[Malware] IRC Backdoor infectie

[Bart1983]

Weet iemand waar ik een virus sample naar toe kan sturen voor analyse. Ik heb namelijk sterk het vermoeden dat ik een trojan op mijn pc heb die niet herkent wordt door http://virusscan.jotti.dhs.org. Ik heb vanmiddag (met mijn stomme kop) een exe file gerund. Nadat ik zojuist mijn pc opnieuw heb opgestart verschijnt sygate personal firewall met de melding dat svchost.exe verbinding wil maken met het internet. Het betreft hier een svchost.exe die staat in:

F:\WINDOWS\system\svchost.exe (daar hoort die dus niet thuis).

Hij probeert te connecten naar:

Remote Name : princeton.nj.us.undernet.org
Remote Address : 209.67.60.33
Remote Port : 6667 (IRCU - IRCU)

Als ik alleen naar de naam undernet kijk rinkelt er al een belletje!!

Ik heb nu dus de toegang van dit bestand geblockeerd om op internet te gaan. Tot slot gebruik ik kaspersky antivirus personal en deze herkent heb niet. Ik zou dit bestand dus graag naar een AV sturen zodat hun deze trojan in hun detectie kunnen opnemen.

[Verwijderd]

Bart1983 schreef op woensdag 17 november 2004 @ 20:13:
Weet iemand waar ik een virus sample naar toe kan sturen voor analyse. Ik heb namelijk sterk het vermoeden dat ik een trojan op mijn pc heb die niet herkent wordt door http://virusscan.jotti.dhs.org. Ik heb vanmiddag (met mijn stomme kop) een exe file gerund. Nadat ik zojuist mijn pc opnieuw heb opgestart verschijnt sygate personal firewall met de melding dat svchost.exe verbinding wil maken met het internet. Het betreft hier een svchost.exe die staat in:

F:\WINDOWS\system\svchost.exe (daar hoort die dus niet thuis).

Hij probeert te connecten naar:

Remote Name : princeton.nj.us.undernet.org
Remote Address : 209.67.60.33
Remote Port : 6667 (IRCU - IRCU)

Als ik alleen naar de naam undernet kijk rinkelt er al een belletje!!

Ik heb nu dus de toegang van dit bestand geblockeerd om op internet te gaan. Tot slot gebruik ik kaspersky antivirus personal en deze herkent heb niet. Ik zou dit bestand dus graag naar een AV sturen zodat hun deze trojan in hun detectie kunnen opnemen.

Ik zou eerst eens wat trials downloaden, misschien kan een andere virusscanner het wel herkennen. www.softpedia.com

[Bart1983]

Deze virusscanners herkennen hem niet:

AntiVir
Avast
BitDefender
ClamAV
Dr.Web
F-Prot Antivirus
Kaspersky Anti-Virus
mks_vir
NOD32
Norman Virus Control

Het bestand starte ook automatisch. Dit heb ik uitgezet onder msconfig

[Verwijderd]

En heb je ook gecontroleerd op spyware? En de bestandsnaam opgezocht met Google?

[wildhagen]

Uit mijn hoofd ken ik twee adressen:

- [e-mail] (KAV, doh)
- [e-mail] (NAI/McAfee).

De rest is ongetwijfeld op de diverse AV-sites wel te vinden.

[Verwijderd]

Iets dat naar IRC connect heeft echt bijster weinig te maken met Spyware...
Het gaat gewoon om een onbekende Backdoor.

Adres van Kaspersky's viruslab is newvirus@kasp...com

[Verwijderd]

Verwijderd schreef op woensdag 17 november 2004 @ 20:39:
Iets dat naar IRC connect heeft echt bijster weinig te maken met Spyware...
Het gaat gewoon om een onbekende Backdoor.

Adres van Kaspersky's viruslab is newvirus@kasp...com

Het is inderdaad goed mogelijk dat het hier een backdoor betreft, maar het connecten met IRC sluit spyware natuurlijk niet meteen uit. Zeker omdat het stukje software met geen enkele virusscanner wordt herkent is ook een spyware scan aan te raden.

