[Alert] Trojan op frontpage nu.nl - en andere Sites *

[max3D]

Overigens vind ik het heel aardig dat Ilse Media actief op Got is, maar toch is dat niet de goede plek. Tweakers beheren hun systeem over het algemeen toch al behoorlijk en zeker de mensen die dit topic lezen.

De miljoenen 'gewone' gebruikers van startpagina, nu.nl etc moeten geïnformeerd en dat kan een stuk beter dan nu gebeurd. Er staat op nu.nl een onopvallend stukje in het veel minder gelezen rechterkader.

Waarom staat niet bovenaan de pagina, direct naast het nu.nl logo een banner met een waarschuwing? Waarom staat het bericht niet eens als nieuws op nu.nl (zelfs niet bij de digitale rubriek).

De meest gedupeerden komen er zo niet eens achter dat ze een probleem hebben. Ik vind het de verantwoordelijkheid van Ilse om haar eigen websites van hele duidelijke waarschuwingen te voorzien. Ja, dat schaadt het aanzien en de populariteit van die sites, maar zo bereik je wel de groep die straks onbewust meedraait in nog grootschaliger ddos attacks. Dát is de verantwoordelijkheid van Ilse.

[Vipertje]

ik zat zo eens met een vraagje die opgelopen schade jullie schaten tussen de 20.000 en de 50.000 waar is dan precies in geleden

[wildhagen]

martijnf: het gangbare spul denk ik... de manuren die mensen maken in het weekend (dus ook verhoogd tarief) die ze normaal niet maken, licentiekosten voor de door hen aangeboden antivirussoftware (netjes geregeld overigens), misgelopen inkomsten door reclame die niet getoond is (want tijdelijk geblokkeerd geweest).

Plus natuurlijk imagoschade, hoewel dat natuurlijk altijd lastig in te schatten is...

[Chris P]

Ik herinner me nu ook ineens dat IE er bij mij uitviel opeens. Sygate Personal Firewall liet mij toen ook weten dat bla.exe (in C:\ ) met het netwerk probeerde verbinding te maken.

Is het nu zo dat als je bla.exe hebt je ook de andere 2 hebt die hier ook staan?

C:\bla.exe infected Trojan-Downloader.Win32.Small.aaq
C:\Windows\System32\qktjsy.exe packed PE_Patch.PECompact, PecBundle, PECompact
C:\Windows\System32\qktjsy.exe infected Backdoor.Win32.Agent.ec

WinXP SP1
IE 6.0

[ Voor 3% gewijzigd door Chris P op 21-11-2004 13:52 ]

[ppl]

elevator schreef op zondag 21 november 2004 @ 13:17:
Het opnemen naar een link naar SP2 is natuurlijk een groot risico voor ilsemedia - SP2 breekt veel compatibiliteit met oude software en kan daarnaast grote (!) problemen veroorzaken als je PC al onder de ad/spyware zit

Als je op dit punt je PC nog niet voorzien hebt van SP2 betekent dat concreet dat je niet echt met security bezig houd en dan is de kans dat je ad/spyware hebt -helaas- ook erg groot

Ik vind dit een nogal rare reply. Je zegt eerst dat SP2 niet zo'n goed idee is want het brengt compatibility problemen mee, daarna druk je een stempel op iedereen die geen SP2 geinstalleerd heeft als zijnde dom op gebied van security.
Dat is wel heel erg kort door de bocht.

SP2 brengt wat security zaken mee, maar het kan ook de boel overhoop halen. Microsoft zelf spoorde al aan om SP2 met beleid te bekijken. Eerst goed testen dus.
Dat iemand SP2 niet geinstalleerd heeft kan te maken hebben met juist zo'n incompatibiliteitsprobleem en dus NIET dat de persoon in kwestie zicht niet met security bezig houdt.
SP2 is dusdanig ingrijpend dat zelfs Microsoft hier al voor waarschuwd om de kat uit de boom te kijken. Ik vind het dan ook niet raar dat mensen dat ook doen en wachten totdat ook daadwerkelijk alles van hun systeem correct werkt onder SP2.

Security zit hem in heel wat meer zaken dan alleen SP2 zoals jij nu schetst. Het begint ook al met de nodige rechtenstructuur die je op je filesystem en je useraccounts hebt (om maar eens wat te noemen). Zonder SP2 kun je ook al heel veel doen aan security. Sterker nog, op Windows versies anders dan XP heb je geen andere keus. SP2 helpt je alleen maar om de boel dicht te spijkeren, netzoals diverse andere tools.

Security is een pakket van zaken en niet eentje!

[Chris P]

Ik ben het helemaal met PPL eens!

Mijn systeem is niet stabiel met SP2, maar af en toe verander ik weleens wat en probeer ik of SP2 dan wel werkt, maar ik kan het niet kwakkeloos installeren en dan doet ie het gewoon.

[elevator]

ppl schreef op zondag 21 november 2004 @ 13:52:
Ik vind dit een nogal rare reply. Je zegt eerst dat SP2 niet zo'n goed idee is want het brengt compatibility problemen mee, daarna druk je een stempel op iedereen die geen SP2 geinstalleerd heeft als zijnde dom op gebied van security.
Dat is wel heel erg kort door de bocht.

SP2 is al meer dan 1,5 jaar in ontwikkeling en dat er incompatibiliteits problemen zouden komen is al heel, heel lang bekend en ook groots aangekondigd door Microsoft.

Ver voor de defintieve release van SP2 was er een preview beschikbaar. Als je bewust bezig bent met security had je SP2 al lang getest kunnen hebben, en geinstalleerd kunnen hebben

Feit is nou eenmaal dat de meeste problemen zich voordoen als je nu al geinfecteerd bent met spyware, een niet up-to-date virusengine draait die problemen veroorzaakt, of een hele oude firewall. Natuurlijk zijn er tal van andere incompatibiliteitsproblemen maar we hebben het hier wel over de gemiddelde thuis gebruiker - niet over bedrijven met veel complexe software

Security zit hem in heel wat meer zaken dan alleen SP2 zoals jij nu schetst.

Nee hoor - ik beweer absoluut niet dat SP2 de oplossing is voor wereldvrede en meer - ik reageer enkel op de suggestie hierboven om SP2 op de download pagina te vermelden

[ppl]

elevator schreef op zondag 21 november 2004 @ 13:56:
[...]

SP2 is al meer dan 1,5 jaar in ontwikkeling en dat er incompatibiliteits problemen zouden komen is al heel, heel lang bekend en ook groots aangekondigd door Microsoft.

Ver voor de defintieve release van SP2 was er een preview beschikbaar. Als je bewust bezig bent met security had je SP2 al lang getest kunnen hebben, en geinstalleerd kunnen hebben

Feit is nou eenmaal dat de meeste problemen zich voordoen als je nu al geinfecteerd bent met spyware, een niet up-to-date virusengine draait die problemen veroorzaakt, of een hele oude firewall. Natuurlijk zijn er tal van andere incompatibiliteitsproblemen maar we hebben het hier wel over de gemiddelde thuis gebruiker - niet over bedrijven met veel complexe software

En ook hier spreek je jezelf weer tegen...

Hobbyisten en professionals die druk met hun computertje in de weer zijn, doen aan testen van beta software en weet ik wat nog niet meer.

Een thuisgebruiker drukt op de powerknop en gaat aan de slag om het maar even simpel te stellen.

Die groep gebruikers hebben niet de kennis en de zin van zo'n hobbyist/professional om dat hele security gebeuren uit te pluizen. Die varen op adviezen van de computermensjes in hun buurt.
Die mensen weten dus ook niet dat SP2 al anderhalf jaar in ontwikkeling is en wat voor gevolgen het heeft. Die vragen alleen of SP2 wel geinstalleerd moet worden want ze hebben er nog wel veel slechte dingen over gehoord, zaken die niet meer werken enzo.

Kort samengevat: als je er al niet zo veel verstand van hebt of er in interesseert zoals menig gebruiker dat doet dan heb je ook niet het hele verhaal omtrent SP2 bijgehouden en lopen testen.
Dat is al naast het feit dat bij wat mensen SP2 gewoon niet lekker werkt.

Ik blijf het dus nog steeds kort door de bocht vinden.

[terabyte]

elevator schreef op zondag 21 november 2004 @ 13:56:
[...]
Nee hoor - ik beweer absoluut niet dat SP2 de oplossing is voor wereldvrede en meer - ik reageer enkel op de suggestie hierboven om SP2 op de download pagina te vermelden

Mja. Mijn suggesties zijn eigenlijk niets waard, want ik gebruik geen Windows en heb geen ervaring met SP2. Ik heb ook geen directe last van de trojan. Als het een spambot trojan is, dan zal ik wel indirect last van hebben en dat bevalt mij weer niet.

[HellevUUr]

max3D schreef op zondag 21 november 2004 @ 13:31:
Overigens vind ik het heel aardig dat Ilse Media actief op Got is, maar toch is dat niet de goede plek. Tweakers beheren hun systeem over het algemeen toch al behoorlijk en zeker de mensen die dit topic lezen.

