Goedemiddag allemaal! Het is een lang verhaal, dus neem er even de tijd voor (pak de koffie maar alvast...).
Situatieschets
We hebben de laatste tijd veel problemen gehad rond ons internet. Het begon op 11 december (vrijdag) toen we en beveiligingswaarschuwing van XS4all kregen, waardoor ons internet eruit lag. Wij hebben toen onze systeembeheerder ingeschakeld en die heeft het probleem op 14 december (maandag) verholpen, maar XS4all gaf ons pas weer internet op de 18e.
Op de 22e (dinsdag) was er weer hetzelfde probleem. Toen ben ik er zelf achteraan gegaan en heb ik ongelofelijk veel voorzorgsmaatregelen genomen. We hadden echter pas weer internet op 30 (woensdag) december...
Op 15 januari (vrijdag) was er wéér hetzelfde probleem, en toen was ik het onderhand een beetje zat geworden. Ik heb wéér alles gedaan wat ik moest doen, en we hadden internet op de 20e (woensdag).
Gedaan
Wat ik allemaal gedaan heb:
Ik heb tot nu toe gevonden:
WireShark
In WireShark heb ik wel vaak een SMTP bericht zien langskomen (na het laatste mailcontact met XS4all, oftewel we hadden weer internet na de 3e afsluiting). Daardoor had ik besloten om het draadloze netwerk tijdelijk uit te zetten, omdat WireShark draaide op een computer met draadloos internet (en waar de 2 Trojaanse paarden zijn gevonden). Vanochtend stond WireShark aan en toen werd zo'n beetje elk e-mailtje geblockt, omdat ons IP op een paar blacklists staan (maar via outlook mailen lukt nog wel).
Ik had tijdelijk geen internet toen het draaide, en toen werd er niets verstuurd. Ik weet het niet zeker, maar mijn vermoeden is dat het van buitenaf via die computer wordt verstuurd. Eventueel staat er een programma op de desbetreffende computer die het 'doorstuurt' o.i.d. (maar ik weet er het fijne niet van, sterker nog, ik weet er bijna niets van).
Denet (nadat Artemis gevonden en verwijderd was) draaide WireShark weer en toen kwamen er géén SMTP berichten langs.
Router logs
De router logt alles sinds de 3e afsluiting (heb ik zelf ingesteld, XS4all heeft mij hier totaal niet bij geholpen of ook maar naar verwezen). En ik heb, sinds dat we weer internet hebben, tweemaal een port scan gehad en een hoop DOS. Daarnaast heb ik het volgende ingesteld (het IP adres is waar de port scans vandaan kwamen):
# Enable Service Name Action LAN Server IP address WAN Users Log
3 Any(ALL) BLOCK always Any 206.169.80.212 Always
Ik weet niet of dit goed is, maar we zijn in ieder geval niet weer afgesloten...
Dit zijn een paar voorbeelden van wat ik binnenkrijg:
Poorten open
Ik heb zelf een aantal poorten open gezet omdat dit nodig is als ik wil hosten met een game. Ze staan Outbound voor elk lokaal IP open en Inbound alleen voor het IP van de desbetreffende computer (waar ook de Trojaanse paarden zijn gevonden). Het gaat om: 3033, 3034 UDP en 17851, 17852 TCP. De kans dat het probleem hierdoor komt, acht ik zeer klein, omdat meer dan 100 mensen deze poorten open hebben staan (zonder problemen). Daarnaast 'moet' het van de gamemaker als je wilt hosten. Maar ik dacht, ik meld het erbij voor als...
Ik had ook poort 138 Inbound open staan op de desbetreffende computer, omdat ik anders niet op MSN kon, maar dat is nu alweer opgelost (sinds vanochtend).
Mijn vragen
Ik heb 3 vragen waar ik nu eindelijk (en zonder XS4all) antwoord op zou willen:
Ik zie hier niet zo snel iets schadelijks tussen staan... Ik heb overal een sterretje voor gezet van wat ik niet weet wat het precies doet en of het schadelijk is of niet.
Vervolg
Dit verhaal heb ik 3 dagen geleden geschreven. Inmiddels heb ik nog een paar keer gescand omdat het probleem niet opgelost was (ik kreeg nog steeds een hele hoop DoS' in m'n router binnen). Het Artemis geval komt steeds terug, wat ik ook probeer. En gister ontdekte Panda en vandaag Malwarebytes het volgende:
C:\Windows\System32\drivers\cbhxobxo.sys (Rootkit.Agent) -> Quarantined and deleted successfully.
Ik vermoed alleen dat het nu nog steeds niet weg is...
