[Virusmail] Waarschuwing gehad van XS4ALL

[Timmert]

Gisteren kreeg ik een e-mail van XS4ALL, mijn provider, dat zich op 1 van de pc's achter mijn public ip een virus zou bevinden, vermoedelijk Sasser, zo zeiden ze.

Enigszins verbaast - ik heb Norton corporate draaiden die update zo vaak als mogelijk is - maar ook wantrouwend scande ik mijn pc. Niets te vinden, niet met Norton, niet met de online scan van Trendmicro en de Sasser removal tool van Symantec vond al evenmin iets. Bij mijn zusjes pc heb ik hetzelfde gedaan, bij mijn server ook. Overal hetzelfde resultaat.

Voordat ik morgen met XS4ALL ga bellen zou ik graag van jullie weten of ik nu daadwerkelijk kan uitsluiten dat ik een virus heb op 1 van m'n pc's, of dat ik misschien toch nog iets over het hoofd gezien heb.

Is er iemand in de zaal die suggesties heeft met betrekking tot dit?

Thanks

[Verwijderd]

Heb je een router? Dan zou je sowieso geen last van Sasser moeten hebben...

[Reptile209]

Je zou je netwerkverkeer kunnen checken met een networksniffer: gewoon om te zien of er geen rare verbindingen zijn. Als dat niets oplevert, inderdaad maar eens met Xs4All bellen...

[Verwijderd]

Een kennis had een programma'tje draaien dat elke minuut een connectie probeerde te maken met een server van het bedrijf waarvoor hij iets programmeerde. Ook daarvoor kreeg hij een dergelijke e-mail. Misschien kijken ze of je extreem veel verbindingen probeert te maken met bepaalde poorten?

[Timmert]

Verwijderd schreef op 31 mei 2004 @ 21:48:
Heb je een router? Dan zou je sowieso geen last van Sasser moeten hebben...

Die heb ik inderdaad, ja.

Reptile209 schreef op 31 mei 2004 @ 21:50:
Je zou je netwerkverkeer kunnen checken met een networksniffer: gewoon om te zien of er geen rare verbindingen zijn. Als dat niets oplevert, inderdaad maar eens met Xs4All bellen...

Dat is idd wel een idee... Welk programma kan ik daar het beste voor gebruiken?

Verwijderd schreef op 31 mei 2004 @ 21:52:
Een kennis had een programma'tje draaien dat elke minuut een connectie probeerde te maken met een server van het bedrijf waarvoor hij iets programmeerde. Ook daarvoor kreeg hij een dergelijke e-mail. Misschien kijken ze of je extreem veel verbindingen probeert te maken met bepaalde poorten?

Ik heb niets geks draaien op dit moment, niet bewust althans. Wel een web- en ftpserver, maar die draaien ondertussen ook alweer een maandje of 3. Nooit gezeik mee gehad verder

[jipenjanneke]

Komt het e-mailtje echt van xs4all of is het nep?
Je kunt dat controleren door in de berichtheader van het e-mailtje te kijken of het van een ip-adres van xs4all komt. Voor zover ik weet beginnen alle xs4all-adressen met 194.109.x.x

[Timmert]

Yep, komt echt van XS4ALL. Tis verder ook een heel erg keurig mailtje, uitgebreide beschrijving van hoe te handelen etc

[Verwijderd]

Scan ook even met een spyware progje als bv. ad-aware en spybot. Draai een Hijackthis log, en post die hier.

Over het algemeen weten ze bij XS4all wel waar ze mee bezig zijn, als ze zo'n mailtje sturen is er iig. _iets_ raars aan de hand met je verbinding. Gezien het feit dat je redelijk fanatiek op virussen gescanned hebt, lijkt het mij verstandig ook even naar spyware te kijken. Te beginnen op de PC van je zusje, want zusjes zijn nu eenmaal erg goed in het verzamelen van spyware.

[quakerix]

Ik hep hetzelfde probleeem, ze zetten een filter op je verbinding en je kan alleen via proxy dan internetten..

vond ook op geen 1 computer binnen m'n netwerk (8er een router) een virus.

Ik heb gewoon terug gemaild naar abuse dat ik aantal settings verandert hep in m'n router en bij een PC van m'n ouders een virus scanner install..

