Bekijk Volledige Versie : swen-virus
ik weet niet of ik in de juiste nieuwsgroep zit, maar allee... // ik lijd
nog steeds onder het swen-virus door het feit dat mijn mailbox vol raakt
door emails met dat fameuze 'vals Microsoft-programma' én met berichten van
allerlei postmasters dat een bericht niet kon verstuurd worden // ik heb het
virus van mijn computer verwijderd (bij een tweede test verklaarde het
killerprogramma dat het niet op mijn computer stond, dus denk ik dat het
definitief weg is) // met de mogelijkheden van Outlook 5 ("Bericht -
Afzender blokkeren - ..." en "Extra - Berichtregels - ...") krijg ik het
'vals Microsoft-programma' minder op mijn computer, maar... // a. ik heb een
ellenlange lijst met geblokkeerde afzenders, én b. er komen er elke dag bij,
waardoor ik een kwartier zoet ben om ze te blokkeren, én c. blijkbaar blijf
ik nog altijd berichten sturen naar personen die mij onbekend zijn, én d.
het 'vals MS programma' sluipt binnen onder een ander Onderwerp en van
steeds nieuwe afzenders // hellep !!! // PS: ik ben eerder een leek in
computeraffaires, en geef dus aub geen te moeilijke uitleg
Op Fri, 17 Oct 2003 08:47:29 +0200, schreef XXX:
> ander Onderwerp en van steeds nieuwe afzenders // hellep !!! // PS: ik
> ben eerder een leek in computeraffaires, en geef dus aub geen te moeilijke
> uitleg
Je gebruikt de slechtste mailer ter wereld om miserie te hebben en dan nog
een ouwe, gebruik een echt e-mailprogramma (kijk eens naar tucows) en
combineer dit met volgende software: http://www.firetrust.com/home/ Dat is
het belangrijkste, daarna gebruik een "Google" om nog meer info te vinden
en er aan te doen.
J. Reilink
17/10/03, 10:15
Esther wrote:
> Op Fri, 17 Oct 2003 08:47:29 +0200, schreef XXX:
>
>
>>ander Onderwerp en van steeds nieuwe afzenders // hellep !!! // PS: ik
>>ben eerder een leek in computeraffaires, en geef dus aub geen te moeilijke
>>uitleg
>
>
> Je gebruikt de slechtste mailer ter wereld om miserie te hebben en dan nog
> een ouwe, gebruik een echt e-mailprogramma (kijk eens naar tucows) en
> combineer dit met volgende software: http://www.firetrust.com/home/ Dat is
> het belangrijkste, daarna gebruik een "Google" om nog meer info te vinden
> en er aan te doen.
>
Wellicht dat <http://www.dsinet.org/?id=1530> voor de OP interessant is? Wel
Engelstalig, maar goed.
--
Met vriendelijke groet / Best regards,
Jan Reilink
Dutch Security Information Network,
http://www.dsinet.org
Bart Lateur
17/10/03, 12:45
XXX wrote:
> c. blijkbaar blijf
>ik nog altijd berichten sturen naar personen die mij onbekend zijn, én d.
>het 'vals MS programma' sluipt binnen onder een ander Onderwerp en van
>steeds nieuwe afzenders // hellep !!!
Niet jouw schuld. Ik heb er méér dan 10000 ontvangen, en het gaat nog
steeds door, alhoewel veel minder nu.
Alles wijst erop dat Swen zijn slachtoffers vooral gaat zoeken in de
nieuwsgroepen. Jij bent misschien nooit besmet geweest. Het maakt niet
uit waarmee je mail stuurt, ook mensen op Linux of op Mac hebben hier
evenveel mee te kampen.
Swen is één van die virussen/wormen die de afzender vervalsen. Het is
niet écht een reactie op iets dat jij stuurde, de ander "denk"t dat
alleen maar. De "afzender" is net zozeer slachtoffer als de
bestemmeling.
