[Vista64]TrojanClicker:Win32/Yabector.A*

[pkopf]

Tot mijn schrik vond een volledige scan van Microsoft Security Essentials gisteren op mijn pc een trojan: TrojanClicker:Win32/Yabector.genYabector.A. MSE gaf na afloop van de scan aan dat het de trojan heeft verwijderd.

Toch ben ik er niet gerust om dat nu alles weg is. Ik heb daarna gelijk in veilige modus nog een keer een volledige scan van MSE laten draaien, deze vond niets.

Zijn er nu nog meer zaken waar ik op moet letten? Een zoektocht op Google levert mij enerzijds relatief geruststellende topics (zoals deze) en anderzijds wat meer verontrustende topics (zoals deze en deze).

Ik kwam de infectie op het spoor omdat ik na een verse install juist ervoer dat Windows wel erg traag was en onstabiel bij het opstarten. Dat verwondert me ook wel, deze install staat er pas sinds afgelopen zondagmiddag op en heeft op donderdag al een infectie...

Ik zit nu niet achter mijn thuis pc, maar ik kan later vandaag een hijackthis-log posten.
Ik was benieuwd of er hier ook mensen zijn die ervaring hebben met deze trojan, een search op GoT leverde me niet wat op.

[ Voor 14% gewijzigd door pkopf op 29-08-2010 11:24 ]

[dutch_camel]

Wanneer je het niet vertrouwd, direct je wachtwoorden wijzigen (mail, router, dat soort zaken), weet je zeker dat daar geen problemen van kunnen komen. Wanneer je iets aan Internet bankieren/creditcards doet via de PC, rekeningen in de gaten houden.
MBAM downloaden, en laten scannen.

Ik ben niet bekend met Microsoft Security Essentials en hoe goed/slecht deze is in het (actief/preventief) onderscheppen van virsusen/trojans. Mss overwegen om instellingen van MSE aan te passen (strakker stellen), of een ander pakket.

[EDIT]: Ik zie hier dat ze het zeker niet slecht doen met MSE.

[pkopf]

@dutch_camel: bedankt voor de tip, ik zat ook al in paranoid-modus en heb al wachtwoorden van mail en dergelijken gewijzigd (op een andere computer). Bankieren doe ik idd ook vanaf deze pc, maar dat gaan gelukkig ook via een fysieke beveiligingsmethode (een token).

Ik heb ook MBAM laten scannen (snel), maar die heeft niets gevonden.

code:

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Databaseversie: 4489

Windows 6.0.6002 Service Pack 2
Internet Explorer 8.0.6001.18943

27-8-2010 16:11:28
mbam-log-2010-08-27 (16-11-28).txt

Scantype: Snelle scan
Objecten gescand: 129402
Verstreken tijd: 3 minuut/minuten, 9 seconde(n)

Geheugenprocessen geïnfecteerd: 0
Geheugenmodulen geïnfecteerd: 0
Registersleutels geïnfecteerd: 0
Registerwaarden geïnfecteerd: 0
Registerdata geïnfecteerd: 0
Mappen geïnfecteerd: 0
Bestanden geïnfecteerd: 0

Geheugenprocessen geïnfecteerd:
(Geen kwaadaardige objecten gedetecteerd)

Geheugenmodulen geïnfecteerd:
(Geen kwaadaardige objecten gedetecteerd)

Registersleutels geïnfecteerd:
(Geen kwaadaardige objecten gedetecteerd)

Registerwaarden geïnfecteerd:
(Geen kwaadaardige objecten gedetecteerd)

Registerdata geïnfecteerd:
(Geen kwaadaardige objecten gedetecteerd)

Mappen geïnfecteerd:
(Geen kwaadaardige objecten gedetecteerd)

Bestanden geïnfecteerd:
(Geen kwaadaardige objecten gedetecteerd)

Ik heb wel de bron van de besmetting gevonden overigens, ik las op internet dat deze trojan 'meegeleverd wordt' met Exact Audio Copy. Ik heb de install van EAC gebackuped op mijn externe HDD, welke ik terug heb gezet op mijn pc na de verse windows install van afgelopen zondag. Daar is dus ook EAC in meegekomen.

