[Løst]Email hacked - MBAM og Combofix log

[prusik]

Plutselig fikk jeg ikke innkommende mail og domene mitt ble sperret. Når jeg kontakter support fikk jeg dette svaret:

 

"your account was apparently hacked and was being used for spam, I have removed the cgi scripts they uploaded and changed your password"

 

Vet ikke hvordan de har gjort dette. En trojan på min maskin eller er det hostingselskapet sine servere som er hacket?

 

Nedenfor er MBAM log og vedlagt er Combofix log. Input mottas med stor takk.

 

Kjører AVP og SAS.

 

Morten

 

 

Malwarebytes' Anti-Malware 1.34

Database version: 1837

Windows 5.1.2600 Service Pack 3

 

12.03.2009 00:08:46

mbam-log-2009-03-12 (00-08-46).txt

 

Scan type: Quick Scan

Objects scanned: 71866

Time elapsed: 5 minute(s), 46 second(s)

 

Memory Processes Infected: 0

Memory Modules Infected: 0

Registry Keys Infected: 7

Registry Values Infected: 2

Registry Data Items Infected: 0

Folders Infected: 1

Files Infected: 6

 

Memory Processes Infected:

(No malicious items detected)

 

Memory Modules Infected:

(No malicious items detected)

 

Registry Keys Infected:

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{b69a9db4-d0a1-4722-b56b-f20757a29cdf} (Adware.Agent) -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{b6e95516-27c0-443d-9ba9-abd8c12bae16} (Trojan.Vundo) -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\SOFTWARE\Live_TV (Adware.Agent) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Live_TV (Adware.Agent) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Live_TV Toolbar (Adware.Agent) -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\contim (Trojan.Vundo) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\IProxyProvider (Trojan.Vundo) -> Quarantined and deleted successfully.

 

Registry Values Infected:

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\URLSearchHooks\{b69a9db4-d0a1-4722-b56b-f20757a29cdf} (Adware.Agent) -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Toolbar\WebBrowser\{b69a9db4-d0a1-4722-b56b-f20757a29cdf} (Adware.Agent) -> Quarantined and deleted successfully.

 

Registry Data Items Infected:

(No malicious items detected)

 

Folders Infected:

C:\Programfiler\Live_TV (Adware.Agent) -> Quarantined and deleted successfully.

 

Files Infected:

C:\Programfiler\Live_TV\INSTALL.LOG (Adware.Agent) -> Quarantined and deleted successfully.

C:\Programfiler\Live_TV\tbLive.dll (Adware.Agent) -> Quarantined and deleted successfully.

C:\Programfiler\Live_TV\toolbar.cfg (Adware.Agent) -> Quarantined and deleted successfully.

C:\Programfiler\Live_TV\UNWISE.EXE (Adware.Agent) -> Quarantined and deleted successfully.

C:\WINDOWS\BMdf051030.txt (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\clkcnt.txt (Trojan.Vundo) -> Quarantined and deleted successfully.

Combofix.rtf

[norbat]

Det er/var kontoen hos hostingselskapet du bruker som var 'hacket'.

 

Loggen sin ser ok ut. Opplever du noen problemer?

[prusik]

Det var godt å høre.

 

Alt fungerer fint nå. Flytter uansett domene og hosting til en annen leverandør. Har ikke vært borti slikt før, er det noe som kan hende, og man bør bare ta det til etterretning, eller er det sjeldent og totalt uakseptabelt fra en leverandør?

 

Har hatt konto der i mange år men Livehost.net har fått mye kritikk etter at de byttet eier.

[norbat]

Dessverre er dette vanlig og man kan aldri garantere seg mot at noen klarer å hacke seg inn og, som i ditt tilfelle, legge inn programvare der utenforstående kan 'logge' seg inn og utføre div. aktiviteter. Om det var ditt passord (evt. program du kjører på severen) eller om det var svakheter i serverprogramvaren som var skyld i ditt tilfelle vites ikke, men det er ganske avgjørende at leverandøren har oppdatert sine severer slik at evt. sikkerhetshull er tettet.

Endret 12. mars 2009 av norbat

[prusik]

Er den beste forsikring å kun holde seg til f.eks. gmail?

[norbat]

I steden for epostadr. knyttet til eget domene?

Nei, ser ingen grunn til det.