December slechte maand voor ongediertestrijd Microsoft

Alhoewel de meeste mensen reikhalzend uitkijken naar de komst van des kerstmans arrenslee, zullen sommige Windows-gebruikers dit jaar minder goede ervaringen opdoen met het rendierenroedel uit de Noordpool. Onder de naam Dasher, gelijknamig aan één van de rendieren van de kerstman, heeft namelijk een virus het internet betreden dat naarstig op zoek is naar computers met het besturingssysteem van Microsoft. Dasher maakt daarbij gebruik van een weeffout in Microsofts Distributed Transaction Coordinator (MDTC). In oktober is er al een patch uitgekomen voor dit lek, maar bij sommige Windows 2000-gebruikers is deze update door een fout in de software niet goed geïnstalleerd. Ook Windows-installaties waarop de update MS05-051 niet geïnstalleerd is, zijn vatbaar voor het virus.

Dasher is in staat om toetsaanslagen te registreren en te verzenden. Daarnaast kan het geïnfecteerde systemen overnemen en laten werken in een zombienetwerk. Het virus zoekt verder naar open poorten om zich te verspreiden en probeert eventuele antivirussoftware uit te schakelen voor het zichzelf installeert. Dasher heeft in drie varianten de kop opgedoken: A, B en C. Terwijl variant A vrij ongevaarlijk is vanwege zijn instabiliteit, vormen B en C volwassen en gevaarlijke versies van het virus. Tot nu toe zijn er rond de drieduizend infecties genoteerd, waarbij opgemerkt moet worden dat de infectiesnelheid alweer afneemt.

Ironisch genoeg wordt een softwarepakket dat geen bedreiging voor Windows-gebruikers vormt, juist wel tegengehouden door Microsoft. Radmin, ofwel Remote Administrator, wordt door de detectielijst van Microsoft Antispyware-software namelijk onjuist herkend als malafide software. Famatech, de maker van Radmin, heeft inmiddels aangekondigd contact op te nemen met Microsoft. Eerder ondervond Radmin ook al problemen met onterechte detectie door Symantec AntiVirus en McAfee.

Reacties (24)

[Verwijderd]

overigens wordt in de melding van

edit:
MS AntiSpyware

bij VNC gezegd dat het gaat om een rechtmatige tool, waar wel eens misbruik van gemaakt wordt.

Ze blocken hem dus om je in ieder geval een bewuste installatiekeuze te laten maken. Installeren gaat verder prima, dus ik vind het allemaal niet zo'n probleem.

[wildhagen]

Ironisch genoeg wordt een softwarepakket dat geen bedreiging voor Windows-gebruikers vormt, juist wel tegengehouden door Microsoft. Radmin, ofwel Remote Administrator, wordt door de detectielijst van Microsoft Antispyware-software namelijk onjuist herkend als malafide software.

Dit is dan ook één van de meer populaire tools die door hackers gebruikt worden, en als zodanig imho terecht herkend.

Hetzelfde geld voor andere door hackers gebruikte tools als WinVNC, ServU etc.

[Domino]

Dat het herkend wordt is volledig terecht, echter de benaming malafide software is dat niet. Veel van mijn collegae gebruiken het als remote beheer pakket, hetzij in de prive situatie(s), hetzij professioneel.

[wildhagen]

Er staat dan ook bij dat het potentieel malafide is, en dat klopt.

Zoals postmeridiem hieronder al (terecht) opmerkt dat de tool ook meld dat het een in beginsel legitieme tool is.

Als jij bewust die tool gebruik kan je hem dus gewoon op Ignore zetten en ben je er in het vervolg vanaf.

[YellowOnline]

Ik denk dat betrekkelijk weinig hackers dit gebruiken, gezien het niet meteen een stealth programmaatje is... . Programma's als Back Orifice zijn terzake handiger. Intussentijd wordt dat programmatje wel al een tijd door elke antivirus tegengehouden. De tol van succes ;-)
Dat Radmin als potentieel gevaarlijk aangeduid wordt is terecht gezien zijn architectuur. Maar het een populair tool voor hackers noemen lijkt me gewoon fout.