De reden dat Ilse Media zich hier uit, is omdat er vanuit dit topic (o.a. door de topicstarter) een melding naar de hoofdredacteur van NU.nl is gegaan. Op deze wijze wil Ilse Media (mijns inziens) duidelijk maken dat de betrokken mensen zeer van dienst zijn geweest.
Door hier ons van informatie te voorzien tonen ze ook aan dat hetgeen wij met z'n allen hebben gedaan zeer gewaardeerd wordt.

Op het moment dat ze niets zouden zeggen, dan kan ik me voorstellen dat mensen denken.. als jullie nog eens iets hebben, dan zoek het maar zelf uit, de vorige keer hebben jullie ook niet gereageerd.

Daarnaast ben ik het wel met je eens dat het kleine kader op nu.nl niet makkelijk te vinden is.

[Verwijderd]

Er komen bij ons meldingen binnen dat XP in combinatie met SP2 wèl kwetsbaar is voor het exploit. Zie ook WebWereld. Hebben jullie nadere informatie?

Paul

[ Voor 4% gewijzigd door Verwijderd op 21-11-2004 14:19 ]

[HellevUUr]

PcDealer schreef op zondag 21 november 2004 @ 09:25:
[...]


Had toch liever gezien dat ze als bron dit topic hadden genomen. Was toch iets terechter naar de GOT users toe, of niet André?

Mwah, ik lig er niet wakker van, ik vind het alleen jammer dat het nieuws hierover pas om 0300 in de ochtend is gepost i.p.v. 12-14 uur eerder.
Wellicht hadden een hoop gebruikers op tijd kunnen patchen voordat ze (na tweakers.net) nu.nl gingen bezoeken.
Het komt namelijk niet iedere dag voor dat grote websites trojans versprijden.

[Verwijderd]

Verwijderd schreef op zondag 21 november 2004 @ 14:14:
Er komen bij ons meldingen binnen dat XP in combinatie met SP2 wèl kwetsbaar is voor het exploit. Zie ook WebWereld. Hebben jullie nadere informatie?

SP2 is niet kwetsbaar voor de exploit.
Dat de PC traag wordt wil niet zeggen dat de exploit zijn werk heeft gedaan.

[wildhagen]

Verwijderd schreef op zondag 21 november 2004 @ 14:14:
Er komen bij ons meldingen binnen dat XP in combinatie met SP2 wèl kwetsbaar is voor het exploit. Zie ook WebWereld. Hebben jullie nadere informatie?

Paul

Microsoft zegt zelf dat SP2 'not vulnerable' is voor deze bug. En persoonlijk stel ik meer vertrouwen in MS wat dit betreft dan een stel pubers op Webwereld, een site waar de reacties toch al van een niet al te hoog niveau zijn, doorgaans gezien dan...

[Verwijderd]

Hoezo heeft ilsemedia haar ads niet gewoon op een eigen server staan?
dat voorkomt toch veel problemen,of heeft het zijn voordelen?

[martijnvanegdom]

Ik heb Windows XP SP 2 in VMware gedraait,
Vervolgens opzoek gegaan naar de exploit.. Ik heb geen virusscanner geiïnstalleerd en de ingebakken firewall uitgezet.. Dat lijkt de exploit binnen te komen maar niet uitgevoerd te worden.
Als ik de firewall aanzet komt tie nog steeds binnen maar doet niks..

Als ik vervolgens het draai met Zonealarm en webfiltering dan blokt tie alles

[DRvDijk]

Verwijderd schreef op zondag 21 november 2004 @ 14:39:
Hoezo heeft ilsemedia haar ads niet gewoon op een eigen server staan?
dat voorkomt toch veel problemen,of heeft het zijn voordelen?

Waarom stuur ik mijn snail-mail via de TGP in plaats van het zelf rond te brengen?

[CrashOne]

Verwijderd schreef op zondag 21 november 2004 @ 14:39:
Hoezo heeft ilsemedia haar ads niet gewoon op een eigen server staan?
dat voorkomt toch veel problemen,of heeft het zijn voordelen?

Dit heeft als voordeel dat je je niet druk hoeft te maken om banners en inkomsten daarvan.

[Verwijderd]

Verwijderd schreef op zondag 21 november 2004 @ 14:39:
Hoezo heeft ilsemedia haar ads niet gewoon op een eigen server staan?
dat voorkomt toch veel problemen,of heeft het zijn voordelen?

Als je meerdere ad's van externe servers ophaalt heb je dus meer banners. Meer verschillende banners betekend meer inkomsten. Daarom draaien ze via ad-servers, net als bijvoorbeeld Tweakers.net.

Persoonlijk ben ik geen voorstander van het "extern" gebruik van ad's, op mijn eigen websites host ik de ad's altijd zelf om te voorkomen dat de ad-servers verkeerde ad's weergeven of in dit geval Trojans installeren.

[edit]
Zie ook: elviver, CrashOne

[ Voor 6% gewijzigd door Verwijderd op 21-11-2004 14:50 ]

[Verwijderd]

Schouw, Wildhagen, Martijnvanegdom:
Bedankt voor de info. We zullen de FAQ licht aanpassen.

Wat betreft de vraag over het hosten van de ads: dat deden we vroeger wel en had zeker voordelen. Maar met steeds toenemende complexiteit van de advertenties zelf (leve de tijd van de gif-banners ) was dat niet meer te doen. Heeft inderdaad wel te maken met waarom je TPG inschakelt om de post te bezorgen: het is specialistenwerk geworden en wij moeten ons concentreren op datgene wat wij het beste kunnen (denken het beste te kunnen, natuurlijk ). Het is alleen niet de bedoeling dat de postbode samen met onze brieven nog wat spijkers en molotov-cocktals naar binnengooit. We hebben dus nog een gesprek met onze postbode.

Paul

[Verwijderd]

Verwijderd schreef op zondag 21 november 2004 @ 14:56:
Schouw, Wildhagen, Martijnvanegdom:
Bedankt voor de info. We zullen de FAQ licht aanpassen.

Wat betreft de vraag over het hosten van de ads: dat deden we vroeger wel en had zeker voordelen. Maar met steeds toenemende complexiteit van de advertenties zelf (leve de tijd van de gif-banners ) was dat niet meer te doen. Heeft inderdaad wel te maken met waarom je TPG inschakelt om de post te bezorgen: het is specialistenwerk geworden en wij moeten ons concentreren op datgene wat wij het beste kunnen (denken het beste te kunnen, natuurlijk ). Het is alleen niet de bedoeling dat de postbode samen met onze brieven nog wat spijkers en molotov-cocktals naar binnengooit. We hebben dus nog een gesprek met onze postbode.

Paul

Mooi uitgelegd, gelukkig hangt bij ons de brievenbus buiten aan het huis en gaat de post niet rechtstreeks naar binnen

[max3D]

Ik krijg geen reactie van Ilsmedia op mijn vraag waarom nu.nl het nieuws niet als nieuws ziet, er ook geen knipperende banner boven aan staat etc.
Op startpagina.nl staat zelfs helemaal niets. Alle getroffenen blijven dus onbewust van het kwaad dat aangericht is. Heel onverantwoordelijk!

(overigens heb ik al twee maal mijn mailadres ingevuld om die software te ontvangen en uren later nog niets ontvangen.)

[Verwijderd]

max3D schreef op zondag 21 november 2004 @ 15:10:
Ik krijg geen reactie van Ilsmedia op mijn vraag waarom nu.nl het nieuws niet als nieuws ziet, er ook geen knipperende banner boven aan staat etc.
Op startpagina.nl staat zelfs helemaal niets. Alle getroffenen blijven dus onbewust van het kwaad dat aangericht is. Heel onverantwoordelijk!

(overigens heb ik al twee maal mijn mailadres ingevuld om die software te ontvangen en uren later nog niets ontvangen.)

Die vraag moet je aan de redactie van Nu.nl stellen - zij handelen dat zelf af. Ik vind het vrij helder staan, maar dat is persoonlijk. Startpagina heeft het onder 'Help' gezet op de homepage en dat zou wat directer mogen. Ik speel de suggestie door aan de redactie. Verder moet je niet vergeten dat we zaterdag rond 13 uur naar heel Nederland een persbericht hebben gestuurd en dat het bijvoorbeeld ook vandaag in de Telegraaf staat. Het is bepaald niet zo dat we het willen verbergen oid.

Wat betreft het lang duren voordat er een reactie op het verzoek om software komt: ook dat vraag ik. BRB

Paul

[Verwijderd]

Verwijderd schreef op zondag 21 november 2004 @ 15:18:
[...]

Wat betreft het lang duren voordat er een reactie op het verzoek om software komt: ook dat vraag ik. BRB

Paul

Paul,

Er zijn ruim tweeduizend mailtjes binnen inmiddels, er is niet makkelijk tegen aan te mailen
Ik schat dat de gemiddelde responstijd een paar uur is, we hebben net een grote bulk kunnen wegwerken, ik hoop binnen een paar uur de rest te hebben weggewerkt, ik vraag Martijn te assisteren

Marc

[Rataplan]

Verwijderd schreef op zondag 21 november 2004 @ 15:18 alweer een bericht...

offtopic:
Ik heb heel wat officiële representanten op fora zien reageren, maar dat gebeurt zelden of nooit zo realistisch en zo behulpzaam als wat ik je hier zie doen, zo op je vrije zondag. Alle hulde.

