Nieuwe varianten van Bagle en Netsky opgedoken

Afgelopen vrijdag is er een nieuwe virusgolf op gang gekomen waarvan vandaag de gevolgen duidelijk zijn geworden, zo meldt Informationweek. De nieuwe virussen zijn varianten van de inmiddels bekende Bagle- en Netsky-virussen en de nieuwe namen zijn dan ook niet erg verwonderlijk: Bagle.c, Bagle.d., Bagle.e, Bagle.f., Bagle.g en Bagle.h en Netsky.d en Netsky.e. Volgens Vincent Gulloto, vice-president van McAfee's AVERT-team, is dit de eerste keer dat van een virus zoveel verschillende varianten zijn verschenen. Het bedrijf heeft nu al meer emergency alerts de deur uitgedaan dan in heel 2003 en Gulloto verwacht niet dat hier op korte termijn verandering in zal gaan komen.

Alle acht nieuwe wormen worden als bijlage van e-mailberichten verspreid. Na opening van de bijlage nestelt de worm zich in de computer, installeert een backdoor en verstuurt zich vervolgens naar alle gevonden e-mailadressen. Interessant aan Bagle en Netsky is dat het ene virus het andere uit de weg probeert te ruimen. Dit heeft ervoor gezorgd dat de discussie is opgelaaid of de verschillende Bagle-varianten niet van dezelfde maker zijn. Ondertussen gaat de strijd tussen de virusmakers om openstaande computers echter door, maar ook de producenten van antivirussoftware zitten niet stil en blijven updates uitbrengen.

Reacties (69)

[LawnMowerMan]

Ze worden allemaal via email verspreid en nog steeds zijn er meer dan genoeg mensen die die meeltjes ook daadwerkelijk openen...

Hoe is dat toch mogelijk? Het moet toch haast zo zijn dat zo'n beetje iedereen zo langzamerhand wel weet dat je mailtjes met attachments als .exe .com .pif enz _niet_ moet openen? Of ligt dat aan mij

[The_DoubleU]

Het probleem is dat de "verzender vaak een bekende" is.
Deze virri zoeken in de bestanden op je pc naar e-mail addressen. Deze addressen worden dan gebruikt om het vius naar een address1 te versturen met als afzender address2. En vaak kennen die mensen elkaar via jou.

Hee, dat meeltje is van HDH, die stuurt altijd van die goede attachments, laat ik deze dan ook maar openen. Ik weet zeker dat HDH geen virus verstuurd want hij is een tweaker.

[mjtdevries]

En het valt ze niet op dat die bekende nu plotseling een ontzettend vaag mailtje in gebrekkig engels stuurt?

[tvdleur]

Ook dat, maar als het nog zo duidelijk is met een tekstje als: "is this your password?" dan kunnen de meeste mensen hun nieuwsgierigheid niet onderdrukken... dubbelklik en, verdomd er gebeurd niets maar ondertussen is er weer een geinfecteerde pc bij.

En uiteraard daarna gaan klagen bij de ICT afdeling dat hun pc zo traag is en dat ze kutsystemen hebben. En als je ze vraagt over vage mails met een .exe bestand dan hebben ze die nog nooit gezien en al helemaal niet geopend.

gebruikers, het zijn net kinderen

[dotnetpower]

En daarom zorg je er als systeem beheerder voor, dat alle mail eerst naar 1 server gaat gescanned wordt, en vervolgens pas wordt doorgestuurd

[LiGHtNiNG!]

Ja, jammer alleen dat die virussen al binnen zijn voordat de antivirus software leveranciers hun herkenningspatronen hebben aangepast

[jhead22]

De bijlage hoeft vaak niet geopent te worden door de user om besmet te raken. Dit gebeurd automatisch door outlook wanneer je de mail alleen al leest.

Het wordt tijd dat outlook daarom eens wordt aangepakt en niet langer deze bestanden opent.

Verder zou er standaard in windoos een gratiz virusscanner moeten zitten die zich automatisch update. Dit zou super veel problemen schelen, aangezien veel gebruikers dermate weinig er van af weten, om zelf een virusscanner te installeren etc.

[BoGhi]

Alleen als je je voorbeeldweergave aan hebt staan, anders echt niet. (uitzetten dus..)

