[Win 2000] Winfile.exe (0 kb) niet te deleten

[RagingR2]

In de root van mijn D:\ staat om de één of andere reden het bestand WINFILE.EXE met een grootte van 0kb. Tot en met win98 was dit de File Manager, maar in Windows2000 hoort dat ding niet te zitten, laat staan in de root van mijn D-schijf. Ik wil dat ding weghalen, maar dat wil dus niet echt lukken. Hij geeft aan dat het bestand niet gedelete kan worden omdat het wellicht in gebruik is.
Wat ik al heb geprobeerd:

- Kaspersky gedraaid (geeft geen besmetting aan)
- Adaware en Spybot (geven ook allebei nix)
- Ctrl+alt+del om bij de lijst van active processes te kijken (staat ie niet bij)
- Hijackthis (hij staat ook niet in de lijst van dingen die worden opgestart)

Toch vind ik het maar een verdacht bestand. Ik bedoel a) hij hoort niet bij windows2000, b) hij is 0kb groot en c) hij is niet te deleten omdat windows denkt dat ie in gebruik is.

Omdat windows hem niet kan deleten heb ik daarna nog dit geprobeerd:
- In safe mode deleten (werkt ook niet; zelfde melding als in normal)
- Vanaf een windows98 of dos6.22. boot disk deleten (werkt ook niet omdat ie mn harde schijven dan niet ziet, bovendien is mn D-schijf NTFS dus dat gaat sowieso niet echt werken denk ik).

Heeft iemand enig idee:
a) wat voor iets die WINFILE.EXE zou kunnen zijn?
b) hoe ik het gedelete krijg?

Bij voorbaat dank,

RagingR2

[sig69]

Geen idee wat het zou kunnen zijn, maar je zou eens van knoppix ofzo kunnen booten.

[pasta]

Scan het bestand eens op Jotti's online malware scan.

[RagingR2]

Sig69, bedankt voor de tip.
Ik heb ff gegoogled, dat is een compleet-van-cdrom-draaiende linux als ik het goed begrijp?
Oeh... scary...
Ik heb nul komma nul ervaring met linux dus voordat ik die manual door ga lezen er daaraan ga beginnen wacht ik nog effe denk ik.

Pasta, jij ook bedankt voor de tip.
Die was ik echter nog vegeten te melden: die Jotti had ik ook al geprobeerd, en daar krijg ik deze melding:
The file you uploaded is 0 bytes. It is very likely a firewall or a piece of malware is prohibiting you from uploading this file

Nou zit ik inderdaad achter een NAT router. Is dat op de een of andere manier te omzeilen door een bepaalde poort te mappen voor die scanner ofzo? Of zou het eraan liggen dat (zoals ik in de startpost al melde) dat bestand inderdaad 0 byte is? In elk geval: dat is ook wat windows explorer aangeeft.

[ Voor 10% gewijzigd door RagingR2 op 02-05-2005 16:39 ]

[pasta]

Een NAT router zal zoiets hoogst waarschijnlijk niet blokkeren.

Controleer eens met Hijackthis of er nog een verdacht proces draait wat het bestand bezet houdt / aanpast.

[sig69]

Knoppix is niet eng, ik heb ook geen reet verstand van Linux maar Knoppix heeft me toch al een paar keer gered. Gewoon op cd branden, booten en even later heb je een GUI voor je neus.

Of anders pak je ERD Commander of BartPE

[ Voor 35% gewijzigd door sig69 op 02-05-2005 16:42 ]

[Verwijderd]

probeer het eens met readntfs.exe (ff googlen)

dat is een programma waarmee je via DOS ntfs schijven kan lezen en ook dingen kan deleten / copyen etc.

wellicht kan je het dan wel verwijderen.

[Verwijderd]

- Kaspersky gedraaid (geeft geen besmetting aan)

Welke versie van KAV draai je? Heb je een memory/full system scan gedaan?
Als je nog versie 4.x gebruikt raad ik je sterk aan naar v5 te upgraden.

