[malware] Verschillende virussen *

[XyberBorg]

Hallo,

Ik heb al vanalles geprobeerd maar niets hielp: M'n PC zit in heavy shit.

Problemen:
- Kan geen documenten meer opslaan/openen (explorer venster) wanneer ik de PC al een tijdje heb aanstaan. Applicatie hangt zich dan meteen.
- Afmelden en naar een andere gebruiker gaan is niet meer mogelijk nadat de PC een tijdje heeft aangestaan.
- één van de 5 svchost processen gebruikt 100% CPU. Dit gebeurt niet altijd, maar wanneer 't wel gebeurt, is de PC vanzelfsprekend erg langzaam. Wanneer ik svchost.exe via taakbeheer beeindig, hangt de PC meteen. Niets is dan meer mogelijk en stopcontact uittrekken is de enige optie.

(mislukte)
oplossingen:- PC volledig gescant met AVG Antivirus
- PC volledig gescant met NOD32 (278 Virussen gevonden)
- PC volledig gescant met Ad-Aware (Meer dan 300 Spyware rotzooi gevonden)
- PC volledig gescant en geimmuniseerd met Spybot Search & Destroy
- Register handmatig doorploegen (wat natuurlijk geen enkele zin had, ookal heb ik meer dan 100 onzinnige registerkeys weggegooid)
- Bij MSCONFIG.exe de opstartprocessen gedeselecteerd die onzinnig / gevaarlijk oogden.

Ik weet niet meer wat ik moet doen. Ik heb al vele uren gescant en gerotzooit, maar ik kom er niet uit.
Bijgevoegd heb ik de HijackThis resultaten: http://www.home.versatel.nl/xandermobertz/hijackthis.htm

PC Specs: AMD Athlon XP2600+, 120Gb baracuda HD, 200Gb WD Hd, Celestica Radeon 9600SE (128Mb), 1024Mb DRR RAM

Op hoop van zegen,

Groeten,
Xander

[Noork]

Wat dacht je van een verse installatie?

Neem de analyse van je hijackthis log eens door. Er zit veel rotzooi tussen.
http://www.hijackthis.de/...1fb6367b71792297fbb4.html

Bijvoorbeeld:
O23 - Service: ProcessEnumerator32 (pe32) - Unknown owner - C:\windows\fi49.exe (file missing)
O23 - Service: Externtelecom - Unknown owner - C:\windows\extel.exe
O4 - HKLM\..\RunServices: [USB Device] servicelog.exe

[ Voor 106% gewijzigd door Noork op 21-07-2005 00:53 ]

[pven]

Heb je Hitman Pro al geprobeerd?

[XyberBorg]

Heb ik ondertussen zo vaak gedaan en de ervaring leert dat ik dan nog steeds niet van die krengen af ben...

[XyberBorg]

Hitman is gewoon een programma dat ram veel andere scanners opent, alsmede AdAware en Spybot S/D. Heeft t dan nog zin, aangezien ik die toch al heb laten runnen?

[XyberBorg]

Dankje voor de tip, ben al bezig met opruimen...

Noork schreef op donderdag 21 juli 2005 @ 00:49:
Wat dacht je van een verse installatie?

Neem de analyse van je hijackthis log eens door. Er zit veel rotzooi tussen.
http://www.hijackthis.de/...1fb6367b71792297fbb4.html

Bijvoorbeeld:
O23 - Service: ProcessEnumerator32 (pe32) - Unknown owner - C:\windows\fi49.exe (file missing)
O23 - Service: Externtelecom - Unknown owner - C:\windows\extel.exe
O4 - HKLM\..\RunServices: [USB Device] servicelog.exe

[pven]

XyberBorg schreef op donderdag 21 juli 2005 @ 00:52:
Hitman is gewoon een programma dat ram veel andere scanners opent, alsmede AdAware en Spybot S/D. Heeft t dan nog zin, aangezien ik die toch al heb laten runnen?

Baat het niet dan schaadt het niet.

[lordsnow]

Je kan nog proberen via Start -> Uitvoeren, SFC (Win98) of SFC /SCANNOW (XP) proberen om je Windows bestanden na te kijken.

[ToFast]

1 van die svchost is een virus(of memorylack/opendoor trojan). Weet ik zeker, heb ik zelf ook eens gehad.

