Äldre inlägg (arkiv) till 2001-10-24

[Helping Hand]

Svar till Sven-Ove Brattström och Carola Ulups:
 
Ni har säkert rätt, jag tänker inte inleda någon debatt om detta, men faktum kvarstår, min dator har varit helt virusfri i många år nu  )
 
VARNING....NY MASK
 
Meddelandet här under är hämtat från nyhets gruppen  news.grc.com   grc.security
--------------------------------------------------
MUST READ !!!! NEW WORM VIRUS
 
It has just come in that a new Internet worm called Win32.Invalid.A@mm is
being sent out in an email purporting to be from Microsoft Technical
Support.
 
The worm is dangerous and encrypts exe applications with a random key,
rendering them unusable. It also checks that there is an Internet connection
open and searches for files with the extension .ht* in your My Documents
folder, takes the email addresses and forwards itself, reports anti-virus
company Central Command.
 
Delete all emails with the following:
 
From: Microsoft Support support@microsoft.com
 
Subject: Invalid SSL Certificate
 
Hello,
 
Microsoft Corporation announced that an invalid SSL certificate that web
sites use is required to be installed on the user computer to use the https
protocol. During the installation, the certificate causes a buffer overrun
in Microsoft Internet Explorer and by that allows attackers to get access to
your computer. The SSL protocol is used by many companies that require
credit card or personal information so, there is a high possibility that you
have this certificate installed. To avoid of being attacked by hackers,
please download and install the attached patch. It is strongly recommended
to install it because almost all users have this certificate installed
without their knowledge.
 
Have a nice day,
 
Microsoft Corporation
 
Attachment: sslpatch.exe
 
For more information on security threats connect to:
http://www.microsoft.com/security
 
 
Thanks.
--------------------------------------------------
Ännu en mask att tampas med.
 
MVH: HH

[Helping Hand]

En god id? kan vara att skaffa ett program som t:ex The Bat, med det kan man se vad för sorts meddelande som finns på servern innan man laddar ner dem till sin dator.
 
MVH: HH

[anders]

Lite info från Symantec
 
http://www.symantec.com/avcenter/venc/data/w32.qint@mm.html

[Åke Tilander]

Hej!
 
Ett problem med Sircam-viruset är att det skickas iväg utan utan att mottagaren kan identifiera vem avsändaren var. Det är alltså ofta meningslöst att skicka ett svarsmail och förklara för avsändaren att hans / hennes dator är virussmittad.
 
Av mailhuvudet (som ibland delvis dolts av ditt mailprogram, men som för det mesta enkelt går att kika på med något enkelt kommando, i t.ex. Eudora klickar du bara på knappen Blah, Blah, Blah) framgår vilken dator och vilket IP-nummer som brevet är avsänt från. Den ansvarige nätverksadministratören kan identifiera vem användaren är och vidta lämpliga åtgärder.
 
Vem som är ansvarig för nätverket går enkelt att hitta uppgifter om t.ex. med ett program som VisualRoute. Annars kan du chansa på att skicka mailet till abuse@net.net där net.net motsvarar namnet på nätverket som du hittade i mailhuvudet.
 
Här följer ett exampel på hur du kan skriva till den som ansvarar för nätverket, avsänt till abuse@swip.net:
 
----------------------------------------
 
>Received: from default (d212-151-252-162.swipnet.se [212.151.252.162])  
>by mentos.hig.se (8.10.2+Sun/8.9.1) with SMTP id f81KCjl05971  
>for ; Sat, 1 Sep 2001 22:12:45 +0200 (MET DST)  
>Date: Sat, 1 Sep 2001 22:12:45 +0200 (MET DST)  
>Message-Id:  
>MIME-Version: 1.0  
>Content-Type: multipart/mixed; boundary=-VESLEBO963O5UVW9UN  
>Content-Length: 31398  
>Status:  
 
Dear sir,
 
The virus W95.Hybris.worm has been sent to me from a computer within your network as you can se from the quoted mailheader above. I request from you that you:
 
1. That you take relevant action in relation to this person / computer immediatly and disconnect it from your network until it has been cleaned from virus.
2. You inform me which action you have taken.
 
With best whishes,
 
Åke Tilander
 
Hej!
 
Viruset W95.Hybris.worm har sänts till mig av en person / dator i ert nätverk som framgår av mailhuvudet ovan. Jag kräver av er att ni:
 
1. Ser till att denna dator / person omedelbart stängs av från ert nätverk till dess datorn rensats från virus.
2. Att ni informerar mig vilka åtgärder ni vidtagit.
 
