Rootkit? Trojans keren iedere dag terug

[Dynaw]

Enkele dagen geleden besloot ik, zoals ik wel eens vaker doe, wat Torrents binnen te halen. Helaas was ik dit keer wat ongeduldig en besloot ik af te wijken van de reguliere websites en ergens anders torrents binnen te halen.

Het begon op 16 oktober. Ik besloot de Bittorrent maar af te sluiten, want het was toch al laat en wilde gaan slapen. Even later kreeg ik plots een pop-upje van MSE. Hij zou een trojan hebben gevonden? En korte tijd later een ''wachtwoorddief'', beter bekend als een keylogger?

Ik besloot na verwijdering eens de bron te bezoeken van deze rommel:
C:\Users\Chris\AppData\Local\Temp
C:\Users\Chris\AppData\Local\Imvdsoft
C:\Users\Chris\AppData\Local\Elnntion
Belangrijk detail de mappen zijn gemaakt tussen 1:00 en 1:30.

Dit vertrouwde ik dus totaal niet en ik liet een scan van MBAM lopen. En ja hoor:

Een lading aan nog méér troep.Uiteindelijk alles verwijderd met MBAM en besloot de computer maar uit te zetten, want ''alles is nu toch verwijderd''. Ik had zelf overigens hier ook al de torrent en inhoud verwijderd.

De volgende ochtend, 17 oktober, niets aan de hand in de eerste instantie. Ik had een update van Adobe Flashplayer en begon aan mijn standaard routine 's ochtends op de computer. Maar ik had toch een nare smaak over gehouden aan de ontrust een dag eerder. Dus ik besloot de mijn pc even handmatig te controleren. Echter, misschien wat stom wellicht, deed ik dat pas na een dagje gamen.

En ja hoor,de mapjes ''Elnntion'' en ''Imvdsoft'' waren terug met hun bijbehorende ellende. Ook draaide er een vreemd proces in mijn taakbeheer, namelijk ''tmpABE8.exe''.
Het eerste wat ik deed was de internet verbinding verbreken. Tenslotte, als er een keylogger op staat kan of een RAT o.i.d. kan die niets meer dacht ik bij mezelf.
Vervolgens weer MBAM flink tekeer laten gaan en hij had weer het een ander verwijderd. Weer precies dezelfde .exe in de mapjes. Echter viel het mij weer op, de mapjes waren pas na 1:00 's nachts aan gemaakt. Ik besloot naast MBAM en MSE ook eens Hitman Pro te draaien. Deze gaf na de scan van MBAM groen licht. Opnieuw zette ik mijn pc maar uit gezien het tijdstip.

De volgende ochtend startte ik mijn pc opnieuw op maar zonder internetkabel, ik wilde eerst de boel zelf bekijken alvorens hij weer op het netwerk mocht. Uiteraard maakte ik hierbij opnieuw gebruik van MSE, MBAM en een nieuwe, ADWCleaner. Die laatste vroeg na afloop om een herstart en hierna begon de ellende pas echt.

Overigens melde MBAM dit keer wel iets nieuws, hij vond namelijk iets op de boot sector:


Mijn pc wilde niet meer normaal opstarten. Het logonscherm was minutenlang een zwart scherm met cursor. Waarna ik mijn pc zelf nog maar eens een herstart gaf. Uiteindelijk kreeg ik na het biosscherm een lange rij met de letter ''H'' te zien.

Na wat geklooi met systeemherstel uiteindelijk mijn pc weer aan de praat gekregen. Na wat de forums te hebben door gekeken besloot ik een scan te doen met TDSSkiller. En deze vond inderdaad iets. Rootkit verwijderd, deze droeg de naam ''Rootkit.Boot.Cidox.b''.

Nadat ik deze had verwijderd heb een volledige scan of twee gedraaid met MBAM. Meermalen mijn PC herstart, Hitman Pro mijn pc laten onderzoeken, ADWCleaner laten onderzoeken en nogmaals TDSSkiller. Allen vonden niets meer. Later die avond werden er ook geen mapjs meer aangemaakt. Ik dacht dus echt dat ik safe was.

