smtp spammer via 'protector.exe'

[SilentStorm]

[note: de volgorde van acties in onderstaande tekst is mogelijk wat vaag. Ik heb het verhaal grotendeels geschreven terwijl ik bezig was. Mocht er iets niet duidelijk zijn, vraag dan gerust

Omdat ik al heel wat geprobeerd heb en het een nogal lang verhaal is geworden vrees ik voor weinig reacties. Als je al de moeite wilt nemen om er even doorheen te kijken, zou het geweldig zijn. Ik heb alle acties hieronder puur op gezond verstand / faq / eerdere topics gedaan en heb niet erg veel ervaring met het opzoeken en verwijderen van virussen. Mogelijk heb ik de meest logische detectieprogramma's nog niet gedraait.]

---

Gister heeft een familielid op zijn (winxp pro) computer een programma geactiveerd dat er voor zorgt dat die computer een groot aantal smtp (tegen de honderd per seconde) verbindingen maakt naar diverse mailproviders over de wereld. Daar is die avond meteen een waarschuwing van de provider achteraan gekomen. Ik kwam die avond zelf terug van vakantie en heb toen de computer offline gehaald en ben vandaag wat wezen rondzoeken.

---

analyse:
Naar eigen zeggen heeft hij een bestand geactiveerd dat iets deed en vervolgens verdween. Hij heeft zelf een aantal dingen weg kunnen halen met adaware, maar wist niet precies meer wat. Momenteel is zijn processeslist en msconfig clean. Ik kan deze desgewenst posten in een hijackthis log, maar omdat de pc meteen weer begint met spam versturen, houd ik die pc liever nog even zonder netwerk.

Onder procexp vind ik 2 services die ik niet ken. Deze worden beide gestart in een aparte instantie van svchost. Het gaat hier om: ldrsvc en NtmlSvc. (Deze heb ik beiden gedisabled in services.msc

Met tcpview kon ik achterhalen dat het endpoint van de smtp verbindingen ligt bij een programma 'protector.exe' in %windir%\system32. Dit bestand is niet zichtbaar (met hidden/system files aan) in de explorer en kan ik ook niet verwijderen. (Het bestand bestaat wel; als ik een bestand probeer aan te maken met dezelfde naam, geeft hij de melding dat er al een bestand met die naam bestaat. In een command shell gebeurd hetzelfde.

Met wat speurwerk hebben we de file waar het mee begonnen was opnieuw kunnen vinden. Ik heb deze door de jottiscan (http://virusscan.jotti.org/) heen gehaald en vond de volgende lijst met malware:

code:

 Scan taken on 11 Aug 2007 19:29:00 (GMT)
A-Squared         Found nothing
AntiVir           Found TR/Crypt.XPACK.Gen, BAT/ConHook.Z
ArcaVir           Found Trojan.Inject.Cv
Avast           Found Win32:Vundo-gen46
AVG Antivirus     Found Downloader.Generic5.PUR, Downloader.Generic5.OYD
BitDefender       Found Adware.Virtumonde.GGD, BehavesLike:Trojan.WinlogonHook,
 Trojan.Downloader.Agent.BIO, Trojan.ConHook.X (probable variant)
ClamAV         Found Trojan.Conhook
CPsecure         Found Troj.W32.Dialer.qn
Dr.Web         Found Trojan.Virtumod, Trojan.Mezzia.68
F-Prot Antivirus  Found nothing
F-Secure Anti-Virus  Found not-a-virus:AdWare.Win32.Virtumonde.jp (4, 1, 400),
 Trojan.Win32.Dialer.qn, Trojan.Win32.Inject.cv
Fortinet         Found nothing
Kaspersky Anti-Virus Found not-a-virus:AdWare.Win32.Virtumonde.jp, 
Trojan.Win32.Dialer.qn, Trojan.Win32.Inject.cv
NOD32           Found probably a variant of Win32/TrojanDownloader.ConHook,
 a variant of Win32/TrojanDownloader.Small.NUS (probable variant)
Norman Virus Control Found nothing
Panda Antivirus   Found Trj/Downloader.PTL
Rising Antivirus  Found Virus.Dos.HLLP.Den.8563, Worm.Mail.Win32.Zhelatin.hd
Sophos Antivirus  Found Mal/Dropper-E, Mal/DowAdv-B
VirusBuster     Found Adware.Vundo.P.Gen, Trojan.DL.Loadadv.Gen.2
VBA32           Found Trojan.Win32.Inject.cv

Hierna heb ik nog spybot gedraait. Deze vond behalve een lading tracking cookies en andere irrelevante zooi Torpig. Behalve keylogging / datagathering aspecten bied deze een kwaadwillende gebruiker ook volledige toegang tot het systeem -- deze kon wel door spybot zelf verwijderd worden.

