Vage probleem met smtp

[mutsje]

Draai jij toevallig IIS ? en staat je relay van je Virtual SMTP server open?

meer informatie zou in deze thread meer dan welkom zijn want het is erg mager

[Verwijderd]

Ik ben voor 99% zeker dat het een virus is..
Scan eens met een up to date Kaspersky of McAfee.

Volgens mij heb ik laatst deze lijst aan servers gezien bij een virus omschrijving, weet alleen niet meer welke..

[Glacier]

BMW_M3 schreef op 22 September 2003 @ 19:09:
Nou jongens, heb Ad Aware en norton gedraaid maar heeft niet geholpen. weet iemand mischien meer hoe je dit kan stoppen zonder een firewall in te schakelen.

Waarom is het zo'n probleem om een firewall te nemen dan?

[Verwijderd]

Glacier schreef op 22 September 2003 @ 19:19:
[...]

Waarom is het zo'n probleem om een firewall te nemen dan?

Een firewall verhelpt het gevolg, niet de oorzaak..

[Glacier]

Verwijderd schreef op 22 September 2003 @ 19:20:
[...]

Een firewall verhelpt het gevolg, niet de oorzaak..

dat klopt, maar als je toevallig zoiets aan de hand hebt, beperk je iig de gevolgen
Of zie ik dat nu verkeerd?

[Verwijderd]

Je bent idd goed aan het spammen
Welke windows versie gebruik je?
(Heb je norton wel eerst een update gegeven voordat je scande, vroeg hij of je opnieuw op wou starten voor het laden van de nieuwe data?)

[Verwijderd]

Glacier schreef op 22 September 2003 @ 19:32:
[...]

dat klopt, maar als je toevallig zoiets aan de hand hebt, beperk je iig de gevolgen
Of zie ik dat nu verkeerd?

Je hebt wel een punt

Heeft de topicstarter al gekeken of er vage processen draaien btw?
Kijk anders met zo'n monitoring prog welk prog die upload veroorzaakt..

Stuur die file dan eventueel naar mij, dan kijk ik of het al een bekend ding is en anders regel ik detectie

[Spider.007]

Laat de output hiervan eens zien? http://www.sysinternals.com/ntw2k/source/tcpview.shtml

[BMW_M3]

ok jongens ff alle jullie vragen beantwoorden,
- ik draai geen IIS (wat het ook mag zijn )
- ik gebruik WinXP
- Heb norton al geupdate
- en zie geen rare processen draaien

ik zit nu McAfee te dl. Ik laat het wel weten of het nu wel gelukt is. ik denk zelf oo kdat het een virus is maar kan het mis hebben. allemaal bedankt

TCPVIEW:
http://home.kabelfoon.nl/~admir/tcpview.jpg

[Verwijderd]

Code injecting trojan waarschijnlijk
Sinds wanneer heb je dit?
De nieuwe beastdoor(met gefixte bug) is pas 3 dagen oud..NAV zal die nog wel niet vinden, hopen dat die het is..
McAfee vindt de nieuwe versie ook nog niet, KAV downen dus eigenlijk.

Als het niets bekend is, dan wordt het nog feest.

[blackd]

BMW_M3 schreef op 22 September 2003 @ 20:52:
- ik draai geen IIS (wat het ook mag zijn )

Hoe weet je dan of je het draait of niet

[BMW_M3]

Als windows IIS standaard draait zou die het niet vragen. Ik neem aan dat je IIS zelf moet gaan draaien. maar ff ontopic.
Heb ff McAfee gedraaid die vondt deze virus (W32.Mapson.Worm) maar we niet of wat mee te maken heeft, denk het niet want norton scant nog steeds om paar seconden outgoing message.
Dan maar KAV schouw. ik laat het weer weten.

[Verwijderd]

Mapson stuurt ook mails rond..
Maar niet via explorer.exe als je het mij vraagt, eens even nakijken..

Edit:
Btw, hoe kan McAfee W32.Mapson.Worm vinden, als de McAfee benaming W32/Mapson@MM is?

[ Voor 32% gewijzigd door Verwijderd op 22-09-2003 22:12 ]

[Luxx]

even google, dan vind je:

W32.Mapson.Worm sends itself to all the contacts in the MSN messenger contact list. The Subject line, Message body, and attachment vary. The attachment will have a .com, .exe, or .pif file extension. Also, the email may have spoofed the From field.

This worm also attempts to spread itself through the KaZaA, KaZaA Lite, eDonkey2000, Gnucleus, Limewire, Morpheus, Grokster file-sharing networks and ICQ.
Damage : Large scale e-mailing: Sends itself to all the email addresses in the MSN Messenger contact lists.