Op de FP staat ook een melding over een infectie van een SP2-systeem:

quote: http://www.tweakers.net/r...=Posting&ParentID=1177468

In \windows kom ik dus een geinfecteerde subst.exe en ntvdm.exe tegen

Ik heb d'r niet al te veel verstand van, maar het lijkt me dat de beschrijving wijst op een ander virus, en dat wildhagen hier gelijk heeft.

[ Voor 7% gewijzigd door Rataplan op 21-11-2004 15:34 ]

[consolefreak]

Rataplan schreef op zondag 21 november 2004 @ 15:33:
[...]

offtopic:
Ik heb heel wat officiële representanten op fora zien reageren, maar dat gebeurt zelden of nooit zo realistisch en zo behulpzaam als wat ik je hier zie doen, zo op je vrije zondag. Alle hulde.

Op de FP staat ook een melding over een infectie van een SP2-systeem:
[...]
...

offtopic:
ik heb ook niets anders dan lof voor ilse media

[ Voor 3% gewijzigd door consolefreak op 21-11-2004 15:37 ]

[nero355]

Hier werd de site van map24 (online routeplanner) afgesloten.

LOL Ik was daar net en met FireFox + Up-To-Date Kaspersky 5.x + Ditto Firewall + Nat Beestje + WinXP SP1 die niet zo up to date is helemaal nergens last van

[max3D]

"Die vraag moet je aan de redactie van Nu.nl stellen - zij handelen dat zelf af. Ik vind het vrij helder staan, maar dat is persoonlijk. Startpagina heeft het onder 'Help' gezet op de homepage en dat zou wat directer mogen. Ik speel de suggestie door aan de redactie."

Ik spreek Ilse er op aan als eigenaar van de sites. Het besluit een banner bovenaan de site te zetten is vermoedelijk geen redactionele kwestie; de advertenties worden er toch ook niet door de redactie opgezet?

Dat jullie een persbericht hebben laten uitgaan is prima, dat het in de Telegraaf staat nuttig, maar toen ik even rondvroeg in mijn omgeving wist toch nog werkelijk niemand er iets vanaf, terwijl ze wel fervente nu.nl lezers zijn. Dat kleine blokje rechts was niemand opgevallen en tech sites bezoeken ze niet. Blijft overigens gek dat de redactie van nu.nl het bericht niet interessant genoeg vond voor de reguliere nieuwsrubriek, terwijl de Telegraaf het wel vermeldt. Vreemde keus, maar dat valt inderdaad buiten de verantwoordelijkheid van ilse media.

Van al die mensen die nu.nl of startpagina als startpagina ingesteld hebben, zullen er nog maar weinig zijn die het weten. Kan je ook wel zien aan het feit dat er kennelijk nog maar 2000 mailaanvrages gedaan zijn.

(Overigens heb ik idd zojuist een reactie op beide mailtjes binnengekregen)

[ Voor 18% gewijzigd door max3D op 21-11-2004 16:06 ]

[Verwijderd]

Hmmmm,..........
Dus dat was die melding van mijn Sygate firewall. Blij dat ik toegang geweigerd heb.
Vind het wel raar dat Norton (Pro 2004, net nog ge-update) het totaal niet ontdekt.

Ik ga ook maar eens een mailtje sturen aan Ilsemedia.

Oja, mocht men het nog willen weten; Ik draai win 2000 SP4, Norton 2004 Pro (met laatste update) en Sygate personal firewall Pro 5.5

[ Voor 22% gewijzigd door Verwijderd op 21-11-2004 16:37 ]

[XunFar]

sp2 draaien met af en toe IE1 (Mozilla default)

Spysweeper meldt telkens dat de startpagina van IE wordt gewijzigd in Ilse.nl

ik bezoek die site nooit... wel vaag... maar er worden verder geen rare services auto. gedraaid

symantec antivirus corporate vindt geen exploits... mijn firewall (nis 04 pro) schiet wel elke keer in de stress dat er via poort 80 getracht wordt dat er een addbar.exe geinstalleerd wordt...

[hessel]

taXoudanT schreef op zondag 21 november 2004 @ 16:34:
sp2 draaien met af en toe IE1 (Mozilla default)

Spysweeper meldt telkens dat de startpagina van IE wordt gewijzigd in Ilse.nl

ik bezoek die site nooit... wel vaag... maar er worden verder geen rare services auto. gedraaid

symantec antivirus corporate vindt geen exploits... mijn firewall (nis 04 pro) schiet wel elke keer in de stress dat er via poort 80 getracht wordt dat er een addbar.exe geinstalleerd wordt...

dan word het een tijd om je HT-Log op http://www.hijackthis.de te laten controleren op troep. En eventuele verdachte process (bestanden) te scannen bij http://virusscan.jotti.dhs.org

[Verwijderd]

ohja, ik zie in mijn logs terug dat ik op zaterdag om 4 uur 's ochtends al besmet was.

[Verwijderd]

Ik was wel besmet. Heb dit even gecheckt met de Kaspersky scanner die je kon downloaden
maar na een herstart was de key weg terwijl je hem wel een maand moest kunnen gebruiken. Opnieuw downloaden heeft echter geen zin want dan kom je op de /alert/ pagina van Startpagina.nl uit. Iemand een suggestie hoe weer aan deze key te komen? Wil die Kaspersky scanner wel eens goed testen want de AVG-soft vond hem niet ondanks dat ie up-to-date was.

[Verwijderd]

max3D schreef op zondag 21 november 2004 @ 16:02:
Van al die mensen die nu.nl of startpagina als startpagina ingesteld hebben, zullen er nog maar weinig zijn die het weten. Kan je ook wel zien aan het feit dat er kennelijk nog maar 2000 mailaanvrages gedaan zijn.

(Overigens heb ik idd zojuist een reactie op beide mailtjes binnengekregen)

Er wordt hard gewerkt, door een heel loyale ploeg, en al heel wat uurtjes. Mede op basis van jouw opmerking is nu ook Startpagina aangepast. Dus of dit nou op de goede plek is of niet... effect is er wel. Bedankt voor de suggesties!

Paul

[Verwijderd]

Ik moet wel zeggen;ik heb respect voor ilsemedia.
Ik ben positief over hoe jullie het probleem aanpakken.
En ook dat er duizenden mails op zondag worden beantwoord!

[XunFar]

hessel schreef op zondag 21 november 2004 @ 17:19:
[...]


dan word het een tijd om je HT-Log op http://www.hijackthis.de te laten controleren op troep. En eventuele verdachte process (bestanden) te scannen bij http://virusscan.jotti.dhs.org

thanx voor de links!!

geen malware/spyware gevonden... geen virussen verder...

ik ga IE voorgoed verbannen dmv XPLite!

[BoGhi]

Bij mij is ook 1 PC besmet geraakt, ondanks de NAT, de windows firewall en Norton AV. Achteraf gezien snap ik het van NAT en de windows firewall dat die dit niet tegen gaan houden, van de AV van Norton had ik dat wel verwacht (AVG doet dat blijkbaar wel). Die heb ik dus al ge-deinstalleerd (een klein pluspuntje in dit gebeuren, denk ik).

Dus, ik probeer nu een betere firewall op die PC te installen, maar het lijkt dat de PC aardig in de warrie is: installatie van Sygate PF 5.5, maar ook 5.6 geeft een foutmelding "Tiny Personal firewall. Driver MacTransfer Data: Invalid buffer tag" (na het installeren, al op het scherm met de gebruikersaccounts), en Zonealarm (4.5.538) geeft na installatie een "system error" in zijn hoofdscherm (de TrueVector service blijkt niet te starten).
Mijn vraag: kan dit allemaal veroorzaakt worden door die Trojan, of spul wat die op zijn beurt misschien al weer heeft binnengehaald?

[Verwijderd]

max3D schreef op zondag 21 november 2004 @ 16:02:
Dat kleine blokje rechts was niemand opgevallen en tech sites bezoeken ze niet. Blijft overigens gek dat de redactie van nu.nl het bericht niet interessant genoeg vond voor de reguliere nieuwsrubriek, terwijl de Telegraaf het wel vermeldt. Vreemde keus, maar dat valt inderdaad buiten de verantwoordelijkheid van ilse media.

Ik denk dat je gelijk hebt dat het onze mededeling op de voorpagina niet opvallend genoeg was. We hebben nu een uithangbord opgehangen en ik vind het knap als je het nu nog mist.

Waarom wij het zelf niet als nieuws brengen?
Wij hebben op de redactie de regel om bij nieuws over ilse media en NU.nl in bijzonder heel terughoudend te zijn. Wij weten heel goed wat wel en wat geen nieuws is maar als je zelf onderwerp hiervan bent kan je gewoon weg niet bepalen of het wel of geen nieuws is. Daarnaast kan je nooit onafhankelijk berichten over de organisatie waarin je zelf dagelijks werkt. Dat is de reden waarom wij het hele virusverhaal niet als nieuws hebben gebracht.


