Avatar billede teamworker Nybegynder
02. september 2003 - 08:05 Der er 11 kommentarer og
1 løsning

Jeg har vist fået en virus

I min c:\wwwroot\ftproot, har jeg pludselig en masse underlige filer og kataloger:

Volume in drive C is SYSTEM
Volume Serial Number is 08FE-FB421

Directory of C:\Inetpub\ftproot

20-08-2003  20:25      <DIR>          .
20-08-2003  20:25      <DIR>          ..
20-08-2003  20:24      <DIR>          aux0       
20-08-2003  20:20      <DIR>          aux1 
19-08-2003  12:49      <DIR>          aux2   
19-08-2003  12:46      <DIR>          com1   
20-08-2003  20:22      <DIR>          com1   
19-08-2003  12:49      <DIR>          com2   
20-08-2003  20:23      <DIR>          com2     
19-08-2003  12:48      <DIR>          com3   
20-08-2003  20:25      <DIR>          com3       
19-08-2003  12:47      <DIR>          com4   
20-08-2003  20:24      <DIR>          com4       
19-08-2003  12:50      <DIR>          lpt1   
20-08-2003  20:23      <DIR>          lpt2   
19-08-2003  12:47      <DIR>          lpt3   
19-08-2003  12:45      <DIR>          lpt4   
20-08-2003  20:21      <DIR>          lpt4       
20-08-2003  20:22      <DIR>          nul0     
19-08-2003  12:46      <DIR>          nul2   
16-08-2003  21:03      <DIR>          S 88423
              0 File(s)              0 bytes

Directory of C:\Inetpub\ftproot\aux0       

20-08-2003  20:24      <DIR>          .
20-08-2003  20:24      <DIR>          ..
20-08-2003  20:24      <DIR>          aux0   
20-08-2003  20:24      <DIR>          aux1       
20-08-2003  20:24      <DIR>          aux2 
20-08-2003  20:24      <DIR>          com3   
20-08-2003  20:24      <DIR>          lpt1       
20-08-2003  20:24      <DIR>          lpt2   
20-08-2003  20:24      <DIR>          lpt3   
20-08-2003  20:25      <DIR>          nul1   
20-08-2003  20:24      <DIR>          nul2       
              0 File(s)              0 bytes

Directory of C:\Inetpub\ftproot\aux0        \aux0   

20-08-2003  20:24      <DIR>          .
20-08-2003  20:24      <DIR>          ..
20-08-2003  20:24      <DIR>          aux1   
20-08-2003  20:24      <DIR>          com1   
20-08-2003  20:24      <DIR>          com2       
20-08-2003  20:24      <DIR>          lpt1 
20-08-2003  20:24      <DIR>          lpt2     
20-08-2003  20:24      <DIR>          lpt3     
20-08-2003  20:24      <DIR>          lpt4 
20-08-2003  20:24      <DIR>          nul0   
20-08-2003  20:24      <DIR>          nul1       
              0 File(s)              0 bytes

Directory of C:\Inetpub\ftproot\aux0        \aux0    \aux1   

20-08-2003  20:24      <DIR>          .
20-08-2003  20:24      <DIR>          ..
20-08-2003  20:24      <DIR>           RandoMazeD 8,79645943005142E+31 
              0 File(s)              0 bytes

Directory of C:\Inetpub\ftproot\aux0        \aux0    \aux1    \  RandoMazeD 8,79645943005142E+31 

20-08-2003  20:24      <DIR>          .
20-08-2003  20:24      <DIR>          ..
20-08-2003  20:24      <DIR>          Filled By
              0 File(s)              0 bytes

Directory of C:\Inetpub\ftproot\aux0        \aux0    \aux1    \  RandoMazeD 8,79645943005142E+31  \Filled By

20-08-2003  20:24      <DIR>          .
20-08-2003  20:24      <DIR>          ..
              0 File(s)              0 bytes