In veilige modus moet je doen:
Virusscanners laten aflopen> verwijderen of herstellen
Malware/spyware scanners(webroot spysweeper)
Handmatig rare .exe verwijderen uit windowsmappen(Downloaded Program Files ook bepaalde dingen vaak) +programfiles en msconfig.
Eventueel in register verwijzingen naar deze virussen/malware verwijderen.

Pc rebooten en clean..?

p.s. als je bepaalde processen of .exe/bat niet kunt killen of verwijderen in veilige modus zelfs,moet je eens explorer.exe killen en dan via ctrl alt delete >taskmanager> nieuwe taak uitvoeren, en dan gewoon de bestanden op je hd opzoeken handmatig en verwijderen

[ Voor 24% gewijzigd door ToFast op 21-07-2005 01:05 ]

[nsa1984]

XyberBorg schreef op donderdag 21 juli 2005 @ 00:48:
Hallo,

Ik heb al vanalles geprobeerd maar niets hielp: M'n PC zit in heavy shit.

(mislukte)
oplossingen:
- PC volledig gescant met AVG Antivirus
- PC volledig gescant met NOD32 (278 Virussen gevonden)
- PC volledig gescant met Ad-Aware (Meer dan 300 Spyware rotzooi gevonden)
- PC volledig gescant en geimmuniseerd met Spybot Search & Destroy
- Register handmatig doorploegen (wat natuurlijk geen enkele zin had, ookal heb ik meer dan 100 onzinnige registerkeys weggegooid)
- Bij MSCONFIG.exe de opstartprocessen gedeselecteerd die onzinnig / gevaarlijk oogden.

ik zeg maar 1 ding.


verse installatie van het OS en opnieuw beginnen met opbouwen. Data niet direct terug plaatsen maar scannen met de diverse spy en virus scanners. En iets minder heftig op "NEXT" klikken tijdens de installatie van de diverse (dubieuze) software

50 + virussen en 200+ spyware (geen koekjes) is het meestal sneller om ff opnieuw te beginnen is mijn ervaring.

--------------------
Opnieuw beginnen is dus niet windows er overheen installen. Even de HD formateren en dan instaleren.

sucses

[_Dune_]

Ik zou beginnen met een "schone" installatie van Windows XP (dus de schijf formatteren vervolgens Pc opnieuw opstarten, zodat er niets in het geheugen is achter gebleven en vanaf de XP CD weer netjes installeren). Vervolgens installeer je een virusscanner en Microsoft's Antispyware, deze is nog in Beta fase maar schijnt al behoorlijk goed te werken tenminste ik gebruik hem naar alle te vredenheid. Wanneer je dit hebt gedaan ga je Windows update uitvoeren (eventueel eerst Service Pack 2 installeren).

De programma's die je dan niet meer moet gebruiken zijn o.a Kazaa en varianten. Daarnaats niet te veel op bepaalde internet site's rond struinen.

In iedergeval het bovenste verhaaltje heeft er bij mij voor gezorgd dat mijn Pc al een poosje redelijk schoon is en blijft.

P.s. De virusscanner en Microsofts Antispyware zorgt er voor dat je niet direct weer allemaal shit binnen krijgt via het internet, het is dus zaak dat je deze twee zo spoedig mogelijk installeerd. Er is al eens een test gedaan met een Pc die op geen enkele wijse was beveiligd welke een ADSL verbinding met internet had. De Pc was binnen een half uur weer besmet met dergelijke rotzooi. Dit heeft overigens ook wel op tweakers.net (frontpage) gestaan.

[ Voor 39% gewijzigd door _Dune_ op 21-07-2005 01:16 ]

[XyberBorg]

Ik heb net via Hijackthis alles gecleant. Veel spyware en virussen zitten niet meer op dit systeem, deze heb ik tenslotte gecleand. Had tot nu toe nooit gebruik gemaakt van hijackthis, maar tot nu toe loopt alles veel smoother dan eerst! Ik hoop dat t zo aan houdt.

Bedankt voor jullie info!

[Icey]

Eigenwijs om alsnog alles te gaan proberen op te ruimen. Maak backups, breng de computer naar iemand die er verstand van heeft en geef hem de mededeling om windows goed te installeren zodat jij er uiteindelijk veel langer plezier van heb.

Het goed installeren van windows kost meer tijd dan het cdtje erin duwen

[pasta]

offtopic:
Ik pas je topictitel even aan. Ik zou je verder ook nog even willen wijzen op de -knop. Als je de laatste reply hebt toegevoegd binnen 24 uur, dan moet je deze gebruiken als je een nieuwe toevoeging wilt maken.

