[bestandje] WTF is yvikit.vlr?

[spaceboy]

Op m'n C:-schijf (in de root) komt met enige regelmaat het bestandje "yvikit.vlr" te voorschijn. Het is altijd 10 bytes groot en er staat dit in:

BšÑÃtÙÃ

(onleesbare troep dus)
Ik heb al gegoogled, maar niet gevonden. Een virus lijkt het niet te zijn, maar weet iemand waar 't van is? Als ik 'm wegknikker komt hij soms terug, soms blijft hij een paar dagen weg.

Het is trouwens een WinXP Pro machine.

[ Voor 12% gewijzigd door spaceboy op 04-01-2004 23:05 ]

[pven]

Je zegt dat het geen virus lijkt te zijn; dit komt onzeker over. Weet je zeker dat het geen virus is (maw: is je PC 99,99% virusvrij) ?

[spaceboy]

pven schreef op 04 januari 2004 @ 23:06:
Je zegt dat het geen virus lijkt te zijn; dit komt onzeker over. Weet je zeker dat het geen virus is (maw: is je PC 99,99% virusvrij) ?

Nee, ik weet het niet zeker. Ik baseer het op de feiten:

- ik heb nergens last van (vastlopers, bestanden kwijt, performanceprobs, o.i.d.)
- het bestandje komt al zeker een maand voor op m'n schijf
- het bestandje heet altijd hetzelfde maar toch is er met google niets te vinden, als het een virus was, had er ergens iets over gestaan

Maar zeker weten doe ik het niet, voordat ik een (logge) virusscanner op m'n pc ga zetten wilde ik weten of 't niet iets is wat bij een programma hoort ofzo.

[geforce5_guy]

Als ik jouw was zou ik eens zoon on-line virus scan doen en daarna gelijk een anti-virus scan doen. Dit is namelijk een virus ( denk ik ).

[We Are Borg]

Ad aware gedraaid? Een virus lijkt me idd erg sterk en het enige wat ik kan vinden is dit, maar dat kan ik niet lezen . Misschien een temp file ofzo ?

Maar zeker weten doe ik het niet, voordat ik een (logge) virusscanner op m'n pc ga zetten wilde ik weten of 't niet iets is wat bij een programma hoort ofzo.

Online virusscanner proberen. Hoef je niks te installeren

geforce5_guy: Waarop baseer je dat? Google vind 1 link wat niks met PC's te maken heeft denk ik. NAV 2003 database vind geen vermelding. Kortom, waarom denk je dat het een virus is?

[ Voor 51% gewijzigd door We Are Borg op 04-01-2004 23:11 ]

[pven]

spaceboy schreef op 04 januari 2004 @ 23:09:
[...]
Maar zeker weten doe ik het niet, voordat ik een (logge) virusscanner op m'n pc ga zetten wilde ik weten of 't niet iets is wat bij een programma hoort ofzo.

Probeer het eens met http://housecall.antivirus.com/housecall/start_corp.asp ; dat is een online virusscanner.

_{Spuit 11}

[ Voor 6% gewijzigd door pven op 04-01-2004 23:13 ]

[Erkens]

spaceboy schreef op 04 januari 2004 @ 23:09:
- het bestandje heet altijd hetzelfde maar toch is er met google niets te vinden, als het een virus was, had er ergens iets over gestaan

ik ken(de) een virus wat een file aanmaakte die de naam van de pc in een encrypted vorm heeft, en die zal daardoor ook niet te vinden zijn met google lijkt me
dus haal er een virusscanner overheen, helemaal omdat het er al een tijdje opstaat

[G33rt]

geforce5_guy schreef op 04 januari 2004 @ 23:09:
Als ik jouw was zou ik eens zoon on-line virus scan doen en daarna gelijk een anti-virus scan doen. Dit is namelijk een virus ( denk ik ).

een virus van 10 hele bytes? dat lijkt me erg stug

[Erkens]

G33rt schreef op 04 januari 2004 @ 23:13:
[...]

een virus van 10 hele bytes? dat lijkt me erg stug

kan een status file zijn van een virus

[spaceboy]

pven schreef op 04 januari 2004 @ 23:12:
[...]

Probeer het eens met http://housecall.antivirus.com/housecall/start_corp.asp ; dat is een online virusscanner.

_{Spuit 11}

Zojuist uitgevoerd: geen virussen gevonden.
Adaware ook net gedownload, op een hele stapel tracking-cookies na niets gevonden.

