Kennis gebeld door callcenter en erin getrapt

[Boyd]

Een kennis van mij is vanochtend gebeld door een callcenter van Microsoft, in het Engels en zij beweerden dat hij een virus zou hebben. Helaas is deze kennis er volledig ingetrapt en heeft hij alle stappen samen met de persoon aan de telefoon doorlopen.

Pas op het moment dat er geld werd gevraagd aan de telefoon ging bij hem het belletje rinkelen en heeft hij opgehangen. Hij heeft mij gebeld, ik heb hem verteld om in ieder geval z'n computer direct uit te schakelen.

Ik ga er vanmiddag even heen, mijn vraag is uiteraard waar ik rekening mee moet houden. Die kennis weet niet precies wat er opgezet is, hij had het over dat hij codes moest opnoemen, dus de kans is groot dat er een remote control software op geplaatst is, maar wie weet ondertussen nog meer. Ik heb de verhalen wel vaker gehoord uiteraard, maar nog niet eerder een geïnfecteerde computer voor m'n neus gehad.

Het liefste uiteraard voorkomen dat ik Windows er opnieuw op moet gaan zetten voor hem... Maar als het echt niet anders kan..

[NeHoX]

Eerder tegengekomen, draaien wat batch bestandjes in een loopje. Goed opschonen. Eventueel systeemherstel draaien naar een punt voordat hij/zij is gebeld.

Niks aan het handje. :-)

[The Realone]

En hoe verwacht jij dan dat wij weten wat erop staat? Ieder malwarepakketje heeft zijn eigen manier om te verwijderen hoewel veel overeen komt. Zoek gewoon eens op Google hoe je malware verwijderd en gebruik tools als Malwarebytes.

[eL_Jay]

Wat ik gevoelsmatig zou doen (aangezien dit me niet enkel malware lijkt, maar volledige toegang tot je pc eventueel zonder malwaregebruik)

HDD/SSD demonteren en aan ander systeem leggen om te back-uppen (op een veilige manier zodat je het andere systeem niet mogelijk infecteert)

Vervolgens terug monteren, DBaN draaien over de HDD, verse windows installatie.

Er zijn ongetwijfeld makkelijkere manieren, maar zo zou ik het doen. Ben je 100% zeker dat het weg is.

[ Voor 13% gewijzigd door eL_Jay op 10-09-2013 11:53 ]

[The Realone]

eL_Jay schreef op dinsdag 10 september 2013 @ 11:52:
Vervolgens terug monteren, DBaN draaien over de HDD, verse windows installatie.

En wat gaat DBaN precies uithalen tegenover een simpele format van de Windows setup?

[eL_Jay]

The Realone schreef op dinsdag 10 september 2013 @ 11:53:
[...]
En wat gaat DBaN precies uithalen tegenover een simpele format van de Windows setup?

DBaN overschrijft alle 1-tjes en 0-etjes op de HDD met random 10101010101000101. (oftwel overschrijft alle data)

[ Voor 30% gewijzigd door eL_Jay op 10-09-2013 11:54 ]

[Jeroen]

Dat heeft in dit geval echt geen toegevoegde waarde, dat is alleen nuttig als je wil voorkomen dat men de data op de harde schijf kan recoveren, bijvoorbeeld als je een harddisk weggooit. Bij een SSD is het al helemaal niet slim.

[The Realone]

Ja dat snap ik, maar dat heeft geen voordelen tegenover een standaard format als we het over malware hebben. Dat is alleen leuk als je tegen wilt gaat dat nog iemand een data recovery kan uitvoeren.

[Sorcerer8472]

Het zou nogal nuttig zijn om te weten welke stappen je kennis precies heeft gedaan, bijv. welke website hij heeft bezocht om iets te downloaden... en of hij daarna ook iets zag gebeuren met zijn pc zoals dat die ineens werd overgenomen ofzo.

Als het niet zo enorm ernstig is (bijv. remote access tooltje erop gezet dat verder niet schadelijk is, en dat de ander net 5 seconde toegang heeft gehad) en je dat zeker weet scheelt dat een hoop tijd met een reinstall...

Anders geldt er wel heel erg een better safe than sorry-principe ja...

[Jeroen]

Zo lang je de netwerkkabel eruit laat in eerste instantie, kun je hem gerust onderzoeken. Browser history bekijken bijvoorbeeld. Vervolgens kun je met een USB stick er software op zetten zoals MBAM om nog wat checks te draaien. Kans bestaat dat er moeilijk detecteerbare keyloggers op staan, dat zou dan wel jammer zijn. Gelijk clean upgrade naar Windows 8 zou ik doen.

[Skoefel]

eL_Jay schreef op dinsdag 10 september 2013 @ 11:52:
Wat ik gevoelsmatig zou doen (aangezien dit me niet enkel malware lijkt, maar volledige toegang tot je pc eventueel zonder malwaregebruik)

HDD/SSD demonteren en aan ander systeem leggen om te back-uppen (op een veilige manier zodat je het andere systeem niet mogelijk infecteert)

Vervolgens terug monteren, DBaN draaien over de HDD, verse windows installatie.

Er zijn ongetwijfeld makkelijkere manieren, maar zo zou ik het doen. Ben je 100% zeker dat het weg is.

Beetje extreem al zeg ik het zelf.

Wat ik zou doen, en wat ook bij ons bedrijf bij klanten wordt gedaan:

Draait eerst Malwarebytes link: http://www.malwarebytes.org/
Vervolgens combofix in VEILIGE modus: http://www.bleepingcomputer.com/download/combofix/
Hierna zou het veilig moeten zijn, wat je eventueel kan doen is ccleaner downloaden om je registery een keer na te checken.

