mIRC eploit virus

[GoiracH]

Ok, ik was weer zo stom om op een link te clicken op irc zonder er bij na te denken . Toen ik erop klikte zag ik dat het een virus was en klikte hem meteen weg. Ik scande mijn computer daarna met , Norton 2004, panda, en housecall norton vond 2x bloonhound.exploit 6 virus. Housecall vond een virus en cleande het meteen, maar als ik opnieuw scan met housecall vind die hem weer.....

Met Norton heb ik 1 kunnen deleten en de andere gequarentient en daarna gedelete... toch heb ik het virus nog steeds blijkbaar want als ik mijn computer opstart zie ik linksboven in snel een klein mirc tekentje opstarten (wat dus neit hoort) en wat iedereen had tijdens het virus.

Panda vond er ook nog 1 die heb ik ook gedelete, maar toch start dat irctje nog op en ik weet niet of ik het virus nog rond spam.

[PcDealer]

Check eens met Hijackthis/Spybot.

[Jacco Swart]

Sowieso eerst even de netwerk stekker eruit!!!
(Scheelt weer, kan je ook geen andere mensen besmetten.)

[Verwijderd]

Hiervoor hebben we Beveiliging & Virussen.
Zou je aub de link waarop je hebt geklikt kunnen vermelden in een TopicReport?
Dan kan ik dadelijk eens kijken hoe en wat.

[GoiracH]

Ik denk dat het er af is , want met hijackthis kan ik niks meer abnormaals vinden, toch start dat gekke mircje wel nog op

Uhm ik denk niet dat ik die url nog heb eigenlijk ik zal ff kijken of ik er nog aan kan komen

[Verwijderd]

HijackThis is natuurlijk niet heilig, je hoeft maar een dll te gebruiken(wat tegenwoordig steeds populairder wordt)en HT ziet het al niet meer..

[GoiracH]

Als ik strax die url vind waar moet ik die dan plaatsen, en sorry dat ik verkeerde deel op forum gepost heb ben net half uurtje nieuw he

[Spider.007]

Deze mag wel in BV hoor

SA > BV

[GoiracH]

Ik had die andere bercihten op het forum over dit soort virussen ook al bekeken maar ik had niks van lol.bak of zoiets

http://www.ophelders.demon.nl/hijackthis.log

[ Voor 19% gewijzigd door GoiracH op 01-05-2004 11:04 ]

[m33p]

edit:
te snel gelezen

[ Voor 91% gewijzigd door m33p op 01-05-2004 11:06 ]

[Verwijderd]

Ik heb exact dezelfde gehad. Mijn pc sloot direct na t openen van die url af.
Dat gaf mij al genoeg wantrouwen, pc opgestart in veilige modus en werd me gevraagt of ik bepaalde dll's wou installeren. Uiteraard niet gedaan, toen pc gescant in veilige modus en vond ie 2x dat virus.
1tje kon ie helemaal nix mee, geen quarantaine/delete.
Toen pc nogmaals opnieuw opgestart in gewone modus en gescant en toen kon ie wel weg.
Voor de zekerheid nog 1x gescant en toen vond me virusscanner nix
Ik gebruik Norton Antivirus 2003

offtopic:
(Met liveupdate tot 2041 )

[Verwijderd]

GoiracH schreef op 01 mei 2004 @ 10:40:
Als ik strax die url vind waar moet ik die dan plaatsen, en sorry dat ik verkeerde deel op forum gepost heb ben net half uurtje nieuw he

Bovenaan dit topic zie je een handje staan.
Alleen bij jou in een andere kleur.
Klik daar eens op.

Lees ook http://gathering.tweakers.net/forum/faq nog eens door, welkom trouwens.

[wildhagen]

Dit is hele foute boel, die hoort daat *absoluut* niet:

code:

C:\windows\system32\system01\svchost.exe

Zou je die file eens naar mij willen mailen (adres in sig en profile)?

[GoiracH]

Jah als ik me muis op die file houd zegt die beschrijving mIRC is dat um ? dan stuur ik hem eerst wel ff

[wildhagen]

GoiracH schreef op 01 mei 2004 @ 11:09:
Jah als ik me muis op die file houd zegt die beschrijving mIRC is dat um ? dan stuur ik hem eerst wel ff

Die beschrijving zegt verder helemaal niks, elke derderangs joker-virusschrijver kan daar wegzetten wat hij maar wil

[Verwijderd]

Oeh, compleet over HT log heengelezen.