Gebruik je toevallig een van die programma's dan zou het dus goed kunnen dat je toch die worm hebt

[BMW_M3]

LoL die worm had Norton gevonden sorry!
maar heb die weggehaald na overnieuw opstarten is het weer zelfde verhaal.
ik snap er geen flikker meer. plzz help wordt er gek van!

[Verwijderd]

BMW_M3 schreef op 22 September 2003 @ 22:27:
LoL die worm had Norton gevonden sorry!
maar heb die weggehaald na overnieuw opstarten is het weer zelfde verhaal.
ik snap er geen flikker meer. plzz help wordt er gek van!

Net even mapson op testbak gegooid, hij deed geen mails verzenden, moet je msn messenger voor geïnstalleerd hebben, zo'n hekel heb ik nog net niet aan de mensen die ik m'n contactlist heb staan..

a: toch maar eerst eens firewall installen want zo maak je je populair bij je kennissen waarschijnlijk
b: kav installen, updaten, scannen, kijken wat daar uit komt
-als ook kav zegt dat hij clean is, mja, dan wordt het interessant .
Off-topic: Hoe goed is je Engels?

[BMW_M3]

engels is goed genoeg. Why?
maar ben nu bezig met KAV 4.5 pas 35%
ik laat het weten als het 100%. Als het clean is heb ik pech. Bedankt schouw en alle andere die hebben geprobbeerd te helpen

[Verwijderd]

Dan probeer ik wat te regelen met Kaspersky analyst of met Magnus (maker van Trojan Hunter)..
Die hebben een betere werkwijze om te achterhalen hoe en wat als het goed is..

[BMW_M3]

ik heb KAV gerunt en hij heeft nix gevonden maar er worden nog steeds emails verstuurd
thnx schouw

Als het geen virus is wat is het dan wel???
Nou ik hoor het nog wel als iemand iets weet ik heb alles geprobeerd maar helaas.
thnx 2 all

[Verwijderd]

Laat aub de pics even staan totdat ik een reply heb van KAV(en eventueel TH).

[BMW_M3]

ok Geen probleem.Ik zet ff nog een textfile van tcpview net gemaakt dus is nog steeds bezig met emails versturen.
http://home.kabelfoon.nl/~admir/tcpview.txt

[Verwijderd]

Heb replies gekregen van KAV en TH..

TrojanHunter:

TrojanHunter would have to recognize the injected DLL as a trojan to be
able to clean it automatically. He could use the Process Viewer in
TrojanHunter to right-click the module and select "Unload" to unload the
trojan manually. I think it might be best if he downloads TrojanHunter and
uses the Process Viewer to expand the "Explorer.exe" process and view all
its loaded modules. If he can get a screenshot of that, I might be able to
spot the trojan module, if there is in fact one loaded into Explorer.exe. A
copy of his StartupList output would also help.

Kaspersky:

What messages are sent? Could you provide an example?

Mja, als je natuurlijk zo'n e-mail kan bemachtigen, mits hij zich zo verspreidt, zou natuurlijk erg handig zijn..Dan hoeven ze maar een sig te maken en dan kun je je sys cleanen.

Hebben er nog geen mensen geklaagd over je e-mail stortvloed?

[BMW_M3]

Schouw i kzit nu op school zodra ik thuis ben zalik proberen wat je hebt gepost je hoort nog van me
thnx laterzz

[Marlibica]

Jongens, hoe moeilijk kan dit nou zijn.. rechtsKlik op je internetverbing (Lan of inbel of whatever) en dan eigenschappen, kies geavanceerd en schakel de firewall in. Niet het meest geavanceerde, maar wel effectief.

Een firewall werkt wel degelijk voorkomend. Zie Blaster.

[ Voor 4% gewijzigd door Marlibica op 23-09-2003 15:21 ]

[blackd]

Marlibica schreef op 23 september 2003 @ 15:18:
Jongens, hoe moeilijk kan dit nou zijn.. rechtsKlik op je internetverbing (Lan of inbel of whatever) en dan eigenschappen, kies geavanceerd en schakel de firewall in. Niet het meest geavanceerde, maar wel effectief.

...tegen inkomend verkeer, en hier hebben we het over uitgaand verkeer richting SMTP poorten van verschillende mailservers. Oftewel: aan de standaard firewall heb je niets aangezien deze alleen inkomend verkeer blokkeert.

Een firewall werkt wel degelijk voorkomend. Zie Blaster.

