---

Jeg har nu to gange fået en mail fra min svigerdatter, som hun ikke har
sendt. Den indeholder nogen engelsk tekst med opfordring til at besøge et
site; offersele.com Det har jeg selvfølgelig ikke gjort.
Selv mo den kommer til mig, står en tredie person som modtager i
adressefeltet, dog er det en person, som findes i hendes adressekartotek.
Jeg står ikke i adressefeltet.

Har hun en virus eller noget andet djævelskab og hvordan fjerner vi det?

Mvh Kurt

---

Kurt G wrote:

> Jeg har nu to gange fået en mail fra min svigerdatter, som hun ikke har
> sendt. Den indeholder nogen engelsk tekst med opfordring til at besøge
> et site; offersele.com Det har jeg selvfølgelig ikke gjort. Selv mo den
> kommer til mig, står en tredie person som modtager i adressefeltet, dog
> er det en person, som findes i hendes adressekartotek. Jeg står ikke i
> adressefeltet.
>
> Har hun en virus eller noget andet djævelskab og hvordan fjerner vi det?

Mht mail skal man være klar over følgende

1) Afsenderen kan skrive hvad som helst i "from" feltet, herunder
lars@statsministeriet.dk hvis det skal være

2) Afsenderen kan skrive hvad som helst i "to" feltet, det afgørende er
hvad afsenderen fortæller din mail server (din internetudbyder eller
hotmail/gmail hvis du bruger dem) om modtageren. Det er helt normalt at
din egen adresse ikke optræder i to/cc feltet ved spam.

Det skader ikke at checke for virus hos din svigerdatter, men det mest
sandsynlige er at hendes adressebog er blevet lækket til en ondsindet
tredjepart. MÃ¥ske via en eller anden fake social networking service, som
beder om hendes email password for at checke om hun har kontakter der
bruger denne service (desværre meget udbredt, og folk er ofte dumme nok
til at gøre det). I så fald bør password til denne mail konto skiftes
omgående.

--
Jesper Lund

---

Kurt G skrev blandt andet:

> Jeg har nu to gange fået en mail fra min svigerdatter, som hun ikke
> har sendt. Den indeholder nogen engelsk tekst med opfordring til at
> besøge et site; offersele.com Det har jeg selvfølgelig ikke gjort.
> Selv mo den kommer til mig, står en tredie person som modtager i
> adressefeltet, dog er det en person, som findes i hendes
> adressekartotek. Jeg står ikke i adressefeltet.
>
> Har hun en virus eller noget andet djævelskab og hvordan fjerner vi
> det?

Din svigerdsatters adresse er "spoofed". Læs her:
http://www.cert.org/tech_tips/email_spoofing.html


--
vh
Ole C

---

Den 26-03-2010 18:38, Kurt G skrev:
> Jeg har nu to gange fået en mail fra min svigerdatter, som hun ikke har
> sendt. Den indeholder nogen engelsk tekst med opfordring til at besøge et
> site; offersele.com Det har jeg selvfølgelig ikke gjort.
> Selv mo den kommer til mig, står en tredie person som modtager i
> adressefeltet, dog er det en person, som findes i hendes adressekartotek.
> Jeg står ikke i adressefeltet.
>
> Har hun en virus eller noget andet djævelskab og hvordan fjerner vi det?

Det kan godt tænkes, hun har en virus/malware, måske noget
spyware/keylogger-værk. Jeg har selv haft en computer, som blev del af
et botnetværk, som masseudsendte spam, uden jeg var klar over det. Den
malware disablede min antivirus iøvrigt, så man må aldrig nogensinde
forlade sig på et sådant. Og man må iøvrigt heller ikke bruge computeren
til dagligt under ADMIN-login, så be¨r man om ballade ;)

Synes, du skulle bede hende om at rense maskinen, reelt ville jeg mene
det sikreste er at formatere eller reinstallere fra clean image (men
kræver jo man har et sådant). Men jeg ved godt, det er ikke en mulighed
for mange.

Jeg ved ikke hvad der findes af programmer til rensning, da jeg selv
ikke har haft brug for det længe. Prøv at spørge på virusfri.dk. Her kan
man også få en vurdering af computerens "indre", som nok er nødvendigt.

En ting, som er nok så vigtig er at finde ud af, hvor det er kommet ind,
så hun kan gardere sig til næste gang. Prøv at tænke på, om hun har
klikket på et eller andet på f.eks. Facebook, hvor der måske var en
advarsel, hun klikkede ja til. Eller måske en side, som advarede imod
malware, og gerne ville installere noget anti-malware..? Mulighederne er
mange.

