Hackers verspreiden scareware via massale aanval

Reacties

« 1 2 3 4 »

Door _-SaVaGe-_, vrijdag 1 april 2011 14:59

ik heb hier op me werk momenteel ook zo'n pc staan die geïnfecteerd is met het zelfde. Echt rot om het te verwijderen. maar als je dit iedere dag doet weet je niet beter

ik snap sowiezo al niet wat de mensen die dit maken er nou zo leuk aan vinden. Ik hack alleen als het nodig is...

[Reactie gewijzigd door _-SaVaGe-_ op vrijdag 1 april 2011 15:00]

Door gekkejopie, vrijdag 1 april 2011 15:00

Nog tips over hoe dit te verwijderen? Altijd makkelijk om te weten

Op het moment voldoet een nieuw profiel maar ik kan me voorstellen dat er een makkelijkere oplossing is.

[Reactie gewijzigd door gekkejopie op vrijdag 1 april 2011 15:01]

Door loewie1984, vrijdag 1 april 2011 15:04

Een system state backup vooraf d.m.v. ghost of iets? Werkt gewoon het beste. Ik houd persoonlijk altijd een naar smaakje over na het verwijderen van een dergelijke applicatie. Een schoon en vers geïnstalleerd systeem gaat wat dat betreft boven alles. Dan weet je zeker dat weg ook echt weg is.

Door Elmo_nl, vrijdag 1 april 2011 15:06

En net zo makkelijk weer te infecteren is als hij daarvoor was, met uitzondering van eventuele patches en/of anti-virus updates die je na een restore terugzet.

*edit: Pijnlijk bericht. Zeker omdat de SUN website binnenkort (nu al?) naar Oracle gaat verwijzen en de automagische update functie van Java mogelijk niet gaat werken tenzij Oracle alles netjes redirect.

[Reactie gewijzigd door Elmo_nl op vrijdag 1 april 2011 15:07]

Door Gerardus, vrijdag 1 april 2011 15:18

Daar hebben we gewoon windows recovery console voor.
Of verwijder de app gewoon en gooi je registery waarden van deze installatie even weg.

En zorg er in je firewall dat dit soort code wordt geblocked :B

Chrome heeft hier overigens geen last van, als je het maar fatsoenlijk instelt. De code wordt bij mij in ieder geval niet uitgevoerd.

Andere pc hiero was schijnbaar geinfecteerd, maar een simpele software uninstall heeft hier goed geholpen. Geen processen die draaien, en de meeste registery keys zijn verdwenen.

Door Robtimus, vrijdag 1 april 2011 15:24

Wat heeft dit met Java te maken? Javascript != Java; Javascript zit ingebakken in de browsers, Java is een externe tool die dmv een plugin in de browser zit.

Door Wolfos, vrijdag 1 april 2011 17:59

Tja, uit dat oogpunt hadden ze het inderdaad beter ECMAscript kunnen laten. Er zijn veel mensen die het verwarren.

Laatst nog iemand die in dezelfde post Flash met zowel Java als Shockwave verwarde, allemaal browser plugins natuurlijk maar toch...

OT: Ik denk dat SuperAntiSpyware hem er zo uit plukt, dat is degene die bij mij altijd werkt.

Door johnkeates, vrijdag 1 april 2011 20:13

SuperAntiSpyware klinkt als scareware....

Door stheide, vrijdag 1 april 2011 21:01

vind ik ook maar het schijnt dus een echt pakket te zijn wat volgens verhalen ook nog vrij goed zijn werk doet (maar ik vertrouw de naam ook niet hoor)

Door Xtrafris, vrijdag 1 april 2011 21:13

haha, hij is nog lang niet zo erg als Malware Bytes Anti Malware (ook wel MBAM) maar ook dat is een legitieme tool, en een hele goeie.

Door ronald89, zaterdag 2 april 2011 10:50

Is het alleen niet. Gratis tool dat z'n werk erg goed doet.

