[winXP] Trojan :'(

[SilentStorm]

Bij gebrek aan het oude V&V forum

Ik heb gister met mn stomme kop een progje binnengehaalt waarvan ik (aan de bestandsgrootte) al vrijwel kon verwachten dat iemand er iets bij in had geplant. Vertrouwende op mn virusscanner heb ik er toch maar op geklikt (eens kijken wat ie doet).
Mijn virusscanner stond uit!

Mijn eerste gedachte is uiteraard om windows dan maar opnieuw te gaan installeren, (clean format). Echter, ik heb het bestand nog. Is iemand bekend met een manier om bekende trojans te identificeren of hoe deze trojan los is te maken van het programma en vervolgens backengineeren? (dat laatste misschien beter niet te diep op ingaan wegens de policy)

Ik wil weten wat dit programma gedaan heeft. De enige zichtbare verandering is dat notepad is aangepast. Waarschijnlijk ging de maker uit van een duitse gebruiker: de interface is nu op de menutjes na (save, load, font, help|about) volledig duitstalig en ik verwacht dan ook op zijn minst een keylogger. Tevens lijkt er iets veranderd te zijn aan mijn internetverbinding. Ik kan er niet precies de vinger op leggen, maar mn firewall krijgt af en toe vreemde vragen van bekende programma's om het internet op te mogen, die dat normaal niet zouden hoeven. Mozilla kan alleen nog internetten als ik dat via een programma "cdrunxp.exe" doe.

Ik houdt constant mijn verbinding in de gaten en ik zie tot nu toe verder geen onvertrouwde verbindingen lopen - mijn pc wordt (nog) niet gebruikt als zombie voor een Ddos attack ofzo. Ook zie ik geen verbindingen met irc servers.

NB ik ben vanaf over een half uur voor vandaag verder niet meer aanwezig, mijn computer gaat voor een tijdje uit en ik lees dit waarsch morgenochtend vanaf een andere pc. Iig bedankt voor alle reacties.

[The-Source]

www.housecall.nl voor een online virus scanner
Misschien identificeerd deze jouw trojan wel.

[DeMoN]

Als ik jou was zou ik ff een "netstat -an" hier posten en vervolgens kijken of wij er wat verdachts aan zien.

Je kan dan ook op eventuele vage openstaande poorten "googlen" en adhv die poortnummers de trojan vinden die hier bijhoort.

Verder zou ik ff alle RUN keys van je reg checken, je system.ini en win.ini + je opstarten mapje op processen die jij niet kent. Die eruit gooien en als je systeem dan weer boot zonder die vage processen je virusscanner met de laatste updates er overheen draaien.

Dit is alvast een beginnetje

[Brahiewahiewa]

Q: How do you clean pee out of a pool?
A: By draining it!

[Verwijderd]

Stuur me de originele file aub. (zie sig voor e-mail)

[JumpStart]

Download de shareware (1 maand gebruik) SwatIt Pro : http://www.swatit.org/

Daarmee kan je waarschijnlijk wel de trojan identificeren. Als je een naam hebt van het beest valt er online wel informatie over te vinden over wat het allemaal uitvreet.

[SilentStorm]

win.ini en system.ini had ik ook al nagelopen, maar daar stonden geen run= of shell= dingen in. Goed punt trouwens. Had het even moeten vermelden.

Ik vond onder HKLM/sw/ms/cv/run een 'helpctl.EXE' opstarten in de temp directory van mijn profiel. Verder niets onbekends. Het icoontje heeft het icoon van een helpfile (boek met vraagteken) en is 7.168 bytes groot. version informatie geeft als maker microsoft, versie 1.0, germany.

Op de een of andere manier resolven een hoop sites niet meer. Ik kan hier bij tweakers, maar google, altavista, geocrawler, yahoo, housecall, norton, mcafee en nog wat andere sites kan ik gewoon niet bereiken. (dns resolved niet). Er staat niets in mijn hosts file, dns servers staan nog gewoon ingesteld, geen proxy of iets anders gevonden.

netstat -an | find "TCP"

TCP 0.0.0.0:135 0.0.0.0:0 LISTENING
TCP 0.0.0.0:445 0.0.0.0:0 LISTENING
TCP 0.0.0.0:1025 0.0.0.0:0 LISTENING
TCP 0.0.0.0:1154 0.0.0.0:0 LISTENING
TCP 0.0.0.0:1723 0.0.0.0:0 LISTENING
TCP 0.0.0.0:3389 0.0.0.0:0 LISTENING
TCP 0.0.0.0:4654 0.0.0.0:0 LISTENING
TCP 62.194.xxx.yyy:139 0.0.0.0:0 LISTENING
TCP 127.0.0.1:25 0.0.0.0:0 LISTENING
TCP 127.0.0.1:110 0.0.0.0:0 LISTENING
TCP 127.0.0.1:1234 0.0.0.0:0 LISTENING
TCP 127.0.0.1:3001 0.0.0.0:0 LISTENING
TCP 127.0.0.1:3002 0.0.0.0:0 LISTENING
TCP 127.0.0.1:3003 0.0.0.0:0 LISTENING
TCP 127.0.0.1:4653 0.0.0.0:0 LISTENING
TCP 127.0.0.1:4653 127.0.0.1:4654 ESTABLISHED
TCP 127.0.0.1:4654 127.0.0.1:4653 ESTABLISHED
TCP 192.168.0.1:139 0.0.0.0:0 LISTENING
TCP 192.168.27.1:139 0.0.0.0:0 LISTENING
TCP 192.168.153.1:139 0.0.0.0:0 LISTENING

best veel onbekende poorten boven de 1024.. Kan iemand mij het ip van google.com geven? dan kan ik straks weer zoeken --maar moet voor vandaag zo weg.

