🚀 go-pugleaf

"Ron Abbink" <me@privacy.net> schreef in bericht 
news:g64naf$mnr$1@nl-news.euro.net...
> "Worm verandert mp3�s en installeert Trojaan
> Veel kans dat gebruikers erin trappen
> Kaspersky Lab waarschuwt voor een kwaadaardig programma dat
> mp3-bestanden omzet in het Windows Media Audio-formaat en ze daarna
> infecteert. Het doel is om vervolgens een Trojaans paard te 
> installeren
> dat de aanvaller controle over de gecompromitteerde pc geeft.
>
> Het antivirusbedrijf noemt deze worm bijzonder, omdat 
> geluidsbestanden
> dit keer niet enkel worden gebruikt om malware te vermommen. Nee, in 
> dit
> geval staan de audiobestanden werkelijk centraal bij de aanval. De
> onderzoekers van Kaspersky hebben deze methode niet eerder in 
> praktijk
> uitgevoerd gezien.
>
> Geen argwaan
> De worm converteert dus mp3-bestanden naar het WMA-formaat en voegt 
> een
> link toe. De vertrouwde mp3-extensie blijft onveranderd, zodat de
> gebruiker geen argwaan krijgt.
> Tijdens het afspelen van het bestand opent de link automatisch een
> ge�nfecteerde pagina in Internet Explorer. De gebruiker krijgt een
> pop-up te zien en het verzoek om een codec te downloaden en te
> installeren. Die codec is in feite een Trojaans paard, die de 
> crimineel
> controle geeft over het systeem.
>
> Kaspersky acht de kans op een succesvolle aanval aanzienlijk. De 
> meeste
> gebruikers vertrouwen hun audiobestanden namelijk en associ�ren ze 
> niet
> met eventuele infecties. Bovendien hebben veel mediaspelers geregeld
> ge�pdatete codecs nodig en zullen veel gebruikers niet verbaasd zijn
> over het verzoek er ��n te downloaden."
> http://www.zdnet.nl/techzone.cfm?id=88489   22 juli 2008
>
>
> "Trojaans paard infecteert MP3 en videobestanden
> Een nieuw ontdekt Trojaans paard gebruikt video- en muziekbestanden 
> van
> zijn slachtoffers om zichzelf te verspreiden. De malware voegt zijn
> kwaadaardige lading toe aan alle bestanden die op het Advanced 
> Systems
> Format (ASF) gebaseerd zijn, een populair formaat voor zowel audio 
> als
> video content zoals MP3, WMA en WMV. Gebruikers die de besmette
> bestanden proberen af te spelen wordt verteld dat er een codec nodig 
> is,
> wat in werkelijkheid het Trojaanse paard is.
>
> Heeft de gebruiker de codec ge�nstalleerd, dan zal Windows Media 
> Player
> hier niet meer om vragen, zodat het slachtoffer denkt dat alles in 
> orde
> is. Ondertussen wordt echter zijn complete multimedia collectie 
> besmet.
> De malware blijkt ook MP2 en MP3-bestanden te converteren naar 
> Windows
> Media Audio (WMA) bestanden.
>
> Trojan.ASF.Hijacker verspreidt zich niet alleen via P2P-netwerken 
> waar
> gebruikers hun besmette collectie delen, maar ook via Warezsites 
> waar
> het zich voordoet als een keygenerator voor bepaalde software
> programma's. De malware heeft als uiteindelijke doel het stelen van
> gebruikersnamen en wachtwoorden."
> www.security.nl/article/19073/1  12 juli 2008 (de andere .nl tech 
> sites
> waren flink wat later met het nieuws).
>
>
> Uit het commentaar aldaar:
> "En ? Dus is alleen Windows (specifiek Media Player) hier
> gevoelig voor?"
> (reply) "Klopt, heeft te maken met de 'feature' van Windows media 
> player
> die toestaat om URL's te openen in een media besatnd. de zgn. 
> URLANDEXIT
> tag die opgenomen is in de bron van een muziek bestand. je kunt dit
> uitvinken in de registry van Media Player. Microsoft is van mening 
> dat
> dit een 'feature' is. Ik zie dit uiteraard anders :)"
>
>
> Ik ben niet tegengekomen dat ook andere mediaspelers dergelijke 
> URL's
> openen via je browser, maar wees dus voorzichtig als een dergelijke
> oproep verschijnt. Check eerst in google of de naam van de codec en
> vooral locatie van de codec alarmbellen doen rinkelen. En vooral of
> betreffende codec ook te vinden is op de reguliere codec sites.
>
> Als iemand zich er verder in verdiepen wil en ons wil melden of het
> alleen Windows Media Player betreft
> http://news.google.com/news?q=mp3+worm+OR+trojan&hl=en (Engelstalig)
> (de huidige 4 Nederlandstalige artikelen + commentaar
> http://news.google.nl/news?q=mp3+worm+OR+trojan heb ik al gecheckt)
>
> "De malware heet bij Kaspersky Worm.Win32.GetCodec.a, bij Secure
> Computing gaat hij als Trojan.ASF.Hijacker.gen door het leven en 
> Trend
> Micro duidt hem aan als Troj_Medpinch.a."
> uit
> www.webwereld.nl/articles/51959/nieuwe-worm-verstopt-in-muziekbestanden.html
>
> Je mag dus verwachten dat malware scanners van deze bedrijven de 
> trojan
> kunnen detecteren. (Kijk zonodig op de site van je eigen malware
> beschermer).
> Dus scan je systeem eens -met de recentste malware definities- en 
> zorg
> dat daarbij niet allerlei beperkingen aanstaan (bijv. grote files
> overgeslagen...)
>
> gr, Ron

