[Xp] Gehacked

[kmmartins]

Ik ben gehacked

Ik heb
Windows Xp Sp2 met alle laatste updates
McAfee Virusscan 10
Hitman Pro 2.5
Windows Firewall
Adsl+ Internet en ben 23uur per dag online

Hoe merkte ik dat ik gehacked was?
Op mijn bureaublad stond een foto van mij, met de tekst "I got h4ck3d". Deze had ik niet als achtergrond ofzo, maar komt uit "Mijn afbeeldingen"
Het plaatje is niet te verwijderen via de bureablad instellingen


Wat heb ik gedaan om te kijken waar de lek zit of om het euvel te verwijderen
- Mcafee was up tot date
- In veilige modus opgestart: het plaatje was verdwenen
- Opgestart met alle serverices, register->run en start->opstarten uit: het plaatje is aanwezig
- hitman pro 2.5.2 laten draaien, niks bezonders gevonden.
- Windows Firewall: de uitzonderingen:
Azureus
Bestand deling
FireFox
Java
Limewire
Netwerkcontrolle voor windows xp
realvnc
skype
WLM 8
Windows Media Player
ws ftp

Hier lijkt mij dus niks vreemds tussen staan

Wat mij ook opviel is dat toen ik "uitvoeren" uitvoerde, er "msconfig" instond... terwijl ik dit toch zeker niet heb gebruikt de laatste dagen.

Wat nog meer opvalt: De tekst van de desktop icoontje hebben een zwarte achtergrond, ook al is dit dus niet zo ingesteld

Als ik explorer.exe afsluit in taakbeheer, gaat ook het plaatje weg (niet de achtergrond)

Het laatste wat ik heb geinstaleerd waren 2 script voor msn plus live, die heb ik verwijderd.
Het plaatje was eerst een stuk groter, toen ik vanuit de veilige modus terug in het normale windows kwam werd ie zo klein

Iemand een idee?

[ErikCornelissen]

maakt realVNC geen log file aan o.i.d.? anders kan je daar inkijken of er iemand is geweest die ingelogd is. Maak je gebruik van de nieuwste versie van alle software en heb je alle update's van windows?

[blaataaps]

> BV

[nick_haak]

hmm, hoe ze erin gekomen zijn weet ik niet, geen verstand daarvan, maar weet wel hoe je die achtergrond kan fixen

je hebt nu een active desktop.

daarom heb je randen om je iconen staan.

ga naar configuratiescherm > beeldscherm > bureaublad > web.

daar zie je als het goed is, een aangevinkt item staan.

alles uitvinken, OK drukken, en je achtergrond is weer normaal

nu nog erachter komen hoe je dit kan voorkomen

[kmmartins]

Mijn windows is uptodate
Ook alle programma's heb ik van de laatste versie

[Miki]

Met dit soort hacks zou ik me systeem niet meer vertrouwen ook al als een scanner je systeem zou "schonen", je weet namelijk niet wat er nog meer voor troep er op is geinstalleerd. Ik ben geen expert op dit gebied maar een rootkit is zeer zeker denkbaar en die vind je niet met mcafee nog hitman-pro. Je zou F-secure blacklight of Kaspersky 6 trial kunnen proberen.

Het beste klinkt het lulligst, maar ik zou mijn documenten op een cd-tje branden en een verse install beginnen. Dit is het meest zekere wat je nu kan doen!

[GH45T]

Iemand een idee?

Een idee waarvoor?

Hoe je de afbeelding weg krijgt of hoe je gehacked bent?
Je krijgt de afbeelding waarschijnlijk weg door met de rechtermuisknop op je bureaublad te klikken, eigenschappen te kiezen, naar het tabblaadje Bureaublad gaat, daar Bureaublad aanpassen en dan het tabblaadje Website. Verwijder daar alles en vindk bureaubladitems uit.

Hoe het heeft kunnen gebeuren durf ik zo niet te zeggen. Je draait al Azureus, Limewire, Realvnc enz. Allemaal programma's waar wel eens iets mee kan gebeuren. Zit je verder rechtstreeks op internet of via een router of iets dergelijks?

Een installatie die ooit echt gehacked is zou ik in ieder geval niet meer vertrouwen, wie weet wat er allemaal open is gezet. Beste oplossing is, hoe spijtig ook, een herinstallatie.

[ajhaverkamp]

Broertjes? Zusjes? Die dit ingesteld hebben?

Edit: uitgaande van je profiel ben je 12. En heb je wel heel veel ervaring met allerlei OSen en professionele software

[ Voor 58% gewijzigd door ajhaverkamp op 23-10-2006 16:34 ]

[Swaptor]

Hoe 'veilig' is het password van je RealVNC-server?
Uitgaande van het feit dat je 'm in je firewall hebt opgenomen draai je dus de server, en sta je volledig open voor verbindingen van buitenaf.

[martijn1992]

Is je netwerk misschien draadloos?
Er moet wel iets zijn geweest waarom ze jouw pc hebben gekozen, misschien was er toch een lek in je pc waardoor ze zijn binnen gekomen.
Ik zou je aanraden om je systeem opnieuw te installeren, want je weet nooit wat ze met je systeem hebben gedaan.

