(Alvast sorry voor het lange verhaal)
De betreffende computer is niet van mij, maar wel van een goede kennis. Toen ik wilde helpen bij het probleem kwam ik er achter dat het ding heel erg traag was. Bij Taakbeheer waren allemaal processen van het type ~Xyy.tmp.exe te zien, waarbij X staat voor een letter, en de xx voor een tweecijferig getal (vb. "~A13.tmp.exe"). Toen ik er eentje probeerde te beeindigen kwamen er heel veel voor in de plaats en raakte de computer onbestuurbaar.
Na een herstart en met de hulp van wat floppy's heb ik HijackThis gedraaid en daanra Peperfix gedraaid, waarna dit virus in ieder geval weg was. Maar het probleem met de *.tmp.exe's is nog steeds niet weg. En een paar entry's die ik met HijackThis probeerde te verwijderen kwamen steeds weer terug:
De betreffende entry's heb ik dikgedrukt. Deze log is zo oud omdat ik pas recentelijk na een vakantie weer verder ben gegaan met die computer proberen te fixen (ik laat me niet verslaan door een virus).Intussen is de HKLM\..\Run: [dTjROU]yUh[bUh[qat] I:\WINDOWS\System32\clmajwt.exe entry voorzien van een andere naam voor het exe bestand, en waren er in het begin nog eens twee zelfde extra (maar dan met minder tekens: mmpsvyb of yjmxul ipv [dTjROU]yUh[bUh[qat]). De exe's van de naam van de entry, in dit geval clmajwt.exe stonden eerst ook nog in taakbeheer, maar nu kan ik ze niet meer vinden.
Na wat gezoek op de eerste dikgedrukte entry met de hostfile kwam ik op het Win32 virus BOBAX. Het eerste resultaat bij mij, die van VirusAlert heb ik bestudeert, en ik ben daarna naar mijn kennis toegereden om de instructies uit te voeren.
Na alles gedaan te hebben kwam ik na de herstart erachter dat nog steeds de *.tmp.exe's aanwezig waren en nog steeds de computer heel traag was. Een virusscanner installeren vanaf een cd wil in ieder geval niet werken (te traag, computer loopt vast bij installeren) en vanaf internet een virusscanner is ook onmogelijk door ten eerste de traagheid van de computer, ten tweede door de 56 k verbinding die de computer nog met het internet verbind.
Na nog een keer hijackthis draaien was één van de verdachte entry's weg, maar de andere twee bleven hardnekkig terugkomen. In veilige modus waren de entry's na een herstart eerst weg, maar na een tweede herstart in veilige modus, waren ze er weer. Toen kwam ik ook entry's tegen in, naast \Run , ook in RunServices.
In veilige modus ben ik ook nog opzoek gegaan naar de temp folder. Daarin stonden allemaal .tmp.exe bestanden en was*.tmp bestanden (net zoals in virusalerts beschrijving). De eerste poging om deze te verwijderen slaagde niet, maar driemaal was scheepsrecht en de folder was leeg. Helaas had het geen effect, want de computer was nog even traag en de tmp.exe's waren vrolijk met z'n allen bezig.
Uiteindelijk komen we aan bij mijn huidige (bijna hopeloze toestand) en vraag ik jullie om hulp, want zelf kom ik er niet meer uit, en een format vind ik wat extreem.
De betreffende computer is niet van mij, maar wel van een goede kennis. Toen ik wilde helpen bij het probleem kwam ik er achter dat het ding heel erg traag was. Bij Taakbeheer waren allemaal processen van het type ~Xyy.tmp.exe te zien, waarbij X staat voor een letter, en de xx voor een tweecijferig getal (vb. "~A13.tmp.exe"). Toen ik er eentje probeerde te beeindigen kwamen er heel veel voor in de plaats en raakte de computer onbestuurbaar.
