Virus / Wurm.

Ameise · Beitrag von **Ameise** » 02.01.2004, 01:50

BINGO!

Ich habe mal mit Google den Text als Suchbegriff eigegeben.

buggy droplet lath nimbus enemy every fauna sagacious arbitrary rye huxley

Google sagt, daß der Suchbegriff auf 10 Wörter beschränkt bleibt, alles dahinter wid ignoriert.

Ich bekomme exakt EINEN Link, und der scheint eine Art Wörterbuch zu sein !

http://filebox.vt.edu/users/jubishop/RubyScr/dict.txt

Das Ganze entpuppt sich als eine Textdatei für einen "Ruby Scrabbler" (Ruby ist eine neue und sehr moderne Scriptsprache, die aus Japan stammt), also eine Art Script / Programm.

Ein "Scrabbler" ist also ein Programm, das eine Art vollautomatisches Scrabble-Spiel ist : Es versucht, aus zufälligen Buchstaben-Kombinationen Wörter zu bilden.

Näheres zu diesem "Ruby Scrabbler" hier : http://filebox.vt.edu/users/jubishop/RubyScr/README

Die Datei ist in einem System namens "Filebox" geparkt.

Wie das nun in deine E-Mail kommt, entzieht sich allerdings meiner Kenntnis.

EDIT : Es ist denkbar, daß es noch weitere solcher Programme gibt ... Und daß jemand damit in Verbindung mit E-Mails arbeiten will ... Einen Sinn ergibt das aber für mich nicht.

Beitrag von **Frank** » 02.01.2004, 05:10

Kattugla hat geschrieben:Ist die Mail in html oder im reinen Textformat? Bei html könnte Dir ein Cookie mitgeschickt worden sein.

Ich bin ein Sicherheitsfreak, bei mir gibt's nur Ascii-pur. Deshalb schrieb ich ja auch, dass keinerlei Malcode enthalten ist; das bezog sich auf Cookies genauso wie anderen versteckten Script.

@Alrik: Deine Suche klingt passend. Nur eben die Frage: was soll das Ganze? Serverlast erzeugen? *grübel* Ehrlich gesagt, war ich noch zu faul, bei Heise zu recherchieren.

Ameise · Beitrag von **Ameise** » 02.01.2004, 18:39

Ich hab auch keine Ahnung, was das soll. Die einzige Theorie, dir mir dazu einfällt, ist, daß Leute in Foren fragen "was ist das", den Text mit reinschreiben, und daß dieser Text dann von einer Suchmaschine gefunden wird.

Andererseits : Die Leute von der C'T haben mal selber geschrieben, daß sie bei Tests von Mailservern bzw. Freemail-Diensten genau solche "Wörterbucher" bzw. Programme verwendet haben.

Kattugla · Beitrag von **Kattugla** » 03.01.2004, 17:27

Ich habe heute nochmal ein wenig a) in meinem Spampostfach (

) und b) im Netz herumgekramt.

Ergebnis 1:
so eine Mail zum Beispiel, heute eingetrudelt über meine HP-Adresse:
Inhalt:

waspish abdominal pervasive waterman dainty demit bucketfull beckon imagen bicentennial substitute barberry pigeonfoot coma quillwort typhon embellish leavenworth swordfish thy
honeysuckle helsinki coyote therefor habitual gwyn portsmouth laissez dental shameful cling nonetheless piccadilly worn gullah

Allerdings bin ich reichlich schlampig, was das Hinterlassen von Spuren im Netz angeht (was ich nicht kapiere, brauche ich nicht...

*kritisch in mich geh*), das heißt, bei mir kommen HTML-Mails auch als HTML an. Und da war in besagter Mail eben auch ein hyperverlinktes JPG mit drin, das unter Umständen beim Anzeigen des "nackten" Mailinhalts herausgefiltert wird. Ist so eine vage Vermutung von mir.

Ergebnis 2:
Seit einiger Zeit werden anhand solcher Wortverzeichnisse Paßwörter ausgespäht. Frag´ mich bitte nicht, mit welchem Script das geht, im Netz habe ich dazu lediglich das Stichwort "Rootkit" entdecken können.

Hoffe, ein wenig zur Verwirrung beigetragen zu haben

,
Kattugla

Ameise · Beitrag von **Ameise** » 03.01.2004, 18:53

Interessant.