Door Rass, zaterdag 2 april 2011 20:02

pfff, nog 1 keer zeuren over die naam ......

edit, is een reactie op johnkeates

[Reactie gewijzigd door Rass op zaterdag 2 april 2011 20:03]

Door crushr, vrijdag 1 april 2011 22:56

Super Antispyware, MBAM en Combofix.... wat ik daar allemaal wel niet mee heb opgelost.
Super goeie programma's die -zeer- waarschijnlijk ook deze scareware zonder problemen van je PC verwijderd

Door Da-WiZZy0n, vrijdag 1 april 2011 15:28

Wat heeft Oracle Java met dit nieuwsbericht te maken?

Door computerjunky, vrijdag 1 april 2011 17:37

ghost /love jammer alleen dat het voor vista en win7 niet lijkt te werken

Door High-Voltage2, vrijdag 1 april 2011 18:37

Windows 7 heeft zn eigen image functionaliteit. Kan je misschien in de plaats gebruiken? Just my two cents...

Door johnkeates, vrijdag 1 april 2011 20:13

Door Kees de Jong, zaterdag 2 april 2011 03:26

Macrium Reflect werkt prima onder win 7 en Vista

Door Pieterll, vrijdag 1 april 2011 15:06

Probeer in de veilige modus met hijackthis, het programma te verwijderen. Kijk goed in Hijackthis waar het programma zichzelf heeft opgeslagen, ga in veilige modus naar die locatie en verwijder het.

Je kunt ook kijken of via start-->uitvoeren-->msconfig het programma er tussen staat.

[Reactie gewijzigd door Pieterll op vrijdag 1 april 2011 15:07]

Door _-SaVaGe-_, vrijdag 1 april 2011 15:06

Start op in veilige modus

Installeer Mbam

Zorg dat er na de installatie een vinkje is geplaatst bij:
Update MalwareBytes' Anti-Malware
Start MalwareBytes' Anti-Malware
Klik daarna op "Voltooien".
Indien een update gevonden wordt, zal die gedownload en geïnstalleerd worden.

Start Malwarebytes anti-malware, en ga naar het tabblad "Instellingen".
Vink hier aan: "Sluit Internet Explorer tijdens verwijdering van malware".
Ga daarna naar het tabblad "Scanner", kies hier voor "Volledige Scan".
Druk vervolgens op "Scannen" om de scan te starten.
Het scannen kan een tijdje duren, dus wees geduldig.
Wanneer de scan voltooid is, klik op OK, daarna "Bekijk Resultaten" om de resultaten te zien.
Zorg ervoor dat daar alles aangevinkt is, daarna klik op: "Verwijder geselecteerde".
Na het verwijderen zal een log openen en zal er gevraagd worden om de computer opnieuw op te starten.
Het log wordt automatisch bewaard door MalwareBytes' Anti-Malware en kan je terugvinden door op de "Logs" tab te klikken in het programma.

**Hosts bestand herstellen**

1. Start Malwarebytes en klik op tabblad Meer functies tab
Klik hier op Fileassasin starten
Daarna zal een nieuw venster openen
Kopieer en plak het volgende in het veld bij bestandsnaam :

C:\WINDOWS\system32\drivers\etc\hosts

Klik daarna op openen en kies voor JA om het Hosts bestand te verwijderen.

Unzip Host expert

Unzip het programma naar je Bureaublad.
Open de map en dubbelklik op Hoster.exe
Klik op "Restore Microsofts Original Hosts File"
Klik op "OK" en sluit het programma.

Hopen dat het duidelijk is zo. iedereen heeft er zijn eigen manier voor natuurlijk

ik had de beschrijving nog ergens opgeslagen staan, het duurde even voordat ik het had gevonden maar hier is het dan.

[Reactie gewijzigd door _-SaVaGe-_ op vrijdag 1 april 2011 15:11]

Door gekkejopie, vrijdag 1 april 2011 15:13

Wow dat is een hele waslijst. Thanks voor je info.

Wat ik hier heb gemerkt is dat een profiel reset vaak al voldoende is om het programma weg te krijgen. Als extra toevoeging zou je dan je hostfile inderdaad kunnen resetten maar dat kun je toch net zo makkelijk met de hand in notepad?

