Spyware kan niet gevonden worden, maar is wel actief

[Verwijderd]

Een paar dagen geleden kreeg ik tijdens het surfen ineens een melding van AVG Free dat een virus geblokkeerd zou worden. Het bleek te gaan om "Digital protection" met zijn karavaan. Opmerkelijk omdat:

1. AVG free draait en een paar minuten geleden nog geupdate was. De helft werd gevonden, maar de rest werd gewoon doorgelaten.
2. Spybot S&D en Adware ook actief in de achtergrond draaide. In combinatie met een up-to-date Windows XP SP 3 met dat verouderde beveiligingstooltje van MS (ben de naam even kwijt, is nu uninstalled).
3. Ik op dat moment alleen op youtube zat en op geen enkele andere site. Ik een up-to-date versie van Opera gebruik en nooit op sites kom waar je iets dergelijks zou kunnen verwachten en ik al tijden niets geinstalleerd heb.
4. Ik het een uur later op een andere computer ook zonder enige rede kreeg. Toen met Firefox, Win7 (user account, geen admin), Avg Free, Spybot S&D (user account, geen admin).

Ik heb het volgende gedaan om het te verwijderen van beide computers:

• Rkill gedownload.
• Reboot in safe mode zonder networking.
• Rkill uitgevoerd.
• Volledige scan met Malwarebytes anti-malware en de troep verwijderd.
• Volledige scan met AVG Free (niets gevonden).
• Idem voor Spybot S&D (niets gevonden).
• Idem voor Ad-aware (niets gevonden).

Na rebooten leek alles weer te werken. Voor de zekerheid heb ik maar een licentie van Malwarebytes gekocht. Voor nog geen twee tientjes kun je er niet echt een buil aan vallen. Nadat ik de shield aangezet had werden er aan één stuk door IP's geblokkeerd. Honderden per uur terwijl met geen van bovenstaande programma's nog iets gevonden kon worden.

Ik heb toen gescand met:

• Bitdefender online (niets gevonden).
• Windows live one care (niets gevonden).
• F-secure online -> Een aantal cookies verwijderd.
• Housecall (niets gevonden).
• Hijackthis (niets bijzonders gevonden).

Verder heb ik mijn cache, temp, etc. weggegooid.

Het blokkeren van IP-adressen blijft echter gewoon doorgaan. Tevens wordt er om het uur ongeveer een scherm met een vreemde URL geopend. Het maakt niet uit welke browser ik dan open heb staan, het is bij allemaal zo, bij beide computers. Opera, Firefox en/of Iexplorer. In diegene die actief is wordt een nieuw tabblad geopend en er wordt naar een niet bestaande site gegaan. Een voorbeeld van de site vind je hieronder:

Dit soort links graag weglaten in de post

IP-adressen die worden geblokkeerd zijn er honderden. Het is minder geworden (nu 1 blokkade per kwartier in plaats van 100-en per minuut), maar het gaat nog wel door. Googlen op de IP-adressen of één van de urls heeft weinig zin, want er wordt nagenoeg niets gevonden.

Iemand suggesties?

[ Voor 3% gewijzigd door iisschots op 16-04-2010 10:56 ]

[BoGhi]

Het verkeer dat geblokkeerd wordt, is dat inkomend of uitgaand verkeer? Kijk even wat voor poorten er staan te luisteren op je PC, of welk proces er draait dat connectie zoekt. Met netstat -ano

[EDIT]

http://support.kaspersky.com/viruses/solutions?qid=208280684

Lijkt dat je een rootkit te pakken hebt. Voer eens uit wat er op die pagina staat

[Verwijderd]

Dank voor de snelle reacties!

BoGhi
Ik krijg een hele lijst, voornamelijk mijn eigen IP-adressen (127.0.0.1, 192.168.2.2). Verder staat er in de lijst een rijtje met:

[::]:7 - [::]:0 - Listening - 1348
[::]:9 - [::]:0 - Listening - 1348
etc.

EDIT
Driver atapi.sys infected by TDSS rootkit. Volgens het tooltje zou het gecleaned worden bij reboot, maar na reboot krijg ik hetzelfde.

[Dnomaid]

Even als admin proberen of in safe mode als je dat nog niet hebt geprobeerd met deze tool?

Edit: ben je met de TDSKiller aan't werken of met GMER?

[ Voor 62% gewijzigd door Dnomaid op 16-04-2010 10:37 ]

[LuckY]

Reinstall

Je bent imho te lang bezig voor iets gevaarlijks als een rootkit, clear je MBR formateer heel je schijf en installeer hem dan opnieuw

[Verwijderd]

Op één computer werd bovenstaande rootkit dus gevonden, maar op de ander (met dezelfde problemen) niet..

