[XP] adaware blockeert alle executables

[FireAge]

Een vriend van mij heeft adaware gedraait zegt ie, en nu kan hij geen enkele executable meer draaien.
Adaware "vroeg" hem allemaal dingen en hij heeft gewoon immer op ja danwel accept geklikt.
Heeft hier iemand daar ooit van gehoord?

Ik hoop dat iemand dit eerder heeft meegemaakt.
Zou me weer een trip schelen en hem een blauw oog.
Beetje die PC verneuken nadat ik hem compleet voor hem geinstalleerd heb

[DaRoot]

Dan is waarschijnlijk explorer.exe niet gekoppeld geweest aan .exe files, maar die spyware. Verwijder je de spyware in kwestie, maar laat je de koppeling ongemoeid, tja... dan wordt het lastig..

[FireAge]

Hmm, klinkt aannemelijk.
Maar volgens mij kreeg hij een melding dat windows unable was om de file te launchen zodra hij hem probeerde te starten.
Hij kon overigens bijvoorbeeld firefox wel opstarten door een html link in word aan te klikken

[r0b]

FireAge schreef op dinsdag 26 juli 2005 @ 07:08:
Hmm, klinkt aannemelijk.
Maar volgens mij kreeg hij een melding dat windows unable was om de file te launchen zodra hij hem probeerde te starten.
Hij kon overigens bijvoorbeeld firefox wel opstarten door een html link in word aan te klikken

Vraag ik mij weer af: hoe opent hij Word dan?
(Start > run > winword kan, maar dat is ook gelinkt aan een executable)

[FireAge]

Hij kan wel Word openen door een Word document te openen maar niet via het Word icoon of door direct op de executable te klikken..
Op een of andere manier werkt alleen een directe aanroep van de exe niet.

Via de command shell lukt het ook niet, dat had ik hem al laten proberen.

Ik denk dat ik hem maar gewoon xp er opnieuw overheen laat installeren.
Mocht dat niet werken, kan ik er altijd nog langs gaan.

[pasta]

Staat de volgende registerentry goed?

code:

HKEY_CLASSES_ROOT\exefile\shell\open\command

Default op "%1" %*
Deze tip heb ik gevonden bij het [search=executables werken niet meer]. Wat had je zelf overigens al gezocht?

Als je niet in regedit komt, dan kan je nog altijd regedit.exe omnoemen naar regedit.com om te kijken of dit werkt.

edit:
Daarnaast staat het ook nog in de FAQ, Beveiliging en Virussen - FAQ (antwoorden)

[ Voor 15% gewijzigd door pasta op 26-07-2005 14:37 ]

[FireAge]

Goeie tip dank je.
Ik zal het aan hem doorsturen.

Ik head zelf gezocht naar
executables+block
executables+blokkeren
executables+blokkeert
executables+adaware
en weet ik veel wat nog meer.

[Tom-my]

Ik weet niet of ts al wat gevonden had? Ik heb namelijk momenteel op meerdere pc's het zelfde probleem en ik krijg het maar niet weg! De adaware adwatch gaf aan dat daar juist meerdere reg keys gewijzigd zouden worden (allemaal op block gedrukt, helpt geen f*ck) en nu kan ik alleen nog dingen starten via de explorer class (dus in je verkenner adresbalk).

Wat zou een goede online scanner zijn voor deze? Is dit richting een virus of een spyware iets? IK heb totaal geen ervaring met deze virussen tot nu toe en zit ook een beetje omhoog met wat te doen. Momenteel loopt de online scan van norton maar die vindt helemaal nada.

ow en dit stuk uit de faq:

Een hoop virussen passen de aanroep van executables in Windows aan, zodat het virus steeds wordt aangeroepen als jij een ander programma opstart. Maar na de verwijdering van het virus kan het zo zijn dat je geen enkel programma meer kan opstarten, omdat de koppeling dan weg is. Dit is na verwijdering van het virus vrij makkelijk te maken door in de verkenner regedit.exe naar regedit.com te hernoemen, en deze op te starten.
In je register zou "HKEY_CLASSES_ROOT\exefile\shell\open\command" de waarde "%1" %* moeten hebben, en "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.exe" hoeft enkel een lege defaultwaarde te hebben.

Werkt helaas niet, com objecten is ook verkeerd gelinkt nu zelfs bat en pif zag ik voorbij komen (grmbl).


