[Virus vinden} Virus dat pornsites bezoekt

[Fairy]

Ik zit op dit moment bij een klant, deze heeft Windows XP met Internet Explorer.

Er zit iets op het susteem, een virus of whatever dat heel hardnekkig pornosites bezoekt en links aanmaakt en andere rotzooi.

Links volgens netpeeker:
Eerst start hij vanaf het adres: 66.117.38.54 het programma "DexNL505.exe" en bezoek dan pornosites via IExplore, dit kun je met het blote oog niet zien.

Links:

code:

img.videofresh.com | pornokopec.com | ready-for-a-fuck.com | www.movies4free.net |

En nog veel meer sites.

Ik kan met netpeeker zien dat IExplore deze shit download maar niet welke DLL dit precies doet.

We hebben ADAWARE gedraait, norton Antivirus gedraait etc.

Ook met de hand hebben we een heleboel nagekeken maar we hebben niks kunnen vinden.

Op dit moment hebben we alle sexsites via netpeeker even geblocked omdat de network utilisation 100% was maar dat is geen permanente oplossing.

Wie kan mij helpen ?

Bij voorbaat dank!

[RSpliet]

Sounds like a dialer, loop ff richting msconfig en smijt alles uit waarvan je weet dat je t niet gaat gebruiken. Dan heb je al een deel. Spybot Search&Destroy eroverheen (zo heette dat toch? ), en ff een web-virusscanner erover. Vind je niks, smijt dan ZoneAlarm op je pc. Die ziet wie er met t internet wilt verbinden en zal die DLL dus geen toegang geven (tenzij jij die DLL toegang geeft natuurlijk ). Try it, en post je resultaten maar eens

[Verwijderd]

Kijk hier eens. [rml][ Howto] Spyware scannen en opruimen[/rml]
NAV is normaal gesproken way te laat als het deze soort malware gaat..

Ben trouwens wel benieuwd naar die DexNL505.exe, zou je die kunnen mailen?
Zie sig voor mail.

EDIT:
@S3v3n_0f_n1n3

Vind je dat zelf niet een beetje omslachtig?

[ Voor 13% gewijzigd door Verwijderd op 15-02-2004 11:55 ]

[RSpliet]

Mhwa, andere firewall mag ook, t gaat mij om die program control. Ik heb zelf een hekel aan Softwarematige firewall, maar als ik weet dat er iets mis is is zo'n beestje best handig Ik bedenk me net alleen dat waarschijnlijk rundll32.exe ineens lijkt te verbinden met het internet, en dat is dus 'die DLL'. Die worden nl. niet rechtstreeks uitgevoert, maar dmv. die rundll32.exe. Kan t altijd proberen

[ Voor 42% gewijzigd door RSpliet op 15-02-2004 11:59 ]

[Fairy]

MSCONFIG heb ik gehad.
.exe bestandje is niet op de harddisk te vinden...

Ik heb de howto al doorgewerkt, ook dit helpt niet.

PS. Ik ben zelf systeembeheerder, ik weet waar ik mee bezig ben en heb alles zo'n beetje al geprobeerd, ook via google nog gezocht maar kan er niks over vinden helaas. Ik ben nu nog bezig de laatste patches van IE te downen maar dat mag het ook niet zijn.

[leuk_he]

.. search [google=pornokopec]

levert dit op:
http://computercops.biz/postx7106-0-30.html

"Now download Spybot Search & Destory: http://spybot.eon.net.au/index.php? I"
..
run it....
....
Next, re-boot into safe mode(by tapping the f8 key as windows boots up)
and delete:
C:\Program Files\ISTsvc\istsvc.exe
C:\Program Files\hp center\137903\Shadow\ShadowBar.exe
C:\Program Files\hp center\137903\Program\BackWeb-137903.exe

[Verwijderd]

Post je HijackThis log eens..
Tussen [code] tags.

[Fairy]

Verwijderd schreef op 15 februari 2004 @ 12:03:
Post je HijackThis log eens..
Tussen [code] tags.

Ik zie net dat er een oude versie draait op deze machine.

Ik ga even updaten