Rogier Swagerman
Hoofdredacteur NU.nl

[Freee!!]

Verwijderd schreef op zondag 21 november 2004 @ 17:46:
Wil die Kaspersky scanner wel eens goed testen want de AVG-soft vond hem niet ondanks dat ie up-to-date was.

Welke versie van AVG? Freeware is al aan versie 7 toe ondertussen (en die werkt best lekker).

Verwijderd schreef op zondag 21 november 2004 @ 20:48:
[...]
Waarom wij het zelf niet als nieuws brengen?
Wij hebben op de redactie de regel om bij nieuws over ilse media en NU.nl in bijzonder heel terughoudend te zijn. Wij weten heel goed wat wel en wat geen nieuws is maar als je zelf onderwerp hiervan bent kan je gewoon weg niet bepalen of het wel of geen nieuws is. Daarnaast kan je nooit onafhankelijk berichten over de organisatie waarin je zelf dagelijks werkt. Dat is de reden waarom wij het hele virusverhaal niet als nieuws hebben gebracht.

Uitstekende reden voor zover ik het kan beoordelen.

[seweso]

Verwijderd schreef op zaterdag 20 november 2004 @ 22:47:....
De complexiteit is echter enorm, met programmacode die in toenemende mate onderdeel van advertenties vormt.

Hmm... waarom moet men programma-code kunnen aanleveren voor advertenties? Ik zou zeggen doe net als google (de nr1 advertentie leverancier) en sta alleen text en simpele plaatjes als advertentie toe. Want op deze manier is meer toch echt minder. Ik ben wel benieuwd wat er zo veel belangrijker is als de veiligheid (en privacy) van de consument.

Moet de schuld niet grotendeels bij Microsoft gelegd worden? Ik denk van wel, ik zou misschien nog kijken of ze niet aan te klagen zijn voor nalatigheid.... (of draaf ik door?)

[wildhagen]

Moet de schuld niet grotendeels bij Microsoft gelegd worden? Ik denk van wel, ik zou misschien nog kijken of ze niet aan te klagen zijn voor nalatigheid.... (of draaf ik door?)

Je draaft door. De reden daarvoor kan je zelf ook wel bedenken, mag ik hopen?

Fouten (bugs) maken is menselijk, programmeurs zijn menselijk, dus ze maken fouten. Om ze daar nou voor te gaan aanklagen.. je bent zeker Amerikaan? Die klagen iedereen al aan die een verkeerde scheet laat...

[kamerplant]

wildhagen schreef op zondag 21 november 2004 @ 21:37:
[...]


Je draaft door. De reden daarvoor kan je zelf ook wel bedenken, mag ik hopen?

Fouten (bugs) maken is menselijk, programmeurs zijn menselijk, dus ze maken fouten. Om ze daar nou voor te gaan aanklagen.. je bent zeker Amerikaan? Die klagen iedereen al aan die een verkeerde scheet laat...

Waarschijnlijk is het een fout geweest van de verantwoordlelijke beheerder, dan heeft het niet veel zin MS aan te klagen. Daarbij heeft MS heus wel een goed dichtgetimmerde licentie/voorwaarden waarmee je mee akkoort gaat zodra je hun software installeerd.

[seweso]

wildhagen schreef op zondag 21 november 2004 @ 21:37:
[...]


Je draaft door. De reden daarvoor kan je zelf ook wel bedenken, mag ik hopen?

Fouten (bugs) maken is menselijk, programmeurs zijn menselijk, dus ze maken fouten. Om ze daar nou voor te gaan aanklagen.. je bent zeker Amerikaan? Die klagen iedereen al aan die een verkeerde scheet laat...

Bugs maak ik zelf ook, maar dat is ook niet waarvoor ik ze zou aanklagen. Ik dacht meer in de richting dat het (minimaal) nalatig is om bepaalde systemen niet te patchen _{(with great power comes great responsibility)}

[wildhagen]

seweso schreef op zondag 21 november 2004 @ 22:48:
[...]
Bugs maak ik zelf ook, maar dat is ook niet waarvoor ik ze zou aanklagen. Ik dacht meer in de richting dat het (minimaal) nalatig is om bepaalde systemen niet te patchen _{(with great power comes great responsibility)}

Goh... er IS nog geen patch, daar word nog aan gewerkt...

Dus jij wil mensen aanklagen omdat ze iets niet geinstalleerd hebben, wat nog niet eens bestaat? Rare wereld leven we in, als dit soort aanklachten ingediend kunnen worden.

[max3D]

Ilsemedia schreef:
"Er wordt hard gewerkt, door een heel loyale ploeg, en al heel wat uurtjes. Mede op basis van jouw opmerking is nu ook Startpagina aangepast. Dus of dit nou op de goede plek is of niet... effect is er wel. Bedankt voor de suggesties!"

Het is mooi dat jullie luisteren naar de suggesties, maar ik moet zeggen dat ik de vermelding op startpagina nog steeds te onopvallend vind. Een reguliere gebruiker kijkt niet in dat blokje. Vergeet niet dat het niet voor niets startpagina heet. Het gros van de gebruikers kijkt uberhaupt niet dagelijks naar de inhoud. Daar helpt alleen een knipperende banner boven de site tegen. Zoals het nu is blijf ik bij mijn oordeel: onverantwoordelijk.

Het is ook mooi dat er zo hard gewerkt wordt, maar anders dan mijn medetweakers vind ik dat gewoon normaal. Als Moulinex ontdekt dat haar mixer kan exploren, Iglo glas vindt in de diepvriesspinazie of Opel constateert dat de nieuwe Astra spontaan explodeert als je de stoel verstelt, dan is het vette crisis. Dan wordt er het weekend doorgewerkt, een plan opgesteld en bovenal wordt het handboek 'crisiscommunicatie' uit de kast gehaald.

Aan dat laatste vind ik het nog steeds schorten en dat kan ik beter hier in dit slechtgelezen topic zeggen dan dat je die kritiek morgen in de krant vindt. Een aantal stappen zijn prima gedaan: snel inventariseren, plan opstellen, zo open mogelijk naar buiten treden, maar andere onderdelen zijn verwaarloosd.

Als gezegd is de voorlichting naar de gedupeerden zelf onvoldoende. Verder is de oplossing 'stuur iedereen die er om vraagt een gratis virusscanner' aardig, maar nodeloos duur en niet eens zo effectief. Mensen met startpagina als startpagina zijn vaak zelf niet in staat een virusscanner te installeren. Het mailtje dat verstuurd wordt is niet helder, het probleem zelf wordt niet benoemd ("Wij bieden onze excuses aan voor de mogelijke overlast die je hebt ondervonden na een bezoek aan (een van) onze sites") is alles dat er over gezegd wordt), heeft geen echte afzender ("groet Marc", zonder bedrijfsnaam en afkomstig van startpagina terwijl vele bezoekers via nu.nl dit formulier invulden) en bevat taalfoutjes waardoor het voor veel mensen ongeloofwaardig zal overkomen.

Jullie grote geluk is dat dit PR-drama zich in het weekend afspeelde, zodat de pers er nog niet over gevallen is. Mijn advies blijft om mijn suggesties hierboven over te nemen.

[max3D]

Rogier Sw schreef:
"Ik denk dat je gelijk hebt dat het onze mededeling op de voorpagina niet opvallend genoeg was. We hebben nu een uithangbord opgehangen en ik vind het knap als je het nu nog mist.

Waarom wij het zelf niet als nieuws brengen?
Wij hebben op de redactie de regel om bij nieuws over ilse media en NU.nl in bijzonder heel terughoudend te zijn. Wij weten heel goed wat wel en wat geen nieuws is maar als je zelf onderwerp hiervan bent kan je gewoon weg niet bepalen of het wel of geen nieuws is. Daarnaast kan je nooit onafhankelijk berichten over de organisatie waarin je zelf dagelijks werkt. Dat is de reden waarom wij het hele virusverhaal niet als nieuws hebben gebracht."

Het huidige uithangbord is een grote vooruitgang, maar het gros van de lezers (1024 instelling) ziet dat nog steeds niet standaard in beeld.

Terughoudend zijn met nieuws over jezelf is prima, maar de serieuze journalistiek is hier toch echt wel verder in en bericht vrijmoedig over haar eigen perikelen. Volkskrant en NRC brengen berichten over bedrijfsovernames of arbeidsconflicten in eigen kring ruimhartig in de eigen krant. Je had in dit geval als check kunnen wachten of andere media het persbericht zouden opnemen. Nadat webwereld, tweakers en de Telegraaf het vermelden, mocht je concluderen dat het dus nieuwswaardig was en had je m.i. het besluit moeten nemen het op de eigen site te zetten. Door dit na te blijven laten suggereer je toch een gebrekkige onafhankelijkheid als redactie. Zonde als dat volgens Paul Molenaar juist niet het geval is.

[ Voor 4% gewijzigd door max3D op 21-11-2004 23:08 ]

[DiGuru]

Het advies om eens een andere browser dan IE te overwegen lijkt me ook op zijn plaats en heeft uiteindelijk het meeste nut.

