Seltsame Email!

[TomM]

Je Herrgott nochmal, will es denn keiner glauben .

le loup, das ist der trick dieses neuen Virus, klick auf den Anhang, egal was da für eine Endung steht, aktiviert das Ding, deshalb nimmt er doch so zu. Er soll angeblich am 14.02.2004 seine Tätigkeit einstellen! Bis dahin soll es eine DoS Attake geben.

Die Tarnung ist eine *.zip, eine *.txt eine*.pdf ist eh nix neues mehr und was weiß ich noch DAMIT KOMMT DER VIRUS REIN, glaub es doch endlich, das macht ihn gerade so gefährlich.

Dass der *.txt kein reiner Tesxt ist merkst Du zu spät!

Ich red mir hier den Mund fusselig, nur glauben will es keiner

Der MyDoom-Wurm tarnt ausführbare E-Mail-Anhänge als Textdateien, so dass unbedarfte Anwender in den Glauben versetzt werden, sie starten lediglich eine Textdatei und keine ausführbare Datei. Zudem suggeriert der englischsprachige E-Mail-Text, dass es Fehler beim Empfang der betreffenden E-Mail gegeben habe und weitere Informationen im Anhang zu finden seien. Wird dann der Anhang vom Opfer geöffnet, beginnt die Infizierung mit dem Schädling.

Die E-Mails tragen wechselnde englischsprachige Betreffzeilen, Nachrichtentexte und auch die Dateinamen der Anhänge stammen aus einer Auswahl an Vorlagen, wobei die mit dem Wurm-Code versehenen Anhänge auf die Endungen bat, cmd, exe, pif, scr oder zip enden.

Der gesamte Text ist hier: (das Ding ist sauber)

http://www.golem.de/0401/29467.html

le loup lies erst - bitte

[TomM]

Warum wohl?!?

The Winner is ... der MyDoom-Wurm


MyDoom-Wurm verbreitet sich deutlich stärker als bisheriger Spitzenreiter


Der in der Nacht vom 26. auf den 27. Januar 2004 entdeckte Wurm MyDoom alias Novarg oder Mimail.R scheint sich in der Geschichte der Computer-Würmer einen Spitzenplatz bei der Verbreitung zu ergattern. Bereits in den ersten Stunden verzeichneten die Labors der Antivirenhersteller eine besonders starke Verbreitung, die weiter explosionsartig ansteigt.

So erhielt der E-Mail-Provider Postini den Wurm Sobig.F zu Spitzenzeiten 3,5 Millionen Mal, während MyDoom bereits am zweiten Tag nach dem Ausbruch bereits um 11:00 Uhr auf über 2 Millionen Ableger kommt und damit wohl im Laufe des Tages den Rekord von Sobig.F ohne großen Aufwand erreichen oder sogar deutlich übertreffen wird. Bereits in dieser Woche beläuft sich die Anzahl der bei Postini eingegangenen Würmer auf 3,3 Millionen, was somit mehr als doppelt so viel wie in den vier Wochen zuvor darstellt.

Bevor Sobig.F den Verbreitungsrekord im Internet aufstellte, gehörte der Wurm Klez.H zu den Spitzenreitern, wobei die damals von Symantec gezählten 3.000 Würmer am ersten Tag heute schon fast als unbedeutend erscheinen. Allein in den ersten neun Stunden nach Ausbruch von MyDoom zählte Symantec knapp 1.000 derartiger Schädlinge.

[dieter]

..mein scanner hat ihn immer erkannt ... schon beim abholen der mail.... cool bleim!!

[le loup]

Zitat von TomM

Je Herrgott nochmal, will es denn keiner glauben .

le loup, das ist der trick dieses neuen Virus, klick auf den Anhang, egal was da für eine Endung steht, aktiviert das Ding, deshalb nimmt er doch so zu. Er soll angeblich am 14.02.2004 seine Tätigkeit einstellen! Bis dahin soll es eine DoS Attake geben.

bitte keine panik
ich sagte/schrieb/bestätigte doch schon, das es ein trick ist.

