Waarschijnlijk een virus, maar onvindbaar.

[MADG0BLIN]

Wij hebben sinds vanochtend nogal een probleem. We kwamen er achter dat onze 3 terminal servers erg traag waren.
Na enig onderzoek kwamen we erachter dat er bepaalde processen draaiden als de gebruikers ingelogd waren.

Deze processen zagen er allemaal anders uit. De namen bestaan random uit nummers en cijfers.
Bijvoorbeeld 117d3fc.exe.
Deze worden gestart door een andere exe. Deze beginnen allemaal met de letter w maar zijn ook volledig random.
Bijvoorbeeld winbkqj.exe, wincacrji.exe, winprmd.exe. Deze staan allemaal in de temp directory van de gebruiker.

Deze files hebben we gescand met onze up to date virusscanner. We maken gebruik van Eset / NOD32 Business Edition. Deze vond niets. Daarna gescand via http://virusscan.jotti.org.

Daar kwam het volgende uit:

A-Squared Found nothing
AntiVir Found HEUR/Malware
ArcaVir Found nothing
Avast Found Win32:Agent-QNK
AVG Antivirus Found Proxy.ABAC
BitDefender Found Generic.Malware.FYd.DD14D512 (probable variant)
ClamAV Found nothing
CPsecure Found nothing
Dr.Web Found Trojan.Spambot.origin
F-Prot Antivirus Found nothing
F-Secure Anti-Virus Found nothing
Fortinet Found nothing
Ikarus Found nothing
Kaspersky Anti-Virus Found nothing
NOD32 Found nothing
Norman Virus Control Found W32/Horst.gen33
Panda Antivirus Found nothing
Sophos Antivirus Found nothing
VirusBuster Found nothing
VBA32 Found nothing

En ook maar even via virustotal.com gescand. Vind hij ongeveer hetzelfde. Als ik dan zoek op de namen van de virussen op de websites of google is er vrij weinig te vinden... Begin wat moedeloos te worden.

Antivirus Version Last Update Result
AhnLab-V3 2008.4.15.1 2008.04.15 -
AntiVir 7.6.0.85 2008.04.15 HEUR/Malware
Authentium 4.93.8 2008.04.14 -
Avast 4.8.1169.0 2008.04.15 Win32:Agent-QNK
AVG 7.5.0.516 2008.04.15 Proxy.ABAC
BitDefender 7.2 2008.04.15 Generic.Malware.FYd.DD14D512
CAT-QuickHeal 9.50 2008.04.14 -
ClamAV 0.92.1 2008.04.15 -
DrWeb 4.44.0.09170 2008.04.15 Trojan.Spambot.origin
eSafe 7.0.15.0 2008.04.09 suspicious Trojan/Worm
eTrust-Vet 31.3.5700 2008.04.15 -
Ewido 4.0 2008.04.15 -
F-Prot 4.4.2.54 2008.04.14 -
F-Secure 6.70.13260.0 2008.04.15 W32/Horst.gen33
FileAdvisor 1 2008.04.15 -
Fortinet 3.14.0.0 2008.04.15 -
Ikarus T3.1.1.26 2008.04.15 Virus.Win32.Agent.QNK
Kaspersky 7.0.0.125 2008.04.15 -
McAfee 5273 2008.04.14 -
Microsoft 1.3408 2008.04.14 Trojan:Win32/Pramro.A
NOD32v2 3027 2008.04.15 -
Norman 5.80.02 2008.04.15 W32/Horst.gen33
Panda 9.0.0.4 2008.04.14 Suspicious file
Prevx1 V2 2008.04.15 Generic.Malware
Rising 20.40.11.00 2008.04.15 -
Sophos 4.28.0 2008.04.15 -
Sunbelt 3.0.1041.0 2008.04.12 -
Symantec 10 2008.04.15 -
TheHacker 6.2.92.277 2008.04.14 -
VBA32 3.12.6.4 2008.04.14 -
VirusBuster 4.3.26:9 2008.04.15 -
Webwasher-Gateway 6.6.2 2008.04.15 Heuristic.Malware

Ook gekeken met filemon, regmon en process explorer, maar we kunnen maar niet achterhalen hoe deze files opgeroepen worden.
Ik ben nu bezig om the cleaner en rootkitrevealer van microsoft erover te halen. Deze hebben tot nu toe niets gevonden.
Ook met hijackthis gezocht, niets gevonden. Registry en startup directory's doorzocht, staat ook niets in.

Ook hierbij de hijackthis log file. Maar staat volgens mij niets vreemds in.

code:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 17:00:32, on 15-04-2008
Platform: Windows 2003 SP2 (WinNT 5.02.3790)
MSIE: Internet Explorer v7.00 (7.00.6000.16608)
Boot mode: Normal