Om het iets groter aan te pakken heb ik er kaspersky nog overheen gehaald en die vond nog een aantal virussen: de generieke 'invader' de volgende specifieke virussen:

• trojan.wopla.ac, trojan.win32.dialar.qn trojan-proxy.win32.wopla.ac worm.win32.vb.an backdoor.win32.agent.alm

De betreffende bestanden zijn allemaal verwijderd.

Zoeken op wopla.ac geeft een hint naar een mogelijk geinstalleerde rootkit, 'rootkit.foop'. Het bestand waar die inzit is ntio256.sys in de windows\system32 directory. Deze is intussen verwijderd en ik heb handmatig referenties naar dit bestand uit het register gesloopt (er stonden er 2 onder hklm\software\microsoft\windows nt\controlset0x\services\. Controlset is hierbij 8 en 9.

op dezelfde manier heb ik hier ook referenties naar de NtmlSvc verwijderd uit oa het opstarten van de net services voor svchost.

---

conclusie / acties:
Bovenstaande 'services' geven te denken dat het gaat om trojan downloader 'BackDoor-Icug', (http://vil.nai.com/vil/content/v_142500.htm) en/of Vundo (http://www.symantec.com/s...docid=2004-112111-3912-99).

Naar aanleiding van dit en de jottiscan heb ik een vundo en een virtumonde fix gedraait. Deze vonden beiden niets. De namen van de trojandroppers met de diverse namen die virusscanners aangaven zeggen mij ook niet veel. Ik heb een aantal namen door google heen gehaald, maar vond geen matches met protector.exe of het smtp spam probleem. (protector.exe zelf bestaat trouwens al niet meer na al deze acties. Het endpoint van de smtp verbindingen is volgens tcpview intussen kav (kaspersky) zelf geworden en blijft dat zelfs na het verwijderen van alle gequarintine'de bestanden en backups. Na het volledig uninstallen van kav is het endpoint 'services.exe (in de win32 directory en voor zover ik kon zien de originele)

Aangezien ik het bestand verder niet kon zien, vrees ik een rootkit; Als ik nou kan achterhalen wat hiermee is gedaan, kan ik misschien nog alle sporen wissen. Ik zou liever geen complete reinstall doen als ik het kan voorkomen.

Wopla.ac lijkt trouwens de uiteindelijke boosdoener. De beschrijving van dit virus geeft hints naar het installeren van een rootkit en het sturen van spam.

Het probleem lijkt heel veel op deze. Na een hoop scan en zoek adviezen heeft die zijn pc uiteindelijk toch maar gereformat. Misschien komen we hier verder? Mijn dank is groot

edit: voor het revealen van rootkits heb ik nog de blacklight rootkit eliminator gedraait, maar deze kon geen hidden files / processes vinden.

Daarnaast nog gezocht naar alternate datastreams in bestanden met de scanner van hijackthis.

Waar kan ik verder nog naar kijken?

[Verwijderd]

Je zou de gratis rootkit scanner van Sphos kunnen proberen of die nog wat vind.

http://www.sophos.com/pro.../sophos-anti-rootkit.html

[ralfbosz]

Leuk verhaal, maar is opnieuw installeren niet gewoon slimmer? Is de machine ook weer lekker 'fris'.

[Verwijderd]

ralfbosz schreef op zondag 12 augustus 2007 @ 17:17:
Leuk verhaal, maar is opnieuw installeren niet gewoon slimmer? Is de machine ook weer lekker 'fris'.

Idd, dan weet je zeker dat die weg is.. Geen idee of er nog andere PC's op het netwerk zitten?

Het probleem lijkt heel veel op deze. Na een hoop scan en zoek adviezen heeft die zijn pc uiteindelijk toch maar gereformat. Misschien komen we hier verder? Mijn dank is groot

En de format heeft gewerkt?

[mkleinman]

Ik snap dat het interesant is om dit probleem tot de bodem uit te zoeken. Mijn advies zou zijn alle documenten te backuppen en daarna met een schone install te beginnen ( inclusief format c: ).

[SilentStorm]

Ik weet dat de format optie het veiligst is. Zelfs als ik er alles wat ik vind eraf heb gehaald weet ik niet 100% zeker of er niet iets overgebleven is. Het zit me alleen wat dwars dat ik met wat ik ook probeer nog steeds niet kan vinden waarom er nog steeds smtp verbindingen worden gemaakt zodra er een internet verbinding is.

Ik vind het inderdaad wel fijn om dit uitgezocht te hebben en aangezien de pc verder niet voor financien oid wordt gebruikt en het vrij makkelijk is om te controleren of er nog 'illegale streams' naar buiten lopen zou ik het risico van cleanen nog wel willen nemen.

