Viruksista

[Esa Isopahkala]

Minulle tulee ajoittain virusten lähettämiä viestejä tai viestejä, jotka sisältävät viruksen. Olen myös silloin tällöin saanut ilmoituksen siitä, että lähettämässäni viestissä oli virus. Kuitenkin kun skannaan koneeni, mitään viruksia ei löydy (alla viimeisin raportti, skannattu myös Nortonilla pari viikkoa sitten). Mitenkähän tämä on selitettävissä? Onko torjunta-ohjelmat puutteellisia ja koneellani on virus vai lavastavatko virukset minut lähettäjäksi, vaikka en ole lähettänyt ko. viestiä?


AntiVir®/9x Personal Edition v6.14.14.64 of 26.07.2002
VDF file v6.14.0.66 (0) of 30.07.2002

Scanning for 61094 virus strains.

Licensed for: AntiVir Personal Edition
Serial number: 0000149996-WURGE-0001
FUSE: Platform: Windows 98
Windows version: 4.10.1998
Username: Esa Isopahkala
Processor: Pentium
Working memory: 195856 KB free
Guard: active

Version information:
AVEWIN32.DLL : v6.14.0.1 263168 20.06.2002 12:28:56
SYS_RW16.DLL : v5.16.0 12800 20.06.2002 12:25:18
SYS_RW32.DLL : v5.16.0 16384 20.06.2002 12:25:18
AVGCTRL.EXE : v6.14.00.02 69632 20.06.2002 12:25:12
AVGUARD.VXD : v6.14.0.1 277151 21.06.2002 11:14:08
AVFILE.DLL : No information
AVPACK32.DLL : v6.13.00.04 307240 20.06.2002 11:10:16
AVGETVER.DLL : v6.12.00.00 73728 06.02.2002 16:13:06
AVWIN.DLL : v6.14.00.10 598056 15.07.2002 19:12:36
AVSHLEXT.DLL : v6.14.00.00 57344 27.06.2002 09:20:00
AVSched32.EXE : v6.14.00.00 98344 27.06.2002 09:19:34
AVSched32.DLL : v6.14.00.00 122880 27.06.2002 09:19:34
AVREG.DLL : v6.12.00.54 90152 10.04.2002 10:29:38
AVRep.DLL : v6.14.00.14 184360 31.07.2002 08:36:18
MFC42.DLL : v6.00.8665.0 995383 08.06.2000 17:00:00
MSVCRT.DLL : v6.00.8797.0 278581 07.03.2000 15:22:14
CTL3D32.DLL : v2.31.000 45056 30.06.1998 02:40:30
CTL3DV2.DLL : v2.31.000 27632 16.05.1998 03:01:00

Configuration file:

Name of configuration file: C:\OHJELMATIEDOSTOT\AVPERSONAL\AVWIN.INI
Name of report file: C:\OHJELMATIEDOSTOT\AVPERSONAL\AVWIN.LOG
Start path: C:\OHJELMATIEDOSTOT\AVPERSONAL
Command line:
Start mode: Selected drives

Mode of report file:
[ ] Do not create report
[X] Overwrite report
[ ] Append new report

Data in report file:
[X] Infected files
[ ] Infected files with paths
[ ] All scanned files
[ ] Full information

Abridge report file:
[ ] Abridge report file

Warnings in report:
[X] Access denied/file locked
[X] Wrong file size in directory
[X] Wrong creation time in directory
[ ] COM file is too large
[X] Invalid start address
[X] Invalid EXE header
[X] Possibly damaged by viruses

Summary report:
[X] Create summary report
Output file: AVWIN.ACT
Maximum number of entries: 100

Where to search:
[X] Memory
[X] Boot record of selected drives
[X] All files
[ ] Program files

Response in case of virus:
[ ] Repair with prompt
[X] Repair without prompt
[ ] Delete with prompt
[ ] Delete without prompt
[ ] Write in report file only
[X] Acoustic alarm

Response in case of destroyed files:
[ ] Delete with prompt
[X] Delete without prompt
[ ] Ignore

Response in case of destroyed files:
[X] No change
[ ] Current system time
[ ] Correct date

Suspicious macros:
[ ] Delete all suspicious macros
[ ] Delete all macros if one is suspicious
[X] Confirm action