Running processes:
C:\Documents and Settings\Administrator.SINKE\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Citrix\Licensing\LS\lmgrd.exe
C:\Program Files\Citrix\Licensing\LicWMI\Citrix_GTLicensingProv.exe
C:\Program Files\Citrix\system32\CpSvc.exe
C:\Program Files\Citrix\Licensing\LMC\Tomcat\bin\tomcat.exe
C:\Program Files\Citrix\Licensing\LS\CITRIX.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\inetsrv\inetinfo.exe
C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\System32\snmp.exe
C:\WINDOWS\system32\lserver.exe
C:\Program Files\UPHClean\uphclean.exe
C:\Program Files\TightVNC\WinVNC.exe
C:\Program Files\Citrix\Installer\AgentSVC.exe
C:\Program Files\Citrix\Installer\saginst.exe
C:\Program Files\Citrix\system32\cdmsvc.exe
C:\Program Files\Citrix\system32\encsvc.exe
C:\Program Files\Citrix\System32\Citrix\Ima\ImaSrv.exe
C:\Program Files\Citrix\System32\mfcom.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Citrix\Sma\SmaService.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\dmadmin.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Citrix\Server Resource Management\CPU Utilization Management\bin\ctxcpusched.exe
C:\Program Files\Citrix\Server Resource Management\CPU Utilization Management\bin\ctxcpuusync.exe
C:\Program Files\Citrix\Server Resource Management\Memory Optimization Management\Program\CtxSFOSvc.exe
C:\Program Files\Citrix\system32\citrix\WMI\ctxwmisvc.exe
C:\Program Files\Citrix\ICA Client\ssonsvr.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\GIM\Client\bin\GIM.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Canon\DIAS\CnxDIAS.exe
C:\Program Files\ESET\ESET NOD32 Antivirus\ekrn.exe
C:\Program Files\ESET\ESET NOD32 Antivirus\egui.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\rdpclip.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Documents and Settings\Administrator.SINKE\Desktop\Windows-KB890830-V1.40.exe
d:\bb7cebd448804cbc53eca737\mrtstub.exe
C:\WINDOWS\system32\MRT.exe
C:\WINDOWS\system32\msiexec.exe
C:\Documents and Settings\Administrator.SINKE\Desktop\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = res://shdoclc.dll/softAdmin.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.nl/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://intranet.sinke.local.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = C:\WINDOWS\system32\blank.htm
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 10.22.111.22:3128
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O4 - HKLM\..\Run: [IcaBar] "C:\Program Files\Citrix\system32\icabar.exe" /adminonly
O4 - HKLM\..\Run: [GIM] C:\Program Files\GIM\Client\bin\GIM.exe
O4 - HKLM\..\Run: [McAfeeUpdaterUI] "C:\Program Files\McAfee\Common Framework\UdaterUI.exe" /StartedFromRunKey
O4 - HKLM\..\Run: [egui] "C:\Program Files\ESET\ESET NOD32 Antivirus\egui.exe" /hide /waitservice
O4 - HKUS\S-1-5-19\..\RunOnce: [tscuninstall] %systemroot%\system32\tscupgrd.exe (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\RunOnce: [tscuninstall] %systemroot%\system32\tscupgrd.exe (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\Run: []  (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [tscuninstall] %systemroot%\system32\tscupgrd.exe (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: []  (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [tscuninstall] %systemroot%\system32\tscupgrd.exe (User 'Default user')
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~1\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Onderzoek - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~1\OFFICE11\REFIEBAR.DLL
O10 - Broken Internet access because of LSP provider 'c:\documents and settings\administrator.sinke\windows\system32\mswsock.dll' missing
O15 - ESC Trusted Zone: http://ardownload.adobe.com
O15 - ESC Trusted Zone: http://www.adobe.com
O15 - ESC Trusted Zone: http://www.cdsassuradeuren.nl
O15 - ESC Trusted Zone: http://runonce.msn.com
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1134386653781
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1134392381225
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = sinke.local.com
O17 - HKLM\Software\..\Telephony: DomainName = sinke.local.com
O17 - HKLM\System\CCS\Services\Tcpip\..\{F99FE80C-0423-425F-8B87-6E35CA92B57C}: NameServer = 10.22.111.21
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = sinke.local.com
O20 - AppInit_DLLs: RMProcessLink.dll,mfaphook.dll zlc_api.dll
O23 - Service: ADF Installer Service (ADF Installer) - Citrix Systems, Inc. - C:\Program Files\Citrix\Installer\AgentSVC.exe
O23 - Service: Canon Driver Information Assist Service - CANON INC. - C:\Program Files\Canon\DIAS\CnxDIAS.exe
O23 - Service: Diagnostic Facility COM Server (CdfSvc) - Citrix Systems, Inc. - C:\Program Files\Common Files\Citrix\System32\CdfSvc.exe
O23 - Service: Client Network (CdmService) - Citrix Systems, Inc. - C:\Program Files\Citrix\system32\cdmsvc.exe
O23 - Service: Citrix SMA Service - Citrix Systems Inc. - C:\Program Files\Citrix\Sma\SmaService.exe
O23 - Service: Citrix Virtual Memory Optimization - Citrix Systems, Inc. - C:\Program Files\Citrix\Server Resource Management\Memory Optimization Management\Program\CtxSFOSvc.exe
O23 - Service: CitrixLicensing - Macrovision Corporation - C:\Program Files\Citrix\Licensing\LS\lmgrd.exe
O23 - Service: Citrix WMI Service (CitrixWMIService) - Citrix Systems, Inc. - C:\Program Files\Citrix\system32\citrix\WMI\ctxwmisvc.exe
O23 - Service: Citrix XTE Server (CitrixXTEServer) - Citrix Systems, Inc. - C:\Program Files\Citrix\XTE\bin\XTE.exe
O23 - Service: Citrix Licensing WMI  (Citrix_GTLicensingProv) - Unknown owner - C:\Program Files\Citrix\Licensing\LicWMI\Citrix_GTLicensingProv.exe
O23 - Service: Citrix Print Manager Service (cpsvc) - Citrix Systems, Inc. - C:\Program Files\Citrix\system32\CpSvc.exe
O23 - Service: Citrix CPU Utilization Mgmt/CPU Rebalancer (CTXCPUBal) - Aurema Pty Limited - C:\Program Files\Citrix\Server Resource Management\CPU Utilization Management\bin\ctxcpubal.exe
O23 - Service: Citrix CPU Utilization Mgmt/Resource Mgmt (ctxcpuSched) - Aurema Pty Limited - C:\Program Files\Citrix\Server Resource Management\CPU Utilization Management\bin\ctxcpusched.exe
O23 - Service: Citrix CPU Utilization Mgmt/User-Session Sync (CTXCPUUsync) - Aurema Pty Limited - C:\Program Files\Citrix\Server Resource Management\CPU Utilization Management\bin\ctxcpuusync.exe
O23 - Service: License Management Console for Citrix Licensing (CTXLMC) - Alexandria Software Consulting - C:\Program Files\Citrix\Licensing\LMC\Tomcat\bin\tomcat.exe
O23 - Service: Eset HTTP Server (EhttpSrv) - ESET - C:\Program Files\ESET\ESET NOD32 Antivirus\EHttpSrv.exe
O23 - Service: Eset Service (ekrn) - ESET - C:\Program Files\ESET\ESET NOD32 Antivirus\ekrn.exe
O23 - Service: Encryption Service - Citrix Systems, Inc. - C:\Program Files\Citrix\system32\encsvc.exe
O23 - Service: Independent Management Architecture (IMAService) - Citrix Systems, Inc. - C:\Program Files\Citrix\System32\Citrix\Ima\ImaSrv.exe
O23 - Service: MetaFrame COM Server (MFCom) - Citrix Systems, Inc. - C:\Program Files\Citrix\System32\mfcom.exe
O23 - Service: CCS Databaseservers (ProService9.1D) - Unknown owner - C:\Program Files\PROGRESS\DLC91D\BIN\PROSRVC.EXE (file missing)
O23 - Service: Resource Manager Mail (ResourceManagerMail) - Citrix Systems, Inc. - C:\Program Files\Citrix\System32\Citrix\IMA\MailService.exe
O23 - Service: winvnc - TightVNC Group - C:\Program Files\TightVNC\WinVNC.exe

--
End of file - 9061 bytes

De files zijn ook al naar mcafee, eset gestuurd voor onderzoek, maar daar hebben we nog niets over gehoord.

Hebben anderen nog eventuele ideeën?

[ Voor 100% gewijzigd door MADG0BLIN op 15-04-2008 17:02 ]

[Arthas]

C:\Documents and Settings\Administrator.SINKE\WINDOWS\System32\smss.exe, heb je die daar zelf neer gezet?
Is dit bestand Microsoft genuine?: d:\bb7cebd448804cbc53eca737\mrtstub.exe? Het is normaal een onderdeel van Microsoft Malicious Ware Removal. Alleen de positie komt me vreemd voor, ook met die rare mapnaam.

O10 - Broken Internet access because of LSP provider 'c:\documents and settings\administrator.sinke\windows\system32\mswsock.dll' missing, kun je het beste repareren met LSPfix.

[MADG0BLIN]

Arthas schreef op dinsdag 15 april 2008 @ 17:49:
C:\Documents and Settings\Administrator.SINKE\WINDOWS\System32\smss.exe, heb je die daar zelf neer gezet?

Nee, dat niet. Maar nu ik ga zoeken is de map system32 daar niet te vinden.

Is dit bestand Microsoft genuine?: d:\bb7cebd448804cbc53eca737\mrtstub.exe? Het is normaal een onderdeel van Microsoft Malicious Ware Removal. Alleen de positie komt me vreemd voor, ook met die rare mapnaam.

Dit klopt, ik heb hem direct vanaf een download link gedraait. Hij heeft trouwens niets gevonden.

O10 - Broken Internet access because of LSP provider 'c:\documents and settings\administrator.sinke\windows\system32\mswsock.dll' missing, kun je het beste repareren met LSPfix.

Zou dit hiermee te maken kunnen hebben of is dit een los staand probleem.
De map system32 staat niet op die locatie namelijk.

[Arthas]

MADG0BLIN schreef op dinsdag 15 april 2008 @ 17:56:
[...]
Nee, dat niet. Maar nu ik ga zoeken is de map system32 daar niet te vinden.
[...]
Dit klopt, ik heb hem direct vanaf een download link gedraait. Hij heeft trouwens niets gevonden.
[...]
Zou dit hiermee te maken kunnen hebben of is dit een los staand probleem.
De map system32 staat niet op die locatie namelijk.

Het verschijnen van een map system32 in je doc en settings is sowieso al vreemd. De enig goede plek zou normaal zijn in de C:\Windows directory. Maar misschien dat het komt doordat je de MRT rechtstreeks van de link hebt gedraaid.
Wat je zou kunnen doen, is het gratis AntiVir gebruiken om te zien of deze de Horst.gen33 trojan weer kunt vinden en dan ook te verwijderen. Deze zou naar voren moeten komen als HEUR.Malware als deze nog aanwezig is.

[F_J_K]

Of het in een TermServer ook zo is weet ik zonder spieken niet 100% zeker, maar in de regel is smss.exe op die locatie niet de bedoeling

Los daarvan wil je natuurlijk voorlopig geen backups weggooien en na identificatie van malware en gat waardoor het binnenkwam (leermoment) de server leeggooien en schoon opnieuw beginnen.

Kijk evt ook met (Windows, anti-) rootkit tools.

[MADG0BLIN]

F_J_K schreef op dinsdag 15 april 2008 @ 18:33:
Of het in een TermServer ook zo is weet ik zonder spieken niet 100% zeker, maar in de regel is smss.exe op die locatie niet de bedoeling

Los daarvan wil je natuurlijk voorlopig geen backups weggooien en na identificatie van malware en gat waardoor het binnenkwam (leermoment) de server leeggooien en schoon opnieuw beginnen.

