Archief - Rootkit probleem

Op de PC van mijn ouders/broer heeft zich een nasty rootkit genesteld. Hij opende constant popups naar goksites e.d., zowel in IE als FF.

Een van de files waaruit hij bestond was 'faceback.exe'. De rootkit verhinderde blijkbaar het uitvoeren van HijackThis, zelfs in veilige modus. Ik heb dan maar manueel de file faceback.exe uit de Windows directory verwijderd, in msconfig alles dat er mee te maken had uitgevinkt en in het register alle verwijzingen verwijderd.

Het hielp niet. Ik kon nog steeds geen HT laten lopen. Ik heb daarom Combofix laten lopen (dat ging wel) en deze heeft een aantal files deleted en een logje aangemaakt.

ComboFix 08-09-14.02 - Papa & Mama 2008-09-15 11:11:20.1 - NTFSx86 NETWORK
Microsoft Windows XP Professional 5.1.2600.2.1252.31.1043.18.769 [GMT 2:00]
Gestart vanuit: D:\ComboFix.exe

WAARSCHUWING - DE RECOVERY CONSOLE IS NIET OP DIT SYSTEEM GEINSTALLEERD !!
.

(((((((((((((((((((((((((((((((((( Andere Verwijderingen )))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\WINDOWS\BM7f3ef427.txt
C:\WINDOWS\BM7f3ef427.xml
C:\WINDOWS\pskt.ini
C:\WINDOWS\system32\cgibwe.dll
C:\WINDOWS\system32\cyyhhscj.dll
C:\WINDOWS\system32\ddayx.dll
C:\WINDOWS\system32\dswin1x.dll
C:\WINDOWS\system32\dtrmdljk.ini
C:\WINDOWS\system32\fbstbetl.dll
C:\WINDOWS\system32\ggcswscw.dll
C:\WINDOWS\system32\ijtezk.dll
C:\WINDOWS\system32\jlylgsde.ini
C:\WINDOWS\system32\jqimpdfw.dll
C:\WINDOWS\system32\msr8702ty.sys
C:\WINDOWS\system32\rtl60.bpl
C:\WINDOWS\system32\rxwghaor.dll
C:\WINDOWS\system32\syn4635ky.dll
C:\WINDOWS\system32\wfdpmiqj.ini
C:\WINDOWS\system32\wmobnruf.ini
C:\WINDOWS\system32\wvehmpgh.ini
C:\WINDOWS\system32\xyadd.ini
C:\WINDOWS\system32\xyadd.ini2

.
((((((((((((((((((((((((((((((((((((((( Drivers/Services )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Legacy_NTMLSVC
-------\Service_NtmlSvc


(((((((((((((((((((( Bestanden Gemaakt van 2008-08-15 to 2008-09-15 ))))))))))))))))))))))))))))))
.

2008-09-15 10:48 . 2008-09-15 10:48 <DIR> d-------- C:\Program Files\Trend Micro

.
((((((((((((((((((((((((((((((((((((((( Find3M Rapport ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-08-21 12:56 --------- d-----w C:\Program Files\ADJ Video Decoder
2008-08-08 16:32 --------- d-----w C:\Program Files\EA games
2008-07-30 20:54 --------- d-----w C:\Documents and Settings\All Users\Application Data\Adjustables
2007-08-23 20:08 1,272,066 ----a-w C:\Program Files\fendt_screensaver_neuheiten_2003.exe
2007-08-10 16:48 1,668,944 ----a-w C:\Program Files\aresregular201_installer.exe
2007-08-10 16:46 704,984 ----a-w C:\Program Files\installer-19585-18-Ares-Tube-2-0-9-English.exe
2007-08-09 21:48 12,858,632 ----a-w C:\Program Files\RealPlayer10-5GOLD.exe
2007-08-09 18:44 3,095,638 ----a-w C:\Program Files\bitcomet_setup.exe
2007-06-27 22:21 17,874,288 ----a-w C:\Program Files\Install_Messenger.exe
2007-06-18 18:46 879,026 ----a-w C:\Program Files\ilxsetup.exe
.