Ein Rootkit ist eine Art "Baukasten", mit dem "Leute" (Hackers) versuchen, bestimmte Schwachstellen auszunutzen, um in ein System einzudringen.
Es heißt deswegen Rootkit, weil der Admin unter Unix "root" heißt, also Wurzel. Er darf *alles* und ist demzufolge das bevorzugte Ziel für Eindringlinge.

Ameise · Beitrag von **Ameise** » 06.01.2004, 19:15

Zitat aus einem Leserbrief :

Im Folgenden beschreibe ich Ihnen meine Beobachtungen :

Ich schreibe zur Zeit an mehreren Kurzgeschichten. Für eine davon brauche ich ein paar Namen, und stolperte dabei auf folgende Adresse :

http:// www vornamen-db de

Diese Adresse klingt soweit harmlos, folgt man einem der Links, um zu der angeblichen "Namens-Datenbank" zu kommen, fällt mir folgendes auf :

Der Link "Vornamen Alphabet" hat die URL http:// de-url de/? pid=vnn-2&ax=on

Folgt man dieser URL, kommt man an ein Fenster, das in meinen Augen ganz eindeutig nach DIaler-Programm aussieht ; glücklicherweise habe ich standardmäßig in meinem Mozilla-Browser sowohl JavaScript als auch Java ausgeschaltet, sonst hätte sich da womöglich etwas ohne mein Zutun "getan".

Der Sourcecode spricht eine beredte Sprache :
(Anmerkung : Ich habe mir erlaubt, von einigen Tags im unteren Bereich die spitzen Klammern zu entfernen, um eine Ausführung des Sourcecodes zu erschweren; man weiß nie, wie ein solcher Code in einem Mail-Programm oder in einem Browser dargestellt wird ...)

(Meine Beschreibung geht im Text nach diesem zitierten Sourcecode weiter.)

head
title Software Download /title
link href="dialer_default.css" type="text/css" rel="stylesheet"
link href="dialerbilder/vnn.css" type="text/css" rel="stylesheet"
meta http-equiv="Content-Type" content="text/html; charset=iso-8859-1"
meta HTTP-EQUIV="imagetoolbar" CONTENT="no"
/head

body title="Software Download" marginheight="0" marginwidth="0" style="padding:0px;margin:0px;" bottommargin="0" leftmargin="0" rightmargin="0" topmargin="0" noscroll

form id="okform" name="okform" method="POST" action="/index.php" style="width:100%;top:20px;" input type="hidden" name="PHPSESSID"
div class="Info1" style="visibility:hidden;display:none;" Damit Sie unsere Webseite uneingeschränkt nutzen können, benötigen Sie die Zugangssoftware. /div

div class="DownloadTimeInfo" Downloadzeit ca. 5 Sekunden! /div
div class="Info2" Tippen Sie span class="HighlightedOk" OK /span zum Starten des Download: /div
div class="SubmitInput" center table border="0" cellpadding="0" cellspacing="0" tr td input type="button" value="Tippen Sie OK ein" class="SubmitButton" onClick="testSubmitEntry(DIALEROK)" /td td input tyoe="text" alt="Hier einfach OK eingeben!" name="DIALEROK" id="DIALEROK" onkeyup="testSubmitEntry(this)" /td /tr /table /center /div
div class="Info3" Öffnen Sie anschließend die Datei die Ihnen zum Download angeboten wird und führen Sie die angegebenen Anweisungen aus. /div

/body
script

function testSubmitEntry(okField)
{
var newVal = ""
var val = okField.value.toLowerCase() //new String(document.getElementById("DIALEROK").value)
//val = val.toLowerCase()

if(val.substring(0,2) == "ok") { newVal = "ok" }
else
if(val.substring(0,1) == "o") { newVal = "o" }
if(val != newVal) { okField.value = newVal }
if(newVal == 'ok') { document.getElementById("okform").submit() }
}

window.defaultStatus = window.status = "Kostenlose Software"
window.document.getElementById("DIALEROK").value = ""
window.document.getElementById("DIALEROK").focus()

/script

Hier wird also zum Download eines Wählprogrammes aufgefordert, um angeblich die volle Namens-Datenbank nutzen zu können. Ich bezweifle, daß der Download tatsächlich die versprochene Funktionalität herbeirufen kann.

