[win2k]Rare praktijken, ben ik gehackt ?

[Verwijderd]

Ik draai een win2k adv srv. Is me ICS bak.

Maar nu heb ik verschillende problemen tijdens het installeren, paar weken terug kreeg ik meteen een bericht van internet via de messenger service.

Dat had ik nog nooit gezien en vondt ik raar. Na alle updates ben ik dit niet meer tegengekomen.

Laatst wou ik op IRC op tweakers.net connecten en kon daar niet joinen doordat ik op een of andere blacklist stond vanwege een open proxy. Ik draai geen proxy.

Als provider heb ik TWEAKDSL, en uitgaande mail kan ik niet versturen, ik krijg dan de volgende error te zien in outlook 2002.

code:

Uw bericht heeft enkele of alle geadresseerden niet bereikt.

Onderwerp: asd asdasd

Verzonden: 1-3-2005 22:18

De volgende geadresseerde(n) zijn niet bereikt:

'[e-mail]' op 1-3-2005 22:18

451 Blocked - see

http://www.spamcop.net/bl.shtml?82.197.207.79

Ook al ergens geblokt.

Volgende probleem is, ik doe niks raars op internet en draai al jaren win2ksrv en opeens heb ik last van dns adressen die het niet doen. Ik ben goed bekend met spyware en alhoewel ik niet op internet ben geweest op de srv, afgezien van windows update.

Heb ik allemaal spyware op mijn srv.

In Software kom ik de volgende rare dingen tegen :

ISTscv
Preview Adservice
Sidefind
Uninstall 180 search assistant
Webrebates
WSEM update

Rara hoe kan dit.. Ik ben echt neit op internet geweest. Het zijn mij teveel toevalligheden bij elkaar. Ik draai geen virusscanner, die ben ik nu wel aan het installeren. Ad-ware ga ik hierna even draaien.

Ben ik nou gehackt ? kan het me niet voorstellen, heb wachtwoorden etc veranderd.
Administrator account veranderd etc. Draai geen proxy, draai alleen ics maar die is nog niet eens geconfigureerd.

Wie is mijn licht in de duisternis.

[update] Zojuist wou ik ad-aware downloaden, doet internet het geen eens meer op me serverbak.[/update]

[ Voor 4% gewijzigd door Verwijderd op 01-03-2005 22:55 ]

[Verwijderd]

Nog meer rare dingen kom ik tegen. in me C root staan opeens deze files

code:

 Volume in drive C has no label.
 Volume Serial Number is A064-C426

 Directory of C:\

01/25/2005  08:01p      <DIR>          Documents and Settings
02/01/2005  11:12p              30,790 GMx.exe
01/25/2005  07:46p      <DIR>          Inetpub
02/03/2005  10:55p              28,281 mommafuck.exe
02/01/2005  10:24p              40,960 MRsetup.exe
02/03/2005  10:50a              22,016 mssys32w.exe
02/01/2005  11:12p      <DIR>          Program Files
02/01/2005  11:10p               1,093 SCSIupdate2.exe
02/02/2005  02:57a              28,281 sd3hesa.exe
02/03/2005  10:51p      <DIR>          temp
02/02/2005  02:59a             136,825 test.exe
02/03/2005  10:57p                   0 test.txt
02/03/2005  10:18p      <DIR>          WINNT
01/25/2005  08:58p      <DIR>          WUTemp
               8 File(s)        288,246 bytes
               6 Dir(s)   3,367,985,152 bytes free

[Verwijderd]

Salut,

J'ai eu 2 fois ce problème avec mommafuck.exe, test.exe, autoexe.exe, gmx.exe sur mon PC. J'ai une freebox connectée en ethernet.
Les spybot, adaware et autres logiciels anti-spy se sont avérés totalement inutiles. J'ai pas trouvé de solution miracle à part reformater, réinstaller et activer le firewall.

