Trojan Horse verwijderd, maar hoe nu verder.

[fvds]

Gisteravond meldde Norton Antivirus dat de file sysconf.exe was geinfecteerd door het Backdoor.Sdbot virus.
Affijn, alle acties uitgevoerd die door Norton worden geadviserd om het te verwijderen en het virus is er af.

Echter ook de file sysconf.exe.

Mijn eerste vraag is wat ik hiermee mis.
Wat doet dat programma ?
Moet ik dit herstellen (en zo ja hoe) ?

Mijn tweede vraag betreft de wijze waarop het virus op mijn pc is binnengekomen.
Norton zegt hetvolgende over dit virus:
'Het virus is een 'server component (bot)', die door een hacker wordt gedistribueerd over de IRC channels.
Het zorgt er vervolgens voor dat de hacker op de geinfecteerde computer zijn gang kan gaan.
Het virus komt binnen in de vorm van een portable executable. Als dit virus gaat lopen copieert het zichzelf naar de systeemmap (system32) onder de naam 'Cnfgldr.exe' of 'sysmon16.exe'.'

Mijn concrete tweede vraag is alsvolgt:
Is het nu zo dat er een hacker expliciet mijn pc heeft uitgekozen om binnen te dringen of ligt dit anders ?

Derde vraag, hoe dit virus binenkomt.
Noron zegt 'via de IRC channels', maar dat zegt mij niets.

Wie heeft hier verstand van en kan mij dit toelichten ?


Groet,
Frank

 

[melslenstra]

irc is in principe chatten via een bepaald systeem/protocol. meer weet ik ook niet, behalve dat ik het niet gebruik.

 

[Pieter Arntz]

Zoek de overeenkomsten met dit slachtoffer:
http://www.helpmij.nl/forum/showthread.php?threadid=116937

Gokje: KaZaa?

Groetjes,

Pieter

 

[fvds]

Hallo Pieter,

Inderdaad hetzelfde virus en zeer waarschijnlijk Kazaa (niet zeker; in de zelfde periode heeft een chat plaatsgevonden).

Zoals ik bij de vraagstelling schreef, is de virus in dit geval inmiddels al verwijderd.

Kun je mij ook verder helpen met de 3 vragen zoals ik die boven heb geformuleerd ?


Groet,
Frank

 

[Pieter Arntz]

Geplaatst door fvds
Gisteravond meldde Norton Antivirus dat de file sysconf.exe was geinfecteerd door het Backdoor.Sdbot virus.
Affijn, alle acties uitgevoerd die door Norton worden geadviserd om het te verwijderen en het virus is er af.

Echter ook de file sysconf.exe.

Mijn eerste vraag is wat ik hiermee mis.
Wat doet dat programma ?
Moet ik dit herstellen (en zo ja hoe) ?

Je hoeft het niet te herstellen. Dat was (een gedeelte van) het virus.

Mijn tweede vraag betreft de wijze waarop het virus op mijn pc is binnengekomen.
Norton zegt hetvolgende over dit virus:
'Het virus is een 'server component (bot)', die door een hacker wordt gedistribueerd over de IRC channels.
Het zorgt er vervolgens voor dat de hacker op de geinfecteerde computer zijn gang kan gaan.
Het virus komt binnen in de vorm van een portable executable. Als dit virus gaat lopen copieert het zichzelf naar de systeemmap (system32) onder de naam 'Cnfgldr.exe' of 'sysmon16.exe'.'

Mijn concrete tweede vraag is alsvolgt:
Is het nu zo dat er een hacker expliciet mijn pc heeft uitgekozen om binnen te dringen of ligt dit anders ?

Dat is afhankelijk van de wijze van verspreiding en de variant die je binnen hebt gekregen. Als hij via de chatsessie die je noemde is geplaatst, zou het gericht kunnen zijn. Als je hem via Kazaa hebt gekregen (mijn vermoeden) is het geen persoonlijke aanval.

Groetjes,

Pieter

 

[fvds]

Dank je wel Pieter, hiermee zijn mijn vragen beantwoord.


Groet,
Frank

 

[saldos]

fvds,

Even voor alle duidelijkheid: een trojan kan geen andere bestanden besmetten. Dat betekend dus als je een trojan vindt dan kun je die altijd verwijderen want het is dus nooit een windows bestand en nooit een bestand dat bij de programma's hoort die op je pc staat.

Een trojan zorgt er ook voor dat er bepaalde poorten open gaan in je pc, waardoor alle hackers je pc makkelijk binnen kunnen komen. Dat hoeft dus niet perse de persoon te zijn die je de trojan heeft gestuurd. Je kunt zo een trojan krijgen b.v. via email, via een messenger, via een p2p programma zoals Kazaa en via een internet site als je iets download.


Voor meer informatie over Sdbot lees:

http://securityresponse.symantec.com/avcenter/venc/data/backdoor.sdbot.html

 

[fvds]

Saldos bedankt,

Ik begrijp nu nog beter hoe de vork in de steel zit.


Groet,
Frank

 

[saldos]

Graag gedaan