Ik heb even de FAQ's door gelezen en vermoed dat het gaat in ieder geval gaat om spoofing (dat verklaart de DoS'). Ik weet alleen niet of XS4all zou kunnen denken dat het daardoor van ons IP af komt en ik weet ook niet de verdere mogelijkheden van spoofing.
Situatieschets
We hebben de laatste tijd veel problemen gehad rond ons internet. Het begon op 11 december (vrijdag) toen we en beveiligingswaarschuwing van XS4all kregen, waardoor ons internet eruit lag. Wij hebben toen onze systeembeheerder ingeschakeld en die heeft het probleem op 14 december (maandag) verholpen, maar XS4all gaf ons pas weer internet op de 18e.
Op de 22e (dinsdag) was er weer hetzelfde probleem. Toen ben ik er zelf achteraan gegaan en heb ik ongelofelijk veel voorzorgsmaatregelen genomen. We hadden echter pas weer internet op 30 (woensdag) december...
Op 15 januari (vrijdag) was er wéér hetzelfde probleem, en toen was ik het onderhand een beetje zat geworden. Ik heb wéér alles gedaan wat ik moest doen, en we hadden internet op de 20e (woensdag).
Gedaan
Wat ik allemaal gedaan heb:
- Panda Endpoint Security, AVG, Nod32, AntiVir, Malwarebytes, Spybot, Hitman Pro, McAfee Stinger en ik vergeet er nog eén; hebben allemaal minimaal twee keer gedraaid en Malwarebytes, Stinger en AntiVir ook nog is in veilige modus. De meeste moesten van XS4all (onbegrijpelijk dat ze eerst zeggen dat je met x, y en z moet scannen en vervolgens dat je met a, b en c moest scannen...), en Panda staat hier sowieso op. (In totaal heb ik overigens meer dan 30 keer gescand)
- Poort 25 dicht gegooid in Panda na de 2e afsluiting van XS4all
- WireShark een paar keer laten draaien
- Draadloos internet er tijdelijk uitgegooid
- Logs van de router door laten sturen
- GRC.com tests gedaan (alles staat in stealth)
Ik heb tot nu toe gevonden:
- Found the Artemis!DE0672BF7066 trojan !!!
C:\Users\Renze\AppData\Roaming\Implicit-Link\iWebNoti.exe has been deleted. - av_md.exe, Trojaans paard
WireShark
In WireShark heb ik wel vaak een SMTP bericht zien langskomen (na het laatste mailcontact met XS4all, oftewel we hadden weer internet na de 3e afsluiting). Daardoor had ik besloten om het draadloze netwerk tijdelijk uit te zetten, omdat WireShark draaide op een computer met draadloos internet (en waar de 2 Trojaanse paarden zijn gevonden). Vanochtend stond WireShark aan en toen werd zo'n beetje elk e-mailtje geblockt, omdat ons IP op een paar blacklists staan (maar via outlook mailen lukt nog wel).
Ik had tijdelijk geen internet toen het draaide, en toen werd er niets verstuurd. Ik weet het niet zeker, maar mijn vermoeden is dat het van buitenaf via die computer wordt verstuurd. Eventueel staat er een programma op de desbetreffende computer die het 'doorstuurt' o.i.d. (maar ik weet er het fijne niet van, sterker nog, ik weet er bijna niets van).
Denet (nadat Artemis gevonden en verwijderd was) draaide WireShark weer en toen kwamen er géén SMTP berichten langs.
Router logs
De router logt alles sinds de 3e afsluiting (heb ik zelf ingesteld, XS4all heeft mij hier totaal niet bij geholpen of ook maar naar verwezen). En ik heb, sinds dat we weer internet hebben, tweemaal een port scan gehad en een hoop DOS. Daarnaast heb ik het volgende ingesteld (het IP adres is waar de port scans vandaan kwamen):
# Enable Service Name Action LAN Server IP address WAN Users Log
3 Any(ALL) BLOCK always Any 206.169.80.212 Always
Ik weet niet of dit goed is, maar we zijn in ieder geval niet weer afgesloten...
