🚀 go-pugleaf

Ron Abbink wrote:
> "Worm verandert mp3�s en installeert Trojaan
> Veel kans dat gebruikers erin trappen
> Kaspersky Lab waarschuwt voor een kwaadaardig programma dat
> mp3-bestanden omzet in het Windows Media Audio-formaat en ze daarna
> infecteert. Het doel is om vervolgens een Trojaans paard te installeren
> dat de aanvaller controle over de gecompromitteerde pc geeft.
> 
> Het antivirusbedrijf noemt deze worm bijzonder, omdat geluidsbestanden
> dit keer niet enkel worden gebruikt om malware te vermommen. 

Zoals bijv. beschreven in www.security.nl/article/18660/1

> Nee, in dit geval staan de audiobestanden werkelijk centraal bij de aanval. 
> De onderzoekers van Kaspersky hebben deze methode niet eerder in praktijk
> uitgevoerd gezien.

<knip>

> (reply) "Klopt, heeft te maken met de 'feature' van Windows media player
> die toestaat om URL's te openen in een media besatnd. de zgn. URLANDEXIT
> tag die opgenomen is in de bron van een muziek bestand. je kunt dit
> uitvinken in de registry van Media Player. Microsoft is van mening dat
> dit een 'feature' is. Ik zie dit uiteraard anders :)"

Hoe staat te lezen op bijv.
http://lognot.blogspot.com/2008/07/how-to-remove-trojanbrisva.html

> Ik ben niet tegengekomen dat ook andere mediaspelers dergelijke URL's
> openen via je browser, maar wees dus voorzichtig als een dergelijke
> oproep verschijnt. Check eerst in google of de naam van de codec en
> vooral locatie van de codec alarmbellen doen rinkelen. En vooral of
> betreffende codec ook te vinden is op de reguliere codec sites.
> 
> Als iemand zich er verder in verdiepen wil en ons wil melden of het
> alleen Windows Media Player betreft
> http://news.google.com/news?q=mp3+worm+OR+trojan&hl=en (Engelstalig)
> (de huidige 4 Nederlandstalige artikelen + commentaar
> http://news.google.nl/news?q=mp3+worm+OR+trojan heb ik al gecheckt)

Later bedacht ik me dat er waarschijnlijk nog wel meer artikelen te
vinden waren met
http://blogsearch.google.nl/blogsearch?q=mp3+worm+OR+trojan&scoring=d&num=100&lr=lang_nl&

Daarin stond o.a. een artikel met screenshots en duidelijke namen
http://www.freewebs.com/virusinformatiebeta/artikelen.htm?blogentryid=3529769 



dan kun je zien hoe het in de praktijk te werk gaat en dat de gebruikte
namen nog niet direct argwaan oproepen: Media Holding Enterpises,
missing-codecs(dot)com (niet naartoe gaan dus...).

Maar gezien de datum van het artikel (6 juni) zou het wel eens om een
soortgelijke worm kunnen gaan die al eerder opdook dan de
Engelse/Nederlandse artikelen waar ik me hiervoor op baseerde. Dus hou
je niet vast aan die namen (bovendien gebruiken slimme wormen steeds
wisselende namen).

gr, Ron

Mocht je nog verder wilt zoeken dan hierbij wat zoekqueries die ik maar
niet helemaal uitgespit heb...
http://blogsearch.google.nl/blogsearch?q=mp3+worm+OR+trojan&scoring=d&num=100
(blogsearch blijkt zowel blogs te tonen alsook de eerder vermelde
'news'artikelen)
En zelfs als je je met standaard-google beperkt tot de laatste maand
(http://www.google.nl/advanced_search?hl=nl) krijg je nog extreem veel
resultaten
http://www.google.nl/search?as_q=mp3&as_oq=worm+trojan&num=100&newwindow=1&c2coff=1&as_ft=i&as_qdr=m&as_dt=i

Hoe te verwijderen? bijv.
http://blogsearch.google.nl/blogsearch?q=remove+mp3+worm+OR+trojan&scoring=d&num=100