niets meer aanklikken muis beweegt wel toetstenbord reageert niet en niets doet het verder... ik heb wel in msconfig gezien (in veilig modus) dat er een bestand zichzelf opent uit de map ~programfiles/~ece.exe zoiets iig.. ik las ergens dat het betekende dat er een virus is .. is dit een van de dingen die Netsky of Mydoom je comp aandoen ?

[wildhagen]

En daar zijn we weer, met Netsky.S in dit geval...

Write up NAI/McAfee: http://vil.nai.com/vil/content/v_101156.htm

Van de andere AV's kan ik geen writeups vinden op dit moment...

[Jelmer]

Sophos heeft m vanochtend/nacht geplaatst: http://www.sophos.com/virusinfo/analyses/w32netskys.html

[ Voor 9% gewijzigd door Jelmer op 05-04-2004 13:15 ]

[AW_Bos]

Heb net een mail gekregen met een vage URL over mijn Inbox (domme URL stond erin ) en kreeg een .scr open-dialoog venster die ik heb ge-annuleerd.
Ik heb gehoord dat dit Netsky Q is.

Ben ik nu safe?

[jules]

Ik zou ff een on-demand scanner draaien... just for shure! Maar kreeg je verder geen melding van je virusscanner?

[Pjotrik]

Deze werd net geblocked bij ons:

Scanner: MailMonitor for SMTP v1.2.2

SMTP sender: <[e-mail]>
Sent from host: smtp50.wxs.nl[195.121.6.34]

Problem description:
Email data:
MessageID: <[e-mail]>
From: [e-mail]
To: [e-mail]
Cc:
Subject: Re: Submit a Virus Sample
Scanning part []

Scanning part [datfiles.zip]
Attachment validity check: passed.
Virus identity found: W32/Netsky-P
Virus identity found: W32/Netsky-P


Moet niet gekker worden..

[Resistor]

Dat komt mij heel bekend voor.
Ik copieer even een stukje uit een andere post van mij:

Ik heb een @yahoo.com mailadres, en daar kan je er voor kiezen of je een attachment download of niet.

Even laten scannen: Virus "W32.Sober.F@mm" found, You can not download this attachment.

Voor de geïnterresseerden: hij zei dat hij kwam van 'webmaster@ smtp03.wxs.nl', inhoud tekst was:

Please read the document

*** Mail- Attachment: No suspicious Virus signatures
*** YAHOO Anti Virus
*** http://www.yahoo.com

En de naam van het attachment was 'messagedoc.pif'

[ Voor 5% gewijzigd door Resistor op 06-04-2004 15:36 ]

[Verwijderd]

Er is vanmorgen nog een variant ontdekt..
http://www.f-secure.com/v-descs/netsky_t.shtml

The Netsky.T variant has been found. It is very close to the yesterday's Netsky.S variant, but lacks one text string array (the one with fake anti-virus scan reports). Detection for this variant is available since yesterday.

KAV detecteert deze met dezelfde sig als die voor de Netsky.s variant(beide als I-Worm.NetSky)
NAI's extra.dat detecteert de nieuwe variant als een nieuwe variant van NetSky.s.

Er is ook nog een nieuwe Bagle variant ontdekt, en een aantal LovGate varianten.
Waaronder een aantal gewone repacks met runtime packers.(de LovGates)

En er is een nieuwe Bugbear/Tanatos variant ontdekt en als die net zo hard gaat als z'n broertjes, dan wordt het weer echt feest.
Deze logt _flink_ wat data...

[wildhagen]

NAI heeft het Risk Assessment van NetSky.S geupgrade van Low-Profiled naar Medium, en een paar minuten geleden is een Emergency DAT gereleased (4348). In 4348 word .T ook als zodanig gedetecteerd, en niet meer als "new variant Netsky.S".

[jules]

Verwijderd schreef op 06 april 2004 @ 15:36:
Deze logt _flink_ wat data...