((((((((((((((((((((((((((((((((((((( Reg Opstartpunten )))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Nota* lege verwijzingen & legitieme standaard verwijzingen worden niet getoond
REGEDIT4

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"NetLimiter"="C:\Program Files\NetLimiter\NetLimiter.exe" [2004-01-23 815104]
"NvCplDaemon"="C:\WINDOWS\system32\NvCpl.dll" [2006-08-16 7630848]
"NvMediaCenter"="C:\WINDOWS\system32\NvMcTray.dll" [2006-08-16 86016]
"RTHDCPL"="RTHDCPL.EXE" [2006-09-06 C:\WINDOWS\RTHDCPL.EXE]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2004-08-04 15360]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows]
"AppInit_DLLs"=ijtezk.dll

[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Start^Programma's^Opstarten^Microsoft Office.lnk]
path=C:\Documents and Settings\All Users\Menu Start\Programma's\Opstarten\Microsoft Office.lnk
backup=C:\WINDOWS\pss\Microsoft Office.lnkCommon Startup

[HKLM\~\startupfolder\C:^Documents and Settings^Epyon^Menu Start^Programma's^Opstarten^Watch.lnk]
path=C:\Documents and Settings\Epyon\Menu Start\Programma's\Opstarten\Watch.lnk
backup=C:\WINDOWS\pss\Watch.lnkStartup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\BisonCom]
C:\WINDOWS\VdCap03C\BisonCom [X]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\BigDogPath323Domino]
--a------ 2006-06-28 04:54 49152 C:\WINDOWS\Domino.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\BigDogPath323VMSnap]
--a------ 2006-07-20 06:37 90112 C:\WINDOWS\VMSnap23.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\LiveMonitor]
--a------ 2008-03-14 12:41 498176 C:\Program Files\MSI\Live Update 3\LMonitor.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MSMSGS]
--------- 2004-08-04 01:15 1667584 C:\Program Files\Messenger\msmsgs.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NeroFilterCheck]
--a------ 2001-07-09 12:50 155648 C:\WINDOWS\system32\NeroCheck.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\QuickTime Task]
--a------ 2007-10-19 21:16 286720 C:\Program Files\QuickTime\QTTask.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SunJavaUpdateSched]
--a------ 2005-04-13 03:48 36975 C:\Program Files\Java\jre1.5.0_03\bin\jusched.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\TkBellExe]
--a------ 2007-08-09 23:50 185632 C:\Program Files\Common Files\Real\Update_OB\realsched.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\vptray]
--a------ 2001-09-24 07:59 73728 C:\Program Files\NavNT\vptray.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Alcmtr]
-ra------ 2005-05-03 12:43 69632 C:\WINDOWS\ALCMTR.EXE

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\nwiz]
--a------ 2006-08-16 16:35 1617920 C:\WINDOWS\system32\nwiz.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SkyTel]
-ra------ 2006-05-16 12:04 2879488 C:\WINDOWS\SkyTel.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\services]
"KPF4"=2 (0x2)
"DomainService"=2 (0x2)
"SPF4"=2 (0x2)
"aawservice"=3 (0x3)
"Norton AntiVirus Server"=2 (0x2)
"DefWatch"=2 (0x2)

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusDisableNotify"=dword:00000001
"UpdatesDisableNotify"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"C:\\Program Files\\HP\\Digital Imaging\\bin\\hpqscnvw.exe"=
"C:\\Program Files\\HP\\Digital Imaging\\bin\\hpqkygrp.exe"=
"C:\\Program Files\\HP\\Digital Imaging\\bin\\hpqnrs08.exe"=
"C:\\Program Files\\MSN Messenger\\msnmsgr.exe"=
"C:\\Program Files\\MSN Messenger\\livecall.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"24877:TCP"= 24877:TCP:BitComet 24877 TCP
"24877:UDP"= 24877:UDP:BitComet 24877 UDP
"3389:TCP"= 3389:TCPxpsp2res.dll,-22009

R2 DUMeterSvc;DU Meter Service;C:\Program Files\DU Meter\DUMeterSvc.exe [2007-10-15 1382672]
S2 dsniff;dsniff;C:\WINDOWS\system32\drivers\dsniff.sys [ ]
S3 M1000Srv;M5605C USB2.0 Camera Driver;C:\WINDOWS\system32\Drivers\M1000KNT.sys [ ]
S3 vmfilter323;323 filter service, Normal;C:\WINDOWS\system32\drivers\vmfilter323.sys [2006-08-08 476672]
S3 ZSMC326;Vimicro USB2.0 PC Camera(VC0323);C:\WINDOWS\system32\Drivers\usbvm323.sys [2006-08-21 244864]
.
Inhoud van de 'Gedeelde Taken' map
.
- - - - ORPHANS REMOVED - - - -

BHO-{9612EEFB-0A54-4B60-BF9D-3FB5D46067FE} - C:\WINDOWS\system32\ddayx.dll
BHO-{b5c8e100-bd2a-4bbc-85c3-53139f8166f9} - C:\WINDOWS\system32\ijtezk.dll
HKCU-Run-msnmsgr - F:\Program Files\MSN Messenger\msnmsgr.exe
Notify-pmnmjge - pmnmjge.dll
MSConfigStartUp-7c0dc7bb - C:\WINDOWS\system32\jqimpdfw.dll
MSConfigStartUp-icq - C:\WINDOWS\system32\hgpmhevw.dll
MSConfigStartUp-M1000Mnt - M1000Rmv.dll
MSConfigStartUp-SManager - smanager.7.exe


.
------- Supplementary Scan -------
.
FireFox -: Profile - C:\Documents and Settings\Papa & Mama\Application Data\Mozilla\Firefox\Profiles\stqxfzp4.default\
FireFox -: prefs.js - STARTUP.HOMEPAGE - hxxp://www.google.be
.