Voorkomend is wat anders dan oorzaak/gevolg.

[BMW_M3]

Hey Schouw
Ik heb die screens van explorer:
http://home.kabelfoon.nl/~admir/Pview1.jpg
http://home.kabelfoon.nl/~admir/Pview2.jpg
http://home.kabelfoon.nl/~admir/Pview3.jpg

Ik heb van niemand gehoord over dat ik te veel emails stuur. Ik we nie hoe ik ze zou kunnen bemachtigen.

Ja die firewall is leuk en aardig maar ik gebruik het liever niet. geeft veel problemen met msn messenger. Ik gebruik het egt als laaste keuze misschien is er iemand die het kan verhelpen.

[Verwijderd]

Heb je ook nog start up lijstje voor me? (Misschien hadden we hier nog eerder aan moeten denken eigenlijk)..

[BMW_M3]

Hier is die dan Opstartlijst
http://home.kabelfoon.nl/~admir/OpstartL.jpg

[Verwijderd]

BMW_M3 schreef op 23 september 2003 @ 17:18:
Hier is die dan Opstartlijst
http://home.kabelfoon.nl/~admir/OpstartL.jpg

Die updreg.exe is nogal populair @ anti spyware sites enzo..
Zou je die kunnen e-mailen? Misschien is het nu wel het desbetreffende virus..

Zou dus ook nog eens even Spybot S&D eroverheen halen, imo beter dan ad-aware..

[blackd]

BMW_M3 schreef op 23 September 2003 @ 17:08:
Ik heb van niemand gehoord over dat ik te veel emails stuur. Ik we nie hoe ik ze zou kunnen bemachtigen.

Ja, en stel nou dat er gewoon een of andere lijst met mailadressen wordt verstuurd of hard coded in het programma zit, en jij dus onbekenden zit te spammen?

Ja die firewall is leuk en aardig maar ik gebruik het liever niet. geeft veel problemen met msn messenger. Ik gebruik het egt als laaste keuze misschien is er iemand die het kan verhelpen.

Het lijkt mij verstandiger om of:
1) die bak offline te halen totdat het probleem is opgelost
2) een firewall te installeren die uitgaand verkeer op poort 25, wat niet door jouw mailapplicatie wordt gegenereerd, tegen te houden.

Ik heb geen idee wat voor mail je verstuurd, maar het zal niet goed zijn.

[BMW_M3]

Schouw die UpdReg is al naar je [e-mail] gestuurd.
Ik probeer ff Spybot S&D
thnx

[Verwijderd]

ps. als het je hotmail is die zooi verstuurd, heb je geluk. ken je er toch maar 200 versturen per dag. Maar, heb je al verder wat gevonden?

[Verwijderd]

Ok, heb reply terug van TH meneer..

Could you have the user send me "tgfteqg.dll" (4th file in Pview2.jpg)? It
looks kind of suspicious to me. This file is also started by rundll32 in
his startup screenshot, so I'm pretty sure something's not right with it.

Hmm, ik dacht dat dat iets van TH was, gebruikt ook random file name voor protectie..
Kun je de file aub naar mij sturen, ik wil natuurlijk ook zeker zijn dat KAV detectie krijgt

[BMW_M3]

Ja ik heb wel wat hotmails stuk of 6
Maar ik denk dat het van me provider wordt verstuurd. hoop van niet.
Maar het is nu rustig ik denk misschien omdat TH die dialer.msconnect had gevonden.
Ik haal nog spybot overheen en dan meldt ik of die wat belangrijks heeft gevonden. Wat ik ook raar zag bij tcpview is dat die emails ook via realshed.exe werden verstuurd die realshed is van realplayer. Dus ik heb die maar uitgeschakeld. ik hoop dat het nu opgelost is want werd egt fucking gek. Allemaal bedankt en vooral schouw.
Als het weer voorkomt meldt ik het.

[BMW_M3]

Schouw ik stuur het nu naar je yahoo.

[blackd]

BMW_M3 schreef op 23 September 2003 @ 17:44:
Maar ik denk dat het van me provider wordt verstuurd. hoop van niet.

Als je WXS hebt wel ja. Zie eerste screenie.

[BMW_M3]

Schouw, hij kan hem niet vinden hij staat niet in sys32 want er staat : inplaats van /
C:\WINDOWS\System32:tgfteqg.dll en niet C:\WINDOWS\System32\tgfteqg.dll

[Verwijderd]

BMW_M3 schreef op 23 September 2003 @ 17:53:
Schouw, hij kan hem niet vinden hij staat niet in sys32 want er staat : inplaats van /
C:\WINDOWS\System32:tgfteqg.dll en niet C:\WINDOWS\System32\tgfteqg.dll

Ook niet ergens anders?
Die dll zal niet uit een of andere hoed worden getoverd lijkt me..