Maar niets is minder waar.. Zojuist, of nou ja, inmiddels al 2 uur geleden, heb ik de mapjes weer aangetroffen. En weer met de zelfde trojans. Echter vind TDSSkiller dit keer niets.

Ik heb dus een vermoeden dat ergens een of ander lek zit. Maar hoe moet ik nu verder? Ben toch best wanhopig nu.

Overigens heb ik hier een overzicht in niet chronologische volgorde van de meldingen van de verschillende scanners, Imgur link
Wat mij trouwens ook opviel, mijn host file is veranderd naar een beschrijfbaar .txt bestandje. En ook had ik plots wat vreemde startprogramma's erbij, die overigens ook iedere keer terugkeren rond 1 uur. Overdag zijn ze er niet.

Edit: Ik zie nu ook dat de wijziging aan de host file op hetzelfde moment plaatsvind als het aanmaken van de mapjes.


Edit2: Nog wat leuks gevonden in veilige modus:

[ Voor 3% gewijzigd door Dynaw op 20-10-2014 03:40 ]

[johnkeates]

Draai ADWCleaner, Rkill, Sophis Anti-Rootkit, Trend Micro Housecall, McAfee Rootkit Remover eens. En doe een CCleaner op alle tijdelijke bestanden. En een sfc /scannow, en wis al je oudere restore points als die gemaakt zijn.

Je hosts file is trouwens altijd een txt bestandje wat je kan bewerken. Enige verschil met het icoontje is dat je hem dan wel of niet gekoppeld hebt zodat windows weet waar het extensieloze bestand mee geopend moet worden.

Kijk ook even of je DNS nog klopt en niet met custom fake servers aangevuld is, en of je niet proxy instellingen draait naar een MITM server.

[ Voor 45% gewijzigd door johnkeates op 20-10-2014 04:27 ]

[Room42]

johnkeates schreef op maandag 20 oktober 2014 @ 04:25:
[...] Sophos Anti-Rootkit [...]

Je hosts file is trouwens altijd een txt bestandje wat je kan bewerken. Enige verschil met het icoontje is dat je hem dan wel of niet gekoppeld hebt zodat windows weet waar het extensieloze bestand mee geopend moet worden.

Heeft TS de weergave van extensies aan staan? Hoe ik het nu zie is het daadwerkelijk een .txt-bestand geworden.

TS: Zet in de mapopties aan dat je de verborgen en verborgen systeembestanden te zien krijgt. En vink uit dat de extensies voor bekende bestandstypen verborgen worden. Controleer daarna de hosts-file (zonder extensie!) opnieuw. Overigens moet je (normaal) notepad als administrator starten om deze te kunnen bewerken.

Kijk ook even of je DNS nog klopt en niet met custom fake servers aangevuld is, en of je niet proxy instellingen draait naar een MITM server.

Inderdaad, goede tip. Als je twijfelt, kun je de Google-servers gebruiken: 8.8.8.8 en 8.8.4.4.

[Dynaw]

Het is echt een .txt. geworden. Normaal gesproken heeft het het type ''bestand'', niet tekstdocument.
Verder kon ik de hostfile zomaar bewerken, geen administrator voor nodig.

Overigens staan de verborgen en verborgen systeembestanden al zichtbaar, extensies ook.

Toen ik net mijn pc opstartte kreeg al ik direct te maken met drie trojans, die overigens alle drie op de zelfde plek zouden moeten zitten.
Ik ben dus weer naar de standaard mappen gaan kijken waar zich dit voordoet, en ja hoor:

In C:\ProgramData\Microsoft\Secure\Icons vond ik tmp8101.tmp. In deze map zitten overigens ook 2 .dll files die ik niet kan verwijderen omdat deze in gebruik zijn. In veilige modus lukt mij dit ook niet.
Het gaat dan om deze .dll files:

Al bestaat deze mapping normaal gezien al niet? Ik heb hem namelijk niet in mijn VMware Windows 7.

