[XP] Ik verstuur spam - ADS Afcore infectie *

[RUFFNECK]

Je weet toch hoe Norton AntiVirus ook email (outgoing en incoming) scant en je zo'n popup krijgt (a la msn messenger) iets van "Scanning outgoing message" tegelijkertijd met zo'n animated envelopje?
Wel sinds vanmorgen krijg ik na een tijdje op internet zijn geweest, honderden van die dingen en de bijhorende errors over non-reachable hosts of rejections e.d. en de meeste met bijhorende error report waarin steeds wordt aangegeven dat ik een heuze spammailtje aant versturen ben (Viagra vooral).
Gister nog hele systemscan gedaan door NAV, niks gevonden, vandaag meteen AdAware ook gedaan, mocht niet helpen, want ik heb et nu nog steeds!

Ik heb op Symantec site, gezocht naar virussen en trojans die spam versturen, maar geen van hun "kenmerken" komen op mijn pc voor en m'n definitions zijn altijd up-to-date.

Het is dus vanmorgen begonnen en vannacht had ik alleen (zoals gebruikelijk) Overnet aanstaan. M'n xp firewall is NIET aan, ik doe wel aan NAT in m'n router, sommige poorten open, sommige weer niet.
Windows Update is ook uptodate.

Weet iemand wat dit kan zijn en hoe ik er vanaf kan komen??

PS. Ik wist niet of dit in WOS of Networking hoorde...

[Cpt.Morgan]

Hoe je er aan gekomen heb ik geen idee van, maar om het te stoppen:

- gooi je firewall aan
- gooi zoveel mogelijk poorten dicht

En om er achter te komen waar het aan kan liggen:

Welke poorten had je eigenlijk open staan?
Welke processen heb je op dit moment allemaal draaien?

[Pim.]

Het kan zo zijn dat je inderdaad spam aan het versturen bent maar als je alle anti-virus en trojan maatregelen hebt genomen denk ik dat dat wel meevalt.

Het kan ook zo zijn dat iemand je mail adres aan zijn spam database heeft toegevoegd en je mailadres "spooft". m.a.w. iemand doet alsof jij de mail loopt te versturen en heeft ook jou adres als reply adres ingevult.

[G F0rce 1]

Misschien een scan op spyware ?

- Ad Aware

[elevator]

Dit soort vragen horen zelfs in Beveiliging & Virussen - ik verplaats je topic eventjes

Verder - scan even met een andere (betere ) virusscanner

Windows Operated Systems >> Beveiliging & Virussen

Oh - en plaats je HiJackThis log file even (als je niet weet wat het is - [google]=hijackthis] )

[ Voor 17% gewijzigd door elevator op 03-04-2004 21:55 ]

[Verwijderd]

Post ook eens je HijackThis log.

_{Als dit de derde persoon met Afcore op GoT vandaag is word ik gek.}

[dev icey]

G F0rce 1 schreef op 03 april 2004 @ 21:52:
Misschien een scan op spyware ?

- Ad Aware

zei hij al dit werkt dus niet, probeer eens met spybot, die haalt er meer uit:
http://www.safer-networking.org/

en anders onder ctrl-alt-del ff kijken naar vage toepassingen.

[Verwijderd]

Spybot / AdAware vinden niets(of iig bijzonder weinig)spul wat ervoor zorgt dat je spam verstuurt.
AdAware/S&D is anti-ad/spyware.

Dit is waarschijnlijk een backdoor(of iets in die richting)of worm.

Scannen daarmee gaat dus waarschijnlijk dit probleem niet oplossen.

[Verwijderd]

Heb ik ook last van gehad. Adaware en virusscanner vond niks. Trojan scanners vonden wel wat, maar het ging net zo hard door. Kreeg toen een email van mijn ISP van iets met open relay ofzo kon er verder niet veel aan doen. Dus heb ik een format C gedaan met een nieuwe install.

[RUFFNECK]

Voor al de mensen die het niet begrepen over email spoof enzo. Da tis het dus niet, ik zie het egt verstuurd worden hier. Erg irritant!:

M'n hijacklog post ik zometeen. Denk ook dat et iets met backdoor is ofzow, maar lijkt me toch onmogelijk dat het niet op te lossen is?

[Resistor]

Kan een softwarematige firewall dit soort dingen tegenhouden? (uitgaand 'vreemd' verkeer)

Ik heb geen mailprogramma's (ik stuur en ontvang zelden mail, hotmail+msn is goed genoeg), maar 19 programma's mogen wel naar buiten, waaronder een paar updaters, IM, Browsers, en P2P.

Ik heb een (niet legale) NAV 2003pro, en de standaard andere programma's (Ad-Aware, Spybot-SD, SpywareBlaster, Kerio Personal Firewall) en begin mij toch ongerust te maken
Voor binnenkomend ben ik niet zo bang, daar rekent de SpeedTouch (modem) wel mee af, op 3 eMule poorten na.

