[Agobot] Virusscanner spontaan uitgezet* - Privacy en beveiliging

woensdag 7 april 2004 20:21

Acties:

Het leven is geen bitterbal

Topicstarter

Was vandaag op internet en ineens ging mijn virusscanner uit en daarna stond alles even stil en daarna ineens dat mijn computer uitgaat na 1 minuut (blaster achtig).
Heb McAfee 7 met Dat file van 12 dagen geleden.

Maar nu kan ik ineens ook geen verbinding meer krijgen met de website van McAfee.
Heb me router hard gereset en alles opnieuw ingesteld, maar dat heeft ook geen nut.

Iemand een idee?

Voor 90% juist zijn is nog niet zo goed als stilte.

woensdag 7 april 2004 20:22

Acties:

Ed_Capone

Het leven is geen bitterbal

Topicstarter

Oh ja, nog iets.
Als ik naar www.mcafee.com toe ga zie ik onderin beeld eerst www6.overture.com verschijnen.

Voor 90% juist zijn is nog niet zo goed als stilte.

woensdag 7 april 2004 20:23

Acties:

elevator

Officieel moto fan :)

Geef even iets meer informatie - wat gebeurt er bijvoorbeeld als je naar die website surft?

woensdag 7 april 2004 20:25

Acties:

Ed_Capone

Het leven is geen bitterbal

Topicstarter

Dan krijg ik de melding Kan de server niet vinden.

En dan staat er bij adres: http://www6.overture.com/...A%3D&yargs=www.mcafee.com

Terwijl ik hiervoor nog naar alle websites kon.
www.symantec.com werkt trouwens ook niet.

[ Voor 13% gewijzigd door Ed_Capone op 07-04-2004 20:26 ]

Voor 90% juist zijn is nog niet zo goed als stilte.

woensdag 7 april 2004 20:25

Acties:

wildhagen

Blablabla

Was vandaag op internet en ineens ging mijn virusscanner uit

Dat is hoogst verdacht....

Heb McAfee 7 met Dat file van 12 dagen geleden.

Tsja... in het vervolg eventjes je virusscanner uptodate houden? 12 dagen oud... ik weet niet hoeveel nieuwe virussen/varianten de laatste 12 dagen zijn uitgekomen, maar je loopt minstens 2 of 3 DAT-versies achter, de nieuwste is van gisteren (versie 4348), en over een paar uur ofzo komt er weer één uit.

Heb je overigens ook de nieuwste engine geinstalleerd? De nieuwste is momenteel 4.3.20

Kan je overigens eens je HijackThis log posten, tussen code-tags?

Virussen? Scan ze hier!

woensdag 7 april 2004 20:29

Acties:

elevator

Officieel moto fan :)

Zoals wildhagen zegt - ga eerst even zelf aan de slag met Hijackthis en de FAQ over Spyware (die kan je vinden in de Software Algemeen FAQ) - kom je er met die HowTo niet uit (wat me sterk lijkt

) - mag je altijd je log hier nog even posten

woensdag 7 april 2004 20:34

Acties:

Ed_Capone

Het leven is geen bitterbal

Topicstarter

zal wel kijken, post morgen wel hoe en wat.

Voor 90% juist zijn is nog niet zo goed als stilte.

woensdag 7 april 2004 20:42

Acties:

Verwijderd

Waarom wachten tot morgen?
Het klinkt naar Agobot en dat is nou niet echt bepaald iets wat je lang op je bak wil hebben..
HT zoeken+downloaden+log hier plaatsen hoeft niet langer dan 3 minuten te duren.

En update die definities eens wat vaker.

donderdag 8 april 2004 12:23

Acties:

Ed_Capone

Het leven is geen bitterbal

Topicstarter

code:

Logfile of HijackThis v1.97.7
Scan saved at 12:21:34, on 8-4-2004
Platform: Windows XP  (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\McAfee\McAfee VirusScan\Avsynmgr.exe
C:\Program Files\McAfee\McAfee VirusScan\VsStat.exe
C:\Program Files\McAfee\McAfee VirusScan\Vshwin32.exe
C:\Program Files\Common Files\Network Associates\McShield\Mcshield.exe
C:\Program Files\McAfee\McAfee VirusScan\Avconsol.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\McAfee\McAfee Shared Components\Guardian\CMGrdian.exe
C:\WINDOWS\System32\sstray.exe
C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\WINDOWS\System32\scm.exe
C:\WINDOWS\System32\wuamgrd.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\McAfee\McAfee Shared Components\Instant Updater\RuLaunch.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\Program Files\McAfee\McAfee VirusScan\VsStat.exe
C:\Program Files\McAfee\McAfee VirusScan\Vshwin32.exe
C:\Program Files\McAfee\McAfee VirusScan\Avconsol.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Documents and Settings\Edwin\Bureaublad\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.microsoft.com/isapi/redir.dll?prd={SUB_PRD}&clcid={SUB_CLSID}&pver={SUB_PVER}&ar=home
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,Shellnext = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=runonce&pver=6.0&plcid=0x0413
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: McAfee VirusScan - {ACB1E670-3217-45C4-A021-6B829A8A27CB} - C:\Program Files\McAfee\McAfee VirusScan\VSCShellExtension.dll
O4 - HKLM\..\Run: [McAfee Guardian] "C:\Program Files\McAfee\McAfee Shared Components\Guardian\CMGrdian.exe" /SU
O4 - HKLM\..\Run: [nForce Tray Options] sstray.exe /r
O4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [Service Control Manager] scm.exe
O4 - HKLM\..\Run: [Microsoft DirectX] wuamgrd.exe
O4 - HKLM\..\RunServices: [Service Control Manager] scm.exe
O4 - HKLM\..\RunServices: [Microsoft DirectX] wuamgrd.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [McAfee.InstantUpdate.Monitor] "C:\Program Files\McAfee\McAfee Shared Components\Instant Updater\RuLaunch.exe" /STARTMONITOR
O4 - HKCU\..\Run: [Microsoft DirectX] wuamgrd.exe
O4 - Global Startup: Logitech Desktop Messenger.lnk = C:\Program Files\Logitech\Desktop Messenger\8876480\Program\LDMConf.exe
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?38084.3507291667
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab

Moest vandaag trouwens eerst me router resetten, kon ik ook al geen connectie mee krijgen.

Voor 90% juist zijn is nog niet zo goed als stilte.

donderdag 8 april 2004 12:27

Acties:

Occy74

code:

1	HKCU\..\Run: [Microsoft DirectX] wuamgrd.exe

Dit is in ieder geval spyware...

edit: sterker nog het is agobot zoals Schouw al vermoedde..
klik voor info over agobot

[ Voor 56% gewijzigd door Occy74 op 08-04-2004 12:28 ]

Systeem Specs

donderdag 8 april 2004 12:27

Acties:

Verwijderd

O4 - HKLM\..\Run: [Service Control Manager] scm.exe
O4 - HKLM\..\Run: [Microsoft DirectX] wuamgrd.exe

Die files zou ik graag eens zien.
Zie sig voor mail.

donderdag 8 april 2004 12:29

Acties:

Occy74

Verwijderd schreef op 08 april 2004 @ 12:27:
O4 - HKLM\..\Run: [Service Control Manager] scm.exe
O4 - HKLM\..\Run: [Microsoft DirectX] wuamgrd.exe

Die files zou ik graag eens zien.
Zie sig voor mail.

scm.exe is onderdeel van Windows.

Systeem Specs

donderdag 8 april 2004 12:31

Acties:

Helmet

verder vind ik sstray.exe vreemd (in combinatie met de ati exe file)

Icons are overrated

donderdag 8 april 2004 12:37

Acties:

Verwijderd

Occy74 schreef op 08 april 2004 @ 12:29:
[...]

scm.exe is onderdeel van Windows.

Mja, ik had het gezien, maar wil het toch even controleren want echt vaak kom ik het niet tegen...

En ja hoor, zojuist mail, het is een Agobot.
Guess I was right.

scm.exe Infected Backdoor.Agobot.ld

Die .pf file, daar kan ik niet veel mee.(Prefetch file, niet compleet).

sstray.exe is voor nForce mobo's.

donderdag 8 april 2004 12:52

Acties:

Verwijderd

Naar mijn mening is het het beste om te formatten.
Die Ago's komen(vaak)via bepaalde lekken binnen.(rpc/dcom, mydoom backdoor port etc).
Je bak staat waarschijnlijk nog steeds open voor vanalles en nog wat..

Daarom is het het beste om er een format overheen te gooien.
Zorg er dan voor dat je voordat er een netwerk/internetverbinding mogelijk is, je op zijn minst een firewall hebt draaien, of offline al updaten bijvoorbeeld dmv. de MS security CD.

donderdag 8 april 2004 12:53

Acties:

Ed_Capone

Het leven is geen bitterbal

Topicstarter

Ok, zal ik dat doen.
In ieder geval hartelijk bedankt allemaal.

Ed_Capone

Voor 90% juist zijn is nog niet zo goed als stilte.