Ook al vond ik niets.. Had er geen zin/tijd om er verder over te gaan praten met xs4all.

Dat abuse center heeft ook geen telnr - alleen per email reageren ze.. Zelfs op 2e pinksterdag

[Timmert]

Verwijderd schreef op 31 mei 2004 @ 22:16:
Scan ook even met een spyware progje als bv. ad-aware en spybot. Draai een Hijackthis log, en post die hier.

Over het algemeen weten ze bij XS4all wel waar ze mee bezig zijn, als ze zo'n mailtje sturen is er iig. _iets_ raars aan de hand met je verbinding. Gezien het feit dat je redelijk fanatiek op virussen gescanned hebt, lijkt het mij verstandig ook even naar spyware te kijken. Te beginnen op de PC van je zusje, want zusjes zijn nu eenmaal erg goed in het verzamelen van spyware.

True, true. Ik neem de melding ook wel serieus, de mensen van XS4ALL sturen geen loze mailtjes in de rondte

Zusjes pc was nagenoeg spyware-vrij, die check ik sowieso elke week.

Hier iig een paar hijackthis logs:

Mijn pc:

code:

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\PROGRA~1\SYMANT~1\SYMANT~1\DefWatch.exe
C:\PROGRA~1\SYMANT~1\SYMANT~1\Rtvscan.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\AGRSMMSG.exe
C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\Program Files\Launch Manager\QtZgAcer.EXE
C:\Program Files\Acer\Notebook Manager\almxptray.exe
C:\WINDOWS\System32\LVCOMSX.EXE
C:\Program Files\Logitech\Video\LogiTray.exe
C:\Program Files\Common Files\PCSuite\DataLayer\DataLayer.exe
C:\Program Files\Common Files\Nokia\Tools\NclTray.exe
C:\Program Files\Messenger Plus! 3\MsgPlus.exe
C:\Program Files\Common Files\PCSuite\Services\ServiceLayer.exe
C:\PROGRA~1\SYMANT~1\SYMANT~1\vptray.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\Program Files\Adobe\Acrobat 6.0\Distillr\acrotray.exe
C:\Program Files\WIDCOMM\Bluetooth Software\BTTray.exe
C:\Program Files\Logitech\Video\FxSvr2.exe
C:\Program Files\Winamp\winamp.exe
C:\WINDOWS\system32\mstsc.exe
X:\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.acer.com/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.acer.com
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = wwwproxy.xs4all.nl:8080
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Program Files\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Program Files\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O4 - HKLM\..\Run: [LaunchApp] Alaunch
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [LManager] C:\Program Files\Launch Manager\QtZgAcer.EXE
O4 - HKLM\..\Run: [AcerNotebookManager] C:\Program Files\Acer\Notebook Manager\almxptray.exe
O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\System32\LVCOMSX.EXE
O4 - HKLM\..\Run: [LogitechVideoRepair] C:\Program Files\Logitech\Video\ISStart.exe
O4 - HKLM\..\Run: [LogitechVideoTray] C:\Program Files\Logitech\Video\LogiTray.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [WinampAgent] "C:\Program Files\Winamp\Winampa.exe"
O4 - HKLM\..\Run: [DataLayer] C:\Program Files\Common Files\PCSuite\DataLayer\DataLayer.exe
O4 - HKLM\..\Run: [Nokia Tray Application] C:\Program Files\Common Files\Nokia\Tools\NclTray.exe
O4 - HKLM\..\Run: [MessengerPlus3] "C:\Program Files\Messenger Plus! 3\MsgPlus.exe"
O4 - HKLM\..\Run: [vptray] C:\PROGRA~1\SYMANT~1\SYMANT~1\vptray.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MessengerPlus3] "C:\Program Files\Messenger Plus! 3\MsgPlus.exe" /WinStart
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
O4 - Global Startup: Acrobat Assistant.lnk = C:\Program Files\Adobe\Acrobat 6.0\Distillr\acrotray.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: BTTray.lnk = ?
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Onderzoek (HKLM)
O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab27571.cab
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Besturing) - http://housecall.trendmicro-europe.com/housecall/Xscan53.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab27571.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?38085.1009490741
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab27571.cab
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = home.timmert.local
O17 - HKLM\Software\..\Telephony: DomainName = home.timmert.local
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = home.timmert.local
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = home.timmert.local

