swen-virus

[XXX]

ik weet niet of ik in de juiste nieuwsgroep zit, maar allee... // ik lijd
nog steeds onder het swen-virus door het feit dat mijn mailbox vol raakt
door emails met dat fameuze 'vals Microsoft-programma' én met berichten van
allerlei postmasters dat een bericht niet kon verstuurd worden // ik heb het
virus van mijn computer verwijderd (bij een tweede test verklaarde het
killerprogramma dat het niet op mijn computer stond, dus denk ik dat het
definitief weg is) // met de mogelijkheden van Outlook 5 ("Bericht -
Afzender blokkeren - ..." en "Extra - Berichtregels - ...") krijg ik het
'vals Microsoft-programma' minder op mijn computer, maar... // a. ik heb een
ellenlange lijst met geblokkeerde afzenders, én b. er komen er elke dag bij,
waardoor ik een kwartier zoet ben om ze te blokkeren, én c. blijkbaar blijf
ik nog altijd berichten sturen naar personen die mij onbekend zijn, én d.
het 'vals MS programma' sluipt binnen onder een ander Onderwerp en van
steeds nieuwe afzenders // hellep !!! // PS: ik ben eerder een leek in
computeraffaires, en geef dus aub geen te moeilijke uitleg

[Esther]

Op Fri, 17 Oct 2003 08:47:29 +0200, schreef XXX:

> ander Onderwerp en van steeds nieuwe afzenders // hellep !!! // PS: ik
> ben eerder een leek in computeraffaires, en geef dus aub geen te moeilijke
> uitleg

Je gebruikt de slechtste mailer ter wereld om miserie te hebben en dan nog
een ouwe, gebruik een echt e-mailprogramma (kijk eens naar tucows) en
combineer dit met volgende software: http://www.firetrust.com/home/ Dat is
het belangrijkste, daarna gebruik een "Google" om nog meer info te vinden
en er aan te doen.

[J. Reilink]

Esther wrote:
> Op Fri, 17 Oct 2003 08:47:29 +0200, schreef XXX:
>
>
>>ander Onderwerp en van steeds nieuwe afzenders // hellep !!! // PS: ik
>>ben eerder een leek in computeraffaires, en geef dus aub geen te moeilijke
>>uitleg
>
>
> Je gebruikt de slechtste mailer ter wereld om miserie te hebben en dan nog
> een ouwe, gebruik een echt e-mailprogramma (kijk eens naar tucows) en
> combineer dit met volgende software: http://www.firetrust.com/home/ Dat is
> het belangrijkste, daarna gebruik een "Google" om nog meer info te vinden
> en er aan te doen.
>

Wellicht dat <http://www.dsinet.org/?id=1530> voor de OP interessant is? Wel
Engelstalig, maar goed.

--
Met vriendelijke groet / Best regards,
Jan Reilink
Dutch Security Information Network,
http://www.dsinet.org

[Bart Lateur]

XXX wrote:

> c. blijkbaar blijf
>ik nog altijd berichten sturen naar personen die mij onbekend zijn, én d.
>het 'vals MS programma' sluipt binnen onder een ander Onderwerp en van
>steeds nieuwe afzenders // hellep !!!

Niet jouw schuld. Ik heb er méér dan 10000 ontvangen, en het gaat nog
steeds door, alhoewel veel minder nu.

Alles wijst erop dat Swen zijn slachtoffers vooral gaat zoeken in de
nieuwsgroepen. Jij bent misschien nooit besmet geweest. Het maakt niet
uit waarmee je mail stuurt, ook mensen op Linux of op Mac hebben hier
evenveel mee te kampen.

Swen is één van die virussen/wormen die de afzender vervalsen. Het is
niet écht een reactie op iets dat jij stuurde, de ander "denk"t dat
alleen maar. De "afzender" is net zozeer slachtoffer als de
bestemmeling.

Mijn oplossing? Ik heb een Perl script gemaakt dat een paar keer per uur
vanop mijn web server mijn mailbox scant en alles met een executable
attachment wist. De source is beschikbaar op

<http://perlmonks.org/index.pl?node_id=292982>

Nu en dan komt er nog één door, als ik mijn mail afhaal nadat het het
meer dan een paar minuten geleden is dat de laatste scan gebeurd is.
Maar op zijn minst loopt mijn mailbox niet meer vol.

De bounces wist het niet, omdat daar de executable uitgehaald is.
Meestal is de mail dan wel veel kleiner.

--
Bart.

[Esther]

Op Fri, 17 Oct 2003 10:38:05 +0000, schreef Bart Lateur:

> XXX wrote:
>
>> c. blijkbaar blijf
>>ik nog altijd berichten sturen naar personen die mij onbekend zijn, én
>>d. het 'vals MS programma' sluipt binnen onder een ander Onderwerp en van
>>steeds nieuwe afzenders // hellep !!!
>
> Niet jouw schuld. Ik heb er méér dan 10000 ontvangen, en het gaat nog
> steeds door, alhoewel veel minder nu.
>
> Alles wijst erop dat Swen zijn slachtoffers vooral gaat zoeken in de
> nieuwsgroepen. Jij bent misschien nooit besmet geweest. Het maakt niet uit
> waarmee je mail stuurt, ook mensen op Linux of op Mac hebben hier evenveel
> mee te kampen.
>

Waar haal je toch al die onzin uit?