[Gepetto]

Back Orifice is destijds geschreven door een hackersgroep, Cult of the Dead Cow en ik kan me niet geheel aan de indruk onttrekken dat dit programma niet 100% met de juiste bedoelingen is geschreven. Alleen al vanwege de naam welke een duidelijk sneer was naar Microsoft's Back Office.

Toch zijn er wel degelijk goed bedoelde programma's die ineens als een virus worden gezien. Zo werd mijn RC5 client ineens door Norton van een aantal systemen verwijderd omdat dit een virus zou zijn.

Onlangs gebeurde weer precies hetzelfde met versie 2005 van Norton, maar als ik het goed begrepen heb zijn er inmiddels gesprekken geweest tussen Symantec en DistributedNet en is het nu opgelost.

[foppe-jan]

Ironisch genoeg wordt een softwarepakket dat geen bedreiging voor Windows-gebruikers vormt, juist wel tegengehouden door Microsoft. Radmin, ofwel Remote Administrator, wordt door de detectielijst van Microsoft Antispyware-software namelijk onjuist herkend als malafide software. Famatech, de maker van Radmin, heeft inmiddels aangekondigd contact op te nemen met Microsoft. Eerder ondervond Radmin ook al problemen met onterechte detectie door Symantec AntiVirus en McAfee.

muah, er zijn nogal wat stukken spyware/trojans die gebruik maken van de Radmin engine..

[Verwijderd]

En tevens is het gebruik van RAdmin, VNC of elk ander soortgelijk programma in strijd met the EULA van WinXP Home.

Maar ik denk dat het gebruik van de daemons door virus-schrijvers meer van toepassing is. VNC bijvoorbeeld is open source, dus is gemakkelijk voor zelfs een beginnende virus schrijver om deze functionaliteit dan toe te voegen.

Waar ik wel een hekel aan had, is dat het Live Safety center, een Serv-U installatie ongedaan maakte, en ServUDaemon.exe verwijderde, zonder eerst om toestemming te vragen. Daar heb ik als admin een hekel aan, ook al was het een virus geweest.

@error_: Voor XP Home is een extra licentie nodig als je met een ander pakket, zoals VNC of RAdmin een ander XP Home of XP Pro systeem wilt bedienen. Deze 'extra' licentie is niet nodig voor XP Pro, daarom kan je met een XP Pro systeem een XP Home systeem op afstand overnemen, maar niet andersom. Ik heb net de EULA opnieuw bekeken, en de bewoording is inderdaad verandert, maar als je op google kijkt, dan kan je de commotie zien die er 4 jaar terug was, over de letterlijke verwijzing dat 'remote desktop' gelijkwaardige software niet gebruikt mocht worden. Er was ook veel commotie over het feit dat de EULA het verbood om image copies aan te maken, echter die verwoording is inmiddels ook gedeeltelijk aangepast.

@TO_Tall, het gaat hier om 3rd-party programma's niet om Microsofts eigen RDP oplossing. Het is namelijk wel toegestaan om via RDP een Window 2000 of 2003 Server te bedienen, echter dan zit de benodigde 'extra' licentie in het Terminal Server pakket ingesloten. De 2003 Web Edition bijvoorbeeld komt standaard met 2 RDP licenties, 1 voor de server zelf, en 1tje extra voor het geval een WinXP Home of ander niet-EULA geschikt systeem wordt gebruikt.

Tevens is dit geen monopolie misbruik, je kan het Microsoft niet kwalijk nemen, dat ze het verbieden dat zakelijke applicatie toepassingen verboden worden op een in prijs gereduceerde versie die bedoeld is voor thuisgebruikers. Het activeren van IIS in XP Home is daarom ook in strijd met de EULA.


Maar dan hebben we het over een EULA, dit is gewoon een "we moeten ons indekken voor alle stomme rechtzaken" methode, waar vaak nooit daadwerkelijk van gebruik wordt gemaakt, tenzij er grof geld mee verdient wordt. Microsoft gaat wel achter een bedrijf aan als Getronics als die computer netwerken gaat bouwen voor bedrijven met een gemanipuleerde XP Home versie in een netwerk omgeving, maar niet achter Klaas Kip die VNC gebruikt om vanaf zijn werk de computer thuis te bedienen.

[Verwijderd]

Haha, dus volgens jou mag je op windows XP Home geen VNC server (en/of client ?) instaleren want dan ben je in overtreding ?

