IRC bot virus

[High Quality king]

Beste tweakers,

Volgens mijn provider KPN heb ik last van een IRC botnet virus. Ik heb nu alle windows computers gescand met antivirus software, maar niks gevonden.

Met nmap heb ik naar gekke porten gezocht, maar ook niks geks kunnen ontdekken.

Iemand een suggestie over hoe ik hem kan vinden op mijn netwerk?

Bedankt alvast.

[woutertje]

Je kunt met wireshark even kijken of er vreemd verkeer langs komt. Met nmap zul je dat niet snel zien aangezien het hier waarschijnlijk om een uitgaande verbinding gaat.

[Fish]

het is ook uitgaand.

kijk gewoon met netstat naar uitgaande verbindingen en welke executable zich ermeen bemoeit

netstat -b

[ Voor 5% gewijzigd door Fish op 11-04-2012 19:35 ]

[RaZ]

Toevallig die Anonymous botnet client gedownload? Want dat is natuurlijk ook gewoon een virus als je kijkt naar wat het doet. De werking is exact hetzelfde, je wordt lid van een botnet.

En gekke poorten? Wat vind jij gek? Dat een standaard IRC-server op 6667 zit, maakt niet zo gek veel uit, want die kan ook prima andere poorten werken.

Een zwak of onbeveiligd draadloos kan ook het euvel zijn, wellicht dat iemand met dusdanige software op jouw verbinding meelift.

[High Quality king]

Op mijn windows clients staan alleen de standaard poorten open van windows 7, maar dat is inderdaad inkomend. Is er geen virusscanner voor mijn netwerkverkeer? KPN heeft immers ook gedetecteerd dat er een bot vanaf mijn extern IP actief is. Dat moet intern ook kunnen zou je zeggen.

Het schijnt een IRC bot te zijn, maar het zit niet op de standaard IRC port, kan ik iets gebruiken om het protocol te herkennen over een andere port?

Ik heb de laatste maanden niets risicovols gedownload, maar ben niet de enige op dit netwerk.

[High Quality king]

fish schreef op woensdag 11 april 2012 @ 19:34:
het is ook uitgaand.

kijk gewoon met netstat naar uitgaande verbindingen en welke executable zich ermeen bemoeit

netstat -b

Dat moet per client?

code:

tcp4       0      0  macbookpro.lan.49790   ey-in-f156.1e100.http  ESTABLISHED       2911       2914

is dit hem?

[Thralas]

Nee, dat is Google.

[High Quality king]

ah dankje.

Thralas schreef op donderdag 12 april 2012 @ 15:53:
Nee, dat is Google.

[Fish]

High Quality king schreef op donderdag 12 april 2012 @ 15:50:
[...]


Dat moet per client?

code:

tcp4       0      0  macbookpro.lan.49790   ey-in-f156.1e100.http  ESTABLISHED       2911       2914

is dit hem?

1) ja alle clients

ik zou gewoon een irc client pakken en verbinden op die poort.
als hij inlogt of weigert (dus niet failed) dikke kans dat je de bijbehorende exejeukable moet doodmaken

[High Quality king]

Ik heb hem gevonden denk ik, het was gewoon bitcoin. Wat een oelewappers daar bij KPN.

[opperkaas]

Zou hiermee oppassen

Er zijn botnets die jou pc gebruiken zodra ie inactief is om bitcoins te minen

Dit doen ze via irc, zodra je computer voor laten we zeggen 2 min inactief is wordt er via irc opdracht eruit gestuurd om via jou pc te gaan minen.

Zo botnet kan uit duizenden computers bestaan, en minen wordt zo erg aantrekkelijk.