Archief
- De topics van lang geleden
rootkit shit
05-07-2006, 10:54 door Anoniem, 22 reacties
zit al een weekje met één of ander rootkit probleem,
blijft zich maar overal verstoppen...
laatste gmer verslag:
---- System - GMER 1.0.10 ----
SSDT SystemRootsystem32driversfwdrv.sys
ZwClose
SSDT SystemRootsystem32driversfwdrv.sys
ZwCreateFile
SSDT SystemRootsystem32driversfwdrv.sys
ZwCreateKey
SSDT SystemRootsystem32driversfwdrv.sys
ZwCreateProcess
SSDT SystemRootsystem32driversfwdrv.sys
ZwCreateProcessEx
SSDT SystemRootsystem32driversfwdrv.sys
ZwCreateThread
SSDT SystemRootsystem32driversfwdrv.sys
ZwDeleteFile
SSDT SystemRootsystem32driversfwdrv.sys
ZwDeleteKey
SSDT SystemRootsystem32driversfwdrv.sys
ZwDeleteValueKey
SSDT SystemRootsystem32driverskhips.sys
ZwLoadDriver
SSDT SystemRootsystem32driverskhips.sys
ZwMapViewOfSection
SSDT SystemRootsystem32driversfwdrv.sys
ZwOpenFile
SSDT SystemRootsystem32driversfwdrv.sys
ZwOpenKey
SSDT SystemRootsystem32driversfwdrv.sys
ZwResumeThread
SSDT SystemRootsystem32driversfwdrv.sys
ZwSetInformationFile
SSDT SystemRootsystem32driversfwdrv.sys
ZwSetValueKey
SSDT SystemRootsystem32driversfwdrv.sys
ZwWriteFile
---- Processes - GMER 1.0.10 ----
Process logonui.exe (*** hidden *** )
1332 <-- ROOTKIT !!!
Process C:WINDOWSSystem32TELEXS~1.SCR (*** hidden
*** ) 2424 <-- ROOTKIT !!!
---- Files - GMER 1.0.10 ----
File C:System Volume Information_restore{AACF2F60-8D78-4AC3-
B33C-59DE1D4E4082}
File C:System Volume Information_restore{AEF785A7-AA42-4629-
B93D-807A7B16A7F3}
File D:System Volume Information_restore{AEF785A7-AA42-4629-
B93D-807A7B16A7F3}
---- EOF - GMER 1.0.10 ----
ni zo makkelijk op te lossen door een pc prutser...
alle hulp is welkom
blijft zich maar overal verstoppen...
laatste gmer verslag:
---- System - GMER 1.0.10 ----
SSDT SystemRootsystem32driversfwdrv.sys
ZwClose
SSDT SystemRootsystem32driversfwdrv.sys
ZwCreateFile
SSDT SystemRootsystem32driversfwdrv.sys
ZwCreateKey
SSDT SystemRootsystem32driversfwdrv.sys
ZwCreateProcess
SSDT SystemRootsystem32driversfwdrv.sys
ZwCreateProcessEx
SSDT SystemRootsystem32driversfwdrv.sys
ZwCreateThread
SSDT SystemRootsystem32driversfwdrv.sys
ZwDeleteFile
SSDT SystemRootsystem32driversfwdrv.sys
ZwDeleteKey
SSDT SystemRootsystem32driversfwdrv.sys
ZwDeleteValueKey
SSDT SystemRootsystem32driverskhips.sys
ZwLoadDriver
SSDT SystemRootsystem32driverskhips.sys
ZwMapViewOfSection
SSDT SystemRootsystem32driversfwdrv.sys
ZwOpenFile
SSDT SystemRootsystem32driversfwdrv.sys
ZwOpenKey
SSDT SystemRootsystem32driversfwdrv.sys
ZwResumeThread
SSDT SystemRootsystem32driversfwdrv.sys
ZwSetInformationFile
SSDT SystemRootsystem32driversfwdrv.sys
ZwSetValueKey
SSDT SystemRootsystem32driversfwdrv.sys
ZwWriteFile
---- Processes - GMER 1.0.10 ----
Process logonui.exe (*** hidden *** )
1332 <-- ROOTKIT !!!
