Lastige worm

[Verwijderd]

Hey virusbestrijdende vrienden,

Een kennis van mij vroeg mij of ik hem kon helpen met een worm die hij heeft opgelopen.
Ik ben erachter gekomen dat de volgende bestanden zijn aangemaakt door deze worm

c:\windows\system32\formatsys.exe (heb ik al uitgeschakeld in het tabblad opstarten bij msconfig)
c:\windows\system32\serbw.exe (heb ik al 1 keer uitgeschakeld in het tabblad opstarten bij msconfig maar is er nog een keer opgekomen, krijg deze dus niet weg omdat ik waarschijnlijk niet alle bestanden heb)

Ik heb ook nog een hijackthis logfile gemaakt, en vraag me af of julie d'r naar willen kijken.
(hou je lach in als er teveel troep op zit svp )

Logfile of HijackThis v1.99.1
Scan saved at 20:35:09, on 30-3-2005
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\formatsys.exe
C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\MSN Apps\Updater\01.02.3000.1001\nl\msnappau.exe
C:\Documents and Settings\Moustapha El Kharchi\Bureaublad\hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://g.msn.nl/0SENLNL/SAOS01
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.spele.nl/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.freeler.nl
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,AutoConfigURL = http://subscriber.chello.nl/autoconfig/nlnrh.ins
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = proxy.ams.chello.nl:8080
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O1 - Hosts: 64.233.167.104 www.symantec.com
O1 - Hosts: 64.233.167.104 www.sophos.com
O1 - Hosts: 64.233.167.104 www.mcafee.com
O1 - Hosts: 64.233.167.104 www.viruslist.com
O1 - Hosts: 64.233.167.104 www.f-secure.com
O1 - Hosts: 64.233.167.104 www.avp.com
O1 - Hosts: 64.233.167.104 www.kaspersky.com
O1 - Hosts: 64.233.167.104 www.networkassociates.com
O1 - Hosts: 64.233.167.104 www.ca.com
O1 - Hosts: 64.233.167.104 www.my-etrust.com
O1 - Hosts: 64.233.167.104 www.nai.com
O1 - Hosts: 64.233.167.104 www.trendmicro.com
O1 - Hosts: 64.233.167.104 www.grisoft.com
O1 - Hosts: 64.233.167.104 securityresponse.symantec.com
O1 - Hosts: 64.233.167.104 symantec.com
O1 - Hosts: 64.233.167.104 sophos.com
O1 - Hosts: 64.233.167.104 mcafee.com
O1 - Hosts: 64.233.167.104 liveupdate.symantecliveupdate.com
O1 - Hosts: 64.233.167.104 viruslist.com
O1 - Hosts: 64.233.167.104 f-secure.com
O1 - Hosts: 64.233.167.104 kaspersky.com
O1 - Hosts: 64.233.167.104 kaspersky-labs.com
O1 - Hosts: 64.233.167.104 avp.com
O1 - Hosts: 64.233.167.104 networkassociates.com
O1 - Hosts: 64.233.167.104 ca.com
O1 - Hosts: 64.233.167.104 mast.mcafee.com
O1 - Hosts: 64.233.167.104 my-etrust.com
O1 - Hosts: 64.233.167.104 download.mcafee.com
O1 - Hosts: 64.233.167.104 dispatch.mcafee.com
O1 - Hosts: 64.233.167.104 secure.nai.com
O1 - Hosts: 64.233.167.104 nai.com
O1 - Hosts: 64.233.167.104 update.symantec.com
O1 - Hosts: 64.233.167.104 updates.symantec.com
O1 - Hosts: 64.233.167.104 us.mcafee.com
O1 - Hosts: 64.233.167.104 liveupdate.symantec.com
O1 - Hosts: 64.233.167.104 customer.symantec.com
O1 - Hosts: 64.233.167.104 rads.mcafee.com
O1 - Hosts: 64.233.167.104 trendmicro.com
O1 - Hosts: 64.233.167.104 grisoft.com
O1 - Hosts: 64.233.167.104 sandbox.norman.no
O1 - Hosts: 64.233.167.104 www.pandasoftware.com
O1 - Hosts: 64.233.167.104 uk.trendmicro-europe.com
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Program Files\MSN Apps\ST\01.02.3000.1002\en-xu\stmain.dll
O2 - BHO: iFinger plugin / Browser helper object - {A114D52B-870C-4F15-8021-B6D7F91A054B} - C:\PROGRA~1\iFinger\plugins\IE.ifp
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll
O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.4000.1001\nl\msntb.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.4000.1001\nl\msntb.dll
O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
O4 - HKLM\..\RunServices: [serpe] C:\WINDOWS\System32\formatsys.exe
O4 - HKLM\..\RunServices: [ltwob] C:\WINDOWS\System32\formatsys.exe
O4 - HKLM\..\RunServices: [avnort] C:\WINDOWS\msmbw.exe
O8 - Extra context menu item: &Google Search - res://c:\program files\google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: Gelijkwaardige pagina's - res://c:\program files\google\GoogleToolbar2.dll/cmsimilar.html
O8 - Extra context menu item: Koppelingspagina's - res://c:\program files\google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Opgeslagen momentopname van de pagina - res://c:\program files\google\GoogleToolbar2.dll/cmcache.html
O9 - Extra button: ATI TV - {44226DFF-747E-4edc-B30C-78752E50CD0C} - C:\Program Files\ATI Multimedia\TV\EXPLBAR.DLL
O9 - Extra button: iFinger - {936E5D60-596C-11D3-BB96-00600816DF55} - C:\WINDOWS\System32\SHDOCVW.DLL
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O12 - Plugin for .wav: C:\Program Files\Internet Explorer\PLUGINS\npqtplugin.dll
O14 - IERESET.INF: START_PAGE_URL=http://www.freeler.nl
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab
O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.../MineSweeper.cab31267.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn...rStatsClient.cab31267.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/...sengerSetupDownloader.cab
O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn...aireShowdown.cab31267.cab