[mabarto]

Je hebt toch wel hidden en system files aangeschakeld om deze ook te zien, anders vind je hem waarschijnlijk niet (als ik een virusmaker zou zijn).

Windows Toets + F en dan filename invullen. Kijken of ie hem vindt.

[BMW_M3]

Hele C: gezocht maar had nix gevonden.
misschien in Rundll32 want er staat
Rundll32 C:\WINDOWS\System32:tfgteqg.dll
maar zoek opdracht kan hem niet vinden.

[BMW_M3]

Het rare ik kan die tgfteqg.dll niet uit me opstartlijst verwijderen, ik verwijder hem maar na opnieuw opstarten is die er weer.

[Verwijderd]

BMW_M3 schreef op 23 september 2003 @ 18:29:
Het rare ik kan die tgfteqg.dll niet uit me opstartlijst verwijderen, ik verwijder hem maar na opnieuw opstarten is die er weer.

Er is een tooltje die in de gaten houdt wat er in de startup komt, misschien kan die vertellen wie 'm erin zet iedere keer.
Zie hier: http://www.mlin.net/StartupMonitor.shtml

[ Voor 9% gewijzigd door Verwijderd op 23-09-2003 18:31 ]

[Verwijderd]

BMW_M3, heb je gedaan wat barto018 zei?

[mabarto]

BMW_M3 schreef op 23 September 2003 @ 18:29:
Het rare ik kan die tgfteqg.dll niet uit me opstartlijst verwijderen, ik verwijder hem maar na opnieuw opstarten is die er weer.

Dan draait er nog een proces die jouw wijziging weer corrigeert. (of hetzelfde proces als je die nog niet gekilled had)

[BMW_M3]

Ja ik had al gedaan wat barto zei maar nog steeds niets gevonden.
ik probeer nu die SUM

[BMW_M3]

Dit is wat SUM aangaf:
http://home.kabelfoon.nl/~admir/SUM.jpg

[n00bs]

Hmz,

ok ik lees net pas dit topic,

Maar first:
http://download.zonelabs....l/zapSetup_40_146_029.exe

Daar vind je ZA Pro, werkt 30 dagen volgens mij zonder geldig serial.
En anders moet je maar naar www.zonelabs.com gaan en daar een gratis ZA downen, maar mijn advies install deze nu meteen
Als die opstart detect hij je IP die je van je ISP hebt gekregen, die doe je in INTERNET ZONE. Mocht je nog een lokaal netwerk hebben dan moet die in TRUSTED.

Je zal dan snel genoeg meldingen krijgen van apps oid die naar buiten willen connecten. Wat niet Windhoos gerelateerd is of geen apps die jij direct kent/vertrouwd. Gewoon NIET ALLOWEN.

Daarna ff al je Windows Updates draaien
MCafee VirusScan laten scannen op ALL FILE en HEURISTIC aan op MAX modus. dit staat standaard niet zo aan.

Lavasoft Adaware draaien (laatste versie) www.lavasoft.de met de laatste defs.

Daarna deze nog downen: http://www.anti-trojan.net/en/
en de laatste defs binnen halen en ook ALLES scannen.

Ook nog naar www.jv16.org en powertools downen, kijk daarmee wat in je registry startup staat, rare dingen wegvinken en verwijderen (wordt auto. backup gemaakt dus wees niet bang dat je iets verkeerds weghaald)


Als je dit al hebt gedaan laat het dan maar weten

[ Voor 10% gewijzigd door n00bs op 23-09-2003 18:57 ]

[Verwijderd]

Zeker dat die 'show files' e.d. settings goedstaan, en ook goed blijven staan?
Wat als je je explorer.exe eens kilt en dan nog eens zoekt op die file.

Edit:

@ n00bs..

TS heeft met NAV, McAfee en KAV gescand..
Daarnaast is TH (ver) superieur aan de door jou voorgestelde oplossing..

Het enige wat nu nog overblijft is de file te pakken krijgen..
Daarna wordt het een 'race' tussen TH en KAV wie het eerste een sig uitheeft

[ Voor 51% gewijzigd door Verwijderd op 23-09-2003 19:00 ]

[Verwijderd]

@BMW_M3
Doe eens: Start -> Uitvoeren
- cmd [enter]
- c: [enter]
- cd\ [enter]
- dir *eqg.dll /s > c:\eqg.txt [enter]
en dan ff de inhoud van c:\eqg.txt hier posten

[BMW_M3]

Ik doe dat allemaal wel vanavond alleen nog ff heb ik portblocker geinstalleerd en dit is wat ik krijg:
http://home.kabelfoon.nl/~admir/portblocker.jpg

[Verwijderd]

BMW_M3 schreef op 23 September 2003 @ 19:05:
Ik doe dat allemaal wel vanavond alleen nog ff heb ik portblocker geinstalleerd en dit is wat ik krijg:
http://home.kabelfoon.nl/~admir/portblocker.jpg

haal ff je IP weg uit dat plaatje, iedereen ziet nu waar jouw PC te bereiken!!

Je wordt als een of andere mailrelay gebruikt , zijn toch incoming connecties?

[ Voor 12% gewijzigd door Verwijderd op 23-09-2003 19:08 ]

[n00bs]

Verwijderd schreef op 23 September 2003 @ 18:58:
@ n00bs..

TS heeft met NAV, McAfee en KAV gescand..
Daarnaast is TH (ver) superieur aan de door jou voorgestelde oplossing..

Het enige wat nu nog overblijft is de file te pakken krijgen..
Daarna wordt het een 'race' tussen TH en KAV wie het eerste een sig uitheeft

Hij mag wel gescand hebben, maar wat ik al zeg... als je alles standaard laat staan bereik je niet alles. Dus je hoeft niet gelijk mijn hele post naar beneden te halen.

Het lijkt mij voor de Topic Starter superhandig om de stappen die ik neergezet heb uit te voeren om het probleem te isoleren ipv allemaal kunstgrepen uit te halen die voorgesteld worden.


Maar als de TS idd niet deze stappen wil uitvoeren, wens ik hem nog veel succes met alle screenshots e.d. (ik probeer namelijk alleen maar te helpen en heb vaak genoeg dit soort probs gezien en opgelost)

[ Voor 14% gewijzigd door n00bs op 23-09-2003 19:08 ]

[BMW_M3]

De volumenaam van station C is WinXP
Het volumenummer is 6846-09F8
bestand is niet gevonden

[nero355]

Verwijderd schreef op 23 september 2003 @ 19:06:
[...]


haal ff je IP weg uit dat plaatje, iedereen ziet nu waar jouw PC te bereiken!!

Je wordt als een of andere mailrelay gebruikt , zijn toch incoming connecties?

Volgens mij ook ja...... Lijkt me evend e IP's opschrijven en dan abuse mailtje naar je provider sturen en die kan weer de provider van de "misbruiker" aanspreken

[Verwijderd]

n00bs schreef op 23 September 2003 @ 19:07:
[...]


Hij mag wel gescand hebben, maar wat ik al zeg... als je alles standaard laat staan bereik je niet alles. Dus je hoeft niet gelijk mijn hele post naar beneden te halen.

Het lijkt mij voor de Topic Starter superhandig om de stappen die ik neergezet heb uit te voeren om het probleem te isoleren ipv allemaal kunstgrepen uit te halen die voorgesteld worden.

Het was niet m'n bedoeling je post naar beneden te halen, maar het lijkt me het beste dat we de koers varen die de maker van TH voorstelt. Lijkt me dat die weet waar hij het over heeft..

@bmw
Maui heeft een typo @ zijn 'write-up', zeker dat je die niet hebt overgenomen?

TS mag dan wel een mailserver zijn, die ene dll doet dingen die niet normaal zijn..

[Verwijderd]

Verwijderd schreef op 23 September 2003 @ 19:15:
[...]
@bmw
Maui heeft een typo @ zijn 'write-up', zeker dat je die niet hebt overgenomen?

Misschien handig om die typo ff te melden, ik zie 'm niet ?

@Bmw anders laatste regel:
dir *.dll /s > c:\mydlls.txt en die ff weer op je webspace planten.

[ Voor 37% gewijzigd door Verwijderd op 23-09-2003 19:23 ]

[BMW_M3]

ik heb alles overgenomen wat maui zei met * en met tgft
maar kreeg die melding.

[BMW_M3]

hier is die dan:
http://home.kabelfoon.nl/~admir/mydlls.txt

[Verwijderd]

-

[ Voor 100% gewijzigd door Verwijderd op 23-09-2003 19:54 ]

[Verwijderd]

Trojan Hunter:

Ah... sounds like the file is embedded in an NTFS alternate data stream.
First time I've seen that happen "in the wild" if this is really the case.
I've created a small application that can be used to extract the file from
the NTFS stream. The program is available at
http://www.misec.net/Extract.exe - have you friend download that and save
the dll file form the stream anywhere. Hopefully that will give us the file
so that it can be examined.

