Als Antwort auf: Re: Wurm-Hilfe bitte von Bernd (Beor) am 29. Januar 2004 15:27:38:

Ich habe heute von 11 verschiedenen @chrestonim adresen diesen blöden wurm bekommen.. die meisten waren auch mir unbekannt

Als Antwort auf: Re: Nochmal grundsätzlich... von Rene am 29. Januar 2004 18:35:04:

Nochmal zu den grundsätzlichen Verhaltensregeln bei E-Mail (Ich selbst verwende Outlook Express, habe keinen Virenscanner und fühle mich auch keineswegs bedroht).

Auch wen du dich nicht bedroht fühlst betroffen bist du auf jeden fall.
Von: trakonum@chrestonim.de [mailto:trakonum@chrestonim.de]
Gesendet: Donnerstag, 29. Januar 2004 13:47
An: yungalla@chrestonim.de
Betreff: test
Die Zur Mail gehörende Meldung:
„Norton AntiVirus hat folgenden Anhang entfernt: doc.zip.
Der Anhang enthielt die Bedrohung W32.Novarg.A@mm.“

Öhm... es kann im übrigen gut sein, dass diese Mail nicht von Yhoko kommt - die neueren Würmer verschicken sich meist mit gefakten Ansenderadressen bzw. mit allen Adressen, die sie finden können - manchmal bekommt man dann sogar scheinbar Mails von sich selbst...

Gruss Chris

Hi.. ich bekomme täglich von vielen leuten aus Chrest Mails die infiziert sind...

Hel, deine mail hab ich nicht geöffnet.. genauso wie die von Bea.. sind beide infiziert...

und von einem sogenanten Peter.. keine ahnung welcher..

ich denke mal, da steht auch nichts drin..

mittlerweile kommt hier bald stündlich eine infizierte Mail an..
Deswegen hier :
kostenloses AntiVirus für zu Hause:
http://free-av.de/
Und: http://windowsupdate.microsoft.com/
Oder: http://www.knopper.net/knoppix/
http://www.debian.org/
http://fedora.redhat.com/
http://www.suse.de/de/private/products/suse_linux/i386/

Gruß Mimi

Als Antwort auf: Wurm (Mail) von Mimi am 29. Januar 2004 13:56:47:

Hi Leute,
Ich hab hier merkwürdige Symptome:

1. trakonum@chrestonim.de hat eine Mail die wie von dem neuen Mydoom oder Mimail.R virus aussieht - aber von maria@hoe-style.de. Komisch: Das ist gar kein pop-oder smtp account sondern nur eine Weiterleitung! Wie kann diese Adresse überhaupt ein Absender einer Mail sein?

2. gerade kam eine "mailer-deamon" Mail die mir mitteilte, ich könnte (diesmal von christian@schotmann.de) dieselbe Mail (mit diesem komischen Virusattachment) nicht an helen@chrestonim.de schicken. Komisch: helen@chrestonim.de steht nicht in meinem Adressbuch, diese Mail existiert gar nicht.

Ich habe das fxnovarg removal tool gestartet aber ohne Erfolg, jetzt versuch ich mal diesen Gratis-Antivir... mein Norton ist leider abgelaufen, muß ich mal neu registrieren...

Außerdem benutze ich Netscape Mail, ich dachte immer, die meisten (oder alle?) Mailviren würden nur mit Outlook klarkommen.

Kann jemand diese Fragen beantworten?

Danke
Chris

Als Antwort auf: Wurm-Hilfe bitte von Christian / Maria am 29. Januar 2004 15:22:04:

So einen merkwürdig verseuchten Mailer-Daemon habe ich von chrestonim bekommen... Da scheint also wirklich was im Argen zu liegen. Eine gewisse
(mir jedoch unbekannte) "Efili@chrestonim.de" schickte schon einen Wurm mit...

Als Antwort auf: Re: Wurm-Hilfe bitte von Mimi am 29. Januar 2004 15:34:09:

Und zwar von folgenden Adressen:
3dverwaltung@chrestonim.de
dawnwolf@arcarno.com
roleplayer@gmx.net

Also irgendeinen scheints richtig mitm Wurm erwischt zu haben

Als Antwort auf: Bekam auch Wurmmails von Alex (Anderson/Boron) am 29. Januar 2004 15:54:16:

http://securityresponse.symantec.com/avcenter/venc/data/w32.novarg.a@mm.html

Als Antwort auf: Wurm (Mail) von Mimi am 29. Januar 2004 13:56:47:

Nochmal zu den grundsätzlichen Verhaltensregeln bei E-Mail (Ich selbst verwende Outlook Express, habe keinen Virenscanner und fühle mich auch keineswegs bedroht).