Mijn oplossing? Ik heb een Perl script gemaakt dat een paar keer per uur
vanop mijn web server mijn mailbox scant en alles met een executable
attachment wist. De source is beschikbaar op
<http://perlmonks.org/index.pl?node_id=292982>
Nu en dan komt er nog één door, als ik mijn mail afhaal nadat het het
meer dan een paar minuten geleden is dat de laatste scan gebeurd is.
Maar op zijn minst loopt mijn mailbox niet meer vol.
De bounces wist het niet, omdat daar de executable uitgehaald is.
Meestal is de mail dan wel veel kleiner.
--
Bart.
Op Fri, 17 Oct 2003 10:38:05 +0000, schreef Bart Lateur:
> XXX wrote:
>
>> c. blijkbaar blijf
>>ik nog altijd berichten sturen naar personen die mij onbekend zijn, én
>>d. het 'vals MS programma' sluipt binnen onder een ander Onderwerp en van
>>steeds nieuwe afzenders // hellep !!!
>
> Niet jouw schuld. Ik heb er méér dan 10000 ontvangen, en het gaat nog
> steeds door, alhoewel veel minder nu.
>
> Alles wijst erop dat Swen zijn slachtoffers vooral gaat zoeken in de
> nieuwsgroepen. Jij bent misschien nooit besmet geweest. Het maakt niet uit
> waarmee je mail stuurt, ook mensen op Linux of op Mac hebben hier evenveel
> mee te kampen.
>
Waar haal je toch al die onzin uit?
Also Known As: Swen [F-Secure], W32/Swen@mm [McAfee], W32/Gibe-F [Sophos], I-Worm.Swen [KAV], Win32 Swen.A [CA], WORM_SWEN.A [Trend], Worm.Automat.AHB [Previous Symantec Detection]
Type: Worm
Infection Length: 106,496 bytes
Systems Affected: Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows Server 2003, Windows XP
Systems Not Affected: DOS, Linux, Macintosh, Microsoft IIS, OS/2, UNIX, Windows 3.x
CVE References: CVE-2001-0154
op/on 17-10-2003 13:30 schreef/wrote Esther :
>> Alles wijst erop dat Swen zijn slachtoffers vooral gaat zoeken in de
>> nieuwsgroepen. Jij bent misschien nooit besmet geweest. Het maakt niet uit
>> waarmee je mail stuurt, ook mensen op Linux of op Mac hebben hier evenveel
>> mee te kampen.
> Waar haal je toch al die onzin uit?
Hangt ervan af hoe je "mee te kampen" interpreteert.
Ook Mac en *nix gebruikers hebben er last van _als ontvanger_ al kunnen hun
systemen er niet mee besmet raken.
..exe -> vuilbak
Op Fri, 17 Oct 2003 13:43:27 +0200, schreef Wannes:
> Hangt ervan af hoe je "mee te kampen" interpreteert.
>
> Ook Mac en *nix gebruikers hebben er last van _als ontvanger_ al kunnen
> hun systemen er niet mee besmet raken.
>
> .exe -> vuilbak
Klopt Wannes
Dieter D'Hoker
17/10/03, 18:30
Esther wrote:
> Op Fri, 17 Oct 2003 13:43:27 +0200, schreef Wannes:
>
>> Hangt ervan af hoe je "mee te kampen" interpreteert.
>>
>> Ook Mac en *nix gebruikers hebben er last van _als ontvanger_ al
>> kunnen hun systemen er niet mee besmet raken.
>>
>> .exe -> vuilbak
>
> Klopt Wannes
Vind ik ook !
--
Dieter D'Hoker
http://dieter.dhoker.com/
news:free.nl.dieter.dhoker & news:alt.nl.fan.dieter.dhoker
Tetrinet SeRVer : TSRV.COM
XXX <anybody@xs4all.be> bedacht usenet onlangs met het bericht
<news:3f8f9042$0$9891$ba620e4c@reader0.news.skynet. be>, en maakte ons
deelgenoot van:
> ik weet niet of ik in de juiste nieuwsgroep zit, ...