Zal even een stukje log posten:

code:

Ad-Watch Logfile, exported on 24-8-2005
Total number of events:51
===============================================
24-8-2005 10:17:46 - Definitions file SE1R62 17.08.2005 loaded successfully.
Build:SE1R62 17.08.2005
Total Signatures :41372
Target Families :731
Target Categories :6
CSI data Size :68816

File Size :1536749

===============================================
24-8-2005 10:17:46 - Internal Error : User Preference file corrupted!
To correct this error, close and relaunch Ad-Watch.

Default settings have been applied.
(All Blocking Features are active)


24-8-2005 10:17:46Initialization Error (3)

===============================================
24-8-2005 10:17:46 - Sites file loaded.
Sites file loaded successfully.
C:\Program Files\Norman\Norman Ad-Aware SE Plus\sites.txt
Total entries : 3231





===============================================
24-8-2005 10:18:07 - Registry modification detected
Root:HKEY_LOCAL_MACHINE
Key:SOFTWARE\Classes\regfile\shell\open\command
Value:
Data:
New Data:regedit.exe "%1"



===============================================
24-8-2005 10:18:09 - Registry modification detected
Root:HKEY_LOCAL_MACHINE
Key:SOFTWARE\Classes\lnkfile\CLSID
Value:
Data:
New Data:{00021401-0000-0000-C000-000000000046}



===============================================
24-8-2005 10:18:09 - Registry modification detected
Root:HKEY_LOCAL_MACHINE
Key:SOFTWARE\Classes\exefile\shell\open\command
Value:
Data:
New Data:"%1" %*



===============================================
24-8-2005 10:18:10 - Registry modification detected
Root:HKEY_LOCAL_MACHINE
Key:Software\Classes\.com
Value:
Data:
New Data:comfile



===============================================
24-8-2005 10:18:10 - Registry modification detected
Root:HKEY_LOCAL_MACHINE
Key:Software\Classes\.scr
Value:
Data:
New Data:scrfile



===============================================
24-8-2005 10:18:11 - Registry modification detected
Root:HKEY_LOCAL_MACHINE
Key:Software\Classes\.bat
Value:
Data:
New Data:batfile



===============================================
24-8-2005 10:18:13 - Registry modification detected
Root:HKEY_LOCAL_MACHINE
Key:Software\Classes\.pif
Value:
Data:
New Data:piffile



===============================================
24-8-2005 10:18:14 - Registry modification detected
Root:HKEY_LOCAL_MACHINE
Key:Software\Classes\.reg
Value:
Data:
New Data:regfile



===============================================
24-8-2005 10:18:15 - Registry modification detected
Root:HKEY_LOCAL_MACHINE
Key:Software\Classes\.lnk
Value:
Data:
New Data:lnkfile



===============================================
24-8-2005 10:18:15 - Registry modification detected
Root:HKEY_LOCAL_MACHINE
Key:Software\Classes\.exe
Value:
Data:
New Data:exefile



===============================================
24-8-2005 10:18:16 - Registry modification detected
Root:HKEY_LOCAL_MACHINE
Key:Software\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad
Value:PostBootReminder
Data:
New Data:{7849596a-48ea-486e-8937-a2a3009f31a9}



===============================================
24-8-2005 10:18:16 - Registry modification detected
Root:HKEY_LOCAL_MACHINE
Key:Software\Microsoft\Windows\CurrentVersion\Policies\System
Value:dontdisplaylastusername
Data:
New Data:0



===============================================
24-8-2005 10:18:16 - Registry modification detected
Root:HKEY_CURRENT_USER
Key:Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
Value:NoDriveTypeAutoRun
Data:
New Data:145



===============================================
24-8-2005 10:18:17 - Registry modification detected
Root:HKEY_LOCAL_MACHINE
Key:SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows
Value:AppInit_DLLs
Data:
New Data:



===============================================
24-8-2005 10:18:17 - Registry modification detected
Root:HKEY_LOCAL_MACHINE
Key:Software\Microsoft\Windows\CurrentVersion\Run
Value:IgfxTray
Data:
New Data:C:\WINDOWS\system32\igfxtray.exe



===============================================
24-8-2005 10:18:18 - Registry modification detected
Root:HKEY_LOCAL_MACHINE
Key:Software\Microsoft\Internet Explorer\Search
Value:SearchAssistant
Data:
New Data:http://ie.search.msn.com/{SUB_RFC1766}/srchasst/srchasst.htm



===============================================
24-8-2005 10:18:18 - Registry modification detected
Root:HKEY_LOCAL_MACHINE
Key:Software\Microsoft\Internet Explorer\Main
Value:Default_Page_URL
Data:
New Data:http://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome



===============================================
24-8-2005 10:18:18 - Registry modification detected
Root:HKEY_CURRENT_USER
Key:Software\Microsoft\Internet Explorer\SearchUrl
Value:provider
Data:
New Data:gogl



===============================================
24-8-2005 10:18:20 - Registry modification detected
Root:HKEY_CURRENT_USER
Key:Software\Microsoft\Internet Explorer\Main
Value:Local Page
Data:
New Data:C:\WINDOWS\system32\blank.htm



===============================================
24-8-2005 10:18:29 - Registry modification detected
Root:HKEY_LOCAL_MACHINE
Key:Software\Microsoft\Internet Explorer\Search
Value:CustomizeSearch
Data:
New Data:http://ie.search.msn.com/{SUB_RFC1766}/srchasst/srchcust.htm



===============================================
24-8-2005 10:18:30 - Registry modification detected
Root:HKEY_LOCAL_MACHINE
Key:Software\Microsoft\Internet Explorer\Main
Value:Default_Search_URL
Data:
New Data:http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch



===============================================
24-8-2005 10:18:31 - Registry modification detected
Root:HKEY_CURRENT_USER
Key:Software\Microsoft\Internet Explorer\SearchUrl
Value:
Data:
New Data:



===============================================
24-8-2005 10:18:32 - Registry modification detected
Root:HKEY_LOCAL_MACHINE
Key:Software\Microsoft\Internet Explorer\Main
Value:Search Page
Data:
New Data:http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch



===============================================
24-8-2005 10:18:35 - Registry modification detected
Root:HKEY_LOCAL_MACHINE
Key:Software\Classes\.exe
Value:Content Type
Data:
New Data:application/x-msdownload



===============================================
24-8-2005 10:18:35 - Registry modification detected
Root:HKEY_LOCAL_MACHINE
Key:Software\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad
Value:CDBurn
Data:
New Data:{fbeb8a05-beee-4442-804e-409d6c4515e9}



===============================================
24-8-2005 10:18:35 - Registry modification detected
Root:HKEY_LOCAL_MACHINE
Key:Software\Microsoft\Windows\CurrentVersion\Policies\System
Value:legalnoticecaption
Data:
New Data:



===============================================
24-8-2005 10:18:35 - Registry modification detected
Root:HKEY_LOCAL_MACHINE
Key:Software\Microsoft\Windows\CurrentVersion\Run
Value:HotKeysCmds
Data:
New Data:C:\WINDOWS\system32\hkcmd.exe



===============================================
24-8-2005 10:18:36 - Registry modification detected
Root:HKEY_LOCAL_MACHINE
Key:Software\Microsoft\Windows\CurrentVersion\Run
Value:Norman ZANDA
Data:
New Data:C:\Norman\bin\ZLH.EXE /LOAD /SPLASH



===============================================
24-8-2005 10:18:37 - Registry modification detected
Root:HKEY_LOCAL_MACHINE
Key:Software\Microsoft\Windows\CurrentVersion\Policies\System
Value:legalnoticetext
Data:
New Data:



===============================================
24-8-2005 10:18:37 - Registry modification detected
Root:HKEY_LOCAL_MACHINE
Key:Software\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad
Value:WebCheck
Data:
New Data:{E6FB5E20-DE35-11CF-9C87-00AA005127ED}



===============================================
24-8-2005 10:18:37 - Registry modification detected
Root:HKEY_LOCAL_MACHINE
Key:Software\Microsoft\Internet Explorer\Main
Value:Local Page
Data:
New Data:%SystemRoot%\system32\blank.htm



===============================================
24-8-2005 10:18:38 - Registry modification detected
Root:HKEY_LOCAL_MACHINE
Key:Software\Microsoft\Internet Explorer\Main
Value:Start Page
Data:
New Data:http://www.microsoft.com/isapi/redir.dll?prd={SUB_PRD}&clcid={SUB_CLSID}&pver={SUB_PVER}&ar=home



===============================================
24-8-2005 10:18:38 - Registry modification detected
Root:HKEY_LOCAL_MACHINE
Key:Software\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad
Value:SysTray
Data:
New Data:{35CEC8A3-2BE6-11D2-8773-92E220524153}



===============================================
24-8-2005 10:18:38 - Registry modification detected
Root:HKEY_LOCAL_MACHINE
Key:Software\Microsoft\Windows\CurrentVersion\Policies\System
Value:shutdownwithoutlogon
Data:
New Data:1



===============================================
24-8-2005 10:18:38 - Registry modification detected
Root:HKEY_LOCAL_MACHINE
Key:Software\Microsoft\Windows\CurrentVersion\Run
Value:Ad-Aware
Data:
New Data:"C:\PROGRA~1\Norman\NORMAN~1\Ad-Aware.exe" +c