[blix]

Al adaware geruned of een ander anti-spyware progje?

excuses, al geweest =]

[ Voor 20% gewijzigd door blix op 03-04-2004 22:11 ]

[Verwijderd]

Nogmaals: Post je HijackThis log...als je aan het spammen bent moet dat asap stoppen.
Zie google/got search voor downloadlink.

[Rob]

Aangezien je een router hebt, denk ik ook dat je meerdere pc's hebt staan. Trek daarom de netwerkstekker van de spam versturende PC los en volg dit draadje vanaf een andere PC, anders blijf je spam versturen.

[ Voor 3% gewijzigd door Rob op 03-04-2004 22:15 ]

[RUFFNECK]

Hier is mijn HiJackLog:

code:

Logfile of HijackThis v1.97.7
Scan saved at 22:12:01, on 3-4-2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\TGTSoft\StyleXP\StyleXPService.exe
C:\Program Files\Common Files\Symantec Shared\ccSetMgr.exe
C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
G:\Program Files\Messenger Plus! 2\MsgPlus.exe
G:\Program Files\Creative\SBAudigy2\Surround Mixer\CTSysVol.exe
C:\WINDOWS\System32\taskswitch.exe
C:\Program Files\Common Files\Symantec Shared\ccApp.exe
C:\WINDOWS\System32\CTsvcCDA.exe
C:\WINDOWS\system32\crypserv.exe
C:\WINDOWS\System32\CTHELPER.EXE
G:\Program Files\Norton SystemWorks\Norton Ghost\GhostStartService.exe
C:\WINDOWS\System32\inetsrv\inetinfo.exe
G:\Program Files\QuickTime\qttask.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE
D:\mysql\bin\mysqld-nt.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
G:\Program Files\Norton AntiVirus\navapsvc.exe
C:\WINDOWS\System32\nvsvc32.exe
G:\Program Files\WinBar\WinBar.exe
G:\Program Files\Serv-U\ServUDaemon.exe
D:\mysql\bin\winmysqladmin.exe
G:\PROGRA~1\NORTON~2\NORTON~1\SPEEDD~1\NOPDB.EXE
C:\Program Files\Common Files\Symantec Shared\CCPD-LC\symlcsvc.exe
C:\WINDOWS\System32\MsPMSPSv.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
G:\Program Files\Opera7\opera.exe
G:\Program Files\Norton AntiVirus\OPScan.exe
H:\Downloaded Files\HijackThis.exe

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 212.0.150.7:3128
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - G:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: Ipswitch.WsftpBrowserHelper - {601ED020-FB6C-11D3-87D8-0050DA59922B} - G:\Program Files\WS_FTP Pro\wsbho2K0.dll
O2 - BHO: (no name) - {83DE62E0-5805-11D8-9B25-00E04C60FAF2} - (no file)
O2 - BHO: (no name) - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - G:\Program Files\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
O4 - HKLM\..\Run: [CTStartup] "C:\Program Files\Creative\Splash Screen\CTEaxSpl.EXE" /run
O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\UpdReg.EXE
O4 - HKLM\..\Run: [Openwares LiveUpdate] C:\Program Files\LiveUpdate\LiveUpdate.exe
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [MessengerPlus2] "G:\Program Files\Messenger Plus! 2\MsgPlus.exe"
O4 - HKLM\..\Run: [CTSysVol] G:\Program Files\Creative\SBAudigy2\Surround Mixer\CTSysVol.exe
O4 - HKLM\..\Run: [CoolSwitch] C:\WINDOWS\System32\taskswitch.exe
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [Advanced Tools Check] G:\PROGRA~1\NORTON~1\AdvTools\ADVCHK.EXE
O4 - HKLM\..\Run: [CTHelper] CTHELPER.EXE
O4 - HKLM\..\Run: [QuickTime Task] "G:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [cvaikf] rundll32 C:\WINDOWS\System32:cvaikf.dll,Init 1
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MessengerPlus2] "G:\Program Files\Messenger Plus! 2\MsgPlus.exe" /WinStart
O4 - HKCU\..\Run: [StatBar] G:\Program Files\Globe Software\StatBar\StatBar.exe
O4 - HKCU\..\Run: [STYLEXP] C:\Program Files\TGTSoft\StyleXP\StyleXP.exe -Hide
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
O4 - HKLM\..\RunOnce: [*cvaikf] rundll32 C:\WINDOWS\System32:cvaikf.dll,Init 1
O4 - Startup: WinBar.lnk = G:\Program Files\WinBar\WinBar.exe
O4 - Startup: WinMySQLadmin.lnk = D:\mysql\bin\winmysqladmin.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O8 - Extra context menu item: &Google Search - res://C:\Program Files\Google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: Backward &Links - res://C:\Program Files\Google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Cac&hed Snapshot of Page - res://C:\Program Files\Google\GoogleToolbar2.dll/cmcache.html
O8 - Extra context menu item: E&xport to Microsoft Excel - res://G:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Si&milar Pages - res://C:\Program Files\Google\GoogleToolbar2.dll/cmsimilar.html
O8 - Extra context menu item: Translate into English - res://C:\Program Files\Google\GoogleToolbar2.dll/cmtrans.html
O9 - Extra button: Research (HKLM)
O9 - Extra button: @C:\Program Files\Messenger\Msgslang.dll,-61144 (HKLM)
O9 - Extra 'Tools' menuitem: @C:\Program Files\Messenger\Msgslang.dll,-61144 (HKLM)
O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {003FADA5-8FEE-11D6-AFB7-0004768F6183} (CryptoRSA Control) - https://www.p3.postbank.nl/sesam/CAX.cab
O16 - DPF: {0A5FD7C5-A45C-49FC-ADB5-9952547D5715} (Creative Software AutoUpdate) - http://www.creative.com/su/ocx/12119/CTSUEng.cab
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/shockwave/cabs/director/sw.cab
O16 - DPF: {3E68E405-C6DE-49FF-83AE-41EE9F4C36CE} (Office Update Installation Engine) - http://office.microsoft.com/officeupdate/content/opuc.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?38051.4524884259
O16 - DPF: {CE28D5D2-60CF-4C7D-9FE8-0F47A3308078} (ActiveDataInfo Class) - https://www-secure.symantec.com/techsupp/activedata/SymAData.dll
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: {E77C0D62-882A-456F-AD8F-7C6C9569B8C7} (ActiveDataObj Class) - https://www-secure.symantec.com/techsupp/activedata/ActiveData.cab
O16 - DPF: {F6ACF75C-C32C-447B-9BEF-46B766368D29} (Creative Software AutoUpdate Support Package) - http://www.creative.com/su/ocx/12119/CTPID.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{8C7CD6E9-F8B7-4B0E-81C0-842E57FB7D3F}: NameServer = 62.251.0.6,62.251.0.7

