Worm stuurt Google-bezoeker door naar valse website

Gebruikers van p2p-software die het spel Knights of the Old Republic II downloaden, zijn mogelijk niet een kopie van het door hen gewenste stuk software aan het binnenhalen, maar een worm met de naam P2Load.A. Deze worm is afgelopen woensdag opgedoken en heeft zich sindsdien verspreid binnen met name Canada en de Verenigde Staten van Amerika. Wanneer het digitale stuk ongedierte geactiveerd wordt, wordt het hostsbestand aangepast zodat alle pogingen om google.com te bereiken, omgeleid worden naar een Duitse site. Deze pagina lijkt sterk op Googles pagina's en geeft dezelfde zoekresultaten weer. Googles aangeboden gesponsorde koppelingen zijn echter vervangen door andere advertenties.

Een andere feature van de worm is dat deze de startpagina in zowel Internet Explorer als in Firefox aanpast. De bijgewerkte versie van het hostsbestand wordt door P2Load.A gedownload vanaf internet, waardoor de mogelijkheid bestaat dat ook andere sites omgeleid zullen worden naar een vergelijkbare site en de schade dus verder kan toenemen. Volgens Luis Corrons, directeur bij PandaSoftware, is het motief van de persoon of personen achter de gespoofte versie van Google puur financieel. De makers van de Duitse site kunnen de 'nieuwe' advertentieruimte namelijk verkopen aan klanten. Daarnaast kunnen ze er zelf advertenties neerzetten om internetters naar sites te lokken en geld te verdienen via banners.

Reacties (50)

[Spacecowboy]

Wat ik wel grappig (nou ja, grappig) vind is dat deze worm nu ook Firefox meepakt...

de startpagina in zowel Internet Explorer als in Firefox aanpast.

Zoals te verwachten zal firefox nu toch ook steeds meer het doelwit worden van dit soort onzin. Ik ben benieuwd hoe hierop gereageerd gaat worden...

[Verwijderd]

Als je de hosts fille aanpast, dan doe je dit op het niveau van het besturingssysteem. Het werkt dus ook met Netscape, Opera en weet ik niet wat nog meer.

[BertS]

Staat bij jou de startpagina dan in je hostsfile?

[Whollabilla]

Maar de startpagina is veranderen (naar neppesite.com gaan ipv naar goedesite.com), is heel wat anders dan de hosts-file aanpassen, waardoor je wel naar goedesite.com gaat, maar naar de IP van neppesite.com wordt "doorgestuurd".

De eerste moet je per browser instellen, de tweede over het hele systeem...

[Nick_S]

Is het dan zo moeilijk om je software zo te schrijven, dat alleen door gebruikers interactie je startpagina kan veranderen?

Bij mij is het in ieder geval niet gewenst dat software aan mijn persoonlijke instellingen komt, zonder dat ik daar om gevraagd heb.

[Verwijderd]

Alles wat je aan instellingen verandert, wordt ergens opgeslagen. En dat kan dus (in 99% van alle gevallen) vrij makkelijk worden aangepast.

Maar antwoord op je vraag: Ja, dat is erg moeilijk. Software kijkt naar de data zoals die in z'n mandje ligt. Het kijkt niet naar de manier waarop de data er gekomen is. Om dat te weten, moet je zoiets opslaan (zie je de recursie al?)

[BartOtten]

Tja, dat is niet zo raar...Als je een virus al op je systeem hebt dan kan die bij al je bestanden komen (in Windows). Dus ook bij je setting-files...Heeft niets met lekken in IE of Firefox te maken. (maybe was je punt puur intresse, dan heb je gelijk)

[serhat]

Wat meer info erover..
Staat bij hoe je makkelijk kunt detecteren dat je geïnfecteerd bent en welke bestanden hij aanmakt en ook nog wat hij voor leuks in je register doet.. door dit te weten zou je hem ook makkelijk kunnen verwijderen.
PS: Vergeet niet je hostfile weer terug te zetten.. een standaard hostfile bevat alleen het volgende

127.0.0.1 localhost

[iambig]

Het lijkt me dat deze mensen makkelijk te vinden zijn...
Je bent behoorlijk stom als je deze activiteiten onderneemt.
En al helemaal als je dit vanuit bv. Duitsland doet.
Op een ver weg klein eilandje zou je er mischien mee weg kunnen komen.

[Mathijs]

Leuke is dat als dit www.googie.de betreft, deze site vanuit Amsterdam gehost wordt.
Dit is met de verschillende ****nova.com's ook het geval.
Wij schijnen hier dus zelf een ver weg klein eilandje te zijn voor dit soort bedrijven.

