Winrar virus?

[Verwijderd]

Een colega van mij kreeg plotseling het volgende windowtje voor zich



Dit ziet er allemaal niet echt vriendelijk uit (destroy.exe) en lijkt aardig op een virus. Ook wordt er opeens af en toe cmd opgestart met een melding van "cannot create directory" of iets in die trend. De virusscanner heeft tot zover nog niets gevonden maar we durven de computer niet echt meer opnieuw op te starten.

os=WindowsXP

Komt iemand dit bekend voor??

[Verwijderd]

ik denk niet dat het een virus is..eerder een trojan of een tooltje dat iemand gebruik om je pc te hacken.. is het een server??
volgens mij is het gewoon een paar tooltjes een in rar (.exe) voor het hacken van servers (destroycmd, webdav, scan)

[ Voor 24% gewijzigd door Verwijderd op 09-07-2003 11:26 ]

[blackd]

Het komt me niet bekend voor, maar het ziet er naar uit als een trojan of een zombie tooltje.

Hoe zit het met de beveiliging van de PC?

[ Voor 9% gewijzigd door blackd op 09-07-2003 11:25 ]

[Verwijderd]

beveiliging van de PC lijkt me prima, we zitten achter een firewall binnen een bedrijfsnetwerk. Het rar filetje starte trouwens automatisch op zonder dit aan te klikken.

[zetje01]

Ik kan me niet voorstellen dat dit zo maar vanzelf gebeurt...

edit: ik kon bovenstaande reactie nog niet zien...

[ Voor 31% gewijzigd door zetje01 op 09-07-2003 11:29 ]

[beefcake]

daarom is dit juist zo eng... het is mijn laptop btw

[blackd]

Verwijderd schreef op 09 juli 2003 @ 11:27:
beveiliging van de PC lijkt me prima,

Mij niet

we zitten achter een firewall binnen een bedrijfsnetwerk.

En verder? Antivirus?

Het rar filetje starte trouwens automatisch op zonder dit aan te klikken.

Tja, kan natuurlijk automatisch gestart worden.

beefcake schreef op 09 July 2003 @ 11:29:
daarom is dit juist zo eng... het is mijn laptop btw

En gaat die mee naar huis, zit ie daar direct op internet?

[ Voor 27% gewijzigd door blackd op 09-07-2003 11:31 ]

[beefcake]

ik doe af en toe een online virusscan. vorige week nog. en ik heb geen rare attachments geopend ofzo.

ik internet alleen op het werk met die laptop btw

[ Voor 22% gewijzigd door beefcake op 09-07-2003 11:33 ]

[eNaSnI]

http://www.lurhq.com/webdav.html

[Sluuut]

WebDav is een redelijk bekende exploit, zeer waarschijnlijk is jou pc nu benaderbaar door de desbetreffende hacker. Open bijvoorbeeld eens fsys.txt en post die hier.
Scan je HDD ook eens (gewoon met de search dus) voor servu*.* als bestandsnaam.
Scan.exe & Scan.txt klinkt ook niet al te veilig... post Scan.txt ook even hier als dat kan...

[alienfruit]

virusscanner hoor je altijd te draaien; anders helpt het nog niks. Ik geloof niet dat je sinds vorig week geen e-mails, programma's, bestanden e.d. geopend hebt en/of gekregen.

[Verwijderd]

beefcake schreef op 09 July 2003 @ 11:31:
ik doe af en toe een online virusscan. vorige week nog. en ik heb geen rare attachments geopend ofzo

Welke onlinescan? Die AVs die aan (goede) onlinescans doen zijn vreselijk met trojandetection.

Het gaat echt niet bepaald alleen om attachments, zo te horen hebben ze al gebruik gemaakt van een exploit als de file vanuit z'n eigen ging executen.
Windows update enzo, ook best relevant.

Maar ik zou zeggen ga zo door, ik zag dat je bij cistron zit dus je bent best een leuke xdcc bot

[Sluuut]

Als je bij Cistron zit.. download ff DuMeter .. dan kun je zien of je bandwidth geraped word of niet

Overigens zal je HDD space dan ook steeds kleiner worden zonder dat jij er iets mee doet

[ Voor 32% gewijzigd door Sluuut op 09-07-2003 11:40 ]

[beefcake]

dit staat in fsys.txt:


Welcome to the #DarkX File Serving System

If you are interested in becoming a member of the DarkX Team
Please Contact De|taX or DeD for more information....

Please enjoy this Unlimited Queue File Server and DO NOT ABUSE IT!!!


Thank You

- DarkX WaReZ TeaM


de laptop is rete traag nu btw met al die scans enzo. dus het duurde ff.

[ Voor 12% gewijzigd door beefcake op 09-07-2003 11:52 ]

[Verwijderd]

Als je deze 'infectie' hebt opgelopen binnen je bedrijfsnetwerk, dan zou ik de systeembeheerder maar eens contacten. WebDav is een IIS exploit en dat betekent dus dat er iemand met een geinfecteerde computer rondloopt of dat de server van je bedrijf is gekraakt...

offtopic:
Wel creatieve geesten: fuckaducker.dll enzo Valt ook niet op ofzo...

[ Voor 18% gewijzigd door Verwijderd op 09-07-2003 11:58 ]

[beefcake]

Verwijderd schreef op 09 July 2003 @ 11:36:
[...]