Schaue ich in der Datenbank bei DeNIC nach der URL "de-url.de" nach, die dieser angeblichen Namens-Datenbank zugrunde liegt, bekomme ich als INformation eine Firma, die sich "Global Netcom GmbH" nennt.

Eine Suche nach dieser Firma via Google bringt eine Menge Treffer, unter anderem solche, die diese Firma als "Mehrwertdienst"-Firma characterisiert - ein Euphemismus für Anbieter von Diallern und deren "Servicenummern".

Was mich an diesem ganzen Vorgang aufregtz, ist, daß eine harmlose Seite zum Suchen von Namen dazu mißbraucht wird, sogenannte "Mehrwertdienste" (Dialler) "an den Mann zu bringen".

Gesetzt die Annahme, daß das Versprechen des Webseitenbetreibers nicht eingelöst werden kann, nach dem Download der "Software" (des Diallers) die Datenbank benutzen zu können, handelt es sich hier um einen rechtlich relevanten Tatbestand.

Ich hoffe, damit ein Puzzleteil weitergegeben zu haben, das mithilft, die Verbreitung von unerwünschten Wählprogrammen einzuschränken.

Kattugla · Beitrag von **Kattugla** » 06.01.2004, 20:05

Sagt Dir dieser Link etwas (...keene Bange, ist harmlos...

) ?

http://www.naiin.org/de/index.html

ist vielleicht die richtige Adresse für sowas...

*hungrig sei*
Kattugla, das Abendesssen verschlingend

Ameise · Beitrag von **Ameise** » 06.01.2004, 21:52

Nein, war mir bisher neu.

Adresse : Kudamm 97-98 . Kennt das jemand ?

Kattugla · Beitrag von **Kattugla** » 06.01.2004, 23:00

Persönlich nicht. Ist aber am weniger teuren Ende des Ku´damms, schon fast in Halensee...
Auf den Link wurde mal vor Wochen in einer Fernsehsendung hingewiesen, ich glaub´, es war nano oder sowas. Fand ich aber recht nützlich, zumal desöfteren mal Texte oder Bilder von meiner HP wieder auf irgendwelchen Naziseiten auftauchen, *grrrrrrr*, da hab´ ich ganz gut was zum "Luftablassen"...

Vielleicht kannst du ja was damit anfangen...

bless,
Kattugla

Ameise · Beitrag von **Ameise** » 07.01.2004, 02:24

Ich werd's mir mal näher anschauen ...

Rudi · Beitrag von **Rudi** » 07.01.2004, 10:04

Kattugla hat geschrieben:Persönlich nicht. Ist aber am weniger teuren Ende des Ku´damms, schon fast in Halensee...
Auf den Link wurde mal vor Wochen in einer Fernsehsendung hingewiesen, ich glaub´, es war nano oder sowas. Fand ich aber recht nützlich, zumal desöfteren mal Texte oder Bilder von meiner HP wieder auf irgendwelchen Naziseiten auftauchen, *grrrrrrr*, da hab´ ich ganz gut was zum "Luftablassen"...

Vielleicht kannst du ja was damit anfangen...

bless,
Kattugla

Hallo Kattugla,
was machen denn die Nazis mit Bilder und Texte von Deiner Seite? Das kommt mir etwa genau so passend vor, als würde man von einer Seite für Kochrezepte veröffentlichen wie man einen Reifen wechselt.

Liebe Grüße
Rudi

Ameise · Beitrag von **Ameise** » 07.01.2004, 13:37

Wenn die Bilder von ihr sind, und sie sie nicht freigegeben hat, dann ist das strenggenommen ein Verstoß gegenüber dem Urheberrechtsgesetz - was allerdings kaum jemandem auffällt, da Dinge, die "ins Internet gestellt werden" in der Regel als "frei" angesehen werden.

Kattugla · Beitrag von **Kattugla** » 08.01.2004, 00:26

genauso isses. Und beim Thema Runen und Odin kennen manche keine Skrupel *ggg*
Bislang hatte ich dank .htaccess nur direktverlinkte Sachen bei Beepworld und Co. entdeckt, da klappt es gelegentlich ganz gut mit dem Motzen bei den Admins. Aber sonst...

bless, Kattugla
(die gerade von ihrem Lieblingsforum gebannt wurde [nach dem ReikiForum, natürlich] und die Welt momentan nicht so ganz versteht...)

