UYDH.exe - irc trojan/bakdør? (Rbot modded)

[amiganostalgia]

Hei!

 

Etter en liten opprensking/optimalisering, som seg hør og bør i ny og ne, kom jeg over at jeg hadde denne filen i oppstarten.

 

Etter å ha åpnet fila i notepad kom jeg over teksten, rbot modded.

Det slo jeg så opp på google og kom over en del linker som omhandlet en slags irc trojan/backdoor program.

 

Er det noen andre som har denne filen? Jeg scannet filen med nod32 men den ser ikke noe gale med den.

 

edit: grunnen til at jeg spør her, er fordi både nod32 og en sjekk med spybot kom opp tom.

Endret 11. mars 2007 av amiganostalgia

[norbat]

Hei,

Kunne du laste opp den file (uydh.exe) til http://virusscan.jotti.org/ og se hva den sier.

 

Hvis jotti er overbelastet, kan du prøve: http://www.virustotal.com/xhtml/index_en.html

 

I tillegg legger du ut en Hijackthis-logg

Endret 11. mars 2007 av norbat

[amiganostalgia]

tusen takk, jeg holder på å kjøre den scanen nå og den er positiv. dvs fila er nasty. Tar litt tid å kjøre sjekken helt ferdig.

Hva mener du med å legge ut en hijack this logg?

 

Service

Service load:

0% 100%

File: uydh.exe

Status:

POSSIBLY INFECTED/MALWARE (Note: this file was only classified as malware by scanners known to generate more false positives than the average scanner. Do not consider these results definately accurate. Also, because of this, results of this scan will not be recorded in the database.)

MD5 79a6e962c8b4b84740c5ea5096b0e009

Packers detected:

-

Scanner results

Scan taken on 11 Mar 2007 14:23:23 (GMT)

AntiVir

Found TR/Agent.1441887

ArcaVir

Found nothing

Avast

Found nothing

AVG Antivirus

Found nothing

BitDefender

Found DeepScan:Generic.Malware.G!SKI!!FLMPWX!!BVPkprng.BF2C523A

ClamAV

Found nothing

Dr.Web

Found nothing

F-Prot Antivirus

Found nothing

F-Secure Anti-Virus

Found nothing

Fortinet

Found nothing

Kaspersky Anti-Virus

Found nothing

NOD32

Found nothing

Norman Virus Control

Found nothing

Panda Antivirus

Found nothing

VirusBuster

Found nothing

VBA32

Found nothing

 

*tekst kuttet*

Scanner Malware name

AntiVir X

ArcaVir X

Avast X

AVG Antivirus X

BitDefender X

ClamAV Trojan.Dropper.Delf-65

Dr.Web X

F-Prot Antivirus X

F-Secure Anti-Virus X

Fortinet X

Kaspersky Anti-Virus X

NOD32 X

Norman Virus Control X

Panda Antivirus Trj/Meteps.A

VirusBuster X

VBA32 Trojan-Dropper.Delf.6ervice.

Endret 11. mars 2007 av amiganostalgia

[norbat]

Ok, da kan du slette UYDH.EXE. Om du ønsker veiledning, si ifra.

 

Det jeg mente med HJT-logg:

Last ned Hijackthis, start programmet og velg "Do a system scan and save a logfile" . Loggfilen kopierer du og limer inn i posten din. Loggfilen kan fortelle om det er filer som ikke bør være på pc'n og evt. framgangsmåte for å få en spywarefri pc

[amiganostalgia]

Ok, da kan du slette UYDH.EXE. Om du ønsker veiledning, si ifra.

 

Det jeg mente med HJT-logg:

Last ned Hijackthis, start programmet og velg "Do a system scan and save a logfile" . Loggfilen kopierer du og limer inn i posten din. Loggfilen kan fortelle om det er filer som ikke bør være på pc'n og evt. framgangsmåte for å få en spywarefri pc 

8128520[/snapback]

 

 

Ja ok jeg skjønte det da jeg startet programmet, er en stund siden jeg har kjørt det.

Men jeg bare slettet uyhd derifra og filen. Jeg hadde allerede slettet det via CCleaner/tools/startup verktøyet, men det var ikke godt nok selvfølgelig.

 

Reinstallerte spybot MED teatimer nå så jeg håper å være noe bedre sikret mot uønskede oppstartsprogrammer neste gang.

 

Lurer på hvordan jeg har fått det inn på maskinen, jeg er en del på irc, men ikke hele tiden..