Verder verschijnen de trojans direct op mijn PC zodra hem verbind met het internet. Zo niet, dan is die is er niets aan de hand. Wanneer ik mijn pc met het internet verbind in via de veilige modus met netwerk opties is er ook niets aan de hand.

Ter controle, mijn instellingen:




Niets vreemds, lijkt mij?

Ik heb nu ook de host file vervangen door die van mijn VMware Windows 7. De inhoud van mijn vorige hostfile was overigens ook gewoon normaal.

@johnkeates, Ik ga de software nu nog eens draaien. Resultaat zal ik toevoegen aan deze post.

[F_J_K]

Dynaw schreef op maandag 20 oktober 2014 @ 11:20:
Verder verschijnen de trojans direct op mijn PC zodra hem verbind met het internet. Zo niet, dan is die is er niets aan de hand. Wanneer ik mijn pc met het internet verbind in via de veilige modus met netwerk opties is er ook niets aan de hand.

offtopic:
Er is dus wel degelijk iets aan de hand (namelijk: iets zit te wachten tot je een verbinding hebt om weer de rest van de meuk te downloaden). Het valt alleen de scanners niet op.

Doe je dit schoonmaken trouwens als oefening of voor de lol, of heb je het idee om de machine later weer echt te gaan gebruiken? Dat laatste moet je nooit doen. 100% zekerheid ga je niet krijgen.
IMHO: backups maken en testen op andere machine (en bewaar natuurlijk ook je vorige backups nog even), boot sector opschonen (bijv. http://support.kaspersky.com/viruses/solutions/2727 ?), format, vanaf 0 installeren en beveiligen, restore je data - waarbij je de backup natuurlijk niet vertrouwt.

[Mijzelf]

Dynaw schreef op maandag 20 oktober 2014 @ 11:20:
In deze map zitten overigens ook 2 .dll files die ik niet kan verwijderen omdat deze in gebruik zijn. In veilige modus lukt mij dit ook niet.

Voor wat het waard is: je kunt ze wel renamen, in de hoop dat ze niet meer worden geladen na een herstart.

Verder zou ik een systeem wat dusdanig geïnfecteerd is niet meer vertrouwen, ook niet als je schijnbaar alles hebt opgeschoond. Een schone installatie lijkt me de enige reële optie.

Uiteindelijk kreeg ik na het biosscherm een lange rij met de letter ''H'' te zien.

Het biosscherm? Weet je het zeker? Dat zou geen last moeten hebben van wat je ook doet in je OS. Indien wel, dan zit er malware in je bios geflasht, en kun je je moederbord afschijven.
Maar het zou natuurlijk ook een hangende toets kunnen zijn.

[Dynaw]

Nadat ik de scans heb gedraaid, vroeg d'r een om een herstart. Nu krijg ik na het logon scherm een mooi zwart scherm wat verder niets doet. Overigens had geen van allen iets gevonden. Systeemherstel werkt nu ook niet meer.

Ik ben bang dat ik maar voor een complete herinstallatie moet gaan, kennelijk zit er zo diep op.

@Mijzelf, op het moment dat normaal Windows zou starten kreeg ik de letter ''H'' te zien in een lange rij onder elkaar.

Edit: Recenter herstelpunt genomen, kan nu wel normaal op m'n pc.
Edit2: met de unlocker tool de .dll's kunnen verwijderen. Maar gezien mijn pc het nu wel weel ''normaal'' doet, maak ik eerst een backup alvorens ik ga testen of het nu wél in orde is.

[ Voor 22% gewijzigd door Dynaw op 20-10-2014 13:22 ]

[LnC]

Zoals F_J_K al aangaf, formateer (grondige versie) en installeer een nieuwe Windows.
Maar als dit niet mogelijk is, dan kan je nogmaals aan de slag met de eerdere tools.
Heb je trouwens met TDSSKiller alle scan opties aangezet (alle opties aan vereist een reboot van je systeem)? Ik kan dat niet herleiden of je dat wel of niet gedaan had uit je screenshots.