Kortom: ik weet 't nog steeds niet...

[Erkens]

spaceboy schreef op 04 januari 2004 @ 23:17:
[...]

Zojuist uitgevoerd: geen virussen gevonden.
Adaware ook net gedownload, op een hele stapel tracking-cookies na niets gevonden.

Kortom: ik weet 't nog steeds niet...

zo, jij hebt zeker maar weinig files op je pc dat je zo snel al klaar bent met een viruscheck?

[pven]

spaceboy schreef op 04 januari 2004 @ 23:17:
[...]

Zojuist uitgevoerd: geen virussen gevonden.
Adaware ook net gedownload, op een hele stapel tracking-cookies na niets gevonden.

Kortom: ik weet 't nog steeds niet...

Je kan het ook nog met 'Spybot - Search & Destroy' proberen; ik gebruik naast AdAware deze ook regelmatig.

Erkens schreef op 04 januari 2004 @ 23:19:
[...]

zo, jij hebt zeker maar weinig files op je pc dat je zo snel al klaar bent met een viruscheck?

Idd! ... Bij mij is NAV meestal enkele uren bezig met een volledige scan ...

[ Voor 29% gewijzigd door pven op 04-01-2004 23:21 ]

[spaceboy]

Erkens schreef op 04 januari 2004 @ 23:19:
[...]

zo, jij hebt zeker maar weinig files op je pc dat je zo snel al klaar bent met een viruscheck?

Valt mee, 30.000+, maar ik heb alleen m'n C-schijf gecheckt.

[G33rt]

Erkens schreef op 04 januari 2004 @ 23:13:
[...]

kan een status file zijn van een virus

mja, maar dan is het filetje zelf geen virus

afijn - eens goed scannen op spyware en virii dan maar, TS

_{30k files duurt hier bij NAV CE toch al snel 10 minuten}

[Verwijderd]

1: We hebben 100k+ virussen, wie komt er bij dat deze allemaal gedocumenteerd zijn?
2: Zo'n file in je root is meestal geen goed teken, handig dat je daar zo lang mee wacht.
3: Aangezien er weinig tot niets over te vinden is, is de kans direct extreem klein dat Trend de file gaat vinden. (Zeker mocht de file polymorf zijn, AV gast tijdje geleden een test gedaan: 1000 polymorfe virussen die Trend allemaal in de database heeft, het herkende er 3, goede engine he?).
4: TS, analyseer je sys eens goed, kijk naar services/andere startup items/vage processen etc. etc.

[pven]

Verwijderd schreef op 04 januari 2004 @ 23:33:
3: Aangezien er weinig tot niets over te vinden is, is de kans direct extreem klein dat Trend de file gaat vinden. (Zeker mocht de file polymorf zijn, AV gast tijdje geleden een test gedaan: 1000 polymorfe virussen die Trend allemaal in de database heeft, het herkende er 3, goede engine he?).

offtopic:
Voorstel

Ik heb deze Trend-URL uit Software Algemeen FAQ gehaald; ik vermoed dat jij een beter online scanner weet. Misschien is het handig om die aan de FAQ-maker (=F_J_K ?) te melden?

[Remy]

Draai voor de lol ook eens Stinger van McAfee:

http://us.mcafee.com/virusInfo/default.asp?id=stinger

Dat is een klein programma'tje bestaande uit een virusjager die regelmatig wordt ge-update door McAfee. Heeft me al bij veel klanten hun systemen geholpen tegen allerlei ellende die met Norton/Panda/etc niet te verwijderen was.

[Verwijderd]

vlr..... staat dat niet voor Visitor local register ofzoiets ?

[Verwijderd]

pven schreef op 04 januari 2004 @ 23:36:
[...]

offtopic:
Voorstel

Ik heb deze Trend-URL uit Software Algemeen FAQ gehaald; ik vermoed dat jij een beter online scanner weet. Misschien is het handig om die aan de FAQ-maker (=F_J_K ?) te melden?

Mja, de RAV scanner was wel ok, maar die is offline gehaald afaik, sinds ze door MS zijn overgenomen.

Ik weet niet of de McAfee scanner een full scan aanbiedt, omdat ze dat virusscan online ding verkopen, maar anders is die het beste imho.

[BaRF]

Verwijderd schreef op 04 januari 2004 @ 23:42:
[...]