[Verwijderd]

Great, klinkt als qhost trojan, was me al af aan het vragen wanneer die zou komen, dacht trouwens dat je die van een bepaalde pop-up kreeg, maargoed.

Stuur die file nou even en dan kijk ik welke trojan het is..

[JumpStart]

Nog een download tip: Ga naar www.sysinternals.com en download daar de freeware progjes Program Explorer en TCPview.

Program Explorer is een soort windows task manager met meer: DLLs, locatie van de executable, afkomst, enzovoorts.

TCPview is een realtime netwerk monitor, die laat zien welke processen op welke poort actief zijn. Het is dus zoals netstat -an | find "TCP" maar laat dan ook meteen bijbehorende executables zien.

[SilentStorm]

Ik probeer het bestand al te sturen, maar ook voor mailen moet er een url geresolved worden, waar ie niet bij kan. Voel me wel wat gehandicapped intussen. Online ergens neerzetten gaat ook niet.. arghh.. maar vreemd dat ik hier nog wel gewoon kan posten. waarsch cache oid. ok als iemand voor mij mail.chello.nl kan resolven of members.chello.nl om het online te zetten.. het bestand is gerrared ongeveer 1.62mb groot.

ik heb trouwens de freeware versie van tcpview. Vindt het alleen niet zo'n geweldig progje -- netstat doet precies hetzelfde. Als ie nou ook nog de tijd van de connectie en bijvoorbeeld de hoeveelheid verstuurde info vermeldt...

edit: Wacht -- de executables.. daar had ik nog niet aan gedacht. goeie - ik ga meteen kijken

[ Voor 30% gewijzigd door SilentStorm op 03-10-2003 14:42 ]

[reddevil001]

Ik denk ook dat ik Qhost had eergisteren. Ik kwam er achter doordat mijn hosts file niet meer werkte. Er bleek ergens anders nog een hosts file neer gezet te zijn.

Meer info op:
http://securityresponse.s...c/data/trojan.qhosts.html
http://us.mcafee.com/viru...&virus_k=100719&affid=125

En een virusscanner werkte bij mij niet. Als ik het goed gezien heb zat hij eergisteren nog niet tussen de virusdefinities van Norton.

Stel de voor de smtp-server het ip-nummer in in plaats van de ip-naam.

[ Voor 26% gewijzigd door reddevil001 op 03-10-2003 14:42 ]

[Verwijderd]

Wat schiet de TS daar mee op?
We kunnen toch beter vaststellen om welke trojan/virus het gaat?

Edit:

En een virusscanner werkte bij mij niet. Als ik het goed gezien heb zat hij eergisteren nog niet tussen de virusdefinities van Norton.

[spam]
Dan moet je ook geen NAV ofzo gebruiken, Kaspersky detecteert hem al twee weken.. :P[/spam]

Edit 2:

Tracing route to mail.chello.nl [213.46.243.2]

De meeste AVs hebben trouwens gisteren een update gereleased voor dat qhost ding, waaronder ook NAV. (Een LiveUpdate ipv. IU)

[ Voor 81% gewijzigd door Verwijderd op 03-10-2003 14:49 ]

[reddevil001]

Schouw: als je even een van de twee linkjes hebt bezocht zag je dat daar ook een oplossing bij staat.

[SilentStorm]

Een groot probleem is ook dat ik geen urls kan resolven, dus de urls die jullie me geven kan ik nog niet gebruiken. Tcpview geeft een 'System: 4' als proces dat deze poorten opent. Er staan er ook een lading onder udp, maar de ergste die ik zie staat als pptp vermeldt. Dat is toch een tunneling protocol? Ik maak gebruik van kabel, dus die komt wat vreemd over. Ik heb een screentje gemaakt, maar @^@#& kan hem nergens kwijt zonder dns.

[The-Source]

Verwijderd schreef op 03 oktober 2003 @ 14:42:
Wat schiet de TS daar mee op?
We kunnen toch beter vaststellen om welke trojan/virus het gaat?

Edit:

[...]

[spam]
Dan moet je ook geen NAV ofzo gebruiken, Kaspersky detecteert hem al twee weken.. :P[/spam]

Deze stond tot zijn verbazing toen uit

[SilentStorm]

Ik heb nog wat geexpirimenteerd (en even afgebeld waar ik heen zou) en ik merk dat er uiteindelijk niets meer resolved behalve hier op tweakers. Waarschijnlijk cache, want de hoofdpagina kom ik ook niet meer op. Die zat toch achter 213.254.154.35 ? (uit mijn hoofd) - ik kom er ook niet op.


EDIT: Na het uitzetten van de firewall kan ik er wel komen. Het vreemde is, Mozilla had access (voor zover relevant) en er staan geen vreemde regels. Kan ZoneAlarm ook gehijacked zijn? Ik heb nooit een aparte regel voor dns requests hoeven aanmaken.

anyway, ik loop nu even genoemde sites af.

@klaasbram: even hierboven heb ik al gecontroleerd of de hostsfile is aangepast. Dat is ie niet. Het lijkt er ook op dat ik overal weer bij kan.