Man beachte dabei folgende Punkte:

1) Mails mit Attachment sind schonmal merkwürdig - gerade bei Chrestonim sind die meisten Mails nur mit Text gefüllt. Ist kein Attachment dabei kann man die Mail beruhigt öffnen.

2) Ist ein Attachmet vorhanden, sollte man erstmal auf die Absenderadresse schauen. Auch jemand, der wochenlang keine Mail geschrieben hat (und nun plötzlich ein Attachment verschickt) ist auffällig.

2) Scheint das soweit OK sollte man erst schauen, was in der Mail geschrieben steht. Kein Text oder nur "schau mal rein" ist schonmal auffällig genug um gleich gelöscht zu werden (Schlimmstenfalls verpasst man eh nur einen dummen Gag). Wichtige Nachrichten enthalten immer auch sinnvollen Text oder werden bereits erwartet, weil man sich vorher abgesprochen hat.

3) Scheint die Mail auch soweit in Ordnung, sollte man sich den Inhalt einmal ansehen (bei Outlook: klick auf die Büroklammer) - bei Dateitypen wie *.exe, *.pif, *.bat, *.com, *.lnk und *.folder kann man schon fast mit Sicherheit von einem Virus sprechen. Achtung: Damit man die Erweiterung sieht muss man dies im Explorer aktiviert haben!

4) Bei *.zip -Dateien kann man beruhigt mal reinschauen und die Dateiliste angucken die darin enthalten ist. Hier gilt dann dasselbe wie bei Punkt 3 (die Dateien darin nicht blindlings öffnen, erst schauen was für welche es sind).

...und ganz allgemein kann man sagen: Kommt eine unerwartete Mail, ists meist ein Virus, denn es ist wirklich nicht schwer vorher kurz anzukündigen, wenn man eine Datei verschicken will.

Amalya / Yhoko

Yhoko.com

Als Antwort auf: Wurm-Hilfe bitte von Christian / Maria am 29. Januar 2004 15:22:04:

Wuff zusammen! :)

Hi Leute,
Ich hab hier merkwürdige Symptome:

(...)

Außerdem benutze ich Netscape Mail, ich dachte immer, die meisten (oder alle?) Mailviren würden nur mit Outlook klarkommen.
Kann jemand diese Fragen beantworten?

Nicht 100%ig, aber ich kann einen ersten Ansatz wagen:

1.
Wenn verseuchte Dateianhänge geöffnet bzw. ausgeführt werden ist es ziemlich schnuppe ob Dein Emailprogramm nun Outlook, Netscape Messanger oder TheBat heißt. Folglich kann man sehr wohl auch ohne Outlook Opfer eines Wurms werden, wobei Outlook jedoch häufig genug durch Fehlkonfiguration automatishc solche Anhänge aktiviert.

2.
Die angegebenen Versandadressen müssen nicht zwingend korrekt sein. Ähnlich wie Spammails häufig mit gefälschten Adressen operieren machen dies auch einige Emailwürmer. Dabei können die genannten Adressen sowohl Opfer sein, als auch einfach nur Mailadressen die der Wurm aus den Adressverzeichnissen infizierter Opfer bezogen hat.

3.
Durch gefälschte Mailheader kann es leicht passieren dass Du unfreiwillig die nicht zustellbaren Mails in Dein Postfach zurückbekommst.

4.
Nicht existente Mails wie möglicherweise "helen@chhresonim.de" können durch den Wurm künstlich konstruiert worden sein. Dazu entnimmt der Wurm einem infizierten Adressverzeichnis eine domain und generiert mit dem Namensgenerator fiktive Adressen wie haensel@, gretel@, info@oder sales@diebetroffenedomain.de
Da gerade hier in Deutschland viele Leute ein Catch-All-System für die Mails betreiben (wer bei Strato Kunde ist wird sich erinnern können), landen solche Mails entweder in dem benannten Postfach, sollte es zufälligerweise existieren oder aber beim Web- bzw. Postmaster der Seite, auf den die Catch-All-Einstellung verweist.

5.
Eine Weiterleitung ist nichts anderes, als eine gewöhnliche Emailadresse die für eben jene Aufgabe der Weiterleitung speziell konfiguriert wurde. Sie kann, hat man denn die Zugriffsrechte, auch jederzeit zum Versand von Mails benutzt werden. Wahrscheinlicher ist hier aber auch wieder, dass es sich um einen gefälschten Mailheader handelt.