Mja, de RAV scanner was wel ok, maar die is offline gehaald afaik, sinds ze door MS zijn overgenomen.

Ik weet niet of de McAfee scanner een full scan aanbiedt, omdat ze dat virusscan online ding verkopen, maar anders is die het beste imho.

rav scanner staat toch nog online? Is in mijn vriendenkring (ja bij ánderen ja ) meestal de eerste en soms zelfs énige die bepaalde virii vind:

http://www.ravantivirus.com/scan/indexie.php

[Verwijderd]

BaRF schreef op 05 januari 2004 @ 07:21:
[...]


rav scanner staat toch nog online? Is in mijn vriendenkring (ja bij ánderen ja ) meestal de eerste en soms zelfs énige die bepaalde virii vind:

http://www.ravantivirus.com/scan/indexie.php

This method can not scan a folder or a disk on your computer. To completely check your computer, run one of the RAV AntiVirus products locally on your computer.

Single file scannning alleen nog zo te zien.

[sarcast]

renamen en dan rebooten .. als er niks gebeurd deleten

[Nitai]

hmm onleesbaar huh? laatst nog een buitenlandse app/game geinstalleerd? (bijvoorbeeld uit China?) Ik had laatst een Acrobat 6 geinstalleerd, bleek dat hij half chinees was.....toen had ik ook dergelijke onleesbare bestanden. Verder niet schadelijk, alleen tsja...wat het is...

[WhiteDog]

Ik krijg het ook regelmatig!

Inhoud: BêÁÃÃÉÃ

BTW processen checken is nutteloos. Met een NT Rootkit kan je processen hiden...

[ Voor 47% gewijzigd door WhiteDog op 06-01-2004 00:27 ]

[Verwijderd]

WhiteDog schreef op 06 januari 2004 @ 00:24:
Ik krijg het ook regelmatig!

Inhoud: BêÁÃÃÉÃ

BTW processen checken is nutteloos. Met een NT Rootkit kan je processen hiden...

Heb je je sys eens goed doorgelicht?
Het feit dat meerdere mensen hier last van hebben maakt het imo wat interessanter, ook al mocht het geen virus zijn.

Als een van de mensen die hier last van hebben eens hun log hiervan zouden willen sturen: ftp://ftp.avp.ru/utils/TrojanFindInfo.rar (Graag log zippen of rarren)
Kan er wel pas woensdag naar kijken waarschijnlijk.

[WhiteDog]

Verwijderd schreef op 06 januari 2004 @ 00:47:
[...]

Heb je je sys eens goed doorgelicht?
Het feit dat meerdere mensen hier last van hebben maakt het imo wat interessanter, ook al mocht het geen virus zijn.

Als een van de mensen die hier last van hebben eens hun log hiervan zouden willen sturen: ftp://ftp.avp.ru/utils/TrojanFindInfo.rar (Graag log zippen of rarren)
Kan er wel pas woensdag naar kijken waarschijnlijk.

Het is 9/10 een rootkit... weet enkel niet de welke. Ben met wat scene tooltjes aan het testen welke rootkit het juist is

WE HAVE A WINNER !

[ Voor 6% gewijzigd door WhiteDog op 06-01-2004 00:55 ]

[Verwijderd]

Kun je gevonden files aub sturen?

[WhiteDog]

Verwijderd schreef op 06 januari 2004 @ 00:56:
Kun je gevonden files aub sturen?

Dat is geen trojan scanner die ik gebruik...

[Verwijderd]

WhiteDog schreef op 06 januari 2004 @ 00:58:
[...]


Dat is geen trojan scanner die ik gebruik...

Ik heb het iig over de backdoor(componenten)

[WhiteDog]

Verwijderd schreef op 06 januari 2004 @ 00:59:
[...]


Ik heb het iig over de backdoor(componenten)

ik heb nog geen files gevonden. Kan het hidden process ook niet killen. Ga nu zoeken op hidden services...

[Mike Jarod]

_{just curious: hoe ben je erachter gekomen dat er een hidden proces draaide? met welk progsel?}

[WhiteDog]

Mike Jarod schreef op 06 januari 2004 @ 01:07:
_{just curious: hoe ben je erachter gekomen dat er een hidden proces draaide? met welk progsel?}

Dat zijn jammer genoeg geen progjes die ik zomaar mag doorgeven... maar met wat flink googlen vind je ook wel wat spul.