--------------------------------------------
 
(ni får ursäkta engelskan som kanske inte är helt korrekt, men det spelar kanske inte så stor roll i detta fall!)
 
Jag fick omgående ett automatiskt svar och efter några timmar ett besked om att användaren nu fått hjälp att sanera sin dator!
 
Jag tycker att vi alla har ett gemensamt ansvar att hindra fortsatt virus-spridning. Först och främst genom att ha ett fullgott virusskydd på våra egna datorer och i andra hand genom att rapportera alla incidenter till de som är ansvariga för nätverken.

[Sven-Ove Brattström]

Hej!
 
Carola: Jo, jag avser adressböcker i första hand.
 
Helping Hand: Jag har faktiskt aldrig haft ett virus i mina datorer, trots att de är i gång större delen av dygnet. (sedan 1983)
Ett problem med newsgrupperna är att även de ibland utnyttjas av illasinnade personer för att sprida virus.
 
MVH      Sven-Ove

[Bertil Magnusson]

Försök till svar om Sircam
 
Trots att jag via www.msn.se (Microsoft Sveriges sajt) uppgraderat mina program
(det kostar inget) och även installerat Nortons Virusskydd som jag ofta uppdaterar
så får jag många infekterade sircam-brev, dock aldrig med engelsk text. Så länge
jag inte öppnar bilagan orsakar de mig ingen skada. Jag har aldrig förlorat data och
äran för det tillskriver jag Norton Utilities.
 
Mitt virusprogram från dem varnar dock inte för bifogade virus. Jag talade därför  
med TELE2 och bad dem filtrerar bort meddelanden som innehöll texten  
Ett fel har uppstått ...  Svaret blev att operatören inte får göra det.
 
 
Till Stefan Simander
Ärligt talat vet jag inte hur viruset arbetar. Jag konstaterar bara  
att de som besökt RÖTTER även KAN BLI vidarebefordrare av Sircamviruset.
 
Till Sven-Ove Brattström
Jag trodde också att filen SYSTEM.RSC skapats av Nortonprogrammet. Min erfarenhet  
är den att raderar man Nortonfiler skapas en ny med samma namn vid omstart.
Den regeln gäller inte här. Efter att ha döpt om filen till SYSTEM.RSX skulle jag
ha fått en ny fil SYSTEM.RSC vid omstart - men det fick jag inte.
 
Till Åke Tilander
Jag förstår inte ditt påstående att man inte kan identifiera avsändaren med hjälp
av sitt e-postprogram. Mitt Outlook (ej Express) visar avsändaren när jag klickar
med höger musknapp och väljer Egenskaper. Genom att då kopiera adressen kan jag
meddela avsändaren att han/hon har virus och även tala om hur man tar bort det. Det är
när avsändaren ringer upp och tackar för hjälpen som jag får veta att de är forskare  
som ofta besöker RÖTTER.
 
Hur viruset kommer åt adresserna till RÖTTERs besökare vet vi ännu inte. Men någonstans
i RÖTTERs datorer tycks det ligga en instruktion hur viruset skall handla. Annars skulle vi inte
få de tidsödande meddelandena. Som många påpekat tar det lång tid med ett vanligt modem
att hämta e-posten. Man hör samtidigt hur datorn bullrar och arbetar. Jag förstår inte om det finns
tekniska möjligheter för viruset att förbereda angreppet innan man öppnat bilagan BREV.TXT,
Det kanske någon mera tekniskt insatt tala om ?
 
MVH / Bertil Magnusson

[Åke Tilander]

Hej Bertil!
 
Min erfarenhet är att det avsändaradressen i allmänhet är felaktig om det alls finns någon avsändaradress med. Självklart kan man ju även pröva med att maila till avsändaradressen, men detta beror ju även lite på virus-typ. När det gäller Hybris-viruset så finns ju t.ex. aldrig någon riktig avsändar-adress med.
 
Dessutom tycker jag att det är en poäng att maila de nätverksansvariga, eftersom det ingår i deras service och ansvar gentemot drabbade kunder att hjälpa till att sanera deras datorer.

[Åke Tilander]

Hej igen Bertil!
 
Din fråga hur viruset kommer åt mailadresserna har jag för länge sedan berättat i denna grupp. Det finns virus som scannar all trafik mellan den virussmittade datorn och nätverket och använder ev. mailadresser för att sända virus-mail till dessa adresser.
 