Het is waarschijnlijk dat je met malware die SYSTEM rechten heeft hebt te maken.
Zo wordt enige vorm van toegang - waaronder zelfs de bestandsgrootte uitlezing - geblokkeerd.

[RagingR2]

Verwijderd schreef op maandag 02 mei 2005 @ 17:04:
Welke versie van KAV draai je? Heb je een memory/full system scan gedaan?
Als je nog versie 4.x gebruikt raad ik je sterk aan naar v5 te upgraden.

Het is waarschijnlijk dat je met malware die SYSTEM rechten heeft hebt te maken.
Zo wordt enige vorm van toegang - waaronder zelfs de bestandsgrootte uitlezing - geblokkeerd.

Ik heb inderdaad Kaspersky versie 5.x
Ik heb gescanned met de extended database, en dan op het scan level "recommended" (enige verschil met "maximum" is dat hij dan "mail data formats" niet meeneemt)

[ Voor 12% gewijzigd door RagingR2 op 02-05-2005 17:18 ]

[Verwijderd]

taakbeheer (normaal ctrl+alt+del) zoek het process >>>taak beeindigen. Daarna del win???.exe klaar. eventueel nog uitvoeren >>regedit>>zoeken win???.exe >>>>>>>>>>>>>>verwijder regeistersleutel opnieuw zoeken (F3)>>>verwijder enz.

[pasta]

Verwijderd schreef op maandag 02 mei 2005 @ 17:24:
taakbeheer (normaal ctrl+alt+del) zoek het process >>>taak beeindigen. Daarna del win???.exe klaar. eventueel nog uitvoeren >>regedit>>zoeken win???.exe >>>>>>>>>>>>>>verwijder regeistersleutel opnieuw zoeken (F3)>>>verwijder enz.

- Ctrl+alt+del om bij de lijst van active processes te kijken (staat ie niet bij)
- Hijackthis (hij staat ook niet in de lijst van dingen die worden opgestart)

[RagingR2]

pasta schreef op maandag 02 mei 2005 @ 16:40:
Controleer eens met Hijackthis of er nog een verdacht proces draait wat het bestand bezet houdt / aanpast.

Ik heb de logs van Hijackthis bekeken, en ook de lijst met actieve processen (ctrlaltdel), ff wat .exe's gegoogled maar daar staat nix verdachts tussen.

Verwijderd schreef op maandag 02 mei 2005 @ 16:42:
probeer het eens met readntfs.exe (ff googlen)
dat is een programma waarmee je via DOS ntfs schijven kan lezen en ook dingen kan deleten / copyen etc. wellicht kan je het dan wel verwijderen.

Ik heb readntfs geprobeerd, maar volgens mij kun je daar alleen maar dingen mee lezen en kopiëren. Het kan aan mij liggen, maar ik kan de delete functie niet vinden.

sig69 schreef op maandag 02 mei 2005 @ 16:40:
Knoppix is niet eng, ik heb ook geen reet verstand van Linux maar Knoppix heeft me toch al een paar keer gered. Gewoon op cd branden, booten en even later heb je een GUI voor je neus. Of anders pak je ERD Commander of BartPE

Mmm, dan zal ik 1tje daarvan zo toch maar eens proberen. Ik hoop alleen dat het zin heeft want als Schouw gelijk heeft:

Verwijderd schreef op maandag 02 mei 2005 @ 17:04:
Het is waarschijnlijk dat je met malware die SYSTEM rechten heeft hebt te maken.
Zo wordt enige vorm van toegang - waaronder zelfs de bestandsgrootte uitlezing - geblokkeerd.

...dan moet ik er dus eerst eens achter zien te komen wat het probleem veroorzaakt voordat ik de symptomen ga bestrijden.

Iedereen iig alvast bedankt voor de hulp.
Zodra ik weer meer weer laat ik het weten.

[ Voor 3% gewijzigd door RagingR2 op 02-05-2005 20:07 ]

[Hennie-M]

over die knoppix oplossing,

Ik dacht dat je niet vanuit een ander os dan windows kon schrijven(en dus ook verwijderen) op een ntfs volume?