Ik vermoed ondertussen dat het een exploit betreft in "Serv-U FTP Server". Als de TS zijn process list even wil nakijken op "Serv-U FTP Server" ? ..

[Verwijderd]

Wat bedoel je? Dat er gebruik gemaakt is van een exploit in ServU of dat er nu een ServU server draait? Waarschijnlijk nog wel wat meer spul dan alleen ServU iig.

Argh, heb woensdag, dinsdagavond weer pas genoeg tijd om hier eens echt naar te kijken.

[WhiteDog]

Verwijderd schreef op 06 januari 2004 @ 01:17:
Wat bedoel je? Dat er gebruik gemaakt is van een exploit in ServU of dat er nu een ServU server draait? Waarschijnlijk nog wel wat meer spul dan alleen ServU iig.

Argh, heb woensdag, dinsdagavond weer pas genoeg tijd om hier eens echt naar te kijken.

Kijk gewoon even bij je services of Serv-U erbij staat of niet.

Het zou een exploit IN Serv-U zijn...

Als er bij jou niets van Serv-U te vinden is zit ik dus verkeerd.

[ Voor 7% gewijzigd door WhiteDog op 06-01-2004 01:28 ]

[Verwijderd]

WhiteDog schreef op 06 januari 2004 @ 01:24:
[...]


Kijk gewoon even bij je services of Serv-U erbij staat of niet.

Het zou een exploit IN Serv-U zijn...

Als er bij jou niets van Serv-U te vinden is zit ik dus verkeerd.

Hey, ik ben niet geïnfecteerd, althans die kans acht ik bijna nihil.
Ik ben normaal gesproken een van de mensen hier die anderen helpt met een infectie.
Zie sig/icon enzo.

Rootkits zijn bijzonder populair op het moment, jammergenoeg, dus het kan echt vanalles zijn, maar zoals ik al zei zit ik krap met de tijd tot woensdag.

[Verwijderd]

WhiteDog schreef op 06 januari 2004 @ 01:14:
[...]


Dat zijn jammer genoeg geen progjes die ik zomaar mag doorgeven... maar met wat flink googlen vind je ook wel wat spul.

Ik vermoed ondertussen dat het een exploit betreft in "Serv-U FTP Server". Als de TS zijn process list even wil nakijken op "Serv-U FTP Server" ? ..

Ok dat begrijp ik maar wat is de naam van het programma dan ? ik wil graag zon tool hebben en ben bereid om hier gewoon voor te betalen Tenslotte zijn het vital tools als het het mij vraagt

[WhiteDog]

Verwijderd schreef op 06 januari 2004 @ 01:30:
[...]

Hey, ik ben niet geïnfecteerd, althans die kans acht ik bijna nihil.
Ik ben normaal gesproken een van de mensen hier die anderen helpt met een infectie.
Zie sig/icon enzo.

Rootkits zijn bijzonder populair op het moment, jammergenoeg, dus het kan echt vanalles zijn, maar zoals ik al zei zit ik krap met de tijd tot woensdag.

oh lol

Ik vermoed dat iemand bezig is met het opzetten van een DDOS-netwerkje... aangezien dezelfde naam terugkomt. Kan helas verder niets vinden op mijn PC

[WhiteDog]

Verwijderd schreef op 06 januari 2004 @ 01:33:
[...]


Ok dat begrijp ik maar wat is de naam van het programma dan ? ik wil graag zon tool hebben en ben bereid om hier gewoon voor te betalen Tenslotte zijn het vital tools als het het mij vraagt

het is een command-line tool genaamd "process magic", versie 1.0

met een heel gerichte zoektocht vond ik een cached forum in google waar dit programma opduikt tussen 20 hack- en ddos tools

Maar zoals ik al zei, kan niet met zekerheid zeggen of dit wat te maken heeft met "yvikit.vlr".

Als je even nadenkt:
- Meerdere mensen hebben het
- Niets over te vinden op internet
- (Virusscanners dedecteren geen rootkits)

kan het enkel een hack of ddos ding zijn.

[Verwijderd]

kan het enkel een hack of ddos ding zijn.

Zou het geen nieuw virus kunnen zijn ?


btw thanks voor de info

[WhiteDog]

Verwijderd schreef op 06 januari 2004 @ 01:57:
[...]


Zou het geen nieuw virus kunnen zijn ?


btw thanks voor de info

vast niet angezien ik er al maanden last van heb. dacht aan spyware toen.

