wat nu weer?

[Verwijderd]

Hoi,

Ik ben een absolute nitwit op gebied van virussen en dergelijke, maar ik ben bang, dat ik er toch een heb. Ik krijg namelijk sinds gisteren een vreemde melding als ik dubbelklik op C: in Deze Computer:

"Windows kan het bestand RECYCLER\S-4-0-83-1000030570-1000029959-100022313-404.com niet vinden. Controleer... blablabla". Wel kan ik nog via de verkenner op C: komen.

Tevens kan ik intenet explorer niet meer opstarten. Er gebeurt niks bij dubbelklik en na enige tijd verschijnt er een schermpje dat er een fout is opgetreden.

En tot slot staat er in mijn taakbalk naast mijn klok de melding dat ik de automatische updates heb uitgeschakeld. In het beveiligingscentrum klopt dit, maar volgens het schermpje automatische updates in het configuratiescherm weer niet.

Mijn Norton virusscanner heb ik geupdate en nog eens laten draaien, maar die vindt niks. Toch heb ik sterk het gevoel, dat iemand mij aan het pesten is.

Oh, en zojuist krijg ik een melding, dat er een Packed.Generic.200 is deleted van mijn externe harde schijf. Wow!

Kan iemand mij helpen?

[Verwijderd]

Download op een andere PC eens SUPERantispyware en zet het op een usb stick. Installeer het dan op de besmette PC. Eens kijken wat deze vindt met scannen. Dit is namelijk één van de betere programma's.

[chromeeh]

1. lees de FaQ mbt B&V
2. scannen met een live met een goede (lees geen Norton) scanner
3. tools als a-squared / malwarebytes runnen
4. hijackthis logje is ook altijd een leuke begin

[Verwijderd]

Hej Mensen,

Ik heb het zelfde probleem als die jongen hierboven, maar wel alleen dat ik mijn C:\ niet kan openen. De naam RECYCLER\wat nummers bla bla.com kan hij niet vinden.
Ik heb een logje van mijn computer gemaakt. Kan iemand me nu ook helpen? Virusscanner gaf niks aan.


Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 16:57:44, on 30-1-2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.20935)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\RTHDCPL.EXE
C:\WINDOWS\vsnpstd2.exe
C:\Program Files\Eset\nod32kui.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe
C:\Program Files\Ashampoo\Ashampoo Magic Defrag\bin\aDefragCtrl.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\Program Files\Eset\nod32krn.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\PnkBstrA.exe
C:\WINDOWS\system32\PnkBstrB.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Ashampoo\Ashampoo Magic Defrag\bin\aDefragService.exe
C:\Program Files\Windows Live\Messenger\usnsvc.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\NOTEPAD.EXE
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.nl/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: Adobe PDF Reader Help bij koppelingen - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Java(tm) Plug-In SSV Helper - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre6\bin\ssv.dll
O2 - BHO: Windows Live Aanmelden - Help - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [SNPSTD2] C:\WINDOWS\vsnpstd2.exe
O4 - HKLM\..\Run: [nod32kui] "C:\Program Files\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\RunOnce: [FFlags] %
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Netwerkservice')
O4 - HKUS\S-1-5-20\..\RunOnce: [nltide_3] rundll32 advpack.dll,LaunchINFSectionEx nLite.inf,C,,4,N (User 'Netwerkservice')
O4 - HKUS\S-1-5-20\..\RunOnce: [FFlags] % (User 'Netwerkservice')
O4 - HKUS\S-1-5-20\..\RunOnce: [Sort] (User 'Netwerkservice')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [nltide_3] rundll32 advpack.dll,LaunchINFSectionEx nLite.inf,C,,4,N (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [nltide_3] rundll32 advpack.dll,LaunchINFSectionEx nLite.inf,C,,4,N (User 'Default user')
O4 - Global Startup: Ashampoo Magic Defrag.lnk = C:\Program Files\Ashampoo\Ashampoo Magic Defrag\bin\aDefragCtrl.exe
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Onderzoek - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra button: (no name) - Cmdmapping - (no file) (HKCU)
O10 - Unknown file in Winsock LSP: c:\windows\system32\nwprovau.dll
O17 - HKLM\System\CCS\Services\Tcpip\..\{92920560-7A47-4850-A9D6-2A43D128415E}: NameServer = 85.255.116.147,85.255.112.211
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.116.147,85.255.112.211
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.116.147,85.255.112.211
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.116.147,85.255.112.211
O20 - AppInit_DLLs: iatnac.dll
O23 - Service: AshampooDefragService - - C:\Program Files\Ashampoo\Ashampoo Magic Defrag\bin\aDefragService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Program Files\Eset\nod32krn.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe
O23 - Service: PnkBstrB - Unknown owner - C:\WINDOWS\system32\PnkBstrB.exe

