[spyware/virus/worm?] Niet bekende exe-file

[Khaine]

Owk gotters,

ik heb gegoogled en de got search gebruikt, maar kom er even niet uit.

Ik ben bezig met de reparatie van een packard bell ding (geen flame's svp). Ik heb er zelf winxp + sp2 op gezet, zo'n 4 maanden terug. Tot voor kort liep de PC enorm traag bij 1 bepaald account, en dat was bij het geluk dat je windows in kon ipv dat hij rebootte bij het laden. Ook veilige modus/ laatst werkende config. e.d. waren niet toegankelijk.

De PC heeft dus win xp , sp2 , ad-aware , avguard (antivir) en spybot search & destroy in z'n bezit en de gebruiker van de PC update met enige regelmaat zijn pc (wekelijks). Tot dus vanmiddag toen hij de PC kwam brengen met de mededeling dat windows in een loop bleef hangen.

Ik zelf heb gedaan :
- fixmbr , fixboot , en chkdsk -r om er zeker van te zijn dat met de schijf niets mis was, en ook met de bootsector niet. Hierna ben ik in windows terecht gekomen waar alles erg lang duurde. Onder een ander account ingelogd en dat ging al sneller. Maar .. elk account blijft dezelfde fout geven in een EXE-bestand genaamd _AVWUPSRV.EXE. Op google krijg ik alleen maar resultaten van mensen die dat bestand ook op hun pc hadden, maar niet wat het nu precies voor bestand is. In de GOT-search komt bij mij geen enkel resultaat naar voren.

Mijn vraag :
Zijn er mensen die uit ervaring kunnen vertellen wat dit voor rot-bestand is ? Ik kan um niet vinden met de search-functie, alleen de windows-prefetch.

Bij voorbaat dank !

[pasta]

Scan het bestand eens op Jotti's online malware scan, als het malware-gerelateerd is zal het hoogstwaarschijnlijk wel herkend worden door 1 van de virusscanners daar.

[Khaine]

pasta schreef op maandag 11 april 2005 @ 21:50:
Scan het bestand eens op Jotti's online malware scan, als het malware-gerelateerd is zal het hoogstwaarschijnlijk wel herkend worden door 1 van de virusscanners daar.

Dat ga ik even doen.

Resultaten komen hieronder z.s.m.

[Obliterator]

Het klinkt als Anti Virus Windows Update Service. Kun je die exe vinden op de HD? Als ie in program files staat weet je gelijk waar ie bij hoort.\

http://www.reger24.de/prozesse/AVWUPSRV.EXE.php

[ Voor 18% gewijzigd door Obliterator op 11-04-2005 21:56 ]

[EricJH]

Check eens via de Eigenschappen van het bestand wie de uitgever is. Geen uitgever maakt het een verdacht bestand.

Je kunt eens proberen het bestand niet meer te laten opstarten en kijken of dat scheelt met de vertragingen. Je kunt soms via het register zien of er nog andere bestanden gekoppeld zitten hieraan door het register te doorzoeken adhv de bestandsnaam.

En natuurlijk zoals de moderator al aangeeft even bij Jotti laten besnuffelen.

[Khaine]

Owk,

probleem. Het bestand is , danwel onzichtbaar, danwel niet te bereiken op de harde schijf. Ik kan er dus geen gegevens van opzoeken, en ik kan het ook niet door de jotti-scan halen. De prefetch is ook verdwenen, alleen de mededeling met die standaard knoppen "verzenden/niet verzenden" blijft terugkomen. De schijf lijkt sneller inmiddels, dat wel.

Ik dacht eerst aan een virus, maar een controle met antivir gaf niets aan. Spybot gaf wel 5 exploits aan, maar die komen ook gewoon steeds terug bij elke scanbeurt, ongeacht of de PC opnieuw gestart is of niet.

edit:
Zowel in de ini als in het register komt het bestand met deze naam niet voor, bij de search. Vreemd en vervelend. Ik zoek nog een keer.

[ Voor 13% gewijzigd door Khaine op 11-04-2005 22:03 ]

[Khaine]

Na wat intensief zoeken ben ik al wat verder gekomen.

_vwupsrv staat wel in het register. Daaruit kun je afleiden dat het van "acmru 5603". Daarop weet google wel direct om wat voor bestanden het gaat. Hardnekkige malware is het geval hierbij.

Ik ga nu de geinfecteerde PC rebooten om te kijken of de stappen hebben geholpen.

Alvast bedankt voor de hulp tot zover

edit:
Rebooten en de registry leeggooien bleek niet te helpen.

Ik ga er morgen wel aan verder. Tips en suggestie's zijn in de tussentijd nog altijd welkom !

[ Voor 21% gewijzigd door Khaine op 11-04-2005 22:12 ]

[EricJH]

Khaine666 schreef op maandag 11 april 2005 @ 22:08:
Na wat intensief zoeken ben ik al wat verder gekomen.

_vwupsrv staat wel in het register. Daaruit kun je afleiden dat het van "acmru 5603". Daarop weet google wel direct om wat voor bestanden het gaat. Hardnekkige malware is het geval hierbij.

Ik ga nu de geinfecteerde PC rebooten om te kijken of de stappen hebben geholpen.

Alvast bedankt voor de hulp tot zover

edit:
Rebooten en de registry leeggooien bleek niet te helpen.

Ik ga er morgen wel aan verder. Tips en suggestie's zijn in de tussentijd nog altijd welkom !

Probeer de beide bestanden eens vanuit DOS of het Herstelconsole te wissen.

Soms beschermt de een de ander. Dan wordt het bestand na wissen vrolijk weer teruggezet door de helper. Soms ook beschermt een bestand zelf zijn runsleutels in het register. Met Tea Timer van Spybot kun je dat dan zien gebeuren. Wissen vanuit safe mode of vanuit DOS/Herstel console zijn de volgende opties als het in Windows zelf niet lukt.