Process C:WINDOWSSystem32TELEXS~1.SCR (*** hidden
*** ) 2424 <-- ROOTKIT !!!
---- Files - GMER 1.0.10 ----
File C:System Volume Information_restore{AACF2F60-8D78-4AC3-
B33C-59DE1D4E4082}
File C:System Volume Information_restore{AEF785A7-AA42-4629-
B93D-807A7B16A7F3}
File D:System Volume Information_restore{AEF785A7-AA42-4629-
B93D-807A7B16A7F3}
---- EOF - GMER 1.0.10 ----
ni zo makkelijk op te lossen door een pc prutser...
alle hulp is welkom
Reacties (22)
05-07-2006, 11:23 door
SirDice
Schakel System Restore uit.. En boot naar safe mode.. Dan
nog eens scannen..
GMER ken ik overigens niet...
http://www.sysinternals.com/Utilities/RootkitRevealer.html
nog eens scannen..
GMER ken ik overigens niet...
http://www.sysinternals.com/Utilities/RootkitRevealer.html
05-07-2006, 11:25 door
robertoh
een deel van de oplossing zie ik zitte;
- de shit in de herstelbestanden: systeemherstel uit & reboot
systeemherstel aan & reboot
- het geinfecteerde bestand - telex screensaver verwijderen
- en dan ?????
- paar rootkit remove progs geprobeerd zonder succes
( oa: f secure blacklight, aries rootkit kill, unhack me, klister kernell rootkit
remover, RKDETECTOR v2.0 BETA1, ... )
ofwel lopen deze vast ofwel vinden ze niets of kunnen niet herstellen
ni zo makkelijk
big thanks 4 any help
- de shit in de herstelbestanden: systeemherstel uit & reboot
systeemherstel aan & reboot
- het geinfecteerde bestand - telex screensaver verwijderen
- en dan ?????
- paar rootkit remove progs geprobeerd zonder succes
( oa: f secure blacklight, aries rootkit kill, unhack me, klister kernell rootkit
remover, RKDETECTOR v2.0 BETA1, ... )
ofwel lopen deze vast ofwel vinden ze niets of kunnen niet herstellen
ni zo makkelijk
big thanks 4 any help
05-07-2006, 11:30 door
SirDice
Als ze niets vinden waarom denk je dan dat je een rootkit hebt?
En als ze wat vinden, wat wordt er gevonden dan?
Kijk ook eens met HijackThis en/of Ewido.
NB Pas op met "obscure" scanners! Deze bevatten vaak malware.
Scan met Rootkit Revealer. Die is te vertrouwen.
En als ze wat vinden, wat wordt er gevonden dan?
Kijk ook eens met HijackThis en/of Ewido.
NB Pas op met "obscure" scanners! Deze bevatten vaak malware.
Scan met Rootkit Revealer. Die is te vertrouwen.
05-07-2006, 12:10 door
SirDice
Oh, nog even verder gekeken...
logonui.exe is een normaal windows bestand..
fwdrv.sys is een onderdeel van de Kerio Personal Firewall
M.a.w. je hebt geen rootkit. Vandaar dat je 'm niet kan vinden/verwijderen.
logonui.exe is een normaal windows bestand..
fwdrv.sys is een onderdeel van de Kerio Personal Firewall
M.a.w. je hebt geen rootkit. Vandaar dat je 'm niet kan vinden/verwijderen.
05-07-2006, 12:32 door
robertoh
;o)
mijn admin rechten verdwijnen plots
bepaalde bestanden worden onzichtbaar
& ontoeganklijk
taakbeheer was niet meer te openen
verschillende toepassingen liepen vast
bestanden werden gewijzigd op momenten waarop
geen abnormale CPU -gebruik werd vastgesteld
en zo nog wat leuke dingen..
heb er ffie een pcsmarty naar laten kijken & die kwam met dat idee ..
virus scanners vonden niks abnormaal & rare dingen bleven duren..
