Hallo Christoph, * Christoph Maurer :

Bzw. eine Mutation davon, namens Swen.A, habe einen ganzen Haufen davon im Postfach mittlerweile...

Eine Behandlung der EXE mit strings fördert seltsames zu Tage: ,---- | [...] | NEWSGROUPS: | [...] | GET http://XXXXXXX/link=bacillus&width=6&set=cnt006 | (Ein Webhit-Zähler, zur Sicherheit von mir maskiert!) | [...] | %s\nntpgroups.dat | %s\germs0.dbv | LIST | [%s:%c] | GMT | NEWNEWS %s %02u%02u%02u %02u%02u%02u | LISTGROUP %s | [...] | nntptmp.fl | \swen0.dat | NNTP Server | SMTP Display Name | SMTP Server | SMTP Email Address | [...] | Mirc Install Folder | n3=} | [script] | n0= on 1:JOIN:#:{ | n1= /if ( $nick == $me ) { halt } `---- Holt sich das Drecksding seine Adressen aus dem ICQ und Usenet? Dann mal viel Vergnügen. :-/ [andreas]~ > strings Update64.exe | grep using Thank you for using Microsoft products. *ROTFL* Gruss, Andreas -- who | grep -i blonde | talk; cd ~; wine; talk; touch; unzip; touch; strip; gasp; finger; gasp; mount; fsck; more; yes; gasp; umount; make clean; sleep -- Stefan Schumacher in d.c.o.u.bsd

Am Freitag, 19. September 2003 10:43 schrieb Christoph Maurer:

Na, das wäre doch mal was neues, anstatt immer nur das Adressbuch zu verwenden...

Bei mir ist die vermutlich noch ein paar Stunden verwendete SuSE-Mailinglisten-Adresse auch betroffen. Ich steige auf dynamische Subdomains um. Das erspart viel Traffic, ist effektiv und läßt den Müll beim Versender. Siehe http://www.docsnyder.de/nospam/subdomains.html Zuerst war ja der Hoster mydomain.com stundenlang lahm und als Mails wieder zugestellt wurden ging es rund. Als es immer ärgerlicher wurde, habe ich dann einfach die Subdomain gelöscht und dann war nach 2 Stunden Ruhe. In diesem Fall sind Linux-User auch betroffen, da die hohe Anzahl die Mailboxen verstopft. Bei mir kam das Ding auf meine Usenet-Adresse zeitweise im Sekundentakt rein. Es sind übrigens meist Pärchen. Antivir und F-Prot erkannten gestern mit aktuellen Pattern nur einen _Teil_. Ich bin schon neugierig worum es sich bei den unerkannten Attachments handelt. Vermutlich sind es Mutationen von Sven.A Al -- Infos zu Softwarepatenten: http://swpat.ffii.org/index.de.html http://petition.eurolinux.org/index.html?LANG=de

Am Freitag, 19. September 2003 12:41 schrieb Christoph Maurer:

Ich habe auch noch ein paar Mails mit ca. 0.1 k großem Attachment, das bisher von F-Prot nicht identifiziert wird? Absender ähnlich den Swen.A Dingern (MS irgendwas...)...Was das wohl ist?

Lt. einem Usenet-Beitrag soll clamav die Dinger zwar nicht erkannt haben, aber sie zumindest in Quarantäne gegeben haben. Ich bin schon gespannt wie lange es dauert bis Antivir und F-Prot Updates hat, die auch den Rest erkennt. Heute habe ich noch kein Patternupdate gemacht. Der Cronjob läuft aber bald. Al -- Infos zu Softwarepatenten: http://swpat.ffii.org/index.de.html http://petition.eurolinux.org/index.html?LANG=de

Am Freitag September 19 2003 09:52 schrieb Andreas Kneib:

Holt sich das Drecksding seine Adressen aus dem ICQ und Usenet?

Ja.

Dann mal viel Vergnügen. :-/

Hält sich in Grenzen, wenn man morgens gleich mal 4 MB an Viren aus der Mailbox fischen darf :((. Helga -- ## Content Developer OpenOffice.org: lang/DE ## Office-Suite für Linux, Mac, Windows -- http://de.openoffice.org/ ## Werkstatt & Information zu OpenSource -- http://www.eschkitai.de/ ## Offene Jobs -- http://www.eschkitai.de/openoffice/jobs.html

* Andreas Kneib schrieb am 19.Sep.2003:

Virus. Und so, wie der sich verbreitet, nicht gerade von Pappe. Wenn Du Spamassassin benutzt, dann setze einfach in der Konfiguration den Wert von MICROSOFT_EXECUTABLE hoch, dann wird der Dreck ausgesondert:

score MICROSOFT_EXECUTABLE 5.0

Schön, aber mein Problem ist, daß ich den Dreck erst ziehen muß. Ich habe Modem, und die Dinger sind ca. 150k pro Stück groß. Bernd

* B.Brodesser@t-online.de (Bernd Brodesser):

* Andreas Kneib schrieb am 19.Sep.2003:

...

score MICROSOFT_EXECUTABLE 5.0

Schön, aber mein Problem ist, daß ich den Dreck erst ziehen muß. Ich habe Modem, und die Dinger sind ca. 150k pro Stück groß.

