Hack: visualizar_dados_pedido.exe

[GO-media]

Beste,

enkele dagen terug hebben kwaadwilligen een van mijn cliënten zijn site misbruikt.

Na wat ramen en deuren toe getimmerd te hebben, baart enkele files mij een zorg.

Op de server vond ik allerlei files waaronder: visualizar_dados_pedido.exe
Deze file is sinds de hack 100derden keren opgevraagd, en wordt nu ook nog steeds opgevraagd (zonder succes wel).

Iemand enig idee waartoe deze exe in staat is?

Verder nog een geavanceerd php script, perl voor connectie met botnet/irc, .. .

[pierce]

Waarschijnlijk een remote control programma, en botnet computers die het bestand opvragen.

Anyway, weet je zeker dat je systeem "clean" is?
Misschien een herinstallatie overwegen?

[GO-media]

Waarschijnlijk een remote control programma, en botnet computers die het bestand opvragen.

Anyway, weet je zeker dat je systeem "clean" is?
Misschien een herinstallatie overwegen?

Het systeem is pas operationeel sinds 1 augustus. (een herinstallatie zou'k liever vermijden, ...)

Wel die exe wordt blijkbaar ook uit mail accounts opgeroepen bvb:
189.54.***.*** - - [21/Aug/2008:17:46:45 +0200] "GET /images/visualizar_dados_pedido.exe HTTP/1.1" 200 165134 "http://br.mc585.mail.yahoo.com/mc/showMessage?fid=Inbox&sort=date&order=down&startMi d=0&.rand=1541584728&da=0&midIndex=2&mid=1_1130906 _AMTsjkQAAA5%2FSKzfNQcTewZUf%2FE&prevMid=1_1132310 _AMbsjkQAAJMvSK1HJQkr1zVlHoc&nextMid=1_1130315_AMH sjkQAAPB1SKzMRwqx1HHpu5Q&m=1_1131555_AMDsjkQAAElFS K1HJQOnYTVlHoc,1_1132310_AMbsjkQAAJMvSK1HJQkr1zVlH oc,1_1130906_AMTsjkQAAA5%2FSKzfNQcTewZUf%2FE,1_113 0315_AMHsjkQAAPB1SKzMRwqx1HHpu5Q,1_1129663_ALjsjkQ AAWvDSKzMMglkbWbMdm0,1_1128936_AL3sjkQAAVZsSKxNbQZ V8Sfii44,1_1127491_ALnsjkQAAJFnSKtLzwApOyvhlX8,1_1 128231_AL7sjkQAAHB9SKtMqgOHqC8whh0," "Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; InfoPath.2)"


Ik probeer momenteel uit te vissen wat er precies allemaal gebeurd is, maar natuurlijk is dat niet zo eenvoudig zoals ik gedacht heb.
Iemand weet van perl log files ofzo?

De server kan soms plots hoog in het ram vebruik schieten, eerste achte ik dat als normaal, maar nadien gezien zou dit we mede kunnen zijn door deze ongewenste bezoekers?

[Xolphin]

Ik weet niet of je er wat mee kan, maar het visualizar dados pedido is spaans voor visualize given order volgens Google translate.

Van een eenmaal gehacked systeem weet je nooit of hij weer veilig is of niet. De enige oplossing die je hebt om hem echt weer schoon te hebben is een herinstallatie. Daarnaast moet je natuurlijk alles zo dicht zetten dat het niet nog een keer kan gebeuren.

[Blacky]

Waarom laat je het bestand niet even testen bij Virustotal (.com)? Misschien dat je zo wat meer info krijgt omtrent wat het doet of wat er in zit?

[VinceSTM]

Waarom laat je het bestand niet even testen bij Virustotal (.com)? Misschien dat je zo wat meer info krijgt omtrent wat het doet of wat er in zit?

[off] die link kende ik nog niet, thnx

[Blacky]

Graag gedaan. Sunbelt sandbox en Threatexpert zijn er nog 2, maar dan krijg je de resultaten per email toegezonden. Daarnaast zijn die niet altijd even duidelijk.

Bij virustotal is het effe in de wachtrij (soms) en daarna krijg je gelijk alle resultaten te zien van alle scanners en is het eenvoudig om bij de gevonden data even op te zoeken wat het virus/trojan doet.

[GO-media]

Ik stuur het eens in ...
Ik laat nog iets weten.

Bedankt voor jullie hulp