You should be able to delete the stream by doing

cd C:\Windows
echo anything>System32:tgfteqg.dll

in a DOS prompt, but please don't do that until you've managed to extract
the file.

Heb er laatst wat over gelezen, zou niet echt leuk zijn als dit mainstream gaat worden

Dit zou dan idd een primeur zijn, eerste ADS virus ITW..

[ Voor 3% gewijzigd door Verwijderd op 23-09-2003 20:06 ]

[Verwijderd]

Verwijderd schreef op 23 September 2003 @ 20:06:
Trojan Hunter:

[...]

Heb er laatst wat over gelezen, zou niet echt leuk zijn als dit mainstream gaat worden

Dit zou dan idd een primeur zijn, eerste ADS virus ITW..

hm wordt leuk, als je oa dit:
http://www.cknow.com/vtutor/vtntfsads.htm
en
http://www.storageadmin.c...Index.cfm?ArticleID=19878

leest, je kan blijkbaar standaard niet eens zien of er wat met een bestand gebeurd is.

[Verwijderd]

En geen van de populaire AVs ondersteunt dit, Kaspersky wel dus het is iig een onbekend ding als het via ADS is gegaan..

offtopic:
Is het heel erg nerd om hier heel veel adrenaline enzo door te krijgen? Het zou echt wat zijn..

[Verwijderd]

Lijkt me dat deze hieraan gerelateerd is :
http://www.sophos.com/virusinfo/analyses/w32dumarua.html

@bmw_m3:
Heb je zo'n zgn. mailtje van microsoft geopend gehad?

[Verwijderd]

En dat zou door NAV, McAfee en KAV worden gemist?
KAV doet aan ADS scanning...en Dumaru zou ineens een dll injector zijn..

Edit:
Daarnaast zegt Magnus natuurlijk niet voor niets dat dit dan de eerste keer zou zijn dat hij een ADS virus ITW ziet.

[ Voor 35% gewijzigd door Verwijderd op 23-09-2003 20:30 ]

[Verwijderd]

Verwijderd schreef op 23 september 2003 @ 20:29:
En dat zou door NAV, McAfee en KAV worden gemist?
KAV doet aan ADS scanning...en Dumaru zou ineens een dll injector zijn..

Edit:
Daarnaast zegt Magnus natuurlijk niet voor niets dat dit dan de eerste keer zou zijn dat hij een ADS virus ITW ziet.

ik beweer niks, maar als ik de info bij die link lees, gaat het over ADS (ik had er nog nooit van gehoord). Het zou een variant hier op kunnen zijn. Staat ook dat het in de october release komt.

[BMW_M3]

Damnnnn heb ik dat weer he!!!!
ik heb nix van microsoft geopent misschien me kleine broertje maar denk het niet.
ik ga dat proberen wat jullie hebben gepost hopen dat het lukt
nou SCHOUW en maui bedankt jongens!!

[Verwijderd]

Zoals Magnus ook al zei: NIET de file deleten eerdat ik heb bevestigd dat ik de file ook heb..
Heb het zweet bijna in m'n handen staan.. (Ja, ik vind dit ontzettend spannend)

[Verwijderd]

Verwijderd schreef op 23 September 2003 @ 20:41:
Zoals Magnus ook al zei: NIET de file deleten eerdat ik heb bevestigd dat ik de file ook heb..
Heb het zweet bijna in m'n handen staan.. (Ja, ik vind dit ontzettend spannend)

Maak je niet druk Schouw, anders kan je het nog van mij krijgen, ik heb het ook :-) Ik heb net de pagina's hier doorgelezen en weet zeker dat ik hetzelfde heb. Ga zo jullie oplossingen proberen. Ik vind het heel raar aangezien ik vorige week mijn hele windows opnieuw heb geinstalleerd en geen rare programma's of mailtjes heb gehad. Zou het niet handmatig gedaan kunnen zijn? (hacker?) Of lijkt dat jullie erg onwaarschijnlijk? In ieder geval bedankt voor jullie ideeen, ik ga ze zo proberen.

Salvador

[BMW_M3]

Ey schouw weet je misschien hoe die proggie werkt?
als ik hem open en druk op save as komt ie met openen en niet met opslaan als

[Verwijderd]

Het 'leuke' van ADS is dat je dus iemand een tekst bestand kan laten openen, en daarmee direct ook een exe in ADS .
Zou echt wat zijn als dus meerdere mensen hiermee besmet zouden zijn..