Loop ook eens msconfig door bij opstarten en haal daar de boosdoeners (indien aanwezig) weg. Doe hetzelfde met de services (vink verberg alle MS services aan) die met de malware / rootkits te maken hebben.

Mocht je nog meer hulp nodig hebben, trek dan maar aan "de bel".

[E-Vix]

Als je echt een rootkit op je computer hebt staan dan zal alleen formatteren ook niet helpen. Een rootkit installeert zichzelf doorgaands in een speciale partitie welke hij aanmaakt in de laatste paar ongebruikte MB's op je harde schijf. Deze partitie wordt als primair ingesteld en je computer zal altijd van deze partitie booten (en dus de rootkit in het geheugen laden). Hierna zal de rootkit je computer van de normale partitie laten opstarten.
Als je alle zichtbare partities er af gooit en Windows opnieuw installeert, dan zal deze 'rootkit'-partitie nog steeds blijven bestaan en zijn werk blijven doen. Dit probleem heb ik zelf namelijk al eens meegemaakt. Alleen door met diskpart de desbetreffende partitie anders te flaggen en te verwijderen kreeg ik de rootkit van die computer af. Mogelijk dat het ook met een tool als Parted Magic (= G-Parted) lukt, maar het lukt in ieder geval niet met de partitioneringssoftware welke ingebouwd is in Windows Setup.

Mijn advies: Schijf helemaal leeg gooien, alle verborgen partitied verwijderen en Windows opnieuw installeren. Nu een backup maken is leuk, maar wie zegt dat je niet een geinfecteerd bestand in je backup meeneemt. Immers als je een rootkit hebt dan kan deze ook de Malwarebytes en andere tools beinvloeden (een rootkit draait boven je OS en heeft dus toegang tot alles waardoor het zichzelf perfect kan verbergen voor anti-malware tools)

[Dynaw]

LnC schreef op maandag 20 oktober 2014 @ 13:29:
Zoals F_J_K al aangaf, formateer (grondige versie) en installeer een nieuwe Windows.
Maar als dit niet mogelijk is, dan kan je nogmaals aan de slag met de eerdere tools.
Heb je trouwens met TDSSKiller alle scan opties aangezet (alle opties aan vereist een reboot van je systeem)? Ik kan dat niet herleiden of je dat wel of niet gedaan had uit je screenshots.

Loop ook eens msconfig door bij opstarten en haal daar de boosdoeners (indien aanwezig) weg. Doe hetzelfde met de services (vink verberg alle MS services aan) die met de malware / rootkits te maken hebben.

Mocht je nog meer hulp nodig hebben, trek dan maar aan "de bel".

Ik heb TDSSkiller met alle scan opties laten scannen, die kwam zojuist clean naar voren. De msconfig is ook clean.

Ik besef mezelf inderdaad ook dat een backup niet heilig is op dit moment maar dat is nog altijd beter dan alle data verliezen. Ik de data zal in ieder geval komen op een fysieke aparte HDD.

De uitspraak van E-vix lijkt mij nog vrij aannemelijk, gezien het telkens terugkeert zelfs wanneer ik alles verwijder.

[Shamalamadindon]

Kaspersky Rescuedisk > Combofix (in veilige modus) > Malwarebytes > Emsisoft > ADWCleaner > Handmatig puinruimen, chrome extensies/starpagina's, etc.

In mijn ervaring (meer dan 100 pc's met deze procedure) kun je er 99% zeker van zijn dat je goed zit. Of je hebt iets heel heel erg hardnekkigs te pakken.

[ Voor 3% gewijzigd door Shamalamadindon op 20-10-2014 14:41 ]

[Dynaw]

Kaspersky Rescuedisk heeft inmiddels al het een en ander gevonden wat de vorige scanners niet hebben gevonden. Wat is overigens geadviseerd hierbij? Een volledige scan van alles draaien?

