Virusschrijvers richten aandacht op Wikipedia

Hackers zijn erin geslaagd de online encyclopedie Wikipedia te gebruiken om een virus te verspreiden. Ze voegden aan de Duitse editie een pagina toe over een nieuwe versie van het Blaster-virus, die onlangs in omloop zou zijn gebracht. Er stond op de pagina ook een link naar een programma dat bescherming zou bieden tegen het nieuwe virus. Dit programma installeerde echter zelf een virus. Om meer mensen naar de pagina toe te lokken stuurden de hackers vervolgens massaal e-mails rond die er uitzagen alsof ze van Wikipedia kwamen, waarin de ontvanger werd opgeroepen de pagina te bezoeken.

Toen de leiding van Wikipedia dit bedrog ontdekte, werd de pagina onmiddelijk weggehaald, maar men zag over het hoofd dat deze nog steeds in het archief stond. Hierop gingen de hackers opnieuw spammen en stuurden ze mails rond waarin de mensen naar de gearchiveerde versie werden verwezen. Ook deze pagina is inmiddels verwijderd. Volgens deskundigen, die het programma analyseerden, ging het beslist om een virus. Het was kennelijk erg nieuw, want alhoewel er meer dan twintig virusscanners op werden losgelaten, was geen enkele in staat het te herkennen. Omdat de valse pagina maar kort online gestaan heeft hebben volgens de BBC vermoedelijk maar weinig mensen het virus gedownload.

Reacties (41)

Als zo'n pagina verwijderd wordt verwacht je toch dat dat goed gedaan wordt?

Misschien moeten gegevens die op wiki gezet worden of veranderd worden toch maar beter gechecked worden.

@Cristan:
Dan zullen ze toch de 'prullenbak' van wikipedia moeten sluiten voor het publiek.

@leuk_he:
Omdat nog geen één virusscanner hem kon pakken was het waarschijnlijk een vrij nieuw virus.
Het eerste wat ik zou doen als antivirus maker is wikipedia inlichten i.p.v. een medicijn te maken (voorkomen is beter dan verhelpen).

Juist niet: als iemand de inhoud van de hele pagina over bijvoorbeeld de verenigde staten verwijdert (gebeurt nog wel eens door een grapjas) wil je graag dat je mbv de geschiedenis-functie makkelijk de hele boel weer terug kan zetten.

Dit wil je alleen niet in dit specifieke geval, maar net zoals alle andere "rellen" in Wikipedia zijn zulk soort dingen meestal in een kwestie van minuten opgelost (in dit geval kan een admin de specifieke "tussenpagina" verwijderen).

@redstorm: Dit zou kunnen, maar deze functie is juist tegen vandalisme. Als je mensen een link naar een Wikipedia artikel wil sturen, kan je ze een link naar een bepaalde versie opsturen omdat je van deze versie tenminste zeker weet dat het goed zit.

Linkje iemand?

http://www.google.nl/search?q={software_naam}+cr*ck

Het eerste wat ik zou doen als antivirus maker is wikipedia inlichten i.p.v. een medicijn te maken (voorkomen is beter dan verhelpen).

dan is het voor jouw fictieve bedrijf maar beter dat je geen antivirusmaker bent.
"Genezen" uit jouw vergelijking is tenslotte hetgene waar een antivirusmaker z'n geld aan verdient.

Onderzoek eerst eens iets voordat je je mening geeft. Wikipedia werkt met versies van artikelen. Als je verschillende versies onzichtbaar maakt voor de gebruiker (wat op de Engelse Wikipedia sommige mensen kunnen, niet op de Nederlandse nog) is dat erg onoverzichtelijk. Bovendien kunnen gewone gebruikers dan ook niet meer vandalisme controleren. Slechte oplossing dus.Verwijderen van een artikel is al helemala gene oplossing, tenzij het een nieuw onzinartikel is.

<i>Misschien moeten gegevens die op wiki gezet worden of veranderd worden toch maar beter gechecked worden.</i>

Dan verplaats je het probleem simpel weg naar de checks. Wie checkt de checkers? Kortom: wikipedia is niet erg betrouwbaar, en het probleem is niet oplosbaar.

Maar dit geeft uiteraard veel meer aan over de kwaliteit van de virusscanners dan over de kwaliteit van wikipedia.

Het probleem (in ieder geval op de Nederlandse versie) is niet de integriteit van de checkers in ieder geval. De Nederlandse versie is hier wel gevoelig voor, maar tot nu toe is hier nog geen misbruik van gemaakt. Voor de Engelse versie is dit al helemala geen probleem, aangezien wijzingen op die versie niet worden gemarkeerd als gecontroleerd. Een wijziging wordt dus vaak meerdere malen bekeken.

Omdat de valse pagina maar kort online gestaan heeft hebben volgens de BBC vermoedelijk maar weinig mensen het virus gedownload.

Dus wat de BBC zegt is dat met het verwijderen van de oorspronkelije bron van het virus ook alle gemaakte kopieen worden verwijderd. Waarschijnlijk iemand van de BBC gespecialiseerd in landbouw nieuws.

