[XP + Malware] IRC.Trojan detected, niet gevonden in map *

[Verwijderd]

Hallo, ik heb een probleempje.

Ik krijg nu telkens een Virus ALert met het volgende bericht:

Norton Antivirus has detected a virus on your computer
Object Name: C:\WINDOWS\System32\f0r0r\redroses
Virus Name: IRC Trojan
Action Taken: Access to the file was denied

Als ik dan op ok klik komt er het volgende:

Norton Antivirus has detected a virus on your computer
Object Name: C:\WINDOWS\System32\f0r0r\redroses
Virus Name: IRC Trojan
Action Taken:Unable to repair this file.

Ik heb ook al gescnanned met AdAware en Bazooka en ook een Full System Scan met Norton. Alles is up to date en nog kunnen ze niks vinden!

Ik heb ook al dat Trojan Topic gezien, maar daar zag ik niks interessants of bruikbaars.

Kan iemand me helpen hoe ik die melding weg kan krijgen ??

[blackd]

IRC Trojan is blijkbaar een generic sig:
http://securityresponse.s...venc/data/irc.trojan.html
dus echt iets specifieks kan je er niet over zeggen, op basis van de resultaten van Norton.

Kun je de genoemde files eens door de Jotti scan halen: http://virusscan.jotti.dhs.org

[Verwijderd]

blackd schreef op 20 mei 2004 @ 11:15:
IRC Trojan is blijkbaar een generic sig:
http://securityresponse.s...venc/data/irc.trojan.html
dus echt iets specifieks kan je er niet over zeggen, op basis van de resultaten van Norton.

Kun je de genoemde files eens door de Jotti scan halen: http://virusscan.jotti.dhs.org

nou het gekke is, die map f0r0r/rehorses die kan ik nergens vinden. dus ik zou niet weten eigenlijk welke bestanden ik door de Jotti scan moet halen

ook heb ik dus al die removal tool geprobeerd die in je link van symantec staat beschreven, maar dat heeft ook niks geholpen

[wildhagen]

Heb je ook al eens met HijackThis gekeken of er rare dingen draaien/gestart worden?

Evt kan je de log hiervan posten, in code tags, maar houd je dan wel aan de richtlijnen zoals beschreven in de policy.

[Verwijderd]

wildhagen schreef op 20 mei 2004 @ 12:18:
Heb je ook al eens met HijackThis gekeken of er rare dingen draaien/gestart worden?

Evt kan je de log hiervan posten, in code tags, maar houd je dan wel aan de richtlijnen zoals beschreven in de policy.

waar kan ik dit programma krijgen? dat HijackThis?
en waar kan ik de richtlijnen vinden?

[wildhagen]

Verwijderd schreef op 20 mei 2004 @ 12:25:
[...]


waar kan ik dit programma krijgen? dat HijackThis?
en waar kan ik de richtlijnen vinden?

Dat word allemaal uitgelegd in [rml][ Howto] Spyware scannen en opruimen[/rml]

Daar staan ook wat andere stappen die je nog kan nemen om het probleem op te lossen

[blackd]

http://www.dshield.org/pi...sions/2004-May/007977.php
Looks bad.

[Verwijderd]

wildhagen schreef op 20 mei 2004 @ 12:30:
[...]

Dat word allemaal uitgelegd in [rml][ Howto] Spyware scannen en opruimen[/rml]

Daar staan ook wat andere stappen die je nog kan nemen om het probleem op te lossen

damn dat HijackThis kan ik niet downloaden

[wildhagen]

Verwijderd schreef op 20 mei 2004 @ 12:38:
[...]


damn dat HijackThis kan ik niet downloaden

Hmm, site lijkt idd down ja.

Heb hem even gemirrored: http://www.xs4all.nl/~jurgenjw/zooi/HijackThis.exe

[Verwijderd]

