[Trojan] Pojax.exe

[Ilya]

Ik heb bij startup het programma pojax.exe, geen idee wat het is, en ik kan er niets over vinden Geen enkele hit op google of GoT. Weet iemand wat het is? Het staat in de system32 folder.

[F_J_K]

Grote kans dat het een random naam is, dus hoe moeten wij dat weten als je geen info geeft?

Laat het eens scannen door wat online virusscanners, zoals die van Jotti.

[0xDEADBEEF]

F_J_K schreef op zaterdag 05 februari 2005 @ 13:29:
Laat het eens scannen door wat online virusscanners, zoals die van Jotti.

http://virusscan.jotti.dhs.org/ For the record
Dit installeert geen dingen op je PC, zoals HouseCall doet.

[Ilya]

Log:
Service load:
0% 100%
File: pojax.exe
Status:
INFECTED/MALWARE
Packers detected:
PE_PATCH.PECOMPACT, PECBUNDLE, PECOMPACT

AntiVir
No viruses found (0.18 seconds taken)
Avast
No viruses found (1.51 seconds taken)
AVG Antivirus
No viruses found (0.84 seconds taken)
BitDefender
No viruses found (0.50 seconds taken)
ClamAV
No viruses found (0.47 seconds taken)
Dr.Web
No viruses found (0.59 seconds taken)
F-Prot Antivirus
No viruses found (0.56 seconds taken)
Fortinet
No viruses found (0.45 seconds taken)
Kaspersky Anti-Virus
Trojan-Downloader.Win32.Agent.jc (1.10 seconds taken)
mks_vir
No viruses found (0.22 seconds taken)
NOD32
probably unknown NewHeur_PE (probable variant) (0.50 seconds taken)
Norman Virus Control
Sandbox: W32/Malware; [ General information ]

* File length: 49659 bytes.

[ Changes to filesystem ]
* Deletes file C:\bla.exe.
* Creates file C:\WINDOWS\SYSTEM\caac.exe.
* Deletes file c:\sample.exe.
* Creates file C:\WINDOWS\SYSTEM\caac.dat.

[ Changes to registry ]
* Deletes value "JavaUpdate0.07" in key "HKCU\Software\Microsoft\Windows\CurrentVersion\Run".
* Deletes value "JVM0.12" in key "HKCU\Software\Microsoft\Windows\CurrentVersion\Run".
* Creates value "JVM0.12"="C:\WINDOWS\SYSTEM\caac.exe" in key "HKLM\Software\Microsoft\Windows\CurrentVersion\Run".

[ Network services ]
* Looks for an Internet connection.
* Connects to "218.65.86.24" on port 80 (TCP).

[ Security issues ]
* Possible backdoor functionality [UNKNOWN] port 16008.
* Possible backdoor functionality [UNKNOWN] port 16649.

[ Process/window information ]
* Enumerates running processes.
* Enumerates running processes several parses....
* Will automatically restart after boot (I'll be back...). (2.20 seconds taken)

Dit is nu dus verwijderd of moet ik dit handmatig nog doen?
Handige site trouwens, mijn Avast Pro 4.5 vond dit niet eens

Ook start hij nu steeds "selectief" op, inplaats van "normaal" , ookal zeg ik dat hij normaal moet doen

[ Voor 6% gewijzigd door Ilya op 05-02-2005 13:55 ]

[Verwijderd]

Dit is nu dus verwijderd of moet ik dit handmatig nog doen?

Het zou niet goed zijn dat een site zoals die van jotti atm in elkaar zit zo'n sysaccess had.

Zoals je uit de malwarenaam kan afleiden is het zeer waarschijnlijk dat er meer malware op je systeem staat.(Trojan-Downloader)

Dus met het verwijderen van deze file ben je er nog niet.

[F_J_K]

Dit is nu dus verwijderd of moet ik dit handmatig nog doen?

Nee, het herkent en doet verder niets: dat moet je zelf doen.
Kijk even wat Kaspersky voor info geeft en geef even aan wat je HJT log is (zie de B&V FAQ) en wat er nog meer zit zoals Schouw hierboven ook suggereert.

Handige site trouwens, mijn Avast Pro 4.5 vond dit niet eens

Yup
En nee dat zeg ik niet omdat het mijn oude "baas" is

[ Voor 9% gewijzigd door F_J_K op 05-02-2005 14:13 ]

[Ilya]

Haha, nou , ik zal kaspersky eens downloaden (Ja, engels kennisje heeft LEGALE serial voor me..)
Norton heb ik sowieso een tyfus hekel aan, kaspersky lijkt me wel iets

Btw. Zoveel meer virussen zullen er niet opzitten, ben best bewust met mijn systeem, maar als mun virusscanner niets vind, dan houdt het op he..

[ Voor 31% gewijzigd door Ilya op 05-02-2005 14:50 ]

[Jordi]

F_J_K schreef op zaterdag 05 februari 2005 @ 14:12:
[...]
Yup
En nee dat zeg ik niet omdat het mijn oude "baas" is

Zo dan! Het is al goed hoor slijmjurk

Je zal versteld staan hoeveel rotzooi er "ongemerkt" op je bak breeduit z'n gang kan gaan hoor. Een massmailer bv. hoef je in principe niks van te merken qua cpu gebruik etc.

[pasta]

* pasta voert nog even een titeledit uit.

[Ilya]

Ah, ok, nou, het word een format Maar misschien dat andere nog iets hebben aan dit topic! Bedankt voor de reacties!