De BBC weet natuurlijk alles van de duitse versie van wikipedia, want sinds de 2e wereldoorlog zijn alle verslaggevers daar verplicht om op cursus duits te gaan.

Maar even serieus, aangezien de pagina kort on-line heeft gestaan, zal deze vast nog niet zijn gearchiveerd door bijvoorbeeld de googlebot en zo. Zo wel, tja.... dan is dat het probleem van Google, maar dan zullen de makers van het virus nu het googlearchief wel aan het spammen zijn.

[quteo]Omdat de valse pagina maar kort online gestaan heeft hebben volgens de BBC vermoedelijk maar weinig mensen het virus gedownload.[/quote]

Daarbij komt, als iets fouts ondekt wordt, dan wordt het over het algemeen binnnen een mum van tijd veranderd. Ik zie het probleem zo niet.

(trouwens, iedere normale XP gebruiker is toch wel beschermt tegen Blaster met SP2)

(trouwens, iedere normale XP gebruiker is toch wel beschermt tegen Blaster met SP2)

Maar er zijn ook nog 'abnormale' Windows2000 gebruikers bijvoorbeeld..

Anyway, het virus dat verspreid werd was geen Blaster variant, en aangezien de 20 virusscanners bij Wikipedia het niet konden ontmaskeren denk ik dat ook Windows XP SP2 het niet herkent.

Windows XP hoeft een Blaster ook helemaal niet te herkennen!
Een firewall zal Blaster buiten de deur houden. Vandaar dat er specifiek naar XP SP2 wordt gewezen.
[reactie op n4m31355]

Toen ze het virus ontdekt hebben hebben ze offline gekeken of ze konden ontdekken wat voor virus het was en of er al scanners waren die hem konden detecteren.
Dus gewoon offline 1 voor 1 geprobeerd en na 20 dus nog geen detectie.

Er was een 'nieuw Blaster virus' artikel aangemaakt, omdat dat een zeer bekend virus was bij mensen, dus de kans dat een artikel over een nieuw Blaster virus wordt gelezen is vele malen groter.

De zogenaamde 'oplossing' was dus het feitelijke virus, wat dan eigenlijk een trojan is, omdat de gebruiker hem zelf binnenhaald. De correcte definitie voor Blaster is trouwens een worm.

En ik kom regelmatig virussen tegen waarvan het uren tot dagen duurt voordat de bekende virusscanners hem detecteren. Wij sturen regelmatig samples op naar TrendMicro, F-Secure en Kaspersky die op onze honeypots terechtkomen.

Je moet daarom ook nooit op een virus scanner vetrouwen, het helpt puur alleen tegen stomme gebruikers die geen gezond verstand gebruiken. Want een beetje internet savvy gebruiker download nooit en ten nimmer een EXE/COM/PIF/SCR/etc bestand van een site zoals Wikipedia. Beveiligingen zoals DropMyRights zijn vaak vele malen effectiever dan een virus scanner, maar zolang er stomme gebruikers zijn die op de volgende link klikken: 'dit is een virus NIET klikken', dan blijf je een probleem houden.

jij doelt ongetwijfeld op deze wat oude NIET KLIKKEN link

[url="admin-edit:"]NIET klikken![/url].

Zolang gebruikers zo stom zijn om programma's te starten die ze downloaden, is er toch geen virusscanner die kan voorkomen dat een programma "whatever" doet? Kwestie van programmeren: "wis harddisk" of "zend email". Niet raar dat virusscanners zoiets niet kennen.

Dat is nou net m'n hele punt: elke programmeur kan z'n eigen "virus" typen, virusscanners kunnen er dan wel 60 duizend of desnoods 60 miljoen kennen, nog steeds is het kinderlijk eenvoudig om een nieuwe te maken... Het blijft dan ook dweilen met de kraan open.

Niet raar dat virusscanners zoiets niet kennen.
Je gooit wat dingen door elkaar. De virussscanners herkennen virussen niet omdat mensen maar op OK klikken, maar vanwege bepaalde namen/combinaties van letters (cijfers, enzovoort) gedragingen, en zo nog wat...

Je kunt mijns inziens dan ook betere je geld en mensen inzetten op een degelijk OS, dan op antivirus/firewall software.

