Verseuchte eMail

thejailer · 5. März 2004, 14:39

Eben habe ich eine mail mit dem "I-Worm.Bagle" bekommen.
Der steckte in dem Anhang "Document.pif"
Versender ist angeblich "managment@cc-plauderforum.de".
Diese Mailadresse gibt es aber gar nicht.
Ich schreibe hier mal den Text und den Header der Mail rein:

Dear user of e-mail server "Cc-plauderforum.de",

Our antivirus software has detected a large ammount of viruses outgoing
from your email account, you may use our free anti-virus tool to clean up
your computer software.

For details see the attached file.

Kind regards,
The Cc-plauderforum.de team

Der Header:

Return-Path: <powerz@microbians.com>
X-Original-To: catho@cc-plauderforum.de
Delivered-To: v09741715@dd2706.kasserver.com
Received: from n4w4c8 (ACB0EA26.ipt.aol.com [172.176.234.38])
by dd2706.kasserver.com (Postfix) with SMTP id 9C5B84B52E
for <catho@cc-plauderforum.de>; Fri, 5 Mar 2004 13:28:14 +0100 (CET)
Date: Fri, 05 Mar 2004 13:27:04 +0100
To: catho@cc-plauderforum.de
Subject: Email account utilization warning.
From: management@cc-plauderforum.de
Message-ID: <plliwbwgxonhnjnansw@cc-plauderforum.de>
MIME-Version: 1.0
Content-Type: multipart/mixed;
boundary="--------iweajfcgyhmcemasxoji"
X-UIDL: -%$#!gW2!!PTY!!Y/*!!
Status: U

----------iweajfcgyhmcemasxoji
Content-Type: text/plain; charset="us-ascii"
Content-Transfer-Encoding: 7bit

Da die Mail an meine neue CC-Adresse verschickt wurde, sollte die Anzahl der Leute, die diese Adresse in ihrem Adressbuch haben, noch recht klein sein.
Irgendwer von den paar Leutchen hat wohl den Wurm ohne es zu wissen auf dem PC.

CheeseBürger · 5. März 2004, 14:48

Return-Path: <powerz@microbians.com>

Dahin kannst Du den Scheiß wieder zurückschicken.
Und das ist definitiv nicht von uns.

thejailer · 5. März 2004, 14:52

Ich weiß das.

Nur guckt nicht jeder in den Header sondern die meisten, die den Mist jetzt bekommen, denken wir sind der Versender.

CheeseBürger · 5. März 2004, 14:58

Ich denke nicht, daß das andere bekommen werden.
Das sieht meiner Meinung nach gezielt aus, denn das ist doch keine willkürliche Auswahl da drinne.

thejailer · 5. März 2004, 15:02

Diese Würmer werden nicht gezielt versendet.
Sie versenden sich von dem PC, den sie infiziert haben, selbst.

Curufinwe · 5. März 2004, 15:25

Welche email-Programme können diese Viehcher denn nutzen?
Alles oder sind die auf beispielsweise Outlook begrenzt?

btw: Der AVERT Stinger von McAfee beseitigt so gut wie alle aktuellen Würmer. (Vorher Systemwiederherstellung deaktivieren).

CheeseBürger · 5. März 2004, 15:25

Nicht, wo liegt das Problem? :zlücke:

from: cc-... an: cc-

Server CC-
Na mal sehen, was noch so alles kommt.

Ähm, ich habe deine Adresse übrigens nicht, bin also unschuldig.

thejailer · 5. März 2004, 15:35

Alle Mailprogramme können den Virus versenden/empfangen.
Ist ja eine stinknormale Mail mit einem infiziertem Anhang, Freddi.

Klar hast du meine Adresse, CB.
Die steht hier in meinem Profil.
Und dadurch dürfte sie sich auch irgendwo in deinem Cache befinden. :evil:

Das reicht dem Wurm um sich an mich zu versenden.

Curufinwe · 5. März 2004, 15:42

Ich bin clean. :ätsch:

cosgan · 5. März 2004, 15:46

Ich habe Dir schon eine Mail geschckt, am 28.02., mit der CC-Adresse, tj, aber ich kann mir nicht vorstellen, dass ich da was mitgeschickt habe, Ich bekomme zwar einen Haufen Schrott, öffne aber absolut garnichts und sollte tatsächlich was dabeigewesen sein, dann lässt AVK die sicher nicht raus. Außerdem ist mein Computer absolut sauber, sagen sämtliche Programme. :))

thejailer · 5. März 2004, 15:50

Wenn die Mail vom 28.02 nicht sauber gewesen wäre, hätte ich dir schon Bescheid gesagt. :owackel:

Es ist müßig jetzt zu rätseln von wem die Mail war.
Auf jeden Fall von jemandem, der meine Adresse in seinem Adressbuch hat und/oder hier im Forum unterwegs war.

Der Thread hier sollte nur vorbeugend sein, falls noch andere solch eine Mail bekommen.

Und da du auch die Kombination AVK/GeMail hast, glaube ich nicht, dass dein PC befallen ist.
Bei mir hatte das Ding vorhin keine Chance.
Die Mail war noch nicht geöffnet, da wurde schon Alarm geschlagen.

Onkel_J · 5. März 2004, 17:53

Ich hab nichts gefunden.

Also nochmal.

Wenn man sich in einem Forum aufhält, wird die jeweilige Seite in den Cache geladen. Wenn ein Wurm dabei ist, wird der dann aktiv und versendet aus dem Cache Mails? Richtig?

Das würde ja heißen, daß der Wurm irgendwie an der Forensoftware hängt. Oder wie soll ich das verstehen?

Simplyfun · 5. März 2004, 18:04

Nein, Joei, nicht so herum.

Tj meint folgendes: Wenn der Wurm auf einem Rechner ist, sendet er sich an alle Mailadressen die er suf der Platte findet - auch an solche, die er auf im Cache befindlichen Forenseiten ortet.

Das bezog sich darauf, dass CB meinte die Adresse nicht zu haben.

Sim

Onkel_J · 5. März 2004, 18:07

Das beruhigt. Danke Sim.

CheeseBürger · 5. März 2004, 18:07

Echt jetzt?
Im Cache befindliche Mailadressen?

Simplyfun · 5. März 2004, 18:10

Ein gut programmierter Wurm beschränkt sich nicht auf Adressbücher, CB. Der nimmt alles, was den Konventionen für eine Mailadresse entspricht, egal wo auf der Platte es sich befindet.

Onkel_J · 5. März 2004, 18:22

Und als Absenderadresse nimmt er seine eigene, die er mitgebracht hat?

Curufinwe · 5. März 2004, 18:25

AfaIk benutzen viele Würmer als Absenderadresse auch irgendeine der Adressen, die er auf dem Rechner findet.

thejailer · 5. März 2004, 18:38

Exakt.
Darum kann man nie sagen von wem der Wurm kommt.
Der (scheinbare) Absender ist meist gar nicht infiziert.

Richtig, Sim.
Dieser Wurm durchsucht die ganze Platte nach Mailadressen.
Egal ob im Adressbuch, .txt-Datein oder .htm(l)-Dateien.