[Malware] windows\csrss.exe = IRC Trojan

[Silent Thunder]

Mijn NAV 2004 laat net zien dat csrss.exe in de Windows-map geinfecteerd is.

Ik heb dit met Google opgezocht en het blijkt een systemproces te zijn. Vandaar dat het me ook niet lukt om 'em te verwijderen?

Wat kan ik nu het beste doen? Misschien een mogelijkheid om een (schone) versie ergens te downloaden en replacen? Waar vind ik dat?



http://www.liutilities.co...pro/processlibrary/csrss/

[Verwijderd]

Kijk eens naar de directory waar die instaat.

De windowsfile behoort in %systemdir% - niet in %windowsdir%.
Dit is dus niets anders dan de trojan zelf.

Toevallig net een verdachte file gerund/site bezocht/whatever?
Het is natuurlijk wel handig om te weten hoe lang dit beestje actief heeft kunnen zijn alvorens ontdekt te worden.

Verder is het nog wel handig om eens te kijken waar we _precies_ mee te maken hebben.
Kijk eens of je process explorer - van sysinternals - het betreffende proces kan killen, schakel NAV dan even uit en scan de file eens hier. http://www.kaspersky.com/scanforvirus.html

Titel ietsje aangepast.

[Occy74]

Verwijderd schreef op 01 oktober 2004 @ 23:46:.......
Kijk eens of je met behulp van process explorer - van sysinternals - het betreffende proces kan killen, schakel NAV dan even uit en scan de file eens hier. http://www.kaspersky.com/scanforvirus.html

Titel ietsje aangepast.

heb je even verbeterd want nu lijkt het net alsof je zegt dat process explorer die csrss.exe is

[Silent Thunder]

Verwijderd schreef op 01 oktober 2004 @ 23:46:
Kijk eens naar de directory waar die instaat.

De windowsfile behoort in %systemdir% - niet in %windowsdir%.
Dit is dus niets anders dan de trojan zelf.

De geinfecteerde file staat idd in de windowsdir

Verwijderd schreef op 01 oktober 2004 @ 23:46:
Toevallig net een verdachte file gerund/site bezocht/whatever?
Het is natuurlijk wel handig om te weten hoe lang dit beestje actief heeft kunnen zijn alvorens ontdekt te worden.

Hmm... ik iig geval niet. Misschien me broertje Maar in die 1,5jr. dat deze windowsinstallatie loopt is er nog nooit een virus op geweest; dus er word best safe mee omgegaan.

Als ik de eigenschappen van bestand bekijk zie ik het volgende:

Verwijderd schreef op 01 oktober 2004 @ 23:46:
Verder is het nog wel handig om eens te kijken waar we _precies_ mee te maken hebben.
Kijk eens of je process explorer - van sysinternals - het betreffende proces kan killen, schakel NAV dan even uit en scan de file eens hier. http://www.kaspersky.com/scanforvirus.html

Ok, ik ga proberen

[Silent Thunder]

code:

---------------------------
Scanned file:   csrss.exe
 
csrss.exe - infected by Backdoor.VB.rz 


Statistics:
Known viruses: 99876 Updated: 01-10-2004 
File size (Kb): 272 Virus bodies: 1 
Files: 1 Warnings: 0 
Archives: 0 Suspicious: 0

Aangezien hij zeg maar niet in de system32 staat zoals je aangeeft, kan hij dan gewoon verwijderd worden? Of moet ik met een fix-tooltje ofzo te werk gaan?

[Verwijderd]

Removal tools worden alleen gemaakt voor wijdverspreide zooi, kans is redelijk klein tot nihil dat die er voor deze backdoor is.

In principe zou je dit zo moeten kunnen verwijderen, kijk alleen je systeem nog eens goed na of deze malware niet uit meerdere componenten bestaat.

[Superseb]

Wat je ook kan proberen is de file uit te schakelen bij het opstarten, oftewel uit vinken bij msconfig -> opstarten, opnieuw op te starten en dan een volledige scan uit voeren.

Of je probeert het in Veilige modus, weet alleen niet zeker of dat gaat

[Silent Thunder]

Ik had 'em idd eerst via msconfig moeten uitschakelen, omdat het anders moeilijk was om hem te verwijderden aangezien hij een draaiend proces was wat ik niet kon afsluiten; omdat het volgens windows 'essentieel' was.

maar hij is nu weg; en ik draai voor de zekerheid nog ff een scan ter nacheck.

iig bedankt all; en vooral Schouw

[ Voor 14% gewijzigd door Silent Thunder op 02-10-2004 00:30 ]