Dan nog: als ik als gebruiker een programma wil starten dat mijn data wist, moet mijn OS het eens durven om zich daar mee te bemoeien!
De zwakke plek blijft de gebruiker. Als een Linux-gebruiker via Wikipedia een simpel scriptje `rm -rf /` download, en dat gaat starten, is-ie ook van alles kwijt! Zolang de gebruiker een klik-maar-raak-mentaliteit heeft, blijft dit. En wat mij betreft is het ook helemaal geen probleem, maar eerder een soort selectie...

ugh?
w2k komt meer voor in het bedrijfsleven, keurig achter een firewall zitten die wel veilig.
Hoe kom je erbij dat het geen blaster is en dat er 20 virusscanners zijn bij wiki? Het staat in de post dat het om blaster gaat, verder stond de virus niet op wiki zelf maar via een redirect naar het download proggie. Tevens 20 virusscanners? Ook die snap ik niet helemaal.
--edit--
@ronny
Geen idee waar deze reactie vandaan komt. Ik heb het nergens over XP, ik stel echter dat het verhaal van 20 virusscanners uit de lucht gegrepen is, noch in de post v tweakers noch in de post v BBC wordt daar een woord over gerept. Men stelt wel bij bbc dat het gewoon over een variantje gaat v blaster

The page hijacked by the virus creators was about a new variant of the Windows Blaster worm. This malicious program debuted in 2003 and caught out many PC users.

@n4m3I355:

w2k komt meer voor in het bedrijfsleven, keurig achter een firewall zitten die wel veilig.

Onzin, Windows2000 komt bij heel veel thuisgebruikers voor, en bovendien vindt ik het nogal naief om te denken dat alle bedrijven hun beveiliging op orde hebben. Ik heb heel wat bedrijven van binnen gezien en er zijn er vele zo lek als een mandje. Buiten dat is het detecteren van een virus waarvoor nog geen virusdefinities zijn bijzonder lastig.

Hoe kom je erbij dat het geen blaster is

De bewuste pagina ging over een variant van het Blaster virus. De link naar het progje leidde naar 'kwaadaardige' code, maar nergems staat dat het om het Blaster virus ging! Goedgelovigheid is hier niet alleen een gevaar, maar ook goed lezen!

Tevens 20 virusscanners? Ook die snap ik niet helemaal.

Als je artikel leest staat het er gewoon:

want alhoewel er meer dan twintig virusscanners op werden losgelaten

The page hijacked by the virus creators was about a new variant of the Windows Blaster worm.

Oftewel in het Nederlands:
De door de virusschrijvers gekaapte pagina ging over een nieuwe variant van de Blaster worm.......

Waar staat nou dat het virus waarnaar het linkje op deze pagina verwijst een Blaster variant is? Ik zie het niet en het staat er volgens mij ook niet...

Misschien is de grap van die pagina nu net dat het geen Blaster virus was

een nieuwe versie van het Blaster-virus

(trouwens, iedere normale XP gebruiker is toch wel beschermt tegen Blaster met SP2)

Nee:

Het was kennelijk erg nieuw, want alhoewel er meer dan twintig virusscanners op werden losgelaten, was geen enkele in staat het te herkennen.

http://nl.wikipedia.org/wiki/Computervirus

oeioeioeioie, de grote boze <citaat>Hackers</citaat> zijn weer bezig!

...want iedereen die een wiki kan editen is een hacker...

En dan de volgende stap: kopieën van de worm kiezen willekeurige wikipagina's, voegen een link naar zichzelf toe, en mailen de link naar de pagina rond. Dan kunnen wikibeheerders wel bezig blijven. Brrrr.

Maar dat heeft niet echt nut... De wikipedia tussenstap werd hier gebruikt voor de betrouwbaarheid, zo van: "Het staat op wikipedia/blastervirus/, download nu!". Dat kan niet bij willekeurige pagina's, want " het staat bij wikipedia/appeltaart" is een stuk minder betrouwbaar.

aan de ene kant vind ik het goed dat er virussen zijn omdat de beveiliging dan steeds hoger word, maar dit vind ik toch wel een vuile streek...

Je kunt als hacker/security expert die een exploit of vulnerability heeft ontdekt ook een proof of concept virus naar software en/of anti-virus fabrikanten sturen ipv een kwaadaardige versie te bouwen.

Als daar dan niets mee gebeurd, vind ik het pas terecht (niet legaal, maar terecht) dat je een worm/virus de wereld in trapt om de software/anti-virus fabrikanten op scherp te stellen.

irritante kiddo's die dit doen.

wat het met hacken te maken heeft echter ontgaat mij volledig

Nee, dan zou de hele Tucows stapel worden verbrand (Wikipedia in dit geval dus).

Nog best knap dat het niet herkend werd door virusscanners. Ik heb jaren geleden (199x/2000 ongeveer) een programma gemaakt dat bij het afsluiten zichzelf opstartte en nog een paar dingetjes had om te zorgen dat het bleef draaien. Het uiteindelijke doel was op commando ineens heel vaak zichzelf starten om zo een systeem heel langzaam te laten draaien. Het programma had als voorkant een plaatje van cartman; heel irritant en heel toepasselijk.

Het punt was nou dat virusscanners het als een virus zagen terwijl ik alles zelf gemaakt had zonder ergens iets van over te nemen. En virusscanners blijkbaar toen al naar patronen in programma's zochten. Dus wat moet je maken zodat een virus niet herkend wordt htd???

Virrusscanners zoeken idd naar patronen en na gedrag

Jouw programma kon niet normaal gestopt worden en zo
Daarom zal het wel als virus aangemerkt zijn