**************************************************************************

catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-09-15 11:14:06
Windows 5.1.2600 Service Pack 2 NTFS

scannen van verborgen processen ...

scannen van verborgen autostart items ...

scannen van verborgen bestanden ...

Scan succesvol afgerond
verborgen bestanden: 0

**************************************************************************

[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\DUMeterSvc]
"ImagePath"="C:\Program Files\DU Meter\DUMeterSvc.exe /startedbyscm:E1F6D4BE-40E33354-DUMeterService"
.
--------------------- DLLs Geladen Onder Lopende Processen ---------------------

PROCESS: C:\WINDOWS\system32\winlogon.exe
-> C:\WINDOWS\system32\NavLogon.dll

PROCESS: C:\WINDOWS\system32\lsass.exe
-> C:\Program Files\NetLimiter\nl_lsp.dll
-> C:\WINDOWS\system32\nl_msgc.dll
.
------------------------ Other Running Processes ------------------------
.
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\HPZipm12.exe
.
**************************************************************************
.
Voltooingstijd: 2008-09-15 11:15:37 - machine was rebooted
ComboFix-quarantined-files.txt 2008-09-15 09:15:35
ComboFix2.txt 2007-06-30 13:23:38

Pre-Run: 38,131,195,904 bytes beschikbaar
Post-Run: 39,000,064,000 bytes beschikbaar

179

De rootkit leek nu verwijderd. Ik heb ook nog even Vundofix laten lopen, die vond niks. Ik kon nu ook terug HT laten lopen.

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 11:20:36, on 15/09/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Program Files\NetLimiter\NetLimiter.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Program Files\DU Meter\DUMeterSvc.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\explorer.exe
C:\WINDOWS\system32\notepad.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.kbc.be/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [NetLimiter] C:\Program Files\NetLimiter\NetLimiter.exe /s
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Lokale service')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Netwerkservice')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O10 - Unknown file in Winsock LSP: c:\windows\system32\nwprovau.dll
O20 - AppInit_DLLs: ijtezk.dll
O23 - Service: DU Meter Service (DUMeterSvc) - Hagel Technologies Ltd - C:\Program Files\DU Meter\DUMeterSvc.exe
O23 - Service: HP Port Resolver - Hewlett-Packard Company - C:\WINDOWS\system32\spool\drivers\w32x86\3\HPBPRO.EXE
O23 - Service: HP Status Server - Hewlett-Packard Company - C:\WINDOWS\system32\spool\drivers\w32x86\3\HPBOID.EXE
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

--
End of file - 3334 bytes


Volgens mij ziet dit er goed uit? Is er nog een manier waarop ik kan controleren of de PC nu volledig clean is? En moet ik me zorgen maken om de regel 'O20 - AppInit_DLLs: ijtezk.dll' ?

* Download Malwarebytes' Anti-Malware via hier of hier.

Dubbelklik mbam-setup.exe om het programma te installeren.

• Zorg ervoor dat er een vinkje geplaatst is voor Update Malwarebytes' Anti-Malware en Launch Malwarebytes' Anti-Malware, Klik daarna op "finish".
• Indien een update gevonden werd, zal het die downloaden en de laatste versie installeren.
• Wanneer het programma volledig up to date is, selecteer "Perform Quick Scan", daarna klik Scan.
• Het scannen kan een tijdje duren, dus wees geduldig.
• Wanneer de scan voltooid is, klik OK, daarna "Show Results" om de resultaten te zien.
• Zorg ervoor dat daar alles aangevinkt is, daarna klik: Remove Selected.
• Na het verwijderen zal een log openen en zal er gevraagd worden om de computer opnieuw op te starten. (Zie extra nota onderaan)
• De log wordt automatisch bewaard door MBAM die je kan zien door de "Logs" tab te klikken in MBAM.
• Kopieer en plak de resultaten van de log in je volgend antwoord, samen met een nieuw HijackThislog.

Extra Nota:
Indien MBAM moeilijkheden heeft met het verwijderen van bepaalde bestanden zal het enkele meldingen geven waar je OK moet klikken. Daarna zal het vragen om de Computer opnieuw op te starten... dus sta toe dat MBAM de computer opnieuw opstart.