Ik begin ook te vermoeden dat het om een eigen rootkit gaat en geen standaard spul. vraag me af hoeveel mensen besmet zijn..

Beste oplossing is helaas een format...

[Verwijderd]

- (Virusscanners dedecteren geen rootkits)

Ehhh?
Van huidige KAV daily: Trojan.Win2K.Rootkit
KAV heeft normale bases en dan ook nog eens riskware bases waar serverapps mee worden gedetecteerd.

McAfee heeft een zelfde soort iets, zij het in mindere mate.

Aantal GoTers hebben eerder wel eens contact met me opgenomen en de kits werden altijd voor het grootste gedeelte gedetecteerd.(Wat natuurlijk geen garantie is)

Edit:
WD

Als je hem al zo lang hebt, mag ik je dan vragen om eens met KAV te scannen?
Detection is needed..

Desnoods regel ik dat een analyst je helpt..
(Had ik al gezegd dat ik eigenlijk geen tijd heb).

[ Voor 20% gewijzigd door Verwijderd op 06-01-2004 02:06 ]

[WhiteDog]

Verwijderd schreef op 06 januari 2004 @ 02:04:
[...]

Ehhh?
Van huidige KAV daily: Trojan.Win2K.Rootkit
KAV heeft normale bases en dan ook nog eens riskware bases waar serverapps mee worden gedetecteerd.

McAfee heeft een zelfde soort iets, zij het in mindere mate.

Aantal GoTers hebben eerder wel eens contact met me opgenomen en de kits werden altijd voor het grootste gedeelte gedetecteerd.(Wat natuurlijk geen garantie is)

Edit:
WD

Als je hem al zo lang hebt, mag ik je dan vragen om eens met KAV te scannen?
Detection is needed..

Desnoods regel ik dat een analyst je helpt..
(Had ik al gezegd dat ik eigenlijk geen tijd heb).

Daarom zette ik het ook tussen haakjes. Rootkits zijn "relatief" nieuw en niet elke virus scanner kan er mee overweg.

Heb een beta van KAV afgehaald en zal daar nu even mee testen..

[Verwijderd]

WhiteDog schreef op 06 januari 2004 @ 12:58:
[...]


Daarom zette ik het ook tussen haakjes. Rootkits zijn "relatief" nieuw en niet elke virus scanner kan er mee overweg.

Heb een beta van KAV afgehaald en zal daar nu even mee testen..

Je hebt het over KAV 5 beta?
Die ondersteunt nog geen riskware bases, dus in dat opzicht niet zo handig, daarnaast is het ook nog de eerste public beta..

[WhiteDog]

Verwijderd schreef op 06 januari 2004 @ 13:02:
[...]

Je hebt het over KAV 5 beta?
Die ondersteunt nog geen riskware bases, dus in dat opzicht niet zo handig, daarnaast is het ook nog de eerste public beta..

Met wat moet ik dan scannen? Er is geen trial te downloaden..

[Verwijderd]

WhiteDog schreef op 06 januari 2004 @ 14:15:
[...]


Met wat moet ik dan scannen? Er is geen trial te downloaden..

Die site moet echt overzichtelijker..
http://members.home.nl/kav/00061712.key
Key die nog wel even geldig is als het goed is.

KAV 45094 personal: ftp://ftp.avp.ru/products...al/kavpers4.5.0.94eng.exe

Wat zei KAV 5 trouwens?

[jules]

Toen ik de eerste berichten las dacht ik inderdaad al aan dat je compu gehacked was ofzo...

Verwijderd schreef op 06 januari 2004 @ 14:18:
Die site moet echt overzichtelijker..
http://members.home.nl/kav/00061712.key
Key die nog wel even geldig is als het goed is.

Is dit wel toegestaan op GoT?

Ik zeg al een paar jaar dat KAV een betere scanner is, helaas kost hij me de laatste tijd nogal erg veel CPU kracht....

Kan je niet mede door een firewall achterhalen naar welke servers/poorten hij connect open staat? Of eenvoudig even netstat runnen?

Met Remotely Anywhere kan je ook al een hoop zien in je process list, zelfs waar het bestandje staat op je schijf wat in je processlist voorkomt...

[Verwijderd]

Ch!pY-J schreef op 06 januari 2004 @ 18:20:
[...]
Is dit wel toegestaan op GoT?

Trialkey, check de datum maar hoelang ie nog geldig is.

[jules]

ah oké