[ Voor 47% gewijzigd door SilentStorm op 03-10-2003 15:03 ]

[The-Source]

SilentStorm schreef op 03 October 2003 @ 14:55:
Ik heb nog wat geexpirimenteerd (en even afgebeld waar ik heen zou) en ik merk dat er uiteindelijk niets meer resolved behalve hier op tweakers. Waarschijnlijk cache, want de hoofdpagina kom ik ook niet meer op. Die zat toch achter 213.254.154.35 ? (uit mijn hoofd) - ik kom er ook niet op.

Zoek in je windows dan eens op host (zonder extensie)
Deze zit dacht ik ergens in je system32 map en in dit bestand (welke via kladblok geopend kan worden)
Staan alle zo genoemde routings van jouw systeem (dns adres naar ip etc..)
Kijk eens of hier iets in de geest staat van *.nl of com etc.. dat dat ge redirect moet worden naar een andere site/ ip (regels met een # er voor worden niet gebruikt.

[Verwijderd]

Kun je ook niets met het geresolvede ip van je chello mail? (Zie eerdere post van me).

Kijk idd of je host file is veranderd, of dat je misschien twee hebt.

Het 'aardige' aan 'qhost' (aka Delude) is dat er meerdere varianten in omloop zijn..
Zijn maar een paar AVs die ze allemaal detecteren lijkt het.

[DeMoN]

Kijk in \%windir%\system32\drivers\etc\hosts.* (hoeft geen extensie te hebben)

Het ENIGE wat hier in hoeft te staan is:

code:

127.0.0.1               localhost

Daarna ff je cache van je browser clearen. Al je TEMP inet files eruit knallen want als die trojan via een javascript binnen is gekomen zit er misschien een geinfecte *.jar file tussen o.i.d.

Probeer ook eens op de CMD:

code:

ipconfig /flushdns

[reddevil001]

Even van de site van Norton gehaald. Overigens was bij mij de situatie niet helemaal zoals hieronder beschreven. Zoek in ieder geval even of er meerdere hosts-files aanwezig zijn en of je ergens iets hebt staan wat lijkt op aolfix.exe

When the Trojan.Qhosts HTML file is opened, it performs the following actions:


Creates the file, %System%\Aolfix.exe.


Executes the Aolfix.exe file, which then performs the following actions:

Creates the hidden folder C:\Bdtmp\Tmp.
Creates and runs the batch file C:\Bdtmp\Tmp\<random number between 100 and 9999>.bat.
Deletes the C:\Bdtmp\Tmp\<random number between 100 and 9999>.bat file.

Batch file
When the C:\Bdtmp\Tmp\<random number between 100 and 9999>.bat file is executed, it does the following:

Creates the files:
%Windir%\o.reg
%Windir%\o2.reg
%Windir%\o.vbs


--------------------------------------------------------------------------------
Note: %Windir% is a variable. The batch file locates the Windows installation folder (by default, this is C:\Windows or C:\Winnt) and copies itself to that location.
--------------------------------------------------------------------------------


Runs the .reg files, which does the following:

Adds the values:

"EnableDNS"="1"
"NameServer"="<IP address specified in the batch file>"
"HostName"="host"
"Domain"="mydomain.com"

to the registry key:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\VxD\MSTCP

so that the DNS server, which the computer uses, will be the one that the Trojan's creator specified.


Adds the values:

"ProxyEnable"="0"
"MigrateProxy"="0"

to the registry key:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings


Adds the values:

"Use Search Asst"="no"
"Search Page"="http://www.google.com"
"Search Bar"="http://www.google.com/ie"

to the registry key:

HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main


Adds the value:

""="http://www.google.com/keyword/%%s"
"provider"="gogl"

to the registry key:

HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchURL


Adds the value:

"SearchAssistant"="http://www.google.com/ie"

to the registry key:

HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Search


Adds the value:

"r0x"="your s0x"

to the registry keys:

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Tcpip\Parameters\interfaces\windows
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Tcpip\Parameters\interfaces\windows


Modifies the Hosts file to point many different URLs to the IP, which the Trojan's creator specifies.


Symantec Security Response encourages all users and administrators to adhere to the following basic security "best practices":

Turn off and remove unneeded services. By default, many operating systems install auxiliary services that are not critical, such as an FTP server, telnet, and a Web server. These services are avenues of attack. If they are removed, blended threats have less avenues of attack and you have fewer services to maintain through patch updates.
If a blended threat exploits one or more network services, disable, or block access to, those services until a patch is applied.
Always keep your patch levels up-to-date, especially on computers that host public services and are accessible through the firewall, such as HTTP, FTP, mail, and DNS services.
Enforce a password policy. Complex passwords make it difficult to crack password files on compromised computers. This helps to prevent or limit damage when a computer is compromised.
Configure your email server to block or remove email that contains file attachments that are commonly used to spread viruses, such as .vbs, .bat, .exe, .pif and .scr files.
Isolate infected computers quickly to prevent further compromising your organization. Perform a forensic analysis and restore the computers using trusted media.
Train employees not to open attachments unless they are expecting them. Also, do not execute software that is downloaded from the Internet unless it has been scanned for viruses. Simply visiting a compromised Web site can cause infection if certain browser vulnerabilities are not patched.


The following instructions pertain to all current and recent Symantec antivirus products, including the Symantec AntiVirus and Norton AntiVirus product lines.


Disable System Restore (Windows Me/XP).
Update the virus definitions.
Run a full system scan and delete all the files detected as Trojan.Qhosts.
Reverse the changes that were made to the registry.
Reverse the changes that were made to the Hosts file.

For specific details on each of these steps, read the following instructions.