Om min dator t.ex. skulle vara smittad med ett sådant virus skulle den t.ex. upptäcka din mail-adress när jag hämtar hem denna web-sida och sända ett mail till dig med viruset. Jag citerade en text på engelska från något av antivirus-företagen som i detalj beskriver hur detta går till.
 
Jag minns också att det var några som ifrågasatte det jag skrev, varför vet jag inte riktigt.

[Åke Tilander]

Hej igen!
 
Apropå mitt ovanstående inlägg. Så här skrev jag i februari:
 
Av Åke Tilander - onsdag den 28 febr 2001 kl. 12.11:  
 
Om Hybris  
 
Being active the worm intercepts Windows function that establish a network connection, including Internet. The worm intercepts data that is sent and received, and scans it for email addresses. When address(es) is detected, the worm waits for some time and then sends an infected message to that address(es).  
 
Alltså till till exempel en mailadress som används på Anbytarforum!  
 
Av Åke Tilander - onsdag den 28 febr 2001 kl. 14.06:  
 
Tillägg:  
Citatet i mitt föregående inlägg är hämtat från den web-sida Håkan anger ovan:  
http://www.europe.datafellows.com/v-descs/hybris.shtml
 
Tolkar jag citatet rätt så är en huvudfunktion hos just detta virus att läsa av all kommunikation som sker mellan den virussmittade datorn och nätverket inklusive internet och att sedan skicka sig själv vidare till den/de mailadresser som återfinns i denna information.

[Harriet Hellberg]

Hej
Barbro Ärnhage
Jag fick också ett mail i slutet av augusti från en för mig okänd person.
Det började: Hi! How are you? I send you this file in order to have your advice.... rubriken på filen var på norska.
Tyckte det var ett mycket märkligt sätt av en för mig okänd människa att inleda ett mail, därför raderade jag det, det kan ju ha varit ett virus eller något annat inblandad i filen.
Det skulle vara intressant att veta vad som stod mer i ditt mail, men de flesta som skickar sådana här mail, kanske inleder: Hi, How are you..

[Barbro Ärnhage]

Hej Harriet,
Mailet fortsatte på samma sätt som ditt och Du gjorde rätt som inte öppnade det eftersom det innehöll viruset SIRCAM. Min dator blev aldrig smittad eftersom textfilen var ofarlig.
Jag var mycket nyfiken eftersom jag strax innan jag fick virus-brevet första gången hade skrivit ett inlägg på engelska i denna publikation och trodde att mailet kanske var ett svar på inlägget.
Rubriken hämtas säkert från filnamnet i den avsändande datorn.
Jag har fått några stycken SIRCAM-mail till sedan jag skrev mitt inlägg i diskussionen.

[Jörgen Avelin]

Harriet, läs tidigare inlägg så får du svar på dina frågor. Viruset har just textstycket som du citerar samt sprider sig genom att skicka en godtyclig fil från den drabbades Mina Dokument-mapp (dvs om man klickar på filen). Därav förklaringen till att de bifogade dokumenten i bland är på ett par kb ibland på flera Mb.
Jörgen

[Dag Brodin]

Har også fått mailen  Hi how are you  et par ganger.  Jeg vil oppfordre webmaster til å  ikke legge adresser åpent ut. Det kan gjøres som  på siden  MyGenforum  . Der oppgis også folks mailadresser, men ikke som link, man må skrive den inn manuelt  om dere skjønner hva jeg mener.   
Såvidt jeg forstår kann man  likevel ikke legge inn innlegg anonymt.
     Jeg tror man må innse at slike slektsider som Anbytarforum er  ekstremt utsatt for virus.  Jeg har to ganger måttet slette harddisken det siste året.( Det var  dog gjennom direktemail og ikke Anbytarforum )  Mange slektsforskere er  nybegynnere med data, det er ganske kostbart å abonnere på virus-beskyttelse også.

[Bertil Magnusson]

Sircam härjar allt intensivare. Antalet virusbrev ökar liksom antalet virusvarianter. Utöver den svenska varianten med Ett fel uppstod ... etc har jag även fått två varianter med Hi how are you, den ena med ett bifogat Exceldokument och den andra med en TXT-fil.
 
Jag kör programmet fixsirc.com hämtat från Symantec utan att hitta några infekterade filer. Trots detta börjar datorn uppföra sig konstigt. När jag kör Nortons WinDoctor och Norton Disk Doctor hittar de ibland inga fel men i andra fall loopar de.
 
Jag har även svårigheter att köra Norton Speed Disk och Windows Defrag trots att jag stängt möjliga program. Något stör dem ändå och de meddelar: Nu har jag startat om 10 gånger, vill du fortsätta.
 
