Norton autoprotect blijft constant trojan virus ontdekken.

[UltraR-pc]

Sinds een uur geleden heb ik een behoorlijk groot probleem met een trojan op mn pc.
Ik had nergens last van tot ik de site (misschien maar even niet bezoeken) http://www.allofmp3.com/ bezocht. Nu krijg ik constant (om de drie seconden) een pop-up van norton die aangeeft dat er een virus is gevonden en dat het bestand niet kan worden verwijderd.
naam object: C:\WINDOWS\sehlp.dll
naam virus: Trojan.StartPage
Ondernomen Actie: Dit bestand kan niet worden hersteld.

Sinds dit komt te staan is de startpage veranderd naar res://C:\WINDOWS\System32\shdoclc.dll/navcancl.htm en komt er bij het openen van internet explorer ook een popup van farmaceutisch bedrijf.
Ik heb reeds een volledige systeemscan gedaan met norton en een volledige spywarescan met hitman pro. Het probleem blijft zich voordoen, ook na het rebooten van het systeem.
De norton pop-up kan ik voorkomen door Norton auto-protect uit te zetten, maar dan is mn pc niet meer beveiligd en is de trojan ook niet van mn pc verwijderd.
Wie weet wat te doen? Want dit is echt extreem irritant.
Bij voorbaat dank.

[Truus]

Heb je al met google gezocht op sehlp.dll? Dat levert namelijk nogal wat informatie op, je bent vast niet de eerste met dit probleem.

En draai eens hijackthis. Dan kun je hier de logfile laten analyseren.

[Justifier]

Misschien even hitman pro laten lopen. dan weet jij zeker dat alles er af is.

[Truus]

J.ustifier schreef op zaterdag 26 februari 2005 @ 12:55:
Misschien even hitman pro laten lopen. dan weet jij zeker dat alles er af is.

Misschien even de startpost goed lezen

UltraR-pc schreef op zaterdag 26 februari 2005 @ 12:46:
Ik heb reeds een volledige systeemscan gedaan met norton en een volledige spywarescan met hitman pro. Het probleem blijft zich voordoen, ook na het rebooten van het systeem.

@TS: heb je trouwens al geprobeerd Norton AV en hitman pro in veilige modus te draaien?

[ Voor 9% gewijzigd door Truus op 26-02-2005 12:59 ]

[UltraR-pc]

Truus schreef op zaterdag 26 februari 2005 @ 12:58:
@TS: heb je trouwens al geprobeerd Norton AV en hitman pro in veilige modus te draaien?

Doormiddel van hijackthis is het beschreven probleem verholpen. Na opnieuw hitman pro en Norton gedraaid te hebben was alle zooi die via de trojan binnen was gekomen ook weer weg.
Echter, bij de volledige systeemscan ontdekt Norton nu nog steeds een trojan.startpage, een andere dit keer. Genaamd inst.exe. hijack en windows search vinden niks, maar Norton kan ook deze trojan weer niet verwijderen. Ik merk nog geen gevolgen van de trojan maar ik vind het toch niet zo'n prettig idee dat hij op mn pc staat. Zou het draaien in veilige modus dit kunnen oplossen (dus kan norton hem dan wel verwijderen?)

[Truus]

Zou het draaien in veilige modus dit kunnen oplossen (dus kan norton hem dan wel verwijderen?)

Je zou het natuurlijk gewoon even kunnen proberen

En gebruik google eens, er is een schat aan informatie te vinden op het internet. Als je een foutmelding krijgt, of een bestandsnaam in je antivirus of antispyware programma, dan kun je dat gewoon intikken in google, waarna je een heleboel websites krijgt waarin als je geluk hebt de informatie staat die je nodig hebt. Ook heeft GoT een zoekfunctie waar soms iets handigs uit komt rollen.

[UltraR-pc]

Joh... , weet ik (ik heb al wel een paar posts op GOT )
Ik had al gezocht maar dat kwam vaak neer op dingen die wel heel veel werk zouden worden. Ook kreeg Norton vaak de schuld van het niet verwijderen, leuk maar daar heb ik natuurlijk niks aan.
Hijackthis had ik echter over het hoofd gezien, en dat bleek de oplossing voor de eerste trojan. Nu nog ff veilige modus uitproberen voor de volgende trojan en anders maar weer ff verder zoeken idd.

[Mike Jarod]

[google=C:\WINDOWS\sehlp.dll]

5e hit: Spohos : Troj/CWS-E
Staat helaas geen specifieke removal guide.

