[Virus] IRCBot + Rirc infectie *

[BonzO]

Ik heb de laatste tijd last van één virus, maar toch zijn het er meer dan één. Het gaat alsvolgt. Vandaag is 3e keer dat ik er last van heb dat er gewoon als je bijvoorbeeld in word aan het typen bent een virus schrempje verschijnt (Symantec AV 8.11).

Kenmerken:
Er wordt een bestand aangemaakt in de map: C:\DOCUMENTS AND SETTINGS\ALL USERS\DOCUMENTEN\ (de map wordt zelf ook aangemaakt)
Ik heb van de 3 meldingen 2 verschillende bestanden gehad als melding maar dan ook weer met 3 verschilllende virussen:

Setup.exe (met het virus: Bloodhound.Packed)
Xi.exe (met het virus: W32.IRCBot)
Xi.exe (met het virus: W32.HLLW.Rirc)

Ik heb hiervoor gezocht op Virusalert.nl maar ik ben geen eigenschappen tegengekomen die ik hier heb

Ze hebben dezelfde eigenschappen maar bevatten verschillende virussen. Ik heb ook al gedacht aan spyware maar adaware 6 + alle updates geeft ook niks.

Weet iemand wat dit kan zijn?

[Verwijderd]

Voor zoiets moet je ook niet op virusalert.nl kijken, eerder op de site van de vendor van je AV.

Setup.exe (met het virus: Bloodhound.Packed) -- dat is geen virusnaam, dat is een heuristics detection.
Zou je de desbetreffende files passwordprotected naar mijn tweakersadres willen mailen? (zie profile)
Mits je ze nog hebt natuurlijk..
Het gaat hier zeer waarschijnlijk om wat IRC-based backdoors.

Draai je wel een firewall?
Post ook eens een HijackThis log.

Titeledit, dit is hopelijk wat duidelijker.

[BonzO]

Ik had geen firewall geïnstalleerd kom ik net pas achter
Toen ik hem geïnstalleerd had kreeg ik gelijk het volgende:
An application named NT-kernel & -systeem (file named ntoskrnl.exe) has been blocked.
Ik denk niet dat het er iets mee te maken heeft maar het kan natuurlijk altijd.

Wat bedoel je precies met passwordprotected sturen, ik heb nog één Xi.exe op de computer (quarantine) staan (Xi.exe met het virus: W32.IRCBot). Inmiddels al niet meer

Hier mijn HijakThis log maarja ook niets raars naar mijn weten.

[ Voor 4% gewijzigd door BonzO op 23-03-2004 17:21 ]

[Edwin van Cleef]

gelukkig is het topic hier nog open ik zit met het zelfde probleem

mijn NAV 2003 vind iedere keer het zellfde virus en zet hem in quarantine
na wat zoekwerk kwam ik uit bij deze link op virusallert

http://www.virusalert.nl/?show=virus&id=563

nadat ik hem doorgelezen had heb ik alle handelingen gevolgd maar de file Winapii.exe kom ik nergens tegen

het volgende heb ik ondernomen

register doorgezocht naar de betreffende file geen resultaat
online virusscan uitgevoerd geen resultaat
NAV2003 verwijderd en overnieuw geinstalleerd en geupdate geen resultaat

toch blijft hij melding maken van het betreffende virus om de zoveel tijd

in mijn taskmanager staat hij er ook niet in draaien verder geen vreemde processen.
verder staat op mijn machine geen uitwisselprogramma als mirc of kazaa geinstalleerd
mijn mail word gechecked met mailwasher en de meesten mensen in mijn vrienden en bekendenkring weten het al dat wanneer ze van die doorstuurtroep sturen dat ik deze niet eens meer lees maar meteen met mailwasher verwijder

wel word wanneer er melding gemaakt word door NAV alles in quarantine gezet dus ik vermoed dat hij nog op mijn pc zit alleen de vraag is WAAR??

iemand een idee of een tip?

[Verwijderd]

misschien heet het bestand anders, maar is het hetzelfde virus.

[wildhagen]

Edwin van Cleef: je zou eens kunnen kijken met HijackThis, en de log hier posten.

Volg dan overigens wel de procedure zoals beschreven in Beveiliging en Virussen - Nieuw topic starten

[Verwijderd]

Hallo, Ik had laatst eenzelfde soort probleem.
NAV detecteerde willekeurig een geinfecteerd bestand namelijk Xi.exe
De ene keer in C:\windows dan weer enkel op C:\ etc..
Het gaat hierbij om backdoor.irc.bot.

Het vreemde is dat ik geen irc heb geinstalleerd en het ook random word geactiveerd lijkt wel.
Later heb ik Norton internet security geinstalleerd en heb er helemaal geen last meer van gehad tot van de week ik de firewall even uit had gezet nog geen 2 minuten later weer nav aansprong met xi.exe

Ook op de site van symantec gezocht en google etc maar kwam niet echt iets tegen wat een oplossing bood.
Misschien heeft er iemand ervaring hiermee?