Maar ik zou zeggen ga zo door, ik zag dat je bij cistron zit dus je bent best een leuke xdcc bot

cistron dailup that is 64/64 isdn

[n00bs]

en dat noem je goede beveiliging

1 Advies: install MCafee v4.5 SP1, en zet DOWNLOAD SCAN: aan, ALL filles, Heuristic Scan: (die onderste mode aanvinken)... en dan je virus def. elke week downen (of met de scheduler).
Als je dit doet dan heb je dus dit soort probs niet

En voor de rest met bv. ZA kan je ook je uitgaande verkeer blocken... altijd handig bij Trojans en Exploits

[Verwijderd]

Verwijderd schreef op 09 July 2003 @ 11:53:
Als je deze 'infectie' hebt opgelopen binnen je bedrijfsnetwerk, dan zou ik de systeembeheerder maar eens contacten. WebDav is een IIS exploit en dat betekent dus dat er iemand met een geinfecteerde computer rondloopt of dat de server van je bedrijf is gekraakt...

Het bedrijfsnetwerk zit bijna helemaal dicht. De enige poorten die open staan zijn naar een linux webserver waarvan ik toch met enige zekerheid kan zeggen dat deze niet op IIS draait . Wat ik gewoon vreemd blijf vinden is hoe een winrar executable zo maar kan opstarten.

[Verwijderd]

n00bs schreef op 09 juli 2003 @ 11:56:
en dat noem je goede beveiliging

1 Advies: install MCafee v4.5 SP1, en zet DOWNLOAD SCAN: aan, ALL filles, Heuristic Scan: (die onderste mode aanvinken)... en dan je virus def. elke week downen (of met de scheduler).
Als je dit doet dan heb je dus dit soort probs niet

En voor de rest met bv. ZA kan je ook je uitgaande verkeer blocken... altijd handig bij Trojans en Exploits

Kijk eens of er meer pc's zijn in het netwerk die besmet zijn.
Verder raad ik voor zulk soort dingen eerder Kaspersky aan, aangezien zij betere generic detection hiervoor hebben.
Daarnaast update Kaspersky elke dag, met kleine updates (normaal gesproken kleiner dan 30kb).
Geen enkele AV is heilig, dus om er vanuit te gaan dat je met mcafee/kav niet besmet kan raken is ronduit dom.

Download de nieuwe beastdoor, ZA zal echt geen zak zeggen met de juiste settings, Code injection olé olé.

[beefcake]

ik heb in 4 jaar geen virus meer gehad. ik scan al mijn onbetrouwbare dl's voor ik ze run.
ik gebruik nu housecall av. btw

[Rusty]

Deze PC is 100% zeker gehackt en wordt gebruikt om remote te scannen. scan.exe en scan.txt lijken me sfind met de output. Verder zie ik allemaal x-scan dingen staan *.xpn bestanden.

Je moet toch met de systeem beheerder gaan praten want de beveiliging is lek. Het hoeft niet perse via webdav te zijn, dat bestand is geen bewijs welke exploit er gebruikt is maar zijn tools die de hacker geinstalleerd heeft. En dat een winrar bestand zo maar opstart is ook wel te regelen als iemand je hackt.

Meest gebruikte exploits: IIS, webdav, SQL password, SQL injection enzovoort. Kan van alles zijn dus.

[ Voor 28% gewijzigd door Rusty op 09-07-2003 12:06 ]

[Verwijderd]

beefcake schreef op 09 July 2003 @ 12:01:
ik heb in 4 jaar geen virus meer gehad. ik scan al mijn onbetrouwbare dl's voor ik ze run.
ik gebruik nu housecall av. btw

Maand geleden 35 virii van kazaa geplukt.
Housecall vond er geloof ik 3(drie!)..
Op KAV/McAfee na vond geen enkele AV er meer dan 8.
KAV vond ze allemaal en McAfee miste er eentje.

[beefcake]

Verwijderd schreef op 09 July 2003 @ 12:01:
[...]


Kijk eens of er meer pc's zijn in het netwerk die besmet zijn.
Verder raad ik voor zulk soort dingen eerder Kaspersky aan, aangezien zij betere generic detection hiervoor hebben.
Daarnaast update Kaspersky elke dag, met kleine updates (normaal gesproken kleiner dan 30kb).
Geen enkele AV is heilig, dus om er vanuit te gaan dat je met mcafee/kav niet besmet kan raken is ronduit dom.

Download de nieuwe beastdoor, ZA zal echt geen zak zeggen met de juiste settings, Code injection olé olé.

thanks ik zal gelijk de trail ff downen.

[blackd]

Mijn advies: format die bak en gooi er een nieuwe image overheen. Wie weet wat er allemaal geinfecteerd is. Je weet nooit of dat het systeem helemaal clean is.

_{En das een van de weinige keren dat je mij format hoort roepen}

[ Voor 20% gewijzigd door blackd op 09-07-2003 12:08 ]

[Verwijderd]

blackd schreef op 09 July 2003 @ 12:04:
Mijn advies: format die bak en gooi er een nieuwe image overheen. Wie weet wat er allemaal geinfecteerd is. Je weet nooit of dat het systeem helemaal clean is.

_{En das een van de weinige keren dat je mij format hoort roepen}

goh lekker praktisch joh....

[n00bs]

Verwijderd schreef op 09 July 2003 @ 12:03:
[...]