Kijk evt ook met (Windows, anti-) rootkit tools.

Die smss.exe staat er ook niet meer. Heb het gevoel dat het kwam door die microsoft scan.

Backups hebben we gelukkig nog tot een hele tijd terug. Probleem is inderdaad nu dat we niet kunnen vinden wat het exact is en waar het exact is binnen gekomen.

We hebben de rootkit van sysinternals gebruikt.

Daar kwam dit uit:

code:

HKLM\SECURITY\Policy\Secrets\SAC*   12-12-2005 11:58    0 bytes Key name contains embedded nulls (*)
HKLM\SECURITY\Policy\Secrets\SAI*   12-12-2005 11:58    0 bytes Key name contains embedded nulls (*)
HKLM\SECURITY\Policy\Secrets\SCM:{148f1a14-53f3-4074-a573-e1ccd344e1d0}*    12-12-2005 23:31    0 bytes Key name contains embedded nulls (*)
HKLM\SECURITY\Policy\Secrets\SCM:{3D14228D-FBE1-11D0-995D-00C04FD919C1}*    12-12-2005 17:08    0 bytes Key name contains embedded nulls (*)
HKLM\SECURITY\Policy\Secrets\SCM:{76db1bf3-e820-4765-a1b2-0b16a86b1950}*    23-10-2007 20:43    0 bytes Key name contains embedded nulls (*)
HKLM\SECURITY\Policy\Secrets\SCM:{BBBF5400-E091-11D8-AD76-005056C00008}*    12-12-2005 16:54    0 bytes Key name contains embedded nulls (*)
HKLM\SECURITY\Policy\Secrets\SCM:{EC141AA5-2FCB-4A70-BBA0-025B6A2A626E}*    12-12-2005 16:54    0 bytes Key name contains embedded nulls (*)
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Reliability\LastAliveUptime  15-04-2008 15:34    4 bytes Data mismatch between Windows API and raw hive data.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Reliability\LastAliveStamp   15-04-2008 15:34    16 bytes    Data mismatch between Windows API and raw hive data.
C:\Documents and Settings\Administrator.SINKE\Local Settings\Temp\117d3fc.exe   15-04-2008 16:04    10.35 KB    Hidden from Windows API.
C:\Documents and Settings\Administrator.SINKE\Local Settings\Temporary Internet Files\Content.IE5\EJ2BQD23\google_nl[1].htm 15-04-2008 15:52    6.86 KB Hidden from Windows API.
C:\Documents and Settings\Administrator.SINKE\Local Settings\Temporary Internet Files\Content.IE5\EJ2BQD23\google_nl[2].htm 15-04-2008 14:50    6.86 KB Visible in Windows API, but not in MFT or directory index.
C:\Documents and Settings\All Users\Application Data\ESET\ESET NOD32 Antivirus\Updfiles\oldfiles\em000_32.dat   15-04-2008 14:58    48.26 KB    Visible in Windows API, but not in MFT or directory index.
C:\Documents and Settings\All Users\Application Data\ESET\ESET NOD32 Antivirus\Updfiles\oldfiles\em001_32.dat   15-04-2008 14:58    298.93 KB   Visible in Windows API, but not in MFT or directory index.
C:\Documents and Settings\All Users\Application Data\ESET\ESET NOD32 Antivirus\Updfiles\oldfiles\em002_32.dat   15-04-2008 14:59    8.50 MB Visible in Windows API, but not in MFT or directory index.
C:\Documents and Settings\All Users\Application Data\ESET\ESET NOD32 Antivirus\Updfiles\oldfiles\em003_32.dat   15-04-2008 14:59    203.77 KB   Visible in Windows API, but not in MFT or directory index.
C:\Documents and Settings\All Users\Application Data\ESET\ESET NOD32 Antivirus\Updfiles\oldfiles\em005_32.dat   15-04-2008 14:59    37.03 KB    Visible in Windows API, but not in MFT or directory index.
C:\Documents and Settings\All Users\Application Data\ESET\ESET NOD32 Antivirus\Updfiles\temp\em000_32.dat   15-04-2008 14:59    48.15 KB    Visible in Windows API, but not in MFT or directory index.
C:\Documents and Settings\All Users\Application Data\ESET\ESET NOD32 Antivirus\Updfiles\temp\em001_32.dat   15-04-2008 14:59    300.36 KB   Visible in Windows API, but not in MFT or directory index.
C:\Documents and Settings\All Users\Application Data\ESET\ESET NOD32 Antivirus\Updfiles\temp\em002_32.dat   15-04-2008 14:59    8.68 MB Visible in Windows API, but not in MFT or directory index.
C:\Documents and Settings\All Users\Application Data\ESET\ESET NOD32 Antivirus\Updfiles\temp\em003_32.dat   15-04-2008 14:59    210.65 KB   Visible in Windows API, but not in MFT or directory index.
C:\Documents and Settings\All Users\Application Data\ESET\ESET NOD32 Antivirus\Updfiles\temp\em005_32.dat   15-04-2008 14:59    38.11 KB    Visible in Windows API, but not in MFT or directory index.

[F_J_K]

Wat dus meteen keurig aangeeft dat het niet snor zit, maar die executable is vast niet het enige.

Check die GUID's even; kijk ook naar iets als www.f-secure.com/blacklight

[soulrider]

bekijk je connectie-logs, en systemlogs (en ev. router- en firewall-logs)
mogelijk vind je daardoor wie die file's erop heeft gezet, en ev. gestart heeft en ook hoe.

op die manier kan je dan ook weer vinden wat er nog meer aangepast is, en ev. zelfs hoe je hem terug eraf krijgt. snif op of van 1 van de servers ook het netwerkverkeer, mss is het een "stepstone tot een botnet" of dergelijken. - om maar aan te geven dat je op verschillende manieren moet gaan denken om te zien wat die programma's eigenlijk doen. Laat ev. ook een seintje uitgaan naar je legale gebruikers dat zoiets gebeurd is, en dat onderzoek bezig is.

Mocht het 1 van hen zijn, komt ie misschien wel op kousenvoeten af

Maar zoek eerder naar oorzaak, voordat je gaat schade-beperken (door die file's te verwijderen - scherm de rest wel meer af), anders blijf je gewoon bezig. (exploit stoppen voordat je de binnengekomen troep opkuisd - weet je ook zo of je goed gepached hebt)

[Anoniem: 190713]

Wij hebben op moment het zelfde probleem. tot op heden nog geen oplossing kunnen vinden.
Hebben alle werkstation uit het netwerk gehaald en zijn nu de servers aan het scannen. Ook nog geen tool kunnen vinden om het te kunnen verwijderen

Blacklight van F-Secure vind ook niks

[ Voor 7% gewijzigd door Anoniem: 190713 op 15-04-2008 19:03 ]

[MADG0BLIN]

Anoniem: 190713 schreef op dinsdag 15 april 2008 @ 19:01:
Wij hebben op moment het zelfde probleem. tot op heden nog geen oplossing kunnen vinden.
Hebben alle werkstation uit het netwerk gehaald en zijn nu de servers aan het scannen. Ook nog geen tool kunnen vinden om het te kunnen verwijderen

Blacklight van F-Secure vind ook niks

Hoe lang hebben jullie dit probleem al? Ik zal hier zowieso laten weten als ik wat vind, wil jij dat ook doen?


Extra info. Ik heb hier zowieso 1 server staan die verder prima functioneert. Heb hierop Mcafee staan en daarmee de schijf gescand van 1 van de geinfecteerden.
Hieruit komen de volgende infecties:
regsvr32.exe
cb32.exe
cmdl32.exe
cmmon32.exe
icwconn2.exe
net1.exe
regsvr32.exe
setup50.exe
wb32.exe

Allen uit c:\windows\$NtServicePackUninstall$

Hij zegt ze te detecteren als New Malware.ew . Een trojan.

Ik zal ook eens de logs langs lopen. Lastige is dat ik niet precies weet op welke server het begonnen is. Heb er 3 die tegelijk begonnen zijn.

