Rare "popup"

[Tommzz]

Goedemiddag!

Ik heb sinds vanmiddag last van een hinderlijke popup die om de 5 minuten opspringt.
Ik heb geen id waar het vandaan komt en hoe ik eraf moet komen.
hitmanpro al gedraaid, antivirus al gedraaid maar hij blijft komen.
Waar zou het aan kunnen liggen?
screenshot bijgevoegd met de popup.



als ik op OK druk dan verdwijnt ie gewoon en is het weer voor een aantal minuten verdwenen.
Het is heel hinderlijk omdat ie constant op de voorgrond springt en dus niet normaal met iemand via msn een gesprek kan voeren of langer dan een paar minuten gamen.

iemand een id wat het is?

alvast bedankt!!

[ajhaverkamp]

Kijk eens met de taskmanager of er vreemde processen draaien.

[MichielioZ]

Euh... gaat over een IRC-kanaal zo te zien
Misschien heb je irc-software draaien ?

[punica]

ja, een irritant pop-upje. Ik zou zeggen, laat hem nakijken als jij het niet aandurft c.q. kennis genoeg hebt.
Wat heb je zelf al gedaan > systeemherstel bijv.

[Occy74]

messenger service uitschakelen.. (heeft niks met msn te maken)

[BasieP]

Occy74 schreef op woensdag 24 mei 2006 @ 17:41:
messenger service uitschakelen.. (heeft niks met msn te maken)

check dialog title, volgens mij is dat geen messenger

[empheron]

Ben toch bang dat het een trojan is die op zoek is naar zijn IRC kanaal. IRC wordt nogal veel gebruikt voor het aansturen van bot-netwerken. Het kan natuurlijk zijn dat deze trojan nog niet herkent wordt door virusscanners (is je def file up-to-date)? Of je hebt een trojan te pakken die zich goed weet the stealthen...

Ik zou voor de zekerheid in ieder geval kijken of je op je router IRC expliciet kunt blokkeren...

Als je vanaf de command promtp netstat -a -b doet, zie je dan irc connecties of 'vreemde' programma's in de lijst staan?

Norton wil dit soort trojans nog wel eens over het hoofd zien. Heb je al een online scan gedaan?

http://housecall.trendmicro.com

[ Voor 22% gewijzigd door empheron op 24-05-2006 17:57 ]

[Martijnc]

Je kan Ewido eens draaien in veilige modus, die neemt veel mee!

[Tommzz]

Hmm vreemd, als ik bij taakbeheer kijk draaien er geen rare processen.

systeemherstel vindt ik wat ver gaan direct, maar zou een oplossing zijn. trendmicro online heb ik net gedraaid, daar is ook een aantal dingen mee weggehaald, toch kreeg ik nog steeds een popupje.

IRC heb ik wel maar heeft al weken lang niet gedraaid dus daar komt het niet van.

ik heb trouwens vandaag bearshare erop gezet, zou het daarmee te maken hebben?

Als je vanaf de command promtp netstat -a -b doet, zie je dan irc connecties of 'vreemde' programma's in de lijst staan?

alles vindt ik vreemd in dit scherm
hoe ik van mijn router dingen kan blokkeren weet ik niet, zoveel verstand heb ik er niet van

[BasieP]

je hoeft irc niet op te starten hoor, die trojans hebben ingebouwde client, en merk jij niet zoveel van dat ze op irc zitten..
tip:
hijack this log posten

[Tommzz]

BasieP schreef op woensdag 24 mei 2006 @ 18:33:
je hoeft irc niet op te starten hoor, die trojans hebben ingebouwde client, en merk jij niet zoveel van dat ze op irc zitten..
tip:
hijack this log posten

hoe kom ik aan die log

edit: net programmatje gevonden, post de log asap

[ Voor 9% gewijzigd door Tommzz op 24-05-2006 18:38 ]

[Verwijderd]

Door Hijackthis the draaien.