[F_J_K]

Het advies is dus eigenlijk alles helemaal leeg te gooien en niet hopen dat enige combi van (gratis) tooltjes alles vindt

NB vergeet je router niet te controleren, het is soms makkelijk om ook daar e.e.a. aan te passen als extra ingang (bijv. andere DNS, wat portmappings, etc.). En verander natuurlijk al je wachtwoorden, vanaf een andere machine (liefst vanaf een ander vertrouwd netwerk).

Dynaw schreef op maandag 20 oktober 2014 @ 14:35:
Ik besef mezelf inderdaad ook dat een backup niet heilig is op dit moment maar dat is nog altijd beter dan alle data verliezen. Ik de data zal in ieder geval komen op een fysieke aparte HDD.

offtopic:
Leermoment: zorg dat je altijd diverse (offline, liefst offsite) geteste backups hebt. Alle data op alle aangesloten apparatuur kan je ook "gewoon" in 1x door blikseminslag oid verliezen.

[Verwijderd]

Als je zeker wilt weten dat alles van die HDD wordt gewist, kan je ook DBAN gebruiken.

http://www.dban.org/

[Dynaw]

Verse Windows installatie opgezet. Hoe kan ik controleren of ik nu écht clean ben?

[johnkeates]

Door te kijken of je nu nog steeds malware hebt...

[Dynaw]

johnkeates schreef op maandag 20 oktober 2014 @ 17:21:
Door te kijken of je nu nog steeds malware hebt...

Dat snap, maar is één van bovenstaande tools dan voldoende om te controleren? Gezien de malware zich pas rond 1 uur 's nachts bij mij meldt en de dag daarop bij het opstarten.

[PNJvG]

We zullen het weten over ca 5,5 uur...

[Verwijderd]

Dynaw schreef op maandag 20 oktober 2014 @ 17:18:
Verse Windows installatie opgezet.

En hoe heb je dat gedaan? Via Windows Setup de HDD geformatteerd?

[ Voor 9% gewijzigd door Verwijderd op 20-10-2014 19:36 ]

[Baserk]

Dynaw schreef op maandag 20 oktober 2014 @ 17:18:
Verse Windows installatie opgezet. Hoe kan ik controleren of ik nu écht clean ben?

Vooral door de adviezen op te volgen zoals controleren met GParted of je een ongewenste partitie op je schijf hebt staan.
Of met een programma als GParted eerst netjes al je partities verwijderen voordat je Windows vers installeert.
(en dan bijv. een mooie partitie-indeling maken voor je OS+progs en je data (muziek, films etc), ook met het oog op imaging en backups).

Hoe overzichtelijk ook, je blijft nu ronddraaien in een kringetje van Windows, malware en anti-malware tools.
Lees je in in GParted link en neem een paar uur de tijd om je ook 'disk imaging' eigen te maken.
Een 'image' is bijv. een 1:1 kopie van je OS+progs partitie. Scan bijvoorbeeld deze sites link link om een aantal gratis disk imaging programma's te bekijken.
In de tijd nodig voor een Win7+updates+progs installatie, kan je genoeg leren over GParted en imaging en pleur jij voortaan een disk image/schone kopie van je OS+progs+updates op je 'OS+progs' partitie in 10 minuten.

[ Voor 11% gewijzigd door Baserk op 20-10-2014 21:08 ]

[Dynaw]

Ben inmiddels ''virusvrij'' sinds afgelopen maandag 18:50. Sindsdien is alles in orde, er gebeuren geen vreemde dingen meer, alle scans zijn nu standaard groen en belangrijker, heb m'n les je geleerd over back-uppen. Ik wilde al maanden een backup HDD aanschaffen, nooit van gekomen.

Een eventuele image trekken is wellicht dan ook geen slecht idee nee. Ontzettend bedankt voor alle hulp in ieder geval.

[F_J_K]

Dynaw schreef op vrijdag 24 oktober 2014 @ 17:36:
Ik wilde al maanden een backup HDD aanschaffen, nooit van gekomen.