Directory of C:\Inetpub\ftproot\aux0        \aux0    \com1   

20-08-2003  20:24      <DIR>          .
20-08-2003  20:24      <DIR>          ..
20-08-2003  20:24      <DIR>           RandoMazeD 8,79645943005142E+31 
              0 File(s)              0 bytes

Directory of C:\Inetpub\ftproot\aux0        \aux0    \com1    \  RandoMazeD 8,79645943005142E+31 

20-08-2003  20:24      <DIR>          .
20-08-2003  20:24      <DIR>          ..
20-08-2003  20:24      <DIR>          Filled By
              0 File(s)              0 bytes

Directory of C:\Inetpub\ftproot\aux0        \aux0    \com1    \  RandoMazeD 8,79645943005142E+31  \Filled By

20-08-2003  20:24      <DIR>          .
20-08-2003  20:24      <DIR>          ..
              0 File(s)              0 bytes

Directory of C:\Inetpub\ftproot\aux0        \aux0    \com2       

20-08-2003  20:24      <DIR>          .
20-08-2003  20:24      <DIR>          ..
20-08-2003  20:24      <DIR>           RandoMazeD 2,63893782901543E+32 
              0 File(s)              0 bytes

Directory of C:\Inetpub\ftproot\aux0        \aux0    \com2        \  RandoMazeD 2,63893782901543E+32 

20-08-2003  20:24      <DIR>          .
20-08-2003  20:24      <DIR>          ..
20-08-2003  20:24      <DIR>          Filled By
              0 File(s)              0 bytes

Directory of C:\Inetpub\ftproot\aux0        \aux0    \com2        \  RandoMazeD 2,63893782901543E+32  \Filled By

20-08-2003  20:24      <DIR>          .
20-08-2003  20:24      <DIR>          ..
              0 File(s)              0 bytes

.
.
.
[En hal masse mere af samme slags]
.
.
.
Directory of C:\Inetpub\ftproot\S 88423 \com1 \prn.hsp.laserjet \com3 \lpt2

16-08-2003  21:03      <DIR>          .
16-08-2003  21:03      <DIR>          ..
16-08-2003  21:03      <DIR>          lpt1
              0 File(s)              0 bytes

Directory of C:\Inetpub\ftproot\S 88423 \com1 \prn.hsp.laserjet \com3 \lpt2 \lpt1

16-08-2003  21:03      <DIR>          .
16-08-2003  21:03      <DIR>          ..
16-08-2003  21:03      <DIR>          aux
              0 File(s)              0 bytes

Directory of C:\Inetpub\ftproot\S 88423 \com1 \prn.hsp.laserjet \com3 \lpt2 \lpt1 \aux

16-08-2003  21:03      <DIR>          .
16-08-2003  21:03      <DIR>          ..
16-08-2003  21:03      <DIR>          Scan By Lucifero
              0 File(s)              0 bytes

Directory of C:\Inetpub\ftproot\S 88423 \com1 \prn.hsp.laserjet \com3 \lpt2 \lpt1 \aux \Scan By Lucifero

16-08-2003  21:03      <DIR>          .
16-08-2003  21:03      <DIR>          ..
              0 File(s)              0 bytes

    Total Files Listed:
              0 File(s)              0 bytes
          13718 Dir(s)  1.968.225.280 bytes free


Hvad er det, og hvordan slipper jeg af med det?

Jeg har scannet med flere forskellige antivirusprogrammer, men uden at de har fundet noget.