Je weet dus nu dat deze iig door Sophos herkend wordt. Dus je kan een andere virusscanner installeren of een online scan doen van een vendor die 'm herkent.

Gooi die file door http://virusscan.jotti.org om te kijken hoe andere AV-fabrikanten 'm noemen zodat je op die termen kan zoeken.

Bekijk met HijackThis wat er allemaal voor troep gestart wordt bij het booten.

[Verwijderd]

Bron Sophos:

Troj/CWS-E is a dropper Trojan for the Windows platform.
Troj/CWS-E will drop and register a DLL file named SEHLP.DLL, detected as Troj/CWS-C.
When first run, Troj/CWS-E will copy itself to the Windows system folder as CTFMON32.EXE and CSRSSU.EXE. In order to run automatically each time a user logs on, Troj/CWS-E will set the following registry entries:
HKCU\Software\Microsoft\Windows\CurrentVersion\Run
CTFMON32
<Windows system folder>\CTFMON32.EXE
HKCU\Software\Microsoft\Windows\CurrentVersion\Run
CSRSSU
<Windows system folder>\CSRSSU.EXE
The following registry branches will also be created:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\
Browser Helper Objects\{3BA765C2-08DB-4fe2-9279-311CA10D582A}
HKCR\SEHLP.SEDP
HKCR\SEHLP.SEDP.1
HKCR\CLSID\{3BA765C2-08DB-4fe2-9279-311CA10D582A}
HKCR\Interface\{0B6EF17E-18E5-4449-86EA-64C82D596EAE}
HKCR\Interface\{B1E68D42-02C4-465B-8368-5ED9B732E22D}
HKCR\TypeLib\{670ED4EE-ADBA-47CB-A5AD-D53A9F7C3C94}
HKLM\SOFTWARE\Microsoft\Internet Explorer\Main\WTLBAstp
HKLM\SOFTWARE\Microsoft\Internet Explorer\Main\MSMsgSvc

[Verwijderd]

UltraR-pc schreef op zaterdag 26 februari 2005 @ 13:59:
[...]

Doormiddel van hijackthis is het beschreven probleem verholpen. Na opnieuw hitman pro en Norton gedraaid te hebben was alle zooi die via de trojan binnen was gekomen ook weer weg.

Goeie morgen,

Ik heb dus het zelfde probleem op de pc bij een goede vriend. Het gaat om sehlp.dll
Ik heb ook met Hijackthis geprobeerd om deze trojan te verwijderen. Dit lijkt te lukken op het eerste gezicht..maar als de pc opnieuw gestart is dan komt Norton toch weer met de virus melding.
Ik heb bovenstaande ook in veilige modus gedaan met het zelfde resultaat. Zie ik wat over het hoofd ??

DutchRebel

[TommyL0204]

Ik heb laatst op een andere pc een soortgelijk probleem gezien.
Het ging hier ook om een andere startpagina en en trojan in het bestand SE.DLL
Ook kwam die telkens weer terug, maar na het installeren van een firewall en nog een keer scannen was het opgelost. Ik heb deze programma's gebruikt:

- AdAware SE 1.05
- Spybot S&D 1.31
- CwsShredder
- AVG 7.0 free
- Sygate personal firewall

[Truus]

Verwijderd schreef op zaterdag 05 maart 2005 @ 10:10:
[...]

Goeie morgen,

Ik heb dus het zelfde probleem op de pc bij een goede vriend. Het gaat om sehlp.dll
Ik heb ook met Hijackthis geprobeerd om deze trojan te verwijderen. Dit lijkt te lukken op het eerste gezicht..maar als de pc opnieuw gestart is dan komt Norton toch weer met de virus melding.
Ik heb bovenstaande ook in veilige modus gedaan met het zelfde resultaat. Zie ik wat over het hoofd ??

DutchRebel

Probeer eens eerst Norton AV, daarna Hitmanpro, daarna Hijackthis, daarna weer Norton en Hitmanpro, alles in veilige modus en zonder herstart. Daarna opnieuw opstarten en nog eens Norton en Hitmanpro om te zien of het probleem verholpen is.

[Verwijderd]

Ok, bedankt voor de snelle reacties.....

Zodra ik weer bij hem kom zal ik het zo proberen.
Ik zal laten weten of het gelukt is.

DutchRebel

[Satch]

Als je hitmanpro gebruikt . Gebruik dan wel de allerlaatste versie. en zet bij instellingen ook beide virusscanners aan. En klik op uitgebreide inspectie. Met die instellingen scant hij heel wat meer af.