Daar zou ik zwaar van balen! Mijn spik splinternieuwe mail adres (vanaf half januari) is al ergens opgedoken in spam mail adres archieven... Vermoedelijk door een besmette computer die het mail adres heeft doorgestuurd naar een spammer. Of er moet een spammer in mijn kennissen kring zitten, maar dat lijkt me sterk... Ik heb geen Nigereaan in mijn kennissen kring...

[AW_Bos]

Krijg allemaal mailtjes met:

code:

If the message will not displayed automatically,
follow the link to read the delivered message.

Received message is available at:
www.hotmail.com/inbox/[mijn_naam]/read.php?sessionid-12296

Domme virussen , alsof Hotmail met PHP werkt. Microsoft houdt het vast wel bij hun eigen programmeertaal (ASP).

[ Voor 5% gewijzigd door AW_Bos op 07-04-2004 13:39 ]

[Bor]

AW_Bos schreef op 07 april 2004 @ 13:38:
Krijg allemaal mailtjes met:

code:

If the message will not displayed automatically,
follow the link to read the delivered message.

Received message is available at:
www.hotmail.com/inbox/[mijn_naam]/read.php?sessionid-12296

Domme virussen , alsof Hotmail met PHP werkt. Microsoft houdt het vast wel bij hun eigen programmeertaal (ASP).

Check dan gelijk de hosts file op jouw computer maar. Grote kans dat daar nu een verwijzing in staat naar www.hotmail.com met een ip adres wat NIET van hotmail is maar een gehackte server (schaduwcopy van hotmail om jouw password te stelen).

[AW_Bos]

Ik kreeg zulke mailtjes o.a OOK in me hotmailbox (en virus heeft ie al verwijderd). En thuis op Tiscali krijg ik ze ook zonder bijlage-paperclipje, open ik ze krijg ik een venster van: Bijlage openen. Dat venster klik ik weg met annuleren en de X rechtsboven.
Ben ik nu besmet?

[ Voor 12% gewijzigd door AW_Bos op 07-04-2004 14:10 ]

[Verwijderd]

AW_Bos: Dat ligt aan je mailclient en dergelijke.
Wat zei je(uiteraard uptodate)AV ervan?

Bor: Hoe kom je daar zo 1,2,3 bij? Standaard netsky message zie ik daar gewoon staan?

[ Voor 3% gewijzigd door Verwijderd op 07-04-2004 14:15 ]

[AW_Bos]

heb OE6, ben ik dus besmet? Heb geen OK gedrukt ofzo.

[ Voor 76% gewijzigd door AW_Bos op 07-04-2004 14:19 ]

[Bor]

Verwijderd schreef op 07 april 2004 @ 14:14:
Bor: Hoe kom je daar zo 1,2,3 bij? Standaard netsky message zie ik daar gewoon staan?

Ik hoorde net dat dat een truuk is die zich de laatste tijd weer voor doet, vandaar.

[Jimbolino]

Bor_de_Wollef schreef op 07 april 2004 @ 13:45:
[...]


Check dan gelijk de hosts file op jouw computer maar. Grote kans dat daar nu een verwijzing in staat naar www.hotmail.com met een ip adres wat NIET van hotmail is maar een gehackte server (schaduwcopy van hotmail om jouw password te stelen).

praat geen poep

ik heb ook zon mailtje gehad:
www.hotmail.com/inbox/[userid]/read.php?sessionid-5953 (zo ziet de link eruit op het scherm)
maar er zit een andere link onder, namelijk eentje naar de attachment van het bericht:

code:

<a href=3Dcid:031401Mfdab4$3f3dL780$73387018@57W81fa70Re height=3D0 width=3D0>

edit: hier een screenshotje

[ Voor 8% gewijzigd door Jimbolino op 07-04-2004 14:33 ]

[Verwijderd]

AW_Bos schreef op 07 april 2004 @ 14:17:
heb OE6, ben ik dus besmet? Heb geen OK gedrukt ofzo.

Dat kan ik zo niet voorspellen..
Laat je uptodate AV maar eens scannen.

praat geen poep

Je kan iemand ook beleefder zeggen dat diegene het bij het foute eind heeft hoor..

[Bor]

Jimbolino schreef op 07 april 2004 @ 14:25:
[...]

praat geen poep

Dat doe je maar op de toilet Jimbolino. Er gaat op dit moment ook een hack rond die wel zo werkt.

