[Virus] Trojan.Downloader.Agent.AN, hoe te verwijderen

[wildhagen]

*schaam* *schaam*

Ja, hoor, het is zover. Vraag me niet *HOE* ik eraan kom, want Joost mag het weten, en als hij het weet mag hij het mij melden, want ik vind het ultra-vaag....

Uiteraard heb ik zaken als Ad-Aware gedraaid en Vriend Google gebruikt, maar zonder resultaat, anders werd hier dit topic niet gepost natuurlijk (de meesten kennen me hier wel denk ik zo).

Jotti-scan (http://virusscan.jotti.dhs.org/) leverde als resultaat op (o.a.) als virusnaam "TrojanDownloader.Win32.Agent.an" (Kaspersky's naamgeving). Ik kan hier op Google NUL hits over vinden, en helaas vind ik de zoekfunctie van KAV's virusdatabase nogal een draak, ik heb er nooit mee overweg gekund.

Mijn eigen virusscanner (McAfee Enterprise 8.0i beta2, DAT 4367, engine 4.3.20) vind hem niet. Na submit bij NAI word hij als "Heuristic detection: New Malware.X" genoemd en naar een "research analyst geforward". Je raad het al: de NAI site meld niets over deze melding

Ik heb de entry uiteraard met HT al weggegooid, ik ben ook niet helemaal van gisteren. Maar helaas, de entry komt steeds terug.

Dit is de log:

code:

Logfile of HijackThis v1.97.7
Scan saved at 21:03:57, on 18-6-2004
Platform: Unknown Windows (WinNT 5.02.3790)
MSIE: Internet Explorer v6.00 (6.00.3790.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
D:\Program Files\Norton Internet Security\NISUM.EXE
D:\PROGRA~1\APC\POWERC~1\APC\POWERC~1\agent\pbeagent.exe
D:\PROGRA~1\APC\POWERC~1\APC\POWERC~1\server\PBESER~1.EXE
D:\Program Files\Norton Internet Security\ccPxySvc.exe
C:\Program Files\Cisco Systems\VPN Client\cvpnd.exe
C:\WINDOWS\System32\svchost.exe
C:\PROGRA~1\Iomega\System32\ActivityDisk.exe
D:\Program Files\Network Associates\Common Framework\FrameworkService.exe
D:\Program Files\Network Associates\VirusScan\Mcshield.exe
D:\Program Files\Network Associates\VirusScan\VsTskMgr.exe
D:\Program Files\VMware\VMware Workstation\vmware-authd.exe
C:\WINDOWS\System32\vmnat.exe
C:\WINDOWS\system32\atlva32.exe
C:\WINDOWS\system32\Dfssvc.exe
C:\WINDOWS\System32\vmnetdhcp.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\svchost.exe
D:\Program Files\Motherboard Monitor 5\MBM5.EXE
C:\Program Files\Common Files\Symantec Shared\ccApp.exe
D:\Program Files\QuickTime\qttask.exe
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
D:\Program Files\Network Associates\VirusScan\SHSTAT.EXE
D:\Program Files\Network Associates\Common Framework\UpdaterUI.exe
C:\Program Files\Common Files\Network Associates\TalkBack\TBMon.exe
D:\Program Files\Babylon\Babylon.exe
D:\Program Files\WinZip\WZQKPICK.EXE
D:\Program Files\SEC\Natural Color\NaturalColorLoad.exe
D:\Program Files\KeirNet\K9\K9.exe
D:\Program Files\Microsoft Office\OFFICE11\OUTLOOK.EXE
D:\Program Files\mozilla.org\Mozilla\mozilla.exe
D:\Program Files\BOINC\boinc_gui.exe
C:\WINDOWS\system32\cmd.exe
g:\HijackThis.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Program Files\Internet Explorer\IEXPLORE.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.nl/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = res://shdoclc.dll/hardAdmin.htm
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = http://www.google.nl/
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {B849DA45-86A4-E0DA-DD53-02A7363DFCC4} - C:\WINDOWS\winoa32.dll
O3 - Toolbar: @msdxmLC.dll,-1@1033,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\system32\msdxm.ocx
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [MBM 5] "D:\Program Files\Motherboard Monitor 5\MBM5.EXE"
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [ccRegVfy] "C:\Program Files\Common Files\Symantec Shared\ccRegVfy.exe"
O4 - HKLM\..\Run: [QuickTime Task] "D:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [ShStatEXE] "D:\Program Files\Network Associates\VirusScan\SHSTAT.EXE" /STANDALONE
O4 - HKLM\..\Run: [McAfeeUpdaterUI] "D:\Program Files\Network Associates\Common Framework\UpdaterUI.exe" /StartedFromRunKey
O4 - HKLM\..\Run: [Network Associates Error Reporting Service] "C:\Program Files\Common Files\Network Associates\TalkBack\TBMon.exe"
O4 - HKLM\..\Run: [UserFaultCheck] %systemroot%\system32\dumprep 0 -u
O4 - HKCU\..\Run: [Mozilla Quick Launch] "D:\Program Files\mozilla.org\Mozilla\Mozilla.exe" -turbo
O4 - HKCU\..\Run: [Babylon Translator] D:\Program Files\Babylon\Babylon.exe
O4 - HKCU\..\Run: [RssReader] D:\Program Files\RssReader\RssReader.exe
O4 - Startup: Launch K9.lnk = D:\Program Files\KeirNet\K9\K9.exe
O4 - Startup: NaturalColorLoad.lnk = ?
O4 - Global Startup: BOINC.lnk = D:\Program Files\BOINC\boinc_gui.exe
O4 - Global Startup: Cisco Systems VPN Client.lnk = C:\Program Files\Cisco Systems\VPN Client\ipsecdialer.exe
O4 - Global Startup: NaturalColorLoad.lnk = ?
O4 - Global Startup: WinZip Quick Pick.lnk = D:\Program Files\WinZip\WZQKPICK.EXE
O8 - Extra context menu item: E&xport to Microsoft Excel - res://D:\PROGRA~1\MICROS~1\OFFICE11\EXCEL.EXE/3000
O9 - Extra 'Tools' menuitem: Sun Java Console (HKLM)
O9 - Extra button: Research (HKLM)
O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {3E68E405-C6DE-49FF-83AE-41EE9F4C36CE} (Office Update Installation Engine) - http://office.microsoft.com/officeupdate/content/opuc.cab
O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://software-dl.real.com/296159719cada9a2bc18/netzip/RdxIE601.cab
O16 - DPF: {597C45C2-2D39-11D5-8D53-0050048383FE} (OPUCatalog Class) - http://office.microsoft.com/productupdates/content/opuc.cab
O16 - DPF: {62475759-9E84-458E-A1AB-5D2C442ADFDE} - http://a1540.g.akamai.net/7/1540/52/20031216/qtinstall.info.apple.com/mickey/us/win/QuickTimeInstaller.exe
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/0fb5e03023def1/housecall.antivirus.com/housecall/xscan53.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?37898.0514351852
O16 - DPF: {A3009861-330C-4E10-822B-39D16EC8829D} (CRAVOnline Object) - http://www.rav.ro/scan/ravonline.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: {EB387D2F-E27B-4D36-979E-847D1036C65D} (QDiagHUpdateObj Class) - http://h30043.www3.hp.com/hpdj/en/check/qdiagh.cab?316
O16 - DPF: {F2A84794-EE6D-447B-8C21-3BA1DC77C5B4} (SDKInstall Class) - http://activex.microsoft.com/activex/controls/sdkupdate/sdkinst.cab
O16 - DPF: {FE8287E9-5F43-11D3-ABCA-00105A5C1F46} (HouseCall Control) - http://www.housecall.nl/housecall/xscan4.cab