Hij mij verteld dat dit zich bevond voor het besturingssysteem & daarmee
klassieke virusscanners geen rare dingen vonden ..
Durf wel is iets te downloaden, wat beta versies te testen & wat funky
software te proberen ...
dacht dat het daar beetje van kwam ..
thanks 4 the good tips SirD
btw, IceSword ook fijn progske voor op alles wat zicht te houden
Muchos gracias
mijn admin rechten verdwijnen plots
bepaalde bestanden worden onzichtbaar
& ontoeganklijk
taakbeheer was niet meer te openen
verschillende toepassingen liepen vast
bestanden werden gewijzigd op momenten waarop
geen abnormale CPU -gebruik werd vastgesteld
en zo nog wat leuke dingen..
heb er ffie een pcsmarty naar laten kijken & die kwam met dat idee ..
virus scanners vonden niks abnormaal & rare dingen bleven duren..
Hij mij verteld dat dit zich bevond voor het besturingssysteem & daarmee
klassieke virusscanners geen rare dingen vonden ..
Durf wel is iets te downloaden, wat beta versies te testen & wat funky
software te proberen ...
dacht dat het daar beetje van kwam ..
thanks 4 the good tips SirD
btw, IceSword ook fijn progske voor op alles wat zicht te houden
Muchos gracias
05-07-2006, 13:30 door
SirDice
Heb je al eens een chkdsk uitgevoerd? Misschien dat je schijf gewoon "op" is. Bad sectors kunnen ook voor rare effecten zorgen.. Een IDE schijf met bad sectors moet zo snel mogelijk vervangen worden.
Een andere mogelijkheid is defect geheugen. Daar gaat'ie ook vrij raar van doen.
Een andere mogelijkheid is defect geheugen. Daar gaat'ie ook vrij raar van doen.
Ik zou gewoon de system files van de originele windows cd terugplaatsen
mits je geen encryptie hebt gebruikt. Dus wel ff booten dmv een opstartcd
met wellicht een ander OS. (ERD?Linux?,BartPe.)
En hierna ff een system restore van je registry van een aantal maanden
geleden
mits je geen encryptie hebt gebruikt. Dus wel ff booten dmv een opstartcd
met wellicht een ander OS. (ERD?Linux?,BartPe.)
En hierna ff een system restore van je registry van een aantal maanden
geleden
05-07-2006, 14:28 door
robertoh
Misschien doet ie wel zo raar omdat er met dit warme weer
constant halfnaakte playmates rond de pc huppelen??
Go bunny, go bunny ;o)
we fixen dat wel,
begon op een moment al paranoia te denken:
Sony eind 2005 proces gehad voor het meeleveren van rootkits
als verborgen prog met audio cd's ..
.. ik download al is graag een liedje & ik zit vrolijk op een sony
vaio te tokkelen ...
Big brother's watching me ;o)
btw; Originele windows cd?
heb 2 windows door elkaar geknutseld na't verwijderen van
een paar (essentiele) .dll bestanden
there ain't a problem we can't fix, ...
constant halfnaakte playmates rond de pc huppelen??
Go bunny, go bunny ;o)
we fixen dat wel,
begon op een moment al paranoia te denken:
Sony eind 2005 proces gehad voor het meeleveren van rootkits
als verborgen prog met audio cd's ..
.. ik download al is graag een liedje & ik zit vrolijk op een sony
vaio te tokkelen ...
Big brother's watching me ;o)
btw; Originele windows cd?
heb 2 windows door elkaar geknutseld na't verwijderen van
een paar (essentiele) .dll bestanden
there ain't a problem we can't fix, ...
05-07-2006, 15:55 door
SirDice
btw; Originele windows cd?
heb 2 windows door elkaar geknutseld na't verwijderen van
een paar (essentiele) .dll bestanden
Zolang ze beiden dezelfde versie (home vs. pro, sp1 vs. sp2heb 2 windows door elkaar geknutseld na't verwijderen van
een paar (essentiele) .dll bestanden
etc) zijn (ook qua taal) mag dat geen problemen opleveren.