Door _-SaVaGe-_, vrijdag 1 april 2011 15:14

Dat kan idd ook maar het is makkelijker voor de meesten die er niet zo veel vanaf weten om gewoon een kant en klaar programma te gebruiken lijkt mij

[Reactie gewijzigd door _-SaVaGe-_ op vrijdag 1 april 2011 15:15]

Door gekkejopie, vrijdag 1 april 2011 15:44

True, thanks!

Door Guru Evi, zondag 3 april 2011 01:22

Een hele waslijst, dat wel maar eenmaal er een virus op je systeem zit kun je beter de boel weggooien en opnieuw beginnen. Dat gaat het makkelijkst als je Windows draait in een virtual machine.

Door Sieking, vrijdag 1 april 2011 15:26

Ik heb 'm ook al 2x deze week onder handen gehad maar je moet eerst een tooltje draaien om 'm te disablen, deze specifieke is namelijk ook in veilige modus actief...

Ik zal even terugzoeken welk tooltje ik gebruikt had, zit nu bij een klant.

Door _-SaVaGe-_, vrijdag 1 april 2011 15:31

Ik gebruik hier altijd Rkill voor las dit niet lukt. klopt inderdaad wat je zegt da komt wel eens voor

Door Sieking, vrijdag 1 april 2011 16:50

Dat was 'm idd rkill...

dus eerst rkil , dan mbam en voila pc is weer schoon

Door mischaatje2, vrijdag 1 april 2011 16:53

Ik gebruik hiervoor Ubuntu Live CD.

Dan kan je %user%/Local Settings/Temp/ leegmaken zonder dat er geklaagd wordt. En ieder ander bestand waarvan je weet dat het rotzooi is.

Door Rigs, vrijdag 1 april 2011 15:32

Handige tips ! juist jammer dat sommige pc's dan niet kunnen worden overgenomen wanneer ze in veilig modus staan via het netwerk via vnc, omdat de service van vnc niet mee zal starten.

Door tha_crazy, vrijdag 1 april 2011 15:31

wat ik bij het vorige vergelijkbare virus deed, opstarten in veilige modus en gewoon de files verwijderen.
daarna nog even een scan eroverheen voor de regfiles en klaar.
Ben er veel tegengekomen.

Daarnaast, dit kan mij weer geld opleveren door naieve gebruikers ^O^

Door AmonTobin, vrijdag 1 april 2011 17:01

Ja inderdaad, zo doe ik het meestal ook. Ik kijk meestal eerst wat er draait in de taskmanager en sorteer op geheugenverbruik om te zien wat het kwalijke process mogelijk kan zijn. Dan start ik opnieuw op in veilige modus, of soms werkt het ook door gewoon met een andere user in te loggen en dan kun je de malicious bestanden verwijderen omdat deze in dat geval niet door een bepaald process geinitieerd zijn.

In de meeste gevallen zijn het processen die draaien met een naam wat normaalgesproken een legit systeemprocess is (bijv: svchost), maar staan dan niet in de C:\windows\system32\ map, maar op een andere plek (meestal e.o.a. temp map). Wat ook vaak voorkomt zij bestandjes in de profielmap van de gebruiker, bijv: c:\documents and settings\gebruiker\local settings\temp of c:\users\gebruiker\appdata\local\temp.

Ik loop ook nog even de opstartroutine na in msconfig en de proxyinstellingen in Internet Explorer. Dan vervolgens nog even Malwarebytes en CCleaner eroverheen en dan is het meestal wel netjes opgeruimd/.

[Reactie gewijzigd door AmonTobin op vrijdag 1 april 2011 17:02]

Door To_Tall, vrijdag 1 april 2011 15:32

Door roxxxfanatic, vrijdag 1 april 2011 15:33

Opnieuw beginnen

Meestal krijg je dit soort dingen tijdens je zoektocht naar dubieuze meuk, maar kennelijk hebben ze het nu ook in legitieme sites weten te injecteren

wat ik altijd doe, ik installeer al mn meuk die ik wil. dan doe ik een sysprep, en maak een capture van mn systeem, dat is net zoiets als een system backup...