[Verwijderd]

Bor_de_Wollef schreef op 07 april 2004 @ 14:41:
[...]


Dat doe je maar op de toilet Jimbolino. Er gaat op dit moment ook een hack rond die wel zo werkt.

Hmm, linkje?
Als je denkt dat het topicwaardig is, be my guest.

[Bor]

Verwijderd schreef op 07 april 2004 @ 14:44:
[...]

Hmm, linkje?
Als je denkt dat het topicwaardig is, be my guest.

Linkje heb ik op dit moment nog niet. Ik werd er net over gebeld door een collega. Ik wil eerst even checken of dit 100% true is voordat ik met veel bombarie een topic ga openen

[Jimbolino]

Bor_de_Wollef schreef op 07 april 2004 @ 14:46:
[...]
Linkje heb ik op dit moment nog niet. Ik werd er net over gebeld door een collega. Ik wil eerst even checken of dit 100% true is voordat ik met veel bombarie een topic ga openen

Het is dan misschien geen poep, maar erg aannemelijk is het niet: een virus dat je host file aanpast om hotmail wachtwoorden op te vangen...
Het lijkt me meer waarschijnlijker dat het een keylogger installeerd die bijhoud welke wachtwoorden je intypt...

[Miki]

En waarom zou het niet kunnen dan? Het is ook bekend dat virussen gemaakt met een Optix-toolkit de liveupdate van Norton kunnen blokkeren. Deze past namelijk ook je hostfile aan, dus waarom kan het met hotmail in samenhang met passwords niet? Een keylogger lijkt meer waarschijnlijk, dat ben ik met je eens maar sluit niet alles meteen uit. Er is dus meer mogelijk dan je denkt, je zult niet de eerste zijn die als experiment dient voor een virus.

[Bor]

Jimbolino schreef op 07 april 2004 @ 19:27:
[...]

Het is dan misschien geen poep, maar erg aannemelijk is het niet: een virus dat je host file aanpast om hotmail wachtwoorden op te vangen...
Het lijkt me meer waarschijnlijker dat het een keylogger installeerd die bijhoud welke wachtwoorden je intypt...

Dit soort dingen gebeuren vaker hoor. Niets onaannemelijk aan. Een aangepaste hostfile wordt ook niet door een av gedetecteerd en een keylogger vaak wel (zeker na verloop van tijd). Maar laten we het ontopic houden.

[Haranaka]

Ik werk voor een bedrijfje waar we sinds kort erg veel last hebben van die skynet virussen.
Op de mailserver staat Symantec AntiVirus Corporate Edition 7.?? geinstaleerd. Deze haalt keurig de virussen uit de mailtjes, maar hij verwijderd niet het bericht zelf. Nu krijgen medewerkers dus 30 mails per dag met een melding dat Symantec het virus verwijderd heeft. Daar zitten ze dus niet op te wachten, en ik ook niet.

Ik ben dus op zoek hoe ik die 'lege' mailtjes weg kan gooien en zat te denken dat dit op 2 manieren zou moeten kunnen:
* In de antivirus software (heb nog nergens zo'n optie kunnen vinden )
* In de mailserver, maar het gaat om een redelijke oude mailserver, de enige (spam)filter die ik in kan stellen werkt op afzender. "Block from sender" nogal verouderd gezien spammers en virussen toch wel hun adresjes spoofen.

Dus ik hoop dat iemand een geniale tip voor mij heeft.

[Verwijderd]

Haranaka: Dit is het NetSky topic, dat je toevallig NetSky mails ontvangt, staat los van je probleem.
Vragen zoals deze horen dus niet in dit topic.

[Haranaka]

Dacht wel dat hier misschien iemand antwoord wist. Maargoed ik open wel ff een nieuwe topic.

[jules]

Ik krijg nu weer een lading netsky virusjes over me heen van een collega casema kabelaar .