Het gaat dus om die BHO-regel met winoa32.dll erin. De rest is volledig legitiem, voor zover ik kan beoordelen...

Heeft iemand nog ideeën, suggesties of links? Ik vind dit wel heel lullig... probeer altijd heel goed uit te kijken en nu ben ik zelf slachtoffer geworden

Resultaat van dit onding is namelijk dat er in IE een # voor elke URL word gezet waardoor deze dus niet kan resolven. Mogelijk doet hij nog meer, maar dat heb ik (nog) niet kunnen achterhalen...

[Verwijderd]

n helaas vind ik de zoekfunctie van KAV's virusdatabase nogal een draak, ik heb er nooit mee overweg gekund.

Pffff

Hoe ben je op die dll gestuit?
Heeft hij kans gekregen iets te downloaden?

Ik neem aan dat je de runnende progs hebt bekeken?
Die cmd draait bewust?

Titel klein beetje bijgewerkt, dat het vreemd is geloven we wel.

[wildhagen]

Verwijderd schreef op 18 juni 2004 @ 21:27:
[...]

Hoe ben je op die dll gestuit?

Nou, ik kwam er dus achter doordat ik iets met IE wilde op zoeken en opeens een # voor alle URL's kreeg. Toen ben ik verder gaan zoeken, en kwam ik dus hierop uit.

Hoe hij op mijn systeem is gekomen, is me dus echt een raadsel... ik heb géén rare sites bezocht, géén attachments geopend, niets nieuws geinstalleerd etc. Gisteren deed ik ook een HT-scan (doe ik regelmatig), en toen was dit nog niet te zien. File-date van die file is overigens van 5 april 2004, 91 kB groot.

Heeft hij kans gekregen iets te downloaden?