[eL_Jay]

The Realone schreef op dinsdag 10 september 2013 @ 11:56:
Ja dat snap ik, maar dat heeft geen voordelen tegenover een standaard format als we het over malware hebben. Dat is alleen leuk als je tegen wilt gaat dat nog iemand een data recovery kan uitvoeren.

Ik dacht dat bij een standaard format er een map Old.windows (oid) is waarin alle malware actief/sluimerend verblijft

[psy]

Dat is alleen bij een upgrade van windows. Bij format is alles "weg".

[BèR]

Het kán natuurlijk zijn dat er nu een rootkit in het Master Boot Record van de harde schijf gestopt zit. Die krijg je niet zomaar weg met een format, dan is het DBaN-en van de schijf toch wel een goed idee. Of het MBR schoon is kun je uitzoeken met MBRCheck.exe (op genoeg plekken online te vinden). Als er geen 'groen' resultaat uitkomt, dan graag schijf alsnog helemaal wissen, anders zal inderdaad een herinstallatie genoeg zijn.

[Skoefel]

BèR schreef op dinsdag 10 september 2013 @ 12:07:
Het kán natuurlijk zijn dat er nu een rootkit in het Master Boot Record van de harde schijf gestopt zit. Die krijg je niet zomaar weg met een format, dan is het DBaN-en van de schijf toch wel een goed idee. Of het MBR schoon is kun je uitzoeken met MBRCheck.exe (op genoeg plekken online te vinden). Als er geen 'groen' resultaat uitkomt, dan graag schijf alsnog helemaal wissen, anders zal inderdaad een herinstallatie genoeg zijn.

Dit zal niet het geval zijn, deze mannen zijn echt uit op het geld en niet op een virus.

[Verwijderd]

De meeste scammers zijn niet uit om je PC te rooten maar alleen je laten betalen. Mooi filmpje over wat ze precies doen. Man heeft alles opgenomen in een virtualmachine. Ze laten bv. de Event Viewer zien waar dan wat Warning en Errors in staan en beweren dat dit slecht is, etc. Alleen om mensen af te schrikken.

http://hackedgadgets.com/...scammer-called-global-it/

[TheVMaster]

Verwijderd schreef op dinsdag 10 september 2013 @ 12:14:
De meeste scammers zijn niet uit om je PC te rooten maar alleen je laten betalen. Mooi filmpje over wat ze precies doen. Man heeft alles opgenomen in een virtualmachine. Ze laten bv. de Event Viewer zien waar dan wat Warning en Errors in staan en beweren dat dit slecht is, etc. Alleen om mensen af te schrikken.

http://hackedgadgets.com/...scammer-called-global-it/

Erg grappig... ;-)

[Boyd]

Ik zit eigenlijk nu al vast... Ik start de computer op en er wordt om een wachtwoord gevraagd. Geen Windows wachtwoord (of misschien wel), maar het komt als een popupje voor het normale inlogscherm.. Zelfs in veilige modus vraagt hij hierom. Systeemherstel mislukt.. Dus ik denk dat er toch niets anders opzit dan een herinstallatie...

Die kennis heeft ze toegang gegeven op de computer.. Dus wat er daarna gebeurd is weet ik niet, dat gaat blijkbaar heel snel..

[ Voor 33% gewijzigd door Boyd op 10-09-2013 13:10 ]

[Razr]

Boyd schreef op dinsdag 10 september 2013 @ 13:07:
Ik zit eigenlijk nu al vast... Ik start de computer op en er wordt om een wachtwoord gevraagd. Geen Windows wachtwoord (of misschien wel), maar het komt als een popupje voor het normale inlogscherm.. Zelfs in veilige modus vraagt hij hierom. Systeemherstel mislukt.. Dus ik denk dat er toch niets anders opzit dan een herinstallatie...

Misschien kun je de HDD aan een andere PC hangen en eerst wat scans uitvoeren. Ik weet niet of je het register kunt openen eigenlijk (als je de HDD aan een andere PC hangt), anders zou je ook de sleutels kunnen checken (en evt. verwijderen) welke verantwoordelijk zijn voor de programma's / services die opstarten als je Windows opstart.

edit: hier waarschijnlijk wel wat nuttige info voor waar in het register je wat relevante sleutels/data zou kunnen vinden.

[ Voor 12% gewijzigd door Razr op 10-09-2013 13:16 ]

[redfoxert]

Razr schreef op dinsdag 10 september 2013 @ 13:11:
[...]


Misschien kun je de HDD aan een andere PC hangen en eerst wat scans uitvoeren. Ik weet niet of je het register kunt openen eigenlijk (als je de HDD aan een andere PC hangt), anders zou je ook de sleutels kunnen checken (en evt. verwijderen) welke verantwoordelijk zijn voor de programma's / services die opstarten als je Windows opstart.

Registry is ook gewoon opgeslagen in bestanden. Deze kan je met een load hive actie in een andere registry gewoon openen en terug plaatsen na unload hive. Locatie van de registry files: C:\Windows\system32\config

[Verwijderd]

Gewoon herinstalleren na backup.

Altijd herinstall na virus infectie / hack.

[Verwijderd]

Verwijderd schreef op woensdag 11 september 2013 @ 13:57:
Altijd herinstall na virus infectie / hack.

Dit dus. De enige echte manier om weg te ruimen waarvan je niet precies weet wat het is of wat het heeft gedaan. Systeem herstel is alles behalve waterdicht, ook loopt een virusscanner eigenlijk altijd achter de feiten aan.

[ Voor 9% gewijzigd door Verwijderd op 11-09-2013 14:06 ]

[mercapto]

Hij zal nog wel een belletje krijgen met de betaal info om z'n computer te unlocken...
"Give me back my son....uh, PC!"