Zusjes pc:

code:

Running processes:
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\SYMANT~1\SYMANT~1\vptray.exe
C:\Program Files\Messenger Plus! 2\MsgPlus.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
\Norah\Programma's & Drivers\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.ellegirl.nl/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = wwwproxy.xs4all.nl:8080
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,Shellnext = http://windowsupdate.microsoft.com/
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [vptray] C:\PROGRA~1\SYMANT~1\SYMANT~1\vptray.exe
O4 - HKLM\..\Run: [MessengerPlus2] "C:\Program Files\Messenger Plus! 2\MsgPlus.exe"
O4 - HKCU\..\Run: [MessengerPlus2] "C:\Program Files\Messenger Plus! 2\MsgPlus.exe" /WinStart
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Onderzoek (HKLM)
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/shockwave/cabs/director/sw.cab
O16 - DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) - http://www.cult3d.com/download/cult.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?38078.530775463
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = home.timmert.local
O17 - HKLM\Software\..\Telephony: DomainName = home.timmert.local
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = home.timmert.local
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = home.timmert.local

En server:

code:

Running processes:
C:\Documents and Settings\Administrator\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\SAV\DefWatch.exe
C:\WINDOWS\system32\Dfssvc.exe
C:\WINDOWS\System32\dns.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\inetsrv\inetinfo.exe
C:\WINDOWS\system32\cba\pds.exe
C:\WINDOWS\System32\ismserv.exe
C:\PROGRA~1\SAV\Rtvscan.exe
C:\PROGRA~1\Symantec\SYMANT~1\NSCTOP.EXE
C:\WINDOWS\system32\ntfrs.exe
C:\WINDOWS\system32\srvany.exe
C:\WINDOWS\system32\ams_ii\hndlrsvc.exe
C:\WINDOWS\system32\resetservice.exe
C:\WINDOWS\system32\MsgSys.EXE
C:\WINDOWS\system32\ams_ii\iao.exe
C:\WINDOWS\system32\cba\xfr.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\rdpclip.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\BPFTP Server\G6FTPSrv.exe
C:\WINDOWS\system32\mmc.exe
E:\Programma's & Drivers\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = res://shdoclc.dll/hardAdmin.htm
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = wwwproxy.xs4all.nl:8080
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = C:\WINDOWS\system32\blank.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,
O3 - Toolbar: @msdxmLC.dll,-1@1033,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\system32\msdxm.ocx
O4 - HKLM\..\Run: [vptray] C:\PROGRA~1\SAV\vptray.exe
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O10 - Broken Internet access because of LSP provider 'c:\documents and settings\administrator\windows\system32\mswsock.dll' missing
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Besturing) - http://housecall.trendmicro-europe.com/housecall/Xscan53.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?38053.5143865741
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = home.timmert.local
O17 - HKLM\Software\..\Telephony: DomainName = home.timmert.local
O17 - HKLM\System\CCS\Services\Tcpip\..\{1FE5ED18-8CB6-43BF-A67F-541FE914D5C7}: NameServer = 127.0.0.1,192.168.1.1
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = home.timmert.local
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = home.timmert.local

Lijkt mij persoonlijk niet echt heel veel mis mee, toch

[Verwijderd]

Wat is dat msgplus.exe voor iets op je zusjes PC?

[Timmert]

Dat is een extention voor MSN Messenger, draait ook op mijn pc trouwens. Je kunt het met en zonder spyware installeren, uiteraard heb ik het zonder spyware geïnstalleerd. Niets om je zorgen over te maken

[alt-92]

code:

C:\WINDOWS\system32\cba\pds.exe
C:\WINDOWS\system32\ams_ii\hndlrsvc.exe
C:\WINDOWS\system32\resetservice.exe
C:\WINDOWS\system32\MsgSys.EXE
C:\WINDOWS\system32\ams_ii\iao.exe
C:\WINDOWS\system32\cba\xfr.exe
...
O10 - Broken Internet access because of LSP provider 'c:\documents and settings\administrator\windows\system32\mswsock.dll' missing

Zijn dingen die ik niet thuis kan brengen op een server.

¿que és?