Niet voor zover ik tot nu toe heb kunnen vaststellen. Full system scan leverde ook niets op, firewall ook geen rare pogingen oid.

Ik neem aan dat je de runnende progs hebt bekeken?
Die cmd draait bewust?

Die cmd stond idd bewust open ja. Ik heb alle programma's uit die log bekeken en ze zijn allemaal legitiem.

Edit:
GRRRRRRRRRR... die atlva32.exe is dus óók dit virus... maar waar word die <censuur> ding dan in Jezusnaam gestart????

[ Voor 7% gewijzigd door wildhagen op 18-06-2004 21:33 ]

[wildhagen]

Goddamn....... ik denk dat ik gehacked bent. Sterker nog: ik weet het wel zeker. Via mijn 2e PC zie ik namelijk een voor mij héél bekend pakket geinstalleerd zijn: HackerDefender.... zo'n beetje dé rootkit voor Windows.

Ik weet niet of dat met dit probleem te maken heeft, maar ok...

GRMBL...... dat word morgen dus weer een herinstallatie....

Fijn, ben je helemaal up-to-date met patches, ALLES dichtgetimmerd, allerlei policies, komen ze nog binnen... ik wil wel eens weten HOE dan wel...

[ Voor 24% gewijzigd door wildhagen op 18-06-2004 21:40 ]

[Verwijderd]

Zou je die files ook eens kunnen scannen?
Zit je (nog) op IRC? Kwam laatst crap(lees: jpg linkje) tegen met rootkitfunctionality, speciale nieuwe packers en de hele mikmak.

En het is idd bijzonder interessant om de source hiervan te achterhalen, aangezien ik wel geloof dat je normaal gesproken safe bezig bent.

[kwiebus]

Als ik bij Sophos zoek dan lijkt dit een vrij nieuw virus of in ieder geval had Sophos er vanochtend (Troj/Dloader-AB) en vanmiddag (Troj/Dloader-AC) nieuwe definities voor.

[ Voor 20% gewijzigd door kwiebus op 18-06-2004 22:02 ]

[wildhagen]

Verwijderd schreef op 18 juni 2004 @ 21:46:
Zou je die files ook eens kunnen scannen?

Ja, zal ik morgen eens doen, ik heb de "hack"-services voor nu iig stopped en disabled, dus die draaien iig niet meer. De files heb ik veiliggesteld op mijn tweede PC. Ze waren overigens aardig vermomd met titels als "Network Security Services" (dit was Hackerdefender zelf) en "Security Provider for TCP/IP" (Remote Admin, maar die was slechts half en niet-werkend geinstalleerd, dat kregen ze kennelijk niet voor elkaar )

Op dit moment kan het dus even geen kwaad, en gezien het tijdstip heb ik geen zin c.q. tijd om nu nog met een re-install te gaan beginnen. Ik neem liever ruim de tijd om alles goed in te richten, vandaar.

Zit je (nog) op IRC? Kwam laatst crap(lees: jpg linkje) tegen met rootkitfunctionality, speciale nieuwe packers en de hele mikmak.

Ja, dat soort JPG-trucs ken ik idd ook. Maar ik zit al jaren niet meer op IRC, behalve dan enkele weken terug op verzoek van elevator (via een PM).

Daarnaast open ik zéker op IRC geen zaken van vreemde mensen.

En het is idd bijzonder interessant om de source hiervan te achterhalen, aangezien ik wel geloof dat je normaal gesproken safe bezig bent.

Het moet iig ergens tussen 11 en 12 uur vanmorgen geweest zijn, want ik heb files gevonden uit voornamelijk die tijdsperiode.

Toen zat ik dus niet achter deze PC, maar op mijn werk. Ik had wél een terminal sessie open naar deze bak.

Ik dacht idd alles aardig safe te hebben geregeld, want dit is eigenlijk pas het eerste virus/malware wat ik oploop sinds destijds Happy99 aka W32/Ska, 5 jaar geleden...

Kwiebus: tnx voor de link, maar dat ding is eigenlijk het minste probleem. Vermoedeijk is die TrojanDownloader slechts gebruikt om een deel van de Hackers-applicaties van elders te downloaden.

[ Voor 16% gewijzigd door wildhagen op 18-06-2004 21:55 ]

[Verwijderd]

C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Program Files\Internet Explorer\IEXPLORE.EXE

Wat doet dat open?
Gebruik je die normaal ook wel eens?
If so, dan hebben we het probleem waarschijnlijk.

[wildhagen]

Ja, die gebruik ik wel eens, ik heb namelijk een site van mijn werk die alleen werkt in IE, dus dan moet ik wel

Verder gebruik ik het voor sommige sites die niet goed werken in Mozilla. Voor normaal surfen gebruik ik alleen Mozilla