[max3D]

Mijn excuses overigens naar de Got modjes voor het eenmalig overschrijden van de

"Waarschuwing

Post aub _geen_ live links naar sites die malware (kunnen) bevatten."

Ik zal de link naar nu.nl en startpagina.nl voortaan wel versleutelen

[HellevUUr]

DiGuru schreef op zondag 21 november 2004 @ 23:07:
Het advies om eens een andere browser dan IE te overwegen lijkt me ook op zijn plaats en heeft uiteindelijk het meeste nut.

Als mensen uberhaubt een andere browser willen/kunnen installeren of weten wat een browser is, dan zouden ze allang een andere browser gehad hebben.

Voor de rest van de mensen die daar komen lijkt het mij vrij nutteloos. Tenzij je een knop kan maken met "klik hier" en de browser wordt geinstalleerd, IE shortcuts worden aangepast, en men denkt dat ze nog internet explorer gebruiken, want als "internet" er anders uit ziet dan ze gewend zijn, dan halen ze de buurman erbij om eens lekker windows opnieuw erop te laten zetten. Dit is namelijk voor al hun eerdere problemen de oplossing geweest.

[Verwijderd]

max3D schreef op zondag 21 november 2004 @ 23:35:
Mijn excuses overigens naar de Got modjes voor het eenmalig overschrijden van de

"Waarschuwing

Post aub _geen_ live links naar sites die malware (kunnen) bevatten."

Ik zal de link naar nu.nl en startpagina.nl voortaan wel versleutelen

Ehm, moet dit nou? En al helemaal in een aparte post..

Ilse Media _hoeft_ hier niet te reageren, om dan zo flauw te gaan doen vind ik persoonlijk nogal not done.
Met de huidige situatie op internet mag je dan elke link versleutelen, dus je opmerking raakt eigenlijk kant noch wal.

On topic svp.

[DiGuru]

HellevUUr schreef op zondag 21 november 2004 @ 23:37:
[...]


Als mensen uberhaubt een andere browser willen/kunnen installeren of weten wat een browser is, dan zouden ze allang een andere browser gehad hebben.

Voor de rest van de mensen die daar komen lijkt het mij vrij nutteloos. Tenzij je een knop kan maken met "klik hier" en de browser wordt geinstalleerd, IE shortcuts worden aangepast, en men denkt dat ze nog internet explorer gebruiken, want als "internet" er anders uit ziet dan ze gewend zijn, dan halen ze de buurman erbij om eens lekker windows opnieuw erop te laten zetten. Dit is namelijk voor al hun eerdere problemen de oplossing geweest.

Goed punt. Hm. Een reklame met Firefox installer, nou dat is een leuk idee. Of is dat eerder slechte reklame voor beide browsers?

[HellevUUr]

max3D schreef op zondag 21 november 2004 @ 23:05:
Het huidige uithangbord is een grote vooruitgang, maar het gros van de lezers (1024 instelling) ziet dat nog steeds niet standaard in beeld.

Je hebt gelijk. In 1024*768 moet je eerst drie regels naar beneden scrollen. In 1280*1024 zie ik wel duidelijk let op staan.

Nu komt het nadeel van deze pakkende tekst.
Dit heb ik al veel vaker gezien, net zoals heel veel andere mensen.
Je krijgt LET OP te zien in emails, in advertenties, op nieuwssites. En als je dan verder kijkt dan is het weer een vorm van reclame die je aandacht probeerde te trekken. Ik kan me goed voorstellen dat de mensen die het zien staan, er geen aandacht aan besteden, omdat ze denken dat het reclame is.

Het is ook mooi dat er zo hard gewerkt wordt, maar anders dan mijn medetweakers vind ik dat gewoon normaal. Als Moulinex ontdekt dat haar mixer kan exploren, Iglo glas vindt in de diepvriesspinazie of Opel constateert dat de nieuwe Astra spontaan explodeert als je de stoel verstelt, dan is het vette crisis. Dan wordt er het weekend doorgewerkt, een plan opgesteld en bovenal wordt het handboek 'crisiscommunicatie' uit de kast gehaald.

Wellicht dat ik niet helemaal helder ben, maar volgens mij gaat mijn pc niet exploderen op het moment dat ik die trojan krijg. Dus ik vind dat de zaken die je noemt niet in hetzelfde straatje passen.
Bovendien is het zo dat er ZAT bedrijven zijn die niet in het weekend te bereiken zijn. Dus wat dat betreft vind ik het fijn dat het snel en direct aangepakt wordt.

[ Voor 35% gewijzigd door HellevUUr op 21-11-2004 23:57 ]

[boesOne]

max3D schreef op zondag 21 november 2004 @ 22:57:
Het is mooi dat jullie luisteren naar de suggesties, maar ik moet zeggen dat ik de vermelding op startpagina nog steeds te onopvallend vind. Een reguliere gebruiker kijkt niet in dat blokje. Vergeet niet dat het niet voor niets startpagina heet. Het gros van de gebruikers kijkt uberhaupt niet dagelijks naar de inhoud. Daar helpt alleen een knipperende banner boven de site tegen. Zoals het nu is blijf ik bij mijn oordeel: onverantwoordelijk.

Iets hoger mag 't uithangbord wel ja. Nu moet je eerst scrollen.. Ben je wat lager in de pagina, dan mis je de waarschuwing niet hoor..

Het is ook mooi dat er zo hard gewerkt wordt, maar anders dan mijn medetweakers vind ik dat gewoon normaal.

tweakers zijn lui

Als Moulinex ontdekt dat haar mixer kan exploren, Iglo glas vindt in de diepvriesspinazie of Opel constateert dat de nieuwe Astra spontaan explodeert als je de stoel verstelt, dan is het vette crisis. Dan wordt er het weekend doorgewerkt, een plan opgesteld en bovenal wordt het handboek 'crisiscommunicatie' uit de kast gehaald.

Je vergelijking gaat mank. Exploderende Opels en mixers en glas in eten zijn kwalitiatief verschillend van een site met een exploit erop... Zo erg is het nou ook weer niet.. Er vallen geen doden.

[max3D]

"Ilse Media _hoeft_ hier niet te reageren, om dan zo flauw te gaan doen vind ik persoonlijk nogal not done."

Ik vond het vrij geestig dat dit bovenal mijn replies staat. Ik _hoef_ hier namelijk ook niet te reageren en ik help Ilse meer dan zij mij doen met mijn suggesties, dus waarom mag ik dan geen grapje maken? Als je het echt zo serieus opneemt zou ik die tekst weghalen uit het 'reply' scherm.

En het is waar dat een exploderende Astra erger is, maar hetzelfde beleid wordt geadviseerd aan alle bedrijven met een ernstig defect in een produkt. Als de frikandellen van Mona stinken roepen ze ze ook terug met een grote campagne (terwijl dat toch nauwelijks afwijkt van de normale situatie )

[ Voor 31% gewijzigd door max3D op 21-11-2004 23:57 ]

[HellevUUr]

max3D schreef op zondag 21 november 2004 @ 23:55: Als de frikandellen van Mona stinken roepen ze ze ook terug met een grote campagne (terwijl dat toch nauwelijks afwijkt van de normale situatie )

Maandag roepen ze die terug ja. Je hoeft Cora van Mora echt niet te bellen om 0900 in de ochtend op een zaterdag. ( )

[Verwijderd]

max3D schreef op zondag 21 november 2004 @ 23:55:
"Ilse Media _hoeft_ hier niet te reageren, om dan zo flauw te gaan doen vind ik persoonlijk nogal not done."

Zou je aub 'normaal' kunnen quoten? Dit werkt zeker in grotere topics absoluut niet handig.
De quote knop zie je rechtsbovenaan de post die je wil quoten.

Ik vond het vrij geestig dat dit bovenal mijn replies staat. Ik _hoef_ hier namelijk ook niet te reageren en ik help Ilse meer dan zij mij doen met mijn suggesties, dus waarom mag ik dan geen grapje maken?

Omdat het grapje ook als troll gezien kan worden en al helemaal geen aparte post waardig is.
Lees anders [FAQ=,]Registratievoorwaarden en faq[/FAQ] nog eens door.

Als je het echt zo serieus opneemt zou ik die tekst weghalen uit het 'reply' scherm.

Ik zie geen reden tot het weghalen van de topicwarning.

Dit topic gaat over over malware en hetgene wat er mee te maken heeft, _niet_ over het beleid van Ilse Media en dergelijke.

[max3D]

[b]Verwijderd schreef op maandag 22 november 2004 @ 00:18:
[...]
[...]

Zou je aub 'normaal' kunnen quoten? Dit werkt zeker in grotere topics absoluut niet handig.
De quote knop zie je rechtsbovenaan de post die je wil quoten.

Ik quote niet 'normaal' omdat ik me erger aan al die overmatig lange quotes (moet je opletten hoe onduidelijk deze post er van wordt), waarin niet eens duidelijk is wie wat zei. Zie je eigen quote hierboven die nu suggereert dat ik schreef wat jij schreef. Het is overigens een waanzinnig off topic discussie hoe je exact elkaar quote. Ik forum al meer dan tien jaar en heb mijn eigen stijl. Prima toch?

[...]