Verwijderd schreef op zondag 12 augustus 2007 @ 17:21:
[...]

En de format heeft gewerkt?

Ehm, dat staat er niet bij, maar tenzij er iets in de bootsector terecht is gekomen kan een virus dat niet overleven. En ik weet niet of het daar is gebeurd, maar ik heb die iig door verschillende scanners laten controleren.

Ik ben nu de rootkitscanner van sophos aan het draaien. Ik heb er echter niet veel hoop op dat ie iets vind, als die van f-secure dat ook niet deed.

[DigiK-oz]

Probeer ook nog even de rootkitrevealer van sysinternals :

http://www.microsoft.com/...rity/RootkitRevealer.mspx

[SilentStorm]

Sophos' rootkitscanner heeft ook niets gevonden

Momenteel draait die van sysinternals..

En ik heb de hijackthis log nog even gekopieerd:

code:

Logfile of HijackThis v1.99.1
Scan saved at 17:40:41, on 12-8-2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\wscntfy.exe
C:\Program Files\DAEMON Tools\daemon.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\notepad.exe
C:\Program Files\Sophos\Sophos Anti-Rootkit\sargui.exe
C:\Documents and Settings\Hugo\Desktop\TcpView\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.nl/
O4 - HKLM\..\Run: [DAEMON Tools] "C:\Program Files\DAEMON Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [AVP] "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 7.0\avp.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Web Anti-Virus statistics - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 7.0\SCIEPlgn.dll
O16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab31267.cab
O16 - DPF: {215B8138-A3CF-44C5-803F-8226143CFC0A} (Trend Micro ActiveX Scan Agent 6.6) - http://housecall65.trendmicro.com/housecall/applet/html/native/x86/win32/activex/hcImpl.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1146932802836
O20 - Winlogon Notify: klogon - C:\WINDOWS\system32\klogon.dll
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O23 - Service: Kaspersky Anti-Virus 7.0 (AVP) - Unknown owner - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 7.0\avp.exe" -r (file missing)
O23 - Service: iPod-service (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

Voor zover ik kan beoordelen is 'ie clean.

edit: rootkitrevealer van sysinternals gaf wel een aantal meldingen, maar ik weet niet of hier iets achter zit (?):

code:

HKLM\SECURITY\Policy\Secrets\SAC*   6-5-2006 18:29  0 bytes Key name contains embedded nulls (*)
HKLM\SECURITY\Policy\Secrets\SAI*   6-5-2006 18:29  0 bytes Key name contains embedded nulls (*)
HKLM\SYSTEM\ControlSet008\Services\sptd\Cfg 2-7-2006 22:47  0 bytes Access is denied.
HKLM\SYSTEM\ControlSet008\Services\xpdx 12-8-2007 16:31 0 bytes Hidden from Windows API.
HKLM\SYSTEM\ControlSet009\Services\xpdx 12-8-2007 16:31 0 bytes Hidden from Windows API.

Even zien in de documentatie..

[ Voor 10% gewijzigd door SilentStorm op 12-08-2007 17:53 ]

[SKiLLa]

"Winlogon Notify: klogon - C:\WINDOWS\system32\klogon.dll"

Die KLogon heb je zelf expliciet geinstalleerd ? Is namelijk geen standaard onderdeel van Windows ...

[SilentStorm]

SKiLLa schreef op zondag 12 augustus 2007 @ 17:49:
"Winlogon Notify: klogon - C:\WINDOWS\system32\klogon.dll"

Die KLogon heb je zelf expliciet geinstalleerd ? Is namelijk geen standaard onderdeel van Windows ...

Klogon is een onderdeel van kaspersky, maarehm, scherp

HKLM\SECURITY\Policy\Secrets\SAC* 6-5-2006 18:29 0 bytes Key name contains embedded nulls (*)
HKLM\SECURITY\Policy\Secrets\SAI* 6-5-2006 18:29 0 bytes Key name contains embedded nulls (*)
HKLM\SYSTEM\ControlSet008\Services\sptd\Cfg 2-7-2006 22:47 0 bytes Access is denied.
HKLM\SYSTEM\ControlSet008\Services\xpdx 12-8-2007 16:31 0 bytes Hidden from Windows API.
HKLM\SYSTEM\ControlSet009\Services\xpdx 12-8-2007 16:31 0 bytes Hidden from Windows API.

Ik heb hier nog eens naar gekeken.

Die embedded nulls moet ik volgens de documentatie weg kunnen halen. Het is via regedit of regedt32 niet mogelijk om in de 'security' hive te kijken..