Dat is niet zo mooi, want ik heb juist toevallig een kwartier geleden 
gehoord van een van mijn relaties, waaraan ik kort geleden een 
opgewerkt ouder maar nog heel goed computertje uit een hele grote 
kantoorvoorraad heb verstrekt, dat de hare met deze Trojan besmet is.

Gelukkig heb ik "ruil"-machines, en heeft zij haar documenten gesaved, 
maar mijn vraag is, wat nu te doen met haar besmet systeem? En hoe de 
Trojan eraf te krijgen?

Met dank voor 't antwoord.
Groet, Jules.

'\�_�/'
 

Ron Abbink wrote:
> "Worm verandert mp3�s en installeert Trojaan
> Veel kans dat gebruikers erin trappen
> Kaspersky Lab waarschuwt voor een kwaadaardig programma dat
> mp3-bestanden omzet in het Windows Media Audio-formaat en ze daarna
> infecteert. Het doel is om vervolgens een Trojaans paard te installeren
> dat de aanvaller controle over de gecompromitteerde pc geeft.
> 
> Het antivirusbedrijf noemt deze worm bijzonder, omdat geluidsbestanden
> dit keer niet enkel worden gebruikt om malware te vermommen. 

Zoals bijv. beschreven in www.security.nl/article/18660/1

> Nee, in dit geval staan de audiobestanden werkelijk centraal bij de aanval. 
> De onderzoekers van Kaspersky hebben deze methode niet eerder in praktijk
> uitgevoerd gezien.

<knip>

> (reply) "Klopt, heeft te maken met de 'feature' van Windows media player
> die toestaat om URL's te openen in een media besatnd. de zgn. URLANDEXIT
> tag die opgenomen is in de bron van een muziek bestand. je kunt dit
> uitvinken in de registry van Media Player. Microsoft is van mening dat
> dit een 'feature' is. Ik zie dit uiteraard anders :)"

Hoe staat te lezen op bijv.
http://lognot.blogspot.com/2008/07/how-to-remove-trojanbrisva.html