Ik heb inmiddels ComboFix gedraaid. Deze heeft e.e.a. verwijderd, maar het probleem niet opgelost.

Dnomaid > TDSKiller. Ik zal deze in safe mode nog even proberen.

edit:
Safe mode zelfde probleem, alleen is het bestand nu tsk2.tmp.

Lucky > Als laatste redmiddel. Wat bedoel je overigens met MBR?

[ Voor 9% gewijzigd door Verwijderd op 16-04-2010 11:12 ]

[Dnomaid]

Er staat toch op die pagina dat een geïnfecteerde atapi.sys symptoom is van de derde generatie toolkit, en dat dat met GMER kan verwijderd worden. Ik zou die eens proberen.

Lijkt erop dat die tool alleen detecteert.

Symptoms of infection Rootkit.Win32.TDSS third generation (TDL3)

An infection can be detected with utility Gmer. It detects replacement of a “device” object of the system driver atapi.sys.

[ Voor 6% gewijzigd door Dnomaid op 16-04-2010 12:01 ]

[Verwijderd]

Een klein beetje offtopic, maar ik zit tegen wat deadlines aan te werken en nu alles opnieuw installeren is nog even niet aan de orde. Ik vroeg mij wel het volgende af:

1. Buiten dat het vervelend is, is eens per uur een venstertje wegklikken en IP-adressen automatisch laten blokkeren nog wel te doen. Maar loop ik verder nog bijzondere risico's? Even maar niet internetbankieren? Files extra backuppen? Iets anders?

2. Met AVG Free, Ad aware, S&D, Windows defender, MS Firewall, Router firewall, alles up to date, geen outlook en geen iexplorer heb ik mijzelf redelijk veilig gewaand. Niet dus. Zelf dacht ik er aan AVG in te ruilen voor Antivir, S&D mag blijven en MalwareBytes anti malware heeft nu Adaware en Windows defender vervangen. Zijn er nog andere maatregels die ik kan nemen?

3. Ik installeer zelden tot nooit software, heb alles legaal, download nooit warez, muziek, films, porno of wat dan ook. Waar heb ik deze rootkit vandaan?

[Dnomaid]

Nog wat gegoogeld, blijkt dat er varianten zijn van deze rootkit die echt hardnekkig zijn. Ik wil je de hoop niet doen opgeven, maar bekijk deze thread op Kaspersky eens:

http://forum.kaspersky.co...on/index.php/t165612.html

Misschien kan je daar zelf ook een threadje starten?

[ Voor 10% gewijzigd door Dnomaid op 16-04-2010 13:23 ]

[hardware-lover]

Ik heb iets soortgelijks meegemaakt en ben de besmetting opgelopen via een "normale" internet_pagina van een restaurant. Die pagina was niet afdoende dichtgetimmerd en kon zodoende als basis voor de besmetting dienen.
Ik heb de besmetting opgelopen bj gebruik van AVG en Firefox, via IE8 werd de pagina keurig geblokkeerd en gebeurde me niets. AVG (Free) bood, samen met Windows Defender, duidelijk onvoldoende bescherming.
Ik ben daarop overgestapt naar (gratis) Microsoft Security Essentials en deze ving de aanval via Firefox wel goed op en kon daarnaast mijn besmette systeem ook goed schoon krijgen, iets wat met AVG niet geheel lukte.

[Dnomaid]

Nog een laatste probeersel: vooraleer je TDSKiller gebruikt System Restore uitschakelen?

[Verwijderd]

Dnomaid > Die zal ik nog proberen, bedankt voor al jouw moeite, het wordt erg gewaardeerd.

[Verwijderd]

Het probleem is nog niet verholpen. Vreemd is wel dat geen enkele scanner op Jotti een virus herkend in een van de bestanden.

[EDIT]

Zoals eerder is gezegd: van een rootkit kom je niet zomaar af.
Je zult de hele schrijf, inclusief de master boot record moeten formateren en alles opnieuw moeten installeren wil je er zeker van zijn dat je er van af bent.
En gebruik voor de installatie geen Windows CD's/DVD's uit onbetrouwbare bron, in heel veel gevallen zat namelijk deze rootkit daar al gratis meegeleverd.

[iisschots]

Dan is er denk ik nog 1 oplossing. Als je het niet kwijt krijgt via een scanner blijft helaas alleen herinstalatie over.

[Baserk]

En dan misschien ook meteen een OS+progs partitie aanmaken, de boel installeren en updaten en dan meteen een image daarvan maken (bijvoorbeeld met gratis Paragon) zodat een volgende reinstall je hoogstens 10/15 minuten kost.

Verwijderd schreef op vrijdag 16 april 2010 @ 11:05:
Lucky > Als laatste redmiddel. Wat bedoel je overigens met MBR?