[Jack Flushell]

Dit is ook niet waar!
Alleen HTML dingen worden geopend en volgens mij redelijk veilig. Extensies als exe, com, doc, rtf, xls en scr en dergelijke moet je openenen door een actie van jezelf.

Ik denk dat deze virussen zich vrijwel uitsluitend verspreiden door handelingen van gebruikers zelf... ook nadat ze een mail reeds binnen hebben gehaald.

Correct me if i'm wrong

[update na reacties]Ik wil mijn opmerkingen hierboven nogmaals onderstrepen, je moet de attachments zelf openen.

[Ruuddie]

www.mailwasher.net de volgende keer maar installeren dan he.
Kan de de berichten verwijderen voor je ze uberhaupt ophaalt. (je verwijdert ze dus direct van de server)
K gebruik t nu een jaar of zo, en in die tijd geen enkel virus meer gehad (ook spam kan je zo wegklikken, scheelt weer het ophalen van de berichten)

[Little Penguin]

@jhead22:

Dit moet toch een reden zijn om Outlook aan de wilgen te hangen???

Ik bedoel: Als een auto steeds weigert en de garage ziet het altijd te laat dan ga je toch ook op zoek naar een andere auto? (In dit geval:auto=outlook; garage=anti-virus sw/microsoft-patch)

* 786562 Little

[BoGhi]

@Jack: Je hebt wel eens van de MIME-exploit gehoord, neem ik aan? Virussen die die exploit uitbuiten kunnen WEL degelijk geactiveerd worden zonder dat je de bijlage opent.. Geldt idd niet voor NetSky-familie, maar deze subdraad ging ook over emailvirussen iha. (".. de bijlage hoeft vaak.."). Vandaar.

[jhead22]

Pc van mijn vader werd laatst besmet door netsky, doordat norton het virus nog niet kende. (pas een uur later kwam norton met een update)

We kregen een mailtje binnen en we hebben de bijlage echt niet geopent. Zodra we het mailtje aanklikte om hem te verwijderen heeft het virus zich genesteld. Voorbeeldweergaven staat idd gewoon aan. Outlook opend de bestanden dus wel degelijk wanneer je alleen de mail bekijkt.

[mjtdevries]

S@jhead22

Sorry, maar wat je schrijf is gewoon niet waar.
Netsky wordt alleen geactiveerd als iemand zelf dubbelklikt op het attachment. Dat wordt NIET door outlook gedaan. Ook niet met voorbeeldweergave aan.

Er zijn in het verleden wel virussen geweest die bij de preview of openenen van het mailbericht zelf al actief werden, maar daar hoort netsky niet bij.
Je vader of iemand anders in de family heeft echt zelf dat attachment geopend. (En wil het nu blijkbaar niet toegeven)

[Taennyn]

@BoGhi: Ik neem ook aan dat je gehoord hebt waar het probleem in die MIME exploit zit en dat dit dus inmiddels dus gepatched is?

[BoGhi]

@Taennyn: de MIME exploit zit in een onderdeel van IE dat weet ik. Dat onderdeel wordt standaard gebruikt wordt voor de weergave van emails in HTML formaat door Outlook. Zijn we toch weer bij die emails, in Outlook.

En weten we allemaal dat het beschikbaar zijn van een patch (helaas) absoluut geen garantie is dat ook maar een meerderheid van de gebruikers die ook heeft toegepast op hun systeem..

[Dreamvoid]

De bijlage hoeft vaak niet geopent te worden door de user om besmet te raken. Dit gebeurd automatisch door outlook wanneer je de mail alleen al leest.

jhead22, dat is gewoon niet waar.

[apophis4u]

Die virusscanner zat toch ingebakken in de SP2 van windows xp?

En daarnaast vraag ik me af of ze standaard een virusscanner mogen meeleveren, omdat het weleens misbruik van de monopoliepositie kan zijn om andere virusscanners uit de markt te drukken.

Dus daar krijgt microsoft ook wel weer flink gelazer mee.

[gmafs]

klopt niet wat je zegt, er komt een virusscanner-detector in sp2. Deze kijkt of er een "third-party" scanner is geinstalleerd..