06-07-2006, 18:42 door
G-Force
Probeer eens met de [color=blue]BLACKLIGHT ROOTKIT ELIMINATOR
[/color] van F-secure de zaak op te ruimen.
Deze Rootkit killer is hieronder te downloaden:
http://www.f-secure.com/exclude/blacklight/index.shtml
[/color] van F-secure de zaak op te ruimen.
Deze Rootkit killer is hieronder te downloaden:
http://www.f-secure.com/exclude/blacklight/index.shtml
Format c:/ of wippen die harddrive.
Beste methode, als je denkt een rootkit te hebben !!!
Als je tenmiste zeker wil zijn voor 100%
Beste methode, als je denkt een rootkit te hebben !!!
Als je tenmiste zeker wil zijn voor 100%
Rootkits zijn over het algemeen niet te traceren binnen in het systeem. De
pest van rootkits is dat in de kernel, library of applicatie niveaus kunnen
draaien en zich hidden maken. Wanneer een (goede) rootkit zich eenmaal
in je computer heeft genesteld zal dit ten alle tijden een vertekend beeld
laten zien van je computer. Zo zal hij zichzelf hidden maken in je register,
taskmanager en je windows verkenner. Derhalve kan je pc nu bv uitmaken
van een botnetwerk. Zoek maar eens op de rootkit Hacker Defender rootkit
bij google en klik op de megasecurity link.. Over het algemeen wordt
hiervoor 1 oplossing gebruikt en dat is de boel formateren, helaas.
Hacker Defender is een rootkit die je kan kopen en geeft de garantie dat
deze niet wordt gedetecteerd door de huidige generatie rootkit scanners.
Indien dit toch gebeurt krijg je een nieuwe versie van de rootkit...stel je
maar eens voor hoe de toekomst eruit gaat zien wanneer een rootkit de
payload zal gaan worden van een worm zoals sasser en daarbij
polymorphic wordt.
Onthoudt:
Once a bad guy compromises your computer it isnt your computer
anymore.
pest van rootkits is dat in de kernel, library of applicatie niveaus kunnen
draaien en zich hidden maken. Wanneer een (goede) rootkit zich eenmaal
in je computer heeft genesteld zal dit ten alle tijden een vertekend beeld
laten zien van je computer. Zo zal hij zichzelf hidden maken in je register,
taskmanager en je windows verkenner. Derhalve kan je pc nu bv uitmaken
van een botnetwerk. Zoek maar eens op de rootkit Hacker Defender rootkit
bij google en klik op de megasecurity link.. Over het algemeen wordt
hiervoor 1 oplossing gebruikt en dat is de boel formateren, helaas.
Hacker Defender is een rootkit die je kan kopen en geeft de garantie dat
deze niet wordt gedetecteerd door de huidige generatie rootkit scanners.
Indien dit toch gebeurt krijg je een nieuwe versie van de rootkit...stel je
maar eens voor hoe de toekomst eruit gaat zien wanneer een rootkit de
payload zal gaan worden van een worm zoals sasser en daarbij
polymorphic wordt.
Onthoudt:
Once a bad guy compromises your computer it isnt your computer
anymore.
08-07-2006, 01:01 door
Leopard
een firewall kan toch als een preventieve maatregel
beschouwd worden, toch?
beschouwd worden, toch?
08-07-2006, 17:18 door
robertoh
bedankt voor alle reacties,
heb 101 anti rootkit progs geprobeerd,
draai op dit moment 99 security progs
&
voor 99 % loopt alles vlot
enkel de functietoetsen zijn nu weer fucked
zoals bepaalde mensen hier beweren
denk ik dat de enige 100 % cleane oplossing
format C: is ..
De pc blijft werken maar je kan nooit de rootkit zelf volledig vinden,
enkel de gevolgen ervan.
Het onderscheiden van geinfecteerde en juiste bestanden is ni altijd
simpel..
