Welke applicatie maakt de 'C:\UniScan' folder aan? *

[Stamgastje]

Weet iemand waar de folder C:\UniScan vandaan komt? Hij staat op mijn systeem, maar ik kan niet achterhalen welk stuk software hem toegevoegd heeft. Googelen levert ook geen resultaten. In de folder staan drie bestanden:

code:

C:\UniScan>dir
 Volume in drive C has no label.
 Volume Serial Number is 8831-9137

 Directory of C:\UniScan

30-07-2006  14:54    <DIR>          .
30-07-2006  14:54    <DIR>          ..
30-07-2006  14:52           258.072 Profile.0050
30-07-2006  14:56           258.072 Profile.0100
30-07-2006  14:58           258.072 Profile.0300
               3 File(s)        774.216 bytes
               2 Dir(s)  135.993.053.184 bytes free

C:\UniScan>

[Brede P]

Zoeken op Google op Uniscan Folder leveren veel hits richting scanner software op.
Misschien een scanner geïnstalleerd staan?

[Nvidiot]

http://www.forumpcs.com.br/viewtopic.php?t=103449 Zegt zo te zien dat het dos drivers zijn voor een scanner

[Stamgastje]

Hmm, het zou van mijn HP ScanJet 2400 zijn inderdaad. Best vervelend dat HP zomaar van alles in de root gooit (zo ook een log file voor mijn printer).

Edit: het lijken een soort profiles per resolutie te zijn. Nu ik een scan op 600dpi gemaakt heb, staat er ook een file Profile.0600 bij.

[ Voor 31% gewijzigd door Stamgastje op 17-09-2006 20:29 ]

[Mint]

als het toch gaat om een paar kb's, kun je net zo goed die map hidden maken, dan heb je er ook geen last meer van

[F_J_K]

Dit heeft niets te maken met het OS dus WOS -> CSA.

[Spider.007]

Dan pas ik de topictitel nog even aan

C:\UniScan folder > Welke applicatie maakt de 'C:\UniScan' folder aan? *

[Verwijderd]

Waarschijnlijk ben je gehacked. UniScan zal staan voor Universiteit Scan.

Waarschijnlijk heeft een hacker uit een FXP team je server/pc kunnen hacken met een exploit en is er achtergekomen dat de internet verbinden van je server/pc niet snel genoeg was voor een FillStro, dus heeft hij hem maar bij de ScanStro sectie gemikt.

Vervolgens komt er een scannertje uit het FXP team langs jou server en zegt, hier ga ik ff op scannen.

Zo hebben die gastjes dan van die Batch scripts waarmee ze dan een hele reeks bekende Universiteiten scannen op een bepaald lek. De resultaten komen dan in die map terecht. Hij zal ze wel weer weg gegooit hebben. (maybe ff datarecovery door die map halen?) Let dan vooral op bestanden als scan100.txt scan500.txt scan1000.txt en dfind.log etc. Of scan.txt.

Ik zou ook ff mcafee regelen. mcafee ziet namelijk serv-u FTP server als een trojan. Deze FTP server word heel veel gebruikt in dit soort FXP teams. Vaak worden ze helemaal gemod. Ze hebben dan een andere proces naam (wel evenveel tekens als de orginele naam) en een ander icoontje. Ook servudaemon.ini waar alle instellingen in staan vervangen ze door een of ander fake DLL bestand met daarin alle settings. Mcafee is een van de weinige die deze rootkits kan vinden.

Kijk ook ff in je mappen recycler en system volume information. Dit zijn hele populaire mappen waar hackers hun zooi in mikken.

Eigenlijk noemen we deze mensen niet echt hackers, maar script kidies.

[ Voor 19% gewijzigd door Verwijderd op 18-09-2006 13:30 ]

[Paul]

Verwijderd schreef op maandag 18 september 2006 @ 13:26:

Heb je Stamgastje in "Welke applicatie maakt de 'C:\UniScan' f..." ook gelezen?

Ik had een Unitech scanner/PDA als mogelijke boosdoener aan willen dragen, maar bij nader inzien had me dan de naam UsiScan (hun scanAPI heet ook Usi) waarschijnlijker geleken.

Kun je dat pad dat die HP software gebruikt niet aanpassen in de registry? Nu je een waarschijnlijke kandidaat gevonden hebt moet er met google wel het een en ander over te vinden zijn? Hoe heet die HP scanapplicatie?

[Verwijderd]

Paul Nieuwkamp schreef op maandag 18 september 2006 @ 13:41:
[...]



Heb je Stamgastje in "Welke applicatie maakt de 'C:\UniScan' f..." ook gelezen?

Nee die had ik niet gelezen.

[Stamgastje]

Paul Nieuwkamp schreef op maandag 18 september 2006 @ 13:41:
Kun je dat pad dat die HP software gebruikt niet aanpassen in de registry? Nu je een waarschijnlijke kandidaat gevonden hebt moet er met google wel het een en ander over te vinden zijn? Hoe heet die HP scanapplicatie?

Nee, daar had ik al op gezocht. Hoogstwaarschijnlijk is het een hard coded path ("%SystemDrive%\UniScan"), mocht iemand het tegendeel kunnen bewijzen dan hoor ik het uiteraard graag.

@ragingbull: De bestanden zijn dus afkomstig van de HP ScanJet 2400 software. Gehacked zal deze PC niet zo snel worden, de beveiliging (Windows updates, virus scanner, iptables firewall op server, ...) zit hier wel snor.