Die Tarnung ist eine *.zip, eine *.txt eine*.pdf ist eh nix neues mehr und was weiß ich noch DAMIT KOMMT DER VIRUS REIN, glaub es doch endlich, das macht ihn gerade so gefährlich.

Dass der *.txt kein reiner Tesxt ist merkst Du zu spät!

nein
bei richtigen einstellungen sieht man das.
die von M$ standardmässig ausgelieferten einstellungen machen leider diese tarnung möglich.
also muss man diese einstellungen ändern.
was man dabei zu beachten hat habe ich in mehreren beiträgen bereits erläutert.

Ich red mir hier den Mund fusselig, nur glauben will es keiner

das tu ich auch ...
wir beide wollen denselben feind bekämpfen.
nur ist unsere strategie unterschiedlcih.

Der MyDoom-Wurm tarnt ausführbare E-Mail-Anhänge als Textdateien, so dass unbedarfte Anwender in den Glauben versetzt werden, sie starten lediglich eine Textdatei und keine ausführbare Datei.

auch das wurde bereits mehrfach diskutiert.
man muss also die tarnung erkennen.

und weil das hier im forum so oft diskutiert wurde dürfte es nunmehr - zumindest hier - so unbedarfte anwender nicht mehr geben.

Zudem suggeriert der englischsprachige E-Mail-Text, dass es Fehler beim Empfang der betreffenden E-Mail gegeben habe und weitere Informationen im Anhang zu finden seien. Wird dann der Anhang vom Opfer geöffnet, beginnt die Infizierung mit dem Schädling.

da stimme ich völlig zu.
siehe weiter oben zum "mail daemon"

wer keine englischsprachigen korrespondenzpartner hat verfügt über keinen grund, sowas nicht zu löschen.
für den rest der welt:
jedweder mailer-daemon schickt "returned mail" und ähnliche fehlermeldungen immer als plain text.
die originale sind dann entweder als plain-text in der mail oder als anhang dran.
auch hier gibt es keinen grund, den anhang zu öffnen.
alle relevanten daten stehen im text-body

Die E-Mails tragen wechselnde englischsprachige Betreffzeilen, Nachrichtentexte und auch die Dateinamen der Anhänge stammen aus einer Auswahl an Vorlagen, wobei die mit dem Wurm-Code versehenen Anhänge auf die Endungen bat, cmd, exe, pif, scr oder zip enden.

stimmt.
es können aber, je nach malware, auch wahlweise deutschsprachige betreffzeilen und texte sein.
eine aufstellung potentiell gefährlicher anhänge habe ich bereits mehrfach in genau diesem thread veröffentlicht.

Der gesamte Text ist hier: (das Ding ist sauber)

http://www.golem.de/0401/29467.html

le loup lies erst - bitte

ich kenne golem
die sind leider - wie auch zd-net und heise - nicht mehr so präzise in ihren texten wie es früher mal war.
leider ist es in letzter mode geworden, den sensationsjournalismus auch dort einzuführen.

es ist doch völlig egal, welche schäden irgendwelche malware anrichtet.

wichtig ist es ausschliesslich, die ausführung solcher malware zu verhindern.

dazu gehören folgende methoden:
1) durch entsprechende änderungen von grundeinstellungen und gegebenenfalls in der registry die feinde sichtbar zu machen.
2) gefährliche programme/routinen/ansichten zu entsorgen
3) den blick für solche feinde zu schärfen

wer sich ausschliesslich auf virenscanner verlässt sitzt mit dem hintern auf der immer heisser werdenden herdplatte.
(siehe hierzu den beitrag in der aktuellen c´t - viele mittels baukästen erstellte malware werden von virenscannern nicht erkannt)

wir beide bekämpfen den feind malware.
meine strategie ist diese:
verbreitung von wissen um grundsätzliche sicherheitsprobleme von windows, informationen zur behebung solcher probleme und bewusstes handeln der anwender/anwenderinnen in diesem zusammenhang.

letzendlich ist es so, dass wir im dschungel dieser virtuellen welt leben.
wir müssen also unsere uralten instinkte der gefahrenabwehr schärfen und auf die aktuelle situation trainieren.