--------------------------------------------------------------------------------
Note: Steps 4 and 5 are somewhat complex and are only necessary if the Trojan has actually executed.
--------------------------------------------------------------------------------


1. Disabling System Restore (Windows Me/XP)
If you are running Windows Me or Windows XP, we recommend that you temporarily turn off System Restore. Windows Me/XP uses this feature, which is enabled by default, to restore the files on your computer in case they become damaged. If a virus, worm, or Trojan infects a computer, System Restore may back up the virus, worm, or Trojan on the computer.

Windows prevents outside programs, including antivirus programs, from modifying System Restore. Therefore, antivirus programs or tools cannot remove threats in the System Restore folder. As a result, System Restore has the potential of restoring an infected file on your computer, even after you have cleaned the infected files from all the other locations.

Also, a virus scan may detect a threat in the System Restore folder even though you have removed the threat.

For instructions on how to turn off System Restore, read your Windows documentation, or one of the following articles:
"How to disable or enable Windows Me System Restore"
"How to turn off or turn on Windows XP System Restore"

--------------------------------------------------------------------------------
Note: When you are completely finished with the removal procedure, and you are satisfied that the threat has been removed, you should reenable System Restore by following the instructions in the aforementioned documents.
--------------------------------------------------------------------------------

For additional information, and an alternative to disabling Windows Me System Restore, see the Microsoft Knowledge Base article, "Antivirus Tools Cannot Clean Infected Files in the _Restore Folder," Article ID: Q263455.

2. Updating the virus definitions
Symantec Security Response fully tests all the virus definitions for quality assurance before they are posted to our servers. Currently, only the Intelligent Updaters contain detection for this threat.

Downloading the definitions using the Intelligent Updater: The Intelligent Updater virus definitions are posted on U.S. business days (Monday through Friday). You should download the definitions from the Symantec Security Response Web site and manually install them. To determine whether definitions for this threat are available by the Intelligent Updater, refer to the Virus Definitions (Intelligent Updater).

The Intelligent Updater virus definitions are available: Read "How to update virus definition files using the Intelligent Updater" for detailed instructions.

3. Scanning for and deleting the infected files
Start your Symantec antivirus program and make sure that it is configured to scan all the files.
For Norton AntiVirus consumer products: Read the document, "How to configure Norton AntiVirus to scan all files."
For Symantec AntiVirus Enterprise products: Read the document, "How to verify that a Symantec Corporate antivirus product is set to scan all files."
Run a full system scan.
If any files are detected as infected with Trojan.Qhosts, click Delete.

4. Reversing the changes made to the registry


--------------------------------------------------------------------------------
WARNING: Symantec strongly recommends that you back up the registry before making any changes to it. Incorrect changes to the registry can result in permanent data loss or corrupted files. Modify the specified keys only. Read the document, "How to make a backup of the Windows registry," for instructions.
--------------------------------------------------------------------------------

Click Start, and then click Run. (The Run dialog box appears.)
Type regedit

Then click OK. (The Registry Editor opens.)


Navigate to the key:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\VxD\MSTCP


In the right pane, delete the values:

"EnableDNS"="1"
"NameServer"="<IP address specified in the batch file>"
"HostName"="host"
"Domain"="mydomain.com"


Navigate to the key:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings


In the right pane, delete the values:

"ProxyEnable"="0"
"MigrateProxy"="0"


Navigate to the key:

HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main


In the right pane, delete the values:

"Use Search Asst"="no"
"Search Page"="http://www.google.com"
"Search Bar"="http://www.google.com/ie"


Navigate to the key:

HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchURL


In the right pane, delete the values:

""="http://www.google.com/keyword/%%s"
"provider"="gogl"


Navigate to the key:

HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Search


In the right pane, delete the value:

"SearchAssistant"="http://www.google.com/ie"


Navigate to the keys:

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Tcpip\Parameters\interfaces\windows

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Tcpip\Parameters\interfaces\windows


In the right pane, delete the value:

"r0x"="your s0x"


Exit the registry Editor.


5. Reversing the changes made to the Hosts file

All the computers will not have this file, and the location can vary. For example, if the file exists in Windows 98, it will usually be in C:\Windows; and in Windows 2000, it is in the C:\WINNT\SYSTEM32\DRIVERS\ETC folder. Also, there may be multiple copies of this file in different locations.

The most efficient way to locate the file is to search for it.

Follow the instructions for your operating system:
Windows 95/98/Me/NT/2000
Click Start, point to Find or Search, and then click Files or Folders.
Make sure that "Look in" is set to (C:) and that "Include subfolders" is checked.
In the "Named" or "Search for..." box, type:

hosts


Click Find Now or Search Now.
For each one that you find, right-click it, and then click "Open With."
Deselect the "Always use this program to open this program" check box.
Scroll through the list of programs and double-click Notepad.
Look for the following lines and delete them, if found:

<IP address specified in the batch file> elite
<IP address specified in the batch file> www.google.akadns.net
<IP address specified in the batch file> www.google.com
<IP address specified in the batch file> google.com
<IP address specified in the batch file> www.altavista.com
<IP address specified in the batch file> altavista.com
<IP address specified in the batch file> search.yahoo.com
<IP address specified in the batch file> uk.search.yahoo.com
<IP address specified in the batch file> ca.search.yahoo.com
<IP address specified in the batch file> jp.search.yahoo.com
<IP address specified in the batch file> au.search.yahoo.com
<IP address specified in the batch file> de.search.yahoo.com
<IP address specified in the batch file> search.yahoo.co.jp
<IP address specified in the batch file> www.lycos.de
<IP address specified in the batch file> www.lycos.ca
<IP address specified in the batch file> www.lycos.jp
<IP address specified in the batch file> www.lycos.co.jp
<IP address specified in the batch file> alltheweb.com
<IP address specified in the batch file> web.ask.com
<IP address specified in the batch file> ask.com
<IP address specified in the batch file> www.ask.com
<IP address specified in the batch file> www.teoma.com
<IP address specified in the batch file> search.aol.com
<IP address specified in the batch file> www.looksmart.com
<IP address specified in the batch file> auto.search.msn.com
<IP address specified in the batch file> search.msn.com
<IP address specified in the batch file> ca.search.msn.com
<IP address specified in the batch file> fr.ca.search.msn.com
<IP address specified in the batch file> search.fr.msn.be
<IP address specified in the batch file> search.fr.msn.ch


Close Notepad and save your changes when prompted.


