Onbekend programma: kqrom.exe

[Verwijderd]

Op mijn Windows XP partitie staan programma's onder "D:\Program Files\Common Files\kqro" waarvan ik niet weet hoe ze op mijn schijf terecht zijn gekomen, en wat ze doen. Totaal maar liefst 6 MB groot.
Dit staat er in de map:
08-02-2005 16:29 40.960 kqroa.exe [= trojan horse Dldr.TSUpdat.K of L]
16-04-2005 13:47 0 kqroa.lck
09-02-2005 12:32 40.960 kqrol.exe [= trojan horse Dldr.TSUpdat.K of Dldr.small.25AL]
16-04-2005 13:47 0 kqrom.lck
08-02-2005 16:29 28.672 kqrop.exe
08-02-2005 16:25 24.000 kqrom.exe [= trojan horse Win32:TSUpdate-B]
17-04-2005 10:49 0 kqrop.lck
16-04-2005 13:47 <DIR> kqrod
19-04-2004 21:26 4.933.375 class-barrel
18-02-2004 06:26 101.376 kqroc.dll
19-04-2004 21:26 1.234.193 vocabulary
Dat 'class-barrel' en vocabulary zijn grote 'lijsten' met foute ingangen: adult, amatuer [sic], bisexual, rentalroomate [sic], bow_int4str, entertainment, recreation, dirbiz, nba, nfl...

Ik scan voordat ik iets installeer met vier virusscanners, en draai regelmatig ad-aware en spy&destroy.
Nu zag ik het onbekende kqrom.exe in taakbeheer. Dit kan ik niet terugvinden met Google. Als ik kqrom.exe in taakbeheer en msconfig uitzet, staat het er even later gewoon weer tussen.
Dus de map maar eens opgezocht, en gescand: drie trojan horses (hoewel niet elk door alle vier scanners herkend werd). Opvallend: Ik heb ook even Trend Micro Housecall (online scan) gedraaid, maar die ziet de kqro-map niet eens (de andere mappen wel)!

Nu vraag ik mij af: wat is dit voor programma (kqroa.exe, kqrol.exe, kqrom.exe, kqrop.exe), en waarom vind ik het niet terug op internet. Ik zal toch niet de eerste zijn die deze troep op m'n PC krijg?

[littledreamer]

Op internet is inderdaad niks te vinden over "kqroa.exe".

Als ik jou was zou ik via msconfig en regedit alles uitschakelen en verwijderen wat met kqroa.exe te maken heeft. Let vooral op de sleutels 'run' en 'runonce', ik denk dat het hier wel tussen moet staan aangezien jezelf al aangeeft dat het terugkomt als je het in msconfig uitschakeld.

Aan de inhoud van die grote lijsten waar jij het over hebt is wel te zien dat het niet helemaal in de haak is denk ik.

[littledreamer]

Al iets geprobeerd?

[Verwijderd]

Waarschijnlijk staat er ergens een ander exe of bat bestand dat kqro*.exe telkens opnieuw installeerd. Die moet je zien te vinden anders kom je er niet vanaf. Ik heb ook een keer zoiets gehad en dat was erg irritant.

[Remy]

Over deze regel:

08-02-2005 16:25 24.000 kqrom.exe [= trojan horse Win32:TSUpdate-B]

zegt Google wel wat: VPS 0512-2, 26.03.2005 Virus-variatie bekend sinds 26-03. Verder zegt deze pagina dat het TrojanDownloader.Win32.TSUpdate.b is. McAfee kent alleen de A-versie van dat bestand:

This is not a virus or trojan. It is a direct-marketing adware application.

The program comes with a dropper file. When the dropper runs, the program is copied as the following file:

* c:\Program Files\Common Files\tsa\tsl.exe

The following Registry key is added to hook system startup:

* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
"Tsl" = "c:\Program Files\Common Files\tsa\tsl.exe"

The program connects to a specific web site. It can further download other programs to the machine. It might also post machine related information to the website.

Dit geldt dus voor de oude versie. Kijk in je registry naar keys die daar op lijken

[Verwijderd]

Ik denk dat ik het nu wel kwijt ben. Die 'trojans' worden ook wel herkend door mijn virusscanners, en daarna verwijderd. kqrom.exe start nu ook niet meer op.
Wel vreemd was dat als ik de map hernoem (kqrom -> kqromREM) of de bestanden (kqrom.exe -> kqrom.exeREM), dat ie gewoon bleef opstarten. Hardnekkig ding, dus.

Blijft het opmerkelijke feit dat ik de eerste ben die kqro*.exe tegenkomt - als ik mij op Google baseer. Zal het een 'random programname generator' zijn, die deze keer "kqro" genereerde?

Het is blijkbaar een soort Katja-programma, met keywords die naar websites sturen.