Dit zijn een paar voorbeelden van wat ik binnenkrijg:
- TCP Packet - Source:206.169.80.212 Destination:82.95.223.84 - [PORT SCAN]
- UDP Packet - Source:194.109.9.99,53 Destination:1.0.0.0,54824 - [DOS]
TCP Packet - Source:82.195.142.201,52599 Destination:1.0.0.0,113 - [DOS]
TCP Packet - Source:59.106.157.130,42565 Destination:1.0.0.0,113 - [DOS] - Sat, 2010-01-23 22:22:43 - UDP Packet - Source:194.109.6.66,53 Destination:1.0.0.0,59841 - [Any(ALL) match]
Sat, 2010-01-23 22:22:43 - TCP Packet - Source:62.193.230.39,36239 Destination:1.0.0.0,113 - [Any(ALL) match]
Sat, 2010-01-23 22:22:43 - TCP Packet - Source:204.239.10.12,33228 Destination:1.0.0.0,113 - [Any(ALL) match]
Poorten open
Ik heb zelf een aantal poorten open gezet omdat dit nodig is als ik wil hosten met een game. Ze staan Outbound voor elk lokaal IP open en Inbound alleen voor het IP van de desbetreffende computer (waar ook de Trojaanse paarden zijn gevonden). Het gaat om: 3033, 3034 UDP en 17851, 17852 TCP. De kans dat het probleem hierdoor komt, acht ik zeer klein, omdat meer dan 100 mensen deze poorten open hebben staan (zonder problemen). Daarnaast 'moet' het van de gamemaker als je wilt hosten. Maar ik dacht, ik meld het erbij voor als...
Ik had ook poort 138 Inbound open staan op de desbetreffende computer, omdat ik anders niet op MSN kon, maar dat is nu alweer opgelost (sinds vanochtend).
Mijn vragen
Ik heb 3 vragen waar ik nu eindelijk (en zonder XS4all) antwoord op zou willen:
- Hoe kan dit gebeurd zijn en wat is het probleem?
- Hoe is het op te lossen?
- En hoe kan ik het in de toekomst voorkomen?
code:
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
| Logfile of Trend Micro HijackThis v2.0.3 (BETA)
Scan saved at 13:44:03, on 24-1-2010
Platform: Windows Vista SP2 (WinNT 6.00.1906)
MSIE: Internet Explorer v7.00 (7.00.6002.18005)
Boot mode: Normal
Running processes:
C:\Windows\system32\taskeng.exe
C:\Windows\Explorer.EXE
C:\Program Files\Windows Defender\MSASCui.exe
C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe
C:\Program Files\TortoiseSVN\bin\TSVNCache.exe
C:\Program Files\Panda Security\WAC\PsCtrlC.exe
C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\MOM.exe
C:\Program Files\Creative\Software Update 3\SoftAuto.exe
C:\Program Files\WhatPulse\WhatPulse.exe
C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CCC.exe
C:\Program Files\Winamp\winamp.exe
* C:\Windows\system32\wuauclt.exe
C:\Program Files\CCleaner\ccleaner.exe
* C:\Windows\system32\conime.exe
* C:\Windows\system32\Dwm.exe
C:\Windows\System32\notepad.exe
C:\Users\Renze\Desktop\stinger1001688(2).exe
C:\Program Files\Windows Live\Messenger\msnmsgr.exe
C:\Program Files\Windows Live\Contacts\wlcomm.exe
C:\Program Files\mIRC\mirc.exe
C:\Program Files\Mozilla Firefox\firefox.exe
* C:\Windows\system32\SearchFilterHost.exe
C:\Program Files\hijackthis\TrendMicro\HiJackThis\HiJackThis. exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = [url]http://www.plusnetwork.com[/url]
* R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Int ernet Settings,ProxyOverride = *.local;<local>
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O1 - Hosts: ::1 localhost
* O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
* O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll
O2 - BHO: Windows Live Aanmelden - Help - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe"
O4 - HKLM\..\Run: [StartCCC] "C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" MSRun
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Panda Software Controller Client] "C:\Program Files\Panda Security\WAC\PSCtrlC.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [ccleaner] "C:\Program Files\CCleaner\CCleaner.exe" /AUTO
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [SoftAuto.exe] "C:\Program Files\Creative\Software Update 3\SoftAuto.exe"
O4 - HKCU\..\Run: [WhatPulse] C:\Program Files\WhatPulse\WhatPulse.exe
O4 - HKCU\..\Run: [DAEMON Tools Lite] "C:\Program Files\DAEMON Tools Lite\daemon.exe" -autorun
O4 - HKCU\..\Run: [EA Core] "C:\Program Files\Electronic Arts\EADM\Core.exe" -silent
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'NETWORK SERVICE')
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\PROGRA~1\Java\JRE16~1.0_0\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\PROGRA~1\Java\JRE16~1.0_0\bin\ssv.dll
* O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