Neen. Met vragen over het configureren van uw e-mailprogramma of wat te
doen in geval van virusbesmetting, moet u in be.comp.internet,
nl.comp.virus of nl.comp.software.mailclients zijn. Deze nieuwsgroep gaat
over Belgische internetproviders.
--
Polar
Bart Lateur
18/10/03, 00:30
Esther wrote:
>Waar haal je toch al die onzin uit?
>Systems Not Affected: DOS, Linux, Macintosh, Microsoft IIS, OS/2, UNIX, Windows 3.x
>CVE References: CVE-2001-0154
Als je mailbox 10MB van die dingen binnenkrijgt per uur, zoals dat de
eerste dagen bij mij het geval was, dan "heb je er last van".
--
Bart.
Op Fri, 17 Oct 2003 22:24:38 +0000, schreef Bart Lateur:
> Esther wrote:
>
>>Waar haal je toch al die onzin uit?
>
>>Systems Not Affected: DOS, Linux, Macintosh, Microsoft IIS, OS/2, UNIX,
>>Windows 3.x CVE References: CVE-2001-0154
>
> Als je mailbox 10MB van die dingen binnenkrijgt per uur, zoals dat de
> eerste dagen bij mij het geval was, dan "heb je er last van".
Zorg dat je ze niet binnenkrijgt hé....
On Sat, 18 Oct 2003 10:49:49 +0200, Esther wrote:
> > Als je mailbox 10MB van die dingen binnenkrijgt per uur, zoals dat de
> > eerste dagen bij mij het geval was, dan "heb je er last van".
> Zorg dat je ze niet binnenkrijgt hé....
Jij krijgt ze niet binnen via dat Yahoo-adres van je? Ik zit intussen
al aan m'n 7e alias of zo. Ongeveer 24u. na het aanmaken van zo'n
alias loopt de 4 MiB van de BC.net mailbox al terug vol. Geen
e-mailadres opgeven of het op een aanvaardbare manier vervormen lijkt
me wel een manier om het ding niet binnen te krijgen, maar als je wilt
werken met een geldig e-mailadres...
--
Ik usenet, dus ik ben.
<http://www.briachons.org/>
Marco Desloovere
20/10/03, 01:15
s|b [Sat, 18 Oct 2003 12:05:21 GMT] wrote:
>On Sat, 18 Oct 2003 10:49:49 +0200, Esther wrote:
>
>> > Als je mailbox 10MB van die dingen binnenkrijgt per uur, zoals dat de
>> > eerste dagen bij mij het geval was, dan "heb je er last van".
>
>> Zorg dat je ze niet binnenkrijgt hé....
>
>Jij krijgt ze niet binnen via dat Yahoo-adres van je? Ik zit intussen
>al aan m'n 7e alias of zo. Ongeveer 24u. na het aanmaken van zo'n
>alias loopt de 4 MiB van de BC.net mailbox al terug vol.
Yep, en dat kan heel snel gaan, mijn oude BC.net mailbox was al na
zo'n kleine 6 uur vol!
>Geen
>e-mailadres opgeven of het op een aanvaardbare manier vervormen
Waarom <me@privacy.invalid> in jouw From: en niet <me@privacy.net>?
Op de eerste adres krijgen de mensen een bounce bericht terug als ze
iets aan deze versturen, maar op de tweede krijgen ze dit te zien:
| This is an autoresponse from me@privacy.net.
|
| The user who provided this address did not want you to have his/her
| e-mail address in an effort to try to prevent receiving unwanted
| e-mail and/or keep their identity private.
|
| E-mail sent to this account is deleted.
|
| remove addresses sent to privacy.net addresses
|
| http://privacy.net
Ik ben momenteel iets anders aan het testen met mijn yahoo-adres. Daar
krijg jij ook een auto-response, maar een informatieve met een link
naar een website met mijn adres...!
>lijkt
>me wel een manier om het ding niet binnen te krijgen, maar als je wilt
>werken met een geldig e-mailadres...
Wat deze Swen-worm betreft, schijnt het dat als er "nospam" in de
adres zit hij geen wormen aan deze adres verstuurt.