[ Voor 31% gewijzigd door MADG0BLIN op 15-04-2008 19:10 ]

[Anoniem: 190713]

Ja. Wij hebben dit probleem ook sinds vandaag.
Ga nu met Mcafee naar een werkstation waar we zeker weten dat die geinfecteerd is en kijken wat er gebeurd

[Anoniem: 194828]

Scan eens met Prevx CSI
Die heeft een zéér goede detectie. Voor het verwijderen van malware heb je een licentie nodig, maar je kunt in ieder geval zien welk bestand er wordt gedetecteerd en het dan eventueel handmatig verwijderen. Wanneer er iets wordt gevonden met Prevx CSI controleer dan de informatie over die gedetecteerde bestanden in de online database van Prevx. Rechtsklikkken op CSI icoontje in systemtray en kiezen voor view results of last scan online.

[DeMoN]

Autoruns van sysinternals (nu MS) gebruiken, vervolgens tabblad everything selecteren en dan al scrollend en lezend naar beneden gaan en check wie de manufacturer is, alles wat niet van MS is extra aandacht geven. Waarschijnlijk is dit iets dat echt diep in het systeem direct aan een of andere .dll zit gekoppeld.
Heb zelf ook eens met dit soort zooi te maken gehad, troep dat op kernel niveau zit ingevreten kan tricky zijn.
Zoals ook al eerder geopperd, check eens met een sniffer wat er allemaal naar buiten de lijn op vliegt vanaf die servers, grote kans dat je een spambot oid bent.

[MADG0BLIN]

Anoniem: 194828 schreef op dinsdag 15 april 2008 @ 19:15:
Scan eens met Prevx CSI
Die heeft een zéér goede detectie. Voor het verwijderen van malware heb je een licentie nodig, maar je kunt in ieder geval zien welk bestand er wordt gedetecteerd en het dan eventueel handmatig verwijderen. Wanneer er iets wordt gevonden met Prevx CSI controleer dan de informatie over die gedetecteerde bestanden in de online database van Prevx. Rechtsklikkken op CSI icoontje in systemtray en kiezen voor view results of last scan online.

Hier vindt hij inderdaad meer mee.
Hij noemt het Malware.Gen.

Dit is de omschrijving die ik krijg van de prevx website. Wil best een licentie kopen, maar is nog behoorlijk prijzig voor een hele omgeving.

WINPGDL.EXE
Disagree with this determination?
This executable program has a file size of 26,624 bytes, it is most frequently called WINPGDL.EXE and is most frequently located in the %temp%\ folder.
This file is considered unsafe. It was first seen on Monday, Apr 14 2008. It has been seen frequently by 10 users in this section of the community.
WINPGDL.EXE has been seen to perform the following behaviors:
- The Process is packed and/or encrypted using a software packing process
- Creates a TCP port which listens and is available for communication initiated by other computers
- Sends email using SMTP protocols
- Can communicate with other computer systems using HTTP protocols
- Changes Windows Firewall Control Settings to allow itself to communicate with other computers
- Registers a Dynamic Link Library File
WINPGDL.EXE has been the subject of the following behaviors:
- Executed as a Process
- Created as a process on disk
- Executed from Temporary Folders
- Has code inserted into its Virtual Memory space by other programs

[MADG0BLIN]

Met prevx blijft het probleem. Het is een vicieuze cirkel.

1. Hij vindt hem, verwijdert hem, hij komt weer terug.
2. Opnieuw verwijderen, is in gebruik, reboot, GOTO 1.

[Anoniem: 190713]

Let op. Er wordt in het register een aantal dingen aangepast. Dit is te zien in de log file. Aangezien de werkstations aangeven dat er wat veranderd is. En dat gaat dan over firewall policy die veranderd wordt. Maar let op dit betreft dus de werkstations.

[Anoniem: 190713]

als de file in gebruik is kun je proberen hem te renamen. En daarna na de boot verwijderen.

[MADG0BLIN]

Wat wordt er precies aangepast? En welke log file bedoel je exact?
De firewall wordt hier trouwens op de servers ook telkens uitgezet.

Begin nu echt te balen. We zitten nu te twijfelen tussen reinstall van alles of doorzoeken naar een manier om te verwijderen.

Punt bij reinstall is dat het om 1 domain controller gaat die moet blijven werken. Dus moet er eerst een andere worden geinstalleerd. Ook staan er 3 terminal servers nu niets te doen hierdoor. 85 man kan dus morgen gewoon niet werken.... Daarnaast nog een aantal werkstations + 1 andere fileserver.

Anoniem: 190713 schreef op dinsdag 15 april 2008 @ 20:42:
als de file in gebruik is kun je proberen hem te renamen. En daarna na de boot verwijderen.

Dit werkt niet. Al geprobeerd.

[ Voor 17% gewijzigd door MADG0BLIN op 15-04-2008 20:45 ]

[F_J_K]

Maak een volledig image, dan kan je later nog analyseren hoe en wat. Misschien verstandig om anders vanavond (joepie, nachtwerk ) zorgen dat de productie weer in de lucht is. Formatteren wil je IMHO hoe dan ook, omdat je hoe dan ook geen garanties zal krijgen dat er niets achter is gebleven.

[Anoniem: 194828]

Heb je de PX5ex of PX5 code die Prevx aan het bestand geeft?
Staat ergens in de link wanneer je de resultaten online bekijkt.

[MADG0BLIN]

Dit is de link die ik krijg:

http://info.prevx.com/abo...?PX5Ex=390707585693018690

[Anoniem: 194828]

Installeer op 1 werkstation dat geïnfecteerd is een (trial-versie van) goede firewall, een IDS als Mamutu of Threatfire en kijk of je zo de bron van de infectie kunt achterhalen.

[Anoniem: 194828]

Het kan ook geen kwaad om een verdacht uitvoerbaar bestand te laten analyseren hier bij Sunbelt en hier bij ThreatExpert . je krijgt dan een rapport ( en weblink naar het rapport online) met daarin veel informatie over de dingen die zo'n bestand allemaal uitvreet op het systeem.

Vooral het rapport van Sunbelt is zeer gedetailleerd.

[ Voor 4% gewijzigd door Anoniem: 194828 op 15-04-2008 21:31 ]

[TeGek]

Doet me erg denken aan de Dload.exe die ik enige tijd geleden had.

Sophos had dat met een remote scan kunnen oplossen, Is dit misschien een optie bij jou? Je anti-virus een scan laten plegen op \\Server\c$,d$, en de andere disks?

[MADG0BLIN]

TeGek schreef op dinsdag 15 april 2008 @ 21:52:
Doet me erg denken aan de Dload.exe die ik enige tijd geleden had.

Sophos had dat met een remote scan kunnen oplossen, Is dit misschien een optie bij jou? Je anti-virus een scan laten plegen op \\Server\c$,d$, en de andere disks?

Heb ik al geprobeerd. Helpt niet.

[Petervanakelyen]

Installeer eens een firewalletje, om te kijken wat er allemaal probeert verbinding te maken.
Verder zie ik dat veel bestanden zich nestelen in je Temp map. Bestanden die je niet gedelete krijgt verwijderen met KillBox. Gratis, en goede firewall:
Sygate. Tool om een hoop brol te verwijderen: CCleaner

PS: Vergeet niet de Yahoo! Toolbar uit te vinken bij CCleaner.

[MADG0BLIN]

Ben nu inmiddels op onze vmware box een nieuwe windows 2003 installatie aan het doen. De DC is ook besmet. Hopelijk kan ik de FSMO roles nog fatsoenlijk verplaatsen evenals hem GC maken. Zou al een stuk schelen.

Als iemand nog geniale ideeën heeft dan hoor ik ze graag. Ben momenteel voor alles in.

Die sygate firewall geinstalleerd op 1 van de servers. Wil niet eens meer opstarten. Toch bedankt voor de tip.

[ Voor 15% gewijzigd door MADG0BLIN op 15-04-2008 22:42 ]

[DeMoN]

MADG0BLIN schreef op dinsdag 15 april 2008 @ 22:27:
Als iemand nog geniale ideeën heeft dan hoor ik ze graag. Ben momenteel voor alles in.

Mijn idee al geprobeerd met Autoruns?
Zoals ik al zei, zo heb ik ook eens een kernelvirus op kunnen snorren

[MADG0BLIN]

DeMoN schreef op dinsdag 15 april 2008 @ 22:48:
[...]


