[MEBROOT] hoe achterhalen welke pc in netwerk

[DyStiC]

Vorige week is op de zaak door onze provider XS4ALL een blokkade op onze internet verbinding gegooid uit veiligheidsredenen. Er zouden namelijk aanvallen vanaf ons IP zijn uitgevoerd.
Nu zijn al onze pc's voorzien van McAfee VirusScan Enterprise, centraal beheert door ePO, dus waren we onaangenaam verrast dat er blijkbaar toch iets doorheen geslopen was.

Sowieso is de communicatie met de abuse afdeling van XS4ALL erg moeizaam want op aanvragen voor extra informatie van de aanvallen werd niet gereageerd. Dus de melding maar voor waar aangenomen en direct de door XS4ALL aangedragen stappen gaan uitvoeren. Dus 50 pc's langs lopen en voorzien van:
- Antivir
- The Cleaner
- NOD32

Na een erg lange werkdag leverde dit uiteindelijk met NOD32 enkele resultaten op er werd op een pc een zgn. Pidief.Trojan gevonden. Na dit verwijderd te hebben en aan XS4ALL gemeld te hebben werd de blokkade verwijderd.

Tot dat onze internet verbinding deze week opnieuw werd voorzien van een blokkade. ARGH!
Deze keer had XS4ALL wel meer informatie, namelijk:

Botnet | 255.88.88.265 | 2009-03-01 02:23:08 srcport 12226 mwtype Torpig | XS4ALL-
NL XS4ALL
Botnet | 255.88.88.265 | 2009-03-01 02:28:03 srcport 12231 mwtype Mebroot |
XS4ALL-NL XS4ALL

Deze logregel geeft aan dat het om een Mebroot en een Torpig-infectie gaat. XS4ALL gaf aan om deze met de volgende tools op te sporen:
- Symantec Mebroot removal tool
- F-Secure
- ESET Mebroot Remover

Dus weer alle pc's langs helaas (!?) leverde dit geen resultaat op (op wat malware/cookies met F-Secure na).
Uiteindelijk hebben we dus aan XS4ALL voorgesteld om onze firewall zo in te stellen dat al het uitgaande verkeer geblokkeerd zou worden behoudens het mailverkeer omdat ons bedrijf hier enorm veel overlast van ondervind. Hier heeft XS4ALL mee ingestemd en gelukkig ontvangen we nu weer e-mail. Maar we zijn dus nog steeds opzoek naar de geïnfecteerde pc.
Nu houden we nauwlettend de logs van onze firewall in de gaten welk verkeer er allemaal geblokkeerd wordt om zo de pc die verbinding naar buiten probeert te maken op te sporen.

Wie kan hulp bieden om de opsporen te vergemakkelijken? op welke netwerk verkeer moet bijvoorbeeld gelet worden? welke specifieke poorten?
Of wordt de Trojan pas actief als deze van buiten af getriggerd wordt, wat we nu dus blokkeren. In dat geval zal de Trojan nu niet actief worden en dus onopgemerkt blijven.

Inmiddels redelijk ten einde raad hoop ik dat iemand wat slimme tips heeft.

[Meauses]

Je kan het eens proberen om wireshark te installeren op alle pc's en het verkeer te monitoren.
Het is even de vraag natuurlijk hoe het verkeer van die malware wordt geregeld en loopt.

Probeer ook even meer informatie in te winnen (google is your friend) over de malware waar je last van hebt.

edit: ik zie dat de aanval om 02:28 is geblokkeerd, is dat dan snachts? Dan zou ik even kijken welke machines er op die tijd aanstaan.

[ Voor 18% gewijzigd door Meauses op 05-03-2009 14:37 ]

[sh4d0wman]

Torpig aka Sinowal aka Mebroot

Systems Affected: Windows 2000, Windows Server 2003, Windows Vista, Windows XP
Note: In our preliminary tests, Windows Vista is only partially vulnerable: if UAC is disabled, the rootkit can overwrite Master Boot Record code, but, if UAC is enabled, it is blocked.

Trojan.Mebroot is a Trojan horse that overwrites the Master Boot Record of the hard disk and uses rootkit techniques to hide itself. It infects the MBR, copying the original MBR to sector 62 on the hard disk. It then installs its own kernel loader to sectors 60 and 61 of the hard disk.

Next, it copies a rootkit driver near the end of the active boot partition. The Trojan overwrites around 1149 sectors (467 KB) when copying the driver.

If sector 0 is read from hard disk, the Trojan will return the original MBR backup stored at sector 62. It will also try to block writing to sector 0, in order to prevent removal.

The Trojan also opens a back door, which attempts to bypass the local firewall and connect to the following location,allowing an attacker to control the compromised computer:
[http://]dkfhchkb.com/ser[REMOVED]

Tips:
Mocht je Vista machines hebben staan check dan even of ze UAC aan hebben. Het probleem zal waarschijnlijk zijn dat het virus op diverse machines de MBR heeft aangepast.

Om te achterhalen welke pc's het zijn kun je waarschijnlijk sniffen (vanaf je gateway) naar HTTP verkeer, ik weet alleen niet hoe vaak de trojan naar genoemde website connect. Wellicht via google te vinden.

Ik heb nog niet gelijk betrouwbare removal berichten gezien. Wellicht kun je deze stappen doorlopen: http://www.symantec.com/s...08-010718-3448-99&tabid=3

Mocht Schouw hier nog rondlopen dan zal hij wellicht ook nog wel een tip hebben

[Verwijderd]

Check de PC eens met Stealth MBR rootkit detector van GMER.
Download mbr.exe van deze pagina; http://www2.gmer.net/mbr/ (uitleg detectie/removal en download staan helemaal onderaan)

mbr.exe op buroblad zetten, uitvoeren en binnen 1 a 2 tellen heb je een mbr.log op je buroblad staan.
Dat moet wel te doen zijn bij 50 PC's.

Schoon MBR log ziet er zo uit:

Stealth MBR rootkit detector 0.2.4 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK


Zie je iets als dit:

Stealth MBR rootkit detector 0.2.4 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
MBR rootkit infection detected !
MBR INT 0x13 hook detected !
malicious code @ sector 0x3fdc80 size 0x1ca !
copy of MBR has been found in sector 62 !


Dan weet je dat daar iets niet pluis is
Ook al zie je dit bij de derde pc die je controleert, het is dan wel verstandig om die andere 47 ook nog te checken.


Wanneer je wel (of weer) beschikking hebt over een internetverbindig is het misschien handig om Prevx Edge eens te installeren op de pc's en die ook even te laten scannen.