[ Voor 12% gewijzigd door Verwijderd op 24-05-2006 18:41 ]

[Tommzz]

Net gedraaid en dit is de log


Logfile of HijackThis v1.99.1
Scan saved at 18:38:59, on 24-5-2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\MessengerPlus! 3\MsgPlus.exe
C:\WINDOWS\system32\Firewall.exe
D:\PROGRA~1\WHATPU~1\WHATPU~1.EXE
D:\Program Files\AVPersonal\AVWUPSRV.EXE
C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe
C:\Program Files\Eset\nod32krn.exe
C:\WINDOWS\system32\HPZipm12.exe
d:\Program Files\Webroot\Spy Sweeper\WRSSSDK.exe
C:\WINDOWS\System32\svchost.exe
D:\Program Files\ewido anti-malware\ewidoguard.exe
D:\Program Files\ewido anti-malware\ewidoctrl.exe
D:\Program Files\ewido anti-malware\SecuritySuite.exe
C:\DOCUME~1\Thomas\LOCALS~1\Temp\Rar$EX02.781\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.nl/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O4 - HKLM\..\Run: [MessengerPlus3] "C:\Program Files\MessengerPlus! 3\MsgPlus.exe"
O4 - HKLM\..\Run: [Firewall.exe] C:\WINDOWS\system32\Firewall.exe
O4 - HKLM\..\RunServices: [winlog] winlog.exe
O4 - HKCU\..\Run: [WhatPulse] D:\PROGRA~1\WHATPU~1\WHATPU~1.EXE
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://D:\PROGRA~1\MICROS~1\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Spyware Doctor - {2D663D1A-8670-49D9-A1A5-4C56B4E14E84} - D:\PROGRA~1\SPYWAR~1\tools\iesdpb.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://by110fd.bay110.hotmail.msn.com/resources/MsnPUpld.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.c...eb_site.cab?1135883139231
O16 - DPF: {8D7AFAB7-42D6-4671-A53E-CD355673F026} (SonySncMView Control) - http://84.86.123.243:1234/SonySncMView.cab
O16 - DPF: {A18962F6-E6ED-40B1-97C9-1FB36F38BFA8} (Aurigma Image Uploader 3.5 Control) - http://cache.hyves.nl/statics/Aurigma/ImageUploader.cab
O16 - DPF: {D3A7982E-915D-4589-8ECE-249F70D0C941} (Launch Control) - http://aaotracker.4players.de/LaunchGame.cab
O16 - DPF: {FD0B6769-6490-4A91-AA0A-B5AE0DC75AC9} (Performance Viewer Activex Control) - https://secure.logmein.com/activex/ractrl.cab?lmi=100
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O20 - Winlogon Notify: WRNotifier - C:\WINDOWS\SYSTEM32\WRLogonNTF.dll
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - D:\Program Files\AVPersonal\AVGUARD.EXE
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - D:\Program Files\AVPersonal\AVWUPSRV.EXE
O23 - Service: ewido security suite control - ewido networks - D:\Program Files\ewido anti-malware\ewidoctrl.exe
O23 - Service: ewido security suite guard - ewido networks - D:\Program Files\ewido anti-malware\ewidoguard.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: iPodService - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Program Files\Eset\nod32krn.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: PC Tools Spyware Doctor (SDhelper) - PC Tools Research Pty Ltd - D:\Program Files\Spyware Doctor\sdhelp.exe
O23 - Service: Webroot Spy Sweeper Engine (svcWRSSSDK) - Webroot Software, Inc. - d:\Program Files\Webroot\Spy Sweeper\WRSSSDK.exe

[Martijnc]

Je hebt de alcan-worm vast:

Download Alcanshorty, en plaats het op je bureaublad.

Dubbelklik op alcanshorty_nl om het te installeren.

Open daarna de map alcanshorty_nl , en dubbelklik op run.bat

De ikoontjes op je bureaublad zullen verdwijen en daarna terug verschijnen. Dit is normaal.

Wacht op de "Completed script execution"-boodschap en klik op "OK"

Sluit BFU af door op "EXIT" te klikken.

Herstart je pc, en plaats dan een nieuw logje van hijackthis.

[wizzzzzz]

Zoek eens uit wat dit is.

C:\WINDOWS\system32\Firewall.exe

Vind dat toch een vreemd proces.

[Verwijderd]

Als niets werkt gewoon systeem herstel. Super handig.

