Hoofdcategorieën
Device Settings

Gevaarlijk Bugbear virus op komst

Door Arjan Seesing, dinsdag 1 oktober 2002 21:12
Bron: eWeek, submitter: Praetorian, views: 1.350

Een tijd geleden veroverde de I Love You worm een groot gedeelte van het internet. Sindsdien zijn er virussen gekomen die zichzelf verspreiden door middel van fouten in Internet Explorer en Outlook, zo ook het nieuwe Bugbear virus, meldt eWeek. Dit virus heeft een opmerkelijke mix van eigenschappen, het maakt gebruik van een fout in IE om automatisch een aanhangsel te open in een HTML-email.

Als de computer wordt geïnfecteerd, stuurt het virus zichzelf naar iedereen in de het adresboek met een willekeurig gekozen titel en aanhangselnaam. Dan nestelt het virus zich voortaan in het geheugen en logt het alle toetsaanslagen om paswoorden en andere gevoelige informatie te achterhalen. Om zichzelf te beschermen probeert het verscheidene virusscanners en firewalls onklaar te maken. Ondertussen opent het een TCP-poort om te wachten op instructies van buitenaf. Inmiddels wordt dit virus gekwalificeerd als redelijk gevaarlijk:

Virus - LCD met doodskopA new mass-mailing virus hit the Internet Monday, and unlike many others of its ilk, carries with it a payload that could do quite a bit of damage to vulnerable networks. Called Bugbear, the virus installs a Trojan on infected machines that is capable of logging users' keystrokes, which could include passwords and other sensitive information.

[...] Message Labs Ltd., a managed service provider in Gloucester, England, that tracks virus activity, said it has seen more than 1,200 copies of the virus since it was spotted on Monday. McAfee has rated the virus as a medium risk for both business and home users.

Met dank aan mimezine554 voor de tip.

Volgende 23:05 Asus P4S8X review
Vorige 20:48 Informatie over PDA's van Dell
Advertentie

Reacties

«  1  2  3  4  5  6  »

I Love GroupWise ;)


Ik MOET dat programma ook gebruiken en ik moet echt :r daarvan.

I Love Novell GroupWise!
We hebben het ook draaien, en ik mag (moet) het ook (deels) beheren. En ik kan je zeggen: Het is een heerlijk gevoel om steeds Outlook (express) als 'doelwit' voorbij zien te komen. Dat zó de moeite waard. Wij zijn echt nog nooit door een e-mail virus getroffen! En als het dan al zo was, was het doordat alle MS-clients buiten onze organisatie zoveel mail-verkeer veroorzaakte en wij dus de mail-verbinding er even uittrokken om die zooi te blocken.

[zwaar off-toppic]Wat voor tools zou je willen hebben dan. Je hebt de GroupWise Client (enventueel de MS Outloook plug-in). En je hebt NW-Admin als beheertool met alles wat je als beheerder zou willen hebben. Dit is alles wat je nodig hebt om een mailsysteem te gebruiken en beheren.
[/zwaar off-toppic]

[Nog even meer zwaar off-topic]Waarom zien maar zo weinig mensen het voordeel van GroupWise, of hebben zich er uberhaupt in verdiept voor ze er commentaar over geven. GroupWise en Outlook zijn aan elkaar gewaagd qua functionaliteit en beheer (Novell en Microsoft kijken beide echt wel goed naar hun concurenten).

En het blijft een zwaar voordeel dat je met GroupWise nooit geplaagd zal worden door Outlook-virussen. Tevens zit naar mijn mening de achterkant van GroupWise veel beter in elkaar dan Outlook. En voor mede tweakers die het ook eens willen testen, ja GroupWise 6 kan je ook installeren op een Windows2000 server. Uiteraard wel even de installatie handleiding doorlezen.