* O13 - Gopher Prefix:
O22 - SharedTaskScheduler: Component Categories cache daemon - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\Windows\system32\browseui.dll
O23 - Service: Application Driver Auto Removal Service (01) (appdrvrem01) - Protection Technology - C:\Windows\System32\appdrvrem01.exe
O23 - Service: Ati External Event Utility - ATI Technologies Inc. - C:\Windows\system32\Ati2evxx.exe
O23 - Service: CT Device Query service (CTDevice_Srv) - Creative Technology Ltd - C:\Program Files\Creative\Shared Files\CTDevSrv.exe
O23 - Service: Creative Centrale Media Server (CTUPnPSv) - Creative Technology Ltd - C:\Program Files\Creative\Creative Centrale\CTUPnPSv.exe
* O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
* O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: Panda Software Controller - Panda Security - C:\Program Files\Panda Security\WAC\PsCtrlS.exe
O23 - Service: Panda Endpoint Scheduler (PavAt3Scheduler) - Panda Security - C:\Program Files\Panda Security\WaAgent\Scheduler\PavSched.exe
O23 - Service: Panda Function Service (PavFnSvr) - Unknown owner - C:\Program Files\Panda Security\WAC\pavFnSvr.exe
O23 - Service: Panda Antivirus Service (PavSrv) - Panda Security, S.L. - C:\Program Files\Panda Security\WAC\pavsrvx86.exe
O23 - Service: Panda Endpoint Local Process Manager (PavWASLpMng) - Panda Security - C:\Program Files\Panda Security\WaAgent\WasLpMng\WASLPMNG.exe
O23 - Service: PnkBstrA - Unknown owner - C:\Windows\system32\PnkBstrA.exe
O23 - Service: Panda Host Service (PSHost) - Unknown owner - C:\Program Files\Panda Security\WAC\PSHost.exe
O23 - Service: Panda Imanager Service (PSImSvc) - Panda Security - C:\Program Files\Panda Security\WAC\PSIMSVC.EXE
O23 - Service: Panda Kernel Service (PskSvc) - Panda Software International - C:\Program Files\Panda Security\WAC\psksvc.exe
O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - CACE Technologies, Inc. - C:\Program Files\WinPcap\rpcapd.exe
* O23 - Service: ScsiAccess - Unknown owner - C:\Windows\system32\ScsiAccess.EXE
O23 - Service: wampapache - Apache Software Foundation - C:\Users\Renze\Desktop\XSWeb\wwwroot\zorgfactor\wa mp\bin\apache\apache2.2.11\bin\httpd.exe
O23 - Service: wampmysqld - Unknown owner - C:\Users\Renze\Desktop\XSWeb\wwwroot\zorgfactor\wa mp\bin\mysql\mysql5.1.32\bin\mysqld.exe
O23 - Service: Panda Endpoint Communications Agent (WASAgent) - Panda Security - C:\Program Files\Panda Security\WaAgent\WasAgent\WasAgent.exe
O23 - Service: Panda Endpoint Watchdog (WASWD) - Panda Security - C:\Program Files\Panda Security\WaAgent\WasWD\WasWD.exe
--
End of file - 6812 bytes |
Ik zie hier niet zo snel iets schadelijks tussen staan... Ik heb overal een sterretje voor gezet van wat ik niet weet wat het precies doet en of het schadelijk is of niet.
Vervolg
Dit verhaal heb ik 3 dagen geleden geschreven. Inmiddels heb ik nog een paar keer gescand omdat het probleem niet opgelost was (ik kreeg nog steeds een hele hoop DoS' in m'n router binnen). Het Artemis geval komt steeds terug, wat ik ook probeer. En gister ontdekte Panda en vandaag Malwarebytes het volgende:
C:\Windows\System32\drivers\cbhxobxo.sys (Rootkit.Agent) -> Quarantined and deleted successfully.
Ik vermoed alleen dat het nu nog steeds niet weg is...
Ik heb even de FAQ's door gelezen en vermoed dat het gaat in ieder geval gaat om spoofing (dat verklaart de DoS'). Ik weet alleen niet of XS4all zou kunnen denken dat het daardoor van ons IP af komt en ik weet ook niet de verdere mogelijkheden van spoofing.
:strip_icc():strip_exif()/u/10520/icon.jpg?f=community){kind=icon}
:strip_icc():strip_exif()/u/212310/6.jpg?f=community)
:strip_icc():strip_exif()/u/37855/icoon.jpg?f=community)
:strip_icc():strip_exif()/u/38865/syq_666.jpg?f=community)
/u/48525/EgyptEyes.JPG?f=community)
/u/208006/Zagor%2520small.JPG?f=community)
/u/44155/marzman.png?f=community)
:strip_exif()/u/65053/oranje.gif?f=community)
). We zijn inderdaad voor de 4e keer afgesloten.
:strip_exif()/u/69352/eye.gif?f=community)
:strip_exif()/u/87035/li.gif?f=community)
Meulugar
:strip_icc():strip_exif()/u/1878/iconburngot.jpg?f=community)
:strip_icc():strip_exif()/u/12097/crop6691a4b62edcb_cropped.jpg?f=community)
:strip_icc():strip_exif()/u/180748/avatar%2520nieuw%252060x60.jpg?f=community){kind=avatar}
)
:strip_icc():strip_exif()/u/44267/wap11.jpg?f=community)