I skal også kontakte alle på hendes kontaktliste og spørge, om de har
fået meddelelser ligesom dig, og de skal advares.


NB! Siden, som henvises til i mailen har ufatteligt dårlig reputation.
Både mywot.org og siteadvisor advarer om "dårlig oplevelse".

http://www.siteadvisor.com/sites/offersele.com

For mig at se, ligner det SCAM/phishing-forsøg (de vil narre penge fra
jer). Men selve malwaren som sender mailen kan man ikke sige noget om,
den kan sagtens indeholde alt muligt andet. f.eks. keyloggers. Det ene
udelukker ikke det andet. offersale (som så er SCAM), har formentlig
bare købt sig adgang til jeres (og andres) PC, men har ikke været
interesseret i metoden. Derfor ville jeg f.eks. heller ikke gå på
netbank fra den PC, før "indgangsdøren" er fundet.


MVH
Rune Jensen

---

Rune Jensen wrote:

> Synes, du skulle bede hende om at rense maskinen, reelt ville jeg mene
> det sikreste er at formatere eller reinstallere fra clean image (men
> kræver jo man har et sådant).

Inden man tager drastiske midler i brug, skulle man måske lige kigge om det
er et "Joe Job", der er tale om.

Hvis det er tilfældet, har det _intet_ med svigerdatterens PC at gøre.

--
Med venlig hilsen
Stig Johansen

---

On Sat, 27 Mar 2010 12:37:31 +0100, Stig Johansen <wopr.dk@gmail.com>
wrote:

>Inden man tager drastiske midler i brug, skulle man måske lige kigge om det
>er et "Joe Job", der er tale om.

Sandsynligheden er nok ret lille da spam'en involverer 3 personer som
kender hinanden indbyrdes.

Mvh
Sune

---

"Stig Johansen" <wopr.dk@gmail.com> skrev i en meddelelse
news:4badee10$0$278$14726298@news.sunsite.dk...
> Rune Jensen wrote:
>
>> Synes, du skulle bede hende om at rense maskinen, reelt ville jeg mene
>> det sikreste er at formatere eller reinstallere fra clean image (men
>> kræver jo man har et sådant).
>
> Inden man tager drastiske midler i brug, skulle man måske lige kigge om
> det
> er et "Joe Job", der er tale om.
>
> Hvis det er tilfældet, har det _intet_ med svigerdatterens PC at gøre.
>
> --
> Med venlig hilsen
> Stig Johansen

Tak for alle svarene, som jeg har sendt videre til svigerdatteren. Så må hun
og min søn reagere ud fra det.
Men hvad er "Joe job"?

Mvh Kurt

---

Kurt G wrote:

> Men hvad er "Joe job"?
Hvis _jeg_ sender en mail til _dig_ og andre med din svigerdatter som
_afsender_.

I det tilfælde er det ikke svigerdatteren, som er synderen, men _mig_.
Joe job:
<http://en.wikipedia.org/wiki/Joe_job>

--
Med venlig hilsen
Stig Johansen

---

Den 27-03-2010 12:37, Stig Johansen skrev:
> Rune Jensen wrote:
>
>> Synes, du skulle bede hende om at rense maskinen, reelt ville jeg mene
>> det sikreste er at formatere eller reinstallere fra clean image (men
>> kræver jo man har et sådant).
>
> Inden man tager drastiske midler i brug, skulle man måske lige kigge om det
> er et "Joe Job", der er tale om.
>
> Hvis det er tilfældet, har det _intet_ med svigerdatterens PC at gøre.

Jo, det vil jeg give dig ret i, men jeg ville stadig ikke f.eks. gå på
netbank før den indgangsdør er fundet. Men jeg understreger, det er de
forholdsregler, *jeg* ville tage...

Kan du fortælle nærmere om, hvad et Joe-job er?

Man kan ikke umiddelbart tilknytte to personers mailadresse uden at have
baggrundsviden, som man f.eks. får ved adgang til en persons
adresseliste. Hvilket så ville betyde f.eks. cracked password til
mailkontoen. Alternativt skal begge mailadresser have ligget offentligt
tilgængeligt i sammenhæng, f.eks. på en social networking site.

Jeg fandt denne, ligner den?
http://social.answers.microsoft.com/Forums/fi-FI/msescan/thread/f7ef13e6-534f-495d-af07-c0794ef55915


MVH
Rune Jensen

---

Rune Jensen wrote:

> Kan du fortælle nærmere om, hvad et Joe-job er?

Vore indlæg krydser lidt hinanden.