[praseodymium]

Die site gebruikt Google AdSense for Search. Ik kan me voorstellen dat ze dan nooit hun geld zullen krijgen maar op zich is die site niet illegaal.

[dwizzy]

niet illegaal, als je een computer dingen laat doen waarvan de gebruiker zich niet bewust is (computervredebreuk) en je website zich voordoet als een ander? (misleiding, inbreuk merkenrecht)?

[SWINX]

Best smerig ja.... een hoofdlettertje i gebruiken...
googIe vs google ... zoek de verschillen

[burne]

googie.de staat ergens in New York.

[TheBorg]

Daar heb je Bullet-Proof hosting voor. Word vaak aangeboden in landen als China, Korea en omstreken. Voor een grof bedrag per maand garanderen ze dat je bak online blijft, wat je er ook mee doet.

Vaak word er ook gewerkt met 'disposable' domeinen die via een omweg anoniem worden geregistreerd.

[Madcat]

Op zich nog wel knap dat ze het dataverkeer allemaal aankunnen.
Ik zou er niet aan moeten denken als er opeens duizende requests per seconden op mijn server zouden komen!

edit:
Okey laten we het dan op 10 per seconden houden

[Rhapsody]

Niet iedereen is besmet met die worm hoor alleen die personen die dat spel gedownload hebben dus denk dat het aantal requests per seconde wel meevalt.

[InjecTioN]

haha.. zou toch eens wat moeten zijn... als iedereen met die worm besmet zou zijn... en dat dan naar mijn servertje.. een Pentium3 500MHz... hij zou helemaal ziek worden, en vervolgens crashen..

[Sir Guinhill]

Nee, B.I.G. heeft gelijk downloaden is slecht voor je.

[Verwijderd]

B.I.G. zou hier z'n maatschappelijke functie kunnen vervullen door z'n forum te heropenen. (Toen dit nog openstond, stonden er in no-time allerlei links op om illegale software te downloaden! Van een site downloaden met ondersteuning van een forum is veiliger dan p2p)

[Spacecowboy]

Downloaden is niet slecht voor je, in sommige gevallen is het illegaal. En bij illegale activiteiten neem je nu eenmaal meer risico (voor lief)...

[Theo]

P2P dowloads zijn over het algemeen niet helemaal legaal, dus dan is zo'n wormpie je eigen schuld, moet je maar niet illegaal downen.

[Verwijderd]

worms downloaden is helemaal niet illigaal

maar deze worm heeft ook nut, dat mensen gaan inzien dat spellen downloaden ook nadelen met zich meebrengt.
dit is langerna niet het enige spel dat infected is.

[Verwijderd]

[advocaat van de duivel mode]
juridisch gezien is het downloaden van een worm wel degelijk illegaal... feitelijk gezien is een worm niets anders dan een stukje software en daarmee dus beschermd door de auteurswet
[/advocaat van de duivel mode]

tenzij de auteur zijn toestemming heeft gegeven natuurlijk

[Database freak]

MS Antispy ware geeft dacht ik als het op de achtergrond draaid aan als de hostfile veranderd wordt.

[Verwijderd]

Als ze het een beetje slim hebben aangepakt zullen ze er wel voor hebben gezorgd dat zij "niks met het virus te maken hebben". Maar het idee is wel slim

//edit volgens mij is dit ook vrij makkelijk te verhelpen als ik het goed heb

Volgens mij past het programma dit bestand aan:

Start > uitvoeren:
notepad c:\windows\system32\drivers\etc\hosts

[EJP]

Ik denk dat het virus de hostfile niet 1 keer aanpast en het daarbij laat. Elke keer als jij de hostfile aanpast past hij hem direct weer aan. Je zult dus echt het virus moeten verwijderen.

[Verwijderd]

gewoon read only maken

[Room42]

Nou, het virus zou wel oer dom zijn om dat attribuut niet uit te kunnen zetten...

Wellicht helpt het om de write rechten op het bestand te deny-en. Dan moet je wel het schone bestand hebben, natuurlijk

[Verwijderd]

illigaal downloaden mag niet,,

o ja heeft iemand nog goede torrents..ow w8 ff even me limewire en kazaa en imesh uitzette...lol

[peterveldman]

Tuurlijk mag illegaal downloaden niet, anders was het niet illegaal. maar het gaat er om wat illegaal downloaden is.
en software downloaden is idd illegaal, muziek en video niet.

[SuperDre]

Tja, moet je maar geen illegale software downloaden..

[Verwijderd]

hallo meneer moraal