Windows installeren is tegenwoordig een kleine moeite, en je profiel verwijderen, werkt nooit volledig, als dit soort dingen enkel in je userprofile zouden zitten zou je waarschijnlijk geen UAC melding krijgen. Als je je UAC uit hebt staan "omdat het irritant is", nu weet je waar het voor is...

Dit soort dingen krijg je er nooit helemaal uit, want het zit overal, hosts-file, in je profile, in je scheduled tasks, in je register in je systemhive, tussen je services, startup, firstrun, runonce,runservice, internet explorer, startpagina's, favorieten en noem maar op... vroegah, ik weet niet of dat nog zo is, stonden ze zelfs in je system-restore en in RECYCLED... Het is een gekkenhuis.

Voor mij betekend het meestal "Back to the drawingboard", savegames opslaan, WIM-file opnieuw uitrollen. Binnen een uur ben ik weer schoon, snel en online ;-)

tip trouwens, M$ zn eigen mall-, spy- en virussolution vind ik trouwens best goed werken... MSE! ik ben ook wel een beetje een ms-fanboy

Door ultra500, vrijdag 1 april 2011 18:48

Maar UAC zit echt op te veel dingen te vragen, en volgens mij kan je niet echt kiezen welke programma''s altijd toegestaan zijn. (Of het kan zijn dat ik me niet echt verdiept heb)

Door erikdeperik, vrijdag 1 april 2011 20:10

ik heb een virus gehad in mijn mbr.(is hier blijkbaar niet het geval)
dan help een image/system restore ook niet(dacht dat ik gek werd

)
pas na de parties verwijderen en opnieuw aan maken was het opgelost.

[Reactie gewijzigd door erikdeperik op vrijdag 1 april 2011 20:11]

Door jan-willem3, vrijdag 1 april 2011 15:51

Ik kan je vertellen uit ervaring dat malware bytes anti malware vaak snelst is met updates en instaat is dit soort programma's compleet verwijderen. Gewoon virus scanners herkennen en verwijderen vaak een klein deel maar dan word meestal na een reboot alles weer terug geplaatst.

Door felixkillercat, vrijdag 1 april 2011 17:04

Internet uitzetten, ga naar Windows startmenu > typ in : MSCONFIG > druk enter > ga naar het tabblad : Startup/opstarten > zoek naar verdachte namen of naar programma's waarvan de maker/manufacturer onbekend is en vink deze af

> Kijk waar het betreffende programma zich bevind > druk op toepassen > doe een Reboot ( zonder internet verbinding ) > Ga naar de betreffende locatie en verwijder het bestand >

Download dan Hijack This, installeer dit en voer dan een System scan only uit.
Ga vervolgens opzoek naar dingen waarvan je de naam niet kent, of waarvan het bestand ontbreekt of waar de maker van onbekend is, vink deze meuk aan en klik dan op Fix Selected.

OF vul het aan met bovengenoemde stappen!!!

Dit vergt ook enige kennis van computers, en een gezonde dosis rationaliteit is ook welkom.

[Reactie gewijzigd door felixkillercat op vrijdag 1 april 2011 17:36]

Door -ION-, vrijdag 1 april 2011 18:06

Op deze site staan meerdere guides voor het verwijderen van specifieke nep-virusscanners: http://www.myantispyware.com/

Door vmsw, vrijdag 1 april 2011 19:52

Super makkelijk te verwijderen: het bestandje dat te vinden is de %appdata%\Microsoft verwijderen. Het heeft de naam [%random%].exe, dus is niet echt te vinden op een bepaalde naam.

Let op: %appdata% is dus roaming in Vista & Windows 7.

Heeft voor mij vooralsnog op alle infecties gewerkt, Windows XP, Vista en 7.
In het geval van XP en Vista kon ik geen taakbeheer of explorer meer krijgen, dus heb ik Knoppix (live Linux distributie) gebruikt om het bestand te verwijderen. Ook dan is het in één keer opgelost.

Door Flyerken, maandag 4 april 2011 08:11

Taakbeheer kan je gemakkelijk krijgen door je taskmgr.exe te kopieren en een andere naam te geven.