N.B. mijn Reply-To:-adres is dus geldig...
Marco
On Mon, 20 Oct 2003 01:04:06 +0200, Marco Desloovere wrote:
> >Geen
> >e-mailadres opgeven of het op een aanvaardbare manier vervormen
>
> Waarom <me@privacy.invalid> in jouw From: en niet <me@privacy.net>?
8< knip >8
Ik ben me bewust van privacy.net en de autoreply die deze verstuurt,
maar die .invalid is er om een reden. Mocht ik een geldige From-header
gebruiken, dan zal Agent een e-mail sturen als ik per ongeluk op R duw
ipv F (kan gebeuren, geloof me). Om dat te voorkomen gebruik ik die
..invalid. Als ik dan per ongeluk een e-mail probeer te versturen, dan
krijg ik een foutmelding.
> Wat deze Swen-worm betreft, schijnt het dat als er "nospam" in de
> adres zit hij geen wormen aan deze adres verstuurt.
> N.B. mijn Reply-To:-adres is dus geldig...
Zal ik eens proberen. Momenteel heb ik nog maar eens een andere alias
aangemaakt, maar binnen de 2 dagen wordt die waarschijnlijk ook weer
overspoeld.
--
Ik usenet, dus ik ben.
<http://www.briachons.org/>
Marco Desloovere
22/10/03, 00:45
s|b [Mon, 20 Oct 2003 20:58:08 GMT] wrote:
>On Mon, 20 Oct 2003 01:04:06 +0200, Marco Desloovere wrote:
>
>> >Geen
>> >e-mailadres opgeven of het op een aanvaardbare manier vervormen
>>
>> Waarom <me@privacy.invalid> in jouw From: en niet <me@privacy.net>?
>8< knip >8
>
>Ik ben me bewust van privacy.net en de autoreply die deze verstuurt,
>maar die .invalid is er om een reden. Mocht ik een geldige From-header
>gebruiken, dan zal Agent een e-mail sturen als ik per ongeluk op R duw
>ipv F (kan gebeuren, geloof me). Om dat te voorkomen gebruik ik die
>.invalid. Als ik dan per ongeluk een e-mail probeer te versturen, dan
>krijg ik een foutmelding.
Jij kan dit zo oplossen:
1. Options > User and System Profile > User ... en daar jouw e-mail
adres invullen.
2. Group > Properties > Post ... en daar jouw e-mail adressen in From:
en/of Reply-To: invullen voor één of merdere newsgroups.
Moet dit voor al jouw newsgroups gebeuren, dan met een "select all"
alle newsgroups selecteren en dan 2.
Met het e-mail adres in 1. worden dan jouw doodgewone e-mail's
verstuurt, maar in 2. kan je andere e-mail adressen invullen.
HTH
>> Wat deze Swen-worm betreft, schijnt het dat als er "nospam" in de
>> adres zit hij geen wormen aan deze adres verstuurt.
>> N.B. mijn Reply-To:-adres is dus geldig...
>
>Zal ik eens proberen. Momenteel heb ik nog maar eens een andere alias
>aangemaakt, maar binnen de 2 dagen wordt die waarschijnlijk ook weer
>overspoeld.
Probeer eens een *geldige* adres met "nospam" aan te maken. Als alles
goed gaat, gaat Swen dan op zoek naar een ander slachtoffer...! >:->
Marco
On Wed, 22 Oct 2003 00:45:06 +0200, Marco Desloovere wrote:
8< knip >8
> Moet dit voor al jouw newsgroups gebeuren, dan met een "select all"
> alle newsgroups selecteren en dan 2.
>
> Met het e-mail adres in 1. worden dan jouw doodgewone e-mail's
> verstuurt, maar in 2. kan je andere e-mail adressen invullen.
>
> HTH
Niet echt, maar toch bedankt. Ik ken het trucje, maar mij gaat het
juist om het *niet* versturen van e-mails. Met jouw oplossing gaat dat
juist wél (al is het dan met een ander adres dan datgene dat je op
usenet gebruikt). Headers ('Fields') zijn hier altijd zichtbaar, dus
als ik nu een e-mail wil versturen, dan verander ik die '.invalid'
gewoon even in '.net' (of gebruik ik m'n 'hoofd'mailclient).