Mijn idee al geprobeerd met Autoruns?
Zoals ik al zei, zo heb ik ook eens een kernelvirus op kunnen snorren

Ja sorry. Ook al geprobeerd. Ongeveer alles uit gezet. Hielp ook niet. Toch bedankt voor de tip.
Heb overigens bijna alle sys internal tools nagekeken om iets te kunnen vinden.

[frickY]

MADG0BLIN schreef op dinsdag 15 april 2008 @ 20:20:
Met prevx blijft het probleem. Het is een vicieuze cirkel.

1. Hij vindt hem, verwijdert hem, hij komt weer terug.
2. Opnieuw verwijderen, is in gebruik, reboot, GOTO 1.

Heb dit vaker gezien. Meestal draait er een loader die op meerdere manieren wordt opgestart. Als service, als Run, of als uitvoerende voor een bepaalde extensie (zoals .exe). De loader controleert of al zijn laadmechanismen nog in orde zijn, start het daadwerkelijke virus, en sluit zichzelf weer.
De loader is dus lastig te vinden omdat hij maar heel kort draait, en lastig te verwijderen omdat als je 1 van de opstartmethoden vergeet, hij de anderen weer herstelt.

Wat vind je in het register onder HKEY_CLASSES_ROOT/.exe ?
De default zou "exefile" moeten zijn
In HKEY_CLASSES_ROOT/exefile/shell/open/command/ zou de default "%1" %* moeten zijn.
Bij loaders zie je hier vaak wat anders. Controleer ook andere veel gebruikte extensies.

[MADG0BLIN]

frickY schreef op dinsdag 15 april 2008 @ 23:02:
[...]

Heb dit vaker gezien. Meestal draait er een loader die op meerdere manieren wordt opgestart. Als service, als Run, of als uitvoerende voor een bepaalde extensie (zoals .exe). De loader controleert of al zijn laadmechanismen nog in orde zijn, start het daadwerkelijke virus, en sluit zichzelf weer.
De loader is dus lastig te vinden omdat hij maar heel kort draait, en lastig te verwijderen omdat als je 1 van de opstartmethoden vergeet, hij de anderen weer herstelt.

Wat vind je in het register onder HKEY_CLASSES_ROOT/.exe ?
De default zou "exefile" moeten zijn
In HKEY_CLASSES_ROOT/exefile/shell/open/command/ zou de default "%1" %* moeten zijn.
Bij loaders zie je hier vaak wat anders. Controleer ook andere veel gebruikte extensies.

Daar staat dit:
(Default) exefile
Content Type application/x-msdownload

Bij de andere staat hetzelfde als in jou post.

[DeMoN]

Hier had ik dus last van, als je even leest wat het wel niet doet dan zie je dat sommige rootkits wel andere koek zijn dan die standaard trojans, http://www.f-secure.com/v-descs/mailbot_az.shtml
Het zit dus gewoon ongelooflijk diep in je systeem. Na het teruglezen van mijn probleem dacht ik ook weer even aan ADS, alternate data streams. Check hier ook eens op!
info http://www.hijackthis.nl/forum/viewtopic.php?t=2086

[franssie]

DeMoN schreef op dinsdag 15 april 2008 @ 23:31:
Hier had ik dus last van, als je even leest wat het wel niet doet dan zie je dat sommige rootkits wel andere koek zijn dan die standaard trojans, http://www.f-secure.com/v-descs/mailbot_az.shtml
Het zit dus gewoon ongelooflijk diep in je systeem. Na het teruglezen van mijn probleem dacht ik ook weer even aan ADS, alternate data streams. Check hier ook eens op!
info http://www.hijackthis.nl/forum/viewtopic.php?t=2086

link die ik zag was bron: Alternatively, the action of moving a file into another file system that doesn’t support ADS will automatically destroy any Alternate Data Streams.

offtopic:
raar te lezen dat dit een HFS feature is, ook maar eenskijken hoe OS-X hiermee omgaat aangezien dat HFS gebruikt

[MADG0BLIN]

DeMoN schreef op dinsdag 15 april 2008 @ 23:31:
Hier had ik dus last van, als je even leest wat het wel niet doet dan zie je dat sommige rootkits wel andere koek zijn dan die standaard trojans, http://www.f-secure.com/v-descs/mailbot_az.shtml
Het zit dus gewoon ongelooflijk diep in je systeem. Na het teruglezen van mijn probleem dacht ik ook weer even aan ADS, alternate data streams. Check hier ook eens op!
info http://www.hijackthis.nl/forum/viewtopic.php?t=2086

Heb even zitten kijken en scannen naar ADS. Hij vind er een heel aantal. 2 die zeker fout zjin, maar ongeveer 40 die belangrijk zijn zoals systeem bestanden.

[Anoniem: 194828]

Heb je het bestand WINPGDL.EXE (en andere verdachte bestanden) laten analyseren bij Sunbelt?
http://research.sunbelt-software.com/submit.aspx

Je krijgt binnen een paar minuten een mailtje terug met link naar het rapport.
Misschien zie je daarin iets dat je verder helpt.

[MADG0BLIN]

Ongelooflijk. Net een nieuwe install gedaan van w2k3 in een vmware omgeving. Eerst volledig geupdate. Firewall aan. Ik log in, kijk in de %temp% directory omdat de firewall vraagt of hij winkapajr.exe moet blocken en daar staat het bestand en draait ook direct als service. Hoe kan dat nou??? Klote zooi dit....

Anoniem: 194828 schreef op woensdag 16 april 2008 @ 00:16:
Heb je het bestand WINPGDL.EXE (en andere verdachte bestanden) laten analyseren bij Sunbelt?
http://research.sunbelt-software.com/submit.aspx

Je krijgt binnen een paar minuten een mailtje terug met link naar het rapport.
Misschien zie je daarin iets dat je verder helpt.

Die pagina opent hier heel traag. Ga er zo weer naar kijken.

[ Voor 42% gewijzigd door MADG0BLIN op 16-04-2008 00:22 ]

[DeMoN]

MADG0BLIN schreef op woensdag 16 april 2008 @ 00:22:
Ongelooflijk. Net een nieuwe install gedaan van w2k3 in een vmware omgeving. Eerst volledig geupdate. Firewall aan. Ik log in, kijk in de %temp% directory omdat de firewall vraagt of hij winkapajr.exe moet blocken en daar staat het bestand en draait ook direct als service. Hoe kan dat nou??? Klote zooi dit....

Waarschijnlijk verspreidt hij zich via smb en zit hij dus al op een andere bak via het netwerk voordat die zijn patches van het internet af heeft kunnen halen

Klinkt agressief

edit: Was dus up to date.

0-day troep?

[ Voor 3% gewijzigd door DeMoN op 16-04-2008 01:02 ]

[CrankyGamerOG]

Als dat ding nergens in een netwerk hangt is je install media tainted.
maw niet meer downloaden maar kopen(als dat zo is dan he )

[ Voor 10% gewijzigd door CrankyGamerOG op 16-04-2008 01:05 ]

[MADG0BLIN]

Dat is hier dus het vreemde. Het is een volledige legale gekochte volume license cd van windows 2003 R2 UK SP2. Deze installeer ik. De eerste keer dat ik inlog gebruik ik alleen de optie updaten. Dan zet ik de firewall aan en klik ik op finish. So far so good. Zodra ik hem in het domein hang is het hommeles. Dan log ik in met een acccount met vrij veel rechten. Zo komt hij er dus wel op. Wat dus niet zo moeten met een volledige geupdate machine.
Ben nu wat aan het spelen met mamutu, maar tot nu toe gebeurt er vrij weinig.

Ik begin een beetje de hoop te verliezen. Dacht dat met een reinstall wel eea zou oplossen, maar dat wordt nu zelfs lastig.

[MADG0BLIN]

FluxBR, heb jij nog wat kunnen vinden. Ik ben er na half 4 mee gestopt. Ga er nu weer verder mee.

[Anoniem: 190713]

Nog niet. Wij zijn tot 2 uur bezig geweest en om 6 uur weer begonnen. Flink wat werkstations geinfecteerd en 4 servers tot op heden

zeer vervelend zero-day virus

[ Voor 11% gewijzigd door Anoniem: 190713 op 16-04-2008 09:39 ]

[MADG0BLIN]

Anoniem: 190713 schreef op woensdag 16 april 2008 @ 09:36:
Nog niet. Wij zijn tot 2 uur bezig geweest en om 6 uur weer begonnen. Flink wat werkstations geinfecteerd en 4 servers tot op heden

zeer vervelend zero-day virus

Welke virusscanner gebruiken jullie?
Wij Eset Business Edition v3. Misschien dat een andere meer doet.