En tegenwoordig kan je GroupWise beter beheren vanuit Console1 dan vanuit NWadmin.
[/Nog even meer zwaar off-topic]

Wanneer zal het verplicht worden om een werkende en up-to-date virus scanner te gebruiken als je gaat e-mailen...

offtopic:
cc:Mail roelde !!!
Heb er tot heel lang zeer tevreden mee gewerkt..
Beheren was wat lastig met die fijne dos venstertjes en dan was er nog een '2GB-issue'

Hmm, niet zo mooi, maar er zal toch wel zsm een update van de verschillende virusscanners komen neem ik aan? (heb nog niets gezien bdw, heb NAV)

Ik heb toestraks een NV update gedownload (37k) dat zal hem wel zijn

MCAfee kwam vandaag met DATs versie 4.0.4226... Zal dus ook wel loslopen.

Dat was de 30ste al

The file Bankrekeningen.csh.exe is infected with W32/Bugbear@MM (ED). Detected with Scan Engine 4.1.60 DAT version 4.1.4226.(from ************* user ******** running GroupShield 4.5.572.128 OAS)

geen probleem dus.. :)

Overigens, er is op de McAfee site wel een extra.dat te downloaden, voor als je het virus wilt verwijderen. Deze dien je zelf te downloaden (komt niet mee met auto-update)..

De DAT:
http://a64.g.akamai.net/7/64/2015/2002-09-30-10/download.nai.com/produ cts/mcafee-avert/99728.zip

De self-installer:
http://a64.g.akamai.net/7/64/2015/2002-09-30-10/download.nai.com/produ cts/mcafee-avert/99728.exe

[qoute]Als de computer wordt geïnfecteerd, stuurt het virus zichzelf naar iedereen in de het adresboek met een willekeurig gekozen titel en aanhangselnaam.
[/qoute]

voordeel ik heb geen adressenboek :+

[qoute]
Dan nestelt het virus zich voortaan in het geheugen en logt het alle toetsaanslagen om paswoorden en andere gevoelige informatie te achterhalen. Om zichzelf te beschermen probeert het verscheidene virusscanners en firewalls onklaar te maken. Ondertussen opent het een TCP-poort om te wachten op instructies van buitenaf. Inmiddels wordt dit virus gekwalificeerd als redelijk gevaarlijk:
[/qoute]

Das wel minder.. ziet norton systemworks hem al bij laatste update :?

Dan is het dus gewoon een voordeel als je met een aparte proxyserver ( WinRoute bijvoorbeeld ) draaid. Want als er TCP poorten achter de firewall open staan maakt dat niet echt veel uit :-)

Het blijft me echter verbazen dat er mensen zijn die zoveel tijd en energie in een virus steken. Misschien toch de straffen hiervoor maar es aanscherpen, blijkbaar is het de makers van dergelijk ongein wel waard om een paar maandjes vast te komen zitten. Als het virus flink schade aanricht dan komen ze hem echt wel op zoeken.

Zolang er en brakke software wordt gebruikt en er domme gebruikers blijven zullen dit soort dingen blijven

Idd, maar vooral de gebruikers zijn het grootste risico. Ik gebruik al jaren verschillende versies van ongepatchte Outlooks met alle bekende gaten, maar echt nog nooit een virus gehad, en draai ook al jaren geen virusscanner. Tijdje geleden pas een virus scanner geinstalleerd, maar helemaal niets. Reden is eigenlijk dat ik er één geinstalleerd heb is dat ik nogal eens wat virusgevoelige bestanden(.exe;.pps ed) gemaild krijg van vrienden/kenissen waarvan ik het niet altijd vertrouwd. Vreemde mailtjes oid open ik gewoon niet, gooi ik gelijk weg.
Grootste probleem zijn gewoon de gebruikers, domweg klikken ze maar raak....

Ik krijg ook altijd 'vreemde' bestanden van kennissen e.d.
Ik open ze allemaal, al is het maar om te zien of me virusscanner er iets aan heeft. :9

Inderdaad, de laatste virussen die ik per ongeluk toch geopend heb waren badtrans en yaha.e, nadat ik van allebei de naam ontcijferd had (voor yaha.e een stuk moeilijker) kon ik gewoon een fix~ ophalen en klaar maar weer.
Waarom zou je een virusscanner nemen?
En trouwens, dit hele virus is gebaseerd op oude principes als "het maakt gebruik van een fout in IE om automatisch een aanhangsel te open in een HTML-email.
en zoals in de krant stond is het moeilijk te herkennen omdat het steeds van naam verandert |:( nou DAT is nieuws...

