Bugbear ( wie deze virus nog niet kent! )

[Gast]

Even een berichtje voor de mensen die explorer 5.xx gebruiken en deze virus nog niet kende.

 

Bugbear steelt passwords en hackt creditcards

 

Gebruikers Internet Explorer 5.01 en 5.5 lopen risico

Bugbear is een mix van een wormvirus en een Trojan horse die probeert je passwords en creditcardgegevens te stelen. Het virus (w32.bugbear@mm) is ook bekend onder de naam Tanatos, is ongeveer 50 kb groot en verpakt met de UPX filecompressor.

 

De systemen van Internet Explorer 5.01- en 5.5-gebruikers lopen risico per e-mail besmet te raken, als de browser niet gepatched is om de zogeheten Incorrect Mime header-bug te verhelpen. De patches voor de verschillende browserversies vindt je onder dit artikel.

Alle Windows-versies zijn kwetsbaar voor de worm, die zich behalve per e-mail ook door open file sharing kan verspreiden. Gebruikers van Macintosh, Unix of Linux lopen geen risico.

 

Bugbear komt per e-mail binnen zonder opvallende kenmerken, behalve dan dat het attachment altijd 50,688 bytes groot is. Het onderwerp en de tekst van het bericht kunnen afkomstig zijn van bestaande e-mails. Daarnaast kan het virus binnenkomen als de computer zich in een netwerk bevindt waarin bestanden worden gedeeld.

 

Eenmaal geactiveerd nestelt Bugbear zich in de System-subdirectory van de Windows-map met een bestandsnaam van vier willekeurige letters, gevolgd door .exe (bijvoorbeeld C:\Windows\System\zayb.exe). Daarnaast verandert de worm de Registry zodat het virus elke keer als Windows opstart wordt geactiveerd. Tenslotte voegt het zichzelf toe aan de Startup-folder, in de vorm van drie willekeurige letters gevolgd door .exe (bijvoorbeeld, Startup\zay.exe).

 

Het Trojan Horse-gedeelte van het virus probeert (en is in staat) veel populaire firewalls en antivirusprogramma's uit te schakelen, om daarna een keystroke logging-applicatie op te starten waarvan de bestandsnaam bestaat uit een variabel aantal willekeurige letters, gevolg door .dll (bijvoorbeeld avbfngmf.dll). Keystroke logging-applicaties onthouden de toetsen die een gebruiker heeft aangeslagen wanneer deze zijn login-informatie invoert of een aankoop doet met behulp van een creditcard. Deze data worden opgeslagen in bestanden die kwaadwillenden vervolgens op afstand kunnen lezen. De Trojan opent port 36794.

 

Gebruikers van Internet Explorer 6 zouden beschermd moeten zijn tegen het e-mailgedeelte van de worm. Gebruikers van IE 5.01 of 5.5 kunnen zich beschermen door de Infected Mime header-patch te installeren, waarvoor Microsoft al eerder waarschuwde . Wanneer het niet absoluut nodig is bestanden te delen via een netwerk, verdient het aanbeveling de 'file sharing'-functie in Windows uit te schakelen.

 

Een aantal antivirus-softwareleveranciers heeft zijn virusdefinities al aangepast. Hierdoor wordt de infectie geweerd en is een verse infectie in sommige gevallen van het systeem te verwijderen. Voor aanvullende informatie kun je ook op de links onderaan dit artikel klikken.

 

Jeff Ronge

1 oktober 2002

Bron: ZDNet

 

Hopenlijk jullie zo voldoende te hebben geinformeerd.

 

Greetzzz

 

Ringo

 

 

[Ome Merde]

en klik hier voor de Bugbear-remover ...

 

 

mzl,

merDe

[Nesclan]

Virus staat op dit moment al op de 1e plaats van meest voorkomende virussen.

(heb hem zelf vanmorgen al 2 x binnen gekregen)...

Norton kan hem alleen maar isoleren en je moet hem handmatig verwijderen uit de isolatiebin...

 

Is dus een hardnekkig beestje..

 

Greetz Dani

[JohnnyBee]

Wel hier heb ik nu een probleempje zé, hoe verwijder je deze dan wel handmatig?

Bedoel je met je verkenner de dir openen en dan de file gewoonweg deleten?

Ik vind niet zo direct terug waar die files in isolatie staan...???

Kan je effe hieromtrent een woordje meer kwijt?

Thanks,

Johnny.