A noter : à chaque fois que j'ai chopé cette saloperie c'était quand le firewall d'XP était désactivé. Il ne suffit que quelques secondes pour que ces fichiers s'installent et tournent en tache de fond

Pour ceux que la réinstallation fatigue, j'ai trouvé un autre tuyau sur ce forum mais je l'ai pas testé :

http://www.informatruc.com/forum/sutra30286.php

Bon courage

Vertaal dat maar eens misschien heb je er wat aan...

[Verwijderd]

Verwijderd schreef op dinsdag 01 maart 2005 @ 22:59:
[...]

Vertaal dat maar eens misschien heb je er wat aan...

Salut, Ik heb 2 keer dit probl gehad? met mommafuck.exe, test.exe, autoexe.exe, gmx.exe op mijn PC. Ik heb een freebox connect?en Ethernet. Spybot, adaware en andere software anti-spy zijn av?s zich volkomen nutteloos. Ik heb trouv?e pasklare oplossing niet?art reformater, r?staller en de veiligheidsoplossing activeren. Om op te merken: ?haque keer die ik chop?ette saloperie het?it heb wanneer de veiligheidsoplossing van XP?it d?ctiv?Il slechts enkele tweede voldoende is opdat deze bestanden zich vestigen en richten in fundamentele vlek Voor degenen die r?stallation vermoeit, heb ik trouv?n andere buis op dit forum maar ik heb het niet test?

Wordt er niet echt wijzer van.. om eerlijk te zijn.

[Verwijderd]

Ik ook niet om eerlijk te zijn was het enige wat ik zo snel kon vinden met de hoop dat er wat leuks in stond of op het forum...

[elevator]

Dit lijkt me meer iets voor Beveiliging & Virussen - ik verplaats je topic dan ook eventjes

Windows Operating Systems >> Beveiliging & Virussen

[Verwijderd]

Verwijderd schreef op dinsdag 01 maart 2005 @ 23:04:
[...]

Salut, Ik heb 2 keer dit probl gehad? met mommafuck.exe, test.exe, autoexe.exe, gmx.exe op mijn PC. Ik heb een freebox connect?en Ethernet. Spybot, adaware en andere software anti-spy zijn av?s zich volkomen nutteloos. Ik heb trouv?e pasklare oplossing niet?art reformater, r?staller en de veiligheidsoplossing activeren. Om op te merken: ?haque keer die ik chop?ette saloperie het?it heb wanneer de veiligheidsoplossing van XP?it d?ctiv?Il slechts enkele tweede voldoende is opdat deze bestanden zich vestigen en richten in fundamentele vlek Voor degenen die r?stallation vermoeit, heb ik trouv?n andere buis op dit forum maar ik heb het niet test?

Wordt er niet echt wijzer van.. om eerlijk te zijn.

Hello, I had 2 times this problem with mommafuck.exe, test.exe, autoexe.exe, gmx.exe on my PC. I have a freebox connected in Ethernet. The spybot, adaware and other software anti-spy proved completely useless. I did not find a miracle solution with share reformater, to reinstall and activate the firewall. To note: with each time I chopé this filth it was when the firewall of XP was decontaminated. It is enough only a few seconds so that these files settle and turn in basic spot For those which the reinstalment tires, I found another pipe on this forum but I did not test it:

Een betere vertaling

[EricJH]

Ga eens in de weer met Rootkit Revealer van sysinternals als trojan, spyware en virusscans niet helpen.

Ik ben niet wijs genoeg daar goed mee uit de voeten te kunnen overigens.

[pasta]

Scan eens met het standaard lijstje spywaredetection tools, zoals Microsoft Spyware, Ad-Aware, Spybot Search & Destroy etc. etc. Een scan met een virusscanner, zoals Kaspersky met extended bases, uitvoeren kan ook effectief zijn.

Controleer ook even met Hijackthis of er nog meer verdachte entries tussen staan. Daarnaast kan je sowieso even 1 van die files in je root-dir even scannen met Jotti's online malware scan

[ Voor 3% gewijzigd door pasta op 02-03-2005 00:31 ]

[blobber]

Je pc lijkt me gehacked, opnieuw installeren is de enige manier om er zeker van te zijn dat er geen achterdeurtjes achterblijven.Meteen na een schone installatie een image maken van je schijf die je in dit soort gevallen meteen weer kunt terugzetten.Verder raad ik je aan je wachtwoorden te wijzigen want deze zijn zeker bekend bij degenen die je pc gehacked hebben.