Wat me daarin opviel is dat ze wel heel erg creatief zijn bezig geweest met de bestandsnaam. Dubbele extensies kende ik al, maar wat dacht je van deze:

code:

filename="d4334938.txt                                                                   .scr"

Een gemiddeld programma zorgt ervoor dat je alleen de txt extensie ziet. Wellicht met wat puntjes erachter, maar als er zó véél spaties achter staan, dan letten er wel heel weinig mensen op.
Maar goed, ik word altijd getriggerd aan de grote van het mailtje (gek genoeg meestal tussen de 42 & 45 kb) inclusief attachment, icm de andere bekende kenmerken ("aantrekkelijk" subject dat aanspreekt of zorgt voor openen van het mailtje, engelse body en een onbekende afzender) Nu is er echter een variant, die er voor zorgt dat het lijkt alsof er geen attachment bij zit, maar dat was al bekend hier...

[Miki]

Ik zie net dat Panda het Netsky.U virus heeft genoteerd op hun website.

Link: [url=http://www.pandasoftware.com/virus_info/encyclopedia/overview.aspx?IdVirus=46191&sind=0} netsky.u [/url]

Het pif bestand is 18,432 kb groot, kans is groot dat de andere vendors van naam afwijken.

De doelwitten zijn trouwens wel zeer opvallend, DoS atacks op de volgende sites:

www.emule.de
www.freemule.net

en nog 3 warez sites, in de link vind je ze terug.

Je zou verwachten dat juist anti warez/p2p community doelwit zou zijn, maar dit keer is het dus omgekeerd.


Nai heeft um ook al: http://vil.nai.com/vil/content/v_101167.htm

Je kijkt ff een dagje niet naar om en ze hebben er al weer één gemaakt. Ach ja, de info is er weer en daar gaat het om

[ Voor 57% gewijzigd door Miki op 08-04-2004 20:01 ]

[wildhagen]

Mjah, .U was gisteren al wel bekend bij de meeste AV's:

Enkele andere write-ups:

- http://vil.nai.com/vil/content/v_101167.htm
- http://www.f-secure.com/v-descs/netsky_u.shtml
- http://securityresponse.s...data/[e-mail]

Is slechts een minimale variant op Netsky.T en dat was al weer een minimale variant van Netsky.S

[wildhagen]

Het is even rustig geweest, maar daar is-tie weer, een nieuwe variant, en we dopen hem NetSky.V.

Op dit moment is de enige voorlopige write-up die ik kan vinden die van NAI/McAfee: http://vil.nai.com/vil/content/v_101175.htm

De rest zal zo wel volgen...

Edit: ah, hij doet nu hetzelfde als sommige Bagle-varianten:

Rather than including an attachment, the HTML within the message contains exploit code to contact a remote website to download the infected file. This HTML script will be detected with 4352 DATs and higher as Exploit-ObjectData.

[ Voor 38% gewijzigd door wildhagen op 14-04-2004 22:25 ]

[vooghel]

wildhagen schreef op 14 april 2004 @ 21:24:
Het is even rustig geweest, maar daar is-tie weer, een nieuwe variant, en we dopen hem NetSky.V.

Op dit moment is de enige voorlopige write-up die ik kan vinden die van NAI/McAfee: http://vil.nai.com/vil/content/v_101175.htm

De rest zal zo wel volgen...

Edit: ah, hij doet nu hetzelfde als sommige Bagle-varianten:

---

Rather than including an attachment, the HTML within the message contains exploit code to contact a remote website to download the infected file. This HTML script will be detected with 4352 DATs and higher as Exploit-ObjectData.

Ik neem aan dat die versie 4352 de volgende, nog niet beschikbare versie is? Ik heb net de virusupdate uitgevoerd bij het bedrijf waar ik nu werk, en de update van vanmorgen (eigenlijk die van gisteravond 22.09u) is 4351. Op http://www.nai.com/us/downloads/updates/default.asp staat 4352 ook niet.

