PLSRemote.exe herkend door Kaspersky 5, niet door versie 6

[pinockio]

Vreemde zaak dit:

- Gebruiker heeft PC, P4 2.4 GHz, Windows XP SP2, Kaspersky 4.5, klaagt over traagheid.

- PC wordt geupgrade met nieuwe schijf (clone), 1 GB geheugen, SP3 erop, en omdat dit niet goed werkt met Kaspersky 4.5 gaat hier Kaspersky 6.0 (Workstation) op. Volledig geupdate, deze vindt niets.

- Er wordt nog erger geklaagd over traagheid, die mogelijk samenhangt met de virusscanner. Als test wordt Kaspersky 5.0 erop gezet. Deze gaat scannen (nog vóór de updates erop staan) en vindt in C:\Windows\System32 een bestandje PLSRemote.exe. Dit kan niet verwijderd worden. Ook staat er in het register onder services een link naar dit bestand.

In de veilige modus wordt het bestandje hernoemd; daarna via een andere PC gescand (waarbij de virusscanner uitgezet wordt omdat het bestandje anders geblokkeerd wordt door Kaspersky zonder melding).


Jotti's malware scan:

A-Squared Found Riskware.RemoteAdmin.Win32.PLSRemot!IK
AntiVir Found nothing
ArcaVir Found Riskware.Remoteadmin.Plsremot
Avast Found nothing
AVG Antivirus Found RemoteAdmin.F
BitDefender Found Application.Remoteadmin.AT
ClamAV Found PUA.RAT.Radmin-10
CPsecure Found RemoteAdmin.W32.PLSRemot
Dr.Web Found Program.RemoteAdmin
F-Prot Antivirus Found W32/Backdoor.HXQ
F-Secure Anti-Virus Found not-a-virus:RemoteAdmin.Win32.PLSRemot (6, 2, 606)
G DATA Found Application.Remoteadmin.AT
Ikarus Found not-a-virus:RemoteAdmin.Win32.PLSRemot
Kaspersky Anti-Virus Found not-a-virus:RemoteAdmin.Win32.PLSRemot
NOD32 Found Win32/RemoteAdmin.PLSRemot application
Norman Virus Control Found nothing
Panda Antivirus Found Bck/Radmin.AK
Sophos Antivirus Found nothing
VirusBuster Found nothing
VBA32 Found nothing

Het bestandje heeft als datum (gemaakt) donderdag 17 oktober 2002.

Hoe kan het dat Kaspersky 4.5 en 6.0 (beide up to date) e.e.a. niet vinden en KAV 5.0 wel?

[F_J_K]

Gokje; de niet-virus meldingen heb je bij KAV 5 wel aan staan en bij de rest niet. Radmin is op zich geen malware, maar kan er wel voor misbruikt worden.

[pinockio]

Inderdaad zit in de Default settings van 6.0 geen malware scan.

In versie 6 zit een Application Activity Analyzer waar o.a. het volgende in staat:

Dangerous behaviour (whatever that may be)
Intrusion into process (invaders)
Hidden processes (rootkit)
Suspicious vaules in registry
Suspicious system activity

Wat niet aan stond is Keylogger detection.

Verder is het geen RAdmin maar een op internet vrijwel niet bekend programmaatje dat naar mijn weten geen onderdeel is van legitieme software.