W32.IRCBot met steeds terugkerende regkey

[Verwijderd]

Volgens Norton is "qmbxmj.dll" het enige bestand geinfecteerd door het welbekende W32.IRCBot.

Nu staat deze dll in het register/run zoals je kunt zien, maar eenmaal verwijderd uit het register en opnieuw opgestart verschijnt hij weer doodleuk in het register.

Wat het verwijderen van de dll dus onmogelijk maakt

[wildhagen]

Dat ding bij "Microsoft OEM" is volgens mij ook niet helemaal fris hoor. En als ik die al zie vraag ik me af wat er nog wel meer niet fris is op je bak

Zou je me die smvss.exe eens willen mailen (adres in sig of profile).

Een online scan met een andere virusscanner kan ook wel eens helpen. Al geprobeerd?

[Verwijderd]

Hmm, dat ziet er bij mij meer uit als een Afcore.
Zou je de file eens kunnen sturen naar adres in sig? (Alleen om dat even te checken, niet heel nodig waarschijnlijk).

Probeer het volgende eens in een command prompt.

code:

rundll32 c:\windows\system32\qmbxmj.dll, Uninstall

Welke melding krijg je hierop?

Edit: Wat wildhagen ook nog zegt...
Zou je die betreffende file(ook)kunnen submitten?

[ Voor 13% gewijzigd door Verwijderd op 01-05-2004 11:25 ]

[Verwijderd]

De 2 bestanden zijn verstuurt naar beide

Probeer het volgende eens in een command prompt.

code:

rundll32 c:\windows\system32\qmbxmj.dll, Uninstall

Welke melding krijg je hierop?

Blijft hier al 4 minuten op hangen..

[Verwijderd]

Verwijderd schreef op 01 mei 2004 @ 11:40:
De 2 bestanden zijn verstuurt naar beide


[...]


Blijft hier al 4 minuten op hangen..
[afbeelding]

Dat dacht ik al, je kan op OK klikken.
Het is dus een Afcore variant, Backdoor.Afcore.t om precies te zijn.
Andere file wordt nog niet geflagged, moet ik nog naar kijken.

[wildhagen]

Attachment file : unnamed.zip\QMBXMJ.DLL
Scanner Detected: CoreFlood.dll (Trojan)
Action taken : Moved

SMVSS.EXE = W32/Dedler.worm

Meer info:

Coreflood : http://vil.nai.com/vil/content/v_100312.htm

W32/Dedler.worm: http://vil.nai.com/vil/content/v_124961.htm