wat is "winlog0n.exe"?

[PipoDeClown]

blijkt sinds 2 dagen een bestand op de pc te staan genaamd "WINLOG0N.EXE"
en een entry in het registry (hijackthis)

code:

O4 - HKLM\..\Run: [Windows Update Manager] C:\WINDOWS\system32\WINLOG0N.EXE

via google kom je nog bar weinig tegen dan alleen een trefwoord Agobot.
de exe is aspacked/protected .
Sophos 3.89 (web) en Antivir PE 6.29 herkennen het niet.

weet iemand wat dit is?
gerarde sample is beschikbaar.

[Chrissels]

Probeer het hier eens mee te scannen: http://virusscan.jotti.dhs.org/

Probeer ook HitmanPro.

Blijft het bestaan, wegknikkeren en die registry verwijzing weghalen.

[PipoDeClown]

Chrissels schreef op zaterdag 08 januari 2005 @ 23:51:
Probeer het hier eens mee te scannen: http://virusscan.jotti.dhs.org/

ja naar die link was ik op zoek

als enige door Kaspersky Anti-Virus gewogen en te licht bevonden als een
Trojan.Win32.Agent.an

dankt

[Pendaco]

ik zou hem zowiezo even in quarantine gooien, of de filenaam hernoemen.
Bestanden die zich vernoemen naar bekende windows processen (winlogon.exe) zijn 9 van de 10x virussen of andere ongein

[PolarBear]

PipoDeClown schreef op zondag 09 januari 2005 @ 00:10:
[...]
als enige door Kaspersky Anti-Virus gewogen en te licht bevonden als een
Trojan.Win32.Agent.an

Anders doe je even een spreekwoord vernaggelen

Gewogen en te licht bevonden.
--------------------------------------------------------------------------------
Niet aan de eisen voldoen.

Pendaco schreef op zondag 09 januari 2005 @ 12:56:
Bestanden die zich vernoemen naar bekende windows processen (winlog0n.exe) zijn 9 van de 10x virussen of andere ongein

Ik zou er 10 van de 10 keer van maken!

[Verwijderd]

Ik heb de betreffende sample eens vluchtig bekeken.

Een copy wordt in %sysdir% en in %sysdir%\drivers\ gedropt.
Eerste als WINLOG0N.EXE, tweede als audiox.(Zonder extensie)

Er wordt in de file gelinkt naar een (Chinese) torrentsite die een not-a-virus:AdWare.ToolBar.Baidu variant wil installeren.

Meeste payload van de file lijkt policy related te zijn.

Aan te raden imho om het systeem nog eens door te lichten met een AV die deze Trojan kan detecteren.