Master Boot Record Wiki;
"In de architectuur van de IBM PC is het master boot record (MBR) (of partitiesector) de bootsector, dat is de allereerste sector van een harde schijf. Er staat een reeks opdrachten in die nodig is om het besturingssysteem te laden (booten)."
Als een rootkit zich daar nestelt moet je dus ook je MBR verwijderen.

(Hitman Pro 3.5 had je ook nog kunnen proberen, is een snelle antimalware scanner die de TDSS/Alureons redelijk bijhoudt maar herinstallatie heeft ook mijn voorkeur).

[-The_Mask-]

Baserk schreef op maandag 19 april 2010 @ 13:07:
(Hitman Pro 3.5 had je ook nog kunnen proberen, is een snelle antimalware scanner die de TDSS/Alureons redelijk bijhoudt maar herinstallatie heeft ook mijn voorkeur).

En Avast vind ook nog wel eens wat rootkits en kon ze ook verwijderen, Malwarebytes lukte het niet. Sowieso is Avast (vooral sinds versie 5) één van de beste virusscanners die er bestaat en nog gratis ook.

[ Voor 11% gewijzigd door -The_Mask- op 19-04-2010 13:13 ]

[Verwijderd]

Bedankt voor de replies.

Edit > Ik heb een legale pro versie, alhoewel dit misschien een mooi moment is om 7 eens aan te schaffen. Ik moet toch ooit met de tijd mee.

Baserk > Image is slim, ga ik doen. Hitman Pro had ik al geprobeerd, stond alleen niet in het lijstje. Volgens mij heb ik zo'n beetje alle scanners geprobeerd.

The_Mask > Avast ga ik nog proberen en anders toch binnenkort maar formatten.

Overigens nog een vraag. Hoe voorkom ik dit in de toekomst? Uitkijken, niets (onbetrouwbaars) downloaden e.d. deed ik al, alsmede software en anti-virus up-to-date houden. Misschien een gast account aanmaken of iets dergelijks? Ik heb daar niet zo veel verstand van. Ik wil eigenlijk gewoon alles installeren dat ik nodig heb en dan het account locken ofzo.

[ Voor 30% gewijzigd door Verwijderd op 20-04-2010 10:46 ]

[Baserk]

Een user account aanmaken en van daaruit 'gewoon' werken, is de eerste stap.
Je zou ook, afhankelijk van je OS keuze, kunnen kijken naar Sandboxie.
Kan je voortaan programma's draaien en/of gedownloade progs eerst draaien in de sandbox.
Bevalt iets je niet, dan 'kieper' je de sandbox leeg en worden alle veranderingen door de installatie, die dus alleen in de sandbox hebben plaatsgevonden, weer teniet gedaan.

Zorg er verder voor dat alle/de meeste progs op je computer up-to-date zijn.
Gebruik hiervoor Secunia OSI of Secunia PSI.
Drive-by malware/trojans die zich verbergen in willekeurige advertenties op willekeurige sites, kan je uit de buurt houden door te surfen met een browser met een goed adblocker zoals Firefox gecombineerd met de add-on AdblockPlus.
Nog een stap verder kan je gaan met de add-on Noscript maar dat vinden nogal wat mensen toch te lastig om prettig mee te browsen. Maar misschien vind jij 't wel mee vallen.

[Verwijderd]

Baserk > Bedankt voor de uitgebreide tips! Ik gebruik zelf Opera, omdat ik dat fijner vind werken fan FF e.d. Nou dacht ik de Opera een behoorlijk veilige browser was. Klopt dat, of zou FF qua veiligheid beter zijn? Noscript vind ik wat lastig aangezien ik zelf behoorlijk veel script.

[Verwijderd]

Het is weg!

Ik heb echt alles geprobeerd: Al die scanners uit de startpost plus inmiddels TDSSKiller, Combofix, Rootrepeal, Blacklight, Hitman Pro, GMER, Windows Malicious Software Removal Tool, Antivir_Rootkit, AVG Anti-Rootkit, RU-Botted, Panda Activescan, CWShredder, Rootkitbuster, Prevx, etc.

Sommigen hadden bij voorbaat al geen zin, maar de meeste tools hoef je niet te installeren en geen van allen kan kwaad.

Na bovenstaande lijst had ik nog één keer gegoogled. Er was een site die "DR Web Cure it" adivseerde. Verder vond ik van Sophos ook nog een anti rootkit scanner. Als dit niet zou werken zou ik alles opnieuw installeren. Maar het werkte dus wel. Beiden haalden een hoop zooi weg die geen enkel ander programma zag of weg kreeg. Beide zijn gratis en kan ik dan dus ook zeker aanbevelen wanneer je last hebt van een rootkit of andere malware.

[ Voor 7% gewijzigd door Verwijderd op 27-04-2010 10:11 ]