De documentatie zegt ook dat 'access is denied' nooit voor zou moeten komen. In regedit kan ik er ook niet bij, dus dit zou best iets 'malicious' kunnen zijn. Dan de vraag hoe je er weer af komt

Ik heb ter vergelijking op mijn huidige systeem ook een scan gedraait en vind op dezelfde plaats in de security hive die 2 meldingen over embedded nulls. Zou iemand van jullie die ook eens kunnen proberen? De documentatie geeft een outdated link naar 'reqdelnull' om dergelijke keys te verwijderen... als dat nodig is.

Daarnaast vind ik die stpd/cfg ook hier. Mogelijk iets waar rootkitrevealer geen rekening mee houd na een update van windows

[ Voor 67% gewijzigd door SilentStorm op 12-08-2007 18:06 ]

[DataGhost]

Zoiets is (eigen ervaring, kan anders zijn) niet op te lossen vanuit Windows, ook niet in veilige modus (dll wordt lekker meegedraaid namelijk). Pak een Linux livecd en verwijder daarmee klogon.dll, daarna kan je de entries weghalen
Is trouwens nog steeds geen garantie dat je systeem schoon is.

[SilentStorm]

Ehm, je kunt een actief proces afsluiten in je task manager. Sommige spyware heeft nog wel eens een soort watchdog process draaien dat het dan weer opstart, of draait vanuit het system account. Deze twee geven wat problemen, maar zijn, door ervoor te zorgen dat ze niet opstarten of verwijdered worden bij het starten van windows, nog wel te verwijderen. Hijackthis heeft hier mogelijkheden voor en in veilige modus krijg je meestal ook wel wat voor elkaar

Als dat allemaal niet hielp ben ik het helemaal met je eens dat een livecd de oplossing kan bieden, maar dat is niet waar ik nu mee zit. Klogon is (zie hierboven) van kaspersky en niet het virus. Toch bedankt voor je input!

[Wildfire]

Software zoals Alcohol 120% maakt ook gebruik van rootkit-eigenschappen om de eigen emulatie te verstoppen. Zou daar die STPD uit de rootkit-scan van kunnen zijn?

[SilentStorm]

Hmm.. Ik weet vrijwel zeker dat dat de reden van de vermelding was. Op beide pc's is daemon tools geinstalleerd. thanks!

Maar dan lijkt de pc schoon van rootkits. Er loopt echter nog steeds iets dat het smtp verkeer veroorzaakt. We zijn nu wat zooi aan het backuppen voor een reinstall, dus tenzij vandaag nog iemand met een goede ingeving komt wordt het een reformat (ik post nog)

[Verwijderd]

Zeker dat er geen system files gepatched/geïnfecteerd zijn met trojan code?

[SilentStorm]

Helemaal zeker natuurlijk niet, maar hijackthis' checktools voor alternatieve versies van explorer.exe en dergelijke geven geen problemen aan.. En zou kaspersky dat niet op moeten pikken?

Heeft het zin om filesizes/dates/hashes te gaan vergelijken?

edit: met hijackthis ook al op hidden datastreams gezocht. De enkele streams die gevonden waren, zijn allemaal door kaspersky gemaakt (ik meen om data over het bestand bij te houden, zoals exclusions).

[ Voor 28% gewijzigd door SilentStorm op 14-08-2007 01:26 ]

[gambieter]

Misschien mosterd na de maaltijd, maar je hebt je familielid ook de les gelezen over wat wel en niet mag in computerland?

Wat ik me trouwens afvraag is waarom er geen firewall getriggerd werd die het SMTP verkeer had kunnen tegenhouden. Er draait toch hopelijk wel een goed beveiligde software firewall die uitgaand verkeer blokkeert?

[Verwijderd]

SilentStorm schreef op dinsdag 14 augustus 2007 @ 01:15:
Helemaal zeker natuurlijk niet, maar hijackthis' checktools voor alternatieve versies van explorer.exe en dergelijke geven geen problemen aan.

Dat is een alternative data stream - dat zijn daadwerkelijke bestanden. Enige verschil met 'normale' bestanden is dat ze aan een ander bestand vastzitten en 'onzichtbaar' zijn.

. En zou kaspersky dat niet op moeten pikken?

Tja, zou KAV niet alles op moeten hebben pikken?

Heb je trouwens v6 of v7 gebruikt om te scannen? v7 heeft een nieuwe heuristieke emulator + betere rootkitdetectie. Je zou kunnen overwegen om een custom scan te doen met heuristics op detailed en een extended rootkit search.

Heeft het zin om filesizes/dates/hashes te gaan vergelijken?

Ten opzichte van..? Filedate wordt normaliter ongemoeid gelaten, dus die moeite zou ik besparen.