[Verwijderd]

blobber schreef op woensdag 02 maart 2005 @ 00:51:
Je pc lijkt me gehacked, opnieuw installeren is de enige manier om er zeker van te zijn dat er geen achterdeurtjes achterblijven.Meteen na een schone installatie een image maken van je schijf die je in dit soort gevallen meteen weer kunt terugzetten.Verder raad ik je aan je wachtwoorden te wijzigen want deze zijn zeker bekend bij degenen die je pc gehacked hebben.

Zal je net zien is mijn standaard wachtwoord maar we gaan het wijzigen. Overal .

Het kloterige is dat inet niet op die bak meer werkt en het netwerk van mijn pc hier ook niet goed.. zit een bugje in mijn tcp/ip ofzo waardoor ik het netwerk niet kan benaderen. Op me srv kan ik daardoor niet op me client winxp komen. Dus zal eerst mijn client moeten reinstallen..

[update] seems like my lucky day.. Opeens doet internet het op de srv[/update]

Virusscans, ad-ware scans here we come..

Ook raar.. elke keer navigeert me browser naar een adres
url pas op
http://67.15.70.15/~black/videosex.html

Dat adres geeft een 404.
Als ik dit intik op google of op delen ervan zoek vindt ik helemaal niks alleen in de nieuwsgroepen berichten in het japans.. strange..

update
als ik op de url zoek in regedit.. komt hij tevoorschijn bij:
Hkeyusers\software\microsoft\internet connection wizard\ daar heeft de value shellenext die waarde iemand enig idee wat daar behoort te staan ?

[ Voor 53% gewijzigd door Verwijderd op 02-03-2005 01:50 ]

[Verwijderd]

pasta schreef op woensdag 02 maart 2005 @ 00:30:
Scan eens met het standaard lijstje spywaredetection tools, zoals Microsoft Spyware, Ad-Aware, Spybot Search & Destroy etc. etc. Een scan met een virusscanner, zoals Kaspersky met extended bases, uitvoeren kan ook effectief zijn.

Controleer ook even met Hijackthis of er nog meer verdachte entries tussen staan. Daarnaast kan je sowieso even 1 van die files in je root-dir even scannen met Jotti's online malware scan

Ad-aware 181 entries gevonden na reboot komt het probleem net zo hard weer terug..
Windows update gedraaid mag niet helpen.
Regedit alle verwijzingen verwijderd.

Jotti geeft dit aan:

mommafuck.exe
AntiVir Heuristic/Trojan.Downloader (probable variant) (0.72 seconds taken)
ClamAV Adware.Adtool (1.16 seconds taken)
Dr.Web not a virus Adware.Winad (1.61 seconds taken)
Fortinet Adware/AdTools.A (0.80 seconds taken)
Kaspersky Anti-Virus not-a-virus:AdWare.WinAD.z (1.94 seconds taken)

gmx.exe
BitDefender BehavesLike:Trojan.LowZones (probable variant) (1.52 seconds taken)
ClamAV Trojan.Lowzones-30 (1.78 seconds taken)
Dr.Web Trojan.DownLoader.871 (3.17 seconds taken)
F-Prot Antivirus W32/Lowzones.AG (0.13 seconds taken)
Kaspersky Anti-Virus Trojan.Win32.LowZones.p (3.02 seconds taken)
NOD32 Win32/Lowzones.P (0.88 seconds taken)