Stuuur deze file eens aub: O4 - HKLM\..\Run: [svc] c:\windows\system32\system01\svchost.exe
Zoals al gezegd.
Zie mijn signature voor mail.(submit een virus - onderaan m'n posts)

Zou die url toch nog steeds graag zien trouwens.

[GoiracH]

Nou jah ik heb hem je gestuurt, het virus is volgens mij trouwens niet meer actief op me computer want ik spam de URL niet meer rond op irc

Maar dat gekke mirc dingetje start wel nog op tijdens reboot wat ik normaal nooit had

Bij andere mensen met het virus zat het als verborgen icon in je taskbar maar bij mij dus ook al niet

[wildhagen]

Damn die svchost.exe is wel erg groot, 1.5 MB... te groot om via Kaspersky Online te scannen

McAfee flagged hem niet overigens, net als Symantec. Heb hem ff gesubmit...

Stond er in die dir waar die svchost.exe stond overigens nog meer aan files?

[ Voor 19% gewijzigd door wildhagen op 01-05-2004 11:16 ]

[GoiracH]

Ik heb de Url waar prop ik die? gewoon volledig ?

[Verwijderd]

KAV: svchost.ex is a backdoor Backdoor.mIRC-based
Zal zo kijken - ben ondertussen ook nog met andere zut bezig.

Edit:

GoiracH schreef op 01 mei 2004 @ 11:17:
Ik heb de Url waar prop ik die? gewoon volledig ?

Verwijderd in "mIRC eploit virus"

[ Voor 51% gewijzigd door Verwijderd op 01-05-2004 11:18 ]

[GoiracH]

Dit is het virus *** niet op clickuh http://www.musik-radio.tk/news.php[foei] ****

Live links worden niet echt op prijs gesteld...

[ Voor 35% gewijzigd door Verwijderd op 01-05-2004 11:27 ]

[wildhagen]

En we have a winner. Lijkt weer op de zoveelse exploit van die ITS-bug...

McAfee brult weer meteen met detectie van Exploit-MhtRedit (http://vil.nai.com/vil/content/v_101033.htm)

[GoiracH]

Verwijderd schreef op 01 mei 2004 @ 11:07:
Ik heb exact dezelfde gehad. Mijn pc sloot direct na t openen van die url af.
Dat gaf mij al genoeg wantrouwen, pc opgestart in veilige modus en werd me gevraagt of ik bepaalde dll's wou installeren. Uiteraard niet gedaan, toen pc gescant in veilige modus en vond ie 2x dat virus.
1tje kon ie helemaal nix mee, geen quarantaine/delete.
Toen pc nogmaals opnieuw opgestart in gewone modus en gescant en toen kon ie wel weg.
Voor de zekerheid nog 1x gescant en toen vond me virusscanner nix
Ik gebruik Norton Antivirus 2003

offtopic:
(Met liveupdate tot 2041 )

Dat was de cs_lamer.txt die was zo, maar deze is anders..

[GoiracH]

GoiracH schreef op 01 mei 2004 @ 11:26:
Dit is het virus *** niet op clickuh http://www.musik-radio.tk/news.php[foei] ****

<font color=blue>Live links worden niet echt op prijs gesteld...</font>

quote:
GoiracH schreef op 01 mei 2004 @ 11:17:
Ik heb de Url waar prop ik die? gewoon volledig ?


daarom vroeg ik of die volledig moest... want dat doei k normaal al niet

Uhm moet ik die svhost nu wegpleuren, jah he

[Andre-85]

Ff een vraagje tussendoor. Dat svchost.exe is dat altijd een virus als dat draait
Als ik bij processen kijk heb ik dat ook 3 keer staan (2 x onder SYSTEM en 1 x als Netwerkservice)
Ik heb NAV 2k3 draaien en die vertelt mij dat mijn systeem schoon is
(uiteraard up to date )

[GoiracH]

Er staat nog meer in die map, misschien nog wat dingen wat niet hoort

http://www.ophelders.demon.nl/ClipBoard.jpg

[wildhagen]

GoiracH schreef op 01 mei 2004 @ 11:36:
Er staat nog meer in die map, misschien nog wat dingen wat niet hoort

http://www.ophelders.demon.nl/ClipBoard.jpg

Hmm, die files zou ik ook graag willen hebben, als je het niet erg vind

Ff een vraagje tussendoor. Dat svchost.exe is dat altijd een virus als dat draait

Nee. Zolang die files in \WINNT\System32 (of \Windows\System32) staan zijn het legitieme files, horen bij Windows.

