Bekijk Volledige Versie : Hack: visualizar_dados_pedido.exe
Beste,
enkele dagen terug hebben kwaadwilligen een van mijn cliënten zijn site misbruikt.
Na wat ramen en deuren toe getimmerd te hebben, baart enkele files mij een zorg.
Op de server vond ik allerlei files waaronder: visualizar_dados_pedido.exe
Deze file is sinds de hack 100derden keren opgevraagd, en wordt nu ook nog steeds opgevraagd (zonder succes wel).
Iemand enig idee waartoe deze exe in staat is?
Verder nog een geavanceerd php script, perl voor connectie met botnet/irc, .. .
Waarschijnlijk een remote control programma, en botnet computers die het bestand opvragen.
Anyway, weet je zeker dat je systeem "clean" is?
Misschien een herinstallatie overwegen?
Waarschijnlijk een remote control programma, en botnet computers die het bestand opvragen.
Anyway, weet je zeker dat je systeem "clean" is?
Misschien een herinstallatie overwegen?
Het systeem is pas operationeel sinds 1 augustus. (een herinstallatie zou'k liever vermijden, ...)
Wel die exe wordt blijkbaar ook uit mail accounts opgeroepen bvb:
189.54.***.*** - - [21/Aug/2008:17:46:45 +0200] "GET /images/visualizar_dados_pedido.exe HTTP/1.1" 200 165134 "http://br.mc585.mail.yahoo.com/mc/showMessage?fid=Inbox&sort=date&order=down&startMid=0&.rand=1541584728&da=0&midIndex=2&mid=1_1130906_AMTsjkQAAA5%2FSKzfNQcTewZUf%2FE&prevMid=1_1132310_AMbsjkQAAJMvSK1HJQkr1zVlHoc&nextMid=1_1130315_AMHsjkQAAPB1SKzMRwqx1HHpu5Q&m=1_1131555_AMDsjkQAAElFSK1HJQOnYTVlHoc,1_1132310_ AMbsjkQAAJMvSK1HJQkr1zVlHoc,1_1130906_AMTsjkQAAA5% 2FSKzfNQcTewZUf%2FE,1_1130315_AMHsjkQAAPB1SKzMRwqx 1HHpu5Q,1_1129663_ALjsjkQAAWvDSKzMMglkbWbMdm0,1_11 28936_AL3sjkQAAVZsSKxNbQZV8Sfii44,1_1127491_ALnsjk QAAJFnSKtLzwApOyvhlX8,1_1128231_AL7sjkQAAHB9SKtMqg OHqC8whh0," "Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; InfoPath.2)"
Ik probeer momenteel uit te vissen wat er precies allemaal gebeurd is, maar natuurlijk is dat niet zo eenvoudig zoals ik gedacht heb.
Iemand weet van perl log files ofzo?
De server kan soms plots hoog in het ram vebruik schieten, eerste achte ik dat als normaal, maar nadien gezien zou dit we mede kunnen zijn door deze ongewenste bezoekers?
Ik weet niet of je er wat mee kan, maar het visualizar dados pedido is spaans voor visualize given order volgens Google translate.
Van een eenmaal gehacked systeem weet je nooit of hij weer veilig is of niet. De enige oplossing die je hebt om hem echt weer schoon te hebben is een herinstallatie. Daarnaast moet je natuurlijk alles zo dicht zetten dat het niet nog een keer kan gebeuren.
Waarom laat je het bestand niet even testen bij Virustotal (.com)? Misschien dat je zo wat meer info krijgt omtrent wat het doet of wat er in zit?
Waarom laat je het bestand niet even testen bij Virustotal (.com)? Misschien dat je zo wat meer info krijgt omtrent wat het doet of wat er in zit?
[off] die link kende ik nog niet, thnx
Graag gedaan. Sunbelt sandbox en Threatexpert zijn er nog 2, maar dan krijg je de resultaten per email toegezonden. Daarnaast zijn die niet altijd even duidelijk.
Bij virustotal is het effe in de wachtrij (soms) en daarna krijg je gelijk alle resultaten te zien van alle scanners en is het eenvoudig om bij de gevonden data even op te zoeken wat het virus/trojan doet.
Ik stuur het eens in ...
Ik laat nog iets weten.
Bedankt voor jullie hulp :lovewht: