Nieuw zichzelf updatend virus

Op ZDNet staat een stuk over een nieuw soort virus. Het virus is in staat zichzelf d.m.v. versleutelde plug-ins aan te passen en via nieuwsgroepen met zijn "broeders" te communiceren. Het is gewoon een 32bit Windows app. die als bijlage bij e-mail wordt verstuurd. Daarna gaat het als volgt:

Zodra de gebruiker de bijlage opent, infecteert Hybrid de Windows-netwerksoftware, die bekend staat onder de naam Winsock32.dll. Ondertussen plaatst de worm een kopie van zichzelf in de systeemmap van Windows. Het virus zoekt, nadat hij is geactiveerd, naar e-mailberichten die hij naar zichzelf kan sturen.

Het meest geavanceerde wapenfeit van deze worm is de ondersteuning voor ongeveer 32 plug-ins, die hij kan downloaden van het internet. Met de plug-ins is de worm in staat elk van zijn eigenschappen te veranderen. Zo kan hij de tekst van te sturen e-mails veranderen en locaties wijzigen waar hij nieuwe update's kan downloaden. "Degene die het virus schrijft, kan door middel van de componenten zijn creatie op elk moment veranderen", zo zegt Kaspersky.

Kaspersky Lab heeft al vijf plug-ins geïdentificeerd waarmee ZIP- en RAR-files kunnen worden geïnfecteerd. Bovendien kan het virus berichten versturen met versleutelde plug-ins naar de virusonderzoek nieuwsgroep alt.comp.virus. Vorig weekend werd deze nieuwsgroep overstroomd met meer dan 3000 berichten die de worm naar deze nieuwsgroep had gestuurd. Met deze berichten kan het virus computers opsporen en infecteren die al zijn aangetast door de bekende SubSeven achterdeur. Ook kan hij kopieën van zichzelf aanpassen, zodat ze niet zijn op te sporen.

Zowel Network Associates (van de McAfee virusscanners) als Kaspersky Lab (van de AVP virusscanners) bieden bescherming tegen de worm in hun nieuwste anti-virusdefinities.

Reacties (48)

[basb]

Hmm met een goede firewall komt ie toch echt niet aan downloaden toe Heb hier zonealarm, die gaat toch echt meteen zeuren als een onbekend programma op internet wil, dit geld ook voor gewijzigde programma's. Als je bijv. icq update naar een iets nieuwe versie moet je alle permissies overnieuw geven, omdat herkent wordt dat het een ander programma is.

Alleen voor het automatisch emaillen ben je mischien niet veilig maar een goede virus scanner zou het wijzigen van systeem bestanden moeten blokkeren.

[Kahlan]

da's wellicht waar, maar winsock.dll? Dat heeft hij vast niet door...

Maar idd een goede virusscanner zou een gewijzigde winsock.dll op moeten vallen. Trouwens, w2k zet de volgende reboot toch gewoon stiekem zijn oude terug?

[@r!k]

Als een virus voor win9x is geschreven doet hij het bijna altijd niet eens op NT of in dit geval 2000, dus maak je daar maar geen zorgen over.

[Anoniem: 8192]

tenzij je die ouwe ook gaat modificeren natuurlijk

[Marger]

Het virus zoekt, nadat hij is geactiveerd, naar e-mailberichten die hij naar zichzelf kan sturen.

Beetje een zielig Remy-virus dan he

[Jaymz]

www.kaspersky.com/news.asp?tnews=1&nview=1&id=134&page=0

Hier staat een stukje van kaspersky lab, aangezien ik via links niets kon vinden.

[0siris]

Hybris is grieks voor (menselijke) overmoed. Het was bij mensen in de oudheid HET stopwoordje om de toorn van de goden over je af te roepen. Hybris wordt in alle verhalen dan ook steevast gevolgd door wraak van de goden. Laten we hopen dat dat ook nu gaat gebeuren

[Anoniem: 3747]

Heel vaak zijn dit soort meldingen een hoax. Dit ziet er echter allemaal erg realistisch uit.
Overigens, voor informatie over mail-hoaxes:
hoaxbusters.ciac.org/
Erg leuk wat daar allemaal te lezen valt!

[raptorix]

Kaspersky is een autoriteit op gebied van virus scanners, het is uiteraard niet erg waarschijnlijk dat zij zelf hoaxes in de wereld gaan brengen, en als je goed leest dan zie je dat die newsgroep ook al overspoelt is, dit is een IRL feit, dus het is niet waarschijnlijk dat dit een Hoax is.

[Anoniem: 3740]

zo zo begint het spul te leven, over 5 jaar is zijn zulke virussen zo geavanceerd dat ze zichzelf verbeteren. Hopsa...."There is no spoon"

[456]

Ik moet het allemaal nog zien. Mag ik eens vragen hier: Wie heeft er nu wel eens zon 4us daadwerkelijk door eigen toedoen op een computer gehad? Ik heb vaak via email (als mijn email server het 4us al niet gedetecteerd had) wel een attachement binnen gehad dat ik niet vertrouwde. Maar dan is er maar 1 knop voor: Delete!.
Terwijl er in mijn omgeving (non tweakers) diverse computers weer crashen nav bv. het I Love You 4us.

Dus wie van ons heeft wel eens een erg virus gehad?

[Dice]

Helaas heb ik de puinhoop van een wormvirus mogen opruimen nadat het I love You virus toegeslagen had.

Mensen openen bijna _alles_ wat ze toegezonden krijgen ... en als er geen extensie aangehangen is die ze kennen, bellen ze vriendjes/helpdesk/alles-wetende-buurmannen nog wel om te weten met welk proggie ze het onbekende mailtje kunnen openen.

[Anoniem: 11774]

De enige virussen die ik gehad heb had ik zelf per ongeluk op mijn computer gezet. Ik heb ook wel eens p.o. Munga Bunga's harddrive killer pro geinstalleerd: hij deed het niet :)/

[Anoniem: 11887]

Ik heb iin het 3.11 tijdperk al een keer last gehad van Gold-Bug (in die tijd nog redelijk dodelijk enige oplossing: Low Level Format) Maar dat was dan ook alles

[Scorpion]

Zodra de gebruiker de bijlage opent, infecteert Hybrid de Windows-netwerksoftware

Het is Hybris...

Tis maar even dat je het weet...

[avatar]

euh, *shiver

hier op het werk zijn we net van norman antivirus, overgegaan op
AVP. En sinds die update vinden we virussen in wsock32.dll

toch is ff na gaan kijken hoe dat hiero zit

[TumbleCow]

nouja, van de 1e kant natuurlijk een mooi id voor een virus..

maar van de andere kant, elke "update" die hij op inet brengt is een potetiele bron van ontdekking, en geeft een nieuw spoor richting de auteur aan.

wat dat betreft denk ik dat het toch niet zo'n heel handig 4us is.