[ Voor 27% gewijzigd door wildhagen op 01-05-2004 11:37 ]

[GoiracH]

Hebberig

[Verwijderd]

Er worden door de svchost file een aantal files gedropt, die update.exe ben ik echter(nog)niet tegengekomen.
Dus ik wil ze ook wel eens zien.

[wildhagen]

Attachment file : system01.rar\MIRC.INI
Scanner Detected: IRC/Flood.gen.b (Trojan)
Action taken : Moved

De rest word niet geflagged.

Meer info http://vil.nai.com/vil/content/v_100250.htm

[GoiracH]

Dus svhost en mirc.ini wegflikkeren ? , dat wil ik nu wel ff onderhand gaan doen hehe

het is opgelost dank u

[ Voor 15% gewijzigd door GoiracH op 01-05-2004 11:59 ]

[Xrenity]

Ik spam zonder dat ik het weet.. zelf zie ik niet dat ik het post, maar ik post het...

voorbeeldje ( niet klikken op de links! )

<Xrenity> http://free.bedroomwebcams.com <-- your kind of thing?
(@Xrenity) check me out!! htpp://mandyy.cjb.net

enz.

Hoe kom ik hier vanaf? Heb al op spy-ware gecheckt, mirc er compleet afgedumpt en er weer op geragt, en ben nu bezig met virus scannen... Wat is dit?

[wildhagen]

Xrenity: beide sites zijn offline, zo schijnt het. Klinkt alsof je idd een of andere trojan hebt draaien.

Heb je een HijackThis log? Dan kunnen we daarin meer zien

[Xrenity]

wildhagen schreef op 02 mei 2004 @ 12:27:
Xrenity: beide sites zijn offline, zo schijnt het. Klinkt alsof je idd een of andere trojan hebt draaien.

Heb je een HijackThis log? Dan kunnen we daarin meer zien

Niet dat ik weet, zal even Windows zoeken draaien
/edit
zometeen even proberen de PC opnieuw te starten, kijken wat er dan gebeurd..
/edit2
geen hijackthis log, waar staat die normaal?

[ Voor 20% gewijzigd door Xrenity op 02-05-2004 12:35 ]

[UTM]

Xrenity schreef op 02 mei 2004 @ 12:30:
[...]

Niet dat ik weet, zal even Windows zoeken draaien
/edit
zometeen even proberen de PC opnieuw te starten, kijken wat er dan gebeurd..
/edit2
geen hijackthis log, waar staat die normaal?

Logfile moet wel aangemaakt worden he Dit dmv van Hijack This. Draai dit programma even en je hebt je log

[ Voor 13% gewijzigd door UTM op 02-05-2004 12:41 ]

[Xrenity]

Sorry voor dubbelpost maar 'loadsh.exe' vraagt om connectie met internet, is dit misschien iets...?

[wildhagen]

Xrenity schreef op 02 mei 2004 @ 12:40:
Sorry voor dubbelpost maar 'loadsh.exe' vraagt om connectie met internet, is dit misschien iets...?

Het is geen file van Windows in ieder geval, en Google levert ook 0 hits op. Ik zou die connectie dus maar even deny-en.

Voor wat betreft HijackThis: lees dit eens door: [rml][ Howto] Spyware scannen en opruimen[/rml]

[Xrenity]

Er zijn wel meer rare bestanden, maar ik weet niet of het erg is allemaal...
staat hier wat raars tussen?

[ Voor 37% gewijzigd door Xrenity op 02-05-2004 12:52 ]

[UTM]

Xrenity schreef op 02 mei 2004 @ 12:49:
Er zijn wel meer rare bestanden, maar ik weet niet of het erg is allemaal...

Post deze "rare" bestanden dan eens, dan kunnen wij bepalen of ze erg zijn of niet

[Xrenity]

w03f schreef op 02 mei 2004 @ 12:51:
[...]

