[w2k] processen worden zomaar gekilled

[BasieP]

beste mensen,

ik heb al sinds jaar en dag een windows 2000 server draaien. Deze draait apache 1.3, mysql 4.1 en bulletproof ftp, verder zit ie met mirc constant op irc, en download ik er torrents op (die ik op me worstation open)
Ik heb sinds kort ook openSSH draaien op cygwin, zodat ik mijn dataverkeer van waar ook kan tunnelen.

nu had ik vorige week opeens dat remote admin (radmin; het programma dat ik gebruik om desktop over te nemen, en zo me server te beheren) gekilled werd, en me verbinding 'weg' leek, echter kreeg ik geen foutmelding, toen moest ik mijn server restarten voor wat hardware wijzigingen, en daarna was het probleem ook weg.

echter, nu heb ik dit vandaag weer, en toen ik mijn monitor had aangesloten bleek dat niet alleen radmin, maar ook andere processen gekilled waren/werden.
zo is rosetta@home opeens weg, en komt de helft van de tijd taakbeheer niet naar voren (word direct gekilled)

dus nu denk ik aan een spyware/adware/keylogger whatever voor raar ding.

ik heb inmiddels housecall gedraait (online scanner), en die online scanner van kaspersky, echter die konden niks vinden.
Verder kon ik in mijn hijackthislog ook niks raars zien, en zelfs rootkitrevealer vond niks schokkends..

eventueel kan ik de logs nog wel even posten, maar ik vraag me af of dit probleem een spyware probleem is, of dat er iets anders aan de hand is.

help pls

edit mm dat scannen is gebeurd ergens vorige week, maar als ik nu housecall probeer te starten krijg ik 404's.. dus ik probeer nu met mijn begrensde toegang mijn hosts file te bekijken...

kan op het moment geen taakbeheer, eigenschappen van whatever, of cmd prompt openen..
als ik wil zoeken krijg ik 'geef zoekcriteria op' alsof ik niks heb ingevult

* BasieP reboot weer

[ Voor 15% gewijzigd door BasieP op 06-05-2006 14:19 ]

[TheRookie]

Heb je ook het eventlog al bekeken ?

[BasieP]

owja, ik kan nu niet bij eventlog komen (wegens begrensde mogelijkheden), ik kijk ff of het zo wel kan (na reboot)

vorige week na het gebeuren wel gekeken, en toen stond er niks abnormaals in

oke na reboot kan ik praktisch alles weer
zoeken werkt weer, me hosts is weer te openen, en ziet er normaal uit.
verder zie ik geen extra users oid


hier is me hijackthislog:

code:

Logfile of HijackThis v1.97.7
Scan saved at 14:45:04, on 6-5-2006
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Apache Group\Apache\Apache.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\MySQL\MySQL Server 4.1\bin\mysqld-nt.exe
C:\Program Files\Apache Group\Apache\Apache.exe
C:\WINDOWS\system32\regsvc.exe
C:\Program Files\Radmin\r_server.exe
C:\WINDOWS\system32\MSTask.exe
C:\cygwin\bin\cygrunsrv.exe
C:\WINDOWS\System32\WBEM\WinMgmt.exe
C:\cygwin\usr\sbin\sshd.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\NetLimiter\NetLimiter.exe
C:\Program Files\G6 FTP Server\G6FTPSrv.exe
C:\Program Files\BOINC\boincmgr.exe
C:\Program Files\BOINC\boinc.exe
C:\Program Files\mIRC\mirc.exe
C:\Program Files\BOINC\projects\boinc.bakerlab.org_rosetta\rosetta_5.07_windows_intelx86.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Program Files\ABC\abc.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Program Files\Internet Explorer\IEXPLORE.EXE
\192.168.2.4\f$\handig\Antispyware\HijackThis.exe