[BMW_M3]

Schouw?

[BMW_M3]

Coreblood.dll zegt dat iets?
McAfee vondt en zei is coreblood.dll als virus naam maar kan hem niet deleten of wat dan ook

[Verwijderd]

BMW_M3 schreef op 23 September 2003 @ 20:57:
Schouw?

Mja, sorry, je hebt dat bericht geplaatst toen ik bezig was met mijn andere bericht..

Ik zal hem erover mailen, aangezien ik dat bestand niet heb en verder ook onervaren ben met ADS zou ik niet echt weten verder hoe en wat..

Edit:

Coreblood.dll zegt dat iets?
McAfee vondt en zei is coreblood.dll als virus naam maar kan hem niet deleten of wat dan ook

Mja zegt me wel iets, maar kan het niet meer plaatsen.. maar klinkt niet echt vrolijk..

Kun je de file ook niet kopiëren? Anders moet je take ownership eens proberen en dan nogmaals proberen..

[ Voor 35% gewijzigd door Verwijderd op 23-09-2003 21:04 ]

[BMW_M3]

nope ik kan nix doen ik vind hem zelfs en mcafee kan er nix mee doen alleen dan vermelden.

[Verwijderd]

BMW_M3 schreef op 23 september 2003 @ 21:06:
nope ik kan nix doen ik vind hem zelfs en mcafee kan er nix mee doen alleen dan vermelden.

Wat is de filename van de file die McAfee flagt?
Coreblood.dll? Of is dat de naam het virus?
Geef even de naam van beide aub.

[BMW_M3]

hij pakt hem als tgfteqg.dll maar geeft als virus naam coreblood.dll

[Verwijderd]

BMW_M3 schreef op 23 September 2003 @ 21:13:
hij pakt hem als tgfteqg.dll maar geeft als virus naam coreblood.dll

Wat geeft McAfee aan als locatie?

[BMW_M3]

C:\WINDOWS\System32:tgfteqg.dll

[Verwijderd]

BMW_M3 schreef op 23 September 2003 @ 21:18:
C:\WINDOWS\System32:tgfteqg.dll

En je hebt de file nu ook zelf gevonden?
Je kan hem dus zien?
Welke versie van McAfee gebruik je?

Als je hem kan zien, dan is het dus geen ADS virus, of die tool van Magnus moet wat hebben gedaan..

[BMW_M3]

Nee je kan hem gewoon niet vinden, (bestaat) niet.
Ik kan hem niet zien!
V 7.0

En heb je iets over die tool gehoord wil hem ook ff pakken (f*cking ViruS)
en weer al deze troep eruit halen heb zoveel proggies geinstalleerd.

[ironx]

Mischien is het wel een waardeloos idee (dat laat ik wel aan Schouw over ), maar toch:

Pak anders de complete "C:\Windows" directory in met WinRAR (laatste versie), en zet in WinRAR de optie "Save file streams" aan... (als dat is wat ik over dat file-stream heb begrepen). Heb je toch nog een "backup" van dat (geinfecteerde?) bestand, en mischien dat hij dan wat makkelijker terug te vinden is? (en later desnoods even uploaden naar Schouw ofzo?)

Uit de WinRAR help:
--8<--
"Save file streams" option

This option has meaning only for NTFS file system and allows to save alternative data streams associated with a file. It is especially important under Windows 2000 and XP, which use streams to keep some file dependent information such as file descriptions. If you use WinRAR to backup your NTFS disks, it is recommended to enable this option.
This option is supported only for RAR archives.
--8<--

[BMW_M3]

Ja is leuk maar 1.30GB zippen en opsturen ben ik wel ff paar maanden zoet.
Schouw heb je nog iets gehoord of ben je al aan het slapen

[Verwijderd]

Mja, het is het proberen waard lijkt me.
Nog niets gehoord van Trojan Hunter, als we morgen na m'n schoolgedoe nog niet veel verder zijn haal ik er Eugene (Kaspersky) bij, die zal zeker geïnteresseerd zijn in het eerste ITW ADS virus..

[BMW_M3]

Ben bezig met rarren met file stream aan
50min

[Verwijderd]

Ik vroeg hem of ie niet toevallig een foutje had gemaakt met coden:P

Yea, I messed up the code, it should have been a save dialog. Doesn't
matter though, as long as he types a file name and clicks "Open" the stream
should be extracted and saved to the filename he specified.