Het blijft me echter verbazen dat er mensen zijn die zoveel tijd en energie in een virus steken. Misschien toch de straffen hiervoor maar es aanscherpen, [....]
moet je die mafketels toch eerst te pakken krijgen he? of Liever: vinden! :)

Het blijft me echter verbazen dat er mensen zijn die zoveel tijd en energie in een virus steken.
Dat is nou juist het probleem, door steeds verder gaande integratie van IE/outlook in het operating system wordt het steeds eenvoudiger om dergelijke "virussen" te "schrijven". Het is gewoon copy-pasten van bepaalde scripting mogelijkheden. Stelt niets voor: <F1> en Google.
Grootste probleem ligt IMHO nog steeds bij MS. Door het standaard uitzetten van bijvoorbeeld scripting / activeX voorkom je een hoop ellende. Er draaien standaard een hoop services die meer risico opleveren dan dat ze functioneel zijn voor een gemiddelde gebruiker (typend-kantoorbaan-volk).

Het blijft me echter verbazen dat er mensen zijn die zoveel tijd en energie in een virus steken
Zoveel tijd en energie? Die script-kiddies zetten binnen een uurtje een knap virus in elkaar: daar hebben ze namelijk "standaard-programma's" voor... :(

Ondertussen opent het een TCP-poort om te wachten op instructies van buitenaf. Inmiddels wordt dit virus gekwalificeerd als redelijk gevaarlijk:
Freesco lust dit soort trojans rauw... }>
Zonder de port vanaf de internet connectie te hebben geforward heeft het niet echt veel zin om een poort op het home LAN open te hebben...

Is al bekend welke poort er gebruikt gaat worden? Kan ik ipfwadm even opdracht geven dit poortje te loggen... :)

Redelijk gevaarlijk?

Dit klinkt mij gevaarlijker in de oren. Als iemand in staat is dit te maken, dan zou een kapot-maak virus voor hem een peuleschilletje zijn. Moge we "blij" zijn dat ie dat niet gedaan heeft
Het opent zichzelf, krijg ik dan niet eens meer de melding wilt u dit openen?

Ik denk dat die bugs in IE en Outlook al verholpen zijn, alleen dat veel mensen nog niets hebben geupdate.

Met de komst van AutoUpdate in SP3 van Win2k (win98 en XP hadden het al) is daar geen goed excuus meer voor... De vulnerabilities waar dit virus gebruik van maakt, zijn al een tijdje bekend en de patches zijn ook gewoon beschikbaar.

Redelijk gevaarlijk is IMHO de integratie van web-browser, adressenboek en operating system. Heel erg makkelijk te verhelpen door bijvoorbeeld Mozilla te gebruiken en niet klakkeloos iedere mail te openen die je binnen krijgt.
Gelukkig heeft XP tegenwoordig wat meer mogelijkheden om ook voor de gemiddelde gebruiker de default browser / mail applicatie wat beter in te stellen. Zit alleen nog te wachten op de patch waarmee Explorer alle webactiviteit kan worden ontzegt. Browser integratie is allemaal erg "handig" voor de normale gebruikers, maar de veligheidsrisico's die het met zich meebrengt (I love you was gewoon een script worm! simpeler KAN bijna niet!) wegen IMHO echt niet op tegen het beoogde gemak.

Ik betwijfel of een dergelijk virus met mozilla niet mogelijk was. Windows XP toont hoeveel ongelezen messages er in je mozilla-mailbox zijn. Daarnaast staat er in de registry ook een link naar het gebruikte adresboek. Dat is op zijn beurt wschl xml, of in elk geval extraheerbaar met een perlprogramma.
En voor mails te verzenden heb je geen mailprogramma nodig, daar zijn in windows zelf functies voorzien.