Also Known As: Swen [F-Secure], W32/Swen@mm [McAfee], W32/Gibe-F [Sophos], I-Worm.Swen [KAV], Win32 Swen.A [CA], WORM_SWEN.A [Trend], Worm.Automat.AHB [Previous Symantec Detection]
Type: Worm
Infection Length: 106,496 bytes
Systems Affected: Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows Server 2003, Windows XP
Systems Not Affected: DOS, Linux, Macintosh, Microsoft IIS, OS/2, UNIX, Windows 3.x
CVE References: CVE-2001-0154

[Wannes]

op/on 17-10-2003 13:30 schreef/wrote Esther :

>> Alles wijst erop dat Swen zijn slachtoffers vooral gaat zoeken in de
>> nieuwsgroepen. Jij bent misschien nooit besmet geweest. Het maakt niet uit
>> waarmee je mail stuurt, ook mensen op Linux of op Mac hebben hier evenveel
>> mee te kampen.

> Waar haal je toch al die onzin uit?

Hangt ervan af hoe je "mee te kampen" interpreteert.

Ook Mac en *nix gebruikers hebben er last van _als ontvanger_ al kunnen hun
systemen er niet mee besmet raken.

..exe -> vuilbak

[Esther]

Op Fri, 17 Oct 2003 13:43:27 +0200, schreef Wannes:

> Hangt ervan af hoe je "mee te kampen" interpreteert.
>
> Ook Mac en *nix gebruikers hebben er last van _als ontvanger_ al kunnen
> hun systemen er niet mee besmet raken.
>
> .exe -> vuilbak

Klopt Wannes

[Dieter D'Hoker]

Esther wrote:
> Op Fri, 17 Oct 2003 13:43:27 +0200, schreef Wannes:
>
>> Hangt ervan af hoe je "mee te kampen" interpreteert.
>>
>> Ook Mac en *nix gebruikers hebben er last van _als ontvanger_ al
>> kunnen hun systemen er niet mee besmet raken.
>>
>> .exe -> vuilbak
>
> Klopt Wannes

Vind ik ook !


--
Dieter D'Hoker
http://dieter.dhoker.com/
news:free.nl.dieter.dhoker & news:alt.nl.fan.dieter.dhoker
Tetrinet SeRVer : TSRV.COM

[anonymous]

XXX <anybody@xs4all.be> bedacht usenet onlangs met het bericht
<news:3f8f9042$0$9891$ba620e4c@reader0.news.skynet .be>, en maakte ons
deelgenoot van:

> ik weet niet of ik in de juiste nieuwsgroep zit, ...

Neen. Met vragen over het configureren van uw e-mailprogramma of wat te
doen in geval van virusbesmetting, moet u in be.comp.internet,
nl.comp.virus of nl.comp.software.mailclients zijn. Deze nieuwsgroep gaat
over Belgische internetproviders.

--
Polar

[Bart Lateur]

Esther wrote:

>Waar haal je toch al die onzin uit?

>Systems Not Affected: DOS, Linux, Macintosh, Microsoft IIS, OS/2, UNIX, Windows 3.x
>CVE References: CVE-2001-0154

Als je mailbox 10MB van die dingen binnenkrijgt per uur, zoals dat de
eerste dagen bij mij het geval was, dan "heb je er last van".

--
Bart.

[Esther]

Op Fri, 17 Oct 2003 22:24:38 +0000, schreef Bart Lateur:

> Esther wrote:
>
>>Waar haal je toch al die onzin uit?
>
>>Systems Not Affected: DOS, Linux, Macintosh, Microsoft IIS, OS/2, UNIX,
>>Windows 3.x CVE References: CVE-2001-0154
>
> Als je mailbox 10MB van die dingen binnenkrijgt per uur, zoals dat de
> eerste dagen bij mij het geval was, dan "heb je er last van".

Zorg dat je ze niet binnenkrijgt hé....

[s|b]

On Sat, 18 Oct 2003 10:49:49 +0200, Esther wrote:

> > Als je mailbox 10MB van die dingen binnenkrijgt per uur, zoals dat de
> > eerste dagen bij mij het geval was, dan "heb je er last van".

> Zorg dat je ze niet binnenkrijgt hé....

Jij krijgt ze niet binnen via dat Yahoo-adres van je? Ik zit intussen
al aan m'n 7e alias of zo. Ongeveer 24u. na het aanmaken van zo'n
alias loopt de 4 MiB van de BC.net mailbox al terug vol. Geen
e-mailadres opgeven of het op een aanvaardbare manier vervormen lijkt
me wel een manier om het ding niet binnen te krijgen, maar als je wilt
werken met een geldig e-mailadres...

