[VirusAlert] Sober.f *

[Bastien]

Ik wordt sinds een uurtje bestookt met virussen. Tenminste, dat denk ik. Ik heb nu inmiddels bijna 2000 mailtjes gehad, allemaal van 1 IP (volgens de headers dan). Ik heb 3 virusscanners draaien op de mailserver, maar NAV, KAV en AVG herkennen 'm niet (ook niet alleen de attachments), met de meest recente updates natuurlijk.

Ik heb gezocht op diverse sites naar kenmerken maar ook daar zie ik niets. Of het ligt aan mijn zondagmorgengevoel.

Enkele kenmerken:

Subject / Attachment

Your Password / Pass-message.zip (42.630 bytes)
Hey / Text.pif (42.471 bytes)
Database #Error / Error-message.zip (42.630 bytes)
Information / Messagedoc.pif (42.471 bytes)
Oh My God /shock_text.zip (42.630 bytes)
mail delivery status / Error_info_attach.pif (42.471 bytes)
Hi / Textdocument.pif (42.471 bytes)

Iemand enig idee?

[Hahn]

Ik heb nu inmiddels bijna 2000 mailtjes gehad, allemaal van 1 IP (volgens de headers dan).

Block dat IP en klaar ben je. En verder niet aan die mails komen en ze gelijk wegmieteren, want het zouden inderdaad virussen kunnen zijn (ook allemaal ongeveer dezelfde grootte enzo).

En natuurlijk even voor de zekerheid een virusscanner over je PC heen halen

[wildhagen]

Zou weer een nieuwe variant van Bagle en/of NetSky kunnen zijn... zou je me één of twee van die attachments kunnen mailen? Liefst één van elk van die twee sizes. Mailadres staat in mijn profile...

Heb je overigens ook de online scan van Trend geprobeerd (Housecall)?

[Frankie02]

Yep, dit zijn virussen.

Alleen, komen ze allemaal van 1 ip-adres??? Meestal krijg je dan er maar een paar toegestuurd. Kijk eens in de header van welke provider deze mailjes komen en laat die provider het verder uitzoeken voor je.

[Verwijderd]

Ik zou graag samples asap willen hebben.
Liefst een van elke die verschiilend in grootte is.

Zie sig voor mail.

[Bastien]

@ Schouw... zijn onderweg. En naar wildhagen ook.

En volgens de headers van de mail komt alles van 1 adres, resolved naar tiscali.nl.

[ Voor 13% gewijzigd door Bastien op 04-04-2004 11:26 ]

[wildhagen]

Holy moses.... ik heb ook even in de Quarantaine Manager gekeken van de mailservers op mijn werk....

Deze gaat als de kanonnen, letterlijke 1000-en, zoniet 10.000, alleen al in het laatste uur.

[Verwijderd]

Update KAV eens.

code:

\pass-message.zip   archive  ZIP     11:24:34
\pass-message.zip\Pmessage-text.txt          .pif   packed  UPX  11:24:34
\pass-message.zip\Pmessage-text.txt          .pif   is infected with a virus I-Worm.VB.c     11:24:34

Edit: Deze wordt toch al enkele dagen gedetecteerd...

[ Voor 11% gewijzigd door Verwijderd op 04-04-2004 11:27 ]

[paella]

Ik krijg ze ook (op werk), en net nog geen update van Sophos gezien. Gelukkig doen executable en extensie filters het goed en halen ze er toch uit.

[Verwijderd]

Wildhagen: Geeft NAI deze toevallig een leuke naam?
[VirusAlert] I-Worm.VB.c is niet echt heel catchy nml.

[wildhagen]

Oké, even naar twee varianten gekeken (de een 35 kB, de ander 42 kB)

McAfee geeft dit voor die van 42 kB als je hem Submit:

automailer_attach.pif heuristic detection new aol Virus

Die van 35 kB geeft Inconclusieve and will be forwarded to an analyst.

Edit: en nog een van 42 kB, maar net een paar bytes kleiner. McAfee geeft dit:

shock_text.pif heuristic detection beav-corrupted Application

Edit2: totaal aantal van deze dingen afgevangen sinds middernacht: iets meer dan 21.000 exemplaren...

