Hulp nodig bij het verwijderen van een onbekende worm.

[Verwijderd]

Hallo mensen,

Ik ben vandaag de computer van moederlief maar eens aan het opruimen en ik kom er niet helemaal uit. Ergens zit iets helemaal vast. Ik heb via regedit alle rare dingen uit Local Machine en Current User (Windows\Run) weggehaald. Er staat McAfee geïnstalleerd maar die kan ik helaas niet draaien omdat hij tegengehouden wordt door wat dan ook.

Onder de processen die draaien staat een aantal keer svchost.exe, waarvan één 100% CPU opvreet. Als ik dit proces stop zet dan krijg ik een foutmelding dat er iets met RPC aan de hand is. De computer sluit dan automatisch na 60 seconden af. Dit doet wat denken aan W32.Blaster-worm, maar zower de Symantec Fix als de Windows Update hiervoor zeggen dat er niks aan de hand is. Mijn MSIE (6.0) en Java zijn beide flink beschadigd. Ik kan geen online virusscan draaien vanwege de beschadiging. Last but not least: mijn explorer.exe werkt voor de helft. Alle icoontjes van snelstarten en programma's die ik draai komen er niet op te staan.

Ziet er naar uit dat ze flink haar best heeft gedaan om mij een fijne avond te bezorgen. Ik heb met HJT een log gedraaid, wellicht dat iemand er even naar wil kijken.

Let niet al teveel op de rommel die ertussen staat

code:

Logfile of HijackThis v1.99.1
Scan saved at 1:31:29, on 2-4-2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\mcafee.com\agent\mcagent.exe
C:\PROGRA~1\McAfee\SPAMKI~1\MskAgent.exe
c:\PROGRA~1\mcafee.com\vso\mcvsrte.exe
C:\PROGRA~1\McAfee.com\PERSON~1\MPFSERVICE.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
c:\PROGRA~1\mcafee.com\vso\mcshield.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\Program Files\Mozilla.org\FireFox\firefox.exe
C:\WNxDrink\Progz\mIRC\mirc.exe
C:\Program Files\Spybot - Search & Destroy\SpybotSD.exe
C:\Documents and Settings\Drink\Bureaublad\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.nu.nl/
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\Userinit.exe
N3 - Netscape 7: user_pref("browser.startup.homepage", "http://www.mobstar.cc/login/loginpage.php"); (C:\Documents and Settings\Drink\Application Data\Mozilla\Profiles\default\3fbwxvfy.slt\prefs.js)
N3 - Netscape 7: user_pref("browser.search.defaultengine", "engine://C%3A%5CProgram%20Files%5Cmozilla.org%5CMozilla%5Csearchplugins%5Cgoogle.src"); (C:\Documents and Settings\Drink\Application Data\Mozilla\Profiles\default\3fbwxvfy.slt\prefs.js)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: McAfee VirusScan - {BA52B914-B692-46c4-B683-905236F6F655} - c:\progra~1\mcafee.com\vso\mcvsshl.dll
O4 - HKLM\..\Run: [VSOCheckTask] "c:\PROGRA~1\mcafee.com\vso\mcmnhdlr.exe" /checktask
O4 - HKLM\..\Run: [VirusScan Online] "c:\PROGRA~1\mcafee.com\vso\mcvsshld.exe"
O4 - HKLM\..\Run: [MCAgentExe] c:\PROGRA~1\mcafee.com\agent\mcagent.exe
O4 - HKLM\..\Run: [MCUpdateExe] C:\PROGRA~1\mcafee.com\agent\McUpdate.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2\bin\npjpi142.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2\bin\npjpi142.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {003FADA5-8FEE-11D6-AFB7-0004768F6183} (CryptoRSA Control) - https://www.p3.postbank.nl/sesam/CAX.cab
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab
O16 - DPF: {01FE8D0A-51AD-459B-B62B-85E135128B32} (DD_v4.DDv4) - http://www.drivershq.com/DD_v4.CAB
O16 - DPF: {4ED9DDF0-7479-4BBE-9335-5A1EDB1D8A21} (McAfee.com Operating System Class) - http://download.mcafee.com/molbin/shared/mcinsctl/nl/4,0,0,84/mcinsctl.cab
O16 - DPF: {5F0C30E4-1E72-4DCC-85E5-57810F1CA97B} (McUpdatePortalFactory Class) - http://www.amiuptodate.com/vsc/bin/1,0,0,7/McUpdatePortal.cab
O16 - DPF: {70BA88C8-DAE8-4CE9-92BB-979C4A75F53B} (GSDACtl Class) - http://launch.gamespyarcade.com/software/launch/alaunch.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - https://fpdownload.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: {DE591B16-A452-11D6-AED1-0001030A4E46} (PBGNX Control) - https://gto.postbank.nl/GTO/PBGNX.cab
O16 - DPF: {F58E1CEF-A068-4C15-BA5E-587CAF3EE8C6} (MSN Chat Control 4.5) - http://chat.msn.com/bin/msnchat45.cab
O23 - Service: McAfee.com McShield (McShield) - Unknown owner - c:\PROGRA~1\mcafee.com\vso\mcshield.exe
O23 - Service: McAfee SecurityCenter Update Manager (mcupdmgr.exe) - McAfee, Inc - C:\PROGRA~1\McAfee.com\Agent\mcupdmgr.exe
O23 - Service: McAfee.com VirusScan Online Realtime Engine (MCVSRte) - Networks Associates Technology, Inc - c:\PROGRA~1\mcafee.com\vso\mcvsrte.exe
O23 - Service: McAfee Personal Firewall Service (MpfService) - McAfee Corporation - C:\PROGRA~1\McAfee.com\PERSON~1\MPFSERVICE.exe
O23 - Service: McAfee SpamKiller Server (MskService) - Networks Associates Technology. Inc. - C:\PROGRA~1\McAfee\SPAMKI~1\MSKSrvr.exe

Alvast bedankt!!

Keeejos

P.S. Ik heb via google en GoT al naar oplossingen gezocht, kon alleen niks vinden wat de oplossing zou moeten zijn voor dit specifieke geval

[Eichii]

Misschien wil het lukken om de virusscanner handmatig te updaten en misschien het te proberen in veilige modus.

Heb zo een 100-tal slapende virussen weggehaald.

Ik kreeg niks werkende en steeds maar weer werd alles wat met mcafee/kaspersky/norton en ook de online versies telkens afgesloten.

[Verwijderd]

Ik heb dit ook een keer gehad (hoog cpu gebruik van svchost, na een nieuwe installatie!) en ik ben gewoon overnieuw begonnen. Dus Windows opnieuw geinstalleerd..

Had toen ook een enorme upload, zat gelijk vol met spyware terwijl ik nog niets had gedaan. Alleen windows update. Snap daar nog steeds niets van, maar goed. Een nieuwe installatie en dan zonder de utpkabel erin en gelijk de updates van de cd rom die ik bij Microsoft had besteld en toen ging het goed.

Maar ja, opnieuw installeren is natuurijk wel het laatste waar je aan wilt denken, maar had je al wel geprobeerd om antispywareprogramma's te draaien?

[ Voor 4% gewijzigd door Verwijderd op 02-04-2005 02:10 ]

[pasta]

Je log is clean, echter deze regel vind ik wel een beetje verdacht:

code:

F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\Userinit.exe

Scan die file eens op Jotti's online malware scan.

offtopic:
Welkom op GoT
Je naam onder je post zetten is overigens niet nodig, wij Tweakers groeten elkaar permanent.