Backdoor file gevonden, wat nu?

[amark]

Tijd geleden heb ik onderstaande html file onderschept. Alle email accounts met bewaarde wachtwoorden stonden erop. Gelijk een trojan remover tegen aan gegooid en systeem gerestored.

Mijn vraag is of hiermee (1) de kous af is of is het verstandig om toch Windows Vista te formateren. Verder (2) kent iemand deze uitdraai (of ben je de owner)? Of is dit geen (3) standaard spylogger?

Zijn er (4) prog om veilig je wachtwoorden te bewaren op je pc?

• Windows Vista business
• NOD32

[lordgandalf]

het ziet er uit dat het een of andere duitse malware is.
Voor het veilig opslaan van passwords kun je kijken naar keepass.
op de site van warezelite is via de google cache een page te bekijken waar ook enkele van dit soort lijstjes staan.
Dus ik zou je pw`s change en herinstaleren

[Outerspace]

1) Scan nogmaals actief met NOD32 en loop evt met hijackthis alles na
2) Geen relefante info
3) Je moet de herkomst van de html file vinden. Dan kan je meer uitzoeken.
4) KeepPass (KeepPassword).

[amark]

lordgandalf schreef op donderdag 11 maart 2010 @ 16:03:
Voor het veilig opslaan van passwords kun je kijken naar keepass.
op de site van warezelite is via de google cache een page te bekijken waar ook enkele van dit soort lijstjes staan.
Dus ik zou je pw`s change en herinstaleren

Bedankt voor inzicht. Bij Warezelite moet ik zeker bij de "underground" katern zijn. Bedoel je met herinstaleren, besturingssysteem?

Outerspace schreef op donderdag 11 maart 2010 @ 16:04:

3) Je moet de herkomst van de html file vinden. Dan kan je meer uitzoeken.

html zat in een cache map weet niet meer welke.

[CmdrKeen]

System restore op het systeem zelf kan je niet op vertrouwen als dat systeem geïnfecteerd is/was. Als je zeker wilt weten dat de installatie schoon is, moet je booten vanaf een usb-stick of CD of je disk extern op een ander systeem aansluiten en daarvandaan scannen.

Dit in antwoord op (1)

[Releases]

Draai is Cain & Abel en kijk of die connectie maakt met een FTP server of een Gmail account waar deze ''logs'' naar toe gestuurd worden. Dit soort programma worden ook wel Stealer genoemd en worden veel gebruikt door scriptkiddies.

Het programma ziet eruit als iStealer 3.0 , een van de eerste varianten, kon alleen gebruik worden met FTP.
Dus de logs zullen wel naar een FTP server gestuurd worden.

Weet je welk programma dit starte, zo ja? Voer deze opnieuw uit, zo kan Cain & Abel zien waar alles naar toe gestuurd word.

[ Voor 39% gewijzigd door Releases op 11-03-2010 16:35 . Reden: Toevoeging ]

[amark]

Vorkbaard schreef op donderdag 11 maart 2010 @ 16:28

Aha, dus zodra besturingssysteem operationeel is, verstopt malware voor scanners...

Releases schreef op donderdag 11 maart 2010 @ 16:30

Ik weet niet meer welk programma dat was. Uit angst zijn alle verdachte programma's direct verwijderd.

iig bedankt voor deze inzicht. Ik kom steeds verder in mijn detective sporenonderzoek

[Releases]

Geen probleem. Succes ermee. Mocht je toegang krijgen tot die FTP gegevens, delete alle folders.

Heb zelf is lopen klooien met dit soort programma's in een VM, en ik moet zeggen, ze zitten best idioot in elkaar soms. Ze kunnen alles gelijk kopieren en doorlussen naar een SQL database, FTP server of een email account.

Succes met je speurtoch!

[Bor]

Vorkbaard schreef op donderdag 11 maart 2010 @ 16:28:
System restore op het systeem zelf kan je niet op vertrouwen als dat systeem geïnfecteerd is/was. Als je zeker wilt weten dat de installatie schoon is, moet je booten vanaf een usb-stick of CD of je disk extern op een ander systeem aansluiten en daarvandaan scannen.

Dit in antwoord op (1)

Als je zeker wilt weten dat het systeem schoon en betrouwbaar is is de enige oplossing een herinstallatie + restore van persoonlijke bestanden van een schone bron. Gezien NOD de malware blijkbaar niet tijdens uitvoeren heeft gestopt is de kans erg groot dat je het bij een nieuwe scan ook niet (helemaal) zult kunnen vinden.

[amark]

Bor de Wollef schreef op donderdag 11 maart 2010 @ 17:15:
[...]


Als je zeker wilt weten dat het systeem schoon en betrouwbaar is is de enige oplossing een herinstallatie + restore van persoonlijke bestanden van een schone bron. Gezien NOD de malware blijkbaar niet tijdens uitvoeren heeft gestopt is de kans erg groot dat je het bij een nieuwe scan ook niet (helemaal) zult kunnen vinden.

Ik denk hoe vervelend ook dat een herinstallatie binnenkort zal voltrekken.

[LuckY]

Waar je op moet letten, keepass is leuk, maar als jij je wachtwoord in een programma opslaat kan het zo uitgelezen worden. Tevens zou ik niet cain en abel gebruiken maar wireshark, is iets duidelijker

[ Voor 39% gewijzigd door LuckY op 11-03-2010 18:03 ]

[CmdrKeen]

KeePass is niet hetzelfde als Notepad. Het is een db is redelijk goed beveiligd is; het gebruikt Rijndael (AES) en Twofish. Ik zou me daar dus niet echt zorgen over maken.

[LuckY]

Ja, als die de wachtwoorden uit KeePass haalt, en niet als die ze lokaal opslaat daar doelde ik meer op. Dus bijvoorbeeld zijn Messenger wachtwoord lokaal opslaan, of zijn outlook wachtwoord.

[lordgandalf]

Ik heb sindskort al mijn passwords in keepass staan. Dit is echt een ideaal programma. wachtwoorden worden uit het geheugen verwijdert