Dus probeer even aan te prutsen en te kijken of er wat gebeurt

[BMW_M3]

ja maar wat kan ik zetten virus.txt of andere extensie?

[BMW_M3]

ik heb het met . txt geprobeerd zegt can not open file C:\Windows|System32:tgfteqg.dll

[ironx]

Heb een tooltje gevonden dat hele schijven afzoekt naar ADS-bestanden.
Mischien kun je zo het preciese bestand vinden, inpakken met WinRAR (met Safe Data Stream optie aan natuurlijk ), en naar Schouw mailen...
Crucial ADS (110K).

Voorbeeldje:

Crucial ADS:
!!! ADS FOUND !!! Name=:teststream.txt:$DATA File=E:\zooi\testbestand.txt

Inpakken met WinRAR:
E:\zooi\testbestand.txt

Ik hoop dat het lukt! (ben nu toch ook wel rete-nieuwsgierig )

[Verwijderd]

En ik net zoeken met google maar kon niets met een GUI vinden..
Was nét begonnen maar met de mail naar Eugene, die kan dus wachten.

Thanks voor het betere zoekwerk ironx

[BMW_M3]

Nope lukt niet
32295 files scanned
0 contained Alternate Data Streams
thnx anyway

[Verwijderd]

Argh to the second power..
Nog maar eens e-mailen dan naar TH..

[BMW_M3]

En heeft die TH al wat terug gemaild?

[Verwijderd]

TrojanHunter:

I would trust "Streams" from www.sysinternals.com more. The app you mention
probably only scans *files* for streams - this stream seems to be attached
to a directory. Anyway, what happens if he disables the startup entries for
rundll32 and then reboots? If that doesn't work, tell him to use the
Process Viewer in TrojanHunter to unload the module. He can also switch to
advanced mode in TrojanHunter, click the "Add Process Rule" button and
capture a process fingerprint from the offending DLL module. If he clicks
OK (just select any trojan name) and does a quick scan after that, he will
be able to clean the trojan from memory.

[SKiLLa]

Gewoon simpelweg een gratis online VirusScan uitvoeren,
altijd up2date & gratis:

http://housecall.trendmicro.com/

PS: deze kan ook meteen virii verwijderen ...

[BMW_M3]

Nou gelukkig is de virus weg maar ik heb hem niet te pakken.
Schouw bedankt!
Ik denk door dat ik McAfee heb gedraaid is het opgelost want na opnieuw opstarten gaf die "kan geen module vinden voor C:\Windows\System32:tgfteqg.dll"
dus die hint met TH kon ik niet uitvoeren.
laterzzzz en bedankt allemaal!!

[Verwijderd]

Wel jammer dat we geen proof hebben..
Als we file gehad zouden hebben, was het een wereldprimeur geweest..

Ik zal doorgeven dat ze niet langer na hoeven te denken..

[ironx]

Wel jammer dat we geen proof hebben..

Tenzij BMW_M3 dat RAR-archief nog heeft waar ie dan in zou moeten zitten... maar dat denk ik niet

[Jeldert]

Verwijderd schreef op 24 September 2003 @ 15:59:
Wel jammer dat we geen proof hebben..
Als we file gehad zouden hebben, was het een wereldprimeur geweest..

Ik zal doorgeven dat ze niet langer na hoeven te denken..

Salvador_ven zegt hier toch dat hij het virus ook heeft? Kijk of je hem van hem te pakken kan krijgen

[Verwijderd]

Ik had gereageerd met het bericht dat ik hetzelfde virus had als BMW_M3. Omdat het gedrag precies hezelfde was dacht ik dat in eerste instantie, maar ik heb de file tgfteqg.dll niet op mijn computer staan (ook TH kan ziet hem niet in proces view). Ik heb in tegenstelling tot BMW_M3 wel een firewall geinstalleerd (nadat ik het virus had ontdekt...) en krijg dus om de zoveel tijd aanvragen van explorer.exe. Nu staat mijn firewall weer uit, ik zal kijken of hij weer gaat verzenden, tot nu toe probeert hij om de zoveel tijd een of andere computer te bereiken, 66.221.218.73:http. Misschien een default van windows, of hij wacht op instructies? Wanneer ik er niet achter kan komen wat het is ga ik mijn computer dit weekend opnieuw installeren dus alle tips blijven welkom.

[Verwijderd]

Misschien even de zelfde stappen doen als BMW_M3 heeft gedaan, dus lijstje van je startup programma's posten en een afdruk van je eventviewer?