Verder zou ik je willen aanraden om nog even de volgende files te laten scannen op Jotti's online malware scan, en deze vervolgens te laten opruimen door 1 van de virusscanners die het herkent.

code:

C:\windows\extel.exe
C:\windows\System32\dwwin.exe
O2 - BHO: UpdateCache Class - {6E28339B-7A2A-47B6-AEB2-46BA53782378} - C:\windows\System32\dllcache\explorer.dll
O2 - BHO: Msxml32DOMDocument Class - {6E28339B-7A2A-47B6-AEB2-46BA53782379} - C:\windows\System32\dllcache\msxml32.dll
O4 - HKLM\..\RunServices: [Windows Dynamic Loading Header] winDLL32.exe
O4 - HKLM\..\RunServices: [Internet Suspention] story.exe
O4 - HKLM\..\RunServices: [Microsoft AOL Instant Messenger] MSAOL32.exe
O4 - HKLM\..\RunServices: [*Security Center] secctr.exe
O4 - HKLM\..\RunServices: [Windows Workstation] mpci.exe
O4 - HKLM\..\RunServices: [USB Device] servicelog.exe
O4 - HKLM\..\RunServices: [CT Control Settings] CTSVCCD.EXE
O4 - HKLM\..\RunServices: [Vdat Update] lalaa.exe
O4 - HKLM\..\RunServices: [Client for Microsoft Networks] msclient32.exe
O4 - HKLM\..\RunServices: [MS Internet Executor 32] MSIXEC32.exe
O4 - HKLM\..\RunServices: [MS UniX] navupdate64.exe
O4 - HKLM\..\RunServices: [MS Unix Binary] njhdg.exe
O4 - HKLM\..\RunServices: [KYK Control Settings] KYSVCXD.EXE
O4 - HKLM\..\RunServices: [VID INTERNET WEB DRIVERS FOR WIN32] phqghu.exe
O4 - HKCU\..\Run: [VID INTERNET WEB DRIVERS FOR WIN32] phqghu.exe
O4 - HKCU\..\RunServices: [virtual-machine] wini.exe
O4 - HKCU\..\RunServices: [Microsoft Opeions] IEXwe.exe
O9 - Extra button: Crazy Poker - {8A8A3162-B5FA-4c54-A862-4E62CBE8A255} - C:\Program Files\crazyvegasMPP\MPPoker.exe (file missing)
O23 - Service: Windows lsass Service (lsass) - Unknown owner - C:\windows\lsass.exe (file missing)

Daarnaast kan je in HijackThis ook nog de volgende dingen aanvinken om te laten verwijderen:

code:

