Sobig.E – překvapení pro zvědavé

40 komentářů

MaSaKr

1. 7. 2003 • 12:25

dokud budete používat dementní klienty a OS, tak se virů nezbavíte.

...váš spokojený uživatel Mac OS X :)

Vláďa

1. 7. 2003 • 13:08

Každej kdo používá minoritní OS a SW je proti virům odolnější. Ale to považuješ za řešení? Pokud by měli MACy všichní, dělaly by se viry primárně na ně. A věř tomu, že vir, kterej si pustí uživatel sám neohlídá žádnej antivirák, žádnej systém, nic. Je to všechno o lidskej blbosti. Pokud mně přijde email s přílohou a navíc z adresy, která mi nic neřiká, rovnou ho mažu. A dostávam jich dost Je pravda, že mojí adresu nijak netajim. To taky neni řešení - mít adresu, kterou nikdo nezná. Stačí jenom nebejt blbej a používat buďto minoritní emailový klienty a prohlížeče nebo ty od MS důsledně záplatovat.

_

1. 7. 2003 • 14:49

Lenze na macovi (ani na linuxe) pouzivatel nespusti prilohu z emailu. Pokial ide o datove prilohy (obrazky, video, tabulky, dokumenty), tak no problem, ale aplikacie, to je ine kafe.

Na macovi sa aplikacia ani neda poslat ako jeden subor, pretoze je to zvycajne adresar, ktory sa vo finderi tvari ako subor. To znamena, ze bezny klikac musi ulozit prilohu na disk, mountnut disk image, spustit aplikaciu.

A ked ju aj spusti, tak aplikacia dokopy nic skodlive nezvladne - pokial chce urobit nieco citlivejsie (ako napr. citat z addressbooku alebo zapisovat do /Applications), tak pouzivatelovi vybehne dialog, ze co chce aplikacia urobit a aby zadal heslo.

Ditto pri linuxe - pouzivatel musi ulozit prilohu, nastavit execute bit...

Argumentovat rozsirenostou je blbost - podla rovnakej logiky by bolo pre Apache omnoho viac cervov ako pre IIS.

C

1. 7. 2003 • 19:14

No na Apache se chodí ručně, takže proč psát červíka :)

noname

1. 7. 2003 • 9:03

teda kdyby mi ten e-mail přišel od nějakého známého angličana a znělo by to pak povědomě, tak bych se možná poprvé v životě nachytal. Třeba takhle kdyby v tom zazipovaným file byl soubor setup.exe a já fakt od něj mohl očekávat nějaký instalátor, tak bych se asi moc nerozmýšlel. Vždy jsem tak nějak věřil tomu, že mi zazipovaný virus nepřijde. Jo jo, odteď se holt budu muset ptát na každý spustitelný soubor, i když přijde zazipovaný (předtím jsem odepisoval něco jako - přišel mi od tebe nějaký spustitelný soubor, když mi chceš něco takového posílat, tak mi to pošli zazipovaný. Jestli nevíš o tom, žes mi něco poslal, tak máš možná na počítači virus či někdo jiný kdo se za tebe maskuje)

Jerry III

1. 7. 2003 • 9:55

Proc? IMHO pokud si prilohu nevyzadas tak ji nepoustej (nerozbaluj a nepoustej). Zvlast kdyz prijde bez vysvetleni co to je, kolikrat nekomu neco posilas s tim at to proste pusti? Aniz bys napsal co to je?

stoneface

1. 7. 2003 • 11:21

Jo, jenze, kdyz mas malou firmu s jednim postovnim servrem, na kterej chodi kazdej. Od sekretarky po sefa. Tak nekterej mene IT zkuseny a zvedavy uzivatel se nachyta. Taky jsme ho meli. Prosel pres antivirak. Sef byl samozrejme zvedavy ale nastesti se zeptal me. Sice jsem jeste nevedel vo co go (clanek jsem si precet dnes), ale nekompromisne jsem ho smazal. Takze staci trochu premyslet nad novou postou.

Petr Leitner

1. 7. 2003 • 9:02

Mě tenhle příjemný virus přišel přímo od Autocontu!! Docela legrace ne?

Počítačová firma tak šíří počítačové viry.

Kurt

1. 7. 2003 • 9:07

No jo, ale oni provádějí i odvirování PC. A jak si asi mají na sebe vydělat?

Petr Leitner

1. 7. 2003 • 9:18

Že mají zaměstatnce blby, co kliknou na každou ptákovinu to mě nepřekvapuje - to je všude. Ale že takový firma nemá na mailserveru schopný antivir, to je nehoráznost/neschopnost.

boardwriter

1. 7. 2003 • 10:31

hlavu, hlavu! zapojujeme hlavu! "Adresa odesilatele je podvržená (falešná)"

Petr Leitner

1. 7. 2003 • 10:56

Tak dobře, pro nevěřící co mě mají za idiota:

Received: from XXXXXXXXXXX (gate.autocont.cz [62.84.145.80])
by rs.cesnet.cz (Postfix) with ESMTP id CA74316D236
for <leitnep@feld.cvut.cz>; Fri, 27 Jun 2003 12:46:42 +0200 (CEST)

Jméno PC jsem přece jenom raději přepsal, ale bylo tam přesně vidět kdo to poslal...