Zou wel heel erg grappig zijn. Dat is zoals zeggen; je mag enkel dit bier van merk X drinken als je het ook op een onderlegger van merk X zet.

[Verwijderd]

jouw vergelijking klopt van geen kant... zoals jij het zegt zou je dus alleen remote desktop die in windows zit mogen gebruiken, maar aangezien het hier om een home versie van windows gaan, en aangezien er in de home versie geen remote desktop zit, klopt het dus niet. Het is de bedoeling van Windows Home dat je hem voor normaal thuisgebruik gebruikt, volgens microsoft hoort remote desktoppen daar niet bij (mijn mening is anders, maar ik begrijp hun standpunt wel)

[To_Tall]

en wat jij zegt klopt ook niet!!

Remote Desktop is ingebakken in de PRO versie en niet beschikbaar voor de HOME editie..

VNC is een extern pakket dat remote beheer toestaat..

wat jullie hierboven verkondigen is dat remote beheer tools zoals VNC verboden zijn voor de HOME versie's. dat houd in dat windows messenger ook geen remote beheer mag gebruiken.
zolang je de tools van de PRO versie niet gebruikt in de HOME versie en dat doet VNC niet mag je 3party software gewoon remote beheer instaleren.!!

edit

zou wel kneuzig zijn als MS 3party software gaat verbieden!!

[blouweKip]

ongeacht waar MS hun pakket voor bedoeld heeft: een eula is maar zelden ook geldig, uit eigen ervaring weet ik dat zelfs MS en de resellers zich niet aan de eula houden dus ik zou me er zeker niet zo druk over maken

[Opa]

Radmin kan "silent" geïnstalleerd worden, zonder dat er op de bestuurde pc iets als een tray icon te merken valt en is op die grond als backdoor gecategoriseerd denk ik.

[cyspoz]

Precies, bovendien kunnen de bestanden van Remote Administrator ook worden misbruikt door een ander programma. Symantec Antivirus Corporate 9 & 10 markeren deze bestanden ook als een mogelijke thread.

[Verwijderd]

Dat is het probleem niet met RAdmin, een gewone server installatie met een zichtbaar icoon word ook geblocked door McBeffie. Net als mIRC, en vele andere programma's. Gelukkig heb ik daar nooit last van met Norman.

[Mathijs]

Dit artikel is mooi in strijd met die mooie microsoft advertentie die af en toe de kop opsteekt op tweakers.net.

Was iets met wij geven de trojans geen kans, en was een advertentie van Microsoft.

Ik moest toen ik dat zag wel een beetje lachen.

[HooGLaNDeR]

Kaspersky gaat ook over zijn nek van Radmin
Daar moet ik het programma ook op de uitzonderingen lijst zetten om het niet te laten verwijderen.

[ThomVis]

En volgens Symantec is de W32.Dasher.D variant ook al uit.

[Verwijderd]

Dasher maakt daarbij gebruik van een weeffout in Microsofts Distributed Transaction Coordinator (MDTC).

Mss wel een beetje onnodig om te zeggen, maar tis MSDTC en geen MDTC.

[Smoke]

Ze hebben het recht niet om deze software als virus te markeren, het recht wat ze wel hebben is om eens achter ECHTE virussen en wormen aan te gaan in plaats van deze bullshit tijdverspilling waar mensen die dit soort programma's ook nog ns legaal gebruiken ook hinder van hebben...

Als je nou eens eerst de andere reacties had gelezen, had je gezien dat het programma als POTENTIEEL malafide software wordt aangemerkt omdat het gebruikt kan worden door verschillende hacktools en trojans.

Oftewel: Je zit voor niks te flamen .

Lezen is schijnbaar nog altijd een vak...

Respect krijg je niet hiervoor, je wordt gewoon uitgelachen. Als ik zo de rest van je reacties zie moet je dat nu onderhand wel gewend zijn . Ik zou je dus hierbij willen adviseren om eerst na te denken voordat je op die reageer-knop ramt.

[alt-92]

Hoop je nou respect te oogsten met dit soort uitlatingen of heb je echt oogkleppen op?

[blouweKip]

wow, ik wist niet dat de emoties zo hoog konden oplopen bij warez kiddies