Dit is de LOG-file

Logfile of HijackThis v1.97.7
Scan saved at 12:55:31, on 20-5-2004
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe
E:\Program Files\Norton AntiVirus\AdvTools\NPROTECT.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\MsPMSPSv.exe
C:\WINDOWS\Explorer.EXE
D:\Program Files\Alcatel\SpeedTouch USB\Dragdiag.exe
C:\Program Files\Common Files\Symantec Shared\ccApp.exe
E:\Program Files\NetLimiter\NetLimiter.exe
E:\Program Files\NetPumper\NetPumperIEProxy.exe
C:\Program Files\Messenger Plus! 2\MsgPlus.exe
C:\Program Files\Hewlett-Packard\HP Software Update\HPWuSchd.exe
E:\Program Files\Winamp5\winampa.exe
E:\Program Files\Hercules\Audio\Hercules DJ Console\DJConsoleMixer.exe
C:\Program Files\Roxio\Easy CD Creator 6\DragToDisc\DrgToDsc.exe
C:\Program Files\Roxio\Easy CD Creator 6\AudioCentral\RxMon.exe
C:\Program Files\Real\RealPlayer\RealPlay.exe
C:\Program Files\QuickTime\qttask.exe
C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb08.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe
C:\WINDOWS\System32\RUNDLL32.EXE
C:\WINDOWS\System32\rundll32.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\MSI\Core Center\CoreCenter.exe
E:\Program Files\WinZip\WZQKPICK.EXE
C:\WINDOWS\System32\devldr32.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\Program Files\Trust mouse utility\1.0\mouse32a.exe
E:\Program Files\Norton AntiVirus\navapsvc.exe
C:\Program Files\Roxio\Easy CD Creator 6\AudioCentral\Playlist.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Internet Explorer\iexplore.exe
E:\PROGRA~1\NETPUM~1\NETPUM~1.EXE
C:\Program Files\Save\Save.exe
C:\Documents and Settings\Aalbers\Bureaublad\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.id-t.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,SearchAssistant = http://searchbar.findthewebsiteyouneed.com/
O1 - Hosts: 213.222.11.11 auto.search.msn.com
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - E:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: (no name) - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - E:\Program Files\Norton AntiVirus\NavShExt.dll
O2 - BHO: (no name) - {DE614603-6320-4046-A7A7-6A69CEC26F14} - C:\WINDOWS\mslagent\4b_1,0,0,8_mslagent.dll (file missing)
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - E:\Program Files\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
O4 - HKLM\..\Run: [SpeedTouch USB Diagnostics] "D:\Program Files\Alcatel\SpeedTouch USB\Dragdiag.exe" /icon
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [ccRegVfy] "C:\Program Files\Common Files\Symantec Shared\ccRegVfy.exe"
O4 - HKLM\..\Run: [Advanced Tools Check] E:\PROGRA~1\NORTON~1\AdvTools\ADVCHK.EXE
O4 - HKLM\..\Run: [NetLimiter] E:\Program Files\NetLimiter\NetLimiter.exe /s
O4 - HKLM\..\Run: [NetPumper] "E:\Program Files\NetPumper\NetPumperIEProxy.exe"
O4 - HKLM\..\Run: [MessengerPlus2] "C:\Program Files\Messenger Plus! 2\MsgPlus.exe"
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\Hewlett-Packard\HP Software Update\HPWuSchd.exe
O4 - HKLM\..\Run: [WinampAgent] E:\Program Files\Winamp5\winampa.exe
O4 - HKLM\..\Run: [FLMTRUSTMOUSE] C:\Program Files\Trust mouse utility\1.0\mouse32a.exe
O4 - HKLM\..\Run: [DJ Console] E:\Program Files\Hercules\Audio\Hercules DJ Console\DJConsoleMixer.exe -hide
O4 - HKLM\..\Run: [WinDriv32] C:\WINDOWS\System32\WinDriv32.exe
O4 - HKLM\..\Run: [WhenUSave] "C:\Program Files\Save\Save.exe"
O4 - HKLM\..\Run: [RoxioEngineUtility] "C:\Program Files\Common Files\Roxio Shared\System\EngUtil.exe"
O4 - HKLM\..\Run: [RoxioDragToDisc] "C:\Program Files\Roxio\Easy CD Creator 6\DragToDisc\DrgToDsc.exe"
O4 - HKLM\..\Run: [RoxioAudioCentral] "C:\Program Files\Roxio\Easy CD Creator 6\AudioCentral\RxMon.exe"
O4 - HKLM\..\Run: [RealTray] C:\Program Files\Real\RealPlayer\RealPlay.exe SYSTEMBOOTHIDEPLAYER
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [OfficeGuardUI] C:\WINDOWS\System32\smvss.exe
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb08.exe
O4 - HKLM\..\Run: [DeviceDiscovery] C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe
O4 - HKLM\..\Run: [89B7B90A] C:\WINDOWS\System32\kfyjohvaa.exe
O4 - HKLM\..\Run: [rn4d] C:\WINDOWS\System32\f0r0r\kolder.exe C:\WINDOWS\System32\f0r0r\dirote.exe
O4 - HKLM\..\RunServices: [8379D59B] C:\WINDOWS\System32\kfyjohvaa.exe
O4 - HKCU\..\Run: [MessengerPlus2] "C:\Program Files\Messenger Plus! 2\MsgPlus.exe" /WinStart
O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NVMCTRAY.DLL,NvTaskbarInit
O4 - HKCU\..\Run: [mslagent] C:\WINDOWS\mslagent\mslagent.exe
O4 - HKCU\..\Run: [WinDriv32] C:\WINDOWS\System32\WinDriv32.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - Startup: Trust Mouse Utility.lnk = C:\Program Files\Trust mouse utility\1.0\mouse32a.exe
O4 - Global Startup: Adobe Gamma Loader.exe.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: CoreCenter.lnk = C:\Program Files\MSI\Core Center\CoreCenter.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: WinZip Quick Pick.lnk = E:\Program Files\WinZip\WZQKPICK.EXE
O8 - Extra context menu item: &Google Search - res://c:\program files\google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: Backward &Links - res://c:\program files\google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Cac&hed Snapshot of Page - res://c:\program files\google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: Download with NetPumper - E:\Program Files\NetPumper\AddUrl.htm
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Si&milar Pages - res://c:\program files\google\GoogleToolbar1.dll/cmsimilar.html
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Messenger (HKLM)
O16 - DPF: {093F9CF8-0DE1-491C-95D5-5EC257BD4CA3} - http://akamai.downloadv3.com/binaries/IA/dtc32_EN_XP.cab
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedi...e/cabs/director/swdir.cab
O16 - DPF: {1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB} - http://ak.imgfarm.com/ima...alInitialSetup1.0.0.6.cab
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Besturing) - http://virusscan.zdnet.nl/housecall/xscan53.cab
O16 - DPF: {841A9192-5690-11D4-A258-0040954A01BE} - http://dialxs.nl/install/dialxs.ocx
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.../MessengerStatsClient.cab
O16 - DPF: {917623D1-D8E5-11D2-BE8B-00104B06BDE3} (CamImage Class) - http://195.18.69.102/activex/AxisCamControl.cab
O16 - DPF: {9A54032D-31F7-400D-B184-83B33BDE65FA} (MSN File Upload Control) - http://sc.groups.msn.com/controls/FileUC/MsnUpld.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.m...uctl.CAB?38016.7402314815
O16 - DPF: {A3009861-330C-4E10-822B-39D16EC8829D} (CRAVOnline Object) - http://www.ravantivirus.com/scan/ravonline.cab
O16 - DPF: {C3DFA998-A486-11D4-AA25-00C04F72DAEB} (MSN Photo Upload Tool) - http://sc.groups.msn.com/controls/PhotoUC/MsnPUpld.cab
O16 - DPF: {CEFB7B49-9652-464F-8AFD-A577C0500F39} (EGP2ECOM Class) - http://akamai.downloadv3....UTH_1009_1035_pack_XP.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedi...ve/cabs/flash/swflash.cab
O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{DA2A104C-2ED1-4C6B-9773-BED2BD352A91}: NameServer = 194.134.5.5 194.134.0.97