Jeg har prøvet at redegøre for Joe Jobs i et andet indlæg, men det handler
lidt om hvem der udgiver sig for hvem.

Jeg kan godt sende en mail til dig med Kurt's svigerdatter som afsender -
forudsat jeg kender hendes adresse.

Men det er jjo ligesom det email harvesters er til for.....

> Man kan ikke umiddelbart tilknytte to personers mailadresse uden at have
> baggrundsviden, som man f.eks. får ved adgang til en persons
> adresseliste.

Enig, men det forlyder ikke hvor denne adresseliste ligger.

> Hvilket så ville betyde f.eks. cracked password til
> mailkontoen.

Ja, og det handler nok ikke så meget om brute force angreb, men mere:
"Hvad er navnet på dit kæledyr?"...

Hvis du kender min mailadresse, og navnet på mit kæledyr, er det en sma sag
at finde/gætte passwordet.

> Alternativt skal begge mailadresser have ligget offentligt
> tilgængeligt i sammenhæng, f.eks. på en social networking site.

Ikke forstået.
Jeg vil gætte på, at harvesters/botter sammensætteer alting.

> Jeg fandt denne, ligner den?
>
http://social.answers.microsoft.com/Forums/fi-FI/msescan/thread/f7ef13e6-534f-495d-af07-c0794ef55915

Aner det ikke - har ikke kigget.
Men selv om du henviser til et microsoft site, så er det ikke begrænset til
samme.

--
Med venlig hilsen
Stig Johansen

---

Den 27-03-2010 13:27, Stig Johansen skrev:
> Rune Jensen wrote:
>
>> Kan du fortælle nærmere om, hvad et Joe-job er?
>
> Vore indlæg krydser lidt hinanden.

Jeg har problemer med Cirques nyhedsservere, så jeg enten aldrig ser
alle indlæg, eller først ser dem flere timer senere. Jeg kan heller ikke
se Kurts andet indlæg, kun dit svar.

Det har varet vel en uge nu. Pisseirriterende.

<SNIP: Joe Job>

> Hvis du kender min mailadresse, og navnet på mit kæledyr, er det en sma sag
> at finde/gætte passwordet.

Den er forholdsvist nem. Minimum 8 karakterer, ordet må ikke kunne
findes i ordbogen, det skal være en blanding af store og små bogstaver,
minimum ét tal, ingen gentagelser af tegn.

Undgå at bruge "Husk password" i diverse prugrammer også.

>> Alternativt skal begge mailadresser have ligget offentligt
>> tilgængeligt i sammenhæng, f.eks. på en social networking site.
>
> Ikke forstået.
> Jeg vil gætte på, at harvesters/botter sammensætteer alting.

Hvis en harvester høster både din og min adresse, kan de ikke
umiddelbart knyttes sammen, som at vi også sender mails til hinanden.
Altså det vil ikke være logisk uden baggrundsviden, at en spammer på den
måde sender en mail til mig i dit navn eller omvendt, for han kender
intet til vores interne mails. Med mindre, han har en adresseliste.

Chancen for, det kan ske "tilfældigt" uden den baggrundsviden, vil jeg
sige er nær nul. Derfor tænker jeg på cracked mailkonto password, hvis
det er et sådant Joe Job. Alternativt (men det er min tankegang) en
keylogger.

>> Jeg fandt denne, ligner den?
>>
> http://social.answers.microsoft.com/Forums/fi-FI/msescan/thread/f7ef13e6-534f-495d-af07-c0794ef55915
>
> Aner det ikke - har ikke kigget.
> Men selv om du henviser til et microsoft site, så er det ikke begrænset til
> samme.

Det har ikke som sådan noget at gøre med Microsoft, det er bare en tråd
fra deres forum. Det kunne have været fra hvorsomhelst. Her handler det
om en Hotmailadresse, som tilsyneladende udsender spam - Spammen er den
samme, som Kurt angiver, altså offersale, men selve indholdet er jeg
ikke sikker på, om er 100% ens.


MVH
Rune Jensen

---

Rune Jensen wrote:

> Jeg har problemer med Cirques nyhedsservere, så jeg enten aldrig ser
> alle indlæg, eller først ser dem flere timer senere.

Sunsite, evt. dotsrc, har tjent mig godt gennem ca. 15 år ;)

>
>> Hvis du kender min mailadresse, og navnet på mit kæledyr, er det en sma
>> sag at finde/gætte passwordet.
>
> Den er forholdsvist nem. Minimum 8 karakterer, ordet må ikke kunne
> findes i ordbogen, det skal være en blanding af store og små bogstaver,
> minimum ét tal, ingen gentagelser af tegn.
>
> Undgå at bruge "Husk password" i diverse prugrammer også.

