Virusalarm fra Norman

[krible]

Hei, ville bare gjøre forumet oppmerksom på følgende melding som dukket opp hjemme hos meg i går kveld.

 

 

Utklipp fra loggen til Norman:

------------------------------

Trojaner W32/Delf.TTO

Påloggingsinfo: bruker 'xxxxxxxx', vert 'xxxxxxxx' .

Infisert fil C:\Programfiler\K-Lite Codec Pack\Media Player Classic\mplayerc.exe

Fjernet Trojaner W32/Delf.TTO

 

 

 

Trojaner W32/Delf.TTO

Påloggingsinfo: bruker 'xxxxxxxx', vert 'xxxxxxxx' .

Infisert fil C:\System Volume Information\_restore{31xxEED3-0xxB-4xxE-9xxE-8AAxxx749889}\RP129\A0004461.exe

Fjernet Trojaner W32/Delf.TTO

-------------------------------

 

 

Jeg kan ikke finne noe informasjon på Google om denne troyaneren. Den har infisert / skjult seg inne i Mediaplayer Classic, mediaplayeren som følger med K-Lite Codec Pack. Dere som har denne bør kanskje være ekstra på vakt.

 

Maskinen min har til tider virket litt treg i reaksjonen (AMD3000+ m / 2GB ram). Det har tatt litt tid fra jeg har klikket på iconer til ting har skjedd. Det har vært litt irriterende, men ikke nok til at jeg har blitt alarmert. Ikke før nå, da Norman plutselig slo alarm.

 

Jeg har selvfølgelig avinstallert alt som heter K-Lite Codec fra maskinen min og slettet downloadkatalogen, men er det mulig å finne eventuelle drop-filer fra troyaneren, eller er clean install beste / eneste kuren?

[norbat]

Du kan poste en Hijackthis-logg

[krible]

Du kan poste en Hijackthis-logg

7290590[/snapback]

 

 

Takk for tipset. Jeg skal prøve det.

[L O G I M A N]

Jeg fikk også en lignende beskjed her om dagen i Kaspersky, på samme fila, etter en oppdatering. Kjørte image, oppdaterte p nytt samme melding. Kjørte image på kvelden igjen og oppdaterte og alt er ok igjen. Så jeg har tatt dette som en feil melding.

[Thor.]

Prøv å manuelt slette C:\Programfiler\K-Lite Codec Pack\Media Player Classic\mplayerc.exe

og innstaler Codecen/programmet på nytt

 

Etterpå så sørger du for å kunne se skjulte filer og mapper. Åpne mine dokumenter, velg verktøy og mappealternativer, bytt tab til vis. Da vil du se en liste med alternativer bla til du ser "Vis skjulte filer og mapper" og velg å vise disse filene.

 

Nå skal du kunne se mappen "C:\System Volume Information". Høyreklikk den og velg det siste alternativet "egenskaper" og bytt til tab`en kalt sikkerhet. Trykk på knappen legg til. Skriv enten ditt brukernavn eller all (helst ditt brukernavn). Trykk ok og gota alt. Trykk på start->kjør og lim inn "C:\System Volume Information\_restore{31xxEED3-0xxB-4xxE-9xxE-8AAxxx749889}\RP129\"

Slett filen A0004461.exe og scan etter virus på nytt

 

*Brukte [u.] tags for å gjøre det lettere å se forskjell på det du skulle trykke/skrive og det som var generell info*

Endret 15. november 2006 av Thor.

[L O G I M A N]

Dette kom eter at min antirvirus lbe oppdatert (Kaspersky). Jeg kjørte da et image, tok en scan og alt ok. Oppdaterte antivirusen på nytt, virusmeldingen tilbake. Kjørte så image på nytt etter et par timer igjen. oppdaterte og alt ok. Jeg kan da ikke forstå annet enn at det har vært en feil på virusoppdateringen. Et virus kan ikke forsvinne fra et image uten videre.

[L O G I M A N]

For Kaspersky ble dette bekreftet som en feil i oppdateringen på mandag. Ble riktig nok fikset ganske kjapt.

 

Mer info kan finnes her (Kasperskys forum. Info på tysk)

 

http://forum.kaspersky.com/index.php?showt...=0entry220747

[krible]

Interessant det de skriver på Kaspersky sitt forum. Jeg lastet ned en "frisk" K-Lite Codec pakke herfra:

 

http://home.hccnet.nl/h.edskes/mirror.htm

 

Og ganske riktig, Norman ga øyeblikkelig alarm på samme troyaner ved installering. Jeg lastet også ned Mediaplayer Classic fra Sourceforge, slik som den tyske siden anbefalte. Det gikk helt fint, Norman hadde ingenting imot den originale utgaven av spilleren.

 

OBS OBS!

Jeg tror det er stor sannsynlighet for at det er noe phishy med K-Lite Codek-pakkene for tiden. Jeg våger ihvertfall ikke ha noe sånt inne på maskinen min inntil videre.

[L O G I M A N]

Den classic i K-lite er optimalisert for codec kjøring, og er nok en annen versjon enn den som er original.

 

Dessuten tror jeg at om en av verdens mest brukte codec pakker hadde inneholdt en trojaner, hadde nok jungeltelegrafen gått fort.

 

En av de "infiserte" classicene ble også gjennomgått av kaspersky lab og ble frisk meldt der. Kan være at norman ikke er obs på problemet enda. De har nok ikke så ofte oppdatering som KAV, der det aldri er mer enn timer mellom hver gang.

 

Til info: Jeg hadde K-Lite 1.53 (fullpack inne) og den er vel fra januar eller noe. Så ville vært rart om den plutselig skulle fått virus, eller at den ble først oppdaget nå.

Endret 17. november 2006 av sesteen