--
End of file - 6240 bytes

[strandbal]

Staat er in de root van je C:\ schijf een bestand genaamd autorun.inf? Zoja, weggooien.

[plastronneke]

@paterke:
voeg je log in op deze website:
www.hijackthis.de
die analyseert de log. Ik moet zeggen dat je log er niet helemaal feilloos uitziet ...

[Verwijderd]

Start Hijackthis op. Ben je gebruiker van Vista kies dan voor “Run as administrator" of "Uitvoeren als administrator". Selecteer “Do a system scan only”. Selecteer alleen de items die hieronder zijn genoemd:

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 –k
O4 - HKCU\..\RunOnce: [FFlags] %
O4 - HKUS\S-1-5-20\..\RunOnce: [FFlags] % (User 'Netwerkservice')
O9 - Extra button: (no name) - Cmdmapping - (no file) (HKCU)
O17 - HKLM\System\CCS\Services\Tcpip\..\{92920560-7A47-4850-A9D6-2A43D128415E}: NameServer = 85.255.116.147,85.255.112.211
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.116.147,85.255.112.211
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.116.147,85.255.112.211
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.116.147,85.255.112.211
O20 - AppInit_DLLs: iatnac.dll

Klik op 'Fix checked' om de items te verwijderen.

Download [color=blue]Combofix[/color] naar je Bureaublad.

OPMERKING: indien je, tijdens of na het downloaden van Combofix of tijdens het gebruik van Combofix een melding krijgt van je Antivirus- of een andere realtime scanner, schakel dan deze scanner uit en download Combofix opnieuw.
Sommige scanners zien bepaalde componenten die Combofix gebruikt als verdacht en gaan deze blokkeren of verwijderen!

• Dubbelklik op [b]Combofix.exe[/b] om het te starten. Indien je Combofix al eerder hebt gebruikt, kan je een waarschuwing krijgen dat een update beschikbaar is. Sta toe dat ComboFix wordt geupdate. Volg de instructies, aanvaard de disclaimer door op [b]Ja[/b] te klikken. Indien de Recovery Console niet geïnstalleerd is, wordt je gevraagd om dit alsnog te doen door op [b]JA[/b] te klikken in het "Query - Recovery Console" venster (enkel voor XP, niet voor VISTA). Klik op [b]OK[/b] en [b]Ja[/b] om automatisch de Recovery Console te laten installeren. Klik na afloop terug op [b]Ja[/b] om het scannen op malware te starten. Tijdens het runnen van de fix, [b]NIET[/b] in het venster klikken, want dit zal je pc doen vasthangen.

Wanneer de fix voltooid is en na herstart, zal de log Combofix.txt openen.

Post dit logje in je volgende antwoord.

Download MBAM (Malwarebytes' Anti-Malware).

Dubbelklik op mbam-setup.exe om het programma te installeren.

Zorg ervoor dat er een vinkje geplaatst is voor Update Malwarebytes' Anti-Malware en Start Malwarebytes' Anti-Malware, Klik daarna op "Voltooien".
Indien een update gevonden werd, zal die gedownload en geïnstalleerd worden.
Wanneer het programma volledig up to date is, selecteer dan in het tabblad Scanner : "Snelle Scan", daarna klik op Scan.
Het scannen kan een tijdje duren, dus wees geduldig.
Wanneer de scan voltooid is, klik op OK, daarna "Bekijk Resultaten" om de resultaten te zien.
Zorg ervoor dat daar alles aangevinkt is, daarna klik op: Verwijder geselecteerde.
Na het verwijderen zal een log openen en zal er gevraagd worden om de computer opnieuw op te starten. (Zie verder)
De log wordt automatisch bewaard door MBAM en kan je terugvinden door op de "Logs" tab te klikken in MBAM.

