Transscout-trojan

[rezeda52]

Witam, zmuszony zostalem do poszukiwan i znalazlem cos takiego:
"transscout-trojan horse"
Oprocz trojana jeszcze: "navipromo.bzl" oraz "exitwin.a"
Na temat tego trojana jest bardzo niewiele w necie,
prosze o wszelkie mozliwe szczegoly.
Zrobilem PC-towi "sciezke zdrowia", ale nie mam pewnosci,
czy nie podeslal mi moj PC bez mojej wiedzy innym
respondentom.
Ukryty byl w pliku exe: "Web media player"
Pozdrawiam-rezeda52

[Gość: Kolobos]

Daj log z combofix oraz podaj nazwy zainfekowanych plikow oraz ich lokalizacje (o ile masz jeszcze te pliki).

[rezeda52]

Pliki z systemu, wpisy w rejestrze to juz historia.
Problem pojawil sie w momencie instalacji sterownikow
do skanera. Bedac odlaczonym od netu "firewall-norton"
wyswietlil dziwny komunikat i od tego sie zaczelo.
Uwazam, ze na "fabrycznym" CD nie powinno byc smietnika.
Chociaz....
Najbardziej interesuje mnie bezpieczenstwo innych
korespondentow, wysle np. CV z takim "kleksem"
i o pracy moge zapomniec....

Pzdr rezeda52

[rezeda52]

Combofix popracowal ale loga nie wygenerowal bo twierdzi,
ze brakuje mu wpisu w rejestrze. Pracuje na WinME-arabic version,
i moze jest to dla niego za trudne.
Zrobilem kopie "web media player" na innym HD (takim dyzurnym)
zamienilem rozszerzenie "exe" na "zip" i powalcze po DOS-em
na plikach ponizej 1kb.

Pzdr

[Gość: Paweł]

W takim razie spróbuj zrobić log w DSS (będą dwa pliki tekstowe - main.txt i
extra.txt).

[Gość: Kolobos]

Pod takim zabytkiem jak ME nie dziala combofix, dss raczej tez nie.
Daj log z hijackthis + silent runners, do tego zrob skan spybot s&d.

[rezeda52]

Witam,
...sciagnalem wszystko ze "strony domowej forum", ale
tylko "super spy" skanuje. Inne sa za nowoczesne.
W sumie od ponad 5 lat nic nie formatowalem,
nic sie nie wiesza, nie bylo niebieskich stron.

Na przemian ME i 2000. XP wykreslilem jakis czas
temu, bo uwazam, ze jest to "szpiegowski system".
Poczatki dal "Seti at Home" w 95r.
A do zabawy,... owszem dobry.
Dwa skanery on-line nic nie protestuja.

Pod DOS znalazlem dwa pliki po ok 450b.
Jeden czytany tylko do polowy. Reszta znaki spec.
cyrylica? arabskie? idish?
Dlatego infekcja nie rozwinela skrzydelek,
bo jest adresowana do okreslonego odbiorcy.

Dziekuje za wsparcie, podziwiam wiedze
zapal do tej katorzniczej pracy.

...a na wakacje-Karaiby (bez laptopa i komorki).

Pozdro-Roman

[Gość: Paweł]

Co to znaczy, że Hijackthis nie działa ?Pobrałeś najnowszą wersję ? (2.0.2) Nie
pluje się o brak bibliotek Visual Basica ? Zajrzyj do tego wątku:
www.searchengines.pl/index.php?showtopic=15989&st=0
i poczytaj o problemach.
Jeśli nie podasz błędów przy próbie uruchamiania tych programów, to raczej
będzie trudno pomóc.

[rezeda52]

Witam,

nie pluje sie o VB6.0-KB290887-X86
Silent Runn-wygenerowal 79 stron
Polecam biezacy monitoring:
"TaskInfo2000"-Igor Arsenin

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 22:39:59, on 27/05/2008
Platform: Windows ME (Win9x 4.90.3000)
MSIE: Internet Explorer v5.50 (5.50.4134.0100)
Boot mode: Normal

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\PROGRAM FILES\NORTON INTERNET SECURITY PROFESSIONAL\NISSERV.EXE
C:\WINDOWS\SYSTEM\STIMON.EXE
C:\WINDOWS\EXPLORER.EXE
C:\PROGRAM FILES\NORTON INTERNET SECURITY PROFESSIONAL\NISUM.EXE
C:\PROGRAM FILES\NORTON INTERNET SECURITY PROFESSIONAL\SYMPXSVC.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\WINDOWS\SYSTEM\INTERNAT.EXE
C:\PROGRAM FILES\NORTON ANTIVIRUS\NAVAPW32.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\PROGRAM FILES\NORTON INTERNET SECURITY PROFESSIONAL\IAMAPP.EXE
C:\MY DOCUMENTS\SOFT\SERVICE\HIJACK\HIJACKTHIS2.EXE
C:\WINDOWS\SYSTEM\WBEM\WINMGMT.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} -
C:\PROGRAM FILES\ADOBE\ACROBAT 5.0\READER\ACTIVEX\ACROIEHELPER.OCX
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program
Files\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} -
C:\Program Files\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [internat.exe] internat.exe
O4 - HKLM\..\Run: [NAV Agent] C:\PROGRA~1\NORTON~1\NAVAPW32.EXE
O4 - HKLM\..\Run: [iamapp] C:\Program Files\Norton Internet Security
Professional\IAMAPP.EXE
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMON.EXE
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe
powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [SSDPSRV] C:\WINDOWS\SYSTEM\ssdpsrv.exe
O4 - HKLM\..\RunServices: [ScriptBlocking] "C:\Program Files\Common
Files\Symantec Shared\Script Blocking\SBServ.exe" -reg
O4 - HKLM\..\RunServices: [nisserv] C:\Program Files\Norton Internet Security
Professional\NISSERV.EXE
O4 - HKLM\..\RunServices: [StillImageMonitor] C:\WINDOWS\SYSTEM\STIMON.EXE
O20 - Winlogon Notify: !SASWinLogon - C:\PROGRAM FILES\SUPERANTISPYWARE\SASWINLO.DLL

--
End of file - 2541 bytes

Zainstalowane 63 programy nie pracujace w tle.
M in. 6 komunikatorow, 5 przegladarek, 4 grafika
4 filmy 3 dla DVD i inne. I sie nie gryza jak pies z kotem.
Przy 512Mb DDR 139Mb zajete z Nortonem w tle.
I to by bylo na tyle-POZDRO.ROMAN