Omdat het grapje ook als troll gezien kan worden en al helemaal geen aparte post waardig is.
Lees anders [FAQ=,]Registratievoorwaarden en faq[/FAQ] nog eens door.

Ik heb ze net gelezen en zie geen enkele relatie met mijn post. Nu.nl of startpagina.nl noemen is helaas een verwijzing naar een mogelijke malware site geworden. Dat is erg treurig voor hen, maar dat maakt mijn grappig bedoelde opmerking zeker niet tot een troll.

[...]


Ik zie geen reden tot het weghalen van de topicwarning.

Lighten up!

Dit topic gaat over over malware en hetgene wat er mee te maken heeft, _niet_ over het beleid van Ilse Media en dergelijke.

Dit topic gaat dankzij Ilse media, de hoofdredacteur van Nu.nl en mij juist wel over dat beleid. Als je daar bezwaar tegen hebt, moet je de hele handel verplaatsen. Overigens zijn er zelfs meer posters die letterlijk zeggen dat ze het beleid van Ilse media zo geweldig vinden, dus die moeten dan ook verwijderd. Doe dat en je houdt een vrijwel leeg topic over met een vage discussie over de zin van SP2.
---

En nu we uitgequote zijn even een wat algemene opmerking. Wat Ilse en Nu heel terecht doen is 'damage control'. Daarbij zetten ze ondermeer Got in. Heel verstandig natuurlijk, maar een beetje raar als een Got modje dan heel dankbaar gaat lopen doen dat ze uberhaupt posten. Natuurlijk doen ze dat. Alles om de schade te herstellen is het devies. Het wonder is niet dat betaalde professionals hun bedrijf trachtten te verdedigen, het wonder van Got (en heel tweakers) is dat andere mensen geheel belangeloos problemen oplossen, elkaar helpen, elkaar tippen hoe het beter kan. Dat is, geheel in de geest van tweakers, wat ik ook doe naar Ilse Media.
Stukken beter om het hier te lezen dan morgen de kritiek in de krant te zien.

[Verwijderd]

max3D schreef op maandag 22 november 2004 @ 00:44:
[...]


Dit topic gaat dankzij Ilse media, de hoofdredacteur van Nu.nl en mij juist wel over dat beleid. Als je daar bezwaar tegen hebt, moet je de hele handel verplaatsen.

Nee?
Ik zie nergens Ilse Media op zo'n manier op het beleid ingaan zoals jij dit doet, ik heb daar bezwaar tegen en zeg dan ook dat het niet de bedoeling is.
Ik heb echt totaal geen intentie om de hele handel te verplaatsen.

Overigens zijn er zelfs meer posters die letterlijk zeggen dat ze het beleid van Ilse media zo geweldig vinden, dus die moeten dan ook verwijderd. Doe dat en je houdt een vrijwel leeg topic over met een vage discussie over de zin van SP2.

Dan heb je de eerste 100 posts gemist van deze draad.

En nu we uitgequote zijn even een wat algemene opmerking. Wat Ilse en Nu heel terecht doen is 'damage control'. Daarbij zetten ze ondermeer Got in. Heel verstandig natuurlijk, maar een beetje raar als een Got modje dan heel dankbaar gaat lopen doen dat ze uberhaupt posten. Natuurlijk doen ze dat. Alles om de schade te herstellen is het devies. Het wonder is niet dat betaalde professionals hun bedrijf trachtten te verdedigen, het wonder van Got (en heel tweakers) is dat andere mensen geheel belangeloos problemen oplossen, elkaar helpen, elkaar tippen hoe het beter kan. Dat is, geheel in de geest van tweakers, wat ik ook doe naar Ilse Media.
Stukken beter om het hier te lezen dan morgen de kritiek in de krant te zien.

Ik had zojuist uitdrukkelijk gemeld dat dit topic _niet_ over Ilse Media's beleid gaat.
Daar behoort iedereen zich aan te houden.

Je kan mail verwachten als je deze draad nog langer off-topic helpt.

[Verwijderd]

Uit de nieuwe FAQ die zo live gaat:

V: Hoe heeft de dader dit kunnen doen?
A: Op dit moment is daarover nog geen zekerheid. Het is inmiddels zeker dat een extern computersysteem waar de advertenties vandaan komen, de trojan code meestuurde. Dat zou er op kunnen wijzen dat dat systeem door kwaadwillende personen is gebruikt, maar ook dat is niet zeker. Inmiddels is wel het externe systeem door de eigenaar bekeken en is voorkomen dat er nog schadelijke code wordt verstuurd. Men heeft ons bovendien gemeld maandag 22 november met een verklaring te komen. UPDATE: De verklaring van onze advertentie-leverancier is binnengekomen en bevat een technische uitleg van het gebeurde. Volgens hen is een hacker er in geslaagd één loadbalancer (een apparaat dat binnenkomend internet verkeer verdeelt naar diverse andere apparaten) te herprogrammeren. Bij ongeveer elk 30ste verzoek om een advertentie werd, werd niet een advertentie getoond, maar werd de gebruiker naar search.comedycentral.com geleid, waar de schadelijke code feitelijk stond. Hoe deze daarop terecht is gekomen, is nog niet duidelijk. Aldus Falk.

[_Christiaan_]

Ey mensen, ik weet niet of het volgende met deze virussen/spyware te maken heeft:

Gisteren liep de site van hotmail telkens vast, als je inlogt. Dit is alleen met IE, en ik heb overigens geen SP2. Met firefox kon ik gewoon doorgaan. Ik moet nog even controleren of ik geinfecteerd ben.

Dit is wel erg toevallig...

[HellevUUr]

Verwijderd schreef op maandag 22 november 2004 @ 09:29:
Uit de nieuwe FAQ die zo live gaat:
maar werd de gebruiker naar search.comedycentral.com geleid, waar de schadelijke code feitelijk stond. Hoe deze daarop terecht is gekomen, is nog niet duidelijk. Aldus Falk.

Paul heb je enig idee of Comedy Central hier (nu) ook vanaf weet?

[Verwijderd]

HellevUUr schreef op maandag 22 november 2004 @ 10:40:
[...]
Paul heb je enig idee of Comedy Central hier (nu) ook vanaf weet?

search.comedycentral.com is voor zover wij weten uit de lucht nu. Het Internet Storm Center meldt geïnfecteerde sites te hebben benaderd - wellicht heeft dat betrekking op die site. Comedycentral.com is overigens een reguliere site.

Klopt de informatie, dan is het duidelijk dat dit weliswaar geen op ons gerichte aanval is, maar wel degelijk een moedwillige met maximale verspreiding van het exploit als gewenst effect.

[Verwijderd]

Goed, het echte nieuws is dus dat het via de loadbalancer is gedaan (de rest was allemaal al publiek te zien nl.) - de goede vraag in deze situatie is dan hetvolgende: wat kunnen sites die afhankelijk zijn van bannerinkomsten en bannerleveranciers verbeteren zodat dit sneller opgemerkt wordt cq. voorkomen? Wat gaat men er aan doen en tot hoever wil men garant staan voor onbezorgd surfplezier?
Wat gebruikers kunnen doen is imo al duidelijk genoeg, zorg voor een up to date systeem en goede virusscanner die niet zo achter de feiten aanholt.
Nu is het niet mijn bedoeling om hiervan een discussiepunt in dit topic te maken, maar wel een punt om ter overdenking mee te geven - als site ben je een doorgeefluik met alle risico's van dien, maar daar hangt dan wel je goede naam aan

[chromeeh]

Verwijderd schreef op maandag 22 november 2004 @ 10:48:
[...]
Comedycentral.com is overigens een reguliere site.
[...]

Falklag daarin tegen is een bekende verspreider van spyware, net als doubleclick

[leuk_he]

Verwijderd schreef op maandag 22 november 2004 @ 11:10:
de goede vraag in deze situatie is dan hetvolgende: wat kunnen sites die afhankelijk zijn van bannerinkomsten en bannerleveranciers verbeteren zodat dit sneller opgemerkt wordt cq. voorkomen? Wat gaat men er aan doen en tot hoever wil men garant staan voor onbezorgd surfplezier?
..
Nu is het niet mijn bedoeling om hiervan een discussiepunt in dit topic te maken, maar wel een punt om ter overdenking mee te geven - als site ben je een doorgeefluik met alle risico's van dien, maar daar hangt dan wel je goede naam aan

Behalve de bekende technische meuk (laatste patches op server, e.v.t met tripwire beveiligen zodat je ziet dat het gehackt is .. affijn, dat kennen we wel).

Een goed contact adres dat snel te vinden is op een site. b.v. bij nu.nl staat het mail adres redactie@nu onderaan de front page. en die wordt blijkbaar continue gelezen. Op de contact pagina van tweakers staan al meer adressen, iemand die iets kwijt wil over beveiling/abuse moet nu al gokken dat hij de goede kiest.

Het is opvallend dat deze hack op zaderdag & zondag gedaan wordt waarschijnlijk wordt er al op gegokt dat een aantal van deze (ad) sites minder beheerd worden in het weekend. Dus ook daar moet op gepland worden.

offtopic:
Verder is het beleid over wel of niet publiceren dat de site/banner gehackt is iets wat van te voren vast staat ... oh ja....