> Probeer eens een *geldige* adres met "nospam" aan te maken. Als alles
> goed gaat, gaat Swen dan op zoek naar een ander slachtoffer...! >:->
Dat heb ik zojuist gedaan vermits sb9.usenet alweer zo'n 20-tal mails
per dag veroorzaakte. Ik ben benieuwd wat sb.nospam zal geven. :-)
--
Ik usenet, dus ik ben.
<http://www.briachons.org/>
In news:hamdpv8ombd0rete7injg54d6kb4krmjg7@4ax.com,
s|b <me@privacy.invalid> typed:
> On Wed, 22 Oct 2003 00:45:06 +0200, Marco Desloovere wrote:
>> Probeer eens een *geldige* adres met "nospam" aan te maken. Als alles
>> goed gaat, gaat Swen dan op zoek naar een ander slachtoffer...!
> Dat heb ik zojuist gedaan vermits sb9.usenet alweer zo'n 20-tal mails
> per dag veroorzaakte. Ik ben benieuwd wat sb.nospam zal geven. :-)
Ik gebruik voor usenet een geldig adres waar het woordje 'spam' instaat, en
krijg hier niet veel spam op aan. Ik denk dat emailadressen met het 'spam'
erin gefilterd worden.
--
HoliemaN
Staat jouw zatte kop 's zondags op internet? <http://www.eendje.be>
On Fri, 24 Oct 2003 17:53:33 +0200, HoliemaN wrote:
> > Dat heb ik zojuist gedaan vermits sb9.usenet alweer zo'n 20-tal mails
> > per dag veroorzaakte. Ik ben benieuwd wat sb.nospam zal geven. :-)
> Ik gebruik voor usenet een geldig adres waar het woordje 'spam' instaat, en
> krijg hier niet veel spam op aan. Ik denk dat emailadressen met het 'spam'
> erin gefilterd worden.
Lijkt te kloppen. Op 2 dagen tijd kreeg ik nu 2x Swen binnen en enkele
spammails. Die 'nospam' die Marco voorstelde blijkt idd geen slechte
tip te zijn. :-)
--
Ik usenet, dus ik ben.
<http://www.briachons.org/>
Organization: JanC
Message-ID: <Xns941EDBC76956EJanC@213.118.75.228>
User-Agent: Xnews/5.04.25
Mime-Version: 1.0
Content-Type: text/plain; charset=ISO-8859-15
Content-Transfer-Encoding: 8bit
Reply-To: usenet@janc.cjb.net
Lines: 18
Date: Fri, 24 Oct 2003 19:36:57 GMT
NNTP-Posting-Host: 213.118.75.228
X-Complaints-To: abuse@telenet.be
X-Trace: phobos.telenet-ops.be 1067024217 213.118.75.228 (Fri, 24 Oct 2003 21:36:57 MEST)
NNTP-Posting-Date: Fri, 24 Oct 2003 21:36:57 MEST
Xref: nl-news.euro.net be.providers:112603
"s|b" <me@privacy.invalid> schreef:
>> Ik gebruik voor usenet een geldig adres waar het woordje 'spam'
>> instaat, en krijg hier niet veel spam op aan. Ik denk dat
>> emailadressen met het 'spam' erin gefilterd worden.
>
> Lijkt te kloppen. Op 2 dagen tijd kreeg ik nu 2x Swen binnen en enkele
> spammails. Die 'nospam' die Marco voorstelde blijkt idd geen slechte
> tip te zijn. :-)
Gokje: ze sturen nu mails naar sb BIJ belgacom.net
Mail harvester bots kunnen ook *te* slim willen zijn... :-p
--
JanC
"Be strict when sending and tolerant when receiving."
