Backdoor-ACH aka Optix 11

[Fluim]

Sinds enige tijd werkt ZoneAlarm niet meer op mijn pc. Toen ben ik wat gaan afsurfen, en heb ik ook een online scan gedaan (ik als arme student heb namelijk geen antivirus software op mn pc gekocht). Uit die scan bleek dat ik een Backdoor-ACH virus/trojan heb.
Deze zorgt er o.a. voor dat je geen enkele antivirussoftware kunt installeren, en hetzelfde zorgt voor firewalls.

Nou heb ik geprobeerd dit virus te verwijderen met wat trial software van onder andere Panda, maar deze kunnen het virus niet definitief verwijderen.

Ik heb ook gezocht op dit forum, maar het andere onderwerp wat er een beetje in de buurt kwam bood ook niet veel uitkomst...

Ik heb win98 geinstalleerd op deze pc. Kan iemand mij van hulp zijn? Bij voorbaat dank!!

[Verwijderd]

(ik als arme student heb namelijk geen antivirus software op mn pc gekocht)

Avast, AVG, AntiVir, Hauri.....Moet ik nog verder gaan?
Genoeg gratis keus dus.

Nou heb ik geprobeerd dit virus te verwijderen met wat trial software van onder andere Panda, maar deze kunnen het virus niet definitief verwijderen.

Wat wordt er wel/niet verwijderd? Maw: waar gaat het mis?
Linkje richting write-up malware: http://vil.nai.com/vil/content/v_99567.htm

Kleine titeledit.

[Miki]

Grrr... waarom zoeken mensen niet wat meer uit voordat ze een product beschuldigen!

Link van Panda Optix.Pro
Link van Panda Optix 12
Link van Panda Optix.Pro13

Je moet dus ook wat register sleutels aanpassen!!!!

Daarnaast kun je als arme student aan zeer goedkoop software komen via surfspot.nl. Voor rond de 13 euro heb je Norton AV2004 of Mcafee enterprise 7.1 en je gaat me toch niet vertellen dat je dat bedrag niet kan missen

[ Voor 65% gewijzigd door Miki op 01-04-2004 19:36 ]

[Verwijderd]

Grrr... waarom zoeken mensen niet wat meer uit voordat ze een product beschuldigen!

Detectie != removal..
Tip: Maak je niet zo druk, krijg je hoge bloeddruk van.

Btw: Je kan AVs voor 10 euro kopen als je student bent.

[Fluim]

Wat er wordt herkend door Panda Anti virus:
windows.exe, messenger.exe en windows\system\msvbvm06.dll geinfecteerd door bck/optix.Pro.131.A.
Panda zegt dat ie de 1e en de 3e kan verwijderen en dat de pc opnieuw opgestart moet worden om de andere ook te verwijderen. Als ik dat doe dan staan ze er weer alledrie.

Als ik kijk naar de links die Miki mij gaf over de Pro13, dan kan ik geen van de gegeven registrysleutels vinden; ze staan allemaal goed of ze bestaan niet. Voor de ini bestanden geldt hetzelfde.

[Miki]

Misschien moet je dan maar eens denken aan een formaat, ik zie zo gauw dan ook niet hoe je er wel vanaf komt.

Optix gerelateerde virussen zijn trojaanse paarden en wie weet is er veel meer aan de hand dan alleen dat virus. Ik zou voor een format gaan, dan weet je zeker dat je er vanaf bent.

[ Voor 53% gewijzigd door Miki op 01-04-2004 21:58 ]

[Fluim]

ja is een format echt de enige mogelijke optie? Daar baal ik nogal van omdat ik hier geen cd writer heb, dus raak ik alles ook daadwerkelijk kwijt

[MikeN]

Format is nooit de enige mogelijke optie.
Als het toch win98 is, start die pc dan is in MSDOS-mode, knikker die virus executable weg, reboot, en ga dan rustig je register/win.ini/system.ini opschonen.

Het lijkt me niet dat er veel meer aan de hand is, zoals Miki suggereert. Het is maar een gewoon thuisgebruikerssysteempje, en die Trojan is gewoon door iemand installed om je lastig te vallen/anderen lastig te vallen lijkt me. Hij zal echt niet je hele systeem overhoop gehaald hebben en nog 30 virussen hebben geïnstalleerd, voor het geval dat je dit virus mocht vinden.