zum schluss mal wieder ein beispiel:
du fährst links neben einem lastzug. ein unangenehmes gefühl, denn diese gigantische schrankwand neben dir kann dich durch geringfügige kursänderung zerqueteschen. allerdings könntest du dich durch scharfes beschleunigen (wen interssiert in so einem falle ne geschwindigkeitsbeschränkung) oder scharfes bremsen retten.
bis du die seitliche bewegung dieses koloss erkannt hast ist es jedoch eventuell zu spät.

eine ausweglose situation?
nein!
beobachte sein linkes vorderrad.
du wirst die kleinste winkeländerung erkennen und kannst angemessen handeln bevor sich die gigantische masse bewegt.

und so ähnlich isses überall im dschungel der zivilisation.
die die bedrohungen haben sich verändert aber unser gespür für gefahren muss nur auf diese neuen bedrohungen trainiert werden.

nun ist es wieder so ein langer text geworden, aber mit zwei zeilen lässt sich das nicht erklären.

ich hoffe, ich hab euch nicht gelangweilt

le loup

[apiroma]

Moin,
wobei sco.com ja die Firma ist, die versucht, Linuxgebühren einzutreiben, obwohl Linux ja frei ist und sogar auch von dieser Firma verbreitet wurde (ganz grob beschrieben).
Dies stieß einem Cracker sauer auf und er schrieb den Wurm.
Kann mir mal jemand eine mail senden, wo der neue Wurm enthalten ist??
Ich brauche ihn für unseren Info-Unterricht.
mail bitte mit einer P.N. (wegen Betreffzeile vereinbaren) vorher ankündigen.
MfG
K-H

[PS-skipper]

He tom,hallo le loup ,
die Texte sind nicht zu lang, man lernt viel daraus
(allerdings verstehe ich vieles nicht)doch etwas bleibt immer hängen. Danke!!!

[le loup]

Zitat von apiroma

Moin,
wobei sco.com ja die Firma ist, die versucht, Linuxgebühren einzutreiben, obwohl Linux ja frei ist und sogar auch von dieser Firma verbreitet wurde (ganz grob beschrieben).
Dies stieß einem Cracker sauer auf und er schrieb den Wurm.
.......
K-H

moin

als anhänger diverser verschwörungstheorien ist es für mich völlig klar, dass diese malware von SCO in die welt gesetzt wurde um nun als opfer dazustehen.
wer einmal den film "waging the dog" gesehen hat hält nichts mehr für unmöglich.

le loup

[Stephan Reuter]

Cyrus:

Die "neuen" Viren bringen ihren eigenen SMTP mit.

Für die, die jetzt denken "huh?! Wasn das?"
SMTP=Simple Mail Transfer Protocol

Grob (sehr grob) gesagt ist das das Programm, welches Mails verschicken kann.*

*Für die technisch interessierten: Auch mal nach MTA gucken (Mail Transfer Agent) ;)

[dieter]

... heute ist der erste W32.Novarg.A@mm Virus mit Kennung aus dem Forum bei mir eingegangen.....

wer hat andre`s emailadresse am rechner und keinen scanner !!

[TomM]

Das hat nix damit zu tun, der Wurm scant im Netz nach E-Mali Adressen, u.a. auch in php Daten. Die nimmt er dann als Absender und auch als Empfänger.

Ach ja, cyrus hatt einen Anhang angeguckt !?!

[dieter]

..hab ich schon gesehen... ich verfolge das thema ganz genau...

[TomM]

Sogar der Spiegel beschäftigt sich mit Doom/Novarg:

http://www.spiegel.de/netzwelt/techn...284018,00.html

[Cyrus]

Zitat von TomM

Das hat nix damit zu tun, der Wurm scant im Netz nach E-Mali Adressen, u.a. auch in php Daten. Die nimmt er dann als Absender und auch als Empfänger.

Ach ja, cyrus hatt einen Anhang angeguckt !?!

Ja Tom mit meinem Apple... Der frißt die Würmer zum Frühstück.