Maand geleden 35 virii van kazaa geplukt.
Housecall vond er geloof ik 3(drie!)..
Op KAV/McAfee na vond geen enkele AV er meer dan 8.
KAV vond ze allemaal en McAfee miste er eentje.

Welke MCafee? ik gebruik dus 4.5 SP1 en download MINIMAAL 1 keer per week de nieuwe defs. soms komen ze 2-3 keer per week.
En had je met die MCafee ook aanstaan dat die ALL Files moest scannen en Compressed Files en dan nog Heuristic Scan aan

Kijk ik heb nooit problemen gehad met MCafee, maarja wat een scanner niet scant kan ik (bijna) niet weten

Overigens gebruik ik daarnaast ook nog Trojan Scanner, Lavasoft en ZA

[blackd]

Verwijderd schreef op 09 July 2003 @ 12:09:
goh lekker praktisch joh....

Wat wil je dan? Lekker blijven rondlopen met dit soort troep?
Die zooi kan op de gekste plekken zitten, files die hidden lijken, mappen die je niet kan verwijderen..

Veel succes moet opruimen joh.

Dat jullie al niet weten waar ie vandaan komt vind ik al vreemd en geeft mij iig weinig hoop dat dit ding er netjes afkomt.

[ Voor 45% gewijzigd door blackd op 09-07-2003 12:16 ]

[Verwijderd]

Het stugge volhouden van de TS dat zijn systeem echt wel veilig is, met een heuse firewall, maar zonder virusscanner deed me sterk denken aan de sig van Koffie: "A FALSE sense of security is worse than being unsure".

Ik ben bang dat, zoals al gezegd, de enige oplossing is om je PC grondig te scannen, met een echte virusscanner, en niet zo'n online ding. En bij veel infecties werkt (helaas) alleen formatteren. Anders blijf je gelazer houden, gekke sysadmin hebben jullie trouwens, dat er niet eens een virusscanner draait!

[jellyshock]

mmm ik snap niet dat je blijft volhouden dat je beveiliging ok is.... Het is duidelijk dat er ergens een lek is, er kan niet zomaar een winrar exe starten. En het is duidelijk dat er files op je systeem staan die er niet horen. Ik zou voor de veiligheid je systeem herstellen met een image en er daarna een goede virusscanner op zetten (sowieso is dat natuurlijk veiliger als af en toe een onlinescan!)

[Verwijderd]

n00bs schreef op 09 juli 2003 @ 12:10:
[...]


Welke MCafee? ik gebruik dus 4.5 SP1 en download MINIMAAL 1 keer per week de nieuwe defs. soms komen ze 2-3 keer per week.
En had je met die MCafee ook aanstaan dat die ALL Files moest scannen en Compressed Files en dan nog Heuristic Scan aan

Kijk ik heb nooit problemen gehad met MCafee, maarja wat een scanner niet scant kan ik (bijna) niet weten

Overigens gebruik ik daarnaast ook nog Trojan Scanner, Lavasoft en ZA

A: McAfee heeft daily dats(dat die af en toe een beetje sjrot zijn doet er niet toe).
B: Hij mist 1 file, is dat zo raar? Als je toch echt denkt dat een AV alles kan vinden ben je toch echt stom bezig.(yet again, Koffie z'n sig).
C: ad-aware, mja, gebruik zelf spywareblaster, kan de troep nog niet eens je sys op komen.
D: De ene AT is de andere niet, welke gebruik je?
E: Nogmaals, het is helemaal niet snugger om te denken dat McAfee(of een andere AV) alles vindt.

[beefcake]

jellyshock schreef op 09 July 2003 @ 12:25:
mmm ik snap niet dat je blijft volhouden dat je beveiliging ok is.... Het is duidelijk dat er ergens een lek is, er kan niet zomaar een winrar exe starten. En het is duidelijk dat er files op je systeem staan die er niet horen. Ik zou voor de veiligheid je systeem herstellen met een image en er daarna een goede virusscanner op zetten (sowieso is dat natuurlijk veiliger als af en toe een onlinescan!)

Ik blijf niet beweren dat mijn beveiliging op de laptop ok is. ik ging er echter vanuit dat het bedrijfsnetwerk dicht genoeg zat 1 maal na 4 jaar een virus valt nog wel mee, zonder goede scanner dan.

ik install nu kaspersky btw. format doe ik nog niet aan dit moet te fixen zijn.

[Rusty]

beefcake schreef op 09 July 2003 @ 12:33:
[...]


Ik blijf niet beweren dat mijn beveiliging op de laptop ok is. ik ging er echter vanuit dat het bedrijfsnetwerk dicht genoeg zat 1 maal na 4 jaar een virus valt nog wel mee, zonder goede scanner dan.

ik install nu kaspersky btw. format doe ik nog niet aan dit moet te fixen zijn.

Ik blijf erbij dat dit geen virus is maar dat jullie gehackt zijn. Sommige van de tools die ik in je screenshot zie staan worden ook door mijn virus scanner niet opgepikt.

[n00bs]

Verwijderd schreef op 09 July 2003 @ 12:28:
[...]


