[xp] systemupd.exe wordt auto gestart

[tatata]

Hallo,

Terwijl ik niks heb geinstaleerd waarvan ik enig idee heb dat het kan komen heb ik systemupd.exe op mijn HD staan in \system32. Nu lijkt het op die update functie van Microsoft maar volgens google is het een Updater for Swapoo.com, a kind of Napster for games.

Ik heb zeker geen swapoo (???) geinstalleerd. Automatisch komt hij terug in startup (msconfig) in het register \run. Ik hoef niet eens te restarten, ik haal het vinkje weg, klik op ok, geen restart, open weer msconfig en daar is het weer.
De exe file zelf heb ik ook al gedelete uit system32 maar verschijnt hier ook weer automatisch.

Volgens Giant Antispyware, spyware detective en KAV ben ik schoon. Alle updates van XP zijn gedaan.

Hebben alle sites via google het fout en hoor ik het te hebben? Of is het lekkere hardnekkige spyware?

edit/antwoord:
Hitmanpro installeer ik liever niet omdat hij gelijk 10 (?) programma's installeert. In veilige modus heb ik de exe file en de prefetc file al gedelete.

[ Voor 10% gewijzigd door tatata op 28-08-2005 12:27 ]

[H!GHGuY]

hitmanpro al eens geprobeerd ?

anders:
opstarten in veilige modus en daar het vinkje en alle gelijkaardige dingen weghalen

[Verwijderd]

tatata schreef op zondag 28 augustus 2005 @ 12:20:
Volgens Giant Antispyware, spyware detective en KAV ben ik schoon. Alle updates van XP zijn gedaan.

Gebruik je KAV's extended bases?
Zo nee, schakel die eens in.
Zo ja, submit de file(mail in sig) en dan zal ik kijken wat het is.

[Edwin van Cleef]

Als je een onvolledig gepatchde machine hebt of nog helemaal niet geupdate hebt dan zit die troep erop voordat je het weet.
Die hele swapoo.com kan ik in google niet vinden.
post eens een hijackthis logfile of kijk even in je taskmanager wat voor vreemde programma's er op de achtergrond draaien.
Het klinkt namenlijk als spyware gezien de symptomen

Dit kon ik wel vinden:
http://startup.iamnotageek.com/srch-SystemUpd.html

Edit:
blijkt dus niet in je taskmanager zichtbaar te zijn zie het volgende:
http://castlecops.com/s3747-SystemUpd_exe.html

googlesearch:
http://www.google.nl/sear...=nl&q=systemupd.exe&meta=

Er is nogal wat te doen omtrend deze file.

[ Voor 39% gewijzigd door Edwin van Cleef op 28-08-2005 12:58 ]

[tatata]

Bedankt alvast.

De paginas via google had ik al snel doorgenomen. Volgens de meeste 'moet' ik zelf swapoo hebben geinstalleerd, terwijl ik er no nooit van heb gehoord.

Via reg en mscofig delete ik ze dus steeds al.

Kav extended is aan het draaien en de log post ik hier zometeen met hijackthis

Ik heb geen speciale svchosts draaien. Deze staat alleen in \prefetch, \system32 en \dllcache

De machine was WEL volledig uptodate. Servicepacks auto, KAV elke 3 uur en Giant om de twee weken een run (met update).

[Verwijderd]

Pfoe, nasty packer.

Sample is een Backdoor.Win32.Flux variant.
(Ook wel bekend als Trojan-Spy.Win32.Flux)

Flux is een code injector, wat samen met de continuous monitoring van regkeys het redelijk lastig maakt om het beestje te verwijderen.
KAV moet in staat zijn om, zodra de malware gedetecteerd wordt, het van het systeem te verwijderen.

edit:
Safemode met command prompt en dan handmatig de file deleten werkt ook.
Dan zal je echter handmatig de registry entries moeten deleten.

[ Voor 19% gewijzigd door Verwijderd op 28-08-2005 14:11 ]