Windows XP
Click Start, and then click Search.
Click All files and folders.
In the "All or part of the file name" box, type:

hosts


Verify that "Look in" is set to "Local Hard Drives" or to (C:).
Click "More advanced options."
Check "Search system folders."
Check "Search subfolders."
Click Search.
Click Find Now or Search Now.
For each one that you find, right-click it, and then click "Open With."
Deselect the "Always use this program to open this program" check box.
Scroll through the list of programs and double-click Notepad.
Look for the following lines and delete them, if found:

<IP address specified in the batch file> elite
<IP address specified in the batch file> www.google.akadns.net
<IP address specified in the batch file> www.google.com
<IP address specified in the batch file> google.com
<IP address specified in the batch file> www.altavista.com
<IP address specified in the batch file> altavista.com
<IP address specified in the batch file> search.yahoo.com
<IP address specified in the batch file> uk.search.yahoo.com
<IP address specified in the batch file> ca.search.yahoo.com
<IP address specified in the batch file> jp.search.yahoo.com
<IP address specified in the batch file> au.search.yahoo.com
<IP address specified in the batch file> de.search.yahoo.com
<IP address specified in the batch file> search.yahoo.co.jp
<IP address specified in the batch file> www.lycos.de
<IP address specified in the batch file> www.lycos.ca
<IP address specified in the batch file> www.lycos.jp
<IP address specified in the batch file> www.lycos.co.jp
<IP address specified in the batch file> alltheweb.com
<IP address specified in the batch file> web.ask.com
<IP address specified in the batch file> ask.com
<IP address specified in the batch file> www.ask.com
<IP address specified in the batch file> www.teoma.com
<IP address specified in the batch file> search.aol.com
<IP address specified in the batch file> www.looksmart.com
<IP address specified in the batch file> auto.search.msn.com
<IP address specified in the batch file> search.msn.com
<IP address specified in the batch file> ca.search.msn.com
<IP address specified in the batch file> fr.ca.search.msn.com
<IP address specified in the batch file> search.fr.msn.be
<IP address specified in the batch file> search.fr.msn.ch


Close Notepad and save your changes when prompted.

[SilentStorm]

het mailtje is nu onderweg. Zie edit bovenaan: het is niet qhosts. Ik begin zo aan een scan.

ter verduidelijking: er is geen aolfix te vinden en geen hostsfile onder %windir%\help

lijst met gebruikte poorten:

[ Voor 68% gewijzigd door SilentStorm op 03-10-2003 15:13 ]

[JumpStart]

reddevil001 schreef op 03 October 2003 @ 15:08:
Even van de site van Norton gehaald. Overigens was bij mij de situatie niet helemaal zoals hieronder beschreven. Zoek in ieder geval even of er meerdere hosts-files aanwezig zijn en of je ergens iets hebt staan wat lijkt op aolfix.exe


[...]

offtopic:
Geef in het vervolg alsjeblieft gewoon een URL naar het betreffende stukkie info, in plaats van een enorrrrrreme lap tekst...

[DeMoN]

SilentStorm schreef op 03 October 2003 @ 15:09:
het mailtje is nu onderweg. Zie edit bovenaan: het is niet qhosts. Ik begin zo aan een scan.

ter verduidelijking: er is geen aolfix te vinden en geen hostsfile onder %windir%\help

- WINDOWSTOETS + R
- CMD
- [ENTER]
- type %windir%\system32\drivers\etc\hosts
- [ENTER]
- Zooitje kopieeren en hier posten

[PowerPee]

klaasbram schreef op 03 October 2003 @ 14:59:
[...]

Zoek in je windows dan eens op host (zonder extensie)
Deze zit dacht ik ergens in je system32 map en in dit bestand (welke via kladblok geopend kan worden)
Staan alle zo genoemde routings van jouw systeem (dns adres naar ip etc..)
Kijk eens of hier iets in de geest staat van *.nl of com etc.. dat dat ge redirect moet worden naar een andere site/ ip (regels met een # er voor worden niet gebruikt.

...en dat was het laatste wat wij hoorden van onze mede tweaker

nee, sorry, maar ik was geboeid aan het lezen, en kon het niet laten..

[Verwijderd]

Trojandropper.Win32.Joiner.w aldus KAV.
Zo te zien al maanden oud..

Probeer zo wat meer info te zoeken.

[ironx]

JumpStart schreef op 03 October 2003 @ 15:13:
[...]

offtopic:
Geef in het vervolg alsjeblieft gewoon een URL naar het betreffende stukkie info, in plaats van een enorrrrrreme lap tekst...