Convert template:
[ ] Never
[ ] Only .DOC files
[X] Always
[ ] Confirm
[X] Compress format table

Drag&drop settings:
[X] Scan subdirectories

Profile settings:
[X] Scan subdirectories

Archive options
[X] Search archive
[X] All arcive types

Miscellaneous options:
Temporary path: %TEMP% -> C:\windows\TEMP
[X] Overwrite infected files
[X] Detect idle time
Start after 5 minutes
[X] Allow interruptions of virus scan
[X] Load AVWin®/9x Guard on Systemstart

General settings:
[X] Save options on exiting AntiVir
Priority: medium

Drives:
A: Floppy drive
C: Hard disk
G: CD-ROM

Start of scan: 06.08.2002 04:50

Memory test OK
Master boot record of hard disk HD0 OK
Boot record of drive C: OK

Drive: C:
Volume ID: APTIVA Serial No.: 1C65-1303
C:\WINDOWS
WIN386.SWP
Access denied! Error during file opening!
This is a Windows swap file. This file is locked by Windows.
Error code: 0x000D
WARNING! Access error/file locked!
C:\WINDOWS\OPTIONS\CABS
WIN98_23.CAB
ArchiveType: CAB (Microsoft)
NOTE! The archive is created by multiple volumes
WIN98_24.CAB
ArchiveType: CAB (Microsoft)
NOTE! The archive is created by multiple volumes
C:\IBMTOOLS\updater\session\1748\basefiles
aliagp.zip
ArchiveType: ZIP
NOTE! No files to extract.
C:\Nokia\9210\backup\e93b0c57\System\Programs
JavaRun.exe
WARNING! Invalid start address!

End of scan: 06.08.2002 05:55
Time taken: 65:44 min


3948 directories were scanned
104345 files were scanned
2 warning messages were issued
0 files were deleted
0 viruses were removed
0 viruses were found

[artzi]

Kaikki virusohjelmat on "puutteellisia". Ja aina jäljessä viruksista. Sinulla päivitys on viimeinen.

Useimmilla ihmisillä automaattipäivitys ei ole päällä, eikä sitä päivitystä muista itse tehdä. Tuohonkin ohj. automaattipäivitys on "hankala" asettaa toimimaan. Kun se on päällä, päivityksiä voi joskus tulla joka päivä / useimminkin! Jopa tähän ilmaiseen? Jotkin kaupalliset on oletuksena päivittämässä tunnin välein, jos tarvetta on...

Tuon oma foorumi (JES!):
http://www.free-av.de/cgi-bin/ubb/ultimatebb.cgi

Osa on Engl, lopulle käännöstä vaikka:
http://babelfish.altavista.com/

[Esa Isopahkala]

Tuolta foorumilta:

To really know, who sent the mail, it is not appropiate to look at the "From" value as this is not reliable. Almost any newer worms are faking this value as it's as easy as writing a faked sender's address on a real envelope.

[Tumppu]

Olen saanut muutamalta foorumin käyttäjältä viruspostia
(onneksi tutkat ovat ajan tasalla... eikä liitetiedostoja todellakaan kannata avata jos niitä ei ole tilannut).

Mietityttää vaan että onko foorumisoftassa joku bugi johon scriptit pääsevät helposti käsiksi... Tänään vaihdoin kiintolevyn kertaheitolla moninkertaiseksi ja Ghostin peilauksen jälkeen uudelleenkäynnistyksessä pc;n bios kysyi lupaa kirjoittaa mbr;lle...

Tietenkin vastasin kieltävästi mutta tuli mieleeni että josko kyseessä onkin sellainen pöpö jota virusohjelmat eivät välttämättä huomaa johtuen juuri tuosta (suorasta) buuttisektorin tartunnasta. Jos joku saa minulta pöpöpostia niin voi ystävällisesti laittaa mailia (ilman liitteitä ;).

[sovelias]

Minulle on tuohon hotmailin laatikkoon tullut mukamas foorumin käyttäjiltä viruksia. Niissä on lähettäjä tiedot väärennettyjä...