Post deze "rare" bestanden dan eens, dan kunnen wij bepalen of ze erg zijn of niet

in de post boven je heb ik een screen toegevoegt Als je even zou willen kijken, alvast bedankt

[wildhagen]

Xrenity: helaas kunnen we moeilijk oordelen over deze lijst, het is handiger om een Hijackthislog te hebben, dat zegt veel meer. Hoe je aan die log komt? Check de link die ik in mijn vorige reply gaf

[UTM]

wildhagen schreef op 02 mei 2004 @ 12:54:
Xrenity: helaas kunnen we moeilijk oordelen over deze lijst, het is handiger om een Hijackthislog te hebben, dat zegt veel meer. Hoe je aan die log komt? Check de link die ik in mijn vorige reply gaf

Idd, HJ log we need
_{w03f in "mIRC eploit virus"}
DIt omdat bij HJ een betere samenvattig gegeven wordt van alles wat er draait en we zo gelijk bepaalde "niet zo lieve" bestanden eruit kunnen vissen

[ Voor 18% gewijzigd door UTM op 02-05-2004 12:56 ]

[Xrenity]

http://home.kabelfoon.nl/~tvkester/hijackthis.log

[wildhagen]

Dit is een een zoveelste variant van Spybot (heb hem vorige week zelf nog gezien...), mag weg:

code:

O4 - HKLM\..\Run: [systray] C:\WINDOWS\System32\a.exe

Dit is fout, deze twee files zou ik graag willen hebben, wil je die eens mailen (adres in profile en sig):

code:

O4 - HKCU\..\Run: [Svchost] C:\WINDOWS\System\svchost.exe
O4 - HKLM\..\Run: [Windows Shell Command] loadsh.exe

Deze mogen weg:

code:

O4 - HKLM\..\Run: [RunDLL] rundll32.exe "C:\WINDOWS\System32\bridge.dll",Load

[ Voor 30% gewijzigd door wildhagen op 02-05-2004 13:04 ]

[UTM]

2 files bevallen mij niet echt:

code:

O4 - HKLM\..\Run: [systray] C:\WINDOWS\System32\a.exe

Maar die gaf wildhagen ook al aan
En:

code:

C:\WINDOWS\system32\LEXBCES.EXE

Die klinkt me niet helemaal bekend in de oren

[wildhagen]

w03f schreef op 02 mei 2004 @ 13:05:

En:

code:

C:\WINDOWS\system32\LEXBCES.EXE

Die klinkt me niet helemaal bekend in de oren

Is van Lexmark-printers, er staat er nog een in de lijst, ook iets met LEX ervoor.

Die zijn wel OK.

[wildhagen]

Xrenity: die svchost.exe heb ik ontvangen, word door McAfee niet geflagged, ik ga hem zo even submitten. Die hoort namelijk niet in \Windows\System te staan, maar in\Windows\System32, en veel te kleiner (die van jouw mail is 223 kB, de goede van MS is tussen de 10 en 20 kB (afhankelijk van Windows-versie etc).

Die andere file (loadsh.exe) heb ik niet gehad, wil je die misschien ook nog even mailen?

[Xrenity]

heb ze allebei vertsuurd naar je wildhagen, loadsh pas net
mag die svchost er nou af?

[ Voor 19% gewijzigd door Xrenity op 02-05-2004 13:12 ]

[wildhagen]

Xrenity schreef op 02 mei 2004 @ 13:11:
heb ze allebei vertsuurd naar je wildhagen, loadsh pas net
mag die svchost er nou af?

Tnx, die werd ook niet door McAfee geflagged, ook even gesubmit.

Kaspersky Online meld dit: loadsh.exe Infected: Backdoor.IRCBot.gen

En ja, beide files mogen dus weg ja

[ Voor 7% gewijzigd door wildhagen op 02-05-2004 13:13 ]

[Xrenity]

loadsh is eraf en, svchost wil er niet af

[wildhagen]

Xrenity schreef op 02 mei 2004 @ 13:16:
loadsh is eraf en, svchost wil er niet af

Gewoon even in HijackThis aanvinken en kiezen voor Fixen. Na een reboot hoort hij er dan wel af te zijn.

[Xrenity]

Ik ben er nog steeds niet vanaf
/edit
loadsh komt steeds terug, net verwijderd en nog maar ns proberen
/edit 2
hij komt gewoon keer op keer terug, wat ik ook doe
Iemand ideeën?