Op de een of andere manier resolven een hoop sites niet meer. Ik kan hier bij tweakers, maar google, altavista, geocrawler, yahoo, housecall, norton, mcafee en nog wat andere sites kan ik gewoon niet bereiken. (dns resolved niet)

[SilentStorm]

Ik weet dat de normale hostsfile onder %windir%/system32/drivers/etc/hosts staat, maar in het geval van qhosts werd er een 2e hosts file aangemaakt. Die heb ik dus niet. de originel hostsfile is nog compleet maagdelijk

[ironx]

Heb je soms een of meerdere van deze processen draaien?

win_test.exe
marketingtool.exe
g.exe

[DeMoN]

Ja, post je processenlijst ook gewoon eens, hoe meer info, hoe sneller je geholpen bent

[Verwijderd]

Grappig... ik lees dit topic gewoon random door... en ik herken ineens een hoop DNS server die aangepast was. Die bdtemp dir... ik ga es effies verder neuzen

wat ik dus wel graag wil weten is hoe ik er aan kom...dubieuze files scan ik altijd...
dus ben wel benieuwd

[ Voor 27% gewijzigd door Verwijderd op 03-10-2003 15:40 ]

[SilentStorm]

proceslijst
Ben er ondertussen al met een trojan zoeker mee bezig

[ Voor 23% gewijzigd door SilentStorm op 03-10-2003 15:39 ]

[Verwijderd]

TrojanHunter lijkt hem niet te vinden..(Kan wel zijn dat ik aan het rommelen was).
NAV vindt hem ook niet.

McAfee: MultiDropper-CH
Meest gangbare naam qua AVs: joiner.w

Heb zojuist mail gestuurd naar TrojanHunter, Magnus zal er zo wel naar kijken..
Dan zal TrojanHunter vandaag wel ge-update worden, het handige aan TH is dat je werkelijk niets meer hoeft te doen, hij cleant zelfs het register voor je..

@ processlist:

[hier stond blaat]
En voor de rest heb je nog een stel progs die mij niets zeggen, paar van @ google gezocht en dat leek ok te zijn, nu weinig tijd om ze allemaal na te lopen.
Kill zo veel mogelijk apps en kijk dan nog eens of je iets vaags ziet staan.

[ Voor 4% gewijzigd door Verwijderd op 03-10-2003 15:48 ]

[SilentStorm]

Ik ken ze zowat allemaal wel

Was trouwens ook al een tijd bezig met het zoeken bij av bedrijven, maar had nog niet echt iets gevonden. kapersky heeft ook geen demo versie.

navapsvc, ccEvtMgr, ccSetMgr, Nprotect, savScan en symlcsvc zijn van NAV2k4.
svchost is een algemeen proces voor het runnen van windowsonderdelen (geluid, netwerk, etc)
SwatIt is een programma waarmee ik nu aan het controleren ben
alg (application layer gateway service), crss (cryptographic sofware service oid), lsass (dunno), smss (geen idee), system, winlogon, services, locator (van RPC service) en natuurlijk explorer zijn onderdelen van windows.
daemon is daemon tools
devldr - geen idee, maar die zit er ook al lange tijd in
EMIII - electron microscope, programma om folding@home scores bij te houden. FAH3consloe en FahCore lijken me dan ook duidelijk
rundll wordt gebruikt op binnen een dll functies op te starten.
taskmgr en system idle lijken me ook duidelijk
Uice is een programma voor mn afstandsbediening
vmnat, vmnetdhcp -- vmware services om netwerken binnen een vm mogelijk te maken.
winkey- extra shortcuts met de windowstoets aanmaken.

[SilentStorm]

Weet je zeker dat het multidropper/w32.joiner is? Ik weet 100% zeker dat ik geen popup had met '1' en ik heb op het moment geen word geinstalleerd.

[Verwijderd]

Ik heb getest met KAV/RAV/McAfee/CA..
Ze zeiden allemaal behalve McAfee joiner.w
CA zoiets als: win32.joiner.w
KAV: Trojandropper.Win32.Joiner.w
RAV: geloof hetzelfde als KAV, alleen iets anders opgeschreven.

Zal zo eens kijken of ik testsys aan de gang krijg om te zien wat er allemaal wordt veranderd, aangezien Magnus nog niets heeft laten horen.

[Verwijderd]

(Waarschijnlijke dubbelpost, valid info voor de TS dus dat moet kunnen).

Ok, heb net testsys geïnfecteerd..
TH kwam al direct met de waarschuwing dat de reg key voor 'exe opening' veranderd is..
Als je nu dus zomaar files gaat verwijderen bestaat de kans dat je daarna geen enkele exe meer kunt runnen..

Download TrojanHunter, dan hoef je maar op 'restore' te klikken en dan wordt dat gerepareerd..
Er runnen geen extra processen.. Dus het is (waarschijnlijk) een dll of code injecting trojan

Lijkt me het beste om te wachten op TH update..

[SilentStorm]

Ok, ik ben ondertussen bezig geweest met het nalopen van de poorten. Nr 4653 en 4654 vallen daar een beetje op. Deze staan er nu echter niet meer bij.. Er is maar een bekende trojan die daarop werkt en dat is cero1, een trojan uit 1998 of 1999, die niet overenkomt met mijn symptomen. Ik ga uit van internetruis. De tcp poorten 3000 t/m 3003 lijken dan toch de oorzaak te zijn: volgens deze lijst kom ik op 'RemoteWare'.

Als die schrijver van de trojan al op mn pc kan zijn geweest kan hij vanalles hebben geinstalleerd. In dat geval ga ik moet ik alles alsnog formatteren.

edit: TH gedownload

nog een edit:

Toch weer die cdrunxp (zie startpost). Dit is dus de trojan. Je eerdere waarschuwing over het mogelijk niet kunnen starten van exe bestanden in aanmerking genomen: raad je aan deze terug te veranderen of niet?