A: McAfee heeft daily dats(dat die af en toe een beetje sjrot zijn doet er niet toe).
B: Hij mist 1 file, is dat zo raar? Als je toch echt denkt dat een AV alles kan vinden ben je toch echt stom bezig.(yet again, Koffie z'n sig).
C: ad-aware, mja, gebruik zelf spywareblaster, kan de troep nog niet eens je sys op komen.
D: De ene AT is de andere niet, welke gebruik je?
E: Nogmaals, het is helemaal niet snugger om te denken dat McAfee(of een andere AV) alles vindt.

Ik ga er ook asboluut niet vanuit dat een scanner alles vindt, zie mijn vorige post
Wat de scanner niet scant weet ik niet waarmee je besmet kan zijn
Maar hoe zat het met je instellingen nou dat die andere VS er 1 meer vond?

Ik gebruik http://www.anti-trojan.net/en/ voor trojans te scannen...
En denk dat de combo van dit al tesamen redelijk "safe" is te noemen. Het belangrijkste is natuurlijk: Gezond Verstand!

[Blisterin_Bull]

Nog een tip (als je win2k/winxp draait):

Kijk bij systeemservices (via configuratiescherm-administrative tools-services) de lijst na of er geen vage services tussen staan zoals x-scan, firedaemon, servu, iroffer. (deze services kunnen uiteraard renamed zijn).

[n00bs]

Precies Services disablen... Vind Powertools, registry cleaner etc erg handig om te controleren voor vage software, ook kan je daarna de progs zien die mee opgestart worden.
En guest accounts etc disablen

[F_J_K]

beefcake schreef op 09 July 2003 @ 12:33:
Ik blijf niet beweren dat mijn beveiliging op de laptop ok is. ik ging er echter vanuit dat het bedrijfsnetwerk dicht genoeg zat 1 maal na 4 jaar een virus valt nog wel mee, zonder goede scanner dan.

Een virusscanner op een proxy waar je verplicht langs moet zou al een stuk helpen, maar zolang enige verbinding met het internet hebt (en een CDdrive etc ) ben je nooit 100% veilig, zeker als je IE gebruikt _{niet omdat dat zo buggy is, maar omdat dat veruit het meest gebruikt wordt en je dus er veel exploits voor tegenkomt.} Zo is standaard met adminrechten werken onder Windows ook een no-no. Maar goed, dat is offtopic en daar zijn al recente topics over te vinden hier in SA

ik install nu kaspersky btw. format doe ik nog niet aan dit moet te fixen zijn.

Proberen te desinfecteren en repareren kan zeker geen kwaad. Maar zie blackd in "Winrar virus?": je weet nooit zeker dat er niet nog ergens wat is achtergebleven: een aangepast systeembestand hier, een veranderde notepad.exe daar en je wat extra datastreams als je NTFS gebruikt en je vind het nooit terug als het niet is gedaan door een scriptkiddie dat een standaard trojan heeft gebruikt. Maar dat zal wel meevallen geloof ik

Maar goed, proberen op te ruimen kan nooit kwaad natuurlijk en de kans is aanwezig dat je alles opruimt: zie dan ook hierboven

[n00bs]

Als je gecleaned hebt, daarna nog eens bv die trojanscanner (waarvan ik de link gepost heb) met laatste definities ALLES ook nog eens laat scannen... dan nog Spyware eruit trappen...
Registry Cleaner van www.jv16.org laten cleanen (alleen groene items), check daarook je opstart config en gooi eruit wat verdacht is... als je iets verdacht ziet noteer dan die bestand namen.

Als je daarna dan nog bv ZA zou installen kan je wel ff checken welke connecties allemaal gemaakt worden

[Genghis Khan]

Verwijderd schreef op 09 juli 2003 @ 12:09:
[...]


goh lekker praktisch joh....

Ja, dat is inderdaad praktisch. Gehackte bakken zijn voor geen cent meer te vertrouwen omdat er allemaal backdoors en weet-ik-veel-wat allemaal wel niet er nog op kan staan. Gewoon formatteren die hap dus, als je geen risico's wilt nemen.

[alt-92]

Nog iets..

Je zegt dat die self-extracting exe vanzelf openging?

Op een goed bijgewerkt systeem (IE security patches + SPs) zou dat ook niet kunnen, omdat daar de Iframe exploits waar met een JS een exe wordt geopend al dicht mee zijn.

Of er moet iemand lopen te dubbelklikken waar die dat niet moet doen..

[beefcake]

scanning 18%...
pas als kaspersky klaar kan ik mischien zien waar het vandaan kwam.

autoupdate is gister nog gebeurd btw.

[alt-92]

doh..

Je zal hooguit heuristisch een trojan element kunnen vinden, maar 3/4 van de files zijn geen virus.

[Coolhva]

Maar hij heeft wel gelijk. Bij een kans op besmetting zet ik een image terug.
Je kan het risico toch niet lopen dat er toch ergens iets is blijven hangen?!?!?

Ik zou formatteren! Ik neem aan de je een firewall draait. Registreert die nog rare dingen?

[Verwijderd]

zou je anders misschien een screenie van ctrl + alt + del kunnen posten van processes ...

[Sluuut]

Virusscanners zien dit soort files niet als virussen, omdat het gewoon normale tools zijn waarmee je LEGAAL bezig mee kunt zijn. Helaas (of niet helaas) kan dit ook illegalerwijs worden gebruikt.

Ik ben er net zoals Rusty 100% van overtuigd dat dit geen virus is maar dat je gehacked bent.