[WimB]

Ik vraag me af wat er gaat komen na Netsky.Z

[Jelmer]

NetSky.AA net zoals:

Troj/KillAV-AF
Troj/KillAV-AG
W32/Sdbot-HL
Troj/MDrop-IS
W32/Agobot-GD
W32/Agobot-GE
W32/Agobot-GF
W32/Sdbot-HM

[Elektronicanet]

WTF Ik krijg verspreid over de ochtend gewoon al 7 mailtjes met Netsky NAV2004 pakt ze wel gelukkig

[Verwijderd]

Elektronicanet schreef op 15 april 2004 @ 12:40:
WTF Ik krijg verspreid over de ochtend gewoon al 7 mailtjes met Netsky NAV2004 pakt ze wel gelukkig

Niet de laatste variant iig, tenzij je beta defs gebruikt.

F-Secure heeft inmiddels ook een write-up: http://www.f-secure.com/v-descs/netsky_v.shtml

[Elektronicanet]

Verwijderd schreef op 15 april 2004 @ 12:52:
[...]

Niet de laatste variant iig, tenzij je beta defs gebruikt.

Nee, het gaat om W32.Netsky.P@mm.

[wildhagen]

Elektronicanet schreef op 15 april 2004 @ 13:25:
[...]

Nee, het gaat om W32.Netsky.P@mm.

Ja, daar hebben wij ook het meest last van, .P is op dit moment volgens mij de meest verspreide vorm, naast de al wat oudere .B en .D-varianten...

[Verwijderd]

En we hebben weer een nieuwe...
http://www.f-secure.com/v-descs/netsky_w.shtml
http://www.pandasoftware....aspx?IdVirus=46390&sind=0

Today we found another new Netsky variant: Netsky.W. It is similar to previous NetSky.P or NetSky.Q variants and it removes Bagle worm if it finds it on an infected computer.

[Miki]

En weer een nieuwe variant, dit maal Netsky.X

http://www.europe.f-secure.com/v-descs/netsky_x.shtml
http://vil.nai.com/vil/content/v_104475.htm
http://securityresponse.s...data/[e-mail]

NAME: NetSky.X
ALIAS: W32/NetSky.X@mm
SIZE: 26112 bytes

NetSky.X worm was discovered on April 20th, 2004.

This variant is extremely close to the latest NetSky variants. It shares up to approximately 86% of the code and features in common with NetSky.U.

It features messages in different languages like German, Portuguese and Italian among others.

[ Voor 19% gewijzigd door Miki op 20-04-2004 15:12 ]

[wildhagen]

En weer een nieuwe variant, de tweede al vandaag: Netsky.Y.

Write-up: http://vil.nai.com/vil/content/v_112148.htm

Andere AV's hebben zo te zien (nog) geen write-ups.

[Verwijderd]

wildhagen schreef op 20 april 2004 @ 21:46:
En weer een nieuwe variant, de tweede al vandaag: Netsky.Y.

Write-up: http://vil.nai.com/vil/content/v_112148.htm

Andere AV's hebben zo te zien (nog) geen write-ups.

We have received a re-packed variant of Netsky.X worm. It is already detected by FSAV with the current anti-virus databases.

Deze is volgens Symantec trouwens ook al Cat 3.

[D2k]

Trend heeft vanacht een pattern gereleased en um gelijk yellow alert gemaakt.

[wildhagen]

Doen we meteen maar even Netsky.Z erbij.

Write-up: http://vil.nai.com/vil/content/v_121076.htm

[Miki]

F-secure write up: http://www.f-secure.com/v-descs/netsky_z.shtml

[BoGhi]

Waarom krijg ik trouwens nu nog steeds gewoon Netsky.P (volgens Norton) via Hotmail binnen? Dat hoort toch al lang geblocked te worden?

[wildhagen]

BoGhi schreef op 21 april 2004 @ 21:41:
Waarom krijg ik trouwens nu nog steeds gewoon Netsky.P (volgens Norton) via Hotmail binnen? Dat hoort toch al lang geblocked te worden?

Ja. Maar Hotmail is wel vaker wat (lees: érg) laat met het updaten van hun scanners.

Gebruikt Hotmail nog steeds McAfee voor hun scanning? Vroeger iig wel, maar ik gebruik het niet, dus weet niet wat ze nu draaien. If so, die vangt hem idd al wekenlang af (hell, we hebben zelf 900-1000 .P's per dag die worden afgevangen op onze mailservers).