Bron:
http://www.tweakers.net/nieuws/31292/?highlight=sp2

dus, het zal dit keer wel meevallen met het gelazer om hun monopoliepositie

[Jit]

In de meeste versies van Windows wordt die extensie niet standaard getoond, dus daarop door mensen laten filteren lukt al niet zo makkelijk.
En wat ik verder zie is dat virussen veelal dubbele extensies gebruiken. .doc.pif of .zip.exe en dan denken mensen dat het weer wel veilig is, want ze zien alleen de .doc of de .zip

* 786562 Jit

[Jack Flushell]

In de meeste versies van Windows wordt die extensie niet standaard getoond

De meest irritante feauture van windows inderdaad... Zet ik als eerste uit...
Zorgt voor veel problemen volgens mij.

[BoGhi]

.. deze NetSky verspreidt zich ondermeer als .pif, die extensie zie ik sowieso niet in de Verkenner, ook al zet ik 'weergeven bekende extensies' aan..

[Billcruz007]

euh, je krijgt de email binnen en dus open je de bijlage met outlook of een andere email programma en die weergeven altijd de bijlages mét de extenties, ook al heb je dat in explorer uit staan hoor.

[boekel]

Vergeet ook niet dat er een hoop mensen zijn die op hun werk express dit soort meeltjes openen.....nee ik niet nee...

[Jack Flushell]

Dit soort mensen mogen van mij onmiddellijk de zak krijgen. basta.

[Verwijderd]

Het zal mij benieuwen wanneer deze golf van virussen er voor gaan zorgen dat er bij bedrijven mensen wakker gaan worden, en hun medewerkers een cursus 'hoe ga ik om met email' gaan geven, of van (f)Outlook (Express) afstappen.

Ik kan me niet voorstellen dat de ICT afdeling keer op keer kan verantwoorden naar het management toe waarom de emailserver weer plat moet (updates) of plat is gegaan (virus attack) of waarom het halve bedrijf niet meer kan emailen (virus) of waarom externe klanten zo vaak bellen dat ze allemaal mail van je bedrijf krijgen (virus) ...

[Verwijderd]

Als je kijkt naar hoeveel mensen alsnog, na alle honderden waarschuwingen die je overal leest van "open geen bijlage" alsnog bijlagen openen, ontstaat er bij mij het gevoel dat deze mensen als computer onwaardig bestempeld kunnen worden.

Je zou zelfs kunnen stellen dat het onverantwoord is om mensen die geen degelijke standaard kennis hebben van computers achter een pc te laten zitten. Als je wist hoeveel schade er aangericht wordt door het enorme verkeer wat gegenereerd wordt door die virussen en de bijbehorende onzorgvuldige pc-gebruikers...

De onwetendheid van de massa is groot probleem.

edit:
typo

[Olaf van der Spek]

Je zou zelfs kunnen stellen dat het onverantwoord is om mensen die geen degelijke standaard kennis hebben van computers achter een pc te laten zitten.

Operating Systems zijn nog niet volwassen genoeg. Dat XP standaard users admin maakt is natuurlijk een grote fout van MS, maar 'nieuwe' software zou eigenlijk gewoon in een sandbox moeten draaien zonder de mogelijkheid file- of network-IO te doen.

[mjtdevries]

De onwetendheid van de massa is groot probleem

Tja...
als je hier op tweakers.net ziet dat de tweakers al totaal geen idee hebben hoe deze virussen werken, (bv al die reacties van mensen die denken dat het virus door outlook al geactiveerd wordt ipv door het openen van het attachment) wat mag je dan nog van een gewone gebruiker verwachten?

[Verwijderd]

e onwetendheid van de massa is groot probleem.

En je krijgt er nog ruzie van ook...
ik kreeg een x een of ander virus met als afzender een vriendin van een vriendin, en vervolgens nog 1, van een vriend van die vriendin > die vriendin had waarschijnlijk dat virus.

Dus ik tegen haar gezegd dat ze dat virus een beetje rond zat te mailen en dat ze die d'r af moet kankeren: werd ze helemaal boos omdat ik haar beschuldigde van het versturen van virussen.. HOE DOM KAN JE ZIJN?? Ben daarna 'fijn' een avondje bezig geweest met uitleggen hoe die virussen werken.