[ Voor 36% gewijzigd door wildhagen op 04-04-2004 11:35 ]

[Verwijderd]

wildhagen schreef op 04 april 2004 @ 11:31:
Oké, even naar twee varianten gekeken (de een 35 kB, de ander 42 kB)

McAfee geeft dit voor die van 42 kB als je hem Submit:


[...]


Die van 35 kB geeft Inconclusieve and will be forwarded to an analyst.

Edit: en nog een van 42 kB, maar net een paar bytes kleiner. McAfee geeft dit:


[...]

Hmm, kan iemand me de van 35 kB ter zekerheid eens opsturen?
Zo te zien heb ik twee keer 42 kB 'variant' gekregen.
TIA.

[paella]

Ik krijg van (totaal, inclusief mail) van ongeveer 58 a 59 kB...

[wildhagen]

Verwijderd schreef op 04 april 2004 @ 11:34:
[...]

Hmm, kan iemand me de van 35 kB ter zekerheid eens opsturen?
Zo te zien heb ik twee keer 42 kB 'variant' gekregen.
TIA.

Heb hem ff naar je @tw.net gemailed (gezipped, pwd = infected)

[Bastien]

Verwijderd schreef op 04 april 2004 @ 11:34:
[...]

Hmm, kan iemand me de van 35 kB ter zekerheid eens opsturen?
Zo te zien heb ik twee keer 42 kB 'variant' gekregen.
TIA.

Ik heb alleen de 42-variant... in diverse smaken. Van een 35kB weet ik niets

Maar dank voor de snelle reactie. De update komt nu binnen

Edit: en hij werkt

[ Voor 6% gewijzigd door Bastien op 04-04-2004 11:39 ]

[Verwijderd]

wildhagen schreef op 04 april 2004 @ 11:37:
[...]

Heb hem ff naar je @tw.net gemailed (gezipped, pwd = infected)

Thanks.
Corrupted.

[wildhagen]

En nog een variant, McAfee flagged hem als zodanig:

pmessage-text.txt .pif heuristic detection with fishy extension Application

Body van die mail was:

Your password was changed successfully.


++++ Service: http://www.hotmail.com
++++ Mail To: [e-mail]


*** Mail Scanner: No Virus found
*** ACTION48 Anti Virus
*** http://www.action48.nl

Dus hier gaan weer héél veel mensen intrappen...

Deze kreeg ik overigens persoonlijk in mijn eigen mailbox...

[Bastien]

Ja, die onderste is het domein van mij waar al die zooi op binnenkomt. Niet dat deze body door de mailserver hier werd gemaakt, maar zo gaat het wel lijken ja.

[ Voor 11% gewijzigd door Bastien op 04-04-2004 11:45 ]

[Verwijderd]

Titeledit dan toch maar.
Staat nog wat interessants in de file btw.

@All AV: Die NTP, Update,... Funktionen, waren bereits ab Version.A vorhanden !
Im diesen Sinne:Odin alias Anon

Hmm..

[wildhagen]

Wat staat daar? Mijn Duits is helaas nogal beroerd...

[pasta]

@All AV: The NTP, update... functions, were already present starting from Version.A! In this sense: Odin alias Anon

Volgens mijn vertaler

[Verwijderd]

Ik had al zo'n vermoeden en dat is zojuist bevestigd.
Het is een nieuwe Sober variant.

[ Voor 4% gewijzigd door Verwijderd op 04-04-2004 12:05 ]

[wildhagen]

Verwijderd schreef op 04 april 2004 @ 12:04:
Ik had al zo'n vermoeden en dat is zojuist bevestigd.
Het is een nieuwe Sober variant.

Da's wel vreemd, want waarom flagged KAV Onlinescanner hem dan als I-Worm.VB.c?

[Verwijderd]

wildhagen schreef op 04 april 2004 @ 12:08:
[...]

Da's wel vreemd, want waarom flagged KAV Onlinescanner hem dan als I-Worm.VB.c?