Hvis jeg sletter dem, kommer de bare igen.
Avatar billede cdc Novice
02. september 2003 - 08:22 #1
har du prøvet med adaware og spyboot ?
se www.spywarefri.dk
Avatar billede xodeus Novice
02. september 2003 - 08:23 #2
Jeg tror næppe at det er en virus. Hvilke DTP programmer brugre du og hvilken windows? Og hvad er rettighederne for alle de biblioteker du nævner (attrib)
Avatar billede yeti Nybegynder
02. september 2003 - 08:25 #3
Du kan tjekke om det er virus på:

http://housecall.trendmicro.com
Avatar billede m_skau Nybegynder
02. september 2003 - 08:26 #4
Din ftp server er blevet hacket. Se f.eks.   
  http://www.dshield.org/pipermail/list/2002-January/002507.php
Navnene Com1, Aux osv. er reserverede device navne i Windows, og bruges af hackeren i stedet som biblioteksnavne i et forsøg på at forhindre windowsbrugeren (offeret) i at slette bibliotekerne, eller at gå ind i dem.
Avatar billede m_skau Nybegynder
02. september 2003 - 08:29 #5
Er det meningen at du vil køre en ftp-server? Hvis ikke, så slå den fra i Internet Information Services, hvis du vil, så stram op på sikkerheden. Sikkerheden i Windows indbyggede ftp server var, da jeg sidst undersøgte det for ca. et år siden, meget ringe.
Avatar billede jpvj Nybegynder
02. september 2003 - 08:33 #6
Tror heller ikke det er virus.

Enten er du blevet hacket og så er det directories, der indeholder forskellige programmer/services, eller også er dit filsystem meget sygt :-)

JP
Avatar billede teamworker Nybegynder
02. september 2003 - 08:36 #7
m skau: Det tror jeg er rigtigt, jeg havde på et tidspunkt MS-FTP kørende, men ikke længere, og i lofilen kan jeg godt se 'svinet'.

Men, hvordan slipper jeg nu af med dem igen?
Avatar billede m_skau Nybegynder
02. september 2003 - 09:04 #8
Hvordan har du prøvet at slette dem?
Avatar billede m_skau Nybegynder
02. september 2003 - 09:20 #9
I Win95/98:
Prøv at åbne en kommandoprompt ("Dos vindue") og skrive:
  deltree /y c:\inetpub\ftproot

I 2000/XP:
  Prøv at åbne en kommandoprompt ("Dos vindue" hedder det egentlig ikke mere her) og skrive:
  RD /S /Q c:\inetpub\ftproot
Avatar billede teamworker Nybegynder
02. september 2003 - 09:28 #10
I en commandopromt med del *.* /s /f /q men det skal gøre umiddelbart efter en reboot.

Så forsvinder de, men kommer tilbage igen efter et stykke tid
Avatar billede m_skau Nybegynder
02. september 2003 - 10:00 #11
Det lyder som om der stadig kører en ftp hack på din computer. Prøv at køre følgende fra en kommandoprompt:
  net stop serv-u
og derefter søge efter filerne
  servudaemon.ini
  winmgnt.exe
og slette dem hvis du finder dem.

Følgende artikel fortæller lidt om hvordan man sletter filnavne med reserverede windows navne i:
  http://support.microsoft.com/default.aspx?scid=KB;en-us;q120716.
Avatar billede teamworker Nybegynder
02. september 2003 - 11:20 #12
serv-u service findes ikke

Der er ingen filer med de to navne.

Der kører ikke en FTP-server (på port 21).

Filerne er endnu ikke komme tilbage, det er da et fremskridt.
Avatar billede Ny bruger Nybegynder

Din løsning...

Tilladte BB-code-tags: [b]fed[/b] [i]kursiv[/i] [u]understreget[/u] Web- og emailadresser omdannes automatisk til links. Der sættes "nofollow" på alle links.

Loading billede Opret Preview
Kategori
IT-kurser om Microsoft 365, sikkerhed, personlig vækst, udvikling, digital markedsføring, grafisk design, SAP og forretningsanalyse.

Log ind eller opret profil

Hov!

For at kunne deltage på Computerworld Eksperten skal du være logget ind.

Det er heldigvis nemt at oprette en bruger: Det tager to minutter og du kan vælge at bruge enten e-mail, Facebook eller Google som login.

Du kan også logge ind via nedenstående tjenester