Det var ikke en forensic analyse, blot et par forslag til at finde ud af
hvor problemet ligger.

Hvis man har 'stjålet' adressebogen fra et online medie, er det fløjtende
ligegyldigt med at formattere og geninstallere.

--
Med venlig hilsen
Stig Johansen

---

Den 27-03-2010 14:08, Stig Johansen skrev:
> Rune Jensen wrote:
>
>> Jeg har problemer med Cirques nyhedsservere, så jeg enten aldrig ser
>> alle indlæg, eller først ser dem flere timer senere.
>
> Sunsite, evt. dotsrc, har tjent mig godt gennem ca. 15 år ;)

Lidt ærgerligt, nåt nu Cirque er en af de få udbydere, som stadig har
egen nyhedsserver, og når deres service ellers fungerer perfekt.

Men jo, jeg kan jo være nødt til at skifte.

> Det var ikke en forensic analyse, blot et par forslag til at finde ud af
> hvor problemet ligger.
>
> Hvis man har 'stjålet' adressebogen fra et online medie, er det fløjtende
> ligegyldigt med at formattere og geninstallere.

Klart nok, så er det nok bedre at få skiftet sine passwords. Men jeg
ville selv være allerh.. nysgerrig omkring årsagen ;)

Jeg har ikke selv erfaring med analyse af mails, men dit råd om at kigge
på den modtagne mail for at finde afsender, lyder fornuftig.


MVH
Rune Jensen

---

Rune Jensen wrote:

> Jeg har ikke selv erfaring med analyse af mails, men dit råd om at kigge
> på den modtagne mail for at finde afsender, lyder fornuftig.

Hvis Kurt smider en 'vis kilde' (her) på hans modtagne mails fra
'svigerdatteren', tror jeg der er mange, der kan fortælle hvor de stammer
fra.

--
Med venlig hilsen
Stig Johansen

---

"Stig Johansen" <wopr.dk@gmail.com> skrev i en meddelelse
news:4bae0c8a$0$283$14726298@news.sunsite.dk...
> Rune Jensen wrote:
>
>> Jeg har ikke selv erfaring med analyse af mails, men dit råd om at kigge
>> på den modtagne mail for at finde afsender, lyder fornuftig.
>
> Hvis Kurt smider en 'vis kilde' (her) på hans modtagne mails fra
> 'svigerdatteren', tror jeg der er mange, der kan fortælle hvor de stammer
> fra.
>
> --
> Med venlig hilsen
> Stig Johansen

Ja, men I skal gerne få kilden vist:
............................
<html>
<head>
<style><!--
..hmmessage P
{
margin:0px;
padding:0px
}
body.hmmessage
{
font-size: 10pt;
font-family:Verdana
}
--></style>
</head>
<body class='hmmessage'>
Hi,<BR><BR>How are you doing these days? <BR>A few days ago, I came across a
good shopping website. <BR>It is amazing that the products have competitive
price and high-quality. <BR>I have bought some items from this site, and i
am very satisfied with their items and services. <BR>If you have any
question please contact with the online servicers you will have a good
reply.<BR>So do have a look at this web page :&nbsp; offersele.com <BR>I
hope it will give you some help.<BR><BR>Yours,$B!$(B<BR> <br
/><hr /> <a href='' target='_new'></a></body>
</html>
............................

Mvh Kurt

---

"Stig Johansen" <wopr.dk@gmail.com> skrev i en meddelelse
news:4bae0c8a$0$283$14726298@news.sunsite.dk...
> Rune Jensen wrote:
>
>> Jeg har ikke selv erfaring med analyse af mails, men dit råd om at kigge
>> på den modtagne mail for at finde afsender, lyder fornuftig.
>
> Hvis Kurt smider en 'vis kilde' (her) på hans modtagne mails fra
> 'svigerdatteren', tror jeg der er mange, der kan fortælle hvor de stammer
> fra.
>
> --
> Med venlig hilsen
> Stig Johansen

Måske er det dette, der giver en løsning;