Je zegt dat services.exe verantwoordelijk is. Dan zijn er twee mogelijkheden:
a) services.exe is geïnfecteerd/gepatched
b) iets heeft zich in services.exe geïnjfecteerd

Desgewenst wil ik het eerste wel voor je uitsluiten. Je kan services.exe naar mailadres in mijn sig sturen en dan zal ik er eens naar kijken.

Kijk eens met een sysinternal tool wat er zich allemaal in services.exe afspeelt.

[jeronimo]

Het zal je vast bekend zijn, dat nadat er een rootkit geinstalleerd is, je windows in feite in een virtual machine draait. Met andere woorden, datgene wat je in de taskmanager ed ziet niet de werkelijkheid is. Vanuit technisch oogpunt is het natuurlijk interessant om uit te zoeken wat de huige tools aan kunnen geven (ook AVG heeft inmiddels anti rootkit software http://www.grisoft.com/do...ree-anti-rootkit/us/crp/0), maar mijn eerste gedachte is toch de data te backuppen, format C en een clean install (vanaf betrouwbare media) te doen.

[Verwijderd]

jeronimo schreef op dinsdag 14 augustus 2007 @ 01:53:
Het zal je vast bekend zijn, dat nadat er een rootkit geinstalleerd is, je windows in feite in een virtual machine draait.

Nee?

Met andere woorden, datgene wat je in de taskmanager ed ziet niet de werkelijkheid is.

Dat is wat anders. Er is wel een Proof of Concept die de machine in een VM zet, min of meer.

maar mijn eerste gedachte is toch de data te backuppen, format C en een clean install (vanaf betrouwbare media) te doen.

Vroeger waren rootkits een uitzondering, tegenwoordig zijn ze normaal.
Tenzij er iets 'bijzonders' aangetroffen wordt op het systeem is een format voor een rootkit tegenwoordig overkill. Er is zelfs adware die rootkits gebruiken en een format in zo'n geval is absoluut onnodig.

[DataGhost]

Zie je in 'netstat -ano' (commandline) ook de uitgaande verbindingen naar poort 25 open staan? Zo ja, staat daar een PID achter. Daarmee kan je in de task manager (view -> select columns -> PID) zien welk proces dat is. Als je het niet kan zien weet je ook direct dat je nog steeds een rootkit hebt anders weet je in elk geval welk proces geinfecteerd is.

[jeronimo]

Verwijderd schreef op dinsdag 14 augustus 2007 @ 02:00:
[...]

Nee?

[...]

Dat is wat anders. Er is wel een Proof of Concept die de machine in een VM zet, min of meer.

[...]

Vroeger waren rootkits een uitzondering, tegenwoordig zijn ze normaal.
Tenzij er iets 'bijzonders' aangetroffen wordt op het systeem is een format voor een rootkit tegenwoordig overkill. Er is zelfs adware die rootkits gebruiken en een format in zo'n geval is absoluut onnodig.

Ik bedoelde hiermee te zeggen dat datgene wat je ziet datgene is wat je door je rootkit is voorgezet,. misschien niet helemaal vergelijkbaar met een een VM, maar je begrijpt wat ik bedoel.

[temp00]

Dit is misschien niet het antwoord wat je wilt horen maar het is een idd een leuk verhaal wat je allemaal schrijft maar wat wil je precies? Je kan nog 80.000 anti spy/mal/virus programma's er overheen gooien (waarbij je wellicht nieuwe infecties vind) en/of je processen/startups blijven na lopen maar feit is dat het systeem zwaar gecompromiseerd is. De enige verantwoorde en logische remidie is een herinstall doen, inc. format (of bij voorkeur de partitie eraf flikkeren). Met zoveel infecties kan je nooit alle troep/onderdelen verwijderen/ongedaan maken en wie weet wat er allemaal nog ongedetecteerd is.

Als ik je één tip mag geven; waar jij (en jouw familielid) goed aan doet is jouw familielid goed informeren over de gevaren van Active-x, onbekende of ogenschijnlijk 'veilige' bestanden via mail/p2p enz. enz.

[Borromini]

gambieter schreef op dinsdag 14 augustus 2007 @ 01:44:
Misschien mosterd na de maaltijd, maar je hebt je familielid ook de les gelezen over wat wel en niet mag in computerland?

Wat ik me trouwens afvraag is waarom er geen firewall getriggerd werd die het SMTP verkeer had kunnen tegenhouden. Er draait toch hopelijk wel een goed beveiligde software firewall die uitgaand verkeer blokkeert?

Inderdaad. Een degelijke firewall die je vraagt welke services je toegang wil geven tot het internet en die je een overzicht geeft van welke services het hebben/krijgen en willen maar niet krijgen? Sygate is een goede, en ook Kerio Personal Firewall is daar heel erg grondig in. Dat lost het probleem niet echt op, maar het blokkeert wel de uitgaande rommel, en het kan je ook helpen de boosdoener te vinden.

