Virus verspreid via videokaart?

[MadEgg]

Ik weet het, het klinkt heel raar. Daarom ook dit topic.

Mijn lieve zus had een probleempje met haar computer.

Symptomen: na het het aanzetten van de computer kwam er geen beeld. Wat gerammel, in en uitschuiven de videokaart(nVidia TNT2) loste dit voor een paar minuten op waarna het symptoom terugkwam.

Andere videokaart erin, voor de gein virusscanner erover heen. Vond vele bestanden geinfecteerd in windows\system, allen met het w32.spaces.gen virus.

Ondertussen met videokaart geexperimenteerd in 2 andere computers, welke allebei niet in contact zijn geweest met de betreffende computer en ook niet aan een netwerk hingen.
Van tevoren waren deze beide ook virusvrij.

De videokaart werkte wel in beide machines, nu de situatie in beide weer hersteld. Echter begonnen ze plots aan dezelfde symptomen te lijden, trage responsiveness met het invullen van formulieren in Internet Explorer en corrupte downloads(ik heb zo'n 20 x geprobeerd om WinZip en WinRAR te downloaden, steeds een corrupte download. Eenmaal op een andere computer geprobeerd met via zelfde verbinding; no problemo; ook alle virusscanners zijn corrupt gedownload).

Online virusscan geprobeerd en beide zijn geinfecteerd met hetzelfde w32.spaces.gen virus.

Het enige wat ze gemeen hebben is dat in beide deze videokaart is gezet. Hoe kan dit? Ik vind het een heel sterk verhaal maar iets anders kan ik niet verzinnen dan de video-kaart...

[ Voor 9% gewijzigd door MadEgg op 09-10-2003 00:26 ]

[Loewe]

Het is jammer dat je een online virusscanner gebruikt hebt. als je een virusvrije cd had gebruikt dan had je meer zekerheid gehad. Nu kan je het nog steeds "on-line" binnen hebben gekregen.

Theoretisch is het nu tuurlijk wel mogelijk dat het in de rom van je vga kaart zit maar dat lijkt me erg bezwaarlijk voor het merk van de VGA kaart. Welk merk en type VGA kaart is het trouwens ?

[Klippy]

Als beide PC's niet aan netwerk hingen is het raar ja. Ik heb er iig nog nooit van gehoord...

Virus zat niet toevallig in de drivers?

[picobyte]

Internet virusje misschien?
Hoe oud is je windows versie ??

[n00bs]

1 April!

[MadEgg]

MadEgg schreef op 09 October 2003 @ 00:23:
Symptomen: na het het aanzetten van de computer kwam er geen beeld. Wat gerammel, in en uitschuiven de videokaart(nVidia TNT2) loste dit voor een paar minuten op waarna het symptoom terugkwam.

Die dus

Alhoewel ik er niet 100% zeker van ben.
Er zit namelijk een grote sticker op van 'nvidia riva tnt'. Dan zou het dus een TNT1 zijn, maar daarvoor wordt op de nvidia-site helemaal geen driver voor aangeboden dus ging ik altijd maar voor de GeForce and TNT2-drivers die (tot nu toe) perfect werkte. Vandaar de aanname dat het een TNT2 is.

[MadEgg]

LiquidSilver schreef op 09 oktober 2003 @ 00:32:
Als beide PC's niet aan netwerk hingen is het raar ja. Ik heb er iig nog nooit van gehoord...

Virus zat niet toevallig in de drivers?

In het ene geval zou dat gekund hebben, bij de andere computer waren de drivers echter nog geinstalleerd omdat dezelfde videokaart daar ooit ingezeten heeft; de kaart werd dus gelijk herkend en goed geinstalleerd.

picobyte schreef op 09 October 2003 @ 00:32:
Internet virusje misschien?
Hoe oud is je windows versie ??

In beide gevallen Windows 98 Second Edition, een week of 3/4 terug met windowsupdate volledig geupdate.

n00bs schreef op 09 October 2003 @ 00:32:
1 April!

????
Die snappik niet?

[Guardian Angel]

Helaas, het kan wel degelijk. Al in 1991 was er een virus wat zich na een reboot ook in het geheugen van de videokaart nestelde.