Geinfecteerde betsanden & services zijn ook steeds als verborgen,
niet-verwijderbaar & niet aanpasbaar weergegeven.
Als je ze al kan vinden, kan je ze enkel via een omwegje stoppen
- nieuwe gebruiker aanmaken
- systeemherstel ffie uitschakelen
- rootkit removers gebruiken
- ...
Good luck 2 aan iedereen die er ooit mee zit,
heb alle data op mijn pc via een externe schijf geback uped
en zal me binnenkort is ammuseren met Format C ...
ma'k geef me nogni gewonnen ;o)
thx 4 everything
a lot of skilled people in this forum
heb 101 anti rootkit progs geprobeerd,
draai op dit moment 99 security progs
&
voor 99 % loopt alles vlot
enkel de functietoetsen zijn nu weer fucked
zoals bepaalde mensen hier beweren
denk ik dat de enige 100 % cleane oplossing
format C: is ..
De pc blijft werken maar je kan nooit de rootkit zelf volledig vinden,
enkel de gevolgen ervan.
Het onderscheiden van geinfecteerde en juiste bestanden is ni altijd
simpel..
Geinfecteerde betsanden & services zijn ook steeds als verborgen,
niet-verwijderbaar & niet aanpasbaar weergegeven.
Als je ze al kan vinden, kan je ze enkel via een omwegje stoppen
- nieuwe gebruiker aanmaken
- systeemherstel ffie uitschakelen
- rootkit removers gebruiken
- ...
Good luck 2 aan iedereen die er ooit mee zit,
heb alle data op mijn pc via een externe schijf geback uped
en zal me binnenkort is ammuseren met Format C ...
ma'k geef me nogni gewonnen ;o)
thx 4 everything
a lot of skilled people in this forum
08-07-2006, 22:16 door
G-Force
Beste Roberto,
Inderdaad als het zo gesteld is met je systeem, is formateren
wel de enige optie. Je bent meteen van een heleboel rotzooi verlost.
Ik wens je heel veel succes.
Inderdaad als het zo gesteld is met je systeem, is formateren
wel de enige optie. Je bent meteen van een heleboel rotzooi verlost.
Ik wens je heel veel succes.
09-07-2006, 22:29 door
Endorian_Blizzard
Een firewall zal hierin geen oplossing bieden. Ik heb tijdens mijn post (07
juli 2006 08:20) over de rootkit nog geen inlognaam aangemaakt. Nu
inmiddels wel. Zoals ik boven al vermeld is het probleem met rootkits dat
de bestanden worden aangepast en hierdoor een vertekent beeld op je
beeldscherm geven. (Een scan geeft false positives of worden gewoon
weggelaten.) Ook ethereal (lees Wireshark) geeft hierin denk ik verkeerde
informatie. Het enige waar je het aan zou kunnen merken is wanneer je je
computer niet gebruikt maar wanneer je HD toch begint te rammelen. Je
PC zou dan uit kunnen maken van een zombienetwerk of fungeren als
webserver voor bv. KP-sites... Of je dan ook strafbaar daarvoor bevonden
kan worden weet ik eigenlijk niet, Tonino is toen vrijuitgegaan wegens
ontwetendheid maar toch...
juli 2006 08:20) over de rootkit nog geen inlognaam aangemaakt. Nu
inmiddels wel. Zoals ik boven al vermeld is het probleem met rootkits dat
de bestanden worden aangepast en hierdoor een vertekent beeld op je
beeldscherm geven. (Een scan geeft false positives of worden gewoon
weggelaten.) Ook ethereal (lees Wireshark) geeft hierin denk ik verkeerde
informatie. Het enige waar je het aan zou kunnen merken is wanneer je je
computer niet gebruikt maar wanneer je HD toch begint te rammelen. Je
PC zou dan uit kunnen maken van een zombienetwerk of fungeren als
webserver voor bv. KP-sites... Of je dan ook strafbaar daarvoor bevonden
kan worden weet ik eigenlijk niet, Tonino is toen vrijuitgegaan wegens
ontwetendheid maar toch...
Nu heb ik weinig kaas gegeten van Rootkits.