SCSIupdate2
AntiVir TR/LowZones.AK (1.06 seconds taken)
BitDefender BehavesLike:Trojan.LowZones (probable variant) (0.98 seconds taken)
Dr.Web Trojan.LowZones (1.55 seconds taken)
Kaspersky Anti-Virus Trojan.Win32.LowZones.ak (1.90 seconds taken)
mks_vir Trojan.Lowzones.Ak (0.40 seconds taken)
NOD32 No viruses found (0.88 seconds taken)
Norman Virus Control W32/MEWpacked.gen (0.38 seconds taken)

sd3hesa
AntiVir Heuristic/Trojan.Downloader (probable variant) (0.74 seconds taken)
Avast No viruses found (3.03 seconds taken)
AVG Antivirus No viruses found (0.93 seconds taken)
BitDefender No viruses found (0.98 seconds taken)
ClamAV No viruses found (1.21 seconds taken)
Dr.Web No viruses found (1.66 seconds taken)
F-Prot Antivirus No viruses found (0.38 seconds taken)
Fortinet No viruses found (0.94 seconds taken)
Kaspersky Anti-Virus No viruses found (1.82 seconds taken)
mks_vir No viruses found (0.59 seconds taken)
NOD32 No viruses found (1.03 seconds taken)
Norman Virus Control No viruses found (2.69 seconds taken)

test.exe

Interessant nog niet bekend...

File: test.exe
Status: MIGHT BE INFECTED/MALWARE (Sandbox emulation took a long time and/or runtime packers were found, this is suspicious. Normally programs aren't packed and don't force the sandbox into lengthy emulation. Do realize no scanner issued any warning, the file can very well be harmless. Caution is advised, however.) (Note: this file has been scanned before. Therefore, this file's scan results will not be stored in the database)
Packers detected: UPX

AntiVir No viruses found (1.47 seconds taken)
Avast No viruses found (1.50 seconds taken)
AVG Antivirus No viruses found (2.02 seconds taken)
BitDefender No viruses found (2.09 seconds taken)
ClamAV No viruses found (2.63 seconds taken)
Dr.Web No viruses found (2.75 seconds taken)
F-Prot Antivirus No viruses found (0.40 seconds taken)
Fortinet No viruses found (1.28 seconds taken)
Kaspersky Anti-Virus No viruses found (2.91 seconds taken)
mks_vir No viruses found (1.31 seconds taken)
NOD32 No viruses found (2.85 seconds taken)
Norman Virus Control No viruses found (5.18 seconds taken)

In system32 map
WINstcl

Service load: 0% 100%

File: wstcl.exe
Status: INFECTED/MALWARE
Packers detected: FSG, PE_PATCH.PECOMPACT, PECBUNDLE, PECOMPACT

AntiVir Worm/RBot.80496 (0.72 seconds taken)
Avast No viruses found (3.05 seconds taken)
AVG Antivirus IRC/BackDoor.SdBot.140.X (1.12 seconds taken)
BitDefender Backdoor.RBot.2F73CB0B (1.00 seconds taken)
ClamAV No viruses found (1.20 seconds taken)
Dr.Web Win32.HLLW.MyBot.based (1.83 seconds taken)
F-Prot Antivirus No viruses found (1.90 seconds taken)
Fortinet No viruses found (0.83 seconds taken)
Kaspersky Anti-Virus Backdoor.Win32.Rbot.gen (2.80 seconds taken)
mks_vir Win32 (probable variant) (0.41 seconds taken)
NOD32 probably unknown NewHeur_PE (probable variant) (1.25 seconds taken)
Norman Virus Control W32/Spybot.EVU (0.33 seconds taken)

**tevens in system32 map**
wystcl
File: wystcl.exe
Status: INFECTED/MALWARE (Note: this file has been scanned before. Therefore, this file's scan results will not be stored in the database)
Packers detected: Analyzing...

AntiVir No viruses found (1.17 seconds taken)
Avast No viruses found (4.51 seconds taken)
AVG Antivirus No viruses found (1.64 seconds taken)
BitDefender Backdoor.RBot.1627AAB5 (1.57 seconds taken)
ClamAV No viruses found (1.78 seconds taken)
Dr.Web Win32.HLLW.MyBot.based (2.19 seconds taken)
F-Prot Antivirus No viruses found (1.94 seconds taken)
Fortinet No viruses found (0.79 seconds taken)
Kaspersky Anti-Virus Backdoor.Win32.Rbot.gen (2.86 seconds taken)
mks_vir Win32 (probable variant) (0.40 seconds taken)
NOD32 probably unknown NewHeur_PE (probable variant) (1.34 seconds taken)
Norman Virus Control Scanning, please wait...