Return-Path: <qdal@live.dk>
X-Original-To: kurt_g@guldbaek.net
Delivered-To: kurt_g@guldbaek.net
Received: from mx-z.b-one.net (mx-z.one.com [193.202.110.205])
by mail50.b-one.net (Postfix) with ESMTP id B0AC81825A55
for <kurt_g@guldbaek.net>; Thu, 25 Mar 2010 21:16:13 +0100 (CET)
Received: by mx-z.b-one.net (Postfix, from userid 106)
id AC22B2EF205E; Thu, 25 Mar 2010 21:16:13 +0100 (CET)
X-Virus-Scanned: by one.com
X-Spam-Flag: YES
X-Spam-Score: 4.093
X-Spam-Level: 2/5
X-Spam-Status: Yes, score=4.093 tagged_above=0 required=4
tests=[HTML_MESSAGE=0.001, SPF_PASS=-0.001, URIBL_BLACK=1.961,
URIBL_OB_SURBL=2.132]
Received-SPF: pass (mx-z.one.com: domain of qdal@live.dk designates
65.55.90.141 as permitted sender)
X-Greylist: domain auto-whitelisted by SQLgrey-1.7.4
Received: from snt0-omc3-s2.snt0.hotmail.com (snt0-omc3-s2.snt0.hotmail.com
[65.55.90.141]) by mx-z.b-one.net (Postfix) with ESMTP id 6A77B2F4189C for
<kurt_g@guldbaek.net>; Thu, 25 Mar 2010 21:16:11 +0100 (CET)
Received: from SNT127-W39 ([65.55.90.135]) by snt0-omc3-s2.snt0.hotmail.com
with Microsoft SMTPSVC(6.0.3790.3959); Thu, 25 Mar 2010 13:13:27 -0700
Message-ID: <SNT127-W39A2863D655A346CEC5ED8D5240@phx.gbl>
Content-Type: multipart/alternative;
boundary="_da0f7b27-1faa-42b3-8780-8dcf59824086_"
X-Originating-IP: [115.49.66.27]
From: Birgitte Kudal Hansen <qdal@live.dk>
To: <drejer@mvbmail.dk>
Subject: [SPAM WARNING]Re:
Date: Thu, 25 Mar 2010 21:13:27 +0100
Importance: Normal
MIME-Version: 1.0
X-OriginalArrivalTime: 25 Mar 2010 20:13:27.0406 (UTC)
FILETIME=[A14FC0E0:01CACC57]
X-FS-Classification-phishing: 1
X-FS-Classification-spam: 2
X-FS-Diagnostics: database-version=2010-03-04_01
tests=spam.CT_UNKNOWN=1,spam.[str=0001.0A3C0009.4BABDAA7.0081/ss=1/fgs=0]=0

Mvh Kurt

---

Kurt G wrote:

> Måske er det dette, der giver en løsning;

Virker som om der er noget 'kineserkrudt' via hotmai.

Ifg. robtex:
.....
CNET 115.49.66
115.48.0.0/12 CNC Group CHINA169 Henan Province Network AS4837
.....
samt:
.....
Sorry, we have no DNS information about 65.55.90.135. It is blacklisted in
five lists.
...
65.55.80.0/20 Microsoft AS8075
.....

Så det er meget lidt sandsynligt mailen stammer fra datterens PC.

Et godt spørgsmål er så om adressebogen er blevet hacket eller ej.

ligger adressebogen online, eks. gmail/hotmail eller lign?, og har hun måske
fået en af de der phishing mails med 'bekræft dine kontooplysninger' ?

Under alle omstændigheder bør hun ændre passwords til eventuelle online
services.

--
Med venlig hilsen
Stig Johansen

---

Kurt G wrote:

> Jeg har nu to gange fået en mail fra min svigerdatter, som hun ikke har
> sendt.

Du har fået forskellige svar, men de fleste mailklienter indeholder en
facilitet a la 'vis kilde'.

Hvis du kigger på den burde det tydeligt fremgå hvor, og hvordan, mailen er
opstået, herunder hvorfra den kommer.

Så kan du afgøre om det er fra svigerdatterens PC eller 3. mand.

--
Med venlig hilsen
Stig Johansen

---

Kurt G wrote:

> Ja, men I skal gerne få kilden vist: ...........................

Det er mail headeren vi skal se. Hvis du er i tvivl om hvordan den vises,
så skriv hvilket mail klient du bruger.

--
Jesper Lund

---

Stig Johansen wrote:

> Under alle omstændigheder bør hun ændre passwords til eventuelle online
> services.

Det vil jeg også sige. Mailen kommer fra hotmail's servere, og
svigerdatteren har en hotmail (live.dk) konto, hvor der er adressebog.
Det tyder ikke på en lokalt installeret trojaner, men snarere at hun er
blevet "aflokket" sit password.

"X-Originating-IP" er den IP adresse som er logget på hotmail kontoen, og
det er en adresse i Kina, som Stig også skriver.

--
Jesper Lund