[XP] Vreemd geval (gehacked via serv-u)*

[Lightah]

Een paar dagen geleden ging internetten steeds slechter. Nu dacht ik dat m'n Orange Livebox er weer eens de geest aan gaf, maar dat bleek niet de oorzaak. Daarom ging ik m'n pc checken. Ik had een correct ip en dergelijke maar geen netwerkverkeer. Daarna heb ik m gedisabled en weer enabled. Toen ik bij details van m'n lan-verbinding ging kijken stond hij wel verbonden maar was de rest van de informatie (zoals ip en netmask) niet te zien. Het was gewoon blanco. Herstarten enzo hielp niet.

Als ik startte in safemode gingen er een hoop dingen fout en was er allemaal gezeur met services die niet aan konden ofzo... Safe mode met networking werkte iig ook niet.

Tussendoor merkte ik een proces msngr.exe op in c:\windows\system32. Niet helemaal in de haak dacht ik en dat bleek te kloppen. Dit is inmiddels gefixed. Echter was er nog steeds geen netwerkverkeer mogelijk.

Als ik op repair van de lan-verbinding klikte kwam de melding: "... failed to query tcp/ip settings of the connection...."
Via de cmd werkte alles met betrekking tot de netwerkverbindingen gewoon niet. ipconfig gaf ook zulke errors etc.

Ik heb het tcp/ip protocol van de lan-verbinding opnieuw geinstalleerd, de winsock gereset met een programmatje. Dit hielp allemaal niet.

Hierna heb ik via de repair console van XP het bestand c:\windows\system32\drivers\tcpip.sys vervangen. Toen ik hierna bootte werkte mijn lan-verbinding weer. Ik blij natuurlijk maar toen ik m'n serv-u administrator opende kreeg ik weer wat geks. Mijn instellingen waren weg en vervangen door 2 ftp-domains van # Team TPS # Deze waren met een gebruiker ingesteld met rechten op alle mogelijke schijven van een systeem. Ze waren ingesteld op poort 6666 met een paar passive poortjes. Check en check. Nu krijg ik een beetje het idee dat er nog meer 'troep' op m'n systeem moet staan die deze toegang verleend. Als ik de serv-u server opnieuw start zijn mijn eigen settings weer actief.

Verder heb ik nog Hitman Pro gedraait en een aantal virus-scans.

Iemand enig idee wat er op m'n systeem zit verstopt of hoe in m'n systeem gekomen of een andere suggestie?

[pven]

Hoe heb je msngr.exe gefixed?
Heb je Hitnam Pro in de veilige mode gedraaid?

[Lightah]

M.b.v. Kaspersky anti-virus is dat verholpen.

En Hitman heb ik in normale modus gedraaid. Ik zal het nu even in die andere modus doen.

Verder kan ik in de task manager en msconfig geen rare processen ontdekken.

[pven]

Wellicht een dooddoener: als een PC eenmaal besmet is geweest, dan is het niet meer te vertrouwen. Het meest sllimme is een verse installatie.

[Lightah]

Ja daar was ik ook al bang voor...

Ik probeer dat eigenlijk te voorkomen. Het kost zoveel tijd om alle tools weer erop te zetten en naar wens aan te passen. Volgende keer maar weer een schone image maken.

[leuk_he]

Lightah schreef op woensdag 14 november 2007 @ 22:23:

Verder kan ik in de task manager en msconfig geen rare processen ontdekken.

Ik zou met de faq van beveiling en virussen in de hand ook maar hijackthis draaien. men kan ook nog tools gebruikt hebben die karspasky niet (kan) kennen.

Eigenlijk is het beste advies dat nadat je gehackt bent een reinstaintalltie te doen. Maar dat kun je zelf het beste beoordelen.

[alt-92]

leuk_he schreef op woensdag 14 november 2007 @ 22:27:
[...]


Ik zou met de faq van beveiling en virussen in de hand ook maar hijackthis draaien. men kan ook nog tools gebruikt hebben die karspasky niet (kan) kennen.

En daarom verplaats ik het topic ook daarnaartoe

Eigenlijk is het beste advies dat nadat je gehackt bent een re installatie te doen. Maar dat kun je zelf het beste beoordelen.