[TomM]

Hihi, da springt er doch gleich drauf an

Aber nun nochmal wat neues, soll wohl auf unsere Neugierde zielen:

Hallo Herr Koziel,
als Anhang wie besprochen die Tabellen für das Vorhaben von Frau Glatthaar.
Mit freundlichen Grüßen
Ursula Gelsdorf
Gelsdorf & Partner
Dorfstraße 88
D-47259 Duisburg
Tel: 0203/ 75 11 03
Fax: 0203/ 75 11 04
e-mail: gelsdorf@gelsdorf-partner.de

Header:

X-***Id: 0000773D***4C32AE61
Received: from ***.0.0.1:11000
by *** DSL (***.0.0.1:4008) with POP3
; Fri, 30 Jan 2004 12:46:14 +0100
Received: from moutng.kundenserver.de (moutng.kundenserver.de [212.227.126.187])
by mailin.webmailer.de (8.12.10/8.12.10) with ESMTP id i0UBCGX5006892
for <KHK@vindo.de>; Fri, 30 Jan 2004 12:12:40 +0100 (MET)
Received: from [212.227.126.179] (helo=mrelayng.kundenserver.de)
by moutng.kundenserver.de with esmtp (Exim 3.35 #1)
id 1AmWPq-0000mo-00
for KHK@vindo.de; Fri, 30 Jan 2004 12:02:26 +0100
Received: from [80.135.182.75] (helo=Gelsdorf)
by mrelayng.kundenserver.de with asmtp (Exim 3.35 #1)
id 1AmWPc-0006F0-00
for KHK@vindo.de; Fri, 30 Jan 2004 12:02:12 +0100
Date: Fri, 30 Jan 2004 12:00:43 +0100
From: "Ursula Gelsdorf" <Gelsdorf@Gelsdorf-Partner.de>
Subject: Tabellen
To: <KHK@vindo.de>
Reply-To: "Ursula Gelsdorf" <Gelsdorf@Gelsdorf-Partner.de>
Message-Id: <000a01c3e720$4eaee3c0$0200a8c0@Gelsdorf>
Mime-Version: 1.0
Content-Type: multipart/mixed;
boundary="----=_NextPart_000_0005_01C3E728.AFEB5710"
X-Envelope-To: <KHK@vindo.de>
X-Priority: 3
X-Envelope-From: <Gelsdorf@gelsdorf-partner.de>
X-Delivery-Time: 1075461160
Organization: Gelsdorf + Partner
X-MSMail-Priority: Normal
X-Mailer: Microsoft Outlook Express 6.00.2800.1158
X-MimeOLE: Produced By Microsoft MimeOLE V6.00.2800.1165
X-Provags-ID: kundenserver.de abuse@kundenserver.de auth:77baccdf72fc257f826a03b945e29ae2

Da dran baumeln fünf *.pdf Dateien, die der scanner nicht erkannt hat, ich verifiziere gerade ob die Mail echt ist.

[TomM]

Eben geht die DoS Attake los

Header:

X-KENId: 00000FA4KEN4D3382AB
Received: from 127.0.0.1:11000
by KEN! DSL (127.0.0.1:2182) with POP3
; Fri, 30 Jan 2004 17:26:46 +0100
Received: from woz.ch (woz-server.woz.ch [212.117.202.10])
by mailin.webmailer.de (8.12.10/8.12.10) with ESMTP id i0UGVekq028457
for <julie@metasco.de>; Fri, 30 Jan 2004 17:31:40 +0100 (MET)
Date: Fri, 30 Jan 2004 17:38:43 +0100
From: error@woz.ch
Subject: automatic reply
To: julie@metasco.de
Message-Id: <1136641773-22530010@woz.ch>
X-Envelope-To: <julie@metasco.de>
X-Envelope-From: <>
X-Delivery-Time: 1075480300

Text:

Die Mailadresse, die Sie angeschrieben haben, existiert bei der WoZ nicht. Ihre Mail konnte daher leider nicht empfangen werden. Bitte ueberpruefen Sie die Schreibweise der Mailadresse und senden Sie die E-Mail noch einmal. Danke.
WochenZeitung, WoZ

(Mailadressen von WoZ-MitarbeiterInnen setzen sich zusammen aus dem Anfangsbuchstaben des Vornamens und dem Nachnamen - in einem Wort und klein geschrieben. Gretli Meier waere also gmeier@woz.ch. Mailadressen von bestimmten Ressorts finden Sie ausserdem unter http://www.woz.ch/ im Impressum, welches ueber den Link "Intern" zu erreichen ist.)