Dat vroeg ik me ook al een beetje af.
Misschien dat nieuwe(re) analyst deze file heeft bekeken en niet direct de link richting Sober heeft gelegd. Ik heb iig al voorgesteld om het ding eventueel te renamen.
Als detectie ervoor in daily zou zitten, zou dat bijna 100% zeker sowieso doorgaan, maar de oude weekly(van vrijdag)zal opnieuw gereleased moeten worden, dat wordt niet al te snel gedaan.

offtopic:
Paar redenen waarom ik dacht aan een Sober variant:
-De tekst in de file
-De corrupte samples

[paella]

op www.sarc.com staat idd een nieuwe sober variant vermeld.

[Verwijderd]

Zal hier alvast wat info neermikken..
Met het runnen van de attachment wordt een textfile geopend.

code:

#Mail Transaction Failed
#This mail couldn't be converted
---------------- Damage #Mime base64# part ----------------
                     [heel stuk code]

Gedropte files:

code:

C:\WINNT\system32\bcegfds.lll
C:\WINNT\system32\discspool.exe
C:\WINNT\system32\spoofed_recips.ocx
C:\WINNT\system32\syst32win.dll
C:\WINNT\system32\winhex32xx.wrm
C:\WINNT\system32\winsys32xx.zzp
C:\WINNT\system32\zhcarxxi.vvx
C:\WINNT\system32\zmndpgwf.kxx

Er wordt een timesync verbinding aangegaan met een aantal server op port 37.
Er worden een aantal regkeys aangemaakt die de startup van discspool.exe verzekeren.
(Die vernaggelen de layout te zeer atm)

Het gebruikt, zoals ook eerdere varianten, een speciale techniek waardoor AVs de desbetreffende files niet kunnen scannen.
Logisch gevolg is dus dat een AV een geïnfecteerd systeem niet kan 'herkennen'.
Bij KAV4.5 kan men zien dat er een aantal extra I/O errors bij zijn gekomen na een scan.

Edit: Het valt dus nog mee, je kan het process killen via taskmanager en dan is de I/O lock er automatisch af.

[ Voor 8% gewijzigd door Verwijderd op 04-04-2004 13:18 ]

[Verwijderd]

@Schouw ik kan in de viruslist van kaspersky geen i-worm.vb.c terug vinden, linkje?

ClamAv heeft iig sinds 11.17 detectie, van de rest heb ik iig nog niets gezien

[Verwijderd]

volgens mij is dit wel de ergste versie
zie net dat sommige email adressen over de 1000 berichten krijgen met I-Worm.VB.c erin
of wat nog erger is... van die 'Mail Delivery Subsystem - Undelivered Mail Returned to Sender' mail dat een geinfecteerde pc die worm verstuurd met als afzender jou adres

[Verwijderd]

Ik krijg trouwens nu een hele partij mailtjes met vage attachments van 59 kb die niet door de mcafee scanner worden gevonden, ga ze even onderzoeken en dan meldt ik mij weer

[wildhagen]

Verwijderd schreef op 04 april 2004 @ 15:12:
Ik krijg trouwens nu een hele partij mailtjes met vage attachments van 59 kb die niet door de mcafee scanner worden gevonden, ga ze even onderzoeken en dan meldt ik mij weer

Hé, die heb ik nog niet gekregen. Zou je mij er eentje willen mailen (adres in profile)?

Voorlopige write-up van Sober.F @ McAfee : http://vil.nai.com/vil/content/v_101154.htm

[Verwijderd]

wildhagen schreef op 04 april 2004 @ 15:13:
[...]

Hé, die heb ik nog niet gekregen. Zou je mij er eentje willen mailen (adres in profile)?