Akita · Beitrag von **Akita** » 08.01.2004, 02:34

Code: Alles auswählen

Was mich an diesem ganzen Vorgang aufregtz, ist, daß eine harmlose Seite zum Suchen von Namen dazu mißbraucht wird, sogenannte "Mehrwertdienste" (Dialler) "an den Mann zu bringen".

Gewöhn dich dran. Ob auf Seiten mit "Hackz", Kochrezepten, Vornamen oder was sonst noch alles. Die Dialer sind überall und werden täglich mehr. Spam ist einfach ein Zeichen der Zeit. Als ich meine erste Homepage bastelte, waren das 2 Seiten Text und Bilder. Heute muß ich die Email-Adressen auf meinen Seiten mittels .htaccess vor harvesting Spider schützen, mein Mailer hat mehr Regeln als das ABGB und mein Rechner gleicht Fort Knox.

Gehört halt dazu. Take it easy.

AK

Ameise · Beitrag von **Ameise** » 09.01.2004, 22:32

Ich kann mich daran gewöhnen, weil ich informiert bin.

Wer nicht informiert ist, muß die Zeche von mehreren Euro - bis zu mehreren Hundert - zahlen.

Da zucke ich eben nicht mit den Schultern und sage "shit happens", sondern ich versuche hier, gerade auf so etwas aufmerksam zu machen, damit die Zahl der uninformierten, die "die Zeche zahlen müssen", möglichst kleiner wird.

Was mir immer wieder auffällt, ist, daß es ganz tolle Sicherheitskongresse gibt - aber nur für die Zahlende Kundschaft : Konzerne, Redakteure usw. .
Nicht jedoch für den Privatmenschen !

Ich lehne es ab, in diesem Verhalten irgendwelchen "Sicherheitsdarwinismus" sehen zu wollen, sondern fühle mich im Sinne einer humanistische Ethik dazu verpflichtet, auch "den Schwächeren" zu helfen !

Dafür bin ich ja da !

Akita · Beitrag von **Akita** » 10.01.2004, 01:26

Ich habe mich daran gewöhnt. Das bedeutet allerdings weder, daß ich uninformiert bin, noch bedeutet es, daß ich es akzeptiere. Es regt mich einfach nicht mehr auf. That's all.
Du brauchst keinen Sicheherheitskongreß. Alles, das du für die Abwehr benötigst, findet sich im Internet. In der Regel verständlicher als in irgendeinem Kongreß.

Rudi · Beitrag von **Rudi** » 20.01.2004, 20:22

Hallo Leute,
habe heute ein Mail von einen unbekannten Absender bekommen, was ja bei Viren ganz typisch ist, weil sie im Adressbuch des Absenders sich irgend eine e-Mail Adresse als Absender aussuchen. Der Text lautete:

Test =)
mmxye kwh
Test, yep

und es war eine Anlage dabei. Da mir das sehr verdächtig vorgekommen ist, habe ich meine Neugier gezügelt und das Mail gelöscht. Weiß jemand hier was das war, bzw. schon selbst so ein Mail bekommen?
Liebe Grüße
Rudi

Banshee · Beitrag von **Banshee** » 20.01.2004, 22:47

Ein kleiner Tip, wenn man Outlook mit Adressbuch benutzt:

( Ja, ich weiss..Outlook ist sch*** und unsicher und und und.. ich benutze es aber dennoch...)

Wenn man als erste Adresse 0000000 (nullen) eingibt, kann ein Virus, der sich über das Adressbuch selbst verschickt, nix tun.

