Trojan/Backdoor...

[Verwijderd]

Ik heb een probleempje bij een paar bekenden bij me.
Ze kregen steeds een Virus Alert melding, dat een bestand in de system32 folder besmet was (system32/sqlbl.dll)
Scherm kon je niet wegklikken, kwam steeds weer terug. The Cleaner gedraaid, heeft het bestand FASH.EXE verwijderd in de WINDOWS folder.
Het bestand SQLBL.DLL is niet te vinden in de system32 folder. (verwijderd waarschijnlijk door The Cleaner?)
PC reboot, alleen krijg ik ik nu nog steeds de Virus Alert van NAV!! (system32/sqlbl.dll) Terwijl dit bestand er niet eens meer op staat? Ik ben ten einde raad...
heb ook al NAV in veilige modus laten scannen, kon niks vinden.
Hulp aub! Hartelijk dank.

[ Voor 6% gewijzigd door Verwijderd op 19-07-2004 21:23 ]

[Verwijderd]

Kijk welke virusnaam hij weergeeft, en zoek op de Norton site wat dat virus precies doet..

[Verwijderd]

Het is een Backdoor.Trojan. Een verzamelnaam voor vele Trojans dus, kan er vrij weinig mee!

[momania]

Software Algemeen >> Beveiliging & Virussen

Kijk hier ook even goed Beveiliging en Virussen - Nieuw topic starten door en pas eventueel je topic start nog even aan met meer informatie

[Verwijderd]

Spy&adware draaien wie weet helpt het
Oja google geeft goede hits op backdoor.trojan, waaronder de site van symantec HF

[Verwijderd]

Werk eerst momania's link eens door en bekijk daarna deze eens: [rml][ Malware] NAV: backdoor.trojan infectie - AppInit_DLL *[/rml]

[Verwijderd]

Ja, ik weet het, heb alles al geprobeert, heb de hele "Trojan Verwijder" handleiding van symantec ook al gedaan.
Maar dat is niet het probleem, omdat de trojan waarschijnlijk al weg is.
Waar ik zo gek van word is dat Norton nog steeds met die melding komt terwijl het bestand niet aanwezig is in de system32 folder...

Heb overal al gezocht, maar niemand met hetzelfde probleem!

[Verwijderd]

De backdoor is natuurlijk nog niet weg, anders zou NAV niet die waarschuwing geven.
Doe aub wat ik in mijn post hierboven al aangaf.

[Mike Jarod]

Owja *belangrijk*

Voordat je de file definitief verwijdert, zet je virusscanner ff uit, upload 'm bij http://virusscan.jotti.dhs.org en laat even weten hoe de verschillende scanners 'm noemen aub

Als je je virusscanner aan laat staan wordt ie namelijk automatisch verwijderd dus kan je 'm niet meer uploaden

[ Voor 8% gewijzigd door Mike Jarod op 19-07-2004 21:32 . Reden: grrrr 1 letter is 4% ??? ]

[Verwijderd]

Verwijderd schreef op 19 juli 2004 @ 21:31:
De backdoor is natuurlijk nog niet weg, anders zou NAV niet die waarschuwing geven.
Doe aub wat ik in mijn post hierboven al aangaf.

Schouw, bedankt dat topic hierboven had ik niet gevonden!
Ik ga nu even dat hiving.bat progje proberen, kijken of ik dat bestand tevoorschijn kan krijgen.
Bedankt!

[Verwijderd]

Mike Jarod, zal ik doen!

[Verwijderd]

Nog een vraagje

Extract the batch file (hiving.bat) and run it. If you have script blocking enabled you will get a warning. Please allow this to run. The script is just producing a message box. Double click on the batch to run it. After a reboot the super hidden nasty file will no longer be loaded and should be visible.

Restart into Safe mode and find this file:
C:\WINDOWS\System32\winifhi.dll

Use the security tab on log.dll and take ownership.
Change the 'everyone special' to
'you> with Admin rights-> FULL control
Then try to delete it, if that fails try to rename
it first to different name+ext.
Example:
log.dll>bleh.txt
bleh.txt > badfile.111


Use the security tab on log.dll and take ownership.
Change the 'everyone special' to
'you> with Admin rights-> FULL control

log.dll? wat bedoelen ze hiermee?
dank.

[Mike Jarod]

Dat is de dll waar jij mee te maken hebt, alleen heet ie bij jou anders. Dit voorbeeld was bestemd voor iemand waar die file log.dll heette

[Verwijderd]

Dacht ik al

Maar hoe doe ik dit dan?

Change the 'everyone special' to
'you> with Admin rights-> FULL control

toch niet bij eigenschappen?

(Ik wil gewoon ff zeker weten wat ik doe, want ik kan er morgen pas aan beginnen )

[Verwijderd]

Kun je aub. de edit-knop gebruiken ipv. een aantal keren achter elkaar replyen?
Dat is niet gewenst binnen 24 uur, zie ook Algemene regels hoe je op het forum te gedragen (Netiquette)

[Mike Jarod]

File -> rechtermuis -> eigenschappen -> beveiliging. Als je die optie niet hebt, heb je of XP Home (daar kon dit toch niet ) of Simple File Sharing uit aanstaan (zie hier hoe aan uit te zetten)

[ Voor 26% gewijzigd door Mike Jarod op 19-07-2004 22:03 . Reden: grr en nou weer 6% voor 1 letter :( ]

[The Eagle]

vergeet voor je de trojan weghaalt niet even je systeemherstel (aangenomen dat het een XP machine is) uit te zetten. Anders heb je straks na al je veranderingen mogelijk toch nog steeds dezelfde ellende terug.

Wat je ook kunt proberen is "Stinger" van Network Associates (makers van McAfee AV) te downloaden en die los te laten. Scant weliswaar op wormen, maar kan best zijn dat ie jouw trojan ook mee pakt. Zie http://vil.nai.com/vil/averttools.asp

[Verwijderd]

Simple File Sharing staat aan, maar ik heb geen tabblad security ofzoiets dergelijks.

Enkel General, Version, Summary...

OS is XP prof.

The_eagle: bedankt voor de tip! had er zelf nog niet aan gedacht.

[ Voor 27% gewijzigd door Verwijderd op 19-07-2004 21:58 ]

[Mike Jarod]

Apart Foutje van mij: Simple file sharing moet uit Het vinkje dus ook.

Probeer die file eens te renamen?

[ Voor 45% gewijzigd door Mike Jarod op 19-07-2004 22:03 . Reden: tis wel een edit-feest zeg :P ]

[Verwijderd]

Ah.. danku, hiermee kom ik een stuk verder denk ik.
Ik ga morgen bij die lui langs, ik laat nog wel weten als het gelukt is!
Bedankt alvast

[backupdevice]

je moet gewoon op dat bestandje staan en dan op del drukken. Dat security gedoe is alleen als je niet als administrator bent ingelogd