[Tommzz]

Na het draaien van alcanshorty is dit de volgende log:

Logfile of HijackThis v1.99.1
Scan saved at 21:14:44, on 24-5-2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
D:\Program Files\AVPersonal\AVWUPSRV.EXE
D:\Program Files\ewido anti-malware\ewidoctrl.exe
D:\Program Files\ewido anti-malware\ewidoguard.exe
C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe
C:\Program Files\Eset\nod32krn.exe
C:\WINDOWS\system32\HPZipm12.exe
d:\Program Files\Webroot\Spy Sweeper\WRSSSDK.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\MessengerPlus! 3\MsgPlus.exe
C:\WINDOWS\system32\Firewall.exe
D:\PROGRA~1\WHATPU~1\WHATPU~1.EXE
C:\WINDOWS\system32\wuauclt.exe
C:\DOCUME~1\Thomas\LOCALS~1\Temp\Rar$EX00.406\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.nl/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O4 - HKLM\..\Run: [MessengerPlus3] "C:\Program Files\MessengerPlus! 3\MsgPlus.exe"
O4 - HKLM\..\Run: [Firewall.exe] C:\WINDOWS\system32\Firewall.exe
O4 - HKCU\..\Run: [WhatPulse] D:\PROGRA~1\WHATPU~1\WHATPU~1.EXE
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://D:\PROGRA~1\MICROS~1\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Spyware Doctor - {2D663D1A-8670-49D9-A1A5-4C56B4E14E84} - D:\PROGRA~1\SPYWAR~1\tools\iesdpb.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://by110fd.bay110.hotmail.msn.com/resources/MsnPUpld.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.c...eb_site.cab?1135883139231
O16 - DPF: {8D7AFAB7-42D6-4671-A53E-CD355673F026} (SonySncMView Control) - http://84.86.123.243:1234/SonySncMView.cab
O16 - DPF: {A18962F6-E6ED-40B1-97C9-1FB36F38BFA8} (Aurigma Image Uploader 3.5 Control) - http://cache.hyves.nl/statics/Aurigma/ImageUploader.cab
O16 - DPF: {D3A7982E-915D-4589-8ECE-249F70D0C941} (Launch Control) - http://aaotracker.4players.de/LaunchGame.cab
O16 - DPF: {FD0B6769-6490-4A91-AA0A-B5AE0DC75AC9} (Performance Viewer Activex Control) - https://secure.logmein.com/activex/ractrl.cab?lmi=100
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O20 - Winlogon Notify: WRNotifier - C:\WINDOWS\SYSTEM32\WRLogonNTF.dll
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - D:\Program Files\AVPersonal\AVGUARD.EXE
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - D:\Program Files\AVPersonal\AVWUPSRV.EXE
O23 - Service: ewido security suite control - ewido networks - D:\Program Files\ewido anti-malware\ewidoctrl.exe
O23 - Service: ewido security suite guard - ewido networks - D:\Program Files\ewido anti-malware\ewidoguard.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: iPodService - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Program Files\Eset\nod32krn.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: PC Tools Spyware Doctor (SDhelper) - PC Tools Research Pty Ltd - D:\Program Files\Spyware Doctor\sdhelp.exe
O23 - Service: Webroot Spy Sweeper Engine (svcWRSSSDK) - Webroot Software, Inc. - d:\Program Files\Webroot\Spy Sweeper\WRSSSDK.exe


Hoe kom ik erachter wat dat firewall.exe is? is dat niet mijn windows firewall?

[Martijnc]

Laat
C:\WINDOWS\system32\Firewall.exe
Hier scannen: http://www.virustotal.com/en/indexf.html en post het resultaat, is volgens mij niet legit

[Hoyden]

Verwijderd schreef op woensdag 24 mei 2006 @ 19:23:
Als niets werkt gewoon systeem herstel. Super handig.

En juist systeem herstel is vatbaar voor virussen e.d...
Das altijd het eerste wat ik uitzet, scheelt weer performance en verder gebruik ik het toch echt nooit.

[Thralas]

Upload het eens hier

edit:
Te laat

[ Voor 16% gewijzigd door Thralas op 24-05-2006 21:21 ]

[pasta]

Wellicht een ontzettende spuit 11, maar upload idd FireWall.exe eens naar Jotti's Online Malware Scan. Vervolgens kan je het beste even een full scan uitvoeren met een van de AV programma's die het herkent.

[ Voor 7% gewijzigd door pasta op 25-05-2006 00:55 ]

[Verwijderd]

Ik zie in je log zowel een proces staan van Antivir als van NOD32, wil je alsjeblieft 1 van de 2 deinstalleren, 2 virusscaners tegelijkertijd draaien werkt namelijk averechts, zoals je nu merkt.

[ironx]

Klinkt als W32.Linkbot.M?