ik hoop dat jullie mij kunnen helpen en wacht graag op jullie reacties

mvg,
Afentros

[Tukk]

Heb je adaware, spybot en/of Hitman al gedraaid?

[markvt]

C:\WINDOWS\System32\formatsys.exe

O1 - Hosts: 64.233.167.104 www.symantec.com
O1 - Hosts: 64.233.167.104 www.sophos.com
O1 - Hosts: 64.233.167.104 www.mcafee.com
O1 - Hosts: 64.233.167.104 www.viruslist.com
O1 - Hosts: 64.233.167.104 www.f-secure.com
O1 - Hosts: 64.233.167.104 www.avp.com
O1 - Hosts: 64.233.167.104 www.kaspersky.com
O1 - Hosts: 64.233.167.104 www.networkassociates.com
O1 - Hosts: 64.233.167.104 www.ca.com
O1 - Hosts: 64.233.167.104 www.my-etrust.com
O1 - Hosts: 64.233.167.104 www.nai.com
O1 - Hosts: 64.233.167.104 www.trendmicro.com
O1 - Hosts: 64.233.167.104 www.grisoft.com
O1 - Hosts: 64.233.167.104 securityresponse.symantec.com
O1 - Hosts: 64.233.167.104 symantec.com
O1 - Hosts: 64.233.167.104 sophos.com
O1 - Hosts: 64.233.167.104 mcafee.com
O1 - Hosts: 64.233.167.104 liveupdate.symantecliveupdate.com
O1 - Hosts: 64.233.167.104 viruslist.com
O1 - Hosts: 64.233.167.104 f-secure.com
O1 - Hosts: 64.233.167.104 kaspersky.com
O1 - Hosts: 64.233.167.104 kaspersky-labs.com
O1 - Hosts: 64.233.167.104 avp.com
O1 - Hosts: 64.233.167.104 networkassociates.com
O1 - Hosts: 64.233.167.104 ca.com
O1 - Hosts: 64.233.167.104 mast.mcafee.com
O1 - Hosts: 64.233.167.104 my-etrust.com
O1 - Hosts: 64.233.167.104 download.mcafee.com
O1 - Hosts: 64.233.167.104 dispatch.mcafee.com
O1 - Hosts: 64.233.167.104 secure.nai.com
O1 - Hosts: 64.233.167.104 nai.com
O1 - Hosts: 64.233.167.104 update.symantec.com
O1 - Hosts: 64.233.167.104 updates.symantec.com
O1 - Hosts: 64.233.167.104 us.mcafee.com
O1 - Hosts: 64.233.167.104 liveupdate.symantec.com
O1 - Hosts: 64.233.167.104 customer.symantec.com
O1 - Hosts: 64.233.167.104 rads.mcafee.com
O1 - Hosts: 64.233.167.104 trendmicro.com
O1 - Hosts: 64.233.167.104 grisoft.com
O1 - Hosts: 64.233.167.104 sandbox.norman.no
O1 - Hosts: 64.233.167.104 www.pandasoftware.com
O1 - Hosts: 64.233.167.104 uk.trendmicro-europe.com