[kmmartins]

Het plaatjes is inderdaad nu weg
bedankt

Maar nu nog weten of ik nog steeds kwetsbaar ben
het plaatje was "c:\windows\windows.jpg"
Gewijzigd op: 21 Oktober 1:27

Ik heb een versatel router en ik zit bekabeld
en zeer zeker geen last van lastige broertjes/zusjes

Ik had NU de laatste versie van VNC en een nieuw wachtwoord
Dus wie weet was dat het probleem!?
Ik ga toch voor de zekerheid alles back-uppen

[ Voor 43% gewijzigd door kmmartins op 23-10-2006 16:44 ]

[arjants]

Welke versie van VNC draai je op dit moment?
In mei dit jaar is er een securitylek geweest waarmee iedereen gewoon kon connecten naar je pc:

Description:
Steve Wiseman has reported a vulnerability in RealVNC, which can be exploited by malicious people to bypass certain security restrictions.

The vulnerability is caused due to an error within the handling of VNC password authentication requests. This can be exploited to bypass authentication and allows access to the remote system without requiring knowledge of the VNC password.

The vulnerability has been reported in version 4.1.1. Other versions may also be affected.

Note: Version 4.0 is reportedly not affected.

Solution:
Update to Free Edition version 4.1.2 or Personal Edition/Enterprise Edition version 4.2.3.
http://www.realvnc.com/download.html

Ik weet het niet zeker meer maar ik dacht dat het versie 4.1.1 was.

Heb je geen logs meer van iedereen die geconnect heeft?

edit:
quote aangepast

[ Voor 44% gewijzigd door arjants op 23-10-2006 16:37 ]

[metallicelmo]

Verander ten eerste je vnc settings.. ander port nummer bijvoorbeeld, standaard is 5900 dacht ik.. En een moeilijker wachtwoord

[Pakjebakmeel]

nick_haak schreef op maandag 23 oktober 2006 @ 16:30:
hmm, hoe ze erin gekomen zijn weet ik niet, geen verstand daarvan, maar weet wel hoe je die achtergrond kan fixen

je hebt nu een active desktop.

daarom heb je randen om je iconen staan.

ga naar configuratiescherm > beeldscherm > bureaublad > web.

daar zie je als het goed is, een aangevinkt item staan.

alles uitvinken, OK drukken, en je achtergrond is weer normaal

nu nog erachter komen hoe je dit kan voorkomen

offtopic:
not quite, als je naar "system properties" gaat en dan "advanced", "performance settings" klikt. Kun je "Use drop shadows for icon labels on the desktop" aanzetten. Dan zijn die randen ook weg

[SKiLLa]

Op mijn bureaublad stond een foto van mij, met de tekst "I got h4ck3d

Klinkt toch echt als grapje van een familie-lid of vriend; weet je zeker dat er niemand even achter je PC heeft kunnen zitten terwijl jij b.v. ff naar het toilet was ofzo ? Een vreemdeling gaat echt niet je PC hacken, een plaatje zoeken van de eigenaar (hoe weet ie wie de eigenaar is ?) en die dan op je dekstop rammen. Ik denk dat je slachtoffer bent van een grapje van iemand en niet echt 'gehackt' bent ... heb je je VNC wachtwoord al gecontroleerd, file-shares, rootkits, keyloggers ?

Vertrouw sowieso nooit je geinstalleerde AV-scanner bij dit soort zaken; doe bv. een online scan (TrendMicro HouseCall / Panda Online scan) en run SysInternals RootkitRevealer ... succes

Maar als je er niet achter komt wie zo grappig is geweest zou ik de PC idd. (helaas) opnieuw installeren ...

[kmmartins]

Oke Ik krijg zo'n sterk vermoede dat het Real Vnc is geweest
In de log file vind ik dat er om 1:34 op 21-10 uit gelogd is door een bepaald ip adres
Ook was toen het plaatje net 5min geleden gemaakt.

Het is inderdaad vreemd dat er dan (zo lijkt het) geen misbruik is gemaakt van mn pc en er alleen is "getekend" op mn pc

[ErikCornelissen]

Had dan meteen naar mij geluisterd

Maar idd, ga voor een verse install. Er zullen vast dingen geïnstalleerd zijn, waar je geen weet van hebt. Misschien draait er een service op je pc zodat die nu via een andere poort op je pc kan.

[DEVoTi0N]

Als je er misbruik van zou willen maken laat je niet zo'n bericht achter hoor

[dbzfan]

Je bent gewoon gehackt via VNC. Waarschijnlijk om een stro van je pc te maken. Maar die "hacker" kwam erachter dat je een trage adsl verbinding had, maakte een grapje en is weer weggegaan... Check even de uitgaande porten op je pc en je firewall settings

[DJ-B]

Een herinstallatie is zeker aan te raden!
Wist je trouwens dat je VNC wachtwoord helemaal niet zo veilig is?

By default, VNC is not a secure protocol. While passwords are not sent in plain-text (as in telnet), brute-force cracking could prove successful if both the encryption key and encoded password are sniffed from a network. For this reason it is recommended that a password of at least 8 characters be used

[ Voor 57% gewijzigd door DJ-B op 24-10-2006 14:32 ]

[BHQ]

Gevalletje simpel, iemand die je VNC password gebruteforced op of een andere manier geraden heeft en dat spul gedumpt heeft. Als de donder VNC eraf en in safe mode ff alle scannertjes erop loslaten