[Kotkis]

Onko torjunta-ohjelmat puutteellisia ja koneellani on virus vai lavastavatko virukset minut lähettäjäksi, vaikka en ole lähettänyt ko. viestiä?
Esim. norttonin "top virus threats" -listan ykkönen http://securityresponse.symantec.com/avcenter/venc/data/w32.klez.h@mm.html on juuri tällainen joka laittaa sinut lähettäjäksi, vaikket ole koko viirusta nähnytkään.
Toimiakseen homma vaatii ihmisen (X), jolla on sekä sinun (Y) että jonkun toisen (Z) osoite sähköpostiosoitteistossaan. Kun X:llä on ko. virus, se laittaa sinut (Y) lähettäjäksi ja lähettää itsensä Z:lle. Sinä saat (ehkä) hommasta tietää, kun Z lähestyy sinua hämmästyneenä/vihaisena, että mitäs olet lähetellyt...
Minulle kävi juuri näin: tapauksessani Z oli vielä melko ison firman työntekijä, joka ei saanut "lähettämääni liitettä auki". Ei ollut tajunnut mistä oli kyse -> viirus päässyt tod.näk. jo mylläämään. Tähän päivään mennessä en tiedä kenen koneelta viirus oli lähtenyt... kulkeutui se mullekin mutta norttoni hoiti hommansa hyvin ja havaitsi jo saapumisvaiheessa.
-----
Lisäyksenä vielä että kaikin puolin erittäin v-mäinen virus muutenkin: jos koneesi on infektoitunut, ko. virus valitsee satunnaisesti jonkun tiedoston (ml. esim. .doc, .jpg, .mpg etc.) jonka lähettää satunnaiselle osoitteistossasi olijalle.... ja ainakin minulla on tietokoneella myös tiedostoja, joita en soisi ihan jokaiselle menevän... ;)

[sovelias]

Lisäyksenä vielä että kaikin puolin erittäin v-mäinen virus muutenkin: jos koneesi on infektoitunut, ko. virus valitsee satunnaisesti jonkun tiedoston (ml. esim. .doc, .jpg, .mpg etc.) jonka lähettää satunnaiselle osoitteistossasi olijalle.... ja ainakin minulla on tietokoneella myös tiedostoja, joita en soisi ihan jokaiselle menevän... ;)Tuon mielestäni kaikkein ikävin puoli noissa joissain madoissa, täytyykö tässä alkaan pitää kaikki salattuna...

[escobar]

Minulle on tuohon hotmailin laatikkoon tullut mukamas foorumin käyttäjiltä viruksia. Niissä on lähettäjä tiedot väärennettyjä...

Aivan, happends in every forum, jos pitää maili osoitteen näkyvillä! :-( Joku saa kai kiksejä siitä että osaa lähettää mailia väärennetyillä tiedoilla (mikä ei ole kovinkaan vaikeata!)

[jim77]

Skannaa koneesi varuiksi vielä jollain "AntiSpyWare" softalla kuten: Ad-Awarella (http://www.ad-aware.nu/)

[NusNus]

Ankkafanilta on tullut minulle pari kertaa virus postia. Posteissa lukee jostain threadista jotain tekstiä tai sitten osia hänen pika viesteistä. Sitten siinä on attachmentti jota en ole uskaltanut koskea. Viesti roskiin ja nopeasti vaan.

[Niko Mäkinen]

Niin tuo lähettäjän väärentäminen on aika yleistä ja osoitteiden nappaaminen vastaanotetuista maileista.. Esim kaveriporukassa on 1, jolta tulee päivittäin noin 10 mailia, jotka lähtee 20:een osoitteeseen.

No tulipa Bugbear jonkun tuntemattoman tytön koneeseen.. Ja laittoipa se tyttö sitten mullekin tulemaan sen. No norton blokkas sen kyllä heti. En ole koskaan kirjoitellut kyseiselle henkilölle, mutta katselin muita vastaanottamiani sähköpostejani. Ja sieltä ns. jumalattomasta maili-litanjasta löytyi sen tytön osoite...

Paras oli kun se viesti mikä tytöltä tuli oli aikasta hempeä.. Eli varmaan joku maili, minkä kys.henk. on aikanaan lähettänyt jollekin ihanalle miehelle. :)

Mukava scenario on todella, että koneella on arkaluontoista asiaa, ja ne lähteekin kilpailijalle mailissa.. Jumankauta siinähän yrität kiistää vuotaneesi tietoja kilpailijalle.