Beveiliging tegen Trojan: rncsys32.exe

[Verwijderd]

Beste mensen,


Ik werk bij een IT bedrijf op de webdevelopmentafdeling en wij hebben de laatste tijd veel last van een vervelend virus. Het is wellicht al bekend bij velen van jullie, maar ik zal het toch nog even toelichten:

Een website is voorzien van een iframe met een source die leidt naar een adres (die altijd anders is).
Vanaf dit adres wordt er een script uitgevoerd die er voor zorgt dat er per direct een Trojan wordt geplaatst.
Je herkent het meteen, aangezien er heel snel een popup verschijnt en er onder "Programma's->Opstarten" een applicatie staat die rncsys32.exe heet.

Het hele vervelende is dat alle FTP wachtwoorden die op de clients pc staan simpelweg worden doorgestuurd en gebruikt om wederom van die iFrame's te plaatsen. Je ziet het sneeuwbaleffect wel. Je bent dus genoodzaakt om direct het FTP wachtwoord aan te passen, zodat een script geen toegang meer heeft tot je website, middels het wachtwoord dat zojuist van je pc is gehaald. Denk aan Editplus of elk ander programma dat FTP-gegevens bewaard d.m.v. een ftp.ini o.i.d.

Het verwijderen van dit virus gaat goed met ComboFix.exe, maar de beveiliging, dat is een ander verhaal. Heeft iemand van jullie ervaring met dit probleem? Beveiliging is erg belangrijk, want eenmaal geïnstalleerd is het kwaad eigenlijk al gedaan en kunnen we weer FTP-wachtwoorden aanpassen. Wij draaien hier zelf Norman Antivirus, maar dat blijkt niet te helpen. Er is wel detectie, maar pas na installatie ... lekker handig, bovendien weet Norman het niet de deïnstalleren.

Graag jullie hulp!


Alvast bedankt.

[Tjark]

heb je al eens een andere AV geprobeerd? Avira, Nod32, etc etc?

[Verwijderd]

Tjark schreef op vrijdag 07 augustus 2009 @ 09:30:
heb je al eens een andere AV geprobeerd? Avira, Nod32, etc etc?

Nee, dat is wellicht een oplossing, maar het zou handig zijn als iemand hier dus weet welke werkt ... dat zou nogal wat tijd schelen. Als niemand het zeker weet, dan komt het inderdaad aan op verschillende AV's proberen.

[Orion84]

- Browser sandboxen (niet echt ideaal misschien)
- Javascript uitzetten (er zijn wel extensies voor bijvoorbeeld Firefox om dat selectief per site aan te zetten, ik neem aan dat JS in een iframe dat van een andere site komt dan geblockt wordt, maar dat zou je ff moeten testen)
- Betere AV zoeken
- Personal firewall installeren, zodat die trojan geen internetverbinding kan maken
- Niet met admin rechten inloggen op die PC, zodat je niet per ongeluk een trojan kan installeren

Maar hoe komen die iframes er in, doet de trojan dat zelf, of stuurt die de wachtwoorden door naar een centraal systeem waar ze misbruikt worden om die iframes te plaatsen? In het eerste geval geldt nog steeds: trojan geen toegang geven tot internet. In het tweede geval zou je ook de FTP toegang kunnen beperken tot de IP's van je medewerkers. Kortom, kijk eens met een sniffer wat er precies gebeurt als die trojan actief is (voor zover dat al niet door iemand gedocumenteerd is op internet)

[Edmin]

Een simpel google'tje levert dit op:
http://www.virusremovalguru.com/?p=2841'

Heb je die rempvaltips al geprobeerd?