[RM-rf]

HOE DOM KAN JE ZIJN??

misschien is het goed om zelf ook voorzichtig te zijn om op basis van het afzenderadres iemand te gaan mededelen dat zij een virus hebben:

zowel Netsky als Bagle bevatten een eigen SMTP-engine en spoofen/faken afzender mailadressen, de kans is dus groot dat niet zozeer die vriendin en vriend een virus hebben, maar een gemeenschappelijke kennis.

Die vriendin heeft wel een zeker risico, maar het is mogelijk dat zij nog niet besmet is, en je haar onterecht angst maakt, en zeker als je al te beschuldigend naar haar reageert je dit idd onterecht hebt gedaan
(alhoewel als zij geen virusscanner heeft, is dat iets dat natuurlijk wel sterk aan te raden is, als de beste manier om die angst te voorkomen)

[mjtdevries]

Nee, die zijn niet betrouwbaar.

[ignitem]

Het afzender e-mail adres wordt inderdaad gespoofd, maar volgens mij zijn de "Received: from" headers bij deze laatste virussen wel betrouwbaar.

[Verwijderd]

De onwetendheid van de massa is groot probleem.

Nou het is niet alleen outlook of andere mailprogramma's zijn het probleem, ik denk dat MSN of andere chat clients ook een grote bron zijn.

En Windows zelf is ook geen lieverdje met al zijn automatische opties.
Leg maar eens uit aan de normale gebruiker dat wscript.exe al die script virussen kan uitvoeren en dit programma staat in je windows system of system32 map.

Daarnaast is Kazaa ook een virus en hackerhol, dus maak mensen er ook maar eens van bewust dat dit ook een groot probleem is.
Iemand die een mp3tje downt die toch net even een andere extensie heeft, heeft misschien niet in de gaten dat dit een virus kan zijn.
En dan komen de problemen van hoe krijg ik het eraf? .....

Ik sta in een winkel en je moest eens weten hoeveel anit virus of internet security dat ik al verkocht heb en het aantal fixtools op floppy zetten om een virus te verwijderen.
Soms zelfs systemen her-installeren en goed beveiligen.

[Beaves]

Het zal mij benieuwen wanneer deze golf van virussen er voor gaan zorgen dat er bij bedrijven mensen wakker gaan worden, en hun medewerkers een cursus 'hoe ga ik om met email' gaan geven, of van (f)Outlook (Express) afstappen.

Waar ik werk zijn alle medewerkers doordrongen van het feit dat ze geen mails met rare headers of van rare afzenders mogen openen. Ze bellen keurig op als ze de boel niet vertrouwen, ook al zijn alle mails door de virusscanner op de server er al uitgehaald. Ik denk dus niet dat het zo slecht gesteld is bij de bedrijven als jij stelt.

Ik kan me niet voorstellen dat de ICT afdeling keer op keer kan verantwoorden naar het management toe waarom de emailserver weer plat moet (updates) of plat is gegaan (virus attack) of waarom het halve bedrijf niet meer kan emailen (virus) of waarom externe klanten zo vaak bellen dat ze allemaal mail van je bedrijf krijgen (virus) ...

Je stelt het allemaal wel erg zwart voor, op mijn werk gebruiken we Exchange + Outlook en we hebben nooit last van een server die het allemaal niet meer aankan of van bedrijven die klagen. Behalven dan door bedrijven die alleen de titel lezen en niet de moeite nemen om de header te controleren en dus niet zien dat wij niets zenden. We gebruiken McAfee en dat is gewoon een erg goede corporate virusscanner die alle virussen er keurig uithaalt. We hebben (ook niet met de hevige uitbraken) geen last gehad van niet kunnen mailende gebruikers o.i.d.

[Olaf van der Spek]

of van (f)Outlook (Express) afstappen.

Dacht je dat het virus niet zou werken als je het met Mozilla Mail opent ofzo?

[blouweKip]

wel als je het handmatig uitvoert ja, maar dat is toch al weer een stap meer dan in outlook nodig is

[mjtdevries]

Dat is gewoon niet waar.

Bij Netsky en Bagle moet je het attachment openen. Er is dus geen sprake van dat dat bij mozilla mail minder snel zou gebeuren dan bij outlook.