Hier een screenshot van de melding van MSE:


Ben nu nog met Malwarebytes een uitgebreide scan aan het uitvoeren op mijn schijven inclusief de externe, om te kijken of alles eraf is: dat blijkt zo te zijn. Uitgebreide scan heeft niets gevonden. Externe HDD lijkt weer clean.


Kleine aside, ik heb dus weet ik veel hoe lang een trojan gehad, ik ben al jaren een grote fan van Exact Audio Copy...nooit iets meegekregen dat er een trojan in hun installatiebestand zit. Lekker is dat...

Hijackthis-log (voor zover iemand het nog volgt):

code:

Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 16:33:51, on 27-8-2010
Platform: Windows Vista SP2 (WinNT 6.00.1906)
MSIE: Internet Explorer v8.00 (8.00.6001.18943)
Boot mode: Normal

Running processes:
C:\Program Files (x86)\Mozilla Firefox\firefox.exe
C:\Program Files (x86)\Malwarebytes' Anti-Malware\mbam.exe
C:\Program Files (x86)\Common Files\Adobe\ARM\1.0\AdobeARM.exe
D:\Download\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.nl/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = C:\Windows\SysWOW64\blank.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
F2 - REG:system.ini: UserInit=userinit.exe
O1 - Hosts: ::1 localhost
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files (x86)\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O4 - HKLM\..\RunOnce: [Malwarebytes' Anti-Malware] "C:\Program Files (x86)\Malwarebytes' Anti-Malware\mbamgui.exe" /install /silent
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'NETWORK SERVICE')
O8 - Extra context menu item: Add to Google Photos Screensa&ver - res://C:\Windows\system32\GPhotos.scr/200
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~2\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Onderzoek - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~2\MICROS~2\OFFICE11\REFIEBAR.DLL
O22 - SharedTaskScheduler: Component Categories cache daemon - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\Windows\system32\browseui.dll
O23 - Service: @%SystemRoot%\system32\Alg.exe,-112 (ALG) - Unknown owner - C:\Windows\System32\alg.exe (file missing)
O23 - Service: @dfsrres.dll,-101 (DFSR) - Unknown owner - C:\Windows\system32\DFSR.exe (file missing)
O23 - Service: @keyiso.dll,-100 (KeyIso) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @comres.dll,-2797 (MSDTC) - Unknown owner - C:\Windows\System32\msdtc.exe (file missing)
O23 - Service: @%SystemRoot%\System32\netlogon.dll,-102 (Netlogon) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%systemroot%\system32\psbase.dll,-300 (ProtectedStorage) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%systemroot%\system32\Locator.exe,-2 (RpcLocator) - Unknown owner - C:\Windows\system32\locator.exe (file missing)
O23 - Service: @%SystemRoot%\system32\samsrv.dll,-1 (SamSs) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%SystemRoot%\system32\SLsvc.exe,-101 (slsvc) - Unknown owner - C:\Windows\system32\SLsvc.exe (file missing)
O23 - Service: @%SystemRoot%\system32\snmptrap.exe,-3 (SNMPTRAP) - Unknown owner - C:\Windows\System32\snmptrap.exe (file missing)
O23 - Service: @%systemroot%\system32\spoolsv.exe,-1 (Spooler) - Unknown owner - C:\Windows\System32\spoolsv.exe (file missing)
O23 - Service: Steam Client Service - Valve Corporation - C:\Program Files (x86)\Common Files\Steam\SteamService.exe
O23 - Service: @%SystemRoot%\system32\ui0detect.exe,-101 (UI0Detect) - Unknown owner - C:\Windows\system32\UI0Detect.exe (file missing)
O23 - Service: @%SystemRoot%\system32\vds.exe,-100 (vds) - Unknown owner - C:\Windows\System32\vds.exe (file missing)
O23 - Service: @%systemroot%\system32\vssvc.exe,-102 (VSS) - Unknown owner - C:\Windows\system32\vssvc.exe (file missing)
O23 - Service: @%Systemroot%\system32\wbem\wmiapsrv.exe,-110 (wmiApSrv) - Unknown owner - C:\Windows\system32\wbem\WmiApSrv.exe (file missing)
O23 - Service: @%ProgramFiles%\Windows Media Player\wmpnetwk.exe,-101 (WMPNetworkSvc) - Unknown owner - C:\Program Files (x86)\Windows Media Player\wmpnetwk.exe (file missing)

--
End of file - 4776 bytes

[ Voor 53% gewijzigd door pkopf op 27-08-2010 17:20 ]

[pkopf]

Ok, en volgens mij was ik over-paranoïde, citaat uit de officiële EAC forums:

quote: http://www.digital-inn.de/144472-post4.html

Congratulations! You found the (optional) ebay sponsoring icon.