När jag lyckas packa diskarna lyser strax ändå varningslampan med meddelander atr de är fragmenterade för mycket. Datorn bullrar och arbetar vare sig jag gör något eller inte.  
 
Har någon mer drabbats av dessa problem ?
 
Trots störningarna verkar alla program att fungera.
 
MVH / Bertil Magnusson

[Åke Tilander]

Hej Bertil!
 
Jag känner igen problemet med att Windows defragmenteringsprogram startar om pga något minnesresistent program, t.ex. skärmsläckaren, virusskyddsprogrammet. Det bästa är att starta Windows i Felsäkert läge! innan du börjar defragmentera disken.
 
De problem du har i övrigt tycker jag mest låter som att din hårddisk börjar bli full, dvs du har kanske bara 200-300 Mb fritt utrymme kvar, eller så? Dessutom är det förstås så att om du nyligen installerat ett virus-skyddsprogram, så drar det ned prestandan på och påverkar funktionen av din dator.
 
För att vara riktigt säker på att du inte har något virus som infekterat din dator så skulle jag boota den med en garanterat virus-fri start-diskett, Windows CD etc och därefter kontrollera disken med något av de välkända virus-skyddsprogrammen, t.ex. Norton AntiVirus etc.
 
Ps. Fast gör dessa två olika saker i omvänd ordning, dvs testa för virus först, defregmentera sedan!

[Bertil Magnusson]

Tack Åke för ditt inlägg och dina tips.  
 
Jag har emellertid gott om diskutrymme. Flera gigabyte på vardera hårddisken.  
 
Lyckades i kväll köra en Fullständig scandisk utan att hitta några fel. Rädslan för att tidigare virus skadat någon rutin består, men det kan ju även vara ett hårdvarufel som råkar uppträda samtidigt med mängden av virusinfekterad e-post. Vi får se - jag kämpar vidare.  
 
MVH / Bertil

[Lena Thelin]

Hej,
 
Om ni råkar ut för det nya hemska viruset som sprids världen över kan ni kanske vara behjälpta av denna adress.
http://www.centralcommand.com/removal_tools.html
 
mvh
Lena

[Eivor Andersson (Majken)]

Hej.
Jag har under den senaste veckab fått 3 mail med bifogade filer och överskriften -Hi how are you.
Jag har tagit bort alla utan att öppna dem, men ämnesorden har varit: Lars Dufwa (med fet stil)
Åke och Anita  samt Dan Carlsson.
Jag undrar om någon känner igen dessa från sin adressbok eller sina filer, så kanske man kan spåra datorn, som innehåller viruset. Den som har det kanske inte vet om det. Tacksam för tips!
MVH Eivor Andersson

[Gunnar Jonsson]

Eivor, det bästa du kan göra är att skicka ett svarsmail och berätta att dom har virus i sina datorer. Dom är troligen inte medvetna om det själva. Viruset aktiveras bara om du öppnar den bifogade filen.

[Bertil Magnusson]

Eivor, Lars Dufwas dator har varit virussmittad ganska länge nu, jag har fått flera brev från honom. Tyvärr får jag även meddelande om att mina råd till honom om hur man får bort Sircam-viruset inte går fram. Möjligen är hans utrymme hos operatören utnyttjat till max av dem som försöker hjälpa honom.
 
Det är svårt när äldre och mindre erfarna användare drabbas av virus. De är säkert inga onda människor utan offer för virustillverkarna. Jag tror att de flesta inte förstår vad de råkat ut för. I oförstånd försöker de använda e-posten och råkar därvid varje gång sända iväg nya virussmittade brev.
 
Ett stort anvar har operatörerna av e-postservrarna som inte tar krafttag för att stoppa trafiken. Nog går det att skapa program som känner igen innehållet och stoppar eländet.
 
MVH / Bertil Magnusson

[Åke Tilander]

Hej!
 
Just Lars Dufwa känner jag inte igen. Däremot visar det ni skriver att det är viktigt och angeläget att inte bara kontakta personen som har virus-smittad dator personligen, utan även vända sig till den som är ansvarig för nätverket. Hur man går tillväga har jag tipsat om ovan.
 
Detta gäller förstås i särskilt hög grad om man får svarsmail i retur. Vanligast de senaste veckorna har ju varit virus-mail från datorer som finns inom Swipnet (Tele2) som uppenbarligen har sämre säkerhet än andra nätverk samtidigt som man har många användare. Om du känner igen swipnet i avsändaradressen så kan du skicka ett mail till:
 
abuse@swip.net
 
Då hjälper du till att inte bara förhindra fortsatt virus-spridning, utan användaren kommer att få hjälp att sanera sin dator!!!