[Fluim]

maar dat is het probleem juist, want als ik die antivirus sites naga, dan vertellen ze precies welke regels je moet verwijderen uit het register e.d., maar die staan bij mij allemaal al goed! en toch wordt het virus weer geactiveerd, dus hij zal toch ergens in het register moeten staan, maar dan op een andere plaats dan aangegeven...

[MikeN]

Als jij de executable wist (lees: alle files die als virus gelist worden door de virusscanner) terwijl het virus _niet_ draait (MSDOS-mode), kan het virus niet opnieuw geactiveerd worden

[Fluim]

Dat heb ik geprobeerd maar van de drie bestanden die Panda als geinfecteerd aangeeft:

windows\system\windows.exe
windows\system\messenger.exe
windows\system\msvbvm06.dll

kan ik alleen de laatste in ms-dos modus wissen. de andere bestanden lijken niet te bestaan. Als ik gewoon in windows ben dan kan ik geen van de drie bestanden vinden, terwijl Panda ze wel gewoon scant als geinfecteerd.
Hoe moet ik deze bestanden dan verwijderen (als het al mogelijk is)?

[Miki]

MikeN schreef op 02 april 2004 @ 12:37:
Format is nooit de enige mogelijke optie.
Als het toch win98 is, start die pc dan is in MSDOS-mode, knikker die virus executable weg, reboot, en ga dan rustig je register/win.ini/system.ini opschonen.

Het lijkt me niet dat er veel meer aan de hand is, zoals Miki suggereert. Het is maar een gewoon thuisgebruikerssysteempje, en die Trojan is gewoon door iemand installed om je lastig te vallen/anderen lastig te vallen lijkt me. Hij zal echt niet je hele systeem overhoop gehaald hebben en nog 30 virussen hebben geïnstalleerd, voor het geval dat je dit virus mocht vinden.

Dit is dus echt grote b*llshit!

Hoe zeker weet jij nu wat er met deze pc verder is gebeurd? Het installeren van een av scanner of firewall is onmogelijk gemaakt. Bij het verwijderen van bestanden komt het virus weer terug en een online virusscanner biedt ook al geen uitkomst.

Nee dood simpel de executable bestand weggooien Je weet niet eens wat er al meer is geinfecteerd

[MikeN]

Miki schreef op 04 april 2004 @ 16:54:
[...]


Dit is dus echt grote b*llshit!

Hoe zeker weet jij nu wat er met deze pc verder is gebeurd? Het installeren van een av scanner of firewall is onmogelijk gemaakt.

Omdat er een exe draait die bepaalde taken killt ja.

Bij het verwijderen van bestanden komt het virus weer terug

Omdat het virus nog draait -> MSDOS mode

en een online virusscanner biedt ook al geen uitkomst.

Nee, soms is er nou eenmaal wat interactie van de gebruiker nodig.

Nee dood simpel de executable bestand weggooien Je weet niet eens wat er al meer is geinfecteerd

Zoals ik al uitleg lijkt het mij onwaarschijnlijk dat de user nog 50 andere virussen op zn pc heeft. Zo wel moeten een paar scans met goede virusscanners dat wel kunnen aantonen. Formatten vind ik onzin en een lamme oplossing voor mensen die niet snappen hoe hun systeem werkt.

@wduim: Probeer eens attrib -rsh filenaam (in msdos) oid, dan moet je ze wel kunnen zien en kunnen wissen.

[ Voor 6% gewijzigd door MikeN op 04-04-2004 17:01 ]

[Miki]

Welke exe draait er dan precies volgens jou? Kans is goed mogelijk dat deze nu heel diep in het systeem zit en meerdere exe bestanden heeft geinfecteerd, dan enkel jouw zogenaamde exe bestand. Ik heb het gevoel dat je niet eens goed door hebt wat je met een Optix toolkit kan doen. In situaties waarbij het verwijderen van virussen niet eenvoudig gaat is meestal meer aan de hand. Format van de harde schijf is dan hoe jammerlijk het ook mag klinken de veiligste optie, niemand weet precies waar het virusje zich nog meer in heeft genesteld.

Daarnaast heb ik ook al via de virusinfo van Panda aangegeven welke bestanden mogelijk besmet kunnen zijn, echter dat heeft niet geholpen: "Als ik kijk naar de links die Miki mij gaf over de Pro13, dan kan ik geen van de gegeven registrysleutels vinden; ze staan allemaal goed of ze bestaan niet. Voor de ini bestanden geldt hetzelfde".

Maar goed, als jij het zo goed weet... suc6!

[ Voor 3% gewijzigd door Miki op 04-04-2004 17:12 ]