__________________
regards
k2u

[Verwijderd]

pkopf schreef op vrijdag 27 augustus 2010 @ 17:04:
Ok, en volgens mij was ik over-paranoïde, citaat uit de officiële EAC forums:


[...]

Leuk dat je niet betrouwbare binaries op je systeem laat draaien die alles kunnen doen! Misschien doet hij tijdens sinterklaas wel iets heel anders dan loltrappen? Misschien infecteert hij nu wel de bios?

[iisschots]

titel op verzoek aangepast

[pkopf]

Verwijderd schreef op vrijdag 27 augustus 2010 @ 17:15:
[...]

Leuk dat je niet betrouwbare binaries op je systeem laat draaien die alles kunnen doen! Misschien doet hij tijdens sinterklaas wel iets heel anders dan loltrappen? Misschien infecteert hij nu wel de bios?

MSE heeft na de trojan te hebben gevonden het installatiebestand verwijderd. Ik heb het nu niet meer op mijn pc staan dus. Maar ja, inderdaad niet een echt fraaie gedachte. Het topic op het forum van Exact Audio Copy staat ook vol met dit soort geluiden. Het schijnt te gaan om een niet al te zuiver geprogrammeerd stukje 'onschuldige' adware, om de ontwikkeling van EAC te ondersteunen. Het behelst een ebayshortcut op je desktop en een stuk software die telt hoe vaak je via deze shortcut naar ebay surft.
Je kunt bij de installatie aangeven of je de adware wilt installeren.

Maar toch, voor mij reden om EAC even links te laten liggen - helaas.

@iisschots: bedankt voor de titlefix!

[TaraWij]

Er klopt iets niet met je HijackThis log, er draaien immers veel te weinig processen...

Probeer eens HijackThis als administrator te starten?

[pkopf]

TaraWij schreef op vrijdag 03 september 2010 @ 00:32:
Er klopt iets niet met je HijackThis log, er draaien immers veel te weinig processen...

Probeer eens HijackThis als administrator te starten?

Bedankt voor je reactie!

Ik heb nu nogmaals HijackThis gedraaid, als administrator. Ik krijg geen melding dat HT ergens geen toegang tot heeft, dus ik neem aan dat deze wel compleet is? Ik zie nog steeds niet veel meer processen alleen..

code:

Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 21:24:03, on 7-9-2010
Platform: Windows Vista SP2 (WinNT 6.00.1906)
MSIE: Internet Explorer v8.00 (8.00.6001.18943)
Boot mode: Normal