[ Voor 80% gewijzigd door Xrenity op 02-05-2004 13:44 ]

[Xrenity]

Iemand die weet hoe ik loadsh voorgoed van mn PC kan verbannen?

[Verwijderd]

Xrenity schreef op 02 mei 2004 @ 13:53:
Iemand die weet hoe ik loadsh voorgoed van mn PC kan verbannen?

Het is niet de bedoeling dat je zo snel topics kickt..
Lees http://gathering.tweakers.net/forum/faq nog eens door.

[Xrenity]

Verwijderd schreef op 02 mei 2004 @ 13:59:
[...]

Het is niet de bedoeling dat je zo snel topics kickt..
Lees http://gathering.tweakers.net/forum/faq nog eens door.

Sorry, maar ik wil er echt vanaf, de halve dag is al weer verpest door zo'n rot dingetje
Maar goed, alvast bedankt voor alle hulp tot nu toe, nu alleen nog even net dat laatste afmaken

[UTM]

Xrenity schreef op 02 mei 2004 @ 13:53:
Iemand die weet hoe ik loadsh voorgoed van mn PC kan verbannen?

Het verwijderen van dat bestand heeft imo vrij weinig nut omdat het geschreven wordt door een ander programma op je computer. Dus als jij het verwijderd, en je boot je computer ziet dat programma dat die file mist en maakt hij dus een nieuwe uit. Je moet dus de bron opzoeken en deze verwijderen

[ Voor 3% gewijzigd door UTM op 02-05-2004 14:08 ]

[Xrenity]

w03f schreef op 02 mei 2004 @ 14:08:
[...]

Het verwijderen van dat bestand heeft imo vrij weinig nut omdat het geschreven wordt door een ander programma op je computer. Dus als jij het verwijderd, en je boot je computer ziet dat programma dat die file mist en maakt hij dus een nieuwe uit. Je moet dus de bron opzoeken en deze verwijderen

Dan ben ik weer benieuwd wat de bron ervan is...
/edit
ben ervan af Heb allemaal processen beeindigt, en nu heb ik nergens last meer van
Bedankt voor jullie hulp!

[ Voor 13% gewijzigd door Xrenity op 02-05-2004 16:32 ]

[GoiracH]

edit: del

[ Voor 88% gewijzigd door GoiracH op 02-05-2004 23:07 ]

[Trancentral]

lol ik had het toevallig vandaag ook

Iemand die ik kende zei iets in een channel met daarvoor een ebay.tk link , ik dus er op klikken en toen ik dat deed dacht ik kuttttt....... snel afsluiten die hap. Maar het was al te laat , mirc sluitte automatisch. Lekker is dat als je een fully uptodate norton anti virus 2004 hebt Maarja ik dus online virusscannen etc. Hij vond totaal geen virussen.
Ik dus opgelucht , en weer lekker terug in irc , na ongeveer 15 min was het weer raak lol. Opeens ging ik naar een onbekende irc server connecten en toen dacht ik kut , dus snel kabelmodem uit en toen kwam dit in beeld :



Daarna werd mirc 300+ keer in het geheugen geladen , en heb ik gelukkig nog kunnen system restoren naar een backup van gisteren.

Erg vaag allemaal

[elevator]

TranCentral,

Hoe heb je precies gerestored naar een backup?
Zoals je zelf ook al achter gekomen bent is Norton niet echt een ster in alle virussen te vangen, mocht je dus enkel "System restore" gebruikt hebben zou ik je aanraden om ook eens met een andere virus scanner te scannen om zeker te weten dat je geen virussen hebt

[Trancentral]

elevator schreef op 09 mei 2004 @ 09:45:
TranCentral,

Hoe heb je precies gerestored naar een backup?
Zoals je zelf ook al achter gekomen bent is Norton niet echt een ster in alle virussen te vangen, mocht je dus enkel "System restore" gebruikt hebben zou ik je aanraden om ook eens met een andere virus scanner te scannen om zeker te weten dat je geen virussen hebt

Heel droog gewoon in veilige modus en dan bij systeemherstel een iets oudere backup genomen. Ik had natuurlijk nog wel in veilige modus eerst gevirusscanned , later toen ik weer terug kwam in Windows ff online gevirusscanned maar daar vond ie ook weer niets.
Als extra beveiliging heb ik ook maar even Tiny firewall geinstalleerd , maar die ziet ook geen vreemde processes..

Erg vreemd allemaal