[Ossenaar]

Heb je het programmatje Combofix al eens geprobeerd ?
http://download.bleepingcomputer.com/sUBs/ComboFix.exe

[SilentStorm]

Wow wat een reacties opeens. Ik was vandaag niet thuis dus kom er nu pas aan toe.

Allereerst even dit: Ik heb een reinstall gedaan.. of in ieder geval geprobeerd. Ik wilde de format uitvoeren vanuit de winxp setup en koos voor een nieuwe partitie met 'volledige' format. Deze is ongeveer 3 kwartier bezig geweest om zich naar 100% te werken en kwam toen met de mededeling dat de schijf niet kon worden geformatteerd Ik heb die melding nog nooit eerder gezien.

Ik heb geprobeerd de harde schijf vanaf een kubuntu livecd te benaderen, maar deze kon 'm niet benaderen (ntfs alleen met leestoegang en allemaal block errors ). Ik ben nu bezig een partitionmagic bootcd te regelen, maar ik vrees dat dit buiten de scope van het topic gevallen is.

Anyway, dit betekend dat ik helaas een hoop van jullie adviezen niet meer kan proberen.

gambieter schreef op dinsdag 14 augustus 2007 @ 01:44:
Misschien mosterd na de maaltijd, maar je hebt je familielid ook de les gelezen over wat wel en niet mag in computerland?

Wat ik me trouwens afvraag is waarom er geen firewall getriggerd werd die het SMTP verkeer had kunnen tegenhouden. Er draait toch hopelijk wel een goed beveiligde software firewall die uitgaand verkeer blokkeert?

Het is mijn jongere broer (van 20) normaal weet ie wel wat wel en niet te vertrouwen is, maar werd... overconfident. Er draaide ook geen antivirus- of firewall software op die pc. Ik heb het verhaal over de bloemetjes en bij... vriendelijke internetmeneren met virussen en trojans nog eens over gedaan

Verwijderd schreef op dinsdag 14 augustus 2007 @ 01:53:
[...]

Dat is een alternative data stream - dat zijn daadwerkelijke bestanden. Enige verschil met 'normale' bestanden is dat ze aan een ander bestand vastzitten en 'onzichtbaar' zijn.

De alternative data streams heb ik ook op gescanned, maar hier bedoelde ik hijackthis' mogelijkheid (onder misc > generate startuplist, include minor sections) om te checken op alternatieve versies van explorer.exe. Ik meende dat er nog meer systeembestanden werden gechecked daar, maar het is ietwat beperkt.

[...]

Tja, zou KAV niet alles op moeten hebben pikken?

Heb je trouwens v6 of v7 gebruikt om te scannen? v7 heeft een nieuwe heuristieke emulator + betere rootkitdetectie. Je zou kunnen overwegen om een custom scan te doen met heuristics op detailed en een extended rootkit search.

Deze scan is met v7 gedaan. Deze heeft inderdaad een 'rootkit scan' functie, die helaas ook niets vond .. net als die van de andere virusscanners die ik hierboven al geprobeert heb.

offtopic:
over het oppikken; het bijhouden of kritieke systeembestanden niet gewijzigd worden lijkt me een van de belangrijkste dingen om te doen als je je systeem wilt beschermen tegen ... externe invloeden. Met mijn mogelijk wat naieve wereldblik zou dat een van de eerste dingen zijn die ik in een virusscanner zou bouwen..

[...]

Ten opzichte van..? Filedate wordt normaliter ongemoeid gelaten, dus die moeite zou ik besparen.

Je zegt dat services.exe verantwoordelijk is. Dan zijn er twee mogelijkheden:
a) services.exe is geïnfecteerd/gepatched
b) iets heeft zich in services.exe geïnjfecteerd

Desgewenst wil ik het eerste wel voor je uitsluiten. Je kan services.exe naar mailadres in mijn sig sturen en dan zal ik er eens naar kijken.

Kijk eens met een sysinternal tool wat er zich allemaal in services.exe afspeelt.

* niet meer mogelijk door reformat *

jeronimo schreef op dinsdag 14 augustus 2007 @ 01:53:
[...]

* niet meer mogelijk door reformat *

[discussie over reformat na constateren aanwezigheid rootkit]
Ik was zelfs ook nog onder de indruk dat een dergelijk systeem als 'compromised' moest worden gezien en eigenlijk niet meer (in ieder geval voor kritieke diensten) gebruikt zou moeten worden. Dat is ook de reden waarom ik uiteindelijk voor de reformat koos.