[quote]
Deze draad gaat _niet_ over het beleid
[/quote]

Welke draad doet dit wel?

[Verwijderd]

http://www.theregister.co.../22/falk_bofra_statement/

[Milo]

Kan iemand bevestigen dat Trend's Housecall deze trojan vind en verwijdert? Een online scan raad ik andere mensen liever aan dan een 1 maand werkende kapersky van Ilsemedia.

Misschien een idee dat iemand de aanwezige informatie samenvat en in de startpost gooit?

[DRaakje]

verkeerde topic

[ Voor 92% gewijzigd door DRaakje op 22-11-2004 13:21 ]

[Verwijderd]

Ik had er ook last van (toevallig moest ik net opnieuw installeren). En ja hoor na 5 min een razig virus. Deze dus, ik was op zoek naar een plek om avast de downloaden en wat gebruikte ik natuurlijk: ilse.

Toen nogmaals opnieuw geinstalled had ik het weer maar toen was ik alleen op windowsupdate geweest en msn site. Ik vond dat ik verdacht veel netwerkverkeer had, dus ik netstat draaien: en ja hoor een trojan die mee te doen stond aan een ranzige ddos attack... Maar ik heb ff een logje laten maken van de sites die hij benaderde.

Met SP2 is de boel nog kwetsbaar, die had ik er de tweede keer installeren meteen opgezet maar nog begon die trojan zooi te trappen.

Mocht iemand interesse in het log (tekstbestand van netstat) laat het even weten...

[ Voor 18% gewijzigd door Verwijderd op 22-11-2004 13:30 ]

[Verwijderd]

Ik vind het vreemd dat NAV geen kick heeft gegeven echter ben ik er ook niet zeker van of ik deze sites wel tussen de gegeven tijdstippen heb bezocht. Heb handmatig gezocht naar bla.exe wat ik niet gevonden heb en heb nu maar AVG gedownload en die is nu aan het scannen.

Mn IE knalde er namelijk wel een aantal maal uit.

Ik maak nog gebruik van SP1

[Fok83]

Als winampa.exe in de Winamp map staat is het geen virus o.i.d.: http://www.neuber.com/taskmanager/process/winampa.exe.html

[ Voor 61% gewijzigd door Fok83 op 22-11-2004 14:29 . Reden: Nieuwe info ]

[Verwijderd]

Goedenmorgen,

Ik weet niet zeker of dit de juist plek is voor deze vraag maar een nieuw topic hierover openen leek mij ook zo overbodig.

In verband met de trojan waar hier over gesproken word willen wij (het bedrijf waar ik voor in dienst ben) een nieuwbericht rond laten gaan met de melding en tevens de oplossing.

Wij werken hier met Norton corperate edetion en alles word dus centraal geregeleld.

Ik heb zojuist Symantec aan de lijn gehad en hun zouden mij nog terugbellen.

Is norton hiervan op de hoogte (van deze trojan) en zijn de defenities tot zoverre geupdate dat ik hier volledig op kan vertrouwen zonder dat ik afzonderlijk 400x hijack this moet gaan installeren om zeker te weten dat alles in orde is ?

Ik heb op de site van symantec niets kunnen vinden en heb dit hele topic doorgelezen.

Ik laat het ook even weten wat de reactie van norton hierop was (zodra ze teruggebelt hebben).

[leuk_he]

Verwijderd schreef op dinsdag 23 november 2004 @ 11:03:

Wij werken hier met Norton corparate edetion .
.

met wat ?

volgens mij herkent norton av. corp. ed. wel de worm, maar niet de spyware die de worm eventueel installeerd. Daar hebben ze andere produkten voor. (is mijn ervaring via helpdesk na spyware infectie.)

[Verwijderd]

Ik ben net gebelt, en met de live update van vandaag (23/11) zit hier een defenitie voor.Let wel op !Er word dus ook spyware binnen gehaald wat deze defenitie niet tegen gaat.

//edit .. Ik heb het hierover :

http://www.sarc.com/avcenter/venc/data/trojan.vundo.html

[ Voor 23% gewijzigd door Verwijderd op 23-11-2004 11:53 ]

[Milo]

Is er, buiten de kapersky die Ilse aanbied, een tool die volledig weghaalt wat er allemaal aan rommel geinstalleerd is? M'n collega vertelde net dat Trend Housecall niks vond, maar de vraag is of zijn pc wel geinfecteerd is. Hij zegt dat z'n browser wel crashde, en dat ie windows 2000 gebruikt, dus ik ga ervan uit dat ie wel geinfecteerd is.

Ik kan natuurlijk HitmanPro adviseren tegen de spyware, maar dat is weer zo'n kanon.

[Verwijderd]

Housecall detecteert met de laatste update Exploit.HTML.Iframebof als HTML.SHEXPLOIT.B.
De gedownloade files worden niet gedetecteerd op dit moment.

superfly2004: Dat gaat over een andere compromised server.
Deze serveerde(indirect) geen adware, maar een Backdoor(zij het via een omweg).

[Milo]

Verwijderd schreef op dinsdag 23 november 2004 @ 12:34:
Housecall detecteert met de laatste update Exploit.HTML.Iframebof als HTML.SHEXPLOIT.B.
De gedownloade files worden niet gedetecteerd op dit moment.

Dus blijft, als ik het goed begrijp, de backdoor aanwezig? Is dat ook zo bij de Kapersky die Ilse aanbied? En bij AVG?

Dat lijkt me een tamelijk groot probleem, dan blijven al die zombies klaar staan. ( )

[Verwijderd]

Milo schreef op dinsdag 23 november 2004 @ 14:42:
[...]


Dus blijft, als ik het goed begrijp, de backdoor aanwezig? Is dat ook zo bij de Kapersky die Ilse aanbied? En bij AVG?

KAV detecteerde alle malware componenten al voor zaterdag.
Ik heb geen idee hoe dat zit bij AVG, als ik zodadelijk tijd heb zal ik dat eens bekijken, ik ben echter niet van plan elke bestaande scanner hiertegen los te laten.

[Verwijderd]

Rectificatie:

Er mag in dit topic wél over het beleid van bedrijven gediscussieerd worden, maar wel in zo'n opzicht dat het marketing technische aspect _niet_ voorop staat.
Hoe je iets het beste kunt marketten, hoort niet in BV thuis.

Mocht je toch zulke intenties hebben, mail het betreffende bedrijf dan maar.

[Verwijderd]

Milo schreef op dinsdag 23 november 2004 @ 12:15:
Is er, buiten de kapersky die Ilse aanbied, een tool die volledig weghaalt wat er allemaal aan rommel geinstalleerd is? M'n collega vertelde net dat Trend Housecall niks vond, maar de vraag is of zijn pc wel geinfecteerd is. Hij zegt dat z'n browser wel crashde, en dat ie windows 2000 gebruikt, dus ik ga ervan uit dat ie wel geinfecteerd is.

Ik kan natuurlijk HitmanPro adviseren tegen de spyware, maar dat is weer zo'n kanon.

[rml]klutter in "[ Alert] Trojan op frontpage nu.nl - en a..."[/rml] hijackthis draaien en kijken of de javaupdate entry erin staat. Al die klutter in dit topic maakt het moeilijk dat nuttige posts nog opvallen.

[Verwijderd]

Ik vraag dit voor een vriend van me die stage loopt op een school.
Ze hebben daar een server draaien met Windows Server 2000 waarop de pc's met Windows 2000 inloggen in een eigen profiel. Via 1 profiel is de trojan binnengehaald. Ze hebben met TDS3 de trojan weten te verwijderen van die pc, maar de vraag is nou of er nog iets op de server staat.
Kan ie gewoon op de c-schijf van de server zoeken naar bla.exe of l.exe en als ie die niet vindt er vanuit gaan dat de trojan weg is?

[leuk_he]

Verwijderd schreef op dinsdag 23 november 2004 @ 15:45:
Kan ie gewoon op de c-schijf van de server zoeken naar bla.exe of l.exe en als ie die niet vindt er vanuit gaan dat de trojan weg is?

ja, Maar de eventueel gedownloade adware is denk ik niet verwijderd met tds3. of was tds3 continue actief?

[Verwijderd]

leuk_he schreef op dinsdag 23 november 2004 @ 16:02:
[...]

ja, Maar de eventueel gedownloade adware is denk ik niet verwijderd met tds3. of was tds3 continue actief?

tds3 was niet continu actief. Dat hadden ze later gedownload op aanraden van een helpdesk.

Dat er nog adware op staat is niet het grootste probleem. Dat kan wel verwijderd worden met ad-aware oid.

Voor de zekerheid: het kan toch niet in de andere profielen 'gekropen' zijn? Als er iets zou zijn zou dat alleen op de c-schijf van de machine die het binnengehaald had of de c-schijf van de server staan?

Bedankt

[ Voor 20% gewijzigd door Verwijderd op 23-11-2004 16:21 ]

[Milo]

Verwijderd schreef op dinsdag 23 november 2004 @ 15:21:
hijackthis draaien en kijken of de javaupdate entry erin staat. Al die klutter in dit topic maakt het moeilijk dat nuttige posts nog opvallen.