[BoGhi]

Ja, 'powered by McAfee'. Toch raar dan..

[Chrasher]

Kreeg er net weer een binnen die door AVG gezien werd als Netsky.Q. Ik moet wel zeggen dat de inhoud van het mailtje mij wel opviel (vooral het return-path en attachmentnaam).

Return-Path: <[e-mail]>

<knip>

The sample file you sent contains a new virus version of buppa.k.
Please update your virus scanner with the attached dat file.

Best Regards,
Keria Reynolds


------=_NextPart_000_0016----=_NextPart_000_0016
Content-Type: application/octet-stream;
name="datfiles_chrasher.txt"
Content-Transfer-Encoding: 7bit
Content-Disposition: attachment;
filename="datfiles_chrasher.txt"

Overwritten by AVG Outlook Express Plugin
I-Worm/Netsky.Q virus found in attachment.
Attachment name: 'datfiles_chrasher.scr'
File was successfully moved to Virus Vault!

[wildhagen]

O, maar da's niet nieuw hoor. Denk alleen maar aan virussen als Swen die het doen voorkomen alsof het patches zijn die van Microsoft komen.

Truc is al zo oud als de weg naar Rome.

[ Voor 16% gewijzigd door wildhagen op 26-04-2004 14:25 ]

[Verwijderd]

Ik kreeg trouwens gister via n hotmail account een aardig virus ding binnen, (die niet herkend werd door hotmail zelf natuurlijk...) ClamAv noemt em somefool.z terwijl kas. hem netsky.aa noemt, zijn we 'officieel' door de 1e 26 varianten heen of klopt de kas. scanner niet helemaal?

[Verwijderd]

kas. = Kaspersky?
Nouja, sommige vendors detecteren I-Worm.NetSky.aa als 'aa', sommige andere nog als 'z'.

Maar er is vannacht weer een nieuwe variant ontdekt, waardoor eigenlijk alle vendors nu dubbele letters mogen gebruiken.

Write-up: http://www.f-secure.com/v-descs/netskyaa.shtml

[wildhagen]

zijn we 'officieel' door de 1e 26 varianten heen of klopt de kas. scanner niet helemaal?

We zijn idd door de 26 varianten heen. Dan gaan we dus door met Netsky.AA

Enkele write-ups:

- http://vil.nai.com/vil/content/v_122476.htm
- http://www.f-secure.com/v-descs/netskyaa.shtml

edit:
spuit 11

[ Voor 7% gewijzigd door wildhagen op 27-04-2004 11:54 ]

[D2k]

http://www.trendmicro.com....asp?VName=WORM_NETSKY.AA

trend heeft um al in de net gereleasede pattern zitten

[Verwijderd]

Ja ik zag net de aa al staan, maar wat ik niet snap is dat Mcafee pas sinds gister detectie heeft voor .z terwijl ik zondagavond om 18.00 (volgens mijn eigen db) de eerste netsky.z heb binnen gehad. Terwijl afaik op zondagavond de gewone wekelijkse dat files werden gebruikt (21/4/04). Raar....

Lama zitten, mijn fout, haalde Bagle.Z en Netsky.Z door elkaar. Netsky.Z wordt al sinds vorige week woensdag herkend. Voor netsky.aa heeft mcafee nog geen extra.dat maar wordt opgenomen in de weekelijkse dat's. Dan zal dat wel het virus zijn dat ik via hotmail kreeg en loopt ClamAV ergens een complete letter achter (qua nummering), ze zijn doorgaans een van de eerste met herkenning.

[ Voor 40% gewijzigd door Verwijderd op 27-04-2004 12:10 ]

[D2k]

netsky.ab

http://nl.trendmicro-euro...?s=1&VName=WORM_NETSKY.AB

yellow alert bij Trend + gelijk een nieuwe pattern file (873)

[wildhagen]

Yep. Heb er inmiddels ook een paar mogen ontvangen (stuk of 10 nu), hij lijkt dus redelijk hard te gaan.

