Trojans of niet..........

[Elisa]

Hallo,

Sinds het ontdekken van trojan backdoor.sdbot heb ik al 3 keer geformatteerd. Volgens een tread hier moest scannen in veilige modus voldoende zijn.
Toch heb ik steeds na format vreemde dingen gezien.
B.v. 'iets' dat er uitgaat bij ongebruikte poorten. Iets met MSSQL of.
Nu zag ik weer het onderstaande in mijn log van Norton.
Eerlijk gezegd hier wordt ik nou echt paranoide van.
Wie wil me helpen?

 

[nteusink]

Zijn dat niet gewoon portscans vanaf het internet? Daar kan je eigenlijk weinig aan doen. Scans naar 1080 en 1243 zie je erg vaak. MSSQL 1434udp is de poort van de sql slammer worm, die zal je dus ook nog vaak tegenkomen.

 

[Elisa]

In het log van Norton zie ik ms-sql-m (1434) met de pijl naar binnen.
En dezelfde ging naar buiten via 1027 naar ms-sql-m (1034)

Ik vraag me dan af of dit normaal is.
Zijn er andere programma's die deze poorten gebruiken?

 

[nteusink]

Een uitgaande verbinding naar een sql server (ik neem aan dat je poort 1434 ipv 1034 bedoelt) zou je inderdaad niet verwachten...
Heb je al eens de verbinding met internet verbroken en gekeken of je toch misschien niet per ongeluk een vorm van sql server draait met:

netstat -an

(en dan kijken of je daar 1433 of 1434 ziet staan bij een poort)

Kan je anders dat gedeelte van het log posten?

 

[Elisa]

Met netstat -an zag ik heel snel een dosschermpje voorbij fietsen maar kon niets lezen.

Heb je trouwens die site ingetikt? Beetje raar vind ik het wel als ik iets van hacken zie staan.

En wat die mogelijke typefout betreft.....toen mijn man de pc niet meer nodig had waren de vermeldingen verdwenen.
Onder services staat Symantec met pasword validation
als gestopt.
Ik let wel op wat die ms...betreft. Zag em te vaak dus die krijg je nog wel te zien. Alleen zou ik niet weten hoe ik dat in en uitgaan moet voorkomen met Norton. Zone Alarm vond ik handiger.
Je hoort nog van me. Zo langzamerhand sloopt dit me wel.

 

[@temptation]

Geplaatst door Elisa
Met netstat -an zag ik heel snel een dosschermpje voorbij fietsen maar kon niets lezen.

Voordat je nestat -an intypt elisa, typ in start uitvoeren eerst cmd. Dan netstat -an, hierdoor blijft het scherm wel in beeld.

 

[Elisa]

Een beetje laat maar hier ben ik. Ik moet de pc delen en mijn man zit al heel opgewekt zijn boekhouding er op te zetten. Ik geloof er niet in.
Nu is Internet Explorer ook al kapot. Krijg ik een schermpje of ik iets wil downloaden van tw.msi.com.tw
Die eerste tw heb ik nooit hoeven tikken maar ik ben wel gek om iets te downloaden als ik de exlorer aanklik. Allemaal zulke rare dingen.
Met netstat lukte het dus wel.
Ik zie c:\documents and settings\Elisa staan.
Is dat goed?

 

[Elisa]

En hier is de backdoor weer. Of intrepeteer ik dat nou verkeerd?

 

[Elisa]

Zoveel kijkers en niemand die me verder kan helpen?
Inmiddels heb ik voor de 4e keer geformatteerd.
En wat zie ik: Backoor in en uit.

 

[Elisa]

Nou, die backdoor is een lekkere jongen.
Is er nou echt niemand die hier mee kan helpen?
Kijk HIER en huiver

 

[Bennie]

Dat plaatje wat je laat zien is niet van netstat, maar van Norton. Wat laat netstat -an zien?

1) Check de status van je poorten. Doe een full scan:
http://grc.com/x/ne.dll?rh1dkyd2

Zijn al je poorten stealth?

2) Post nogmaals een Hijackthis-log.

Groetjes,
Bennie

 

[Elisa]

Als ik doe wat hierboven wordt gezegd door NTeusink en Temptation dan krijg ik alleen een zwart schermpje te zien met het pad c:\documents and settings\Elisa.
zie hierboven.

Mijn poorten al tig keer gescand. Altijd perfect. Ik doe het voor jou nog een keer
hier is hijackthis:

 

[Bennie]

In dat zwarte scherm tik je netstat -an in bij de prompt [geef enter]. Ik kijk zo naar je log.

Groetjes,
Bennie

 

[Bennie]

Je log is inderdaad schoon. Ik zie echt geen trojans. Het lijkt me vals alarm.

Groetjes,
Bennie

 

[Bennie]

Oh ja, om je tikwerk te besparen:

netstat -an >netstat.txt

Post netstat.txt

Groetjes,
Bennie

 

[Elisa]

Voordat ik het vergeet wauclt wordt nu steeds geblokt op een van die poorten. Heel verwarrend want het is een file van Windows. Ik ben niet de enige die er last van heeft.
Als je even mee zou willen kijken?Hier
Bij GRC is alles goed Stealth maar die controleert eigenlijk maar tot 1100 dus daar heb ik niets aan.
Ik zie steeds die msq..... die nu door mij geblokt is
Nu even netstat an. Ik heb de verbinding afgesloten.
Heb ik het zo goed gedaan?

 

[Bennie]

Nee, de verbinding moet wel aanstaan

Het gaat vooral om de volgende gegevens:
UDP 0.0.0.0:31337 *:*

[etc.]

Groetjes,
Bennie

 

[Elisa]

Zo, het commando was iets anders maar ik ben er uit.
Ik heb verschillende uitdraaien. 'k Zal eerst maar netstat -an geven. Het rose is mijn ip nummer Anders krijg ik nog meer visite

 

[Elisa]

Misschien heb je hier ook nog wat aan. Ik mis nog een parser van Adobe dus ik kan niet afknippen.
Sinds ik trouwens handmatig 3 poorten heb gesloten heb ik niet meer iets voorbij zien komen met de tracker.

 

[Bennie]

Ik zie geen verdacht gesnuffel. Het gaat overigens om het UDP-protocol - niet TCP.

Groetjes,
Bennie