Running processes:
C:\Program Files (x86)\Sony\Content Transfer\ContentTransferWMDetector.exe
C:\Program Files (x86)\Common Files\Java\Java Update\jusched.exe
C:\Program Files (x86)\einstruction\Device Manager\Launch.exe
C:\Program Files (x86)\Mozilla Firefox\firefox.exe
C:\Program Files (x86)\foobar2000\foobar2000.exe
C:\Program Files (x86)\Mozilla Firefox\plugin-container.exe
D:\Download\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.nl/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = C:\Windows\SysWOW64\blank.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
F2 - REG:system.ini: UserInit=userinit.exe
O1 - Hosts: ::1 localhost
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files (x86)\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files (x86)\Java\jre6\bin\jp2ssv.dll
O4 - HKLM\..\Run: [ContentTransferWMDetector.exe] "C:\Program Files (x86)\Sony\Content Transfer\ContentTransferWMDetector.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files (x86)\Common Files\Java\Java Update\jusched.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files (x86)\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Adobe ARM] "C:\Program Files (x86)\Common Files\Adobe\ARM\1.0\AdobeARM.exe"
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'NETWORK SERVICE')
O4 - Startup: eInstruction Device Manager.lnk = C:\Program Files (x86)\einstruction\Device Manager\Launch.exe
O8 - Extra context menu item: Add to Google Photos Screensa&ver - res://C:\Windows\system32\GPhotos.scr/200
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~2\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Onderzoek - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~2\MICROS~2\OFFICE11\REFIEBAR.DLL
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} - http://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab
O22 - SharedTaskScheduler: Component Categories cache daemon - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\Windows\system32\browseui.dll
O23 - Service: @%SystemRoot%\system32\Alg.exe,-112 (ALG) - Unknown owner - C:\Windows\System32\alg.exe (file missing)
O23 - Service: @dfsrres.dll,-101 (DFSR) - Unknown owner - C:\Windows\system32\DFSR.exe (file missing)
O23 - Service: @keyiso.dll,-100 (KeyIso) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @comres.dll,-2797 (MSDTC) - Unknown owner - C:\Windows\System32\msdtc.exe (file missing)
O23 - Service: @%SystemRoot%\System32\netlogon.dll,-102 (Netlogon) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%systemroot%\system32\psbase.dll,-300 (ProtectedStorage) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%systemroot%\system32\Locator.exe,-2 (RpcLocator) - Unknown owner - C:\Windows\system32\locator.exe (file missing)
O23 - Service: @%SystemRoot%\system32\samsrv.dll,-1 (SamSs) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%SystemRoot%\system32\SLsvc.exe,-101 (slsvc) - Unknown owner - C:\Windows\system32\SLsvc.exe (file missing)
O23 - Service: @%SystemRoot%\system32\snmptrap.exe,-3 (SNMPTRAP) - Unknown owner - C:\Windows\System32\snmptrap.exe (file missing)
O23 - Service: @%systemroot%\system32\spoolsv.exe,-1 (Spooler) - Unknown owner - C:\Windows\System32\spoolsv.exe (file missing)
O23 - Service: Steam Client Service - Valve Corporation - C:\Program Files (x86)\Common Files\Steam\SteamService.exe
O23 - Service: @%SystemRoot%\system32\ui0detect.exe,-101 (UI0Detect) - Unknown owner - C:\Windows\system32\UI0Detect.exe (file missing)
O23 - Service: @%SystemRoot%\system32\vds.exe,-100 (vds) - Unknown owner - C:\Windows\System32\vds.exe (file missing)
O23 - Service: @%systemroot%\system32\vssvc.exe,-102 (VSS) - Unknown owner - C:\Windows\system32\vssvc.exe (file missing)
O23 - Service: Webroot Spy Sweeper Engine (WebrootSpySweeperService) - Webroot Software, Inc. (www.webroot.com) - C:\Program Files (x86)\Webroot\WebrootSecurity\SpySweeper.exe
O23 - Service: @%Systemroot%\system32\wbem\wmiapsrv.exe,-110 (wmiApSrv) - Unknown owner - C:\Windows\system32\wbem\WmiApSrv.exe (file missing)
O23 - Service: @%ProgramFiles%\Windows Media Player\wmpnetwk.exe,-101 (WMPNetworkSvc) - Unknown owner - C:\Program Files (x86)\Windows Media Player\wmpnetwk.exe (file missing)

--
End of file - 5954 bytes

Voor de volledigheid, in taskmanager zie ik dit:


Hiervan heb ik op Google gevonden dat conime.exe wordt geassocieerd met een trojan, maar alleen als het in combinatie is met een ander proces, die niet draait bij mij.

Ik was er eigenlijk van uit gegaan dat deze case 'closed' was, aangezien de besmetting in het installatiebestand van Exact Audio Copy zat en MSE, MBAM en SpySweeper niets meer vinden in zowel normale als veilige modus.

[TaraWij]

Je log is wel 10 lijnen langer, dus dat is beter... Hoe dan ook ziet die er volledig clean uit.

Betreffende je screenshot kan je linksonder op die knop eens drukken om tussen alle processen te kijken.
conime.exe is een Console Input Method Editor, meestal geassocieerd met cmd.exe...
Iinderdaad wel vaag dat het hier alleen draait dus je kan het best afsluiten, maar is het een virus? Geen idee.

Heb je nog ergens last van? Anders kan je met Sysinternals Autoruns in nog meer detail dingen zien.. ;-)