O2 - BHO: iFinger plugin / Browser helper object - {A114D52B-870C-4F15-8021-B6D7F91A054B} - C:\PROGRA~1\iFinger\plugins\IE.ifp

O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
O4 - HKLM\..\RunServices: [serpe] C:\WINDOWS\System32\formatsys.exe
O4 - HKLM\..\RunServices: [ltwob] C:\WINDOWS\System32\formatsys.exe

O9 - Extra button: iFinger - {936E5D60-596C-11D3-BB96-00600816DF55} - C:\WINDOWS\System32\SHDOCVW.DLL
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

Ik zou die zoiezo allemaal wegdoen, en eens een virusscanner / spyware tool draaien

[Kres817]

Heb jij nu drie verschilende virus scanners draaien?

(Macafee, Kaspersky en Northon Symantec)

Eerst Die scanners in orde maken. Kijken welke verlopen zijn of het niet meer doen. Je pc van het internet haalen en alles netjes deinstaleeren en dan opnieuw instaleren. Updates van een andere pc haalen. Scanner updaten en dan scannen.

Kan me niet voorstellen dat je er dan nog niks er uit weet te haalen.

Good Luck

[Verwijderd]

Misschien is het nuttig om dit eens door te kijken....
Lijkt er volgens mij wel op.
[rml][ MSN] Plat door virus?[/rml]
er wordt daar ook een removal tool genoemd, misschien heb je er wat aan.

[theezeefje]

en anders moet je even NOD32 anti virus gebruiken, die onderschept alles

[pasta]

Kres schreef op woensdag 30 maart 2005 @ 21:46:
Heb jij nu drie verschilende virus scanners draaien?

(Macafee, Kaspersky en Northon Symantec)

Waar haal je die conclusie vandaan?

theezeefje schreef op woensdag 30 maart 2005 @ 22:07:
en anders moet je even NOD32 anti virus gebruiken, die onderschept alles

Er is geen enkele virusscanner die alles onderschept.

[84n44n]

"avnort" en "ltwob", en alle antivirussites geblokkeerd... Deze heb ik ook gehad, denkik. Is het toevallig FATSO_A? Indien ja, hij start niet in veilige modus, dus daar kan je de register opkuisen (ik denk trouwens dat HijackThis niet alles vindt, dus het moet handmatig gebeuren. Gewoon zoeken op avnort, ltwob, en nog andere kernwoorden die je in je logje vindt).

Zo lastig vond ik'm trouwens niet, als het deze is. Maar hij sluit natuurlijk wel alles af dat je kan gebruiken om hem te verwijderen, zelfs process explorer. Veilige modus, dus.