Indien MBAM moeilijkheden heeft met het verwijderen van bepaalde bestanden zal het enkele meldingen geven waar je OK moet klikken.
Daarna zal het vragen om de computer opnieuw op te starten... dus sta toe dat MBAM de computer opnieuw opstart.

Plak de inhoud van het logje in je volgende bericht, samen met het log van Combofix en een nieuw HijackThis log.

[Verwijderd]

Ik heb combofix gerund, en die heeft alle 'foute' bestanden verwijderd.
Verder heb ik het probleem opgelost, dmv REGEDIT in uitvoeren, in te typen.
Daar ging ik naar HKEY_CLASSES_ROOT
dan naar de D van 'Drive', klik deze open, dan ga je naar de map Shell --> dan zie je dat aan rechterkant REG_SZ staan.
Bij gegevens stond bij mij ''find'', dat veranderde ik in ''none''. Dit kun je doen door op ''standaard'' dubbel te klikken (staat onder kolom: Naam)
Dan voer je bij Waardegegevens in: none
En voila alle drivers van jou staan weer op standaard openen en niet op zoeken.

[marc181982]

Verwijderd schreef op donderdag 05 februari 2009 @ 17:42:
Ik heb combofix gerund, en die heeft alle 'foute' bestanden verwijderd.
Verder heb ik het probleem opgelost, dmv REGEDIT in uitvoeren, in te typen.
Daar ging ik naar HKEY_CLASSES_ROOT
dan naar de D van 'Drive', klik deze open, dan ga je naar de map Shell --> dan zie je dat aan rechterkant REG_SZ staan.
Bij gegevens stond bij mij ''find'', dat veranderde ik in ''none''. Dit kun je doen door op ''standaard'' dubbel te klikken (staat onder kolom: Naam)
Dan voer je bij Waardegegevens in: none
En voila alle drivers van jou staan weer op standaard openen en niet op zoeken.

Een ander handig klein van programma is dial-a-fix voor degene die liever niet het register openen. Dit is een klein programma die bepaalde policies etc nakijkt.

http://wiki.lunarsoft.net/wiki/Dial-a-fix

[Verwijderd]

@scubajo

Ik heb het virus ook. Wanneer ik dubbelklik krijg ik hetzelfde.
Er is een truckje om toch te kunnen browsen met explorer. druk op 'MAPPEN' en je kan links in de tree mappenstructuur toch browsen in je computer...

dat helpt weer een stukje opweg

p.s. ik heb nog geen goede manier gevonden om het virus goed te verwijderen.

[Verwijderd]

Verwijderd schreef op maandag 16 februari 2009 @ 10:05:p.s. ik heb nog geen goede manier gevonden om het virus goed te verwijderen.

Dan heb je hierboven nog niet goed gekeken : HiJackThis, Malwarebytes en zeker Combofix ... en het kan netjes opgeruimd worden

[Verwijderd]

thanx,

malwarebytes heb ik wel geprobeerd, die kon het niet goed, Hijackthis en combofix ga ik dan proberen.

de anderen hadden ook gelijk trouwens: in de map Recycler\ van je c:\ schijf (en de andere mocht je die hebben) staan 2 bestanden die weg moeten (die map is verborgen trouwens).
en er stond ook een autorun.inf op mijn c:\ met inderdaad S-1-2-2312-etc regeltjes erin (geopend met textpad)

tippie: je moet HEEL goed uitkijken met dit virus met USB sticks en CD-ROMs want hij is in een mum weer gezetteld op de HDD op het moment dat je de USB stick erin steekt kun je weer van voor af aan beginnen.

Dus zet eerst een pc met virusscanner klaar en laat die USB en CD-ROM autorun functies nog even uit of zet ze uit tot NA het scannen van die dingen.

[Wildfire]

Verwijderd schreef op dinsdag 17 februari 2009 @ 09:14:

[..]

Dus zet eerst een pc met virusscanner klaar en laat die USB en CD-ROM autorun functies nog even uit of zet ze uit tot NA het scannen van die dingen.

Je gebruikt toch gewoon een virusscanner met een on-access scan? Is veel praktischer ipv elke keer handmatig weer dingen te gaan lopen scannen.