We zijn er inmiddels ongeveer achter wij hij precies doet.

Hij opent een poort om waarschijnlijk dingen te versturen of te halen (Bot misschien)
Hij hangt zichzelf aan andere exe files, maar deze wijzigen ook continu.
Er verschijnen files in de %temp% directory. Deze zijn totaal random bestaande uit letters en cijfers. Eindigend op exe.
Deze verschijnen ook in je taskmanager. Als ik ze daar kill kan ik ze verwijderen uit de temp directory. Heeft weinig nut want ze verschijnen vanzelf weer. Er is dus ergens een waarschijnlijk hidden process of programma wat draait. Deze is niet te vinden. Rootkit, ADS ? Dit is eigenlijk het grote probleem.
Ook verspreid hij zichzelf naar andere pc's / servers in het netwerk. Ook al zijn deze volledig gepatched, draait er een volledige virusscanner en staat de windows firewall aan zonder exceptions.
Filemon kan ik niet meer openen op geinfecteerde pc's. Ik moet hem renamen, dan werkt hij weer.

Ook hebben we contact gehad met Eset, die bellen momenteel met het hoofdkantoor om ernaar te kijken.
Ik zal hier laten weten wat bij ons de vorderingen zijn.

Ik ben eerlijk gezegd bang dat ik mijn hele omgeving kan reinstallen. Punt is dat hij misschien al langer aanwezig is.
Ga ik met mijn 4 terminal servers, 2 exchange servers, file servers, 1 database servers en 50 pc's.

[Anoniem: 194828]

Ik gooi er nog een suggestie tegenaan.

ESET SysInspector.

Zeer overzichtelijk programmaatje, zal niets aan je systeem veranderen maar geeft zeer veel informatie weer. Zit een handige schuifregelaar in om verschillende "risk-levels" weer te geven.
En een handige zoekfunctie voor een dll of ander verdacht bestand.

Lees de info en probeer 't eens; http://www.eset.com/esibeta/

[Anoniem: 194828]

MADGOBLIN

Ik had je laatste post niet gezien. ESET support is zeer blij met een rapport van SysInspector!!!

[MADG0BLIN]

Waar kan ik hem volgens jou het beste naar toe sturen? Rechtstreeks naar support? Of een apart mail adres?

Krijg net een mailtje van nod support of ik hem kan sturen. Hij is dus al weg.

[ Voor 30% gewijzigd door MADG0BLIN op 16-04-2008 10:16 ]

[Anoniem: 190713]

Wij gebruiken Norman hier. Die ziet het wel maar kan er verder niks mee. Al contact meegehad en kijken wat de mogelijkheden zijn.

[MADG0BLIN]

Anoniem: 190713 schreef op woensdag 16 april 2008 @ 10:25:
Wij gebruiken Norman hier. Die ziet het wel maar kan er verder niks mee. Al contact meegehad en kijken wat de mogelijkheden zijn.

Wat voor virus geeft hij precies aan dan?

[Anoniem: 190713]

W32/Horst.gen33

[ralpje]

Kleine 'ik lees mee' post, wat zijn de symptomen waardoor jullie merken geïnfecteerd te zijn? Geeft andere mensen in ieder geval de kans om hierop bedacht te zijn.

[MADG0BLIN]

We kwamen er in eerste instantie achter doordat de terminal servers erg traag waren.
Toen zagen we dat er allerlei processen met willekeurig namen veel cpu vraten.
Deze konden we wel killen, maar na verloop van tijd starten ze weer. Deze komen dan in de %temp% map terecht.

[DennusB]

http://www.nationaalcomputerforum.nl/showthread.php?p=387221

Kan je daar misschien iets mee?

[ajhaverkamp]

MADG0BLIN schreef op woensdag 16 april 2008 @ 10:44:
We kwamen er in eerste instantie achter doordat de terminal servers erg traag waren.
Toen zagen we dat er allerlei processen met willekeurig namen veel cpu vraten.
Deze konden we wel killen, maar na verloop van tijd starten ze weer. Deze komen dan in de %temp% map terecht.

Onder welke account liepen die processen? System?

BTW sterkte!

[MADG0BLIN]

Onder de ingelogde gebruiker. En die zijn gewoon user. Geen extra rechten of iets dergelijks.

[Anoniem: 190713]

Wij zijn ondertussen ook begonnen met de her-install van de clients. Op dit moment is er geen fatsoenlijke manier om het verwijderd te krijgen. Op de servers zijn we nog wel bezig verschillende pogingen te wagen.

[Anoniem: 190713]

Hadden tooltje gekregen van Norman. Werkte helaas niet

[MADG0BLIN]

Anoniem: 190713 schreef op woensdag 16 april 2008 @ 12:13:
Hadden tooltje gekregen van Norman. Werkte helaas niet

Balen zeg. Hier werkt het ook nog niet. Gaan waarschijnlijk de servers reinstallen.

[Anoniem: 399]

Madgoblin heeft me het virus gestuurd (op verzoek, niet als poging tot Knetterdestructie ) en ik heb hem door onze AV groep naar Symantec laten sturen alwaar we Platinum support hebben. Voor je écht desperate dingen gaat doen, heel even wachten misschien komt er in de loop van de middag iets van Symantec voor (tegen) dit ellende ding. Als en indien er wat zinvols uit Symantec komt laat ik het MadGoblin weten en dan kan ie het topic updaten met hopelijk een link naar de fix.

[MADG0BLIN]

Dan wacht ik nog een uurtje ofzo. Moeten toch nog eerst voorbereidingen treffen. In ieder nogmaals bedankt. Als ik wat hoor post ik het hier.

[MADG0BLIN]

Het wordt nu nog vreemder. Wij doen systeembeheer bij een aantal klanten op andere lokaties.
Daar is een collega vanochtend heen, komen we er achter dat daar ook een pc besmet is met dezelfde symptomen.... En daar draait McAfee.

[LuckY]

Ik denk dat je is moet gaan kijken naar ; Synchroniseren jullie servers met iets? ; Gebruikte Applicaties ?(degene die overeenkomen) ; Besmette Datatransfer(usb/ext.hd/email);

Om zo nog meer infecties bij mogelijke klanten uitsluiten

Succes

[MADG0BLIN]

Er wordt niets extern gesynct naar klanten. Er ligt wel een VPN en wij nemen soms de pc's over met TightVNC en ze loggen bij ons in in Citrix.
Er heeft voor zover wij weten nooit iemand iets die kant op geplaatst. En voordat dat kan heb je voor zover ik weet wel rechten nodig.

[Coach4All]

MADG0BLIN schreef op woensdag 16 april 2008 @ 14:10:
Er wordt niets extern gesynct naar klanten. Er ligt wel een VPN en wij nemen soms de pc's over met TightVNC en ze loggen bij ons in in Citrix.
Er heeft voor zover wij weten nooit iemand iets die kant op geplaatst. En voordat dat kan heb je voor zover ik weet wel rechten nodig.

Een VPN die constant openstaat en twee netwerken zo verbind dat al het SMB verkeer er overheen kan / mag?

[martijnr17]

Wat vaak ook helpt is in veilig modus opstarten, dan start hij het virus en alle bestanden niet op. Dan kan je ze allemaal verwijderen en uit het register halen. Zo heb ik ook verschillende virussen verwijderd die zichzelf telkens opstarten.
Maar uiteindelijk zou ik ook voor een reinstall gaan.

[Anoniem: 84021]

MADG0BLIN schreef op woensdag 16 april 2008 @ 14:10:
Er wordt niets extern gesynct naar klanten. Er ligt wel een VPN en wij nemen soms de pc's over met TightVNC en ze loggen bij ons in in Citrix.
Er heeft voor zover wij weten nooit iemand iets die kant op geplaatst. En voordat dat kan heb je voor zover ik weet wel rechten nodig.

Gaat alles ook via een versleutelde verbinding? Dus je VNC ook etc?