[wildhagen]

En de derde ADS-virus slachtoffer vandaag:

code:

O4 - HKLM\..\Run: [cvaikf] rundll32 C:\WINDOWS\System32:cvaikf.dll,Init 1
O4 - HKLM\..\RunOnce: [*cvaikf] rundll32 C:\WINDOWS\System32:cvaikf.dll,Init 1

[ Voor 24% gewijzigd door wildhagen op 03-04-2004 22:17 ]

[RUFFNECK]

wildhagen schreef op 03 april 2004 @ 22:17:
En de derde ADS-virus slachtoffer vandaag:

code:

O4 - HKLM\..\Run: [cvaikf] rundll32 C:\WINDOWS\System32:cvaikf.dll,Init 1

Ja dat zag ik ook, maar al probeer ik het in Safe Mode te deleten, als ik naar een andere registry key ga en weer terug naar Run of RunOnce, is het er weer!

[wildhagen]

Moet je even het volgende intikken vanaf commando-regel:

code:

rundll32 C:\WINDOWS\System32:cvaikf.dll, Uninstall

(tnx to Schouw in het andere topic )

[RUFFNECK]

wildhagen schreef op 03 april 2004 @ 22:19:
Moet je even het volgende intikken vanaf commando-regel:

code:

rundll32 C:\WINDOWS\System32:cvaikf.dll, Uninstall

(tnx to Schouw in het andere topic )

Linkje? En in safe mode ofzow? Want ik zie nu egt niet wat ik tyupe want alle norton popups zitten gewoon voor me!

[wildhagen]

RUFFNECK schreef op 03 april 2004 @ 22:21:
[...]

Linkje? En in safe mode ofzow? Want ik zie nu egt niet wat ik tyupe want alle norton popups zitten gewoon voor me!

Zie deze reply: Verwijderd in "100 portscans in 2 dagen + ADS Afcore in..."

Tsja, ik weet niet of dit in Safe Mode ook kan, ik neem aan van wel, maar pin me d'r niet op vast...

[Verwijderd]

Dit is NIET te geloven.

Dit MOET gehost staan op een(redelijk)populaire site, of iets waar een site naar linkt(pop-up kan idd ook)..
Het kan bijna niet anders.

Denk eens na sinds wanneer dit gezeik is begonnen aub, het is belangrijk.

Het zou gewoon in safe mode moeten kunnen afaik.

[RUFFNECK]

Raar ik krijg geen popup dat AF ofzow is geunload, maar ff restarten en KAV probereen nu. Dank voor de replies iig!

Verwijderd schreef op 03 april 2004 @ 22:27:
Dit is NIET te geloven.