[Nesclan]

Wanneer Norton het virus in een e-mail ziet (mits je e-mail protection hebt aanstaan), dan geeft hij aan dat hij deze niet kan repareren en stelt voor om het te isoleren, wat op zich niet raar is omdat het geen "goed" bestand is. Hij heeft dan bijv. wel de naam "vertrouwelijk.doc.exe" maar het is/was geen doc en zal dus ook geen doc meer kunnen worden, het is gewoon het virus met vertrouwelijk.doc als "nick"....

Maar indien je er dus voor hebt gekozen om de file(s) te isoleren zal Norton deze in een beveiligd gedeelte zetten. Je kunt hierop toe grijpen door in Norton naar messages (?) te gaan (ik heb de Duitse versie, dus ik weet niet 100% hoe het in de NL of Engelse versie is, maar in de Duitse is het "berichten")...

Dan naar Isolierte Elemente -> "berichte anzeigen" en dan zie je het overzicht van geisoleerde bestanden en die kun je dan d.m.v. de optie verwijderen weghalen.

Maar dit alles is dus voor Norton.. Ik weet niet hoe een ander programma deze bestanden aanpakt.

 

Greetz Dani

[robinhawk]

Bugbear zat bij mij reeds een aantal malen in spammail en is onderschept door NAV. Hoewel ik helemaal niet zoveel spam krijg heb ik toch besloten om vanaf nu Mailwasher te gebruiken. Big John heeft de link hierzo al een tijdje terug gegeven, maar voor degenen die er hun voordeel mee willen doen komt ie nog een keer:

 

Download Mailwasher

 

vr gr Robinhawk

 

 

 

 

[Chismaneric]

Nog even een waarschuwing voor de Mcafee gebruikers. Toen ik van de week van de Bugbear hoorde heb ik de nieuwe DAT update voor Mcafee 6.02 gedownload (4227xdat.exe). Ik heb/had Mcafee nog op twee van de vijf machines hier draaien. Wel, na installatie blijft de geupdate Mcafee in bootscan.exe steken, en het is een heel gedoe (opstarten van diskette, of in safe mode, autoexec.bat editen etc.) Om alles weer schoon te vegen. Advies dus: niet 4227xdat.exe draaien lijkt me.

[Bocky Wocky]

Wil even opmerken dat in de xdat alleen de DAT-files zitten.

Om op save te spelen kun je beter de Sdat nemen.

Hier zit behalve de DAT-files ook de laatste scan engine in.

Hier dus SDAT4227.exe

[Gast]

Antivirusbedrijven beschouwen Bugbear als een zeer serieuze bedreiging. MessageLabs, dat virussen verwijdert uit mails die hun servers passeren, heeft Bugbear een eerste plaats in zijn top 5-rangschikking gegeven. Sinds 29 september heeft de firma het virus al 306.879 maal gedetecteerd. Uit cijfers van Trend Micro blijkt dat BugBear vooral in Europa en Amerika sterk in opkomst is. Die vrees voor een snelle verspreiding wordt bevestigd door F-Secure, McAfee en Symantec, die BugBear stuk voor stuk als een groot gevaar aanduiden.

 

Het virus treft alleen pc's met Internet Explorer 5.01 en 5.5. Microsoft heeft voor beide programma's een patch uitgebracht. De meest recente IE, versie 6.0, is niet gevoelig voor het virus.

 

bron:zdnet

[Gast]

Is het zeker dat pc's met ie6 niet worden geinfecteerd ? Ik heb vandaag een pc gekregen om te repareren waar het bugbear virus volgens de eigenaar op zat. en dit is een windows xp pc. tevens is de bios nu corrupt.

[Gast]

Heb op andere forums gelezen en geconcludeerd van mensen die besmet werden met het BugBear virus dat de combinatie van :

I.E 5...5.5(zonder de MS patch) + Norton anti-virus --->pc raakt besmet.

I.E 6...+ Norton anti-virus--->pc blijft clean--->Norton geeft hier de melding dat hij het virus heeft ontdekt.

 

ps. dit is mijn concludering na het lezen van mensen die recentelijk besmet raakte.Momenteel weet ik nog niet of dit wel voor de 100% klopt. <img src="/ubbthreads/images/icons/confused.gif" alt="" />

[Bocky Wocky]

Het niet zo dat XP gebruikers met I.E. 6.0 niet besmet kunnen worden.

Je hebt dus nog steeds een virusscanner nodig om ZELF clean te blijven!

MIME-exploit

-Installeer preventief de juiste patches van Microsoft.

Deze zorgen ervoor dat het mailtje bij binnenkomst niet in staat is om zichzelf te activeren en door te sturen. Zie Windows Update