RFC 1958 - Architectural Principles of the Internet - section 3.9
On Fri, 24 Oct 2003 19:36:57 GMT, JanC wrote:
> > Lijkt te kloppen. Op 2 dagen tijd kreeg ik nu 2x Swen binnen en enkele
> > spammails. Die 'nospam' die Marco voorstelde blijkt idd geen slechte
> > tip te zijn. :-)
> Gokje: ze sturen nu mails naar sb BIJ belgacom.net
> Mail harvester bots kunnen ook *te* slim willen zijn... :-p
In dat geval hoop ik dat niemand die alias gebruikt, want IK heb 'm in
elk geval niet geregistreerd. :-)
--
Ik usenet, dus ik ben.
<http://www.briachons.org/>
Marco Desloovere
25/10/03, 01:30
s|b [Fri, 24 Oct 2003 16:28:15 GMT] wrote:
>On Fri, 24 Oct 2003 17:53:33 +0200, HoliemaN wrote:
>
>> > Dat heb ik zojuist gedaan vermits sb9.usenet alweer zo'n 20-tal mails
>> > per dag veroorzaakte. Ik ben benieuwd wat sb.nospam zal geven. :-)
>
>> Ik gebruik voor usenet een geldig adres waar het woordje 'spam' instaat, en
>> krijg hier niet veel spam op aan. Ik denk dat emailadressen met het 'spam'
>> erin gefilterd worden.
>
>Lijkt te kloppen. Op 2 dagen tijd kreeg ik nu 2x Swen binnen en enkele
>spammails. Die 'nospam' die Marco voorstelde blijkt idd geen slechte
>tip te zijn. :-)
Bent je heel zeker dat dit Swen's waren?
Ik ben nu één week met mijn "nospam" adres aan het posten en heb nog
geen enkele Swen en ook geen spam gekregen....
Marco
GiGa WiZaRD
25/10/03, 03:45
"s|b" <me@privacy.invalid> schreef in bericht
news:r85jpvgbnipumbdc2jsgnnehb352gksdur@4ax.com
> On Fri, 24 Oct 2003 19:36:57 GMT, JanC wrote:
>
>>> Lijkt te kloppen. Op 2 dagen tijd kreeg ik nu 2x Swen binnen en
>>> enkele spammails. Die 'nospam' die Marco voorstelde blijkt idd geen
>>> slechte tip te zijn. :-)
>
>> Gokje: ze sturen nu mails naar sb BIJ belgacom.net
>> Mail harvester bots kunnen ook *te* slim willen zijn... :-p
>
> In dat geval hoop ik dat niemand die alias gebruikt, want IK heb 'm in
> elk geval niet geregistreerd. :-)
ben jij het die skynet mail plat legt?
--
vriendelijke groet,
*Giga Wizard*
/Telenet.be = kl*te, ze kl*ten/, *PUB* ook?
On Sat, 25 Oct 2003 03:38:12 +0200, GiGa WiZaRD wrote:
> > In dat geval hoop ik dat niemand die alias gebruikt, want IK heb 'm in
> > elk geval niet geregistreerd. :-)
> ben jij het die skynet mail plat legt?
Hier lees ik er regelmatig klachten over, maar zelf heb ik de laatste
tijd geen problemen meer gehad met BC.net (op die Swen-mails na).
--
Ik usenet, dus ik ben.
<http://www.briachons.org/>
On Sat, 25 Oct 2003 01:24:08 +0200, Marco Desloovere wrote:
> >Lijkt te kloppen. Op 2 dagen tijd kreeg ik nu 2x Swen binnen en enkele
> >spammails. Die 'nospam' die Marco voorstelde blijkt idd geen slechte
> >tip te zijn. :-)
> Bent je heel zeker dat dit Swen's waren?
> Ik ben nu één week met mijn "nospam" adres aan het posten en heb nog
> geen enkele Swen en ook geen spam gekregen....
Ik scan die webmail niet echt, maar het ging wel om zogezegde M$
patches. Vandaag wel niets meer binnengehad, dus het bleek wel
degelijk een gouden tip te zijn. :-)
--
Ik usenet, dus ik ben.
<http://www.briachons.org/>