Uploadergebnisse v-total + jotti, viel spass :) Einstellungen

[Voyager]

@bluex

Ich frage mich, wie sowas überhaupt passieren kann.

Da gibts sicher viele med. Fachbegriffe dazu, Übermüdung , keine Lust , Dummheit ... die falschen Leute am Hebel.

Genau wie hier , erst etwas clean markiert
http://www.rokop-security.de/index.php?sho...mp;#entry279918
und eine Woche später dann doch erkannt.

http://www.abload.de/img/1noa0.jpg

Also lieben tun die mich dafür nicht wenn ich einen der Typen als Idiot aussehen lasse und den Leuten Extra Arbeit verschaffe mit einer Nachanalyse, das spührt man...

Der Beitrag wurde von Voyager bearbeitet: 21.07.2009, 10:40

[Gast_blueX_*]

Dafür lieben dich die User/Leser im Forum.

[Kenshiro]

zu Posting #3825:

Habe die Datei erneut hochgeladen - Erkennung: 5/41
eSafe, Fortinet, McAfee GW-Edition, PrevX, Symantec
VT

[Gast_blueX_*]

hast du dem Labor Bursche den Threatexpert Link von weiter oben gezeigt ?

Nachdem ich das Threatexpert Log mitgeschickt habe.

New malicious software was found in the attached file. Its detection will be included in the next update.
Thank you for your help.

Backdoor.Win32.MonoBot.a

[Voyager]

Meine medizinischen Fachbegriffe passen wohl ganz gut auf die Leute , sowas darf aber nicht passieren das der eine in der Firma vll. keine Lust oder kein Plan hat seine Arbeit richtig zu machen .. zum Glück nehmen sich hier die AV Firmen gegenseitig garnichts , das man mit dem Finger immer nur auf einen einzelnen zeigen müsste.

[rolarocka]

Hier kann man sich die Dateien scannen lassen ohne sie herunterzuladen:
http://scanner.novirusthanks.org/index.php
Funktioniert sogar ganz gut.

Der Beitrag wurde von rolarocka bearbeitet: 24.07.2009, 16:35

[Gast_blueX_*]

Ist das seriös? Wo landen die Dateien?

[markus17]

Kennt eigentlich jemand diese Seite?
http://www.malwareurl.com/listing-urls.php?urls=on

Sieht interessant aus und vor allem ist die Seite recht informativ.

[Voyager]

Jo Danke markus , die Seite ist ähnlich Malwaredomainlist und auf der Seite findet man in etwa dasselbe wie im Malwarebytes Forum.

[Solution-Design]

Aber auch so aktuell? Habe mal 20 Files heruntergeladen, a-squared drüber gewischt, alle fott. Bei malwaredomainlist wird wenigstens ab und an was nicht erkannt

[markus17]

Wie aktuell das ganze ist, weiß ich leider nicht. Vielleicht senden die auch gleich manche Samples an die AV Hersteller.

Eine Seite hätte ich noch: http://support.clean-mx.de/clean-mx/viruse...;sort=id%20desc
Auf die bin ich vor kurzem gestoßen. Vom Prinzip her sieht sie auch so aus, wie malwaredomainlist oder die andere von mir gepostete. Was es mit dem Inhalt der Seite auf sich hat, weiß ich noch nicht, da ich noch keine Zeit zum testen hatte.

[citro]

Eine allmonatliche verseuchte E-Mail in meinem Postfach



http://www.threatexpert.com/report.aspx?md...eb7f396637975e8

es fällt mir auf, dass immer Avira und Norton nicht in der Lage sind heuristisch den Anhang als Malware zu entdecken

Der Beitrag wurde von citro bearbeitet: 30.07.2009, 21:48

[Voyager]

Das soll laut Beschreibung ein Yahooworm sein der sich über Yahookontakte selbst verbreitet.

Ergebnis: 8/41
http://www.virustotal.com/de/analisis/b263...a24e-1248990892

Die Erkennung ist noch recht mager , von den großen AV ist hier nur Bitdefender (Gdata) vertreten.


http://www.abload.de/img/20web.jpg

Der Bursche macht codeinjection in den Taskmanager und wird natürlich ganz modern über den Winlogon/Userinit mitgeladen .


http://www.abload.de/img/2zw0z.jpg

Solch verdächtiges Verhalten ist natürlich für NIS2010 auch kein Problem mehr.

[markus17]

Der Virustotallink funktioniert bei mir leider nicht. Hast du genauere Informationen darüber, wie sich das Teil verbreitet? Verschickt es sich einfach automatisch per Mail oder gibt es in Yahoo Mail eine Sicherheitslücke, wodurch sich der Wurm mit Leichtigkeit ausbreiten kann.?

[Voyager]

Nein Markus , der hat das im Malwarebytes Forum nurso erzählt um was für ein Objekt es sich da gehandelt hatte. Wenn ich mir dazu die AV Beschreibungen "Instant Messenger Worm" so ansehe hat er offensichtlich nicht gelogen.

http://www.virustotal.com/de/analisis/b263...a24e-1249054969

Symantec erkennts dann bestimmt auch gleich auf der Clientseite , Jotti zieht ja immer die Rapidsignaturen.
Um genau zu sein wurde der Worm jetzt erkannt.

Der Beitrag wurde von Voyager bearbeitet: 31.07.2009, 17:14

[markus17]

Ahh, also so ein IM-Zeugs... Naja ich möchte jetzt ungern meinen Yahoo Account dazu missbrauchen. xD

*edit*
Achja, danke für den gültigen VTotal Link.

Der Beitrag wurde von markus17 bearbeitet: 31.07.2009, 17:55

[Voyager]

Der Bursche kommt als Yahoo IM Nachricht von Kontakten mittels eines Links , also Social engineering Taktik.

Do Not open!
hxxp://looool.machiaeljacksondied.com
hxxp://www.freewebtown.com/ba33/IMG18102008.jpg--www.MichaelJackson.com
Do Not open!

Das die Datei ständig verändert wird ist ja schon ein alter Hut , allerdings gibt man sich hier wenig Mühe.


http://www.abload.de/img/25w3h.jpg

[markus17]

Bitdefender erkennt es auch:
Gen:Malware.Heur.euW@bGZRHee (Engine A)

Lustig finde ich aber, wenn ich die Datei in meiner XP VM starte. Erst kommt die Warnung von XP, ob man die Datei wirklich starten will (standardmeldung eben) ... klickt man dann auf ausführen kommt die Meldung noch einmal für die vshost32. xD

[Kenshiro]

KL erkennt es als Trojan.Win32.Agent.csna

[Rios]

Das S.E.P. natürlich auch, der erste hat übrigens nichts damit zu tun!