[Eivor Andersson (Majken)]

Tack för svaren - alla.
Bertil, vad det gäller Lars Dufwa, så är det antingen ett fingerat namn eller en fil från något arkiv. Vi har ju diskuterat släkten Lars Håkansson Dufwa, ganska mycket, i Månesköldsdebatten. Det kan vara bra att veta. De andra ser jag ingen koppling till.
Tack och hej från Eivor A.

[bertil.magnusson@mailbox.swipnet.se]

Eivor, nu får ni akta er för månskenet. Det ser ut som han (Lars Dufwa) går igen. Helt visst fanns han som avsändare.
 
Skämt åsido. Det går ju rent tekniskt att byta sitt namn som avsändare men däremot inte att byta sin IP-adress.  
Nästa gång jag får brev från Lars Dufwa skall jag inte radera det utan lägga det i karantän så en expert får se det. Kanske vi då kan spåra en av bovarna som sänder virus.
 
MVH / Bertil

[Åke Tilander]

Hej igen!
 
Efter att ha läst Eivors senaste inlägg förefaller det ju inte orimligt att anta att det kan finnas någon enstaka som avsiktligt sprider virus vidare. De allra flesta, 99.9% eller så, är själva offer och har fått sin dator smittad utan att själva veta om det. Handlar det om någon som avsiktligt sprider virus vidare är det extra viktigt att anmäla detta till den ansvarige för det nätverk denne / denna person använder sig av. Även om det handlar om en oskyldigt drabbad är det viktigt att denne tillfälligtvis stängs av från användning av mailservern för att på så sätt förhindra vidare spridning av viruset till dess datorn är sanerad.
 
Ett enkelt sätt att ta reda på vem som är ansvarig för det nätverk som brevet är avsänt ifrån (framgår av mailhuvudet) är att använda t.ex. ett program som VisualRoute.
 
Här kan ni ladda hem VisualRoute och använda helt gratis under en månad:
 
http://www.download.com
 
Kanske bäst att tillägga apropå Bertils mail-adress att de allra flesta med swipnet-adress naturligtvis har helt rena datorer. Min erfarenhet just den senaste tiden är dock att just Swipnet drabbats särskilt av Sircam-viruset av någon anledning.

[Anita Berglund Eriksson]

Snälla alla duktiga data-användare!
 
HUR gör jag för att slippa ta emot timslånga e-mail som kommer till min e-mail-adress? Givetvis öppnar jag dem aldrig utan tar bort dem så fort de finns där, men hur STOPPAR jag dem innnan de hunnit laddats ner?
 
Jag får tydligen helt sluta med att lägga ut min adress i detta forum för att slippa få dessa förpestliga e-mail.
 
Tilläggas kan att jag har ett par antivirusprogram installerade, men jag vill inte ladda ner program och meddelanden som jag inte vill ha! Vad gör jag??
 
Mvh Anita

[Bernhard Granholm (Bkvg)]

Anita!
Ett sätt är att spärra i inkorgshanteringen mot meddelanden större än en viss storlek, som du väljer själv. Då kommer visserligen även legal epost med stora bilagor att stoppas, men meddela dina vänner att du har regeln att ta emot stora bilagor. Uppmana dessa att i så fall sända dig en diskett.

[Bernhard Granholm (Bkvg)]

Rättelse.
 
Anita!
Ett sätt är att spärra i inkorgshanteringen mot meddelanden
större än en viss storlek, som du väljer själv. Då kommer
visserligen även legal epost med stora bilagor att stoppas,
men meddela dina vänner att du har regeln att inte ta emot stora
bilagor. Uppmana dessa att i så fall sända dig en diskett.

[Anita Berglund Eriksson]

Bernhard,
Ett stort tack för din hjälp!
 
Jag har fått hjälp av min Internet-leverantör att ta bort de stora e-posterna och jag har ändrat inställningen på inkommande storlek på e-mailen. Hoppas att det blir bättre nu!
 
TACK!
Mvh Anita

[Gunnar Gustafsson]

Hej Anita.
 
Jag använder själv 'Email remover' som kan laddas ner från http://eremover.bizhosting.com/ .
 
Med det programmet kan man kolla avsändare, mailstorlek mm och ta bort de mail man inte vill ta hem.  
 
hdb Gunnar

[Anita Berglund Eriksson]

Tack Gunnar för tipset!
Mvh Anita