[Spike_wolf]

BackSlash32 schreef op 31 mei 2004 @ 23:16:

code:

C:\WINDOWS\system32\cba\pds.exe
C:\WINDOWS\system32\ams_ii\hndlrsvc.exe
C:\WINDOWS\system32\resetservice.exe
C:\WINDOWS\system32\MsgSys.EXE
C:\WINDOWS\system32\ams_ii\iao.exe
C:\WINDOWS\system32\cba\xfr.exe
...
O10 - Broken Internet .................................mswsock.dll' missing

Zijn dingen die ik niet thuis kan brengen op een server.

¿que és?

Nee die komen mij ook helemaal niet bekend voor, wat zijn het?

[off topic]
Vette Icon BackSlash32
[/off topic]

[ Voor 27% gewijzigd door Spike_wolf op 31-05-2004 23:45 ]

[Timmert]

Spike_wolf schreef op 31 mei 2004 @ 23:32:
[...]


Nee die komen mij ook helemaal niet bekend voor, wat zijn het?

[off topic]
Vette Icon BackSlash32
[/off topic]

Alles met AMS hoort bij Norton Corporate. Alert management server oid

pds.exe hoort bij Intel Landesk
resetservice.exe kan ik zo 1,2,3 niet achterhalen wat t precies is..
msgsys.exe hoort ook bij Intel Landesk
xfr.exe idem dito

De missing dll error kan ik niet echt plaatsen. De dll is gewoon aanwezig en internet lijkt prima te werken

[ Voor 13% gewijzigd door Timmert op 31-05-2004 23:48 ]

[Spike_wolf]

Timmert schreef op 31 mei 2004 @ 23:46:
[...]

Alles met AMS hoort bij Norton Corporate. Alert management server oid

pds.exe hoort bij Intel Landesk
resetservice.exe kan ik zo 1,2,3 niet achterhalen wat t precies is..
msgsys.exe hoort ook bij Intel Landesk
xfr.exe idem dito

De missing dll error kan ik niet echt plaatsen. De dll is gewoon aanwezig en internet lijkt prima te werken

Hmm die progjes zitten dus wel goed op hun plek, en die error is een beetje vaag...
nou, ik zou anders morgen gewoon ff naar XS4All bellen en vragen wat ze precies denken dat er aan de hand is.

[Timmert]

Spike_wolf schreef op 31 mei 2004 @ 23:57:
[...]


Hmm die progjes zitten dus wel goed op hun plek, en die error is een beetje vaag...
nou, ik zou anders morgen gewoon ff naar XS4All bellen en vragen wat ze precies denken dat er aan de hand is.

Dat plan had ik idd ook gevat, maar k denk.. even informeren of men op GoT nog iets vreemds opmerkt ofzo

Niet echt dus, ok

[Spike_wolf]

Timmert schreef op 01 juni 2004 @ 00:00:
[...]

Dat plan had ik idd ook gevat, maar k denk.. even informeren of men op GoT nog iets vreemds opmerkt ofzo

Niet echt dus, ok

hehe, blijkbaar niet nee
in iedergeval suc6 morgen, en post ff wat ze ervan zeiden

[Timmert]

Well, telefonisch wil XS4ALL geen vragen over abusefilters beantwoorden. Reacties en vragen willen ze enkel per mail. Ik heb eergisteravond gemailed, maar tot op heden nog geen reactie gehad. Heb ik vanavond nog niks, dan ga ik toch de helpdesk maar ff bellen en vragen wanneer ze denken dat ik weer fatsoenlijk kan internetten

[F_J_K]

Een tijdje terug had ik ook zoiets, bleek het een laptop te zijn die een uurtje in het netwerk geplugged was geweest en toen via mij aan het zieken was geweest. (En nee mijn machines zijn niet besmet geraakt. Goed gepatcht enzo )
Heb je enige tijdstippen gekregen?

(Ook) de McAfee Stinger herkend o.a. Sasser dus laat die voor de zekerheid ook lopen; als je aan XS4All meldt dat de Stinger niets vond is dat indicatie genoeg lijkt me. <-- even aangenomen dat er dan niet een uur later weer virussen worden verstuurd

Tenslotte zei [rml]Reptile209 in "[ Virusmail] Waarschuwing gehad van XS4AL..."[/rml] het al: pak er een sniffer bij.