Voorlopige write-up van Sober.F @ McAfee : http://vil.nai.com/vil/content/v_101154.htm

Nee sorry heb mij vergist, de totale smtp size is 59kb de attachment zelf is maar 42 kb dus ik ga er even vanuit dat dat gewoon dezelfde is als in dit topic, ik gooi em even door webimmune

uitkomt van de test:

pmessage-text.txt .pif heuristic detection with fishy extension Application no

Alleen de commandline scanner doet dus geen heuristic test, dus ik zal ff iets anders gaan bedenken

[ Voor 19% gewijzigd door Verwijderd op 04-04-2004 15:19 ]

[Verwijderd]

Verwijderd schreef op 04 april 2004 @ 15:12:
Ik krijg trouwens nu een hele partij mailtjes met vage attachments van 59 kb die niet door de mcafee scanner worden gevonden, ga ze even onderzoeken en dan meldt ik mij weer

Die wil ik ook wel eens zien. Ok.

Er is gewoon(nog)geen write-up op www.viruslist.com
Als er toch over elk nieuw virus een write-up moet worden gemaakt...die tijd kan beter besteed worden.

[Verwijderd]

Verwijderd schreef op 04 april 2004 @ 15:17:
[...]

Er is gewoon(nog)geen write-up op www.viruslist.com
Als er toch over elk nieuw virus een write-up moet worden gemaakt...die tijd kan beter besteed worden.

offtopic:
Maar ik kan er helemaal niets over vinden, zou graag willen weten sinds wanneer Kas. dit virus dus herkend, want wordt een beetje moedeloos van nai/mcafee

[Verwijderd]

Verwijderd schreef op 04 april 2004 @ 15:21:
[...]

offtopic:
Maar ik kan er helemaal niets over vinden, zou graag willen weten sinds wanneer Kas. dit virus dus herkend, want wordt een beetje moedeloos van nai/mcafee

Sinds 'ergens tussen vorige week vrijdag en afgelopen vrijdag'.
Ik zal het eens navragen.

[CH4OS]

Misschien een geheel nutteloze post, maar kan het niet aan jullie onthouden:
Deze pagina is een informatie pagina over Sober.F

[ Voor 44% gewijzigd door CH4OS op 04-04-2004 15:39 ]

[Verwijderd]

KAV's adding date:

here's the creation date of the file @collection:
Apr 1 2004 3:53PM [created]

Sinds donderdag dus.

[Verwijderd]

Verwijderd schreef op 04 april 2004 @ 16:35:
KAV's adding date:

[...]

Sinds donderdag dus.

Oke thnx

Edit: Heel fijn, McAfee tagt hem als Low, hetgeen betekend dat er geen extra.dat komt en dat de officiele dat pas 7 april wordt gereleased

Ik heb een extra.dat ontvangen van Mcafee, hij staat nog niet online, ik weet eik niet of ik hem wel online mag zetten of niet..?!

[ Voor 51% gewijzigd door Verwijderd op 04-04-2004 19:23 ]

[wildhagen]

Verwijderd schreef op 04 april 2004 @ 16:37:
[...]

Edit: Heel fijn, McAfee tagt hem als Low, hetgeen betekend dat er geen extra.dat komt en dat de officiele dat pas 7 april wordt gereleased

Meestal beginnen de ratings op Low, maar vaak worden ze daarna al heel snel Medium (of nog hoger) gegeven, en dan komt er wel een EXTRA.DAT of regulier DAT-file uit.

Ik heb een extra.dat ontvangen van Mcafee, hij staat nog niet online, ik weet eik niet of ik hem wel online mag zetten of niet..?!

Ik heb hem ook

Ja, die mag gewoon online gezet worden, je krijgt hem niet voor niks toegemailed als je een sample submit.

[Verwijderd]

Symantec heeft in de tussentijd al een LU hiervoor ge-issued..
Ik blijf erbij dat dat hele extra.dat principe rottig is.

Als je een(voornamelijk)'lokale' outbreak hebt, is het echt niets.
Kan me bijna niet indenken dat NAI/NAV op het eind van dit jaar nog steeds(exact)hetzelfde systeem zal hanteren eigenlijk, iig niet als ze het beste met hun gebruikers voorhebben.

[Verwijderd]

wildhagen schreef op 04 april 2004 @ 19:30:
[...]


Meestal beginnen de ratings op Low, maar vaak worden ze daarna al heel snel Medium (of nog hoger) gegeven, en dan komt er wel een EXTRA.DAT of regulier DAT-file uit.