--
Ik usenet, dus ik ben.
<http://www.briachons.org/>

[Marco Desloovere]

s|b [Sat, 18 Oct 2003 12:05:21 GMT] wrote:

>On Sat, 18 Oct 2003 10:49:49 +0200, Esther wrote:
>
>> > Als je mailbox 10MB van die dingen binnenkrijgt per uur, zoals dat de
>> > eerste dagen bij mij het geval was, dan "heb je er last van".
>
>> Zorg dat je ze niet binnenkrijgt hé....
>
>Jij krijgt ze niet binnen via dat Yahoo-adres van je? Ik zit intussen
>al aan m'n 7e alias of zo. Ongeveer 24u. na het aanmaken van zo'n
>alias loopt de 4 MiB van de BC.net mailbox al terug vol.

Yep, en dat kan heel snel gaan, mijn oude BC.net mailbox was al na
zo'n kleine 6 uur vol!

>Geen
>e-mailadres opgeven of het op een aanvaardbare manier vervormen

Waarom <me@privacy.invalid> in jouw From: en niet <me@privacy.net>?

Op de eerste adres krijgen de mensen een bounce bericht terug als ze
iets aan deze versturen, maar op de tweede krijgen ze dit te zien:

| This is an autoresponse from me@privacy.net.
|
| The user who provided this address did not want you to have his/her
| e-mail address in an effort to try to prevent receiving unwanted
| e-mail and/or keep their identity private.
|
| E-mail sent to this account is deleted.
|
| remove addresses sent to privacy.net addresses
|
| http://privacy.net

Ik ben momenteel iets anders aan het testen met mijn yahoo-adres. Daar
krijg jij ook een auto-response, maar een informatieve met een link
naar een website met mijn adres...!

>lijkt
>me wel een manier om het ding niet binnen te krijgen, maar als je wilt
>werken met een geldig e-mailadres...

Wat deze Swen-worm betreft, schijnt het dat als er "nospam" in de
adres zit hij geen wormen aan deze adres verstuurt.
N.B. mijn Reply-To:-adres is dus geldig...

Marco

[s|b]

On Mon, 20 Oct 2003 01:04:06 +0200, Marco Desloovere wrote:

> >Geen
> >e-mailadres opgeven of het op een aanvaardbare manier vervormen
>
> Waarom <me@privacy.invalid> in jouw From: en niet <me@privacy.net>?
8< knip >8

Ik ben me bewust van privacy.net en de autoreply die deze verstuurt,
maar die .invalid is er om een reden. Mocht ik een geldige From-header
gebruiken, dan zal Agent een e-mail sturen als ik per ongeluk op R duw
ipv F (kan gebeuren, geloof me). Om dat te voorkomen gebruik ik die
..invalid. Als ik dan per ongeluk een e-mail probeer te versturen, dan
krijg ik een foutmelding.

> Wat deze Swen-worm betreft, schijnt het dat als er "nospam" in de
> adres zit hij geen wormen aan deze adres verstuurt.
> N.B. mijn Reply-To:-adres is dus geldig...

Zal ik eens proberen. Momenteel heb ik nog maar eens een andere alias
aangemaakt, maar binnen de 2 dagen wordt die waarschijnlijk ook weer
overspoeld.

--
Ik usenet, dus ik ben.
<http://www.briachons.org/>

[Marco Desloovere]

s|b [Mon, 20 Oct 2003 20:58:08 GMT] wrote:

>On Mon, 20 Oct 2003 01:04:06 +0200, Marco Desloovere wrote:
>
>> >Geen
>> >e-mailadres opgeven of het op een aanvaardbare manier vervormen
>>
>> Waarom <me@privacy.invalid> in jouw From: en niet <me@privacy.net>?
>8< knip >8
>
>Ik ben me bewust van privacy.net en de autoreply die deze verstuurt,
>maar die .invalid is er om een reden. Mocht ik een geldige From-header
>gebruiken, dan zal Agent een e-mail sturen als ik per ongeluk op R duw
>ipv F (kan gebeuren, geloof me). Om dat te voorkomen gebruik ik die
>.invalid. Als ik dan per ongeluk een e-mail probeer te versturen, dan
>krijg ik een foutmelding.

Jij kan dit zo oplossen:

1. Options > User and System Profile > User ... en daar jouw e-mail
adres invullen.
2. Group > Properties > Post ... en daar jouw e-mail adressen in From:
en/of Reply-To: invullen voor één of merdere newsgroups.

Moet dit voor al jouw newsgroups gebeuren, dan met een "select all"
alle newsgroups selecteren en dan 2.

Met het e-mail adres in 1. worden dan jouw doodgewone e-mail's
verstuurt, maar in 2. kan je andere e-mail adressen invullen.

HTH

>> Wat deze Swen-worm betreft, schijnt het dat als er "nospam" in de
>> adres zit hij geen wormen aan deze adres verstuurt.
>> N.B. mijn Reply-To:-adres is dus geldig...
>
>Zal ik eens proberen. Momenteel heb ik nog maar eens een andere alias
>aangemaakt, maar binnen de 2 dagen wordt die waarschijnlijk ook weer
>overspoeld.

Probeer eens een *geldige* adres met "nospam" aan te maken. Als alles
goed gaat, gaat Swen dan op zoek naar een ander slachtoffer...! >:->

Marco