[Verwijderd]

code:

O4 - HKCU\..\Run: [mslagent] C:\WINDOWS\mslagent\mslagent.exe
O4 - HKCU\..\Run: [WinDriv32] C:\WINDOWS\System32\WinDriv32.exe
O4 - HKLM\..\Run: [89B7B90A] C:\WINDOWS\System32\kfyjohvaa.exe
O4 - HKLM\..\Run: [rn4d] C:\WINDOWS\System32\f0r0r\kolder.exe C:\WINDOWS\System32\f0r0r\dirote.exe
O4 - HKLM\..\Run: [WhenUSave] "C:\Program Files\Save\Save.exe"

Dat is nogal wat.
Probeer al die files eens online te scannen en post de output hier.

Een format is waarschijnlijk verstandiger btw..

Titel wat aangepast.

[ Voor 9% gewijzigd door Verwijderd op 20-05-2004 13:03 ]

[Verwijderd]

Verwijderd schreef op 20 mei 2004 @ 13:01:

code:

O4 - HKCU\..\Run: [mslagent] C:\WINDOWS\mslagent\mslagent.exe
O4 - HKCU\..\Run: [WinDriv32] C:\WINDOWS\System32\WinDriv32.exe
O4 - HKLM\..\Run: [89B7B90A] C:\WINDOWS\System32\kfyjohvaa.exe
O4 - HKLM\..\Run: [rn4d] C:\WINDOWS\System32\f0r0r\kolder.exe C:\WINDOWS\System32\f0r0r\dirote.exe
O4 - HKLM\..\Run: [WhenUSave] "C:\Program Files\Save\Save.exe"

Dat is nogal wat.
Probeer al die files eens online te scannen en post de output hier.