Door thomasmoors, vrijdag 1 april 2011 15:03

@SVGPC: Die makers proberen van de slachtoffers geld af te troggelen voor een licentie (van software die niet werkt) of installeert meteen een trojan mee of allerlei wachtwoorden te verzamelen of het slachtoffer zijn of haar pc toe te voegen aan een botnet

Door gekkejopie, vrijdag 1 april 2011 15:04

Ik ben er al een paar tegengekomen die daadwerkelijk hun gegevens (creditcard en al) ingevoerd hebben... Altijd handig.

Door worldcitizen, vrijdag 1 april 2011 15:20

Ik ben er al een paar tegengekomen die daadwerkelijk hun gegevens (creditcard en al) ingevoerd hebben... Altijd handig.

Waarschijnlijk dezelfde mensen die smsjes sturen bij de x-factor, idols etc?

U ontvangt maximaal 2 smsjes van te veel geld.

Door supersnathan94, vrijdag 1 april 2011 15:30

tsja een tijdje geleden had je dat ook met het programma windows antivirus XP o.i.d. mijn vader dacht dat het wel zou werken als hij het kocht. dus heeft hij de credit card van z'n werk er ff bij gepakt. later kwamen ze erachter dat er een paar duizend euro teveel van was afgeschreven en dat dit programma dus niet deugde. en zie het er dan maar eens af te krijgen

[Reactie gewijzigd door supersnathan94 op vrijdag 1 april 2011 15:30]

Door _-SaVaGe-_, vrijdag 1 april 2011 15:07

Ja dat snap ik... ik zou het iig. nooit doen, ookal kan ik het (waarschijnlijk

) wel...

[Reactie gewijzigd door _-SaVaGe-_ op vrijdag 1 april 2011 15:10]

Door worldcitizen, vrijdag 1 april 2011 15:16

ik snap sowiezo al niet wat de mensen die dit maken er nou zo leuk aan vinden. Ik hack alleen als het nodig is...

Geld, daar draait het om in het criminele circuit.

Vervolgens wil de software gebruikers ertoe verleiden om namaaksoftware aan te schaffen.

Door Pliskin, vrijdag 1 april 2011 15:51

Gebruikers geen beheerrechten geven.

Door jacob.korf, vrijdag 1 april 2011 14:59

Scary.... in beide gevallen.

[Reactie gewijzigd door jacob.korf op vrijdag 1 april 2011 15:00]

Door mischaja, vrijdag 1 april 2011 15:00

Kan gebeuren! :-)

Door J.J.J. Bokma, zaterdag 2 april 2011 00:14

Yup, SQL injecties voorkomen, daar moet je natuurlijk wel jaren voor gestudeerd hebben, zucht.

Door FragNeck, vrijdag 1 april 2011 15:00

Ah, dus hier was het hen om te doen bij die SQL hack die onlangs in het nieuws was.
8.000 Nederlandse sites, dat zijn er nogal wat.

Vervelend als ik nadenk hoeveel mensen me weer gaan bellen als ze deze troep op hun desktop aangeboden krijgen

Door Decipher666, vrijdag 1 april 2011 15:01

Ik voel je pijn want ik hou mijn hart nu al vast

Maar enige tips over het verwijderen van deze software zou prettig zijn ?

Door Fuentes, vrijdag 1 april 2011 15:03

Door kingofthievesNL, vrijdag 1 april 2011 15:02

Doet me denken aan dat XP Antivirus verhaal, wat uiteindelijk ook scareware bleek te zijn die je met geen mogelijkheid verwijdert kreeg. De mensen die dit soort "programma's" schrijven en vervolgens sites infecteren worden met de dag professioneler helaas.

Door spoonman, vrijdag 1 april 2011 15:02

Een massale aanval ... met sql-injectie?

Door hAl, vrijdag 1 april 2011 15:14

The attack appears to be indiscriminate in its targets, with compromised machines running ASP, ASP.NET, ColdFusion, JSP, and PHP, and no doubt others. SQL injection attacks, which exploit badly-written Web applications to directly perform actions against databases, are largely independent of the technology used to develop the applications themselves: the programming errors that allow SQL injection can be made in virtually any language. The underlying cause is a programmer trusting input that comes from a Web page—either a value from a form, or a parameter in a URL—and passing this input directly into the database. If the input is malformed in a particular way, the result is that the database will run code of the attacker's choosing.

