Heeft iemand de ip adressen van de malware etc.?

Hey Anoniempje,

1. Liep je risico?

Weet ik niet, ben je op de site van de telegraaf geweest? Zoja dan ben je mogelijk besmet. Wanneer je besmet bent dan heb je dus die neppe virusscanner op je computer staan.

2. Hoe ontstaat die aanval?

Volgens security.nl was de nieuwsbrieven dienst van de telegraaf gehacked. De telegraaf heeft een stukje html + javascript op hun pagina staan die van de nieuwsbrievendienst is. Hackers zijn er in geslaagd om dit stukje aan te passen en door te verwijzen naar mallware hostende sites.

3. Verwijderen?

Als je even goed op security.nl gekeken had dan was je waarschijnlijk dit artikel tegen gekomen.
http://www.security.nl/artikel/42978/1/Telegraaf.nl_verspreidt_malware_via_Java-lek.html

In dit artikel wordt gerefereerd naar dit Youtube filmpje: http://www.youtube.com/watch?v=olsQ6K5jePI
Het filmpje beschrijft hoe je de mallware van je computer kunt verwijderen.

In aanvulling op wat Nimrod schrijft, met wat meer details en wellicht een iets andere kijk op de zaak:
Als je gisteren voor ca. 16:00 telegraaf.nl bezocht hebt:

==> Open https://www.java.com/en/download/testjava.jsp in dezelfde webbrowser (en op dezelfde PC) waar je gisteren telegraaf.nl mee geopend hebt. Het kan zijn dat er een rode knop verschijnt met iets als "Test Java", druk die dan in (als de knop "Free Java Download" verschijnt kun je die ook indrukken, maar dat is wellicht niet je bedoeling).

Als je dan als resultaat iets ziet als "An old version of Java has been detected on your system" of, als je Java hoofdversie 7 gebruikt, een "update" ouder dan nummer 7, of, als je nog Java hoofdversie 6 gebruikt, "update" ouder dan nummer 35, dan zou je wel eens een probleem kunnen hebben. Voorbeeld: "Your Java version: Version 6 Update 31" is NIET goed.

==> Mocht bovenstaande URL geen resultaat geven, open dan voor de zekerheid ook https://www.java.com/en/download/installed.jsp. In mijn ervaring geeft soms slechts 1 van beide URL's uitsluitsel.

Als beide pagina's melden dat er geen Java op je PC is geïnstalleerd (feitelijk bedoelen ze dat Java functionaliteit niet beschikbaar is in jouw webbrowser), dan was je waarschijnlijk niet kwetsbaar.

Disclaimer: ik kan niet garanderen dat als java.com zegt dat Java niet werkt, je wellicht nog een stokoude Java op je PC hebt waar zij niet op checken. Ook zou eventueel op jouw PC geïnstalleerde malware Java functionaliteit hebben kunnen uitschakelen om te voorkomen dat je andere malware (van conculega's van die malware boer) oploopt.

De webpagina die jouw webbrowser ophaalt van www.telegraaf.nl bevat een hele reeks instructies om "content" van andere sites op te halen waarmee jouw webbrowser de uiteindelijk getoonde webpagina samenstelt.

Gisteren was één van die aanleverende servers gehacked; deze stuurde instructies mee om een Java applet te openen. Zowel die instructies als het Java applet zijn door de aanvallers op die server geplaatst. Dat Java applet bevatte een "exploit" waarmee code uit dat applet buiten de webbrowser werd gestart.

Dat (illegale) programmaatje, feitelijk een "trojan-downloader", downloadde vervolgens allerlei serieuze malware. Welke precies kan van geval tot geval verschillen. Het kan gaan om "lawaaïge" nep antivirus software, maar ook om malware die zich stilletjes in de achtergrond op je computer nestelt.

Als je twijfelt: maak een backup van je belangrijkste bestanden, wis je schijf grondig en installeer besturingssysteem, alle benodigde software opnieuw en update alles naar de laatste stand.

Aanvuling 12:12: ik zie dat zojuist http://www.security.nl/artikel/42988/1/Overheid%3A_besmette_pc_opnieuw_installeren.html geplaatst is door redactie met hetzelfde advies als ik geef bij 3.

Hoi,
Dit zal ik doen
Ik las net dat er ook een zeroacces virus wordt meegeleverd!
Bitwiper, kunt u mij helpen om dit irritant virusje weg te krijgen?
MSE geeft steeds een melding dAt er een virus is gevonden maar die niet kon worden verwijderd????
Kun jij advies geven met hoe dit te verwijderen valt.
En ook wat dit virusje doet.

Mvg

Nauwelijks. Tenzij je echt verstand van zaken hebt, raad ik je aan om mijn advies voor andere (Citadel) malware in http://www.security.nl/artikel/42635/1/FBI%3A_alleen_professional_kan_Citadel_verwijderen.html op te volgen.

De kans is namelijk groot dat er niet alleen sprake is van lastig weg te krijgen malware, maar ook van gewijzigde beveiligingsinstellingen die zelden volledig ongedaan worden gemaakt door virusscanners. Je bent dan zo opnieuw de klos.

Mocht je toch zelf willen proberen de boel te repararen, dan raad ik je aan de PC te scannen vanaf een bootable medium. Hoe dat in z'n werk gaat beschrijf ik bijv. onderaan deze pagina: http://www.security.nl/artikel/40988/1/Test_op_rootkit_%22leek-onvriendelijk%22.html. Noteer de namen van alle gevonden malware.

Belangrijk: zodra je weer een werkend systeem hebt, Google je naar de namen van de gevonden malware en zoek je naar informatie over wat die malware allemaal wijzigt op je systeem; dat zul je dan handmatig moeten repareren. Herhaal deze zoekactie de komende maand bijv. elke week, er verschijnen vaak nieuwe inzichten die je kunnen helpen de schade "onder water" te repareren.

Succes!

Hoi,
Thnx bitwiper zal het opvolgen wat je zegt,
Bedankt!!

Je bent een goede jongeman ! Klasse.