Beste Grüße...
...und Tschau

Michael / Eiric

Als Antwort auf: Nochmal grundsätzlich... von Amalya am 29. Januar 2004 16:22:52:

Nochmal zu den grundsätzlichen Verhaltensregeln bei E-Mail (Ich selbst verwende Outlook Express, habe keinen Virenscanner und fühle mich auch keineswegs bedroht).

Auch wen du dich nicht bedroht fühlst betroffen bist du auf jeden fall.

Von: trakonum@chrestonim.de [mailto:trakonum@chrestonim.de]
Gesendet: Donnerstag, 29. Januar 2004 13:47
An: yungalla@chrestonim.de
Betreff: test

Die Zur Mail gehörende Meldung:
„Norton AntiVirus hat folgenden Anhang entfernt: doc.zip.
Der Anhang enthielt die Bedrohung W32.Novarg.A@mm.“

CU
René

Als Antwort auf: Wurm-Hilfe bitte von Christian / Maria am 29. Januar 2004 15:22:04:

Hi Leutz
AntiVir ist auf jeden Fall eine gute Variante, sein System mal durchzuchecken, da AntiVir nicht nur FP, sondern auch den Bootsektor und sogar sich selbst durchcheckt.

Weiterhin rate ich zu einem Mailprog wie etwa GeMail, das die Einstellung schon von vornherein so eingestellt hat, daß es weder Pix noch Dateien öffnet, sondern erstmal als Attatchment zum "auf die FP speichern" anbietet. Es wird nur der Mailinhalt selbst angezeigt... und erst wenn man es selbst ändert, werden auch HTML-Mails incl. Tag-Auswertung dargestellt. Wahrscheinlich wird The Bat ähnliches leisten können. Ob allerdings Outlook-Express sowas bietet? k.A.

GeMail

Als Antwort auf: Nochmal grundsätzlich... von Amalya am 29. Januar 2004 16:22:52:

Ein paar kleine Problemchen, die man bei Outlook- Express haben könnte:

Nicht jedes "Bild.jpg" ist ein "Bild.jpg", sondern manchmal auch ein "Bild.jpg.vbs" Das VBS verschwindet, wenn man auf dem Computer die entsprechenden Einstellungen hat (d.h. die Standardeinstellung Bekannte Dateierweiterungen nicht anzeigen). VBS sind ausführbare Dateien, und ratet mal, was die entsprechend gesendeten Dinger machen...

Das kleine Outlookfenster, welches eine Mailvorschau liefert, öffnet gerne dwen Virus auch gleich mit.

Es gab auch schon Mails, wo ein Javaprogramm mitkam. Gut, dass mich MEIN Outlook immer vorher fragt, ob es das auch ausführen darf. Man braucht nicht immer einen Anhang.

Gar keinen Virenscanner ist ein bisschen zuuu wenig. Okay, ich hatte in fünf Jahren erst einen Virus, aber so ein Scanner ist nicht zu verachten. Mit gesundem Verstand kriegt man einiges hin, (ich habe manuell bestimmt schon tausend Virenmails gelöscht in dieser Zeit, die meisten hatten den Absender "Microsoft" und waren "Anti- Viren- Patches" ) aber auch die Programmierer lernen. Updates von Microsoft sind ganz nützlich, ebenso die einfache, aber relativ gut funktionierende Firewall.

Als Antwort auf: Wurm (Mail) von Mimi am 29. Januar 2004 13:56:47:

Von mir infizierte Mails? Hab aktuellsten Virenscan. Bekomme selbst Mails die infiziert sind ohne ende. Jedoch wird bei mir jede Mail die rausgeht auch noch mal geprüft. Auserdem hab ich dir heute keine Mail geschickt.

Chara/Bea

Als Antwort auf: Re: Wurm (Mail) von Chara/Bea am 29. Januar 2004 21:39:20:

"W32/Mydoom@MM, der auch unter dem Namen W32.Novarg.A@mm geführt wird, verbreitet sich über zwei Wege: Zum einen nutzt er eine eigene SMTP-Engine und pflanzt sich so per Mail fort, zum anderen nistet er sich im "Shared"-Folder von Kazaa ein und benutzt so auch die beliebte Tauschbörse, um sich möglichst schnell auf zahlreichen Rechnern breit zu machen. Dort gibt er sich die Namen winamp5, icq2004-final, activation_crack, strip-girl-2.0bdcom_patches, rootkitXP, office_crack oder nuke2004, meist mit einer ".exe"-Endung versehen"

(Quelle: http://www.zdnet.de/enterprise/security/0,39023272,39119259,00.htm)

Als Antwort auf: Re: Nochmal grundsätzlich... von Rene am 29. Januar 2004 18:35:04:

Vielleicht einigen wir uns auf René1 und René2

Als Antwort auf: Wurm (Mail) von Mimi am 29. Januar 2004 13:56:47:

Mein Rechner ist sauber. Wie weiter unten schon gesagt wurde benützt der Wurm E-mailadressen die er auf infizierten Rechnern findet. Ich habe schon Mails von mir selbst bekommen.