In this case, the injected SQL is simply updating text fields within the database, to make them include an extra fragment of HTML. This HTML in turn loads a JavaScript from a remote server, typically "http://lizamoon.com/ur.php" or more recently, "http://alisa-carter.com/ur.php."

http://arstechnica.com/se...ounds694k-urls-so-far.ars

Door millman, vrijdag 1 april 2011 15:02

Klinkt als een foute 1 april grap? 8000 sites is wel heel erg veel. Ben t nog niet tegen gekomen trouwens.

Door Proxx, vrijdag 1 april 2011 15:10

8000 is niks als je bedenkt hoeveel webpaginas er zijn =]

Door supersnathan94, vrijdag 1 april 2011 15:35

nee maar wel als je je bedenkt dat er heel veel bekende bedrijven bij betrokken zijn zoals apple en simyo. deze sites worden per dag best vaak gebruikt en het zou met niets verbazen als ze google ook gaan proberen.

Door Admiral Freebee, vrijdag 1 april 2011 15:03

Scareware is weer goed aan het opkomen heb ik het idee. Ik heb onlangs ook een aantal computers onder handen gekregen die last hadden hiervan. Nog opvallender was dat ik tijdens het zoeken naar een oplossing een hoop websites tegenkwam die een methode presenteerden voor het verwijderen van de malware, maar eigenlijk je gewoon wilden overtuigen om een bepaalde "malware remover" te downloaden die op zijn beurt weer malware was. Gek genoeg waren deze websites bijna allemaal op de eerste pagina's van de Google zoekopdracht te vinden.

Door ingmaronline, vrijdag 1 april 2011 15:06

Dan scheelt het dat we tegenwoordig de zoekresultaten kunnen ranken.. Toch?

Door Oogje, vrijdag 1 april 2011 15:04

Microsoft SQL Server 2003 hacken is een unicum

Door Connor, vrijdag 1 april 2011 15:05

Opstarten in veilige modus met netwerkmogelijkheden.

Malwarebytes anti-malware downloaden.

http://www.malwarebytes.org/

Installeren en volledige scan uitvoeren en opnieuw starten.

Dan ben je er als het goed is vanaf.

Door _-SaVaGe-_, vrijdag 1 april 2011 15:17

Zie mijn uitleg een aantal posts hiervoor

Door Connor, vrijdag 1 april 2011 15:25

Mijn uitleg stond er een minuut eerder en is een stuk kort

Door lost95, vrijdag 1 april 2011 15:49

Het enige vervelende is dat dit een vrij nasty virus is, dat ook in veilige modus actief is. Gister nog bij iemand hetzelfde programma (alleen heette het toen Windows Process Regulator) weggehaald. Altijd fijn als je dan alleen een besmette laptop tot je beschikking hebt en het virus ook je internetverkeer blokkeert. Uit eindelijk via internet op mijn mobieltje een taskmanager kunnne downloaden om het process te killen en dan Malware te installeren.

http://www.removespywares...ws-process-regulator.html

Door Connor, vrijdag 1 april 2011 16:24

Dan moet je hem ff rkillen vanaf een usb-stick

http://www.technibble.com/rkill-repair-tool-of-the-week/

« 1 2 3 4 »

Op dit item kan niet meer gereageerd worden.

15:44	Bedrijven en websites doen hun best op 1-aprilgrappen
13:46	Sony Ericsson brengt PlayStation-telefoon uit

Nieuws I/O

Shortcuts

Categorieën

Lees meer over

Gerelateerde content

Gerelateerde jobs

Reacties

09:51 Nieuws

08:50 Productreviews

10:07 Vraag & Aanbod

25-05 Jobs

09:49 Etc.

10:17 Reacties

10:16 Forum

25-05 Gesponsorde acties

01:46 Tweakblogs

26-05 Computable headlines

25-05 CRN headlines