[alienfruit]

Zelf maak ik gebruik van NAV (norton AV) en tot heden heb ik nog geen problemen gehad met virussen; had laatst wel een behoorlijk irritant $#$@ virus. Die onder mijn naam (e-mail) virussen ging rondsturen wordt ik niet zo vrolijk van. Alleen het irritante aan NAV is dat je soms virussen in quaratine moet plaatsen dat vind ik zo'n onzin!

Trouwens veel virus probleem je op door niet KaZaa e.d te gebruiken; heb sinds ik KaZaa (etc.) niet meer gebruikt bijna geen virussen meer.

[Verwijderd]

n00bs schreef op 09 July 2003 @ 12:38:
[...]


Ik ga er ook asboluut niet vanuit dat een scanner alles vindt, zie mijn vorige post
Wat de scanner niet scant weet ik niet waarmee je besmet kan zijn
Maar hoe zat het met je instellingen nou dat die andere VS er 1 meer vond?

Ik gebruik http://www.anti-trojan.net/en/ voor trojans te scannen...
En denk dat de combo van dit al tesamen redelijk "safe" is te noemen. Het belangrijkste is natuurlijk: Gezond Verstand!

Het was een nogal apart gepacked virus, kan zijn dat McAfee daar niet mee overweg kon, of dat hij die spybot nog niet detecteerde.

Van wat ik weet(ik gebruik zelf geen AT), moet je voor de echte goede AT's toch bij Trojan Hunter en TDS zijn, ook BO-Clean moet wel goed zijn.
Dat zijn de grote drie.

Mja, over die tools, McAfee laat die zien bij het scan log. Maar heb ook al eens gezien dat zo'n 'tool' stiekem toch een virus was, waarbij iedereen toen dacht dat het een false positive was van Kasperksy..

[equinoxe]

Lekker dit was dus een rootkt, de "hacker" (scriptkiddy n00b) heeft zich zelfs niet de moeite genomen om een silent install te maken voor zijn zooi:

Je bent dus eerst gehacked, daarna is gepoogt om een rootkit te installen.
Ze hebben in de recycler een "onzichtbare map aagemaakt waar ze de zooi naar uploaden, van downloaden, waarschijnlijk heb je dus nu ook een server-U ftp lopen daarzo..
Zo te zien met een versie van Xscan (vulnerability scanner erbij)

[ Voor 13% gewijzigd door equinoxe op 09-07-2003 16:53 ]

[Dala]

equinoxe schreef op 09 juli 2003 @ 16:52:
Lekker dit was dus een rootkt, de "hacker" (scriptkiddy n00b) heeft zich zelfs niet de moeite genomen om een silent install te maken voor zijn zooi:

Je bent dus eerst gehacked, daarna is gepoogt om een rootkit te installen.
Ze hebben in de recycler een "onzichtbare map aagemaakt waar ze de zooi naar uploaden, van downloaden, waarschijnlijk heb je dus nu ook een server-U ftp lopen daarzo..
Zo te zien met een versie van Xscan (vulnerability scanner erbij)

goed zo..... ik wilde net zo'n reply gaan maken....

maar de leerling overtreft is sneller als de meester

maar inderdaad.. om winrar te gebruiken hiervoor is wel uber lame....

zoiezo

Welcome to the #DarkX File Serving System

If you are interested in becoming a member of the DarkX Team
Please Contact De|taX or DeD for more information....

Please enjoy this Unlimited Queue File Server and DO NOT ABUSE IT!!!


Thank You

- DarkX WaReZ TeaM

hieruit blijkt maar weer wat voor een lage/zielige ventjes dit zijn geweest.... waarschijnlijk is het gewoon zo'n billige IRC scriptkiddies groupje

prutsers....

nog even mijn mede betoog aan de topic starter.... ik vind het kut voor je dat je bent gepakt door zo'n script kiddie... als je hulp nodig hebt met verwijderen... mail me maar... ik help je wel effe..

.

[ Voor 3% gewijzigd door Dala op 09-07-2003 17:08 ]

[Verwijderd]

We hadden al wat gezien met active ports. Er was een programma svh0st (met een 0) dat connectie maakte met poort 6667 (ip 69.31.71.66). Je kunt er gewoon heen connecten met mirc. Het duurt ff voordat er wat nuttige opmerkingen komen i.p.v. "formateer je hdd". tnx Dala, equinoxe en schouw. P.s. topicstarter (ik) ben niet het slachtoffer.

[ Voor 5% gewijzigd door Verwijderd op 09-07-2003 17:38 ]

[beefcake]

thanx all. het was idd irc.
kaspersky vond virus: backdoor.servu-based. in die recycle dir. De virussen en svh0st.exe zijn verwijderd en zonealarm staat nu aan.

[LuCarD]

Verwijderd schreef op 09 July 2003 @ 17:37:
We hadden al wat gezien met active ports. Er was een programma svh0st (met een 0) dat connectie maakte met poort 6667 (ip 69.31.71.66). Je kunt er gewoon heen connecten met mirc. Het duurt ff voordat er wat nuttige opmerkingen komen i.p.v. "formateer je hdd". tnx Dala, equinoxe en schouw. P.s. topicstarter (ik) ben niet het slachtoffer.

Je hebt gelijk, jij bent niet het slachtoffer maar wij zijn het slachtoffer.