Verwijderd schreef op dinsdag 14 augustus 2007 @ 02:00:
Vroeger waren rootkits een uitzondering, tegenwoordig zijn ze normaal.
Tenzij er iets 'bijzonders' aangetroffen wordt op het systeem is een format voor een rootkit tegenwoordig overkill. Er is zelfs adware die rootkits gebruiken en een format in zo'n geval is absoluut onnodig.

Zou jij met een systeem zoals deze nog met een veilig gevoel je creditcard gegevens intikken als de smtp spammer er af was? Het doel van het virus was niet het verkrijgen van dergelijke informatie, maar zou het niet even 'makkelijk' zijn er een keylogger naast te zetten en mogelijk door een volgende rootkit/abstractielaag laten verstoppen? Als er bijvoorbeeld een alternatieve tcp/ip protocol driver wordt geinstalleerd, kun je dergelijke processen zelfs verborgen houden voor netstat of zelfs pcap..

DataGhost schreef op dinsdag 14 augustus 2007 @ 02:23:
Zie je in 'netstat -ano' (commandline) ook de uitgaande verbindingen naar poort 25 open staan? Zo ja, staat daar een PID achter. Daarmee kan je in de task manager (view -> select columns -> PID) zien welk proces dat is. Als je het niet kan zien weet je ook direct dat je nog steeds een rootkit hebt anders weet je in elk geval welk proces geinfecteerd is.

Ik beschreef het eerder vanuit tcpView van sysinternals, maar met netstat kwam daar ook 'services.exe' uit. Ik kon zowel vanuit netstat als vanuit tcpview keurig die verbindingen zien lopen. Er liep echter geen proces of service die ik hiermee kon associeren; vandaar het idee van een rootkit.

temp00 schreef op dinsdag 14 augustus 2007 @ 03:04:
Dit is misschien niet het antwoord wat je wilt horen maar het is een idd een leuk verhaal wat je allemaal schrijft maar wat wil je precies? Je kan nog 80.000 anti spy/mal/virus programma's er overheen gooien (waarbij je wellicht nieuwe infecties vind) en/of je processen/startups blijven na lopen maar feit is dat het systeem zwaar gecompromiseerd is. De enige verantwoorde en logische remidie is een herinstall doen, inc. format (of bij voorkeur de partitie eraf flikkeren). Met zoveel infecties kan je nooit alle troep/onderdelen verwijderen/ongedaan maken en wie weet wat er allemaal nog ongedetecteerd is.

Het ging mij vooral om de methode van zoeken. Ik ben meestal wel vrij handig met het vinden en verwijderen van spyware, maar heb zelf in mijn hele leven nooit een virus gehad. Ik heb mijn ervaring en de faq gebruikt om tot het punt van de startpost te komen en hoopte op meer methoden. Ik ben nu alsnog voor een reformat gegaan.

Als ik je één tip mag geven; waar jij (en jouw familielid) goed aan doet is jouw familielid goed informeren over de gevaren van Active-x, onbekende of ogenschijnlijk 'veilige' bestanden via mail/p2p enz. enz.

done!

Ossenaar schreef op dinsdag 14 augustus 2007 @ 03:34:
Heb je het programmatje Combofix al eens geprobeerd ?
http://download.bleepingcomputer.com/sUBs/ComboFix.exe

* helaas niet meer mogelijk door reformat *

[gambieter]

SilentStorm schreef op dinsdag 14 augustus 2007 @ 22:10:
[...]
Het is mijn jongere broer (van 20) normaal weet ie wel wat wel en niet te vertrouwen is, maar werd... overconfident. Er draaide ook geen antivirus- of firewall software op die pc. Ik heb het verhaal over de bloemetjes en bij... vriendelijke internetmeneren met virussen en trojans nog eens over gedaan
[...]

Geen virusscanner of firewall . Omdat dit de PC vertraagde en spelletjes onmogelijk werden zeker....

Dat vraagt maar om 1 ritueel:
Hoofd, mag ik je voorstellen aan Muur?
Muur, mag ik je voorstellen aan Hoofd?

[temp00]

Okidokie. Voor de volgende keer is Autoruns van het door MS overgenomen Sysinternals misschien ook wel handig. Hiermee kan je o.a.dingen zien, eruit slopen, uitzetten enz. die met andere (standaard) tooltjes niet te doen zijn. Klein en geen bullshit.
http://www.microsoft.com/...s/Utilities/AutoRuns.mspx

edit: niet vergeten Microsoft entries te verbergen mocht dat wenselijk zijn. Options>Hide Microsoft Entries>F5 refresh

[ Voor 15% gewijzigd door temp00 op 14-08-2007 23:43 ]

[SilentStorm]

gambieter schreef op dinsdag 14 augustus 2007 @ 22:17:
[...]