Als Antwort auf: Re: Wurm (Mail) von Josef/Hel am 30. Januar 2004 01:04:57:

Hi Leute,
Ich hab gestern auch zwei Virenscanner laufen lassen und meine Kiste ist clean. Außerdem war mein Rechner die letzten 7 Stunden aus, weil ich geschlafen habe... trotzdem habe ich drei weitere Mails vom "Mailer-Daemon@chrestonim.de" über nicht zugestellte Virenmails an Phantasieadressen gekriegt. Dieser Scheiß-Virus benutzt meine Adresse als Fake-Absender, genau wie es Hel, Yhoko und andere beschrieben haben, und er will den chrestonim.de Mailserver benutzen (wenn sich der Virus über meinen Mailserver verbreiten würde, kämen die Mails ja vom 1und1 Mailserver!) Die letzte Mail kam nicht von chrestonim.de sondern postoffice.com.ua...
Übrigens Yhoko und Anderson, ich bin nicht soooo blöd daß ich irgendwelche Anhänge öffne, die ich nicht identifizieren kann, und mein Mailprogramm tut das auch nicht. Allerdings ist meine Mailadresse zu alt und zu bekannt und wird täglich mit Spam zugeschüttet - das ist hier in Asien noch schlimmer als ich es je in Deutschland erlebt habe - und jetzt auch noch als Fake-Absender benutzt...
Soweit von meiner Seite,
Chris

Als Antwort auf: Re: Nochmal grundsätzlich... von Rene am 29. Januar 2004 18:35:04:

Auch wen du dich nicht bedroht fühlst betroffen bist du auf jeden fall.
Von: trakonum@chrestonim.de [mailto:trakonum@chrestonim.de]
Gesendet: Donnerstag, 29. Januar 2004 13:47
An: yungalla@chrestonim.de
Betreff: test
Die Zur Mail gehörende Meldung:
„Norton AntiVirus hat folgenden Anhang entfernt: doc.zip.
Der Anhang enthielt die Bedrohung W32.Novarg.A@mm.“
CU
René

Muss dich enttäuschen, mein System ist sauber. Der Virus versendet Mails an alle möglichen Adressen aus dem Adressbuch der Betroffenen, wenn nur jemand diese Mailadresse in seinen Mails hat, kann der Wurm bei ihm unter meiner Adresse Mails an andere Leute aus seinem Adressbuch verschicken. Es wäre hier die Aufgabe des E-Mail Providers, gefakte Absenderadressen zu unterbinden. *schulterzuck*

Amalya / Yhoko

Als Antwort auf: Re: Nochmal grundsätzlich... von Amalya am 30. Januar 2004 10:42:21:

HI

Scheint ja ein wirklich cleveres kleines Scheißerchen zu sein dieser Wurm.

Also warst du es scheinbar nicht, darum sei dir verziehen.

CU
Rene/Yungalla

Als Antwort auf: Noch mal Grundsätzlicher !!! und so von René am 30. Januar 2004 00:48:16:

Vielleicht einigen wir uns auf René1 und René2

HI René

Ne lass mal.
Ich Schreib in Zukunft Yungalla dahinter.

CU
René/Yungalla

Als Antwort auf: Re: Nochmal grundsätzlich... von Mate- Wurm am 29. Januar 2004 20:39:53:

Noch nützlicher ist es wen man den unbedingt Windows nutzen will/muß beim E-Mail Programm und beim Browser auf eine Alternative zu der Frickelware von Microsoft umzusteigen. Das kostet nicht viel Umgewöhnung und bringt massiv mehr Sicherheit. Außerdem erspart es mir viele viele Wurm- und Virenmails die mein Server killen muß. im Januar 2004 allein über 4500 Stück! Und ja ich meine NUR Wurm- und Virenmails! Von dem immer mehr überhand nehmenden SPAM rede ich nicht mal. Das Gesamtverhältnis der empfangenen Mails liegt bei 6 E-Mail Adressen inzwischen bei ca. 2/3 Schrott und 1/3 gewollter Mails! Das geht mir langsam auf den Sack!

Grüße
Sascha