Een format is waarschijnlijk verstandiger btw..

Titel wat aangepast.

Hoe kan ik deze scannen ?
C:\WINDOWS\System32\f0r0r\kolder.exe C:\WINDOWS\System32\f0r0r\dirote.exe
want die map f0r0r bestaat dus niet

[blackd]

Verwijderd schreef op 20 mei 2004 @ 13:06:
want die map f0r0r bestaat dus niet

die bestaat wel, maar zie je niet, vanwege een rootkit, zie de link die ik hiervoor heb gepost.
Met iets als knoppix kun je de map wel zien, schijnt (aldus die link).

[Verwijderd]

Verwijderd schreef op 20 mei 2004 @ 13:06:
[...]


Hoe kan ik deze scannen ?
C:\WINDOWS\System32\f0r0r\kolder.exe C:\WINDOWS\System32\f0r0r\dirote.exe
want die map f0r0r bestaat dus niet

Zie bijv. de link die blackd gaf.
Maar het ging meer om de andere files..

Ik hoop trouwens niet dat je nog van plan bent deze windowsinstall nog verder te gaan gebruiken...

[Verwijderd]

Verwijderd schreef op 20 mei 2004 @ 13:10:
[...]

Zie bijv. de link die blackd gaf.
Maar het ging meer om de andere files..

Ik hoop trouwens niet dat je nog van plan bent deze windowsinstall nog verder te gaan gebruiken...

Dus het beste kan ik dan windows opnieuw installeren ??

[wildhagen]

Verwijderd schreef op 20 mei 2004 @ 13:14:
[...]


Dus het beste kan ik dan windows opnieuw installeren ??

Als er idd een rootkit op staat, en daar lijkt het sterk op, is het antwoord zeer kort en erg krachtig: ja.

Het is overigens niet alleen een rootkit die ik zie staan, ik zie ook nog een dialer staan, minimaal één virus (smvss.exe) en minstens twee stukken spyware...

[ Voor 24% gewijzigd door wildhagen op 20-05-2004 13:17 ]

[Verwijderd]

Volgens mij zit er idd een rootkit op, omdat ik die map MSLagent ook niet kan vinden

Dan wordt het dus iid op nieuw installeren

virus kan wel kloppt, kreeg gisteren 2 virus waarschuwingen, maar die zijn dus verwijdert gisteren. eveneens als die dialer volgens mij. ik weet nu niks meer zeker

[ Voor 37% gewijzigd door Verwijderd op 20-05-2004 13:19 ]

[wildhagen]

Verwijderd schreef op 20 mei 2004 @ 13:18:

virus kan wel kloppt, kreeg gisteren 2 virus waarschuwingen, maar die zijn dus verwijdert gisteren. eveneens als die dialer volgens mij. ik weet nu niks meer zeker

Zijn dus nog niet verwijderd, want dit is het virus:

code:

O4 - HKLM\..\Run: [OfficeGuardUI] C:\WINDOWS\System32\smvss.exe

Dit is de dialer:

code:

O16 - DPF: {841A9192-5690-11D4-A258-0040954A01BE} - http://dialxs.nl/install/dialxs.ocx

En dit is 1 stuk spyware (de tweede zie ik ff niet meer, zal me wel vergist hebben):

code:

O4 - HKLM\..\Run: [WhenUSave] "C:\Program Files\Save\Save.exe"

[Verwijderd]

En dit is 1 stuk spyware (de tweede zie ik ff niet meer, zal me wel vergist hebben):

code:

O4 - HKLM\..\Run: [WhenUSave] "C:\Program Files\Save\Save.exe"

[/quote]
jah die spyware dat wist ik. die zit namelijk bij netpumper in en als je die verwijdert werkt netpumper niet meer goed

[Verwijderd]

albert_gerritsen:
Ik splits jouw post af naar een nieuw topic, aangezien IRC.Trojan een generic name is en jij nu wel een over een specifieke backdoorname beschikt en we daarom kunnen concluderen dat het hier om twee heel verschillende IRC.Trojans gaat.

Dit is dan ook direct de 'sluitmessage' - gaarna dat alleen nog de TS op zijn probleem reageert, anderen mogen een nieuw topic openen.