When the system is rebooted, the virus intercepts the interrupt vectors 13h (low-level disk I/O) and 21h (DOS service). During the reboot the virus is stored in the videomemory at address BB00:0. It has a special routine to restore the contents of videomemory if it has been changed. Then virus waits for an execution of any program. When this program terminates the virus moves itself to the low memory. If the program
stays resident - the virus expands its memory block and puts itself there. Ten it infects any COM/EXE file created on floppy drives (ex., by COPY command). Because of this Starship doesn't need to intercept INT_24.

De volledige tekst staat hier op de site van Mcafee.

Ok, nu vastgesteld is dat het ooit mogelijk was is uiteraard ook niet uit te sluiten dat dit nog steeds kan.

[n00bs]

GuardianAngel schreef op 09 October 2003 @ 00:40:
Helaas, het kan wel degelijk. Al in 1991 was er een virus wat zich na een reboot ook in het geheugen van de videokaart nestelde.


[...]


De volledige tekst staat hier op de site van Mcafee.

Ok, nu vastgesteld is dat het ooit mogelijk was is uiteraard ook niet uit te sluiten dat dit nog steeds kan.

Hmz dat wist ik niet... d8 dat dit topic een joke was

[MadEgg]

Dan de grote vraag
Hoe krijg je het virus weer UIT de videokaart?

[ Voor 7% gewijzigd door MadEgg op 09-10-2003 00:48 ]

[Verwijderd]

Zo te zien een bootsector virus welke zich resident in het (Windows Virtual Device driver - VxD) geheugen houdt om EXE files en MBR te besmetten. Kortom: Tevoren was het systeem al besmet (en waarschijnlijk niet 1 maar wel méérdere bestanden).

http://securityresponse.s...venc/data/w95.spaces.html
http://www3.ca.com/virusinfo/virus.aspx?ID=8252
http://vil.nai.com/vil/content/v_10507.htm
http://us.mcafee.com/viru...description&virus_k=10507
http://www.hacksoft.com.pe/virus/w32.spaces.1633.htm
http://news.com.com/2100-1091-235135.html?legacy=cnet

Het virus kun je verwijderen met een goede virusscanner je harddisk te scannen. "spaces" infecteerd niet je videokaarthardware, gebruikt niet het flashgeheugen en geeft voldoet precies aan de symtomen die je beschrijft mbt traag worden van het systeem.

offtopic:
Starship.mp.2632 schrijft geen gegevens naar je flashbios, maar gebruikt het videogeheugen (VideoRAM pagina 3) op adres BB00:0 als tijdelijke opslag bij een reboot nádat deze uitgelezen is van de harddisk om deze te verplaatsen naar lokaal RAM. Het betreffende videogeheugen is dus vluchtig en niet verantwoordelijk voor besmetting.
http://vx.netlux.org/texts/html/starship.html

[ Voor 40% gewijzigd door Verwijderd op 09-10-2003 01:13 ]

[Mark Lor]

Het lijkt mij erg sterk dat het virus na het verplaatsen nogsteeds in de video kaart zou zitten want er staat na het uitzetten van de pc (en al helemaal na het eruit halen van de kaart) geen spanning meerop waardoor het ram wat op de 3dkaart zit alles kwijtraakt.

[Verwijderd]

MadEgg schreef op 09 October 2003 @ 00:48:
Dan de grote vraag
Hoe krijg je het virus weer UIT de videokaart?

PC Uitzetten en de videokaart alleen gebruiken in een virusvrij systeem.

Hoe weet je zeker dat zo zeker dat ze virusvrij waren voordat de videokaart erin ging en dat de besmetting via de videokaart is gegaan en niet via de drivers, je Windows SetupCD of vele andere manieren? Heb je een dump van je videokaartbios? Heb je die biosfile al gescanned?

Ik (en ik weet nog wel een paar anderen) wil die bios wel bekijken, nalopen en scannen. Mail hem maar naar me:

[ Voor 109% gewijzigd door Verwijderd op 09-10-2003 04:07 ]

[MadEgg]

De lol is dus dat deze 2 PC's besmet zijn door deze videokaart die uit een andere machine kwam. Daarvoor waren ze nog virusvrij.

2 dagen daarvoor had ik nog een virusscan gedraaid; en er wordt op die dingen in principe niet gedownload.