[Verwijderd]

Ik hoop dat ze nog even doorgaan met deze verwerpelijk akties. Ik bedoel. Het is even doorbijten en updates blijven halen. Maar als iedereen zo ziek wordt dat zelfs het bedrijfsleven en de overheid er niet onderuit kunnen om hier echt wat aan te gaan doen dan zijn we goed op weg.

Want wat hier aangetoond wordt is hoe relatief makkelijk het is om het internet gruwlijk te verzieken omdat er mensen zijn die er wellicht geld aan verdienen. En aan de andere kant mensen zijn die te beroerd zijn om er geld in te steken om de boel goed voor elkaar te houden.

Als er niet een OS voor gebruikers meer dan 90% van de markt zo'n beetje had dan zou die veel sneller kunnen hebben gebeuren. Niet dat MS hier schuld aan heeft. Maar dankzij hun programma's kunnen dit soort virussen wel makkelijk en snel verspreiden.

[Verwijderd]

pfft, je zou er bijna moe van worden. wat moeten we hier nou weer mee? (ja updaten).

ach, gelukkig zijn het 'maar' mailvirussen

[Tonnes]

Effe kwartetten? Mag ik dan van jou in de serie Netsky, Netsky.e?

[KatirZan]

Nee, die heb ik niet.

Mag ik van jou van de Bagle serie, Bagle.c?

[memphis]

Nee, Netsky verspreid zich ook via open shares binnen een netwerk, het is gemaakt om zich zoveel mogelijk te verspreiden.....

[pstalman]

ik denk ook dat we blij moeten zijn, dat afgelopen week het zuiden van nederland, en nu het noorden van nederland vakantie hebben.

[d_marf]

Ik denk als alle ISP`s hun mail zouden scannen dat het aardig wat problemen zal schelen...

Of denk ik te simpel? Zijn er bepaalde drempels (behalve financieel) waarom niet iedere ISP op virussen scant?

Wie o wie weet het antwoord?

[Verwijderd]

Het scannen van de inhoud van emails en attachments mag niet in verband met de privacy wet, tenzij de klant hier specifiek toestemming voor geeft.

edit: de financiele problemen zijn niet zo heel groot, natuurlijk zijn er flinke kosten aan verbonden, maar dit is niets vergeleken met de schade die dit soort virussen aanrichten.

[mjtdevries]

Waar staat dat dan in de privacy wet?
Geautomatiseerd scannen op virussen is geen enkel probleem.

De privacy wet kan wel een probleem worden als je bezig gaat met content scanning, wat je bv kan gebruiken tegen spam. Maar daar gaat het hier niet over.

[ATS]

Wat veel zou kunnen schelen zou denk ik het scannen van de uitgaande mail zijn. Dat kan een provider eenvoudig doen door alle uitgaande poort 25 verkeer (SMTP) ofwel op te vangen en via een cache te scannen, of gewoon te blokkeren (zullen tweakers niet leuk vinden, maar de gemiddelde thuisgebruiker merkt er niets van) en de eigen SMTP server te laten scannen. Dat zou ook mechanismes als eigen SMTP servers in viri kunnen blokkeren.

[FireFly]

In principe is het ook niet de taak van de provider om dit tegen te gaan. Dit kan trouwens ook een nadeel hebben : provider maakt reclame met "Wij houden je mailbox virusvrij", klant neemt abo bij die provider en installeerd zelf geen virusscaner (yup, dit is de mentaliteit van klanten "ja meneer, de provider scant toch alles ?").

[lvh]

Dit is nu niet specifiek voor Bagle, maar los van mailviri (deze worden bij mij dus nooit geopend vanwege Eudora op m'n ma's PC, en Kmail die al op een OS draait dat helemaal veilig is voor dit soort meuk ) zijn er enkele waar je weinig kan tegen doen.

Zo ken ik iemand die net genoeg kennis had om een vers geinstalleerde WinXP erop te krijgen. Internetverbinding, rechtstreeks met de modem, er meteen in, plan was daarna eerst een firewall erop te zetten, updates downloaden...
Het installeren is zelfs niet gelukt. Tijdens de install krijgt hij al de bekende RPC shutdown --> forced windows shutdown. Blaster dus

Als je dan even gaat nadenken, er zijn dus mensen die mss al een zestal maand die error hebben en er niks aan doen. En als ze restarten, blijft de error. En als ze reinstallen, blijft de error.
En wat zegt de computerboer? Nieuwe computer, mevrouw! Neem ineens een router, mevrouw! Dan gaat het internet zoveel sneller!