Maar als hier jongens een gebrande DVD op tafel leggen,die pas
maanden later uitkomt dan kun je er op rekenen dat onder het drinken
van een pilsje,mijn DVD station effe aan het werk is.
Kan ik op deze manier ook die Rootkit op mijn systeem krijgen?
Maar als hier jongens een gebrande DVD op tafel leggen,die pas
maanden later uitkomt dan kun je er op rekenen dat onder het drinken
van een pilsje,mijn DVD station effe aan het werk is.
Kan ik op deze manier ook die Rootkit op mijn systeem krijgen?
10-07-2006, 09:56 door
SirDice
Door Beukenoot
Kan ik op deze manier ook die Rootkit op mijn systeem
krijgen?
Een rootkit krijg je op een zelfde manier als een trojan,Kan ik op deze manier ook die Rootkit op mijn systeem
krijgen?
worm en/of virus.
Zoals SirDice suggereerde gebruik Ewido,lijkt me nu een achterhaalde
oplossing.
Ewido is nu in handen van Grissoft,en is niet meer verkrijgbaar.
Ze hebben naar ik begreep Ewido in een virus programma verpakt.
Natuurlijk gaat dat nu duiten kosten.
En wie zag ik op de site van Panda? Die ene gast van Ewido.
oplossing.
Ewido is nu in handen van Grissoft,en is niet meer verkrijgbaar.
Ze hebben naar ik begreep Ewido in een virus programma verpakt.
Natuurlijk gaat dat nu duiten kosten.
En wie zag ik op de site van Panda? Die ene gast van Ewido.
25-07-2006, 11:30 door
SirDice
Door Endorian_Blizzard
Ook ethereal (lees Wireshark) geeft hierin denk ik verkeerde
informatie.
Ethereal draai je dan ook op een andere computer.Ook ethereal (lees Wireshark) geeft hierin denk ik verkeerde
informatie.
Het enige waar je het aan zou kunnen merken is
wanneer je je computer niet gebruikt maar wanneer je HD toch
begint te rammelen.
Dat zou ook gewoon andere oorzaken kunnen hebben, denk aanwanneer je je computer niet gebruikt maar wanneer je HD toch
begint te rammelen.
virusscanners, de indexing service etc..
ga eens in dos en typ attrib -a -h -r -s en zie alle files worden zichtbaar ,
ook verwijderbaar. dan word het al gemakelijker. dit in elke dir doen zeker
in de root. dan kun je files bespelen en fouten achterhalen . virussen en
aanverwanten zijn windosgericht en kunnen meestal niet tegen dos .
johan de lil
ook verwijderbaar. dan word het al gemakelijker. dit in elke dir doen zeker
in de root. dan kun je files bespelen en fouten achterhalen . virussen en
aanverwanten zijn windosgericht en kunnen meestal niet tegen dos .
johan de lil
Reageren
Deze posting is gelocked. Reageren is niet meer mogelijk.
Netwerk Security Engineer
Luchtverkeersleiding Nederland
Als Netwerk Security Engineer ontwerp en optimaliseer je onze technische netwerk- en beveiligingsinfrastructuur. Je stuurt tech-nische veranderingen aan op basis van de gestelde architectuur kaders en helpt mee met de uitvoering ervan. Ben jij een gedreven professional met passie voor netwerk-beveiliging? Dan is deze functie als Netwerk Security Engineer bij Luchtverkeersleiding Nederland (LVNL) iets voor jou!
Lead Network Security Engineer
Luchtverkeersleiding Nederland
Word Lead Network Security Engineer bij LVNL. Ontwerp en implementeer security-oplossingen die de luchtverkeersleidings-systemen veilig houden. Solliciteer nu en draag bij aan onze cyberweerbaarheid! Als Lead Network Security Engineer bij LVNL ben je verantwoordelijk voor het ontwerpen, implementeren en optimaliseren van de netwerkbeveiliging die cruciaal is voor de veilige en efficiënte werking van het luchtverkeersleidingssysteem in Nederland.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?