Misschien dat mozilla op dit ogenblik geen zich automatisch uitvoerende bijlages heeft (wat volgens mij het grootste gevaar is), maar eenmaal er iets op je pc staat, kan je perfect het mozillaadresboek kapen, net zoals het outlook-express adresboek.

aanhangselnaam

Als je attachements-naam bedoelt, schrijf dat dan ook gewoon op :)

Bijlage naam lijkt mij meer nederlands :)

en paswoord????

Ja, 'Paswoord' is lekker Nederlands :)
Toegangswoord?

Ik doe ook ff mee

Toegangswoord == wachtwoord

en

Tweakers == prutsers

tjee hebben we echt niks beters doen dan spellingscontrole (ongeloofelijk dat er trouwens nog geen spellings-controle op tweakers.net getweaked is ......)

-edit dubbelpost-

IE en Outlook blijven de grootste virusverspreiders. Meer dan 90 procent van alle virussen krijg je binnen via IE of Outlook. Jammer genoeg zijn die 2 programma's in elke windows ingebakken. Dus ongeveer 97,5 procent van alle desktops zijn infecteerbaar...
edit:
Ik heb alleen een vaststelling gepost, ik heb nog niet geoordeelt over de programma's.

Ik denk dat je het fout ziet...

IE en Outlook blijven de meest gebruikte programma's. De virusmakers richten zich dus het meest op deze programma's om gaten in de beveliging te vinden, het is niet zo dat IE en Outlook het slechtst beveiligd zijn...

het is niet zo dat IE en Outlook het slechtst beveiligd zijn...
mwoch...

Als je alle updates van windows/office/etc installeert heb je ook NU niets te vrezen!

Het probleem zit niet alleen bij IE/Windows/etc, maar ook bij de gebruiker die niet goed bewust is gemaakt naar de importantie van deze updates.

Probleem zit ook in het niet (willen) erkennen dat normale gebruikers daar helemaal niet bewust van WILLEN zijn. Mensen willen gaan zitten en werken, niet hele dagen bezig zijn met patchen van systemen en security-holes zoeken en dichten. Als bij een standaard installatie een hoop UIT zou staan dat daarna actief AANgezet moet worden bespaar je een hoop mensen al een hoop ellende.

Hoeft ook niet, met auto-update. Alleen loopt iedereen daarover te kankeren omdat ze bang zijn dat His Billness in hun computer gaat rondneuzen, en erachter komt dat ze niet betaald hebben voor hun Windows.

Als je alle updates van windows/office/etc installeert heb je ook NU niets te vrezen!
Moet wel bv dat Windhoos Update wat beter gaan werken. Bijvoorbeeld gister installeer ik een nieuw systeem, ga ik vervolgens updaten zegt ie dat alles al geupdate is.........

Lekker vaag verhaal weer. En om nou alles op de hand te gaan zitten doen.

Je berekening is wel juist, maar dat is natuurlijk ook juist de reden dat de meeste virussen voor IE en Outlook geschreven worden. Dat ligt bv niet aan Microsoft; als de virusschrijvers zouden programmeren voor een ander programma, bv voor de Mac, zou Apple eraan moeten geloven. Je bereikt dan echter maar een klein hoopje mensen, niet echt om een 'kick' van te krijgen.

Wat zou je tegen een dergelijk virus kunnen doen?
Ik maak namelijk uit de tekst op, dat het virus zich bij het bezoeken van een html-pagina installeert via een fout in internet explorer, en vervolgens anti-virussoftware onklaar maakt.

Als dit het geval is mag microsoft wel heel hard aan bug-fixes gaan werken.

- Windows lekken dichten/updates installeren.
- Anti-virus installeren en up-to-date houden.
- Firewall tussen je WS en het Internet.
- Voorzichtig zijn bij openen van attachments.