Dat las ik, maar is wat lastig uit te leggen aan m'n minder technische collega's.

[max3D]

Verwijderd schreef op zaterdag 20 november 2004 @ 18:19:
Voor direct getroffenen:

http://int.ilsemedia.nl/KAVIlseMedia.exe

Lost alle directe problemen op die er met besmettingen zijn. Werkt een maand, maar we bieden getroffen gebruikers de daarop volgende 11 maanden aan.

We voelen ons aardig lullig met deze situatie en kijken nu wat we kunnen doen om dit in de toekomst te voorkomen.

Paul (directeur ilse media, overigens al jaren ook fan van Tweakers.net )

Weet iemand al hoe je die licentie voor een jaar krijgt? Ik kan er niets over vinden op www.startpagina.nl/alert

[Verwijderd]

max3D schreef op woensdag 24 november 2004 @ 15:37:
[...]


Weet iemand al hoe je die licentie voor een jaar krijgt? Ik kan er niets over vinden op www.startpagina.nl/alert

Ja, ik

[ Voor 4% gewijzigd door Verwijderd op 24-11-2004 22:51 ]

[Br@m]

Misschien is het offtopic, sorry dan.

Maar hoe kan Ilse controleren of iemand die een gratis KAV licentie aanvraagt omdat hij getroffen is ook daadwerkelijk is getroffen? Want ik kan me een beetje voorstellen dat er mensen zijn die helemaal niet getroffen zijn door het virus, of zelfs nooit op nu.nl is geweest, en toch die gratis licentie van KAV aanvragen..

[Freee!!]

Br@m schreef op woensdag 24 november 2004 @ 22:58:
Misschien is het offtopic, sorry dan.

Maar hoe kan Ilse controleren of iemand die een gratis KAV licentie aanvraagt omdat hij getroffen is ook daadwerkelijk is getroffen? Want ik kan me een beetje voorstellen dat er mensen zijn die helemaal niet getroffen zijn door het virus, of zelfs nooit op nu.nl is geweest, en toch die gratis licentie van KAV aanvragen..

Je hebt volkomen gelijk en dat zal best gebeuren, maar help nou niemand, die er nog niet zelf aan heeft gedacht, op ideeën

[max3D]

Verwijderd schreef op woensdag 24 november 2004 @ 22:50:
[...]


Ja, ik

Da's mooi. Ga je ook nog vertellen hoe?

[Bud_s]

Br@m schreef op woensdag 24 november 2004 @ 22:58:
Misschien is het offtopic, sorry dan.

Maar hoe kan Ilse controleren of iemand die een gratis KAV licentie aanvraagt omdat hij getroffen is ook daadwerkelijk is getroffen? Want ik kan me een beetje voorstellen dat er mensen zijn die helemaal niet getroffen zijn door het virus, of zelfs nooit op nu.nl is geweest, en toch die gratis licentie van KAV aanvragen..

Misschien hebben ze wel historie van IP adressen die tijdens de bewuste periode de site hebben bezocht ?

[wildhagen]

Bud_s schreef op donderdag 25 november 2004 @ 08:09:
[...]

Misschien hebben ze wel historie van IP adressen die tijdens de bewuste periode de site hebben bezocht ?

Maar dan zijn die nog niet allemaal besmet... veel ervan zullen bijv al SP2 gehad hebben en dus niet kwetsbaar geweest zijn, of ze hadden een virusscanner die hem al afving. Daarnaast werd 'slechts' één op de dertig bezoekers geconfronteerd met dit virus (was zo opgesteld).

Plus dat veel mensen met dynamische IP-adressen zitten te werken.

Plus dat de logs ongetwijfeld enorm groot zijn voor dit soort sites.

[ Voor 14% gewijzigd door wildhagen op 25-11-2004 08:20 ]

[Rataplan]

wildhagen schreef op donderdag 25 november 2004 @ 08:18:
Maar dan zijn die nog niet allemaal besmet... veel ervan zullen bijv al SP2 gehad hebben en dus niet kwetsbaar geweest zijn, of ze hadden een virusscanner die hem al afving. Daarnaast werd 'slechts' één op de dertig bezoekers geconfronteerd met dit virus (was zo opgesteld).

Bovendien lijkt het me dat de koppeling tussen IP- en mailadressen maar moeilijk of zelfs niet te leggen is. Ik hou het er maar op dat ze dit in goed vertrouwen doen.

max3D schreef op donderdag 25 november 2004 @ 08:06:
Da's mooi. Ga je ook nog vertellen hoe?

Ik mag aannemen dat ook jij je gewoon even moet melden via de op de alert-pagina gegeven mailpagina (en als je zo contact opneemt, zou weer wel een IP-check gedaan kunnen worden maar dan nog zit je met dynamische adressen, zoals wildhagen aangeeft).

[ Voor 11% gewijzigd door Rataplan op 25-11-2004 08:25 ]

[max3D]

Ik heb wat familieleden aangemeld voor die software, maar dat is gewoon de gratis 30 dagen versie. Daar Ilse media publiek goede sier maakte met de belofte dat de getroffenen een gratis jaar virusscanner kregen vroeg ik me af of ze die ook publiekelijk na zouden komen. Anders is het wat loos lijkt me, daar de meeste mensen na die maand niet meer weten hoe ze er alsnog aankomen.

[HellevUUr]

wildhagen schreef op donderdag 25 november 2004 @ 08:18:
[...]
Daarnaast werd 'slechts' één op de dertig bezoekers geconfronteerd met dit virus (was zo opgesteld).

Op het moment dat ik de eerste melding kreeg, en dit hier in het topic gepost heb, waren er veel meer dan 1 op de 30 die er last van hadden. Wellicht dat de banners voor lange tijd niet werden geswitched ofzo, maar ik heb de uren daarop volgend, elke keer die melding gehad, totdat de reclame uitgeschakeld werd.

[Verwijderd]

HellevUUr schreef op donderdag 25 november 2004 @ 08:54:
[...]
Op het moment dat ik de eerste melding kreeg, en dit hier in het topic gepost heb, waren er veel meer dan 1 op de 30 die er last van hadden.

Dat denk ik eerlijk gezegd ook. Bij mij was er een melding bij elke tweede refresh of daaromtrent, ook op pagina's met slechts twee advertenties. De link op security.nl naar http://www.finlandforum.org/bb/viewtopic.php?t=7685 geeft ook heel veel details over deze hack, die op basis van de informatie daar toch iets anders lijkt te zijn gegaan dan in de verklaring van Falk te lezen is. Althans voor een leek als ik.

[Verwijderd]

max3D schreef op donderdag 25 november 2004 @ 08:06:
[...]
Da's mooi. Ga je ook nog vertellen hoe?

Niet in detail als je het niet erg vindt. En je mag bovendien van ons aannemen dat het niet in ons belang is om loze beloften te doen. Argwaan is gezond, maar niet altijd terecht.

[cutter]

Kunnen we het niet lekker nerderig gaan hebben over die exploit ipv al dat gejengel over gratis software?

http://www.vitalsecurity....wareinstall-condensed.pdf is ook een interessante beschrijving van hoe je met een lekke apache mod javascript exploits mee kan laten lopen op uitgaande HTTP paketten. Ik denk dat we het laatste van dit alles nog lang niet hebben gezien. Wie hier achter zit? Zal vermoedelijk de Russische maffia zijn. Dit zijn geen scriptkiddies meer.

[max3D]

Ik citeer uit het mailtje dat verstuurd is door [e-mail]:
"Om een eventuele besmetting van je PC te verhelpen, raden
wij je aan om onderstaande bestand op je computer te zetten
en uit te voeren.
http://www.kasperskylab.nl/downloads/KAVIlseMedia.exe
Dit is een volledig werkende versie van
Karspersky Antivirus Personal die wij hierbij graag ter
compensatie van het ongemak aanbieden. De waarde hiervan
bedraagt euro 39,95 is speciaal op ons verzoek samengesteld
door Kaspersky Labs."

Wel de versie die mijn familieleden ontvangen hebben is dus niet de volledig werkende versie, maar een 30 dagen probeer versie. Vandaar mijn vragen.

[Verwijderd]

max3D schreef op donderdag 25 november 2004 @ 12:48:
Wel de versie die mijn familieleden ontvangen hebben is dus niet de volledig werkende versie, maar een 30 dagen probeer versie. Vandaar mijn vragen.

Dat kan kloppen. Het is ook een 30-dagen versie, maar na die dertig dagen (iets eerder, eigenlijk) komt de vervolgactie. In de snelheid waarmee de teksten zijn gemaakt, zijn er wat onjuistheden in geslopen wat betreft de specifieke actie. Maar iedereen die hem heeft aangevraagd, krijg wat hem of haar is beloofd, uiteraard.

Paul

[Verwijderd]

Ik kreeg alleen maar een link naar een of andere java virusscanner. En die liep natuurlijk ook vast na 10 minuten zoeken.
Heb zelf maar die bla.exe gewist en hoop dat Norton eerdaags met de rest afrekend .

Vind de service die ik heb gekregen dus eigenlijk maar klote.