Reakce pod tímto příspěvkem se už neodsazují.

boardwriter

1. 7. 2003 • 15:41

kdyz vis, ze zde musis ocekavat diletanty typu J3 a spol., musis davat podobne odpovedi jako ja :) omlouvam se, pane ne-idiote btw myslis, ze ta sekretarka, co to poslala ma... ehm, to sem nepatri

Jerry III

1. 7. 2003 • 18:07

Co tim chces rict? BTW doufam ze vis ze ty headery se daj vcelku jednoduse zfalsovat (i kdyz neverim tomu ze "programatori" viru sou natolik znali).

Martin

2. 7. 2003 • 8:51

Mno, v RFC822 ani jinde jsem nenasel, ze by se pri odesilani mailu specifikovala polozka "Received: ". Tyto polozky si pridavaji servery tak, jak si je predavaji. Rad se necham poucit, jak virus muze zfalsovat informace pridavane serverem. Pripominam, ze rada mailserveru si kontroluje spravnost IP adres a jmen serveru pres DNS, takze to nemuze byt vycucane z prstu.

Vít Ožana

1. 7. 2003 • 9:49

Z největší pravděpodobností to nebylo z Autocontu. Vidíte snad v hlavičce jejich mailserver (nebo IP adresu)?

Petr Leitner

1. 7. 2003 • 9:56

Bože můj další chytrák (že by zaměstanec AC?), který se ze mě snaží dělat vola. Samozřejmě že to odešlo z jejich mailserveru. Stačí si přečíst článek, kde je napsáno že ve FROM dává tenhle virus úplně jinou adresu, tam samozřejmě Autocont nebyl..

Vít Ožana

1. 7. 2003 • 11:31

Nerozčilujte se. Pokud to tam je, tak máte pravdu - přišlo to z Autocontu.

Ten e-mail, jehož obrázek je v článku, přišel z CPRESS.CZ

Received: from W01056 ([80.95.114.161])
by mail.******.cz
for *****@*******.cz;
Mon, 30 Jun 2003 13:03:19 +0200
From: jenny@acrosser.com
...

Petr

1. 7. 2003 • 8:45

Jak je na Zive.cz tradici, clanek vysel cca tyden po tom, co by byl aktualni. Zacal se tusim sirit minuly tyden ve stredu, mne prisel do schranky na Seznam.cz v patek odpoledne. Technet.cz o nem informoval tusim ve ctvrtek... takze to jde, kdyz se chce.

> Adresa odesilatele je podvržená (falešná),

To je samozrejme akorat Vas vymysl, me prisel ze zcela konkretni adresy jedne docela zname ceske IT firmy. Nehlede na to, ze autor by byl pekny pitomec, kdyby tam strkal nesmyslneho odesilatele, premeslejte trochu, kdyz neco sepisujete...

Vít Ožana

1. 7. 2003 • 9:36

Adresa odesilatele (t.j. obsah položky From: v hlavičce e-mailu) nemá nic společného s adresou skutečné oběti - PC ze kterého vir dorazil k vám. To je FAKT. Červ tam vloží libovolnou z adres, které najde v napadeném systému.

The worm fakes the sender's e-mail address in "From:" field. It can be 'support@yahoo.com' or any other e-mail address that the worm finds on an infected system.

Petr

1. 7. 2003 • 15:30

A polemizuju snad o tohle? Prece snad jasne pisu akorat to, ze vir si ty adresy necuca z prstu (tj. ze nejsou "falesne"), ale ze skutecne realne existuji. Nic vic, nic min...

Petr

1. 7. 2003 • 15:36

A jak koukam dal s tim Autocontem, neni pravda ani to, co tvrdite o skutecnem odesilateli, Vitku

Vít Ožana

1. 7. 2003 • 18:22

Co konkrétně tvrdím o skutečném odesilateli a není to pravda?

Reakce pod tímto příspěvkem se už neodsazují.

previt

2. 7. 2003 • 7:59

Adresa v drtivé většině není platná! Dnes většina virů dělá to, že proleze adresář,
posíbrá si mejly, a pak kombinuje názvy uživatelů a názvy domén, takže najde třeba
user1@domena1.cz
user2@domena2.de
user3@domena3.com
a vytvoří z toho třeba adresu
user1@domena2.com
Většinou je platná doménová část adresy, ale adresa celá už většinou ne!

Petr

2. 7. 2003 • 8:32

Bohuzel, tohle jenom vase soukroma spekulace, skutecnost je minimalne v mem pripade jina. Budete se proste muset smirit s tim, ze me to proste prislo nejen ze stejne domeny, co byla v hlavicce e-mailu, ale i z konkretniho existujiciho mailu jedne skutecne pani/slecny inzenyrky z jedne skutecne IT spolecnosti (v mem pripade to zminovany Autocont nebyl).

