Trojaans paard Backdoor.Sdbot.F

[URLeraar]

Onlangs vroeg Zone Alarm toelating voor het programma ms_bak.tmp.exe
Ik vond dat niet pluis en via google kwam ik op http://securityresponse.symantec.com/avcenter/venc/data/backdoor.sdbot.f.html terecht.
Daar bleek dat ms_bak.tmp.exe blijkbaar iets met de Trojaan Backdoor.Sdbot.F te maken heeft.
In C:\Windows\System vond ik inderdaad Ms_bak.tmp.exe en Ms_32.exe

In het register vond ik ook de 2 sleutels RDLL RunDll16.exe en die heb ik verwijderd.
RunDll16.exe zelf vind ik echter nergens op mijn computer.
Bovendien vindt mijn scanner "Panda Platinum 7.04.00" (met de laatste updates) geen infectie.

Ik heb ook de gedownloade bestanden die volgens mij de oorzaak van de mogelijke besmetting kunnen zijn online laten scannen, maar ook dat leverde geen virusmelding op.

De vraag is dus: zit ik met een Trojaans paardje opgezadeld en wat kan ik nog doen?
In afwachting van een oplossing heb ik in Zone alarm overal een rood kruis naast ms_bak.tmp.exe gezet om het paardje op stal te houden en het de toegang tot internet te verbieden. Hopelijk is dat al een goede maatregel.
En ik ben ook van plan om Ms_bak.tmp.exe en Ms_32.exe te verwijderen, maar is dat voldoende?

 

[saldos]

URLeraar,

Het kan zijn dat RunDll16.exe in c:\windows\system zit en in het register in HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run, maar het hoeft niet perse te zijn dat je dit bestand hebt.

Download ook even the cleaner vanaf hier, doe een update en een scan ermee: http://www.cybermesa.com/~moosoft/cleaner3.exe

 

[Kleinkramer]

Doe dit eens:

Ga naar http://www.spywareinfo.com/downloads.php#det , en download daar 'Hijack This'.

Pak het uit, start het programma, en klik vervolgens op "Config" > "Miscellaneous Tools", en dan "Generate Startuplist Log"

Je krijgt dan een tekstbestand dat een uitgebreid overzicht geeft van alles wat er zich op jouw computer afspeelt.

Ga naar Bewerken > Alles selecteren, kopiëer het, en laat ook de hele inhoud daarvan zien.

 

[URLeraar]

Voor Kleinkramer,
In bijlage de startuplist. Ziet er vrij normaal uit of niet?

Voor Salos:
Voor ik hem aan het werk zet, wat doet cleaner3.exe juist?

Alvast bedankt

 

[URLeraar]

Oeps foutje, Saldos natuurlijk

 

[Kleinkramer]

Geplaatst door URLeraar
Voor Kleinkramer,
In bijlage de startuplist. Ziet er vrij normaal uit of niet?

Jazeker.
Geen verdachte opstartprogramma's of processen, dus dat is positief.

The Cleaner is een gespecialiseerde antitrojan.

Alhoewel er zo te zien geen trojan actief is, hetgeen het gevolg kan zijn van het feit dat je de startups uit het register hebt verwijderd, kunnen de (bestanden zelf nog aanwezig zijn.

Het kan dus geen kwaad even te laten scannen.

 

[saldos]

Geplaatst door URLeraar
Voor Salos:
Voor ik hem aan het werk zet, wat doet cleaner3.exe juist?
Alvast bedankt

Als de cleaner niets vind, dan is de kans groot dat dit komt omdat je de trojan zelf al verwijderd hebt.

 

[URLeraar]

De cleaner heeft inderdaad niets gevonden.
Zou er ook een gelijkaardige freeware bestaan?


En Ms_bak.tmp.exe en Ms_32.exe moet ik ook in de prullenbak kieperen zeker?

Bedankt

 

[Kleinkramer]

Ms_32.exe is duidelijk een trojanbestand, en Ms_bak.tmp.exe mag ook weg.

Als je een goede antivirus hebt, zal ie in de meeste gevallen ook een goede bescherming bieden tegen de meest gebruikelijke trojans.

 

[URLeraar]

In orde. Bedankt voor de hulp.

 

[Kleinkramer]

Graag gedaan.

 

[saldos]

No problem

 

[URLeraar]

Ik ben er nog even terug.
Ms_bak.tmp.exe en Ms_32.exe weggegooid, maar in de buurt stond ook het bestand "vsconfig.xml" dus: C:\WINDOWS\SYSTEM\vsconfig.xml
Toen ik vanmorgen op internet ging, werd dit bestand nog gewijzigd.
Even gegoogled voor "vsconfig.xml" en daar slechts 1 pagina http://www.tek-tips.com/gviewthread.cfm/lev2/3/lev3/21/pid/83/qid/422997
die nogal euh ... technisch is.
Ik weet wel dat ik Zone-alarm gebruik.
Normaal van het verhaal:
"vsconfig.xml" ook verwijderen of niets van aantrekken?

 

[Kleinkramer]

Naar wat ik kon vinden, is het een ZoneAlarmbestand, dus gewoon laten staan!

 

[saldos]

URLeraar,


Vsconfig.xml is inderdaad van zonealarm, maar het is ook van de enigste bestanden die niet worden gedeinstalleerd wanneer je zonealarm verwijderd via het uninstall knopje. Dus het komt ook soms voor dat Vsconfig.xml nog hoort bij een oude versie van zonaalarm die je in het verleden hebt gehad.

Voor meer informatie lees:

http://www.der-keiler.de/Newsgroups/comp.security.firewalls/2002-10/11667.html

 

[URLeraar]

OK, bedankt voor de info.
Vsconfig.xml mag blijven