[EDIT]

Orion84 schreef op vrijdag 07 augustus 2009 @ 10:10:
[..]
Maar hoe komen die iframes er in, doet de trojan dat zelf, of stuurt die de wachtwoorden door naar een centraal systeem waar ze misbruikt worden om die iframes te plaatsen? In het eerste geval geldt nog steeds: trojan geen toegang geven tot internet. In het tweede geval zou je ook de FTP toegang kunnen beperken tot de IP's van je medewerkers. Kortom, kijk eens met een sniffer wat er precies gebeurt als die trojan actief is (voor zover dat al niet door iemand gedocumenteerd is op internet)

Trojan stuurt wachtwoorden door naar aantal servers. Die plaatsen vervolgens geautomatiseerd het iframe geheel onderaan de pagina.
Je ziet in de logfiles van de FTP server vaak binnen een paar minuten zo'n 40 verschillende verbindingen van verschillende IP adressen afkomen en bestanden downloaden en weer uploaden.
Dit gebeurt (als je het niet door hebt en je wachtwoord hebt veranderd) een aantal keer per dag.

Tot zover mijn eigen ervaringen met dit gevalletje
Gelukkig zelf niet besmet geraakt, maar aantal klanten wel.

In principe is FTP toegang beperken tot IP's van medewerker(s) voldoende.

[Orion84]

Edmin schreef op vrijdag 07 augustus 2009 @ 10:17:
Een simpel google'tje levert dit op:
http://www.virusremovalguru.com/?p=2841'

Heb je die rempvaltips al geprobeerd?

Weghalen was de uitdaging niet als ik de TS goed begreep, voorkomen dat het er weer opnieuw op komt wel

Trouwens, als dat ding zich in die startup folder nestelt, kan je dan niet simpelweg die dir read-only maken?

EDIT schreef op vrijdag 07 augustus 2009 @ 10:20:
[...]


Trojan stuurt wachtwoorden door naar aantal servers. Die plaatsen vervolgens geautomatiseerd het iframe geheel onderaan de pagina.
Je ziet in de logfiles van de FTP server vaak binnen een paar minuten zo'n 40 verschillende verbindingen van verschillende IP adressen afkomen en bestanden downloaden en weer uploaden.
Dit gebeurt (als je het niet door hebt en je wachtwoord hebt veranderd) een aantal keer per dag.

Tot zover mijn eigen ervaringen met dit gevalletje
Gelukkig zelf niet besmet geraakt, maar aantal klanten wel.

In principe is FTP toegang beperken tot IP's van medewerker(s) voldoende.

Ah, check, dat maakt in elk geval een boel duidelijk over hoe het precies werkt, dat is wel zo handig om te weten als je er wat tegen wilt doen

FTP toegang beperken tot "vertrouwde" IP's is sowieso wel een goed idee en in dit geval een prima oplossing zo te zien ja

[ Voor 52% gewijzigd door Orion84 op 07-08-2009 10:22 ]

[Edmin]

Orion84 schreef op vrijdag 07 augustus 2009 @ 10:20:
[...]

Weghalen was de uitdaging niet als ik de TS goed begreep, voorkomen dat het er weer opnieuw op komt wel

Trouwens, als dat ding zich in die startup folder nestelt, kan je dan niet simpelweg die dir read-only maken?

Je hebt gelijk

[Petervanakelyen]

Je draait misschien wel Norman, maar extra tools kunnen natuurlijk nooit kwaad. Je zou bv. Spybot S&D kunnen gebruiken, met immunization.

Verder kan je misschien de IP-adressen in de HOSTS-file zetten (de IP's waar de trojan verbinding mee maakt).

[serkoon]

Vreemd dat niemand het probleem bij de oorzaak lijkt te willen aanpakken.

Klaarblijkelijk gaat het hier om een drive-by download: de trojan wordt geinstalleerd als een iframe geladen wordt in een browser. Het is dan ook zeer waarschijnlijk dat er een bug in bijvoorbeld IE, een ActiveX-component, Flash of Acrobat Reader wordt misbruikt om de trojan te installeren.

Ik zou voorstellen te beginnen met het uitvoeren van een Microsoft Update (voor zowel standaard Windows-componenten als MS Office e.d.) en daarna het draaien van een tool als Secunia PSI. Vervolgens alle fixes die PSI voorstelt implementeren.

Als je dan nog steeds geinfecteerd raakt wordt het interessant, maar de kans daarop is vrij klein.