> Ik ben niet tegengekomen dat ook andere mediaspelers dergelijke URL's
> openen via je browser, maar wees dus voorzichtig als een dergelijke
> oproep verschijnt. Check eerst in google of de naam van de codec en
> vooral locatie van de codec alarmbellen doen rinkelen. En vooral of
> betreffende codec ook te vinden is op de reguliere codec sites.
> 
> Als iemand zich er verder in verdiepen wil en ons wil melden of het
> alleen Windows Media Player betreft
> http://news.google.com/news?q=mp3+worm+OR+trojan&hl=en (Engelstalig)
> (de huidige 4 Nederlandstalige artikelen + commentaar
> http://news.google.nl/news?q=mp3+worm+OR+trojan heb ik al gecheckt)

Later bedacht ik me dat er waarschijnlijk nog wel meer artikelen te
vinden waren met
http://blogsearch.google.nl/blogsearch?q=mp3+worm+OR+trojan&scoring=d&num=100&lr=lang_nl&

Daarin stond o.a. een artikel met screenshots en duidelijke namen
http://www.freewebs.com/virusinformatiebeta/artikelen.htm?blogentryid=3529769 



dan kun je zien hoe het in de praktijk te werk gaat en dat de gebruikte
namen nog niet direct argwaan oproepen: Media Holding Enterpises,
missing-codecs(dot)com (niet naartoe gaan dus...).

Maar gezien de datum van het artikel (6 juni) zou het wel eens om een
soortgelijke worm kunnen gaan die al eerder opdook dan de
Engelse/Nederlandse artikelen waar ik me hiervoor op baseerde. Dus hou
je niet vast aan die namen (bovendien gebruiken slimme wormen steeds
wisselende namen).

gr, Ron

Mocht je nog verder wilt zoeken dan hierbij wat zoekqueries die ik maar
niet helemaal uitgespit heb...
http://blogsearch.google.nl/blogsearch?q=mp3+worm+OR+trojan&scoring=d&num=100
(blogsearch blijkt zowel blogs te tonen alsook de eerder vermelde
'news'artikelen)
En zelfs als je je met standaard-google beperkt tot de laatste maand
(http://www.google.nl/advanced_search?hl=nl) krijg je nog extreem veel
resultaten
http://www.google.nl/search?as_q=mp3&as_oq=worm+trojan&num=100&newwindow=1&c2coff=1&as_ft=i&as_qdr=m&as_dt=i

Hoe te verwijderen? bijv.
http://blogsearch.google.nl/blogsearch?q=remove+mp3+worm+OR+trojan&scoring=d&num=100

Jules Zollner. wrote:
> "Ron Abbink" <me@privacy.net> schreef
>> "Worm verandert mp3�s en installeert Trojaan

>> Je mag dus verwachten dat malware scanners van deze bedrijven de 
>> trojan kunnen detecteren.
>> (Kijk zonodig op de site van je eigen malware beschermer).
>> Dus scan je systeem eens -met de recentste malware definities- en 
>> zorg dat daarbij niet allerlei beperkingen aanstaan
>> (bijv. grote files overgeslagen...)
>>
>> gr, Ron
> 
> Dat is niet zo mooi, want ik heb juist toevallig een kwartier geleden 
> gehoord van een van mijn relaties, waaraan ik kort geleden een 
> opgewerkt ouder maar nog heel goed computertje uit een hele grote 
> kantoorvoorraad heb verstrekt, dat de hare met deze Trojan besmet is.
> 
> Gelukkig heb ik "ruil"-machines, en heeft zij haar documenten gesaved, 
> maar mijn vraag is, wat nu te doen met haar besmet systeem? En hoe de 
> Trojan eraf te krijgen?

Allereerst je anti-virus/malware scanner gebruiken (zoals ik al
beschreven had).

Als dat nog niet voldoende helpt, ik kwam wat suggesties tegen in
http://blogsearch.google.nl/blogsearch?q=remove+mp3+worm+OR+trojan&scoring=d&num=100
(voor een aanvulling die ik gelijktijdig met jouw vraag postte).