Vít Ožana

2. 7. 2003 • 14:00

Není to má soukromá spekulace. Přečtěte si jeho popis na stránkách libovolné AV společnosti. Jelikož je adresa odesilatele vybrána náhodně, tak ve vašem případě NÁHODOU adresa tzv. odesilatele patří doméně, přes jejiž mailserver vir prošel.

PŘÍKLAD: pepa@firma.cz spustil vira, ten se rozeslal na adresy, jenž u pepy našel. Mimo jiné i tu vaši. Jako odesilatele virus vybral z adresáře pepy uživatele, který sedí třeba ve vedlejší kanceláři - franta@firma.cz. Vy tvrdíte, že to poslal pepa a já franta .

Náhoda je švině, takže nevylučuji ani možnost, že jméno PC ze kterého byl odeslán pasuje na e-mail odesilatele. Ale je to náhoda!

Petr

3. 7. 2003 • 8:46

Spocitejte si napred sipecky pred mym prispevkem, ja prece vubec neragoval na Vas prispevek a ani na to, o cem se rozepisujete! Pro ty, co neumeji do tolika pocitat, je to reakce na prevituv prispevek...

Wikan

1. 7. 2003 • 16:07

Ale jsou falesne. Falesne neznamena neexistujici.

Fido

1. 7. 2003 • 16:26

No me prisel uz ve ctvrtek rano (nekdy kolem 3 hodiny) a tvaril se ze je z adresy support@microsoft.hr coz bylo samo o sobe natolik bijici do oci ze pokud tohle nekdo otevrel tak je u me vul.

Fido

1. 7. 2003 • 16:29

Ta adresa je opravdu falesna. Ten vir zrejme pouziva adresy, ktere najde na nekterem z napadenych pocitacu a tvari se jako by byl odeslan z nich. Me takhle prislo nekolik upozorneni, ze rozesilam viry a pritom jsem v te dobe ani nemel zapnuty pc (a mam ho cisty - linux).

Frn

1. 7. 2003 • 7:58

Škoda že tento článek nevyšel o den dřív - včera jsem zrovna tuhle ptákovinu mazal. A přitom ho ještě nmám ve sbírce ...

Vít Ožana

1. 7. 2003 • 18:25

Neplačte, určitě k vám ještě příjde. Nebo Vám jej mohu poslat

Martin

1. 7. 2003 • 7:54

No, nechci brat nikomu iluze o tom, co postovnimi servry projde ci ne, ale existuje dost antivirovych programu pro mailservery, ktere obsah sami rozbaluji a dokonce se nenechaji zmast ani predelanou koncovkou (napr. _xe misto exe)

Prikladem jednoho za vsechny je RAV Antivirus for mailservers, ktery
ma velmi rozsiritelne nastaveni.

Zdravim vsechny, kdoz diky kvalitnimu AV nepoznali Sobig.E ani jine
podobne nove viry (taktez zdravim sam sebe

Holda

1. 7. 2003 • 8:29

Bohužel např. firma Czechie zřejmě ani neví, co to antivirový program je. Nebo nechce vědět?

look

1. 7. 2003 • 8:47

mam za to, ze RAV antivirus je "mrtvy" ne? koupil ho MS. nebo se pletu?

Jarda

1. 7. 2003 • 8:51

Mate sice pravdu, ze vetsina skutecnych antiviraku si poradi s archivy ruznych typu a "maskovanymi" priponami souboru, jenze to Vam je prd platne, kdyz ten vir neznaji. Takovy McAfee VirsuScan doted nezareagoval

U nas ve firme pouzivame eTrust InoculateIT, ktery se mi zda jako dost naslaply, ale v patek proste ten vir dorazil i do firmy, i kdyz uz v pondeli ten antivirak ten vir spravne detekoval a zlikvidoval...

Ivan

1. 7. 2003 • 22:35

Stačí přece na serverovém antiviru filtrovat (tedy je mazat nebo ukládat do speciálního adresáře) všechny potencionálně nebezpečné přílohy (.pif, .scr., .exe, .com ...) a rovnež filtrovat archivované přílohy (arj, zip, lzh ...), které takové přílohy obsahují, ne? A nemusí se řešit jestli jde o známý virus anebo ne.

Vít Ožana

1. 7. 2003 • 9:43

Nepsal jsem o antivirové kontrole, ale o filtru příloh, které zahazují všechny potencionálně nebezpečné typy (PIF, SCR, COM, VBS, atd.). Díky těmto branám předchozí verze Sobig-u neměly žádnou šanci projít i kdyby na mailserveru nebyl instalován ŽÁDNÝ antivirový systém.

Martin

1. 7. 2003 • 12:39

Presne tak, nam filtrovani priloh odchyta vestinu viru, tedy i naprosto neznamych. Co se toho RAVu tyka, tak je fakt, ze az nam vyprsi licence koncem roku), budeme resit problem jak nahradit dle meho nazoru jeden z vubec nejlepsich AV a filtrovacich programu.

Petr

1. 7. 2003 • 13:59

My jedeme na TrendMicro. To je dneska asi nejlepsi AV reseni.

Určitě si přečtěte

Články odjinud