Dan krijgt een virus/worm het naar mijn idee behoorlijk lastig. Om zichzelf te starten heeft ie toch een lek of user-stupidity nodig. En je anti-virus uitzetten kan ie alleen (proberen) als ie daadwerklijk actief is, niet van te voren.

En ff je adresboek leeg maken en de contactpersonen onder bijvoorbeeld je persoonlijke mappen onder brengen.

Wat ook wel wil werken is om de eerste contactpersoon in je lijst een ongeldig mailadres te geven. Dan krijg je namelijk van b.v. outlook een bricht met een melding ivm het zenden naar een niet bestaand adres. Dan weet je zelf mooi bijtijds dat je geïnfecterd bent. En dan natuurlijk ook met een fictieve naar die altijd bovenaan in de lijst met contactpersonen blijft staan. Denk aan "1" of zo. Door de 1 ervoor komt ie ook boven contactpersonen die met een "a" beginnen.

Het eerste adres ongeldig maken werkt niet (meer) tegenwoordig. Tenminste niet bij bijvoorbeeld Klez en Yaha. Deze virussen hebben namelijk hun eigen smtp server bij zich en gebruiken outlook of outlook express (of andere software) slechts voor het adressenboek.

het random bestand is een .exe van 4, compleet willekeurige, letters. en staat in de windows map.

het maakt gebruik van de exploit in MIME headers, vooral kwetsbaar in IE5

en hij maakt ook de bekende virusscanners onklaar.

wordt geactiveerd door het random bestandje op te automatisch op te starten na de eerst volgende reboot

edit: het enigste wat je er op dit moment tegen kunt doen is zorgen dat je windhoos en IE volledig up2date zijn

de attachment heeft bijna altijd een dubbele extentie. dus bvb: lekkerding.jpg.scr

als je merkt dat je virusscanner het niet meer doet ff moet je ff in je taskmanager kijken hoe het bestandje heet. Dan opstarten in veilige modus, en het bestandje simpelweg verwijderen.

de attachment heeft bijna altijd een dubbele extentie. dus bvb: lekkerding.jpg.scr
Vergeet niet de 200 spaties tussen de 1e en de 2e atachment. B-)

je bedoelt waarschijnlijk extensie :)

Heb jij het soms gemaakt, dat je dit alles zo goed weet :D

Bekende truuk, hoor... Als je Windows zo ingesteld hebt dat extensies verstop worden, dan zie je "pamela_anderson.jpg.exe" als "pamela_anderson.jpg" en dan denk je, 'goh, dat plaatje wil ik wel zien' en open je pandora's doos.

200 spaties voor de extensie is ook een bekende truuk in de hoogtijdagen van ICQ: bij een file transfer zag je alleen de eerste 30 (of zo) karakters van de filenaam, meer pastte niet in het kadertje... Als de file 'pamela_anderson.jpg [100 spaties].exe' dan binnen is, klik je heel makkelijk op 'open file' en ben je wederom de sigaar.

Veel van dit soort grappen zijn dus gebaseerd op naiviteit van de gebruiker. Vroeger was een virus nog geen 1200 bytes zeer compacte code die zich achter een executable hingen... Nu is het een basic-script wat als attachment met een mailtje meegestuurd wordt, en je moet het meestal nog zelf opstarten ook. :'(

Nou ja, gebaseerd op de naïviteit van de gebruiker... Naief ben je als je beter had kunnen weten. En daar ligt het probleem in vele gevallen niet. Veel mensen willen maar wat graag dat hun computer up to date blijft, maar leg jij mensen als mijn moeder maar eens uit hoe dat helemaal in elkaar steekt. Die hebben daar echt geen sjoege van. En wie vertelt die mensen bijvoorbeeld dat ze moeten nakijken of een bestandsnaam geen 100 spaties bevat? Dat staat niet in de handleiding van Windows, en als ze niet toevallig een wizzkid in de familie hebben komen ze zoiets nooit te weten. Mijn ouders kopen geen computerbladen waarin zulke dingen aan de orde komen.