[LuckY]

RippyNL schreef op woensdag 16 april 2008 @ 14:15:
Wat vaak ook helpt is in veilig modus opstarten, dan start hij het virus en alle bestanden niet op. Dan kan je ze allemaal verwijderen en uit het register halen. Zo heb ik ook verschillende virussen verwijderd die zichzelf telkens opstarten.
Maar uiteindelijk zou ik ook voor een reinstall gaan.

Lees dit topic nog eens door

[MADG0BLIN]

Coach4All schreef op woensdag 16 april 2008 @ 14:13:
[...]


Een VPN die constant openstaat en twee netwerken zo verbind dat al het SMB verkeer er overheen kan / mag?

De VPN staat niet constant open maar er moet soms inderdaad SMB verkeer overheen.

RippyNL schreef op woensdag 16 april 2008 @ 14:15:
Wat vaak ook helpt is in veilig modus opstarten, dan start hij het virus en alle bestanden niet op. Dan kan je ze allemaal verwijderen en uit het register halen. Zo heb ik ook verschillende virussen verwijderd die zichzelf telkens opstarten.
Maar uiteindelijk zou ik ook voor een reinstall gaan.

Ze starten niet meer op in veilige modus.

Anoniem: 84021 schreef op woensdag 16 april 2008 @ 14:17:
[...]

Gaat alles ook via een versleutelde verbinding? Dus je VNC ook etc?

Alles is versleuteld ja.

[ Voor 12% gewijzigd door MADG0BLIN op 16-04-2008 14:19 ]

[martijnr17]

Lucky,
Heb het topic nog 2 maal doorgelezen maar vind toch nergens iets over veiligmodus?

Foutje TS melde het net .

[ Voor 17% gewijzigd door martijnr17 op 16-04-2008 14:30 ]

[Coach4All]

RippyNL schreef op woensdag 16 april 2008 @ 14:29:
Lucky,
Heb het topic nog 2 maal doorgelezen maar vind toch nergens iets over veiligmodus?

Foutje TS melde het net .

TS heeft ook meerdere topics over dit probleem lopen.... ... daarin is het dacht ik wel genoemd...

Domein gedeeltelijk besmet. Reinstall? Gevolgen en tips.

[ Voor 11% gewijzigd door Coach4All op 16-04-2008 14:43 . Reden: ff link gezocht... ]

[LuckY]

Coach4All schreef op woensdag 16 april 2008 @ 14:35:
[...]


TS heeft ook meerdere topics over dit probleem lopen.... ... daarin is het dacht ik wel genoemd...

Inderdaad My bad (gedeeltenlijk?)

MADG0BLIN schreef op woensdag 16 april 2008 @ 12:09:
[...]


Als ik wil booten in safe mode dan lukt dat niet. Na een tijdje te hebben geladen stopt hij bij acpitabl.dat Even kijken of we dat kunnen oplossen.

In ieder geval succes!
Gaan jullie nu al jullie klanten benaderen of ? ander kan er nog flinke paniek komen

[MADG0BLIN]

Heb alle andere klanten de servers en pc's al nagekeken. Daar draait niets voor de rest gelukkig.

[LuckY]

MADG0BLIN schreef op woensdag 16 april 2008 @ 14:41:
Heb alle andere klanten de servers en pc's al nagekeken. Daar draait niets voor de rest gelukkig.

Gelukkig

[Astra]

Ook wij hebben hier het probleem. Of ik een stapje verder ben weet ik niet, maar in elk geval heb ik met msconfig in diagnostische modus opnieuw opgestart. Daarna kon ik AVG installeren, was voor die tijd niet mogelijk. Daarna opnieuw opgestart, avg geupdate en laten scannen. Inmiddels heeft hij
Vundo.F, Adware.Virtumonde., Proxy.ABAC en Backdoor.NTrootkit.AM gevonden. Is nog aan het scannen, maar in de Windows32\System32 worden een flink aantal ini bestanden en dll bestanden geplaatst die er voorheen niet waren en ook niet te verwijderen zijn.

Mocht ik achter meer zaken komen post ik het hier. Wellicht dat bovenstaande anderen kan helpen

[MADG0BLIN]

Wij zijn hier ook een pc opnieuw aan het scannen met NOD 32 met de 3030 update van vandaag. Hij vind ineens een stuk meer. Waaronder een aantal hieruit:

http://www.eset.eu/podpora/aktualizacia-3030?lng=en

Bij ons ging het om deze 2: Win32/Sality.NAO , Win32/SpamTool.Agent.NAR

[ Voor 15% gewijzigd door MADG0BLIN op 16-04-2008 14:47 ]

[Coach4All]

Astra schreef op woensdag 16 april 2008 @ 14:44:
Ook wij hebben hier het probleem. Of ik een stapje verder ben weet ik niet, maar in elk geval heb ik met msconfig in diagnostische modus opnieuw opgestart. Daarna kon ik AVG installeren, was voor die tijd niet mogelijk. Daarna opnieuw opgestart, avg geupdate en laten scannen. Inmiddels heeft hij
Vundo.F, Adware.Virtumonde., Proxy.ABAC en Backdoor.NTrootkit.AM gevonden. Is nog aan het scannen, maar in de Windows32\System32 worden een flink aantal ini bestanden en dll bestanden geplaatst die er voorheen niet waren en ook niet te verwijderen zijn.

Mocht ik achter meer zaken komen post ik het hier. Wellicht dat bovenstaande anderen kan helpen

Op welk OS? (om de anderen extra te helpen / te laten weten waar jij aan het zoeken bent)

[Astra]

Op een Windows XP SP2 werkstation. Tot nu toe zijn onze servers niet geinfecteerd, wel een flink aantal werkstations. Die overigens ook allemaal nu probeerden te e-mailen over poort 25 naar onder andere Mail.ru

Kleine update: AVG heeft er nieuwe Trojans bijgevonden: Generic10.LEX, Generic9.AVKK

[ Voor 21% gewijzigd door Astra op 16-04-2008 15:13 . Reden: nieuw virus erbij ]

[LuckY]

Nog nieuws ,of zijn jullie begonnen met het herinstalleren van het domein.

[MADG0BLIN]

Wij proberen nu met de nieuwe virusscanner alles te verwijderen. Het lijkt goed te gaan, maar we moeten nog meer testen voor de zekerheid.

[Anoniem: 399]

Symantec Platinum.. crappy toko heeft zich nog altijd niet gemeld
Sorry Goblin

[MADG0BLIN]

NP, Knet. We blijven wachten.

Even nieuwe update. Net de server helemaal gescand. Leek schoon te zijn. Reboot gedaan, en hoppa, hij vind er weer 3. Lijkt niet helemaal weg te zijn. Kijken of veilige modus nu werkt.

[Astra]

Hier idem, processen worden at random gestart als subproces van in orde zijnde processen, mooi te zien met procesmon.

Killen van die processen heeft eventjes zin; tussen 10 minuten en een half uur zal er weer een subproces opgestart worden met een vreemde naam als 14021.exe of 1253cd.exe. Allemaal door dat virus denk ik zo. Volg je het met TCPview dan zie ik ook dat de geinfecteerde pc's andere machines proberen te benaderen.

In elk geval heb ik helaas de juiste oplossing ook nog niet gevonden.

[MADG0BLIN]

Wat gebeurt er als je scant met de online scanner van Eset?

[Astra]

Heb inmiddels elke online scanner al gedaan, ze vinden allemaal wel een of andere trojan die daarna keurig verwijderd wordt. Maar na een reboot is het virus er nog steeds.

[MADG0BLIN]

Welke worden er nu gevonden bij Eset? Daar ben ik wel benieuwd naar om te weten of het dezelfde is.

[Astra]

Onder andere Win32/SpamTool.Agent.NAR

[rvvliet]

Volgens AVG ook Trojan Horse Generic9.AVKK

*spuit 11* stond al op de vorige pagina

[ Voor 35% gewijzigd door rvvliet op 16-04-2008 19:50 ]

[Astra]

Er is een nieuwe versie van NOD32, versie 3031, uitgiftedatum is vandaag om 16.11. Deze is nu aan het scannen, heeft inmiddels alweer ándere Trojans ontdekt...