[ Voor 25% gewijzigd door SilentStorm op 03-10-2003 17:10 ]

[Verwijderd]

Hmm, net Kaspersky op die testbak gemikt..
De afzonderlijke files worden herkend als: Trojan.Win32.Gaslide.d
En die is redelijk nieuw..

Zal zo kijken of andere AVs dit ding detecteren, om een eventuele write up te bekijken.

Edit:
Onder het typen van de posts ben ik ook bezig met die andere bak..
Deze moet je gewoon terugveranderen..
De setting niet terug veranderen, maar wel de file deleten zou wel voor probs kunnen zorgen.

[ Voor 32% gewijzigd door Verwijderd op 03-10-2003 17:17 ]

[SilentStorm]

Ik heb wat zitten zoeken naar win32.gaslide en kom op oa deze: http://securityresponse.s.../data/trojan.gaslide.html

Dit is bijna precies wat er bij mij gebeurd. Het bijna is te verklaren doordat dit de originele gaslide is en het hier gaat om .d.

We hebben dus nu het virus gevonden

[Verwijderd]

Het lijkt erop dat ik het heb kunnen cleanen..
Maar de files staan op een andere plaats (iig bij mij).

Ga naar documents and settings\gebruikersnaam\local settings\temp
Daar vond ik TEMP#011.exe (Misschien heb je een file name die hier op lijkt)

Deze verplaatste ik naar m'n bureaublad en toen werd ineens Helpctl.exe zichtbaar in de temp directory, eveneens als de genoemde dll's(kan zijn dat de dll's al eerder zichtbaar waren, maar geloof het niet).

Rest van de files (komt uit KAV log):
C:\WINDOWS\system32\cdrunxp.exe Geïnfecteerd Trojan.Win32.Gaslide.d
C:\WINDOWS\system32\notepad.exe Geïnfecteerd Trojan.Win32.Gaslide.d


Zorg dat je 'exe handling' goedstaat(controleer dit tussendoor ook nog eens eventueel, want het kan zijn dat de trojan zijn settings opnieuw laadt).

Ik heb dus de files uit temp eerst verplaatst, toen de system files (automatisch) gedelete..
Daarna gereboot en kan nog steeds exe files openen
Evengoed is de operatie (natuurlijk) niet zonder risico.

Disclaimer: Mijn testsys _lijkt_ ok te zijn, geen garantie dus..

Edit: Het kan zijn dat je notepad nog Duits is, of niet gevonden wordt..
De goede versie is bij mij: c:\windows\notepad.exe

Edit2:
NAV vond één dll, zal dan wel dezelfde zijn als van die van het origineel.
McAfee, RAV en CA vonden allemaal geen van de gedropte files.

[ Voor 16% gewijzigd door Verwijderd op 03-10-2003 18:01 ]

[SilentStorm]

Ik heb in %userhome%\local settings\temp zowel TEMP#11.exe staan als helpctl.exe. De laatste was al zichtbaar. Ik heb ook een aantal dll's staan (maar volgens mij alleen andere programma's) en nload.vxd. Ook vond ik daar een aantal bestanden die hierheen gekopieerd zijn (??) en ik nu niet kan verwijderen (in gebruik). ----- reden gevonden: Trojanhunter liep nog op de achtergrond en kopieert bestanden eerst naar de temp directory voor het scannen (oid) ----

Ik ga nu proberen je operatie te herhalen. Als jullie niets meer van me horen is het mislukt

nb: trojanhunter was nog aan het lopen: hij vond cdrunxp wel suspicious, maar gaf geen melding van fouten. Zoals je zegt, nog niet opgenomen in de trojandatabase. updaten was trouwens ook niet automagisch mogelijk met de demo versie.

[ Voor 20% gewijzigd door SilentStorm op 03-10-2003 18:05 ]

[SilentStorm]

Ik heb behalve genoemde bestanden nog wat extra gezocht op datum van installatie virus en vondt er nog een hoop meer.

Ik heb verplaatst: (elk met datum/tijd van installatie virus):

uit temp:
helpctl.exe, 7.168 bytes
nload.vxd, 50.688 bytes

uit system32:
cdrunxp.exe 1.354.240
notepad.exe, 73.728 bytes
notepad32.exe, 50.176 bytes
SIntf16.dll, 12.067 bytes
SIntf32.dll, 17.212 bytes
SIntfNT.dll, 21.840 bytes

uit windows:
notepad32.exe, 50.176 bytes

uit C:\WINDOWS\LastGood\system32\restore:
rstrui.exe 1.354.240 bytes (backup voor cdrunxp.exe dus)

---

totaal aan niet dubbele bestanden: 2.122.671 bytes

Ook gevonden: in temp:
SIntf16.dll, 12.305 bytes
SIntf32.dll, 20.020 bytes
SIntfNT.dll, 24.740 bytes
SIntfIcn.ani 4.592 bytes (icon voor cdrunxp)

Datum voor alle bestanden staat op 14-9-2003 1:07 (en icon op 1:09)

Ook apart gezet.

Ik ben er vrijwel zeker van dat dit alles is. Als je nog geinteresseert bent (en je niet alles al hebt, kan ik alles in een rar'tje stoppen en je toemailen?

Ik ga nu de herstart proberen. Morituri te salutant gevoel coming up

[en excuseer voor het 2x posten. Ik vond dit wel een aparte posting waard]

edit:
Gelukt! ik ben zonder problemen herstart en merk niets van sporen van de trojan.