Dus om van naïviteit te spreken (wat "eigen schuld, dikke bult" impliceert) vind ik onterecht. De tijd dat virussen daarop gebouwd werden is al lang voorbij. Tegenwoordig zijn het virussen die inspelen op de onwetendheid van gebruikers, en daar doe je weinig tegen.

Deels is het idd onwetendheid, maar er zit toch ook een hoop naiviteit bij hoor. Krijg je een mailtje dat je moet op passen voor dat I Love You ding, dat je niet zomaar moet klikken en zo. Stuur ik een vbs-je terug met ook zo'n soortgelijke naam die een msgbox toont dat ze nou juist _niet_ zomaar moet klikken, krijg je als antwoord terug van "ja leuk maar wat moet ik er nou mee, ik krijg het toch van een bekende toegestuurd" |:( Bij ongeveer iedere verjaardag leg ik ze uit dat die virussen _juist_ van bekenden afkomen omdat je in hun adresboek staat, en altijd is er wel weer eentje die toch eerst geklikt heeft en toen pas ging nadenken...

En dat is niet onwetend, dat is gewoon dom. Eerst klikken, dan denken.... (en een paar dagen later hangen ze aan de telefoon dat hun inbel verbinding raar doet en dat ie naar een nummer in Amerika wil gaan inbellen.....).

Maar idd ook de "hide bekende bestandstypes", zien ze dus idd plaatje.jpg ipv plaatje.jpg.exe en dan vragen ze zich niet af waarom ze bij al die andere plaatjes die ze krijgen, er wel alleen "plaatje" staat, en bij deze opeens "plaatje.jpg" (en ook helemaal niet kijken naar het icoontje wat windows laat zien...). Tegen dat soort gebruikers kun je niks verzinnen, zelfs als je die onder Linux met een guest account laat werken, weten die het nog wel voor elkaar te krijgen dat een programmaatje zich toch installeerd ("dit zag ik je doen toen jij programma x installeerde, dus ik dacht...."). Het enigste wat werkt is als ze dan een keer besmet raken, dan gaan ze opeens wel nadenken. Naja beter laat dan nooit.

Tis natuurlijk wel triest dat je bijlages in principe niet kunt vertrouwen. Wat is nou de fun om een mailvirusje (worm eigenlijk) te maken die zichzelf naar iedereen doorstuurt. Daar is toch geen eer meer aan te behalen, dat is gewoon vandalisme.

Om zichzelf te beschermen probeert het verscheidene virusscanners en firewalls onklaar te maken
Das makkelijk; dan weet je als ervaren gebruiker meteen dat er iets aan de hand is.

en hoe wou je daar achterkomen dan? hopen dat het icoontje in je system tray verandert of er een popup komt dattie niet meer werkt?

Ik heb het zelf een keertje gehad. Norton AV stond spontaan op disabled(en ging niet meer aan) en van zonealarm was geen icoontje van zichtbaar. Dan weet je dat het wel heel toevallig is als 2 beveiligingsprogramma`s er tegelijkertijd mee stoppen.
Het ging overigens om een virus waar Norton niets mee kon totdat er een nieuwe update van definities uitkwam (dezelfde dag).Ik was blijkbaar een van de eerste slachtoffers.

tenzij hij de firewall disabled door een rules toe te voegen: laat alles toe, of op een of andere subtiele manier. (configuratie weggooien enzo.)

is dit dezelfde bug in IE/OE als waar Klez&Co gebruik van maakt? Dan is het misschien wel aardig om de link naar de bugfix nog even te vermelden. Als het een nieuwe bug is, en MS hier nog geen patch voor heeft uitgebracht, zal die wel snel komen :)
«  1  2  3  4  5  6  »

Op dit item kan niet meer gereageerd worden.

Volgende 23:05 Asus P4S8X review
Vorige 20:48 Informatie over PDA's van Dell
VNU Media logo Hosted by True

© 1998 - 2012 Tweakers.net B.V. - Alle rechten voorbehouden - Contact - Jouw privacy - Algemene Voorwaarden

Uitgever van:

Website van het jaar 2011