En daarna natuurlijk preventief wat uitschakelen in Windows Media Player
http://lognot.blogspot.com/2008/07/how-to-remove-trojanbrisva.html

> Met dank voor 't antwoord.
> Groet, Jules.

(BTW knippen mag, zie de site met de 'onvriendelijke' naam
http://www.leerquoten.nl/quote.html)

gr, Ron

"Ron Abbink" <me@privacy.net> schreef in bericht 
news:g64si5$p37$1@nl-news.euro.net...
> Jules Zollner. wrote:
>> "Ron Abbink" <me@privacy.net> schreef
>>> "Worm verandert mp3�s en installeert Trojaan
>
>>> Je mag dus verwachten dat malware scanners van deze bedrijven de 
>>> trojan kunnen detecteren.
>>> (Kijk zonodig op de site van je eigen malware beschermer).
>>> Dus scan je systeem eens -met de recentste malware definities- en 
>>> zorg dat daarbij niet allerlei beperkingen aanstaan
>>> (bijv. grote files overgeslagen...)
>>>
>>> gr, Ron
>>
>> Dat is niet zo mooi, want ik heb juist toevallig een kwartier 
>> geleden gehoord van een van mijn relaties, waaraan ik kort geleden 
>> een opgewerkt ouder maar nog heel goed computertje uit een hele 
>> grote kantoorvoorraad heb verstrekt, dat de hare met deze Trojan 
>> besmet is.
>>
>> Gelukkig heb ik "ruil"-machines, en heeft zij haar documenten 
>> gesaved, maar mijn vraag is, wat nu te doen met haar besmet 
>> systeem? En hoe de Trojan eraf te krijgen?
>
> Allereerst je anti-virus/malware scanner gebruiken (zoals ik al
> beschreven had).
>
> Als dat nog niet voldoende helpt, ik kwam wat suggesties tegen in
> http://blogsearch.google.nl/blogsearch?q=remove+mp3+worm+OR+trojan&scoring=d&num=100
> (voor een aanvulling die ik gelijktijdig met jouw vraag postte).
>
> En daarna natuurlijk preventief wat uitschakelen in Windows Media 
> Player
> http://lognot.blogspot.com/2008/07/how-to-remove-trojanbrisva.html
>
>> Met dank voor 't antwoord.
>> Groet, Jules.
>
> (BTW knippen mag, zie de site met de 'onvriendelijke' naam
> http://www.leerquoten.nl/quote.html)
>
> gr, Ron
>


Zeer hartelijke dank.
Ik krijg het bewuste machientje van dat jonge meisje hier
en zal het ruilen voor een identieke "schone" hier,
en dan ga ik er zorgvuldig mee aan de slag.
Het is wel mooi dat ze zelf de besmetting meldde.
Ik zal nog uitzoeken hoe ze dat deed.
Vermoedelijk heeft ze 'n foutmelding van de firewall
of de virusscanner gekregen die ze niet begreep.
Die jonge meisjes scharrelen veel met hun mp3'tjes en
wat dies meer zij. Ze "doen daar veel bij op",
ondanks al mijn waarschuwingen.

Nogmaals hartelijk dank voor het antwoord,
ik kan ermee aan de slag.
Groet, Jules.

'\~_~/'

 