O16 - DPF: {3B623D23-2757-4881-A01E-D560EBCA5307} (VacPro.olanda_ver10) - http://advnt01.com/dialer/olanda_ver10.CAB
O1 - Hosts: 216.138.184.21 onlineaccounts2.abbeynational.co.uk
O1 - Hosts: 216.138.184.21 www3.aibgbonline.co.uk
O1 - Hosts: 216.138.184.21 www.bank.alliance-leicester.co.uk
O1 - Hosts: 216.138.184.21 login.iblogin.com
O1 - Hosts: 216.138.184.21 ww2.bankofscotlandhalifax-online.co.uk
O1 - Hosts: 216.138.184.21 inet.barclays.co.uk
O1 - Hosts: 216.138.184.21 iibank.barclays.co.uk
O1 - Hosts: 216.138.184.21 iibank.cahoot.com
O1 - Hosts: 216.138.184.21 www3.coventrybuildingsociety.co.uk
O1 - Hosts: 216.138.184.21 ww.hsbc.co.uk
O1 - Hosts: 216.138.184.21 login.ebank.offshore.hsbc.co.je
O1 - Hosts: 216.138.184.21 ww3.online-offshore.lloydstsb.com
O1 - Hosts: 216.138.184.21 ww3.online-business.lloydstsb.co.uk
O1 - Hosts: 216.138.184.21 ww3.online.lloydstsb.co.uk
O1 - Hosts: 216.138.184.21 ww3.online.lloydstsb.co.uk
O1 - Hosts: 216.138.184.21 ww3.online-business.lloydstsb.co.uk
O1 - Hosts: 216.138.184.21 ob2.nationet.com
O1 - Hosts: 216.138.184.21 ww3.onlinebanking.natwestoffshore.com
O1 - Hosts: 216.138.184.21 ww1.nwolb.com
O1 - Hosts: 216.138.184.21 ww1.onlinebanking.iombank.com
O1 - Hosts: 216.138.184.21 ww1.www.rbsdigital.com
O1 - Hosts: 216.138.184.21 welcome.smile.co.uk
O1 - Hosts: 216.138.184.21 login.365online.com
O1 - Hosts: 216.138.184.21 wvw.citizensbankonline.com
O1 - Hosts: 216.138.184.21 esecure.regionsnet.com
O1 - Hosts: 216.138.184.21 rollb.associatedbank.com
O1 - Hosts: 216.138.184.21 upb.unionplanters.com
O1 - Hosts: 216.138.184.21 www.onlinebanking.huntington.com
O1 - Hosts: 216.138.184.21 inet.southtrustonlinebanking.com
O1 - Hosts: 216.138.184.21 logon.personal.wamu.com
O1 - Hosts: 216.138.184.21 login.compassweb.com
O1 - Hosts: 216.138.184.21 logon.firstmeritib.com
O1 - Hosts: 216.138.184.21 login.ccfcuonline.org
O1 - Hosts: 216.138.184.21 ww3.etimebanker.bankofthewest.com
O1 - Hosts: 216.138.184.21 ww2.onlinebanking.lasallebank.com
O1 - Hosts: 216.138.184.21 wvw.totallyfreebanking.com
O1 - Hosts: 216.138.184.21 www.online.wellsfargo.com
O1 - Hosts: 216.138.184.21 www.onlinebanking.bankofoklahoma.com
O1 - Hosts: 216.138.184.21 accounts4.keybank.com
O1 - Hosts: 216.138.184.21 logon.bankone.com
O1 - Hosts: 216.138.184.21 www.secure.tdbanknorth.com
O1 - Hosts: 216.138.184.21 www.secure.mvnt4.com
O1 - Hosts: 216.138.184.21 ww.mynfbonline.com
O1 - Hosts: 216.138.184.21 login.forumcuonline.com
O1 - Hosts: 216.138.184.21 www.eds.usersonlnet.com
O1 - Hosts: 216.138.184.21 www.onlineid.bankofamerica.com
O1 - Hosts: 216.138.184.21 wvw.e-gold.com
O1 - Hosts: 216.138.184.21 pcbs.peoples.com
O1 - Hosts: 216.138.184.21 www.global1.onlinebank.com
O1 - Hosts: 216.138.184.21 ww2.mybranch.lafcu.com
O1 - Hosts: 216.138.184.21 login.webbanking.comerica.com
O1 - Hosts: 216.138.184.21 web.banking.firsttennessee.com
O1 - Hosts: 216.138.184.21 logon.members1st.org
O1 - Hosts: 216.138.184.21 www.cib.ibanking-services.com
O1 - Hosts: 216.138.184.21 www.miwebbusbank.ebanking-services.com
O1 - Hosts: 216.138.184.21 wvw.paypal.com
O1 - Hosts: 216.138.184.21 www.signin.ebay.com
O1 - Hosts: 216.138.184.21 wvw.etrade.com
O1 - Hosts: 216.138.184.21 ww4.fleethomelink.fleet.com
O1 - Hosts: 216.138.184.21 ww3.connect.skyfi.com
O1 - Hosts: 216.138.184.21 www6.usbank.com
O1 - Hosts: 216.138.184.21 www.bvi.bancodevalencia.es
O1 - Hosts: 216.138.184.21 extrant.banesto.es
O1 - Hosts: 216.138.184.21 banesnt.banesto.es
O1 - Hosts: 216.138.184.21 activia.caixagalicia.es
O1 - Hosts: 216.138.184.21 www.bancae.caixapenedes.com
O1 - Hosts: 216.138.184.21 login.caixasabadell.net
O1 - Hosts: 216.138.184.21 oii.cajamadrid.es
O1 - Hosts: 216.138.184.21 login.cajamar.es
O1 - Hosts: 216.138.184.21 login.ccm.es
O1 - Hosts: 216.138.184.21 ww.unicaja.es
O1 - Hosts: 216.138.184.21 www5.bancopopular.es
O1 - Hosts: 216.138.184.21 ww3.bbvanet.com
O1 - Hosts: 216.138.184.21 ww.bayernlb.de
O1 - Hosts: 216.138.184.21 ww2.berliner-volksbank.de
O1 - Hosts: 216.138.184.21 ww7.homebanking-berlin.de
O1 - Hosts: 216.138.184.21 portal09.commerzbanking.de
O1 - Hosts: 216.138.184.21 www.meine.deutsche-bank.de
O1 - Hosts: 216.138.184.21 ww2.dresdner-privat.de
O1 - Hosts: 216.138.184.21 ww.e-banking.helaba.de
O1 - Hosts: 216.138.184.21 ww.hsh-nordbank.de
O1 - Hosts: 216.138.184.21 www.my.hypovereinsbank.de
O1 - Hosts: 216.138.184.21 ww3.homebanking-berlin.de
O1 - Hosts: 216.138.184.21 ww3.homebanking-berlin.de
O1 - Hosts: 216.138.184.21 www.banking.lbbw.de
O1 - Hosts: 216.138.184.21 lrp.sparkasse-banking.de
O1 - Hosts: 216.138.184.21 ww3.homebanking-niedersachsen.de
O1 - Hosts: 216.138.184.21 www.onlinebanking.norisbank.de
O1 - Hosts: 216.138.184.21 www.banking.postbank.de
O1 - Hosts: 216.138.184.21 wvw.internetbanking.gad.de
O1 - Hosts: 216.138.184.21 ww1.portal.izb.de
O1 - Hosts: 216.138.184.21 wvw.kunden-service.lbs.de
O1 - Hosts: 216.138.184.21 ibanking.seb.de
O1 - Hosts: 216.138.184.21 bw7.sparkasse-banking.de
O1 - Hosts: 216.138.184.21 ww2.homebanking-sparkasse.de
O1 - Hosts: 216.138.184.21 ww2.vr-networld-ebanking.de
O1 - Hosts: 216.138.184.21 ww.bics.fr
O1 - Hosts: 216.138.184.21 www.co.caixabank.fr
O1 - Hosts: 216.138.184.21 ww.creditmutuel.fr
O1 - Hosts: 216.138.184.21 internetbank.intesabci.it
O1 - Hosts: 216.138.184.21 ww.extensive.bancalombarda.it