En het probleem is verdwenen.

[Verwijderd]

Als er niet een OS voor gebruikers meer dan 90% van de markt zo'n beetje had dan zou die veel sneller kunnen hebben gebeuren. Niet dat MS hier schuld aan heeft. Maar dankzij hun programma's kunnen dit soort virussen wel makkelijk en snel verspreiden.

Ik denk dat het veel meer licht aan Intel en AMD, als die geen processors zouden maken, zouden er geen pc's zijn, en zouden er ook geen virussen zijn.
Of zullen we de fout leggen bij de plastic fabrikanten, want als die er niet zouden zijn, zouden er ook geen toetsenborden zijn, en konden mensen ook geen virussen schrijven.

Beetje kromme redenatie van jezelf, vind je zelf ook niet?

[Verwijderd]

Laat me raden, jij gebruikt IE en Outlook
Ik denk dat je niet snel een Mozilla gebruiker vindt die zulke bijlages opent, het zijn altijd de windowskindjes.
In linux (of andere niet-windows) werkt die shit sowieso niet.

[Verwijderd]

Grappig dat je 95% van de internettende mensheid gelijk als "windowskidjes" bestempeld.
Windows is gewoon zo veilig als zijn gebruikers, en aangezien virus schrijvers een zo groot mogelijke impact willen hebben, zullen ze hun virus niet schrijven voor de enkeling die een ander email pakketje gebruikt.

In het absurde geval dat mozilla de standaard zou worden, dan kan je beter weer Outlook gaan gebruiken, omdat dan alle virussen voor mozilla geschreven zouden worden.

[rainmaker2k]

Leve XS4ALL met gratis virusmailfilter.

[a.prinsen]

Nu maar hopen dat ze het geupdate houden
Daarom doe ik dat soort dingen liever zelf dan weet ik zeker dat het gebeurd (en als ik het niet gedaan heb dan weet ik dat het achterwege gelaten is). "blind" vertrouwen op een derde is zeer twijfelachtig.. zeker voor een tweaker imho..

[gmafs]

hiep, hiep , hoi, mmmm, nee toch niet..... keb bij xs4all nu toch al 16 keer een netsky-virus im mijn mailbox gekregen.

(gelukkig, niet geinfecteerd, pleur rare mailtje altijd weg )

[Verwijderd]

Ik ga denk ik maar weer over stappen op reguliere post, duurt wat langer, maar heb er geen virusscanner voor nodig

Maar om eerlijk te zijn heb ik gisteren pas voor het eerst in mijn 10 jaar lange kennismaken met het internet (en compuserve in den beginnen, toen ik nog niet wist wat het was) voor het eerst een virus binnengekregen via email. Heb het gevierd met een koud biertje om vervolgens triomfantelijk op delete te drukken.

Ik snap niet wat het probleem van dergelijke virii zijn. Alle moderne virus scanners vangen binnen enkele uren ook de nieuwste mailvirii op. Misschien handig voor Microsoft om een soort van Virii alert in te bouwen; Zo'n lief blokje rechtsonderin je scherm net als MSN Messenger doet, alleen dan rood en opvallend met de waarschuwing dat er een nieuw mailvirus is gesignaleerd (klik hier om uw virusscanner te updaten). Misschien hebben ze iets dergelijks wel al geimplementeerd in SP2, iemand hiervan op de hoogte?

Wie gaat dat verzorgen is alleen de vraag.

[Verwijderd]

<quote>"Ik ga denk ik maar weer over stappen op reguliere post, duurt wat langer, maar heb er geen virusscanner voor nodig "</quote>

Dan moet je toch ook nog op virussen letten. (b.v. het ANTRAX virus.)

[Verwijderd]

Maakt dit virus een melodie als het actief is?
Een collega had op een attachment geklikt en na een tijdje begon zijn pc een irritant geluid te maken via de pc speaker.