"Ron Abbink" <me@privacy.net> schreef in bericht 
news:g64rrs$omt$1@nl-news.euro.net...
> Ron Abbink wrote:
>> "Worm verandert mp3�s en installeert Trojaan
>> Veel kans dat gebruikers erin trappen
>> Kaspersky Lab waarschuwt voor een kwaadaardig programma dat
>> mp3-bestanden omzet in het Windows Media Audio-formaat en ze daarna
>> infecteert. Het doel is om vervolgens een Trojaans paard te 
>> installeren
>> dat de aanvaller controle over de gecompromitteerde pc geeft.
>>
>> Het antivirusbedrijf noemt deze worm bijzonder, omdat 
>> geluidsbestanden
>> dit keer niet enkel worden gebruikt om malware te vermommen.
>
> Zoals bijv. beschreven in www.security.nl/article/18660/1
>
>> Nee, in dit geval staan de audiobestanden werkelijk centraal bij de 
>> aanval. De onderzoekers van Kaspersky hebben deze methode niet 
>> eerder in praktijk
>> uitgevoerd gezien.
>
> <knip>
>
>> (reply) "Klopt, heeft te maken met de 'feature' van Windows media 
>> player
>> die toestaat om URL's te openen in een media besatnd. de zgn. 
>> URLANDEXIT
>> tag die opgenomen is in de bron van een muziek bestand. je kunt dit
>> uitvinken in de registry van Media Player. Microsoft is van mening 
>> dat
>> dit een 'feature' is. Ik zie dit uiteraard anders :)"
>
> Hoe staat te lezen op bijv.
> http://lognot.blogspot.com/2008/07/how-to-remove-trojanbrisva.html
>
>> Ik ben niet tegengekomen dat ook andere mediaspelers dergelijke 
>> URL's
>> openen via je browser, maar wees dus voorzichtig als een dergelijke
>> oproep verschijnt. Check eerst in google of de naam van de codec en
>> vooral locatie van de codec alarmbellen doen rinkelen. En vooral of
>> betreffende codec ook te vinden is op de reguliere codec sites.
>>
>> Als iemand zich er verder in verdiepen wil en ons wil melden of het
>> alleen Windows Media Player betreft
>> http://news.google.com/news?q=mp3+worm+OR+trojan&hl=en 
>> (Engelstalig)
>> (de huidige 4 Nederlandstalige artikelen + commentaar
>> http://news.google.nl/news?q=mp3+worm+OR+trojan heb ik al gecheckt)
>
> Later bedacht ik me dat er waarschijnlijk nog wel meer artikelen te
> vinden waren met
> http://blogsearch.google.nl/blogsearch?q=mp3+worm+OR+trojan&scoring=d&num=100&lr=lang_nl&
>
> Daarin stond o.a. een artikel met screenshots en duidelijke namen
> http://www.freewebs.com/virusinformatiebeta/artikelen.htm?blogentryid=3529769
>
>
> dan kun je zien hoe het in de praktijk te werk gaat en dat de 
> gebruikte
> namen nog niet direct argwaan oproepen: Media Holding Enterpises,
> missing-codecs(dot)com (niet naartoe gaan dus...).
>
> Maar gezien de datum van het artikel (6 juni) zou het wel eens om 
> een
> soortgelijke worm kunnen gaan die al eerder opdook dan de
> Engelse/Nederlandse artikelen waar ik me hiervoor op baseerde. Dus 
> hou
> je niet vast aan die namen (bovendien gebruiken slimme wormen steeds
> wisselende namen).
>
> gr, Ron
>
> Mocht je nog verder wilt zoeken dan hierbij wat zoekqueries die ik 
> maar
> niet helemaal uitgespit heb...
> http://blogsearch.google.nl/blogsearch?q=mp3+worm+OR+trojan&scoring=d&num=100
> (blogsearch blijkt zowel blogs te tonen alsook de eerder vermelde
> 'news'artikelen)
> En zelfs als je je met standaard-google beperkt tot de laatste maand
> (http://www.google.nl/advanced_search?hl=nl) krijg je nog extreem 
> veel
> resultaten
> http://www.google.nl/search?as_q=mp3&as_oq=worm+trojan&num=100&newwindow=1&c2coff=1&as_ft=i&as_qdr=m&as_dt=i
>
> Hoe te verwijderen? bijv.
> http://blogsearch.google.nl/blogsearch?q=remove+mp3+worm+OR+trojan&scoring=d&num=100
> 

excuses, het verkeerde bericht verzonden.