Die Hosts entry wijzen erop dat er iets geïnstalleerd is voor phishing. Gebruik ook eens een Knoppix Live! CD te booten om de files die ik aanmerkte voor te scannen te verwijderen. Ook zou ik je willen aanraden om je Windows eens up-to-date te maken, Service Pack 2 is toch al een tijdje uit. Het is een hele opgaaf, maar het is niet onmogelijk.

[XyberBorg]

SP2 kan deze PC helaas niet aan... de computer blijft maar rebooten.
Ook de Hijackthis is nu helemaal in orde.

En dat het opnieuw installen van windows meer tijd kost dan een cd tje dr in weet ik uit ervaring

Iig heel erg veel bedankt voor jullie hulp, dit is de eerste keer dat ik zelfs na lange tijd nog alles kan doen zonder iets blijft hangen.

grtz
xander

[Flame17]

Ik lees nergens dat je systeemherstel hebt uitgezet.

En dat XSP2 er niet opkomt is niet verwonderlijk met zoveel rotzooi op je PC, dus online scan zoals al aangegeven en dan SP2 er op.

[Sassie]

Installeer ook een firewall, bij de juiste instellingen blokkeer je de boel van buiten en merk je het meteen als er processen (zowel gewenst als ongewenst) op je pc naar buiten willen communiceren. En denk niet dat je veilig bent als je achter een router zit, want een router houdt malware die naar buiten communiceert (en 'vriendjes' binnenhaalt) niet tegen.

Dit mag je trouwens ook nog wel fixen met hijackthis:

code:

O15 - Trusted Zone: *.musicmatch.com
O15 - Trusted Zone: *.musicmatch.com (HKLM)
O15 - ProtocolDefaults: 'http' protocol is in My Computer Zone, should be Internet Zone
O23 - Service: ProcessEnumerator32 (pe32) - Unknown owner - C:\windows\fi49.exe (file missing)

En ik mag hopen dat je Messenger plus zonder sponsor geinstalleerd hebt, het is nu wel algemeen bekend dat die sponsor spyware is...

[ Voor 6% gewijzigd door Sassie op 21-07-2005 10:47 ]

[XyberBorg]

Flame17 schreef op donderdag 21 juli 2005 @ 01:39:
En dat XSP2 er niet opkomt is niet verwonderlijk met zoveel rotzooi op je PC, dus online scan zoals al aangegeven en dan SP2 er op.

Ik heb SP2 al geprobeerd bij een schone installatie van WinXP, maar ook dit werkte niet