Hat sich jüngst bei meiner Freundin als hilfreich erwiesen.
Sie bekam nämlich noch bevor sie ihre Emails fertig abgerufen hatte, einen Mail delievery failure von einer Mail, die sich selbst verschicken wollte.
Die Nullen lassen das nicht zu

Gruss Tanja

Ameise · Beitrag von **Ameise** » 20.01.2004, 22:55

Master Jan · Beitrag von **Master Jan** » 20.01.2004, 23:05

hi rudi,

lösch lieber mails von unbekannten sofort...und mach sie erst gar nicht auf

ich bekomm täglich sicherlich ca. 50 solcher §$%&Q mails....aaarghx
ich hab das mittlerweile recht gut mit meinem junk-filter unter kontrolle....nur verschicken die sucker mittlerweile als microsoft update oder security patch getarnte mails die heftig gross sind 144-160kb....ich hab nur ne 10mb box und da braucht man kein rechengenie sein was passiert wenn ich mal nen tag keine junk-mails lösche...menno!
(wie wenn microsoft seit neuestem patches verschicken würde.....LOOL....wie doof glauben die eigentlich dass man ist???)

ich hab mein mailclient mittlerweile so eingestellt dass alles in den junk-filter rutscht was nicht als absender in meiner adressliste verewigt ist....seit dem hab ich ruhe (wenn ich jeden tag den müll beseitige)

gruß
Jan

Rudi · Beitrag von **Rudi** » 20.01.2004, 23:32

Hallo und Danke für die Antworten!

@ Tanja,
naja, das verhindert aber nicht daß man Mails von jemand bekommt, die sich von dort aus von selbst verschickt haben und auch wenn sich der Virus im eigenen Adressbuch nicht mehr weiterversenden kann, so kann er sich über die Festplatte hermachen.

@Jan,
ich habe das Mail eh nicht geöffnet, aber ich habe so ein Vorschaufenster, wo man den Text lesen kann.

Liebe Grüße
Rudi

Ameise · Beitrag von **Ameise** » 21.01.2004, 00:17

Es gibt sogenannte "exploits", also die direkte Ausnutzung von Fehlerquellen (wie z.B. den gefürchteten Bufferüberlauf), die bereits Vorschaufenster dazu bringen sollen, Code auszuführen, oder anderweiting Programme dazu bringen sollen, über ein Leck im Speicher (oder sonstwo) Code auszuführen.

Normalerweise sind E-Mail - Programme sicher, aber bis vor einigen Patches bzw. vor einigen Versionssprüngen war Outlook dafür berüchtigt , so etwas zu tun : Automatisch Code (z.B. JavaScript) einer HTML-enthaltenden E-Mail auszuführen. Es sollte ja bequem sein, laut Microsoft.

Banshee · Beitrag von **Banshee** » 21.01.2004, 00:41

@ Rudi

Weisst du, wenn ich mir schon nen Virus einfange, dann behalte ich ihn lieber, anstatt ihne an meine Freunde und Bekannten zu verteilen - auch wenn er meine Festplatte frisst.

Ich habe alles wichtige Auf CD-Rom..und SOO wichtig ist der Krams eh nicht.. da sind mir Freunde wichtiger...

Akita · Beitrag von **Akita** » 21.01.2004, 01:30

Hier mal was Neues (?):

Code: Alles auswählen

Sehr geehrte Frau Bieders,
Wir möchten uns noch einmal für unsere falsche
E-Mail Weiterleitung bei Ihnen Entschuldigen. Unser Mail System wies einige Fehler beim versenden auf. Ihre Pass- und Geheimwörter wurden selbstverständlich kostenlos geändert.

Nach Einsicht und Sicherung Ihrer Daten, vernichten Sie bitte diese E-Mail. In falschen Händen , hätte jede andere Person freie Einsicht bzw. Verfügung über Ihr Konto!

Mit freundlichen Grüssen:
i.a: Regina Rüthers

+++ Bamberger Bank eG Raiffeisen-Volksbank
+++ Luitpoldstr. 19, 96052 Bamberg
+++ Telefon: 0951/8620  Kunden- Fax: 0951/862120

Im Anhang befinden sich dann die Bankverbindungsdaten und man kann das Konto plündern.

Fast so gut wie der Virus mit der Strafanzeige. Phantasie haben die Typen ja.

Rudi · Beitrag von **Rudi** » 21.01.2004, 10:15

Tanja hat geschrieben:@ Rudi

Weisst du, wenn ich mir schon nen Virus einfange, dann behalte ich ihn lieber, anstatt ihne an meine Freunde und Bekannten zu verteilen - auch wenn er meine Festplatte frisst.

Ich habe alles wichtige Auf CD-Rom..und SOO wichtig ist der Krams eh nicht.. da sind mir Freunde wichtiger...

Hallo Tanja,
ich ziehe es vor Viren zu entfernen

Liebe Grüße
Rudi