Waar denk je dat dit soort bakken voor gebruikt worden? Veel van deze bakken worden gebruikt voor DDOS, Scans, Spam en andere akelige dingen. Wie hebben daar last van jij en alle andere internet gebruikers.

[blackd]

beefcake schreef op 09 July 2003 @ 17:47:
De virussen en svh0st.exe zijn verwijderd en zonealarm staat nu aan.

En jij denkt dat je bak nu veilig is?

[mvdejong]

Verwijderd schreef op 09 juli 2003 @ 12:09:
[...]


goh lekker praktisch joh....

Zeker praktisch.

En dat moet de systeembeheerder in een redelijk korte tijd kunnen, zonder in het zweet te raken. Als hij tegenstribbelt, begrijpt hij het probleem niet (eng) of hij vertrouwt zijn eigen backup/recovery/emergency-procedures niet (of was het toch een systeembeheerder i.p.v. een koffie-drinker).

[Verwijderd]

Wat ik hiermee bedoel is dat beefcake het slachtoffer was niet ik (je mag posts ook wel een beetje doorlezen hoor)

[zetje01]

Als winrar al vanzelf opstart, en iets uitpakt wat er vanzelf op is gekomen zou ik zeker windows opnieuw installeren...

(Maar dat is mijn eigen mening, natuurlijk.
ps: Ik draai geen virusscanners en kan me niet herinneren ooit een virus gehad te hebben)

[Verwijderd]

mvdejong schreef op 09 July 2003 @ 17:58:
[...]

Zeker praktisch.

En dat moet de systeembeheerder in een redelijk korte tijd kunnen, zonder in het zweet te raken. Als hij tegenstribbelt, begrijpt hij het probleem niet (eng) of hij vertrouwt zijn eigen backup/recovery/emergency-procedures niet (of was het toch een systeembeheerder i.p.v. een koffie-drinker).

Die computer is geen computer van het werk, het is een computer voor thuis die op het werk stond aangesloten dus de systeembeheerder heeft hier niet echt veel mee te maken. Sommige mensen moeten toch met behoorlijke simpele offtopic reacties niet altijd het meest sportieve antwoord terug verwachten. Begrijp me niet verkeerd, een hoop mensen willen helpen en daar ben ik best dankbaar voor, maar het roepen van formateer je hdd daar kan iedereen denk ik wel opkomen ofniet en voegt toch wel heel weinig toe? magoed dit raakt alleen maar verder offtopic. Dankzij enkele mede tweakers zijn we toch achter het juiste probleem gekomen en daarvoor nogmaals dank.

[equinoxe]

@ zetje01: winrar doet dat niet zelf, iemand heeft via telnet/iis oid daar het commando voor gegeven..
Herinstall is totaal overbodig.. Zooi even nakijken en vulnerabilitys patchen lijkt me eerder aangeraden.

TIP:
Ik zou autostartviewer van daimondCS eens gebruiken als ik die sysbeheerder was, kan ie mee checken of er nog dingetjes automatisch opstarten na reboot...

[blackd]

zetje01 schreef op 09 July 2003 @ 18:01:
Als winrar al vanzelf opstart, en iets uitpakt wat er vanzelf op is gekomen zou ik zeker windows opnieuw installeren...

De reden dat ik zei dat de geinfecteerde bak opnieuw geinstalleerd moet worden, is omdat, zoals al eerder gezegd, je de bak niet meer kan vertrouwen.

Dat dit als een onzinreactie wordt gezien, vind ik nogal vreemd en jammer. Als hier zinnige tegenargumenten voor kunnen komen, dan hoor ik dat graag.

Indien WinRar automatisch start, zul je je bak moeten patchen, zoals BackSlash32 al zegt. Maar, dan moet je ook weten waar deze troep vandaan komt. Ben benieuwd of dat achterhaald is.

ps: Ik draai geen virusscanners en kan me niet herinneren ooit een virus gehad te hebben

Hoe weet je dat je nooit virussen hebt gehad, als je geen virusscan draait?

Verwijderd schreef op 09 July 2003 @ 18:06:
maar het roepen van formateer je hdd daar kan iedereen denk ik wel opkomen ofniet en voegt toch wel heel weinig toe?

Pardon? Ik geef toch heel duidelijk een reden op waarom ik dat zeg?

blackd schreef op 09 July 2003 @ 12:04:
Mijn advies: format die bak en gooi er een nieuwe image overheen. Wie weet wat er allemaal geinfecteerd is. Je weet nooit of dat het systeem helemaal clean is.

_{En das een van de weinige keren dat je mij format hoort roepen}

Kom maar met tegenargumenten hoor.

[ Voor 28% gewijzigd door blackd op 09-07-2003 18:10 ]

[Verwijderd]

sorry blackd wordt anders weer teveel offtopic en voegt niets toe. tnx for the tip equinoxe

[blackd]

Verwijderd schreef op 09 July 2003 @ 18:11:
sorry blackd wordt anders weer teveel offtopic en voegt niets toe. tnx for the tip equinoxe

Tuurlijk voegt dat wel wat toe. We hebben het hier toch over een oplossing voor jouw probleem?
En je probleem bestaat IMHO nog steeds, die bak is niet te vertrouwen.

[ Voor 12% gewijzigd door blackd op 09-07-2003 18:13 ]

[Verwijderd]

hehehehe daar gaan we weer . De hoofdvraag is beantwoord en we weten waar we aan toe zijn. Wat wil je nog meer. Mooi einde toch?