===============================================
24-8-2005 10:18:39 - Registry modification detected
Root:HKEY_LOCAL_MACHINE
Key:Software\Microsoft\Windows\CurrentVersion\Run
Value:AWMON
Data:
New Data:"C:\Program Files\Norman\Norman Ad-Aware SE Plus\Ad-Watch.exe"



===============================================
24-8-2005 10:18:39 - Registry modification detected
Root:HKEY_LOCAL_MACHINE
Key:Software\Microsoft\Windows\CurrentVersion\Policies\System
Value:undockwithoutlogon
Data:
New Data:1



===============================================
24-8-2005 10:18:39 - Registry modification detected
Root:HKEY_LOCAL_MACHINE
Key:Software\Microsoft\Windows\CurrentVersion\Run
Value:Logitech Utility
Data:
New Data:Logi_MwX.Exe



===============================================
24-8-2005 10:18:40 - Registry modification detected
Root:HKEY_LOCAL_MACHINE
Key:Software\Microsoft\Windows\CurrentVersion\Run
Value:WINDVDPatch
Data:
New Data:CTHELPER.EXE

===============================================
24-8-2005 10:18:40 - Registry modification detected
Root:HKEY_LOCAL_MACHINE
Key:Software\Microsoft\Windows\CurrentVersion\Run
Value:UpdReg
Data:
New Data:C:\WINDOWS\UpdReg.EXE



===============================================
24-8-2005 10:18:41 - Registry modification detected
Root:HKEY_CURRENT_USER
Key:Software\Microsoft\Internet Explorer\Main
Value:Search Page
Data:
New Data:http://www.google.com



===============================================
24-8-2005 10:18:41 - Registry modification detected
Root:HKEY_LOCAL_MACHINE
Key:Software\Microsoft\Windows\CurrentVersion\Run
Value:Jet Detection
Data:
New Data:"C:\Program Files\Creative\SBLive\PROGRAM\ADGJDet.exe"



===============================================
24-8-2005 10:18:41 - Registry modification detected
Root:HKEY_LOCAL_MACHINE
Key:Software\Microsoft\Windows\CurrentVersion\Run
Value:SunJavaUpdateSched
Data:
New Data:C:\Program Files\Java\jre1.5.0_02\bin\jusched.exe



===============================================
24-8-2005 10:18:42 - Registry modification detected
Root:HKEY_LOCAL_MACHINE
Key:Software\Microsoft\Windows\CurrentVersion\Run
Value:RemoteControl
Data:
New Data:"C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe"



===============================================
24-8-2005 10:18:42 - Registry modification detected
Root:HKEY_LOCAL_MACHINE
Key:Software\Microsoft\Windows\CurrentVersion\Run
Value:PinnacleDriverCheck
Data:
New Data:C:\WINDOWS\system32\PSDrvCheck.exe



===============================================
24-8-2005 10:18:42 - Registry modification detected
Root:HKEY_LOCAL_MACHINE
Key:Software\Microsoft\Windows\CurrentVersion\Run
Value:QuickTime Task
Data:
New Data:"C:\Program Files\QuickTime\qttask.exe" -atboottime



===============================================
24-8-2005 10:18:43 - Registry modification detected
Root:HKEY_LOCAL_MACHINE
Key:Software\Microsoft\Windows\CurrentVersion\Run
Value:UserFaultCheck
Data:
New Data:%systemroot%\system32\dumprep 0 -u



===============================================

[ Voor 134% gewijzigd door Tom-my op 24-08-2005 10:46 ]

[Vaan Banaan]

De waarden in de log zien er wel ok uit. Alleen kan ik niet opmaken, of ze nu wel of niet in het register staan. Controleer dat eens (eventueel in veilige modus) met de shell command

code:

C:\>assoc .exe
.exe=exefile

C:\>ftype exefile
exefile="%1" %*

Als dat klopt, zou je zonder problemen regedit (.exe) moeten kunnen opstarten. Zo niet, dan even aanpassen. (assoc .exe=exefile en ftype exefile="%1" %*)
Hetzelfde geldt hier ook voor .bat/batfile, .com/comfile, .pif/piffile etc, dus je hebt nog mazzel dat je de command shell kan openen.
_{Ik probeerde het net met ftype exefile=%SystemRoot%\Explorer.exe en als ik dan via Start -> Uitvoeren -> regedit intyp, krijg ik inderdaad vrolijk de Verkenner voor mijn neus, bij alle shortcuts trouwens ook.}