[Verwijderd]

Zomaar files gaan deleten lijkt me niet verstandig.
Eerst moet bekend zijn wat de payload van een bepaalde file is.

Kopieer de bepaalde file dus eens naar een andere locatie, reboot en laat KAV die file scannen.
Post de output eventueel hier als verdict niet duidelijk is.
Als de sample niet geflagged wordt, dan kun je die naar mailadres in mijn signature sturen.

[RagingR2]

Die file naar een andere locatie kopieren om te kijken wat er mee gebeurd had ik al eerder geprobeerd. Gevolg was dat ik niet 1 maar 2 onverwijderbare bestanden van 0 kb op mijn schijf had.

Ondertussen wordt het verhaal steeds spannender.
Ik start net namelijk Dc++ op en ik kom er achter dat mijn hele share is gereset. Het enige wat er nu in mn share staat is de map c:\winnt\system32\msview met daarin een paar honderd bestanden eindigend op crack.exe (het moge duidelijk zijn dat ik die daar niet neergezet heb, laat staan in mn Dc++ share gegooid).
Dat lijkt verdacht veel op wat hier beschreven wordt:
http://1.kuchin.peterhost...sion/index.php/t7114.html
... met het verschil dan dat ik al in tijden geen Emule meer gedraaid heb.

[RagingR2]

Aangezien geen enkele scanner (Kaspersky, Spybot, Adaware, Housecall) iets op mijn systeem kon vinden, maar het probleem nog steeds bestond en er bovendien nieuwe rare klachten bij kwamen (zie post hierboven) heb ik maar ff een volledige reinstall gedaan.

Iedereen toch bedankt voor de tips... maar ja het blijft windows dus af en toe is reinstallen blijkbaar gewoon nodig.

[alt-92]

RagingR2 schreef op vrijdag 06 mei 2005 @ 13:15:

Iedereen toch bedankt voor de tips... maar ja het blijft windows dus af en toe is reinstallen blijkbaar gewoon nodig.

Je hebt gewoon zelf met een domme actie een backdoor opgelopen en geeft dus maar Windows de schuld?
Waar zijn de echte mannen die hun OS niet elke 3 maanden hoeven te installeren maar er gewoon 3 jaar mee kunnen draaien?

[Verwijderd]

BackSlash32 schreef op vrijdag 06 mei 2005 @ 20:07:
[...]


Je hebt gewoon zelf met een domme actie een backdoor opgelopen en geeft dus maar Windows de schuld?
Waar zijn de echte mannen die hun OS niet elke 3 maanden hoeven te installeren maar er gewoon 3 jaar mee kunnen draaien?

3 jaar is wel erg lang iedere 6 maanden is wel maximaal, wel realistisch blijven natuurlijk.
Windows vervuild nou eenmaal hoeveel clean en crap removers je ook gebruikt, het register slibt dicht etc...

[Mike Jarod]

offtopic:
mwah, ik zit nu op 8 maanden, en ik ben voorlopig nog niet aan een herinstallatie toe. gezond verstand + regcleaners + handmatige opschoonacties + geen onnodige processen draaien doet een hele hoop.

[Hennie-M]

Het is ook niet eens windows alleen die vervuilt. Je gebruikt programma's en je instaleerd programma's en verwijderd een hoop.

Een productie machine die alleen maar een printerdriver, ms word 97 en een terminal services client geinstaleerd heeft kun je makkelijk 3 jaar laten draaien.

Maar de gemiddelde gebruiker probeert veel zooi uit, en uninstall gaat niet altijd even fris, en soms gaan er dingen fout.
Ik had in juni 2004 voor het laatst geformateerd,maar vorige maand had ik een andere geluidskaart geinstaleerd, ik doe een reboot en opeens zijn er een aantal files pleite, en na een uurtje of 2 kloten om te recoveren ga je gewoon formateren.

[pasta]

Dit gaat ondertussen redelijk offtopic. Het probleem van de TS is opgelost, en deze discussie zal anders alleen nog maar verder offtopic raken.