EDIT: of misschien dat er ondertussen al een removal tool is... eerst ff zoeken dus

EDIT2: [rml]kloyenz in "[ XP] Programma's worden meteen afgeslote..."[/rml] kijk maar 's hier, het is dus FATSO/Serflog. En er is een removal tool

[ Voor 24% gewijzigd door 84n44n op 31-03-2005 10:24 ]

[pasta]

84n44n schreef op donderdag 31 maart 2005 @ 10:21:
"avnort" en "ltwob", en alle antivirussites geblokkeerd... Deze heb ik ook gehad, denkik. Is het toevallig FATSO_A? Indien ja, hij start niet in veilige modus, dus daar kan je de register opkuisen (ik denk trouwens dat HijackThis niet alles vindt, dus het moet handmatig gebeuren. Gewoon zoeken op avnort, ltwob, en nog andere kernwoorden die je in je logje vindt).

Zo lastig vond ik'm trouwens niet, als het deze is. Maar hij sluit natuurlijk wel alles af dat je kan gebruiken om hem te verwijderen, zelfs process explorer. Veilige modus, dus.

EDIT: of misschien dat er ondertussen al een removal tool is... eerst ff zoeken dus

EDIT2: [rml]kloyenz in "[ XP] Programma's worden meteen afgeslote..."[/rml] kijk maar 's hier, het is dus FATSO/Serflog. En er is een removal tool

Je realiseert je dat er meer dan genoeg virussen ITW zijn die zulke hosts entries aanmaken

[Verwijderd]

Het was inderdaad fatso_a, gisteren was ik er ook achtergekomen dat hij niet start in beveiligde modus, toen eventjes c:\windows\tsc.exe gerund, de eerste keer lukte het niet om de worm te cleanen, de tweede keer wel.

Daarna adaware gedraaid, 50 (!) objects gevonden waarvan 1 steeds terugkomt (de worm kennelijk).


Ik ga nu even de removal tool checken. Thx voor jullie reacties!

Trouwens, waar is die goeie ouwe schouw gebleven? Dat was echt een goede gozer (niet dat jullie dat niet zijn, maar hij is gewoon een moordvent )

[ Voor 20% gewijzigd door Verwijderd op 31-03-2005 18:34 ]

[pasta]

Verwijderd schreef op donderdag 31 maart 2005 @ 18:30:
Trouwens, waar is die goeie ouwe schouw gebleven? Dat was echt een goede gozer (niet dat jullie dat niet zijn, maar hij is gewoon een moordvent )

offtopic:
Wisseling van de wacht in BV

Je moet het nu dus met mij doen.

geld de link van de mail die in de ondertekening staat van schouw nog? (je kon mogelijke virussen naar hem mailen nameljik) en weet jij of iemand anders dat nu doet?

offtopic:
Gezien z'n carriere plaatsvindt in de virusscanner industrie, zou ik zeggen van wel

[ Voor 27% gewijzigd door pasta op 31-03-2005 18:46 ]

[Verwijderd]

Laten we hopen dat zijn carriere goed zal verlopen, hij verdient het naar mijn mening echt wel.

Bij deze aangenaam Pasta

geld de link van de mail die in de ondertekening staat van schouw nog? (je kon mogelijke virussen naar hem mailen nameljik) en weet jij of iemand anders dat nu doet?

Ik heb volgens mij een logfile waarin staat wat de virus allemaal heeft uitgehaald op deze pc. (genaamd mmcInst.log).
Indien iemand wil dat ik deze post hoor ik dat graag.

[ Voor 24% gewijzigd door Verwijderd op 31-03-2005 18:46 ]

[84n44n]

pasta schreef op donderdag 31 maart 2005 @ 13:18:
[...]

Je realiseert je dat er meer dan genoeg virussen ITW zijn die zulke hosts entries aanmaken

Natuurlijk, Ik heb het dan ook niet specifiek over de host entries. Strings als "ltwob" en "avnort" zijn iets specifieker dan dat.