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = proxy.campzone.lan:8080
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = 127.0.0.1; 172.16.*; *.campzone.lan;<local>
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O3 - Toolbar: @msdxmLC.dll,-1@1033,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\system32\msdxm.ocx
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [NetLimiter] C:\Program Files\NetLimiter\NetLimiter.exe /s
O4 - Startup: Snelkoppeling naar G6FTPSrv.exe.lnk = C:\Program Files\G6 FTP Server\G6FTPSrv.exe
O4 - Startup: BOINC Manager.lnk = C:\Program Files\BOINC\boincmgr.exe
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/english/kavwebscan_unicode.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1123349677815
O16 - DPF: {6E5A37BF-FD42-463A-877C-4EB7002E68AE} (Housecall ActiveX 6.5) - http://housecall65.trendmicro.com/housecall/applet/html/native/x86/win32/activex/hcImpl.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?38541.5448148148
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{67B5CEDD-BFC8-40CB-BE66-B36E0F7802A8}: NameServer = 83.137.144.50
O17 - HKLM\System\CS1\Services\Tcpip\..\{67B5CEDD-BFC8-40CB-BE66-B36E0F7802A8}: NameServer = 83.137.144.50
O17 - HKLM\System\CS2\Services\Tcpip\..\{67B5CEDD-BFC8-40CB-BE66-B36E0F7802A8}: NameServer = 83.137.144.50

ik zie opzich niks raars, maar misschien jullie wel


edit:
hier wat dingen uit me applicatie logs (nederlands)

Kan beschrijving voor gebeurtenis-ID (0) in bron (sshd) niet vinden. De lokale computer beschikt wellicht niet over de benodigde registergegevens of DLL-berichtbestanden om berichten van een externe computer te kunnen weergeven. Meer informatie: sshd: PID 1730423: fatal: mm_request_receive: read: Connection reset by peer

(en daar een aantal van, waarschijnljik doordat 'iets' de verbinding killed)

me beveiligingslogs zijn (zoals altijd) leeg, en me systemlogs zeggen alleen maar 100x dat me schijven bijna vol zijn

[ Voor 100% gewijzigd door BasieP op 06-05-2006 14:57 ]

[TheRookie]

je melding uit 't logboek staat er niet
hijackthis log zie ik ook zo 1-2-3 niets raars

[Martijnc]

Je versie van HijackThis is outdated. Download hier de laatste: www.merijn.org
Deze bevat geen services enzo

[ Voor 42% gewijzigd door Martijnc op 06-05-2006 15:01 ]

[BasieP]

Martijncr schreef op zaterdag 06 mei 2006 @ 15:00:
Je versie van HijackThis is outdated. Download hier de laatste: www.merijn.org
Deze bevat geen services enzo

goed dat je het zegt..

hier nieuwe logfile:

Logfile of HijackThis v1.99.1
Scan saved at 15:12:57, on 6-5-2006
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Apache Group\Apache\Apache.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\MySQL\MySQL Server 4.1\bin\mysqld-nt.exe
C:\Program Files\Apache Group\Apache\Apache.exe
C:\WINDOWS\system32\regsvc.exe
C:\Program Files\Radmin\r_server.exe
C:\WINDOWS\system32\MSTask.exe
C:\cygwin\bin\cygrunsrv.exe
C:\WINDOWS\System32\WBEM\WinMgmt.exe
C:\cygwin\usr\sbin\sshd.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\NetLimiter\NetLimiter.exe
C:\Program Files\G6 FTP Server\G6FTPSrv.exe
C:\Program Files\BOINC\boincmgr.exe
C:\Program Files\BOINC\boinc.exe
C:\Program Files\mIRC\mirc.exe
C:\Program Files\BOINC\projects\boinc.bakerlab.org_rosetta\rosetta_5.07_windows_intelx86.exe
C:\Program Files\ABC\abc.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\WINDOWS\system32\mmc.exe
C:\WINDOWS\system32\dmremote.exe
C:\WINDOWS\System32\dmadmin.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
\192.168.2.4\f$\handig\Antispyware\HijackThis.exe

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = proxy.campzone.lan:8080
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = 127.0.0.1; 172.16.*; *.campzone.lan;<local>
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O3 - Toolbar: @msdxmLC.dll,-1@1033,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\system32\msdxm.ocx
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [NetLimiter] C:\Program Files\NetLimiter\NetLimiter.exe /s
O4 - Startup: Snelkoppeling naar G6FTPSrv.exe.lnk = C:\Program Files\G6 FTP Server\G6FTPSrv.exe
O4 - Startup: BOINC Manager.lnk = C:\Program Files\BOINC\boincmgr.exe
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/english/kavwebscan_unicode.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.c...eb_site.cab?1123349677815
O16 - DPF: {6E5A37BF-FD42-463A-877C-4EB7002E68AE} (Housecall ActiveX 6.5) - http://housecall65.trendm.../win32/activex/hcImpl.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{67B5CEDD-BFC8-40CB-BE66-B36E0F7802A8}: NameServer = 83.137.144.50
O17 - HKLM\System\CS1\Services\Tcpip\..\{67B5CEDD-BFC8-40CB-BE66-B36E0F7802A8}: NameServer = 83.137.144.50
O17 - HKLM\System\CS2\Services\Tcpip\..\{67B5CEDD-BFC8-40CB-BE66-B36E0F7802A8}: NameServer = 83.137.144.50
O23 - Service: Apache - Unknown owner - C:\Program Files\Apache Group\Apache\Apache.exe" --ntservice (file missing)
O23 - Service: BOINC - Unknown owner - C:\Program Files\BOINC\boinc.exe" -daemon (file missing)
O23 - Service: Logical Disk Manager Administrative-service (dmadmin) - VERITAS Software Corp. - C:\WINDOWS\System32\dmadmin.exe
O23 - Service: MySQL41 - Unknown owner - C:\Program.exe (file missing)
O23 - Service: Remote Administrator Service (r_server) - Unknown owner - C:\Program Files\Radmin\r_server.exe" /service (file missing)
O23 - Service: CYGWIN sshd (sshd) - Unknown owner - C:\cygwin\bin\cygrunsrv.exe

[Martijnc]

Deze regeltjes mogen weg en de bijhorende file

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

Voor de rest zie ik niets speciaals. Je kan SilentRunners eens draaien en kijken of daar iets verdacht instaat, maar ik denk niet dat het een Spyware probleem is.

[BasieP]

hier SilentRunners log

code:

"Silent Runners.vbs", revision 45, http://www.silentrunners.org/
Operating System: Windows 2000
Output limited to non-default values, except where indicated by "{++}"


Startup items buried in registry:
---------------------------------

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ {++}
"Synchronization Manager" = "mobsync.exe /logon" [MS]
"NetLimiter" = "C:\Program Files\NetLimiter\NetLimiter.exe /s" ["LockTime"]

HKLM\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\
"{42071714-76d4-11d1-8b24-00a0c9068ff3}" = "Configuratieschermuitbreiding Beeldscherm-panning"
  -> {HKLM...CLSID} = "Configuratiescherm-uitbreiding Beeldscherm-panning"
                   \InProcServer32\(Default) = "deskpan.dll" [file not found]
"{88895560-9AA2-1069-930E-00AA0030EBC8}" = "HyperTerminal-pictogramextensie"
  -> {HKLM...CLSID} = "HyperTerminal Icon Ext"
                   \InProcServer32\(Default) = "C:\WINDOWS\System32\hticons.dll" ["Hilgraeve, Inc."]
"{B41DB860-8EE4-11D2-9906-E49FADC173CA}" = "WinRAR shell extension"
  -> {HKLM...CLSID} = "WinRAR"
                   \InProcServer32\(Default) = "C:\Program Files\WinRAR\rarext.dll" [null data]
"{2F25CF20-C569-11D1-B94C-00608CB45480}" = "TextPad"
  -> {HKLM...CLSID} = "TextPad"
                   \InProcServer32\(Default) = "C:\Program Files\TextPad 4\System\shellext.dll" ["Helios Software Solutions"]

HKLM\Software\Classes\*\shellex\ContextMenuHandlers\
TextPad\(Default) = "{2F25CF20-C569-11D1-B94C-00608CB45480}"
  -> {HKLM...CLSID} = "TextPad"
                   \InProcServer32\(Default) = "C:\Program Files\TextPad 4\System\shellext.dll" ["Helios Software Solutions"]
WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}"
  -> {HKLM...CLSID} = "WinRAR"
                   \InProcServer32\(Default) = "C:\Program Files\WinRAR\rarext.dll" [null data]

HKLM\Software\Classes\Directory\shellex\ContextMenuHandlers\
WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}"
  -> {HKLM...CLSID} = "WinRAR"
                   \InProcServer32\(Default) = "C:\Program Files\WinRAR\rarext.dll" [null data]

HKLM\Software\Classes\Folder\shellex\ContextMenuHandlers\
WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}"
  -> {HKLM...CLSID} = "WinRAR"
                   \InProcServer32\(Default) = "C:\Program Files\WinRAR\rarext.dll" [null data]


Active Desktop and Wallpaper:
-----------------------------

Active Desktop is disabled at this entry:
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellState


Enabled Screen Saver:
---------------------

HKCU\Control Panel\Desktop\
"SCRNSAVE.EXE" = "(GEEN)" [file not found]


Startup items in "Bas" & "All Users" startup folders:
-----------------------------------------------------

C:\Documents and Settings\Bas.MINAS_ITHIL\Menu Start\Programma's\Opstarten
"Snelkoppeling naar G6FTPSrv.exe" -> shortcut to: "C:\Program Files\G6 FTP Server\G6FTPSrv.exe" ["Gene6"]
"BOINC Manager" -> shortcut to: "C:\Program Files\BOINC\boincmgr.exe /s" ["Space Sciences Laboratory, U.C. Berkeley"]


Winsock2 Service Provider DLLs:
-------------------------------

Namespace Service Providers

HKLM\System\CurrentControlSet\Services\Winsock2\Parameters\NameSpace_Catalog5\Catalog_Entries\ {++}
000000000001\LibraryPath = "%SystemRoot%\System32\rnr20.dll" [MS]
000000000002\LibraryPath = "%SystemRoot%\System32\winrnr.dll" [MS]

Transport Service Providers

HKLM\System\CurrentControlSet\Services\Winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\ {++}
0000000000##\PackedCatalogItem (contains) DLL [Company Name], (at) ## range:
C:\Program Files\NetLimiter\nl_lsp.dll [null data], 01 - 05, 11
%SystemRoot%\system32\msafd.dll [MS], 06 - 08, 12 - 17
%SystemRoot%\system32\rsvpsp.dll [MS], 09 - 10


Running Services (Display Name, Service Name, Path {Service DLL}):
------------------------------------------------------------------

Apache, Apache, ""C:\Program Files\Apache Group\Apache\Apache.exe" --ntservice" [null data]
COM+-gebeurtenissysteem, EventSystem, "C:\WINDOWS\System32\svchost.exe -k netsvcs" {"C:\WINDOWS\System32\es.dll" [null data]}
CYGWIN sshd, sshd, "C:\cygwin\bin\cygrunsrv.exe" [null data]
MySQL41, MySQL41, ""C:\Program Files\MySQL\MySQL Server 4.1\bin\mysqld-nt" --defaults-file="C:\Program Files\MySQL\MySQL Server 4.1\my.ini" MySQL41" [null data]
Remote Administrator Service, r_server, ""C:\Program Files\Radmin\r_server.exe" /service" [null data]


----------
+ This report excludes default entries except where indicated.
+ To see *everywhere* the script checks and *everything* it finds,
  launch it from a command prompt or a shortcut with the -all parameter.
+ The search for DESKTOP.INI DLL launch points on all local fixed drives
  took 224 seconds.
+ The search for all Registry CLSIDs containing dormant Explorer Bars
  took 23 seconds.
---------- (total run time: 302 seconds)

[Jimbolino]

ik heb hetzelfde wel eens gehad, bleek toen dat het geheugen niet meer goed was.

als je kunt zou ik memtest even draaien om het uit te sluiten...

[Martijnc]

In de SilentRunners log staat ook niets verkeerd

[BasieP]

Jimbolino schreef op zaterdag 06 mei 2006 @ 15:42:
ik heb hetzelfde wel eens gehad, bleek toen dat het geheugen niet meer goed was.

als je kunt zou ik memtest even draaien om het uit te sluiten...

gaat ik doen,

offtopic:
wanneer de mods denken dat dit topic nu beter in een hardwareforum past, move maar raak

[smvs]

Jimbolino schreef op zaterdag 06 mei 2006 @ 15:42:
ik heb hetzelfde wel eens gehad, bleek toen dat het geheugen niet meer goed was.

als je kunt zou ik memtest even draaien om het uit te sluiten...

Memtest sluit helaas niks uit. Je weet alleen zeker dat er iets fout is met je systeem (niet noodzakelijk met je geheugen zelf) als memtest fouten geeft. Als memtest geen fouten geeft kan je systeem evengoed nog instabiel zijn, ook door fout geheugen. Dit baseer ik op ervaring en heb ik ook vaker gehoord.

Dit neemt niet weg dat memtest nuttig is, want als hij fouten geeft weet je dus dat je op hardwareniveau moet gaan zoeken.

Naar mijn ervaring werkt Prime 95 wèl ook de andere kant op, iig meer dan memtest. Als deze geen fouten geeft is de kans groot dat je systeem hardwarematig stabiel is.

[ Voor 23% gewijzigd door smvs op 06-05-2006 21:05 ]