Ik wil jullie allemaal erg bedanken voor alle hulp, tijd en moeite. Ik ben van mn probleem af en heb er weer een hoop van geleerd.

edit2: ook notepad werkt naar behoren. Een vreemde bijkomstigheid was dat mijn quicklaunch naar notepad aangepast was: hij linkte nu door naar C:\windows\system32\actmovie.exe. De laatste staat (datum) al veel langer op mijn pc. Mogelijk heeft windows dit zelf gedaan nadat ie het originele bestand niet meer kon vinden. De trojan heeft blijkbaar ook deze snelkoppeling aangepast toen ie zich installeerde, waardoor de link naar notepad32 ging oid. De standaardsnelkoppeling is ook dood, met een link naar actmovie.

edit:
edit3: verzonden
Dit is niet door systemrestore zelf gedaan.
Ik heb zelf trouwens alleen op mn windowspartitie systemrestore aan. Met een hexeditor ziet het er iig uit als een oud bestand (ik kom op 1999) misschien een soort van utility bestand voor het juist uitlezen van filesystems

[ Voor 39% gewijzigd door SilentStorm op 03-10-2003 18:59 ]

[Verwijderd]

Heb standaard system restore overal op uitstaan... In het vervolg maar op letten
Mja, zoals de symantec write up aangaf, zijn niet alle files hostile.

Die SInt...dll files heb ik niet.
Betwijfel of ze er echt bijhoren, maar als je ze wil mailen, graag

[wildhagen]

SilentStorm schreef op 03 oktober 2003 @ 16:05:
Ik ken ze zowat allemaal wel

crss (cryptographic sofware service oid)

Fout. CSRSS.EXE (je hebt een typo) = Client Server Runtime Subsystem. Is van Windows zelf, en is OK.

lsass (dunno)

Local Security Administration Subsystem. Is ook van Windows, is ook OK.

smss (geen idee)

Session Manager Subsystem. Ook van Windows, ook OK.

devldr - geen idee, maar die zit er ook al lange tijd in

Was devldr niet iets van die CreativeLabs-software? Dacht ik me te herinneren...

[MarElo]

wildhagen schreef op 04 October 2003 @ 09:49:
[...]


Was devldr niet iets van die CreativeLabs-software? Dacht ik me te herinneren...

Klopt,deze link heeft verder met dit topic niets te maken,maar hier komt wel de devldr in voor.
support.microsoft.com

[SilentStorm]

dat ze van windows waren wist ik al. Bedankt voor de verdere uitleg. Ik heb even gekeken voor devldr en kom via pagina's als deze en deze inderdaad op een onderdeel van de soundblaster driver. Ik heb er overigens geen enkel probleem van.

Weer wat geleerd


edit: ben er net nog achter gekomen dat ook de registry keys voor het editen en printen zijn verandert. Als iemand hier ook ooit last van krijgt, zoek naar "system32\notepad.exe" in hkey_classes_root. Je moet dan ong 30 a 40 occurances hiervan aanpassen door 'system32' weg te halen. Een makkelijker alternatief is natuurlijk om een kopietje van notepad.exe naar system32 te verplaatsen.

[ Voor 42% gewijzigd door SilentStorm op 04-10-2003 12:04 ]

[avon]

Kent trouwens iemand het bestandje caibk.exe ? ... 106 kb groot

Dit staat helemaal onderaan het mailtje..

--Boundary_(ID_Tb0cY5jRi70bxYiMx1AJ/g)--

Nieuwe worm misschien ? Via google kan ik er nog niks over terug vinden.

[ Voor 14% gewijzigd door avon op 04-10-2003 18:48 ]

[Jimbolino]

Verwijderd schreef op 03 oktober 2003 @ 16:38:
Ik heb getest met KAV/RAV/McAfee/CA..
Ze zeiden allemaal behalve McAfee joiner.w
CA zoiets als: win32.joiner.w
KAV: Trojandropper.Win32.Joiner.w
RAV: geloof hetzelfde als KAV, alleen iets anders opgeschreven.

Zal zo eens kijken of ik testsys aan de gang krijg om te zien wat er allemaal wordt veranderd, aangezien Magnus nog niets heeft laten horen.

even nog een reactie op schouw: een dropper (of joiner) is nooit de trojan zelf, is gewoon een soort self extracting archive met trojans erin

(was ff voor de mensen die dat nog niet wisten wat een dropper was)

[Verwijderd]

AvOn schreef op 04 October 2003 @ 18:47:
Kent trouwens iemand het bestandje caibk.exe ? ... 106 kb groot

Dit staat helemaal onderaan het mailtje..

--Boundary_(ID_Tb0cY5jRi70bxYiMx1AJ/g)--

Nieuwe worm misschien ? Via google kan ik er nog niks over terug vinden.

Kun je die even mailen?

[avon]

Gestuurd richting [e-mail] post even je resultaten!

Het bleek een ordinare W32.Swen.A@mm te zijn,

thnx to Schouw..

[ Voor 61% gewijzigd door avon op 04-10-2003 19:22 ]

[Verwijderd]

Scan result: Virus W32.Swen.A@mm found. File not cleaned.

Aldus de yahoo scanner

[littledreamer]

Ik lijkt hier hetzelfde probleem te hebben.
Andere pc's kunnen niet meer op deze pc komen en poort 3389 word gebruikt, dus ik kan extern bureaublad ook niet meer gebruiken.

'k ga zo even kijken of ik het kan oplossen met jullie info uit dit topic

info volgt