 

Innhold av loggen ETTER at jeg har fjernet kulpriten, ser slik ut.

 

Logfile of HijackThis v1.99.1

Scan saved at 17:14:58, on 11.03.2007

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.5730.0011)

 

Running processes:

C:\XP\System32\smss.exe

C:\XP\system32\winlogon.exe

C:\XP\system32\services.exe

C:\XP\system32\lsass.exe

C:\XP\system32\svchost.exe

C:\XP\System32\svchost.exe

C:\XP\Explorer.EXE

C:\PF\sys\Eset\nod32krn.exe

C:\PF\disk\PD\PDEngine.exe

C:\PF\sys\G5\SetPoint\SetPoint.exe

C:\PF\Common Files\Logitech\khalshared\KHALMNPR.EXE

C:\XP\system32\svchost.exe

C:\PF\sys\spybot\TeaTimer.exe

C:\PF\Common Files\Acronis\Schedule2\schedul2.exe

C:\PF\disk\PD\PDAgent.exe

P:\MyPF\Portable\PortableApps\FirefoxPortable\App\firefox\firefox.exe

P:\MyPF\net\HiJackThis\analyze.exe

 

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =

R3 - Default URLSearchHook is missing

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\PF\Java\jre1.6.0\bin\ssv.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O4 - HKLM\..\Run: [amd_dc_opt] C:\PF\sys\amd\amd_dc_opt.exe

O4 - HKLM\..\Run: [nod32kui] "C:\PF\sys\Eset\nod32kui.exe" /WAITSERVICE

O4 - HKCU\..\Run: [spybotSD TeaTimer] C:\PF\sys\spybot\TeaTimer.exe

O4 - Global Startup: Logitech SetPoint.lnk = ?

O8 - Extra context menu item: E&ksporter til Microsoft Excel - res://C:\PF\MICROS~1\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\PF\Java\jre1.6.0\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\PF\Java\jre1.6.0\bin\ssv.dll

O9 - Extra button: Oppslag - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PF\MICROS~1\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)

O11 - Options group: [iNTERNATIONAL] International*

O11 - Options group: [TABS] Tabbed Browsing

O17 - HKLM\System\CCS\Services\Tcpip\..\{AB26FFB9-5E09-44E1-B1CF-D3C7791B5C3F}: NameServer = 217.13.7.140,217.13.4.24

O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PF\MSNMES~1\MSGRAP~1.DLL

O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PF\MSNMES~1\MSGRAP~1.DLL

O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\XP\system32\wpdshserviceobj.dll

O23 - Service: Acronis Scheduler2 Service (AcrSch2Svc) - Acronis - C:\PF\Common Files\Acronis\Schedule2\schedul2.exe

O23 - Service: Adobe LM Service - Adobe Systems - C:\PF\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe

O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\PF\sys\Eset\nod32krn.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\XP\system32\nvsvc32.exe

O23 - Service: PDAgent - Raxco Software, Inc. - C:\PF\disk\PD\PDAgent.exe

O23 - Service: PDEngine - Raxco Software, Inc. - C:\PF\disk\PD\PDEngine.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\XP\system32\HPZipm12.exe

[norbat]

Det så da riktig så fint ut den der

 

Du kan fixe:

R3 - Default URLSearchHook is missing

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

 

(Lukk alle andre programmer før du klikker 'Fix checked')

[amiganostalgia]

Takker for innspill og hjelp norbat. Er det noe bra program som beskytter mot slike trojaner?

[norbat]

NOD32 med real-time malware beskyttelse vil jeg tro er et godt utgangspunkt uten at jeg kjenner til dette programmet så godt.

 

Det finnes flere gode antispywareprogram (AVGas, SuperAntispyware, Spy Sweeper m.fl.) med realtime, noe som er helt nødvendig for å stoppe spywaren før den kommer på pc'n. Kan man leve med at man av og til får inn uønskede gjester, er gratisversjonene av AVGas og SuperAntispyware en anbefaling.

 

Det finnes noen enkle (og gratis) programmer som også er forebyggende. Et av dem som er verdt å vurdere er IE-SpyAD . Dette er et lite program som legger til noen tusen sider i Restricted sites (Begrensede områder). Sidene som blir lagt inn er sider man vet spyware o.l kommer fra. Bruker dette selv og har ikke merket noen form for treghet e.l. i nettleseren.

Endret 12. mars 2007 av norbat