Nog wat meer write-ups:

- http://vil.nai.com/vil/content/v_124873.htm
- http://securityresponse.s...ata/[e-mail]
- http://www.f-secure.com/v-descs/netskyab.shtml

[Verwijderd]

wildhagen: Zou je eens een sample kunnen submitten?
Ik wil even wat checken en mensen in het Lab zijn nogal busy atm.

[wildhagen]

Tuurlijk, heb net ff een sample naar je gestuurd

[D2k]

Trend was een keer snel joh?

[wildhagen]

D2k schreef op 28 april 2004 @ 12:11:
Trend was een keer snel joh?

Mwah, zo snel niet hoor

De write-up (weliswaar voorlopig) van NAI stond er al een uur eerder, en die van Symantec stond er gisteravond al

[Verwijderd]

Achja, write-ups...
Het gaat om de auto-updates imo.

Trend was idd lekker vlug, terwijl Kaspersky de boot echt compleet mist.
Dacht dat hij al gedetecteerd werd, maar nee.

[Verwijderd]

Wie heeft er een goede (lees: niet corrupte) extra.dat voor netsky.ab degene die op de site staat is corrupt lijkt het, het zipje bevat iig geen extra.dat file

[Verwijderd]

De weeklyDAT is toch uit? Gebruik die?

[wildhagen]

Mabit: ik heb een werkende, te downloaden op http://www.xs4all.nl/~jurgenjw/zooi/EXTRA.DAT

Overigens zou DAT 4354 die vanavond is uitgekomen hem ook moeten oppikken, maar dat heb ik nog niet kunnen testen....

[ Voor 6% gewijzigd door wildhagen op 28-04-2004 22:20 ]

[Verwijderd]

Merci, ik was trouwens al bezig om de ..54 dat te installeren, maar het lijkt erop dat het update script een beetje kuren vertoond, dus dat zal ik met de hand moeten doen

[Dennis]

Alfabet rond.

[Verwijderd]

ik heb ook stinger ff gedownload van mcaffee, en dit programmaatje heeft dit verwijdert, is dit genoeg????? of kan er altijd nog resterende deeltjes op mn pc achterblijven?


(ps: ik ben maar een leek qua computers)

[wildhagen]

Als Stinger meld dat hij het zaakje verwijderd heeft, hij hij ook alles weggehaald, dus incl regkeys etc.

[Verwijderd]

ik bedoel dat stinger dat netsky virus heeft verwijdert

[Verwijderd]

hee is het downloaden van stinger via onderstaande link wel veilig???
ik bedoel, kun je met het downloaden van stinger virussen binnenhalen??

link: http://vil.nai.com/vil/stinger/

[wildhagen]

Natuurlijk niet, dat is een officiele pagina van NAI/McAfee, die gaan echt geen 4russen lopen verspreiden hoor

[Ruzor]

Verwijderd schreef op 06 mei 2004 @ 15:03:
hee is het downloaden van stinger via onderstaande link wel veilig???
ik bedoel, kun je met het downloaden van stinger virussen binnenhalen??

link: http://vil.nai.com/vil/stinger/

Lijkt me niet, ik bedoel die stinger komt van MCAfee af...lijkt me slecht als je door hun een virus krijgt

p.s. het is wel de bedoeling als je meerdere dingen wil posten dat je de edit knop gebruikt.

[ Voor 10% gewijzigd door Ruzor op 06-05-2004 15:12 ]

[Verwijderd]

Aantal berichten naar een nieuw topic gemoved.
Dit topic is bedoeld voor discussie - niet voor specifieke infectie-issues.

[Verwijderd]

I-Worm.NetSky.ae is ITW...
Ben benieuwd of er nog wat instaat mbt. Sasser/NetSky-dude.

[wildhagen]

Even een lichte kick, want er is een hele leuke nieuwe variant ontdekt. Deze dropped namelijk een Bugbear-variant. Die doet o.a. aan password stealing, en stelen van potentieel vertrouwelijke informatie.

Op dit moment heeft alleen F-Secure een write-up, zij noemen hem Netsky.AD: http://www.f-secure.com/v-descs/netskyad.shtml

De rest van de AV-firma's zal binnenkort wel volgen...