Tja, kwestie van afvragen of je je doos nog wel durft te vertrouwen
Maar dat is iets wat TS inderdaad zelf moet beoordelen.

[pven]

alt-92 schreef op woensdag 14 november 2007 @ 23:03:
Tja, kwestie van afvragen of je je doos nog wel durft te vertrouwen
Maar dat is iets wat TS inderdaad zelf moet beoordelen.

offtopic:
Ben ik erg ziek bezig als ik de eerste zin eerst 'iets' anders interpreteerde?

[sjongenelen]

heb je je logs van je FTP server nog? dan kun je mooi het IP achterhalen en een klacht mailen naar de provider (nadat je m getraced hebt)

[Greyh0und]

pven schreef op woensdag 14 november 2007 @ 23:05:
[...]

offtopic:
Ben ik erg ziek bezig als ik de eerste zin eerst 'iets' anders interpreteerde?

offtopic:
nee hoor, ik had ookal zoiets van "heh?".

[Brainsz]

Dat is echt jammer, maar hoe schoon je denkt dat je je pc hebt gemaakt, er blijven meestal altijd troep over.
Slimste wat je kan doen is toch even de tijd nemen om een verse instal erop te gooien.

[alt-92]

offtopic:
Stelletje zieke geesten ook, 't is geen HK hier hoor.

[DiedX]

alt-92 schreef op woensdag 14 november 2007 @ 23:32:

offtopic:
Stelletje zieke geesten ook, 't is geen HK hier hoor.

* DiedX mist iets, of je doelt op de screenshots van de TS? Too many nigga's?

[Rhannie]

DiedX schreef op woensdag 14 november 2007 @ 23:37:
[...]

* DiedX mist iets, of je doelt op de screenshots van de TS? Too many nigga's?

Tja, kwestie van afvragen of je je doos nog wel durft te vertrouwen

offtopic:
Als ik dat nog verder uit moet leggen, ben je eigenlijk niet meer te redden

[alt-92]

Kunnen we ook gewoon ontopic blijven? Dan heeft de topicstarter er ook nog wat aan namelijk.

[ Voor 36% gewijzigd door alt-92 op 14-11-2007 23:43 ]

[consolefreak]

ik zou zeer aanraden je pc opnieuw te installeren, dit soort mensen maken vaak gebruik van rootkits en die kan bij jou dus ook dit probleem hebben veroorzaakt! Gebruik dan ook niet dezelfde windowswachtwoord aangezien dit simpel te fetchen is en binnen 10 min te kraken is dan

[ Voor 27% gewijzigd door consolefreak op 14-11-2007 23:45 ]

[DiedX]

Ik ben het eens met consolefreak en mods. Het windows-wachtwoord heeft hier weinig aan toe te voegen: gehackt is gehackt. Draai je patches, en indien noodzakelijk een firewall... Maar dat is redelijk gesneden koek...

[chromeeh]

*kopt in* Hijack this log?

[consolefreak]

DiedX schreef op woensdag 14 november 2007 @ 23:49:
Ik ben het eens met consolefreak en mods. Het windows-wachtwoord heeft hier weinig aan toe te voegen: gehackt is gehackt. Draai je patches, en indien noodzakelijk een firewall... Maar dat is redelijk gesneden koek...

indien je niet weer gehackt wil worden is dit ZEER aan te raden aangezien als ze dit eenmaal weten ze makkelijk weer terug kunnen komen, ik spreek uit ervaring

[pasta]

Mocht je besluiten om niet het meest verstandige te gaan uitvoeren (dat wil zeggen, toch gewoon herinstalleren) zou je misschien kunnen kijken met een tool als Rootkit Revealer of Blacklight of je zo de rootkit ongedaan kunt krijgen. Let wel op wat je hier allemaal aan system settings verandert, want niet alles hoeft per definitie malware te zijn en dit kan dus ook je systeem om zeep helpen.

[Lightah]

Bedankt voor het meedenken!

De rootkit revealer had ik al geprobeerd en die andere net gedraait maar kan niet echt wat ontdekken.

Binnenkort als ik even wat tijd over heb ga ik het maar opnieuw installeren.