When W32.Linkbot.M is executed, it performs the following actions:

1. Copies itself as one of the following:

* %System%\lssas.exe
* %System%\Isass.exe
* %System%\csrs.exe
* %System%\logon.exe
* %System%\winIogon.exe
* %System%\explorer.exe
* %System%\winamp.exe
* %System%\firewall.exe
* %System%\spoolsvc.exe
* %System%\spooIsv.exe
* %System%\algs.exe
* %System%\iexplore.exe

Note: %System% is a variable that refers to the System folder. By default this is C:\Windows\System (Windows 95/98/Me), C:\Winnt\System32 (Windows NT/2000), or C:\Windows\System32 (Windows XP).

Lees het artikel waar de link naar verwijst eens... Als het inderdaad deze worm is staat er ook bij hoe je het kan verwijderen.

[ Voor 12% gewijzigd door ironx op 25-05-2006 13:19 ]

[Tommzz]

pasta schreef op donderdag 25 mei 2006 @ 00:55:
Wellicht een ontzettende spuit 11, maar upload idd FireWall.exe eens naar Jotti's Online Malware Scan. Vervolgens kan je het beste even een full scan uitvoeren met een van de AV programma's die het herkent.

Antivirus Version Update Result
AntiVir 6.34.1.32 05.25.2006 no virus found
Authentium 4.93.8 05.25.2006 no virus found
Avast 4.6.695.0 05.24.2006 no virus found
AVG 386 05.24.2006 no virus found
BitDefender 7.2 05.25.2006 no virus found
CAT-QuickHeal 8.00 05.25.2006 no virus found
ClamAV devel-20060426 05.25.2006 no virus found
DrWeb 4.33 05.25.2006 no virus found
eTrust-InoculateIT 23.72.17 05.25.2006 no virus found
eTrust-Vet 12.6.2227 05.25.2006 no virus found
Ewido 3.5 05.25.2006 no virus found
Fortinet 2.77.0.0 05.24.2006 suspicious
F-Prot 3.16c 05.24.2006 no virus found
Ikarus 0.2.65.0 05.24.2006 no virus found
Kaspersky 4.0.2.24 05.25.2006 no virus found
McAfee 4769 05.24.2006 no virus found
Microsoft 1.1440 05.22.2006 no virus found
NOD32v2 1.1557 05.25.2006 Win32/Autoit.A
Norman 5.90.17 05.24.2006 no virus found
Panda 9.0.0.4 05.24.2006 Suspicious file
Sophos 4.05.0 05.25.2006 no virus found
Symantec 8.0 05.25.2006 no virus found
TheHacker 5.9.8.147 05.24.2006 no virus found
UNA 1.83 05.24.2006 no virus found
VBA32 3.11.0 05.25.2006 no virus found


Verder heb ik nod32 omdat dat in hitman pro zat/zit, en antivir als gewone virusscan, zal nod32 wel verwijderen als dat niet goed is.

Heb dat linkbot artikel gelezen en zal eens doen wat daarin staat, dat zal wellicht de oplossing zijn!

iedereen superbedankt, mocht het niet werken dan horen jullie dat gauw genoeg

[pasta]

NOD32v2 1.1557 05.25.2006 Win32/Autoit.A

Lijkt mij juist dat je nu dus een full scan met Nod32 uit zult moeten gaan voeren, gezien die het wel herkend, en de rest van de AV's het niet herkennen. Autoit.A is namelijk geen Linkbot.M (zo zie je maar weer dat je malware niet moet gaan flaggen op bestandsnaam )

[ironx]

pasta schreef op donderdag 25 mei 2006 @ 13:41:
[...]

(zo zie je maar weer dat je malware niet moet gaan flaggen op bestandsnaam )

Heb je gelijk in. Maar je kan altijd even zoeken naar meer info dmv bestandsnaam (kom je vaak ook redelijk ver mee), maar dan moet je er ook zeer goed op letten dat alle informatie die gegeven wordt (registry-keys e.d.) ook *precies* overeenkomt voor je er iets mee doet(!).

Maar aangezien ik zelf ook Kasperksy gebruik, zou deze dit gevalletje toch moeten detecteren?

Ikarus 0.2.65.0 05.24.2006 no virus found
Kaspersky 4.0.2.24 05.25.2006 no virus found
McAfee 4769 05.24.2006 no virus found

Trojan.Win32.Autoit.a
Description added: May 15 2006
Behavior: Trojan

Bron: viruslist.com

[ Voor 41% gewijzigd door ironx op 25-05-2006 14:13 ]

[Tommzz]

Hopelijk heb ik nu alles eraf, hele middag programmas gedraaid en de betreffende dingen van de pc kunnen verwijderen!

bedankt voor alle hulp!