1 backup is geen backup, malware kan ook de backup besmetten en hardwarefalen komt om een moment dat je de schijf actief gebruikt = tijdens backuppen of restoren.

Koop er dus meteen twee die je om de beurt gebruikt. (En/of neem een abonnement op een cloud dienst voor data die je niet kwijt wilt).

[Breezers]

Al die moeite.... Neem je verlies, koop een nieuwe HD/SSD, clean install en je hebt je systeem weer als nieuw... Wijze les geleerd en ga bij twijfel niet proberen je oude Windows install of HD te "repareren" , dit kost te veel tijd en als je echt een goede virus hebt dan zijn alle scans die aangeven dat je "virusvrij" bent beslist geen vrijkaartje.
Er is genoeg narigheid aanwezig die zelfs de beste scans niet registreren, dus speel op safe en begin opnieuw.

De persoon die 100% zeker kan zeggen dat hij alle virussen, roots, malwares etc heeft verwijdert na een binnengedrongen virus is degene die de virus heeft geschreven (meestal een cocktail) zelfs antivirus bedrijven of veiligheidsdiensten lopen altijd als een kat en muis achter de feiten aan.

Eerst komt het lek, dan komt diegene die daar misbruik van maakt en pas als dit misbruik wordt opgemerkt wordt er een maatregel gemaakt, dus altijd achteraf.

Nooit blind een scan vertrouwen

[Havelock]

E-Vix schreef op maandag 20 oktober 2014 @ 13:47:
Als je echt een rootkit op je computer hebt staan dan zal alleen formatteren ook niet helpen. Een rootkit installeert zichzelf doorgaands in een speciale partitie welke hij aanmaakt in de laatste paar ongebruikte MB's op je harde schijf. Deze partitie wordt als primair ingesteld en je computer zal altijd van deze partitie booten (en dus de rootkit in het geheugen laden). Hierna zal de rootkit je computer van de normale partitie laten opstarten.
Als je alle zichtbare partities er af gooit en Windows opnieuw installeert, dan zal deze 'rootkit'-partitie nog steeds blijven bestaan en zijn werk blijven doen. Dit probleem heb ik zelf namelijk al eens meegemaakt. Alleen door met diskpart de desbetreffende partitie anders te flaggen en te verwijderen kreeg ik de rootkit van die computer af. Mogelijk dat het ook met een tool als Parted Magic (= G-Parted) lukt, maar het lukt in ieder geval niet met de partitioneringssoftware welke ingebouwd is in Windows Setup.

Mijn advies: Schijf helemaal leeg gooien, alle verborgen partitied verwijderen en Windows opnieuw installeren. Nu een backup maken is leuk, maar wie zegt dat je niet een geinfecteerd bestand in je backup meeneemt. Immers als je een rootkit hebt dan kan deze ook de Malwarebytes en andere tools beinvloeden (een rootkit draait boven je OS en heeft dus toegang tot alles waardoor het zichzelf perfect kan verbergen voor anti-malware tools)

Kan dit probleem ook bij Mac computers optreden ?

[F_J_K]

Havelock schreef op donderdag 29 juni 2017 @ 02:57:
Kan dit probleem ook bij Mac computers optreden ?

[google=ransomware mac] laat zien dat er ook gijzelvirussen zijn voor de Mac ja. Rootkits ook. Etc. Wellicht niet deze. Misschien beter als je een los (en wat meer onderbouwd ) topic opent als je daar dieper op wilt ingaan, het is hier een beetje off topic.

[Kabouterplop01]

Die rootkit zaken zitten ook verstopt in je registry en je task scheduler. meestal in services en startup hives. Als je het iig voor de volgende keer even wil stoppen moet je ze daar eerst uitslopen (voorzichtig ermee).
Daarna een goede scanner (zoals hierboven genoemd) eroverheen. Dan kun je een backup gaan maken.
Het helpt enorm om je internetverbinding uit te zetten van je PC als je dit soort zaken doet. (dan kan je PC/Laptop ook de downloader component van die trojan niet het internet opsturen om die rommel weer binnen te halen)