I Know, maar hij kwam al dusdanig vaak voor dat ik het wel raar vond dat ze hem niet meteen naar medium toegooiden...

Ja, die mag gewoon online gezet worden, je krijgt hem niet voor niks toegemailed als je een sample submit.

Maar waarom zetten ze hem dan zelf niet online?

[wildhagen]

Verwijderd schreef op 04 april 2004 @ 19:50:
Symantec heeft in de tussentijd al een LU hiervoor ge-issued..
Ik blijf erbij dat dat hele extra.dat principe rottig is.

Als je een(voornamelijk)'lokale' outbreak hebt, is het echt niets.

Hangt ervan af.

Als je alle clients niet gecentraal gemanaged hebt is het inderdaad niet bepaald handig.

Maar als je ePolicy Orchestrator draait (het management-pakket van McAfee dus), is het gewoon een kwestie van de extra.dat op een centrale plek wegzetten en de eerste keer dat de clients connecten krijgen ze keurig en volautomatisch, zonder dat de gebruiker het merkt, die EXTRA.DAT gepushed.

Maar er is idd best kans dat ze al bezig zijn met een nieuwe manier van updaten ja, daar heb ik geen zicht op.

Maar waarom zetten ze hem dan zelf niet online?

Dat komt door de rating die ze geven. Hier staat beschreven hoe ze aan die ratings komen: http://www.networkassocia...urces/risk_assessment.htm

Wat me trouwens wel opvalt is dat 's weekends de response veel slechter is dan door de weeks. Waar je door de week doorgaans binnen 30 minuten antwoord krijgt op je submits moest ik deze keer bijna 3 uur wachten...

[ Voor 23% gewijzigd door wildhagen op 04-04-2004 19:57 ]

[vliegjong]

Omdat de extra dat's niet getest zijn en ze sturen hem dan enkelt naar mensen op eigen risico

[Verwijderd]

NAI heeft hem geraised naar Medium.
DAT wordt vandaag nog gereleased zo te zien.

F-Secure heeft inmiddels ook al een write-up.
http://www.f-secure.com/v-descs/sober_f.shtml

[crisp]

Ik hoop dat xs4all de virusscanner op de mailserver snel update want ik heb 'm vandaag ook al zo'n 300 keer binnen gehad; dat beloofd weer wat voor de komende weken als ik al die bounces weer te verwerken krijg want die worden natuurlijk niet gefilterd.
Ik snap ook niet waarom veel mailscanners ueberhaupt nog zo ingesteld staan dat ze mail terugsturen; bij bijna alle virusmails is het returnadres tegenwoordig fake...

[Bastien]

crisp schreef op 04 april 2004 @ 22:02:
Ik hoop dat xs4all de virusscanner op de mailserver snel update want ik heb 'm vandaag ook al zo'n 300 keer binnen gehad; dat beloofd weer wat voor de komende weken als ik al die bounces weer te verwerken krijg want die worden natuurlijk niet gefilterd.
Ik snap ook niet waarom veel mailscanners ueberhaupt nog zo ingesteld staan dat ze bounces terugsturen; bij bijna alle virusmails is het returnadres tegenwoordig fake...

Daar zat ik vanmiddag ook al met iemand over te discusseren ja. Beetje nutteloos, en het veroorzaakt soms nog meer irritatie dan die virussen Ook leuk zijn die bounces met een virusmelding, en gewoon de attachment weer meesturen

Maar ik heb 'm al 3781 keer gehad volgens de teller. Da's een record voor een virus hier Maar KAV (sinds vandaag in één keer fan van ) helpt ze netjes naar het digi-hiernamaals.

[Verwijderd]

I-Worm.VB.c is gerenamed naar I-Worm.Sober.f

Titeledit.

[D2k]

http://www.trendmicro.com...t5.asp?VName=WORM_SOBER.F <-- trend

[Verwijderd]

ik ben nog niet zo erg bekend met virus email etc..
maar heb vandaag dus 1800 van die bounces gehad met Sober.f als attachement bij de meeste
alleen... wanneer word het weer een beetje rustig?
dat ie bijna niet meer verstuurd word bedoel ik