Malafide DC++-versie op internet verschenen

Viruslist meldt dat op verschillende websites een met een trojan geïnfecteerde versie van DC++, een P2P-programma, verschenen is. Volgens Roel Schouwenberg, virusexpert bij Kaspersky Labs, is alleen versie 0.668 besmet met drie verschillende trojans: TrojanDownloader.Win32.Istbar.er, Trojan.Win32.Krepper.ag en Trojan.Win32.Agent.ba. Opvallend aan de besmette versie van DC++ is dat deze kleiner is dan de originele versie, 2.385.151 bytes voor de besmette versie en 2.452.326 bytes voor het origineel. De mensen van Viruslist adviseren iedereen die onlangs een versie van DC++ heeft gedownload om de MD5-hashes te controleren. De MD5-hash voor de valide versie hoort als het goed is '9041a4c53a30bb45fcd6a81669241045' te zijn. Omdat deze versie van het programma op verschillende betrouwbaar geachte websites, waaronder Download.com, te vinden is, zou de impact wel eens groter kunnen zijn dan de situatie rond Ilse Media. Daar werd een trojan vier uur lang verspreid via de advertentieserver.

Update: Roel Schouwenberg meldt dat C|Net ondertussen door Kaspersky Lab op de hoogte gesteld is van het besmette bestand. Downloadtests wijzen echter uit dat de versie die op dit moment gedownload wordt van de server van Download.com nog steeds het besmette bestand bevatten.

Reacties (36)

Het verbaast mij eerlijk gezegd wel dat een grote speler als www.download.com niet let op de files die gesubmit worden! Blijkbaar kan iedereen zelf een leuke versie gaan uitbrengen met leuke spam functies

Mag toch wel hopen dat zij ook een beetje de verantwoordelijkheid voelen om hun downloads op een zekere wijze te controleren, om dit soort geintjes te voorkomen.

Idd je zou toch minstens verwachten dat alle ingezonden bestanden op virussen worden gescand

Ach, zelfs al zouden ze dat doen dan zouden er nog zulke dingen kunnen gebeuren... Ze schrijven gewoon een nieuwe worm/virus dat nog niet herkend is...

Ik denk niet dat je er veel aan kan veranderen... Internet is een constant gevaar.

Download.com host de files niet zelf, maar linkt naar de servers van de aanbieders van de bestanden zelf.

D'r is niet veel te controleren dus (of ze moeten elke submit zelf gaan downloaden, installeren en scannen - lijkt me best veel werk).

Hoe kan ik de md5-Hash bekijken dan ?

http://www.fastsum.com/download.php

Er zijn verschillende tooltjes in omloop om de MD5-checksum van een bestand te berekenen nadat je het gedownload hebt.

Fastsum, maar ook http://www.fourmilab.ch/md5/ en http://www.pc-tools.net/win32/md5sums/

Vergeet deze niet: http://www.md5summer.org/

Met een programmatje als dit:
http://digestit.kennethballard.com/download.html

En een trojan oplopen via een p2p client lijkt me wel iets typisch.. Alleen werkt deze veel sneller, de p2p client gebruiken alleen al is nu al genoeg om zulke rommel op je schijf te hebben...
Is dit nu een vooruitgang of niet?

edit:
Wat ben ik traag vandaag...

Dit soort spul gebeurd jammergenoeg wel vaker, soms met veel bekendheid zoals dit, maar er is bijvoorbeeld ook een emule++ versie in omloop, een veranderde emuleplus client. Of deze werkelijk schadelijk is, of dat 'ie alleen de GPL schendt, dat weet nog niemand want daar is nog geen onderzoek naar verricht.

Die veranderde emule plus client is een no-upload hacked versie. Een leechmod dus.

Nee, een versie voor de Nederlander die niet mag uploaden

Hoe doen ze dit?

Ik heb ook versie 0.668 maar die van mij is maar 1.06 MB (1,114,112 bytes) met MD5 8DE8C9ED464187AC7FF8B8723572BA24

het gaat om de installer, niet je geïnstalleerde .exe

Als het hier dan toch gaat om virussen in DC++, kan ik meteen de mensen aanraden om weg te blijven van de volgend programma's:

"DC Elite" http://greatsoftsdevelopment.biz/
"DC Lite" http://justsoftwaresop.biz/
"DC++ Ultra Speed" http://innovativeboosterdev.biz/
"DC++ FasterDownloads" http://superacceleratorsoftware.biz/

Da's de MD5 van de (goede) exe file. De MD5 die hierboven genoemd was, is van de installer.

Ik vind dit niet vreemd. Download.com biedt ook keygens aan, en hebben destijds ook problemen gehad met Valve vanwege het aanbieden van een Half-Life keygen op Download.com. Met een gigantische stroom van bestanden elke dag, wordt het volgens mij steeds moeilijker om te controleren. Ik zou zelf niet weten hoe je dat zou moeten oplossen buiten een virusscanner op de server EN client.

Pff... twijfelachtige programma's gewoon draaien in een VMWare omgeving :-) Weinig problemen met al die toestanden dan...

Lijkt me toch heel triest als Download.com de bestanden de ze levert niet scant op virus en trojans... elk zichzelf respecterend portal doet dat toch... Maar het zullen wel nieuwe virussen zijn, of gemuteerde, tja, dan wordt het moeilijker..

kan de gene die het gemaakt heeft in iedergeval wel direct connecten met je pc

beetje jammer afgelopen 2 weken voor 3 verschiilende mensen gedowned en geinstalleerd omdat het minder troep installeerd dan kazaa, denk dat ik nu zeinig geloofwaardig over ga komen, maar moet er wel ff langs. grr

Download je hem dan niet van SF?

ik haal de mijne rechtstreeks van sourceforge , en ik denk dat dat wel als veilig te beschouwen valt

Ik heb die versie even getest en de MD5-hash komt gelukkig overeen met die van de valide versie. Maar gek genoeg is de installer 2.33 MB

Raad eens hoeveel 2.452.326 bytes is?

Stiekem is dat 2,33872 MiB

Oeps!

Niet goed gelezen (bits)

Tsja 1 mb = 1024kb, 1 kb is 1024 b

2.33 x 1024 = 2385,92
2385,92 x 1024 = 2443182,08 bytes

Een beetje van jezelf en een beetje van de calculat0r

hoe moet je het nou controleren?
Ik heb het bestand niet meer, maar dc++ wel geinstalleerd.

Even goed scannen met een antivirusprogramma should do the trick

Hmm.. beetje wrange smaak krijg ik hiervan. Is dit een stukje machtsvertoon van de grote platen en filmbazen? Of een sickscriptkiddie?

wat is het verschil tussen die 2