[Verwijderd]

Verwijderd schreef op woensdag 17 november 2004 @ 21:02:
[...]
Het is inderdaad goed mogelijk dat het hier een backdoor betreft, maar het connecten met IRC sluit spyware natuurlijk niet meteen uit. Zeker omdat het stukje software met geen enkele virusscanner wordt herkent is ook een spyware scan aan te raden.

Spyware - voor zover die term bestaansrecht heeft - is normaal gesproken Adware die naar huis belt om gegevens door te faxen.
Het connecten naar IRC sluit spyware wel uit, want dan zit je naar iets met Backdoor capaciteiten te kijken, geen 'spyware' meer dus.
En op het gebied van backdoors stellen de spywarescanners gewoon (nog) niet veel voor.

Ik heb de sample trouwens inmiddels in mijn bezit..

Er moet sprake zijn van een Trojan-Dropper, omdat deze file niet veel meer is dan IRC controlled Backdoor.
Dus geen manier om zichzelf in %systemdir% te droppen of een startup key in het register te zetten.

Gezien de prachtige code denk ik dat dit scriptkiddie-werk is.

[Verwijderd]

Verwijderd schreef op woensdag 17 november 2004 @ 21:08:
[...]

Spyware - voor zover die term bestaansrecht heeft - is normaal gesproken Adware die naar huis belt om gegevens door te faxen.
Het connecten naar IRC sluit spyware wel uit, want dan zit je naar iets met Backdoor capaciteiten te kijken, geen 'spyware' meer dus.
En op het gebied van backdoors stellen de spywarescanners gewoon (nog) niet veel voor.

Als je iets onbekends tegen komt moet je alle opties open houden, het is niet echt slim om iets meteen uit te sluiten. Wie weet had dit stukje software wel meerdere functies en was het én spyware én een virus.

[Bart1983]

Ja het is jammer dat ik het originele bestand heb weggegooit. Dat was namelijk een exe file. Deze heeft voor zover ik weet 2 dingen gedaan.

1: een bestand genaamd svchost.exe aangemaakt in windows/system
2: een startup key gemaakt om die svchost.exe te starten.

Ik heb 2 nu in msconfig uitgezet en nu krijg ik geen meldingen meer in mijn logboek dat sygate een verbinding naar buiten heeft geblockeerd.

[Verwijderd]

Zeker dat je bak verder clean is?
Detectie wordt iig toegevoegd als Backdoor.Win32.VB.ye.

Verwijderd schreef op woensdag 17 november 2004 @ 21:11:
[...]
Als je iets onbekends tegen komt moet je alle opties open houden, het is niet echt slim om iets meteen uit te sluiten. Wie weet had dit stukje software wel meerdere functies en was het én spyware én een virus.

Zoals ik al zei, het feit dat het IRC connectivity bevat maakt het een Backdoor.
Ik kom genoeg malware tegen om daar toch redelijk zeker van te zijn, had analyse uitgewezen dat het (ook) adware was, had dat verder niets uitgemaakt.

Daarnaast zie ik eigenlijk met meer regelmaat AVs eerder nieuwe 'spyware' detecteren dan ASs...

[Bart1983]

Verwijderd schreef op woensdag 17 november 2004 @ 21:40:
Zeker dat je bak verder clean is?
Detectie wordt iig toegevoegd als Backdoor.Win32.VB.ye.

Tja ik weet natuurlijk nooit 100% zeker of alles nu helemaal weg is. Naar aanleiding van mijn firewall melding heb ik het bestand svchost.exe in windows/system weggegooit en de startup sleutel uitgevinkt bij msconfig. Ik zal vandaag en morgen nog wel ff extra in de gate houden of er geen vreemde exe, dll etc bestanden toegang willen tot het internet.

Alvast bedankt!

[Verwijderd]

*kick*

Voortaan spellen in de winkel kopen ipv. proberen te cracken met trojaned cracks...
Zit nu te kijken naar verdere payload van 'de crack'.

Edit: het gaat dus om een HL2 crack.

[ Voor 12% gewijzigd door Verwijderd op 18-11-2004 16:40 ]

[Bart1983]

ja klopt