[blackd]

Verwijderd schreef op 09 July 2003 @ 18:14:
we weten waar we aan toe zijn.

Ik weet precies waar we aan toe zijn. We weten niet wat er op die bak staat, we weten niet zeker dat deze 100% secure is. Dadelijk wordt deze gebruikt voor DDoS aanvallen of voor Spam, en vervuilt dat ons gezamelijke internet. Dat wil ik voorkomen.
Maargoed, blijkbaar wil of durf je de discussie niet aan te gaan. Jammer.

[Verwijderd]

[url] Algemene gedragsregels (Netiquette) #reageren[/url]

[blackd]

Verwijderd schreef op 09 July 2003 @ 18:25:
[url] Algemene gedragsregels (Netiquette) #reageren[/url]

Alsof ik als ex moderator van Windows Operated Systems die niet zou kennen. Ik denk dat ik wel kan inschatten wat ontopic en offtopic is. Maar goed, als jij het offtopic vindt, mail me maar.

[ Voor 4% gewijzigd door blackd op 09-07-2003 18:31 ]

[Verwijderd]

Verwijderd schreef op 09 July 2003 @ 18:14:
hehehehe daar gaan we weer . De hoofdvraag is beantwoord en we weten waar we aan toe zijn. Wat wil je nog meer. Mooi einde toch?

Nix einde...
Blackd heeft gelijk, die bak hoeft zeer zeker niet secure te zijn en hij probeert je dat duidelijk te maken en dan ga je met de FAQ aankomen...

Neem je verantwoordelijkheid en beveilig die bak fatsoenlijk.
ZA + Kaspersky != heilig

Er moeten sowieso alle patches geïnstalleerd worden.
En misschien is het inderdaad verstandig om een re-install te doen..
Omdat je(jullie) zo ligt te roepen dat nu alles ok is, is dat misschien wel het beste want het is niet echt verstandig gedrag.

[Compubiter]

Verwijderd schreef op 09 juli 2003 @ 18:14:
hehehehe daar gaan we weer . De hoofdvraag is beantwoord en we weten waar we aan toe zijn. Wat wil je nog meer. Mooi einde toch?

Verwijderd schreef op 09 juli 2003 @ 18:11:
sorry blackd wordt anders weer teveel offtopic en voegt niets toe. tnx for the tip equinoxe

Is dit niet een of andere vage tegenstelling . Als de vraag is beantwoord, dan betekent dat toch juist dat er offtopic kan worden gegaan? GoT is geen helpdesk, waar jij jouw vraag even neer kunt zetten, maar een discussieboard. Als jij die discussie bij voorbaat afkapt, dan betekent het dus dat jij GoT niet gebruikt waarvoor het bedoeld is.

[Verwijderd]

blackd snapt het, mail icq of msn zijn veel beter voor dit soort discussies.

[blackd]

Verwijderd schreef op 09 July 2003 @ 18:37:
blackd snapt het, mail icq of msn zijn veel beter voor dit soort discussies.

Nee.

An sich is dit on-topic, aangezien jij beweert dat mijn oplossing geen goede is. Dit kun je ontkrachten door argumenten te geven. Die geef jij echter niet.

Maar als jij het hier niet in het topic wilt posten, kun je me mailen.

Bovendien zijn jouw laatste replies dat ik de FAQ moet lezen eerder offtopic dan mijn replies om de discussie aan te gaan.

[ Voor 14% gewijzigd door blackd op 09-07-2003 18:42 ]

[equinoxe]

Verwijderd schreef op 09 July 2003 @ 18:33:
[...]


Nix einde...
Blackd heeft gelijk, die bak hoeft zeer zeker niet secure te zijn en hij probeert je dat duidelijk te maken en dan ga je met de FAQ aankomen...

Neem je verantwoordelijkheid en beveilig die bak fatsoenlijk.
ZA + Kaspersky != heilig

Er moeten sowieso alle patches geïnstalleerd worden.
En misschien is het inderdaad verstandig om een re-install te doen..
Omdat je(jullie) zo ligt te roepen dat nu alles ok is, is dat misschien wel het beste want het is niet echt verstandig gedrag.

Zone Alarm is zeker niet de beste firewal (nofi), heilig al zeker niet, d'r zijn betere en minder resource slurpende firewals op de markt (voorbeeld, op mijn systeem: met ZAPRO: 3.5 mbit/s en met Sygate Pro: 4.0 mbit/s download snelheid, een behoorlijk verschil dus).

Kaspersky is idd een van de beste (dan niet de allerbeste!) virusscanner, echter zoals bij alle scanners geld: zelf gecode zooi of gecrypte zooi zal niet herkent worden, ook hier heb ik een voorbeeldje: een door mij zelf gecrypte sub7server
wordt niet herkend (door GEEN ENKELE scanner)
(ik heb expres het meest bekende (en meest lame) trojan genomen omdat elke scanner hem zou moeten herkennen)

Bij een stro zoals bij het slachtoffer geinstalled is geworden zitten doorgaans 3 tools: de ftp daemon; de IRC-bot; en de slave (voor remote access), daarnaast komt het vaak voor (ook in dit gevan) dat een scanner wordt geinstalled.

Op het moment dat de daemon, de bot en de slave (zoek in de winnt of in de system32 dir naar een programa dat een reddingsboei als icoon heeft) is verwijderd zal je geen schadelijke onderdelen meer op de server hebben staan.