Ich denke morgen ist das Netz fast down, zuviele haben draufgeklickt. Das ist die Dritte returned Mail in 5 Minuten, es gibt keine Julia und keine Alex bei uns.

[apiroma]

Ja die Armen,
wenn der mail-Server nicht dicht oder falsch konfiguriert ist.
Kann man nur viel Spaß wünschen.

[ugies]

Moin,

bei mir sind es ca. 200 mails pro Tag, die Netscape und mein Virenscanner zum Glück zuverlässig abfiltern. Allerdings kann es dabei vorkommen, dass auch ein erwünschtes Mail gelöscht wird. Bitte habt Verständnis.

Gruß
Uwe

[TomM]

Das wird ja immer doller

Header:

X-KENId: 00004F8CKEN4D731715
Received: from 127.0.0.1:11000
by KEN! DSL (127.0.0.1:2003) with POP3
; Fri, 30 Jan 2004 18:36:13 +0100
Received: from mail.swisstourfed.ch (adsl-146-201-fixip.tiscali.ch [212.254.146.201])
by mailin.webmailer.de (8.12.10/8.12.10) with ESMTP id i0UHgDMn002774
for <bill@metasco.de>; Fri, 30 Jan 2004 18:42:13 +0100 (MET)
Received: from mail pickup service by mail.swisstourfed.ch with Microsoft SMTPSVC;
Fri, 30 Jan 2004 18:42:53 +0100
Date: 30 Jan 2004 18:42:53 +0100
From: Antigen_W2SRV01@post.webmailer.de
Subject: Antigen found VIRUS= MyDoom.A@m (Norman) worm
To: bill@metasco.de
Message-Id: <W2SRV01s4RmUBdiAG9500000945@mail.swisstourfed.c h>
X-Envelope-To: <bill@metasco.de>
X-Envelope-From: <Antigen_W2SRV01@swisstourfed.ch>
X-Delivery-Time: 1075484534
X-OriginalArrivalTime: 30 Jan 2004 17:42:53.0468 (UTC) FILETIME=[7CDFB5C0:01C3E758]

Text:

Antigen for Exchange found doc.zip->doc.scr infected with VIRUS= MyDoom.A@m (Norman) worm.
The message is currently Purged. The message, "hi", was
sent from bill@metasco.de and was discovered in SMTP Messages\Inbound And Outbound
located at INTRANET/first administrative group/W2SRV01.

[Seekreuzer]

Zitat von TomM

Das wird ja immer doller...
...<bill@metasco.de>

Du bist aber nicht der Einzige, der neuerdings Matt, Mary, Steve und Co. in seiner Firma hat. Ob die auch Gehalt wollen?

[apiroma]

Der Wurm fehlt mir noch in meinem Zoo.

[Bernd]

Och, heut hats auch bei mir angefangen!
Aber Outlook wollt die Mail nicht

Bernd

[Cooky-Crew]

Seite 9 fehlt
Gruß
UWE
PS
Seite 9 von 8

bevor dieses Thema (Seitenzahl) erneut vertieft wird bitte erst hier lesen
-> http://www.boote-forum.de/phpBB2/vie...?p=37801#37801
Seekreuzer

[TomM]

Datenbank Klemmt! Seite mit einem Beitrag (cookie crew) erscheint nicht

[Cyrus]

Dier Wurm ist echt klasse... Ich habe heute ca 100 Wurm mails bekommen. Die Würmer stecken leider alle in meinem Spamfilter fest.

[charlyvoss]

jetzt werd ich aber langsam stinkig, was hab ich den Würmern getan? mögen die mich nicht? hab noch keine einzige Wurmmail bekommen