Virus Mugly_i

[Verwijderd]

Sinds vanmorgen heeft mijn pc het virus mugly_i.
Ik had een setup.exe gedownload en gescanned met de online virusscan van Trend Micro maar die gaf aan dat er geen virus was.
Na het installeren van setup.exe (die een foutmelding gaf) heb ik nogmaals gescanned op virussen en toen gaf de virusscan "failed to clean Mugly_i".
Ik kan mijn processen niet meer benaderen met ctrl+alt+del, en als ik regedit intype krijg ik een 16bit ms-dos venstertje met regedit.com en een foutmelding.
Ik heb verschillende virusscans gedaan, ook de automatical remove optie van trendmicro (damge cleanup engine) en Microsoft AntiSpyware.


Uiteindelijk reinstall gedaan

[ Voor 97% gewijzigd door Verwijderd op 23-06-2005 18:17 ]

[Outerspace]

Wat gebeurt er als je opstart in veilige modus, en dan alles weer opnieuw scant.
Dus met je virusscanner en eventueel je spywarescanner.

[ Voor 46% gewijzigd door Outerspace op 23-06-2005 11:11 ]

[Verwijderd]

Ik scan nu in veilige modus, maar met de automatic tool duurt dat uren

[ Voor 34% gewijzigd door Verwijderd op 23-06-2005 11:12 ]

[-Skyhawk-]

Als ik iets zoek over Mugly_en.zijn.soorten dan lijkt het net of dit gewoon via email wordt verstuurd.

http://www.virusalert.nl/?show=virus&id=768
http://vil.nai.com/vil/content/v_131359.htm

Mugly is een mass-mailer internetworm die zich verspreidt via e-mail.
Na infectie installeert het een variant van Win32.SdBot.

De belangrijkste schade-component SdBot is het installeren van een backdoor waarmee de aanvaller toegang en controle kan krijgen over het getroffen systeem.

Kijkend naar Mugly; de eigenschappen van verzending via e-mail varieren nogal, behalve de naam van het bijlagebestand welke constant is, deze heet altijd "attached.zip".
Voor de verzending via e-mail maakt het gebruik van een eigen SMTP-engine. Activering vindt plaats door het bijlagebestand (handmatig) te openen.

Ik hoop verder dat de beschrijving die virusalert geeft bij die link je helpt

[ Voor 6% gewijzigd door -Skyhawk- op 23-06-2005 11:18 ]

[Verwijderd]

-Skyhawk- schreef op donderdag 23 juni 2005 @ 11:14:
Als ik iets zoek over Mugly_en.zijn.soorten dan lijkt het net of dit gewoon via email wordt verstuurd.

http://www.virusalert.nl/?show=virus&id=768
http://vil.nai.com/vil/content/v_131359.htm


[...]


Ik hoop verder dat de beschrijving die virusalert geeft bij die link je helpt

Het lijkt mij toch zeker dat het door de setup.exe gekomen is, maar dat ik mijn register niet meer in kom vind ik wel verontrustend....

Het is misschien simpel maar zou een gewone system restore werken ?
Ik begin een re-install te overwegen...

[ Voor 12% gewijzigd door Verwijderd op 23-06-2005 11:39 ]

[Verwijderd]

Ik kan mijn processen niet meer benaderen met ctrl+alt+del, en als ik regedit intype krijg ik een 16bit ms-dos venstertje met regedit.com en een foutmelding.

Dan zou toch een lampje moeten gaan branden.

Check je sysdir op recente 0 byte .com bestanden.(waaronder regedit.com)

Deze infectie had voorkomen kunnen worden als je AV realtime zou draaien, wie weet wat voor troep er nog meer op je pc staat...

[CrashOne]

Volgens mij klopt dit niet: C:\Program Files\winupdates\winupdates.exe

Controleer eens of er in system32 nieuwe com bestanden staan, waarschijnlijk staan ze hidden (cmd.com, ping.com, tracert.com, tasklist.com, regedit.com en taskkill.com), die kan je ook weg gooien. Deze zorgen ervoor dat je deze commando's niet meer kunt geven in dos/run.

Ik nl denk dat je een trojan dropper hebt gedownload.


^^^ met hierboven.

[ Voor 4% gewijzigd door CrashOne op 23-06-2005 11:46 ]

[Verwijderd]

Bedankt voor het nadenken, ik heb een reinstall gedaan, dat was toch 1.5 jaar geleden, dit was een hardnekkig virus.

[Occy74]

Even googlen op die naam en de 1e link levert al resultaat op:

*Click Here to download Killbox by Option^Explicit.
*Extract the program to your desktop and double-click on its folder, then double-click on Killbox.exe to start the program.
*In the killbox program, select the Delete on Reboot option.
*Copy the file names below to the clipboard by highlighting them and pressing Control-C:

C:\Program Files\MsConfigs\MsConfigs.exe
C:\WINDOWS\system32\p2pnetwork.exe
C:\WINDOWS\system32\CMD.COM
C:\WINDOWS\system32\netstat.com
C:\WINDOWS\system32\ping.com
C:\WINDOWS\system32\regedit.com
C:\WINDOWS\system32\tasklist.com
C:\WINDOWS\system32\taskkill.com
C:\WINDOWS\system32\taskmgr.com
C:\WINDOWS\system32\tracert.com
C:\Program Files\winupdate\winupdate.exe
C:\Program Files\Media Access\MediaAccK.exe

*Return to Killbox, go to the File menu, and choose "Paste from Clipboard".
*Click the red-and-white "Delete File" button. Click "Yes" at the Delete on Reboot prompt. Click "No" at the Pending Operations prompt.

After the reboot run HijackThis again. Check the following items in HijackThis.
Close all windows except HijackThis and click Fix checked:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://search.usefulware.com
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://search.usefulware.com

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://search.usefulware.com
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://search.usefulware.com
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://search.usefulware.com
F3 - REG:win.ini: load=?
F3 - REG:win.ini: run=?

O4 - HKLM\..\Run: [ViewMgr] C:\Program Files\Viewpoint\Viewpoint Manager\ViewMgr.exe

O4 - HKLM\..\Run: [winupdate] C:\Program Files\winupdate\winupdate.exe /auto
O4 - HKLM\..\Run: [Media Access] C:\Program Files\Media Access\MediaAccK.exe

O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file)

O16 - DPF: {0246ECA8-996F-11D1-BE2F-00A0C9037DFE} (TDServer Control) - http://204.168.68.163/pfr/tdserver.cab

O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://software-dl.real.com/12a5b30dce039b...ip/RdxIE601.cab

O16 - DPF: {70522FA2-4656-11D5-B0E9-0050DAC24E8F} - http://download.iwon.com/ct/pm3/iwonpm_6_1,0,2,5.cab

Reboot into safe mode and delete:
C:\Program Files\Media Access <= entire folder
C:\Program Files\winupdate <= entire folder

I would also advise to uninstall:
ViewPoint Manager
under Add/Remove Software