Mailfilter arbeitet recht gut: ,---- | [andreas]~ > apt-cache show mailfilter | grep -A100 Des | | Description: A program that filters your incoming e-mail to help remove | spam. Mailfilter is very flexible utility for UNIX (-like) operating | systems to get rid of unwanted e-mail messages, before having to go | through the trouble of downloading them to the local computer. It offers | support for one or many POP3 accounts and is especially useful for | dialup connections via modem, ISDN, etc. Install Mailfilter if you'd | like to remove spam from your POP3 mail accounts. | . | With Mailfilter you can define your own filters (rules) to determine | which e-mails should be delivered and which are considered waste. Rules | are Regular Expressions, so you can make use of familiar options from | other mail delivery programs such as e.g. procmail. | . | If you do not | get your mail from a POP3-Server you don't need Mailfilter. `---- Die Konfiguration schaut bei mir so aus: ,----[ /etc/mailfilterrc ] | LOGFILE=/var/log/mailfilter | VERBOSE=3 | SERVER=pop.gmx.net | USER=XXXXXXX | PASS=YYYYYYY | PROTOCOL=pop3 | PORT=110 | ############ | REG_TYPE=extended | REG_CASE=no | ############# | # Die SPAMs # | ############# | DENY=^Subject:.*(rankings|buisness|earn|consumer|cash|sex|free|adult|dollar|girls|only|pay|visit|webcam|money) | DENY=^From:.*@.*\.(com|ru|net) | DENY=^From:.*@.*\.(co|com|edu|gx|ne|net|usa|zzn|home)\.(cx|cn|es|gr|in|jp|kr|tw|mn|ru|mx|cc|com) | DENY=^From:.*@.*aol\.(de|com) | DENY=^From:.*(buisness|gratis|career|earn|consumer|cash|sex|free|adult|dollar|girls|only|pay|visit|webcam|money|werbung|cool) | DENY=^From:.*@.*hotmail\.(de|com) | DENY=^From:.*Microsoft | DENY=^From:.*security | DENY=^From:.*network | DENY=^From:.*delivery | DENY=^From:.*service | DENY=^From:.*message | DENY=^From:.*Corporation | DENY=^From:.*Storage | DENY=^From:.*public | DENY=^From:.*Department | ############# | # Die Guten # | ############# | ALLOW=^From:.*m\.kneib | ALLOW=^From:.*@.*\.de | ALLOW=^From:.*@.*\.at | ALLOW=^Subject:.*Re:.* | ALLOW=^From:.*ankman@.* | ALLOW=^From:.*\.org `---- Durch das Erlauben von "Subject:.*Re:.*" sowie den DE/AT-Domains kommen die Mails durch, die Mail-Replys auf meine Usenet-Artikel sind (dieser Account, den ich im Usenet nutze, ist auch hauptsächlich betroffen). Seit dem Hinzufügen der Zeilen "DENY=^From:.*Microsoft" bis "DENY=^From:.*Department" ist Ruhe im Karton. Zur Sicherheit schickt Cron mir jeden Abend das Lockfile. Gruss, Andreas -- Download best WAREZ: ftp://127.0.0.1

Hallo! On Fri, 19 Sep 2003 10:22:28 +0200, Joerg Rossdeutscher wrote

Da auf deine Frage hin hier wieder einige Hände hochgingen habe ich wirklich langsam den Verdacht, jemand holt Adressen aus dieser Liste.

Nein. Das ist nicht so. Die Würmer haben derzeit ein Standardvorgehen: Man suche sich 2 Adressen und versende eine eMail. 1. Adresse ist der Empfänger und die 2. Adresse ist der Absender. So trivial ist es. (Daher bekommen auch offene Listen wie die FreeBSD Listen so viele scheiss Meldungen von wegen "Die von Ihnen gesendete eMail enthielt einen Virus!" - Sau blöde Admins, die sowas nicht wissen und dann die Allgemeinheit mit sowas nerven ... ) Der Wurm selbst ist dabei sogar eine alte Geschichte und nichts neues. Richtig interessant ist die HTML Mail, denn diese nutzt auch einen alten Bug bei IE5 / IE5.5 aus, die dem User, der die eMail anschaut, den Wurm verpasst, auch ohne dass der Anhang gestartet wird. Näheres ist ansonsten nun auch auf heise.de zu lesen. Und was den Wurm selbst angeht: Die meisten Virenhersteller halten zu den Würmen auch noch nähere Informationen parat. Mit den besten Grüßen, Konrad -- Konrad Neitzel Mobile: +49 (172) 689 31 45