[Verwijderd]

Mensen, bedankt voor de reacties!

Orion84 schreef op vrijdag 07 augustus 2009 @ 10:20:
Trouwens, als dat ding zich in die startup folder nestelt, kan je dan niet simpelweg die dir read-only maken?

Dat zou kunnen natuurlijk, alleen haalt dat het probleem niet weg, gezien dat niet de enige dir is waarin geschreven wordt.

Het blokkeren van bepaalde IP ranges op een website kan inderdaad een oplossing zijn, alleen is dit uiteindelijk te omzeilen. Ik kan me voorstellen dat hier al wel aan gedacht is en er steeds een compleet ander ip wordt gebruikt, of lijkt te worden gebruikt.

een andere AV lijkt mij de meest voor de hand te liggen oplossing, maar ik had dus gehoopt dat iemand simpelweg wist welke hem tegenhoudt, i.p.v. dat ik nu allerlei AV's kan gaan testen, maar het ziet er naar uit dat het hem dat toch gaat worden, indien niemand al ervaring heeft met een solide beveiliging voor dit irritante probleem.

[Orion84]

Verwijderd schreef op vrijdag 07 augustus 2009 @ 15:36:
Mensen, bedankt voor de reacties!
[...]
Dat zou kunnen natuurlijk, alleen haalt dat het probleem niet weg, gezien dat niet de enige dir is waarin geschreven wordt.

Het was ook zo maar een wild idee om even simpel een eerste actie te ondernemen

Het blokkeren van bepaalde IP ranges op een website kan inderdaad een oplossing zijn, alleen is dit uiteindelijk te omzeilen. Ik kan me voorstellen dat hier al wel aan gedacht is en er steeds een compleet ander ip wordt gebruikt, of lijkt te worden gebruikt.

Je moet geen IP's blokkeren op je website, je moet gewoon alleen FTP verkeer toelaten vanaf de IP's van jullie medewerkers (of jullie kantoor als er niet thuis gewerkt wordt).

een andere AV lijkt mij de meest voor de hand te liggen oplossing, maar ik had dus gehoopt dat iemand simpelweg wist welke hem tegenhoudt, i.p.v. dat ik nu allerlei AV's kan gaan testen, maar het ziet er naar uit dat het hem dat toch gaat worden, indien niemand al ervaring heeft met een solide beveiliging voor dit irritante probleem.

Behalve proberen zou je misschien ook ff op internet kunnen zoeken of er ergens iets bekend is welke AV's wel en niet beschermen.

Maar hoe dan ook: gewoon zorgen dat alleen de medewerkers toegang hebben tot de FTP server op IP basis zou al voldoende moeten zijn om te voorkomen dat er door de machines waar de trojan de wachtwoorden heenstuurt bestanden aangepast kunnen worden.

En verder inderdaad zorgen dat je software up to date is, zoals serkoon aangeeft, maar dat is makkelijker gezegd dan gedaan en beschermt je ook niet tegen toekomstige bugs.

[Verwijderd]

Orion84 schreef op vrijdag 07 augustus 2009 @ 15:48:
Maar hoe dan ook: gewoon zorgen dat alleen de medewerkers toegang hebben tot de FTP server op IP basis zou al voldoende moeten zijn om te voorkomen dat er door de machines waar de trojan de wachtwoorden heenstuurt bestanden aangepast kunnen worden.

Bovenstaande heb ik even besproken, maar onze klanten hebben vaak zelf ook FTP toegang en het IP kan natuurlijk veranderen. Wij hebben wel meer dan een handjevol klanten, dus dat zou verre van praktisch zijn, zeker gezien het feit dat we dan echt enorm veel tijd kwijt zijn met alle klanten langs gaan om IP-adressen op te halen, bovendien kan Plesk niet een FTP-account toekennen aan één of meerdere IP-adressen. Uitzoeken welke AV werkt, zou dan nog de makkelijkste oplossing zijn.

Volgende week komt Norman hier langs om het een en ander te bespreken, dus ik ben benieuwd wat zij in petto hebben voor ons

Bedankt voor de tips iig!