Ben je paranoide, kan je nog altijd een image erovereen gooien..
Mijns insziens niet echt nodig (een gastje dat jou bak als scanner/FXP bak wil gebruiken heeft er niets aan als de bak snel down gaat, virus of andere zooi is dan ook al snel uitgesloten), maar ok.

[Verwijderd]

equinoxe schreef op 09 juli 2003 @ 20:44:
[...]


Zone Alarm is zeker niet de beste firewal (nofi), heilig al zeker niet, d'r zijn betere en minder resource slurpende firewals op de markt (voorbeeld, op mijn systeem: met ZAPRO: 3.5 mbit/s en met Sygate Pro: 4.0 mbit/s download snelheid, een behoorlijk verschil dus).

Kaspersky is idd een van de beste (dan niet de allerbeste!) virusscanner, echter zoals bij alle scanners geld: zelf gecode zooi of gecrypte zooi zal niet herkent worden, ook hier heb ik een voorbeeldje: een door mij zelf gecrypte sub7server
wordt niet herkend (door GEEN ENKELE scanner)
(ik heb expres het meest bekende (en meest lame) trojan genomen omdat elke scanner hem zou moeten herkennen)

Je hebt het uitroepteken voor mijn isteken toch gezien he?
Niet dat je denkt dat ik denk dat die combo heilig is..

Je kan ook gewoonweg Arma gebruiken, weet je ook zeker dat geen enkele AV het gaat vinden.

Heb je toevallig ook met de nieuwe Norman getest, want vraag me af hoe goed die is met dat sandbox gedoe, in theorie zou hij de file dan moeten kunnen vangen.

[equinoxe]

Hmm, over uitroepteken heen gelezen of gedacht dat ie bij combo hoorde..


NVC heb ik ng niet kunnen testen, klinkt wel interresant dat sandbox gedoe..
Zal ik snel doen..


Nope hij herkent um dus niet:

[ Voor 52% gewijzigd door equinoxe op 09-07-2003 21:35 ]

[Verwijderd]

equinoxe schreef op 09 July 2003 @ 21:09:
Hmm, over uitroepteken heen gelezen of gedacht dat ie bij combo hoorde..

Dat spreekt voor zich lijkt me....het ging over het uitroepteken heen lezen.

Hmm, die sandbox werkt dus ook niet echt imho.

[zetje01]

equinoxe schreef op 09 July 2003 @ 18:06:
@ zetje01: winrar doet dat niet zelf, iemand heeft via telnet/iis oid daar het commando voor gegeven..

Ja, dat begrijp ik ook wel. Het waren ook niet mijn woorden maar die van (collega van) TS.

equinoxe schreef op 09 July 2003 @ 18:06:
Herinstall is totaal overbodig.. Zooi even nakijken en vulnerabilitys patchen lijkt me eerder aangeraden.

Ik vind herinstall in dit soort gevallen dus niet overbodig. Misschien staan er nog wel virii/servers/trojans op die pas op 20 juli actief worden en waar je (scanner) nu gewoon overheenkijkt.
Voor vulnerability-patches lijkt het mij nu te laat.

Anyways, we verschillen dus van mening.


Aan blackd:
Ik weet dat ik geen virussen heb omdat:
- ik zo af en toe eens een paar verschillende online-virusscans doe.
- ik heel regelmatig m'n taskmanager en dumeter in de gaten houd.
- ik een heerlijke firewall heb (atguard)
- enz. enz.

Heb ik wel een virus, dan is het er een die niks doet...

[Verwijderd]

zetje01 schreef op 09 juli 2003 @ 21:48:
[...]


Ja, dat begrijp ik ook wel. Het waren ook niet mijn woorden maar die van (collega van) TS.


[...]


Ik vind herinstall in dit soort gevallen dus niet overbodig. Misschien staan er nog wel virii/servers/trojans op die pas op 20 juli actief worden en waar je (scanner) nu gewoon overheenkijkt.
Voor vulnerability-patches lijkt het mij nu te laat.

Anyways, we verschillen dus van mening.


Aan blackd:
Ik weet dat ik geen virussen heb omdat:
- ik zo af en toe eens een paar verschillende online-virusscans doe.
- ik heel regelmatig m'n taskmanager en dumeter in de gaten houd.
- ik een heerlijke firewall heb (atguard)
- enz. enz.

Heb ik wel een virus, dan is het er een die niks doet...

-Volgens mij heb je teveel hoax-mails gelezen, het rot echt niet wanneer zo'n ding actief wordt voor een AV, een signature is een signature.
-Die online-scanners zijn echt niet zo heel geweldig.
-taskmanager, ja en daar zie je ook aan dat er code injection plaats heeft gevonden?
-Er is geen enkele firewall die door heeft als code injection plaats heeft gevonden, dan moet je al zoiets als SSM draaien.

Het idee van een ietswat aangepast opasoft variant spreekt me wel aan, schijf rot, bios rot, maar die doet gelukkig niets, volgens jouw criteria.

[zetje01]

Schouw: ontopic please.
Mijn reacties waren aan equinoxe en blackd gericht. Dat stond er ook bij.

ps: als je wilt reageren op een paar regels van mij, quote dan niet m'n hele reactie want het wordt nogal onleesbaar zo.