Dit MOET gehost staan op een(redelijk)populaire site, of iets waar een site naar linkt(pop-up kan idd ook)..
Het kan bijna niet anders.

Denk eens na sinds wanneer dit gezeik is begonnen aub, het is belangrijk.

Het zou gewoon in safe mode moeten kunnen afaik.

Sja, voor ik ging pitten had ik Overnet aan zoals ik al zei. En ja, welke sites bezoek je daarvoor? Kan wel zeggen dat ik op bezoek was bij enkele nederlandse versies van zulke sites die verhuisd zjn naar het buitenland

[ Voor 74% gewijzigd door RUFFNECK op 03-04-2004 22:31 ]

[wildhagen]

Schouw: volgens mij gaat het in golven... een week of 8 geleden was er ook opeens zo'n piek met ADS-besmettingen, daarna zakte het helemaal in (iig bij mij op het werk), tot dus vandaag weer... ben benieuwd hoeveel nieuwe 'mailservers' we maandag weer gaan aantreffen op het werk

[Resistor]

RUFFNECK schreef op 03 april 2004 @ 22:29:
Raar ik krijg geen popup dat AF ofzow is geunload, maar ff restarten en KAV probereen nu. Dank voor de replies iig!


[...]

Sja, voor ik ging pitten had ik Overnet aan zoals ik al zei. En ja, welke sites bezoek je daarvoor? Kan wel zeggen dat ik op bezoek was bij enkele nederlandse versies van zulke sites die verhuisd zjn naar het buitenland

Je kan die dingen ook gewoon in een TR plaatsen hoor
Niemand die het te weten komt (behalve de mods), en jij riskeert geen ban/OW wegens het plaatsen van niet-toegestane links

[RUFFNECK]

Uh ja..anyways, ik denk dat ie eraf is, ik moet nog scannen (moet dit per se met KAV??), maar de dll is er al af zie ik.

[Verwijderd]

RUFFNECK schreef op 03 april 2004 @ 22:48:
Uh ja..anyways, ik denk dat ie eraf is, ik moet nog scannen (moet dit per se met KAV??), maar de dll is er al af zie ik.

KAV is de enige(bekende)AV die deze vorm van ADS kan scannen afaik..
Maar zou je het niet fijn vinden als er eventueel minder mensen mee besmet zouden raken?
Wie weet hoeveel spam je al niet hebt verstuurd..

Heb vanavond(uit het niets)al flink wat spam ontvangen op m'n tweakers adres.

[Verwijderd]

Wow! Ik heb hier net ook een topic over geplaatst. 'Opeens' was het virus of wat het ook is geweest weg. Ik heb eerst mijn proggies helemaal geupdate en de pc opniuew opgestart. Alle programma's uit en volledige virusscan met norton en adaware gedraaid. TOt nu toe no problemo.

Nu komt het... ik heb het ook sinds vanmorgen, na een schone install Overnet gedraaid en wat sites ge- en bezocht. Zou het hier ergens kunnen zitten?

[GekkeR]

Ik zal het er maar even bijzetten , NOD32 vangt ADS virussen op.

(dacht dat ik lekker veilig zat met norton , not.)

--edit
Nog maar even een plaatje erbij (ik was zo blij ).
Plaatje van NOD32 in actie.

--edit2
Ziet er naar uit dat Schouw gelijk heeft
Maar weer verder zoeken.

[ Voor 55% gewijzigd door GekkeR op 14-04-2004 22:04 ]

[Verwijderd]

GekkeR schreef op 14 april 2004 @ 21:19:
Ik zal het er maar even bijzetten , NOD32 vangt ADS virussen op.

Dat is de monitor, de meeste(niet alle)AVs kunnen de ADS sample flaggen omdat deze in het geheugen zit/actief is.
Daarbij wordt verwezen naar de ADS path.

Een AV doet pas aan ADS scanning zodra een on-demand scan ADS files oppikt.
Van de bekendere AVs ken ik alleen Dr. Web en KAV die dit doen.

Ben nu aan het testen...
NOD32 vindt het ding in memory maar met een surface scan wordt de ADS file toch echt niet gedetecteerd.

Feel free to correct me though.

[Verwijderd]

RUFFNECK schreef op 03 april 2004 @ 22:15:
Hier is mijn HiJackLog:

code:

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

W32.Gaobot.ZX

[wildhagen]

Verwijderd schreef op 14 april 2004 @ 22:31:
[...]


W32.Gaobot.ZX

Eh... jawel, maar het is óók een volstrekt legitieme tool van nVidia. Zie http://www.liutilities.co...spro/processlibrary/nwiz/

[Verwijderd]

code:

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32
\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

Klopt, ik heb hem zelf ook


Is er niet een tooltje waar je hijackthis.log doorheen kunt halen?

[ Voor 28% gewijzigd door Verwijderd op 14-04-2004 22:48 ]