Geen virusscanner of firewall . Omdat dit de PC vertraagde en spelletjes onmogelijk werden zeker....

Dat vraagt maar om 1 ritueel:
Hoofd, mag ik je voorstellen aan Muur?
Muur, mag ik je voorstellen aan Hoofd?

offtopic:
Mja, het is ook niet dat je dan gelijk een virus hebt; het probleem is dat je niet alles zelf tegen kan houden, anders zou ik het ook zonder doen [/me zoekt alvast een geschikte muur ;)[/me]

temp00 schreef op dinsdag 14 augustus 2007 @ 22:33:
Okidokie. Voor de volgende keer is Autoruns van het door MS overgenomen Sysinternals misschien ook wel handig. Hiermee kan je o.a.dingen zien, eruit slopen, uitzetten enz. die met andere (standaard) tooltjes niet te doen zijn. Klein en geen bullshit.
http://www.microsoft.com/...s/Utilities/AutoRuns.mspx

Hmm die kende ik nog niet. Ziet er praktisch uit.. al is het zoveel informatie dat het behoorlijk wat moeite kost om er iets uit te halen wat er niet in hoort als je niet weet waar je naar zoekt.. Hier ga ik volgende keer dat ik zo'n probleem heb eens verder naar kijken

[Verwijderd]

SilentStorm schreef op dinsdag 14 augustus 2007 @ 22:10:

[...]

De alternative data streams heb ik ook op gescanned, maar hier bedoelde ik hijackthis' mogelijkheid (onder misc > generate startuplist, include minor sections) om te checken op alternatieve versies van explorer.exe.

Ik ben/was onbekend met die feature. Het lijkt er echter op dat deze alleen kijkt naar explorer.exe's op andere locaties. Het lijkt in elk geval niet een check op aangepaste bestanden.

[...]

Deze scan is met v7 gedaan. Deze heeft inderdaad een 'rootkit scan' functie, die helaas ook niets vond .. net als die van de andere virusscanners die ik hierboven al geprobeert heb.

Er is (relatief kleine) kans dat het om een rootkit ging in alternative data streams.
Daar scant bijna geen enkele rootkitscanner op - performance neemt een significante duik.
(Dat is de extended rootkit scan switch in v7)

offtopic:
over het oppikken; het bijhouden of kritieke systeembestanden niet gewijzigd worden lijkt me een van de belangrijkste dingen om te doen als je je systeem wilt beschermen tegen ... externe invloeden. Met mijn mogelijk wat naieve wereldblik zou dat een van de eerste dingen zijn die ik in een virusscanner zou bouwen..

Dit soort technologieën zaten in KAV 3.x en 4.x. Het is er echter uitgehaald omdat het alleen voor security experts 'toegankelijk' is. De kans, zeker tegenwoordig, dat een legitieme patch wordt aangezien voor kwaadaardig gedrag is gewoon te groot.

[...]

Zou jij met een systeem zoals deze nog met een veilig gevoel je creditcard gegevens intikken als de smtp spammer er af was?

Ligt eraan. Als ik zelf - of iemand die ik net zo competent acht - verantwoordelijk ben voor de analysis/clean-up - yes.

Het doel van het virus was niet het verkrijgen van dergelijke informatie,

Dat is weldegelijk het doel van Sinowal aka Torpig.

maar zou het niet even 'makkelijk' zijn er een keylogger naast te zetten en mogelijk door een volgende rootkit/abstractielaag laten verstoppen?

De meeste infecties van tegenwoordig volgen vaste patronen.

Als er bijvoorbeeld een alternatieve tcp/ip protocol driver wordt geinstalleerd, kun je dergelijke processen zelfs verborgen houden voor netstat of zelfs pcap..

Er zijn genoeg rootkits die ook het netwerkverkeer verbergen.

Het komt er uiteindelijk allemaal op neer hoeveel tijd en moeite je in het traceren van de infectie wil steken. Als je kan bepalen wat een bepaald bestand kan doen, wil dat het onderzoek ook wel eens bespoedigen. :-)

Ik wil in elk geval benadrukken dat je de opgeslagen/ingetypte wachtwoorden van de betreffende machine asap moet veranderen.

[SilentStorm]

Hmm, dat laatste zal zeker wel gebeuren. Bedankt voor de verdere info en hulp

De pc draait intussen weer een verse installatie. Vreemd was dat de harde schijf niet (goed) benaderbaar was door de windows installatiedisk of de kubuntu livecd die ik hier nog had. (Gaf een aantal block errors). Uiteindelijk heb ik met powermax overal nullen naar de harde schijf geschreven en kon daarna zonder problemen herinstalleren.