Onder andere Win32/Genetik

[ Voor 8% gewijzigd door Astra op 16-04-2008 19:53 ]

[MADG0BLIN]

Wij scannen met versie 3031 en 3030. Hij vind hier Win32/SpamTool.Agent.NAR en Win32/Sality.NAO Beiden vandaag in de 3030 file gereleased. Nu is dus de keus om of verder te zoeken of toch maar voor de reinstall gaan.

[Astra]

Vraag is, hoeveel zin heeft dat. Als je ook maar één geinfecteerde machine in het netwerk hebt staan, is de rest binnen no time ook weer geinfecteerd aangezien de virusscanners er nog niks mee doen.

De laatste NOD heeft geen effect ook trouwens, wederom na een reboot verschijnen er subprocessen die er niet horen te zijn.

[MADG0BLIN]

Ik heb hier ALLE client pc's losgekoppeld. De besmette servers gaan zo uit. De servers waarvan wij denken dat ze goed gaan geven we een reboot, wachten een half uur en dan kijken of we wat vinden. Lijkt me dat het dan goed moet zijn. Hoop ik... Of zoiets..... Ze zouden ze moeten opknopen.

[Arthas]

Een laatste mogelijkheid, voor je de hele boel gaat herinstalleren. AVG Anti-rootkit.
Het hele tijd zichzelf herinstalleren van een virus, zelfs via een VM is hardnekkig en klinkt als onderdeel van een rootkit. Heb je advies van Eset en Symantec terug gekregen?

[MADG0BLIN]

Ik heb microsoft en de rootkit van sophos gebruikt. Vonden beiden niets.

Eset en Symantec hebben we nog geen officiele reactie van gehad. Alleen die nieuwe update waardoor hij hem erkend als een virus. Hij blijft alleen terugkomen.

[Astra]

Met dat opknopen ben ik het wel eens ja

rootkit van AVG vind hier ook niks. Het is echt ongelooflijk de hoeveelheid bestanden die het systeem probeert te infecteren. *zucht*

[franssie]

Ik volg dit draadje op afstand met grote interesse. Ik heb geen inzage in de (on)werkbaarheid bij jullie klant(en) terwijl deze virussen aan het werk zijn.
A ) Bij een re-install van je hele park (inclusief misschien het gedeelte wat niet geinfecteerd 'lijkt' wellicht want de virusscanners pakken de bron niet?) weet je nooit zeker of je ervanaf bent - je weet nooit zeker of je je hele netwerk in kaart hebt (ik heb servers onder vloerplanken zien staan) - dus het is veel werk met een best onzekere uitkomst gezien de install op de VM-bak. En wat te doen met back-ups als je virusscanners het virus niet pakken
B ) De boel zo goed en (van) kwaad isoleren met max filtering (alle (softwarematige) firewalls aan die er zijn en kijken welke functionaliteit er nog werkt. - Zo werk ik thuis overigens, beperkt maar met een wifi netwerk vertrouw ik mijn eigen netwerk in het geheel niet.

Het lijken mij allebei geen leuke keuzes maar alles uitzetten en via google apps werken zal zekeer geen optie zijn.

Succes met de beslissing wat te doen, this were my 2 cents. Ik weet dat het niet echt hulpvol is in het vinden van een oplossing maar misschien helpt het beslissen

Samenvattend A lijkt veilig en B heeft het risico van data diefstal uit je bedrijf - afhankelijk van wat voor data je hebt meot je misschien in elk geval je internet connectie beperken tot een geïsoleerde laptop en alleen bestanden transferren met een data stick (heb je linux laptop oid liggen?)

[ Voor 11% gewijzigd door franssie op 16-04-2008 20:37 . Reden: kut smileys ]

[ninjazx9r98]

Voor dit soort trojans zul je hoogstwaarschijnlijk flink de registry in moeten duiken.
Je zult moeten zoeken naar processen die samen met legitieme processen worden gestart maar ook naar zaken die plaats vinden tijdens logon/logoff.
Zolang je dat niet weg krijgt/haalt zal er keer op keer een laatste/nieuwe versie worden gedownload en weer ergens worden neergezet.
Dat verklaart ook precies waarom het na een reboot er nog steeds is of misschien beter gezegd er weer is.
Ik zou beginnen met dichtzetten van internet toegang voor de geinfecteerde systemen (of misschien wel voor de hele omgeving ?) zodat er geen nieuwere versies meer kunnen worden gedownload.
Vervolgens beginnen in windows\system32 en daar kijken welke files daar staan met een zeer recente datum/tijdstip.
Vervolgens zou je dan weer kunnen zoeken in je registry of je verwijzingen vindt naar dergelijke bestanden.

[Arthas]

En een complete scan met behulp van een LiveCD zoals BartPE? Een LiveCD gebruikt zijn eigen onderdelen en niet dat van het geinfecteerde systeem. Een rootkit kan zich hierdoor niet verbergen en zal naar boven komen. Hoe te scannen met BartPE

[Astra]

Ik vraag me af of dat helpt, een offline pc zonder virussen (en geupdate scanners) hebben we gebruikt en daar de harddisk van een geinfecteerde machine aan gehangen. daarna een scan gedaan. Ook dan worden er virussen en trojans gevonden en verwijderd, maar als de harddisk dan weer in een pc gemonteerd wordt, dan is het virus weer actief.

Denk dus niet dat BartPE daar veel aan toe kan voegen...

[MADG0BLIN]

Klopt. Was hier ook zo. Geboot naar diverse omgevingen, online scanners geprobeerd, bartpe, hirens. Niets hielp.

ninjazx9r98 schreef op woensdag 16 april 2008 @ 20:21:
Voor dit soort trojans zul je hoogstwaarschijnlijk flink de registry in moeten duiken.
Je zult moeten zoeken naar processen die samen met legitieme processen worden gestart maar ook naar zaken die plaats vinden tijdens logon/logoff.
Zolang je dat niet weg krijgt/haalt zal er keer op keer een laatste/nieuwe versie worden gedownload en weer ergens worden neergezet.
Dat verklaart ook precies waarom het na een reboot er nog steeds is of misschien beter gezegd er weer is.
Ik zou beginnen met dichtzetten van internet toegang voor de geinfecteerde systemen (of misschien wel voor de hele omgeving ?) zodat er geen nieuwere versies meer kunnen worden gedownload.
Vervolgens beginnen in windows\system32 en daar kijken welke files daar staan met een zeer recente datum/tijdstip.
Vervolgens zou je dan weer kunnen zoeken in je registry of je verwijzingen vindt naar dergelijke bestanden.

Ik weet niet of je gelezen hebt wat voor omgeving we hierover praten. Maar dat wordt wat lastig denk ik

[franssie]

Astra schreef op woensdag 16 april 2008 @ 20:35:
Ik vraag me af of dat helpt, een offline pc zonder virussen (en geupdate scanners) hebben we gebruikt en daar de harddisk van een geinfecteerde machine aan gehangen. daarna een scan gedaan. Ook dan worden er virussen en trojans gevonden en verwijderd, maar als de harddisk dan weer in een pc gemonteerd wordt, dan is het virus weer actief.

Denk dus niet dat BartPE daar veel aan toe kan voegen...

Toch lijkt het beperkt tot een paar netwerken of ben ik blind? - enig idee wat jullie gemeen hebben dat de infectie kan veroorzaken (vergeten oude programmatuur, leverancier, netwerkbedrijf, alles wat opvallend gelijk is?) Misschien dat dat helpt om te zoeken wat de bron is.

[Anoniem: 46765]

Wat is het effect als je via process explorer de verdachte processen niet killed maar eerst allemaal suspend en dan daarna killed? Komen er dan ook nog steeds nieuwe processen bij ?
Zo heb ik nl. wel eens een lastig virus kunnen wegkrijgen (als ik ze nl. meteen killde werd dat opgemerkt en meteen een ander random virus proces gestart).

[CrankyGamerOG]

de bron ? windows is de oorzaak , en das geen flame oid
had je *nix of mac bakjes gehad was er nu niks aan het handje

maar daar heb je nu idd niks aan, ik moet er idd niet aan denken om 800+ machines te moeten herinstalleren.

List idd eens voor ons geintresseerden de overeenkomsten in apparatuur/netwerk/software bij jullie ?
is er iets dat jullie gemeen hebben ?
Werken jullie bijv via samba ? en verspreid het zich ook via samba ?

[ Voor 31% gewijzigd door CrankyGamerOG op 16-04-2008 20:48 ]