Inmiddels een zwik aan virusscanners gedownload die van jotti's site stuk of 6 ga morgen scannen, daarna nog pestpatrol draaien hitman pro, winxp virusscanner cc cleaner, kaspersky hacker.. het moet en zal verdwijnen.

[Freee!!]

Verwijderd schreef op woensdag 02 maart 2005 @ 02:27:
[...]
het moet en zal verdwijnen.

En gezonde instelling, maar

blobber schreef op woensdag 02 maart 2005 @ 00:51:
Je pc lijkt me gehacked, opnieuw installeren is de enige manier om er zeker van te zijn dat er geen achterdeurtjes achterblijven.Meteen na een schone installatie een image maken van je schijf die je in dit soort gevallen meteen weer kunt terugzetten.Verder raad ik je aan je wachtwoorden te wijzigen want deze zijn zeker bekend bij degenen die je pc gehacked hebben.

al gelezen

Na een hack is alleen "format C:" (en wijziging van alle standaard passwords) afdoende. Het is jammer, maar het is niet anders.

[Verwijderd]

Mr. Liu schreef op woensdag 02 maart 2005 @ 02:41:
[...]

En gezonde instelling, maar

[...]

al gelezen

Na een hack is alleen "format C:" (en wijziging van alle standaard passwords) afdoende. Het is jammer, maar het is niet anders.

Yes.. Hmmmm maar daar heb ik om eerlijk te zijn geen zin in en tijd voor, en het is nog niet 100 % zeker dat het een hack is right ?, maybe een hardnekkig virus-ad-aware.

[Verwijderd]

Je bent niet gehacked lijkt me. Het zijn een stel trojans, virussen.
Als ik echter naar dit soort geneuzel kijk denk ik dat misschien handiger is toch een herinstallatie uit te voeren. Dan ben je er in ieder geval zeker vanaf.
Zorg dat je alle benodigde patches voor Windows 2000 Server vast in huis hebt en installeer/config firewall en virusscanner ook voordat je de netwerkkabel er weer in steekt.

[Verwijderd]

heb zelf dit probleem sinds gisteren ook.
had m'n norton etc opnieuw geinstalleerd na wat probleemjes met
m'n harde schijf.
ik heb waarsch. een actie naar internet niet geblokkeerd met m'n firewall.
heb nu mommafucker.exe/test.exe/gmx.exe en nog meer flauwekul!!!
ik wordt nu als ik online ga steeds doorgelinkt naar "asian porn" ofzoiets.
sluit ik de pc af, dan vind ik met norton verschillende virussen.(terwijl ik dit weekend nog gescand had)
die verwijder ik,maar na reboot staan ze er zo weer op!!
als j e met google zoekt op "mommafucker" vindt je ook niet veel soeps.
ook bij symantec vind ik niks.
er zou toch wel een removal tool ofzo zijn??
format c is gelijk wel erg rigoreus.
je moet eerst alle andere opties proberen vind ik.
ik draai trouwens xp-pro en ik heb s-pack2 nog niet geinstalleerd.

wie heeft nog een idee?

[pasta]

imhoteb, hierboven zag je bij het scannen met die files enkele virusscanners die die bestanden wel detecteren. Misschien is het aan te raden om er 1 te installeren (bijv. Kaspersky met Extended Bases) en hiermee een volledige systeemscan uit te voeren?

offtopic:
Misschien is het handiger als je een nieuw topic hierover opent, neem in je TS even een linkje naar dit topic op, tevens met wat meldingen wat je extra gedaan hebt.

Overigens, welkom op GoT.

[ Voor 30% gewijzigd door pasta op 15-03-2005 11:46 ]

[Verwijderd]

zal ik doen