Na een herstart en met de hulp van wat floppy's heb ik HijackThis gedraaid en daanra Peperfix gedraaid, waarna dit virus in ieder geval weg was. Maar het probleem met de *.tmp.exe's is nog steeds niet weg. En een paar entry's die ik met HijackThis probeerde te verwijderen kwamen steeds weer terug:
code:
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
| Logfile of HijackThis v1.99.1
Scan saved at 16:37:14, on 11-8-2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2800.1106)
Running processes:
I:\WINDOWS\System32\smss.exe
I:\WINDOWS\system32\winlogon.exe
I:\WINDOWS\system32\services.exe
I:\WINDOWS\system32\lsass.exe
I:\WINDOWS\system32\svchost.exe
I:\WINDOWS\system32\svchost.exe
I:\WINDOWS\System32\svchost.exe
I:\WINDOWS\system32\spoolsv.exe
I:\WINDOWS\system32\pctspk.exe
I:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
I:\WINDOWS\System32\svchost.exe
I:\WINDOWS\Explorer.EXE
I:\WINDOWS\SiSUSBrg.exe
I:\Program Files\Common Files\Microsoft Shared\Works Shared\WkUFind.exe
I:\WINDOWS\System32\aimsg.exe
I:\Program Files\Messenger\msmsgs.exe
I:\WINDOWS\System32\hypertrm.exe
I:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
I:\WINDOWS\System32\wuauclt.exe
I:\Program Files\Hijack This\HijackThis.exe
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.planet.nl/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.hetnet.nl
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer van Het Net
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
[b]O1 - Hosts: 255.255.255.255 ar.atwola.com atdmt.com avp.ch avp.com avp.ru awaps.net ca.com dispatch.mcafee.com download.mcafee.com download.microsoft.com downloads.microsoft.com engine.awaps.net f-secure.com ftp.f-secure.com ftp.sophos.com go.microsoft.com liveupdate.symantec.com mast.mcafee.com mcafee.com msdn.microsoft.com my-etrust.com nai.com networkassociates.com office.microsoft.com phx.corporate-ir.net secure.nai.com securityresponse.symantec.com service1.symantec.com sophos.com spd.atdmt.com support.microsoft.com symantec.com update.symantec.com updates.symantec.com us.mcafee.com vil.nai.com viruslist.ru windowsupdate.microsoft.com www.avp.ch www.avp.com www.avp.ru www.awaps.net www.ca.com www.f-secure.com www.kaspersky.ru www.mcafee.com www.my-etrust.com www.nai.com www.networkassociates.com www.sophos.com www.symantec.com www.trendmicro.com www.viruslist.com www.viruslist.ru www3.ca.com[/b]
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - I:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - I:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O4 - HKLM\..\Run: [SiSUSBRG] I:\WINDOWS\SiSUSBrg.exe
O4 - HKLM\..\Run: [MS Unix Binary] hypertrm.exe
O4 - HKLM\..\Run: [Microsoft Works Update Detection] I:\Program Files\Common Files\Microsoft Shared\Works Shared\WkUFind.exe
O4 - HKLM\..\Run: [AIM Instant Message Cookies] aimsg.exe
[b]O4 - HKLM\..\Run: [dTjROU]yUh[bUh[qat] I:\WINDOWS\System32\clmajwt.exe[/b]
O4 - HKLM\..\RunServices: [MS Unix Binary] hypertrm.exe
O4 - HKLM\..\RunServices: [AIM Instant Message Cookies] aimsg.exe
[b]O4 - HKLM\..\RunServices: [dTjROU]yUh[bUh[qat] I:\WINDOWS\System32\clmajwt.exe[/b]
O4 - HKCU\..\Run: [MSMSGS] "I:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [AIM Instant Message Cookies] aimsg.exe
O4 - HKCU\..\Run: [MS Unix Binary] hypertrm.exe
O4 - HKCU\..\RunServices: [AIM Instant Message Cookies] aimsg.exe
O4 - Global Startup: Adobe Reader Snelle start.lnk = I:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Microsoft Office.lnk = I:\Program Files\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~1\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Mail to a Friend... - http://client.alexa.com/holiday/script/actions/mailto.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - I:\Program Files\Java\j2re1.4.1\bin\npjpi141.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - I:\Program Files\Java\j2re1.4.1\bin\npjpi141.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - I:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - I:\Program Files\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=http://www.hetnet.nl
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1105526629171
O18 - Filter: text/html - {7D11C0B0-1FC8-43CF-B197-3D438CAA936B} - I:\Documents and Settings\E. de Vries\Local Settings\Application Data\microsoft\internet explorer\V0.34.dat
O23 - Service: PCTEL Speaker Phone (Pctspk) - PCtel, Inc. - I:\WINDOWS\system32\pctspk.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - I:\Program Files\Analog Devices\SoundMAX\SMAgent.exe |
De betreffende entry's heb ik dikgedrukt. Deze log is zo oud omdat ik pas recentelijk na een vakantie weer verder ben gegaan met die computer proberen te fixen (ik laat me niet verslaan door een virus).Intussen is de HKLM\..\Run: [dTjROU]yUh[bUh[qat] I:\WINDOWS\System32\clmajwt.exe entry voorzien van een andere naam voor het exe bestand, en waren er in het begin nog eens twee zelfde extra (maar dan met minder tekens: mmpsvyb of yjmxul ipv [dTjROU]yUh[bUh[qat]). De exe's van de naam van de entry, in dit geval clmajwt.exe stonden eerst ook nog in taakbeheer, maar nu kan ik ze niet meer vinden.
Na wat gezoek op de eerste dikgedrukte entry met de hostfile kwam ik op het Win32 virus BOBAX. Het eerste resultaat bij mij, die van VirusAlert heb ik bestudeert, en ik ben daarna naar mijn kennis toegereden om de instructies uit te voeren.
Na alles gedaan te hebben kwam ik na de herstart erachter dat nog steeds de *.tmp.exe's aanwezig waren en nog steeds de computer heel traag was. Een virusscanner installeren vanaf een cd wil in ieder geval niet werken (te traag, computer loopt vast bij installeren) en vanaf internet een virusscanner is ook onmogelijk door ten eerste de traagheid van de computer, ten tweede door de 56 k verbinding die de computer nog met het internet verbind.
Na nog een keer hijackthis draaien was één van de verdachte entry's weg, maar de andere twee bleven hardnekkig terugkomen. In veilige modus waren de entry's na een herstart eerst weg, maar na een tweede herstart in veilige modus, waren ze er weer. Toen kwam ik ook entry's tegen in, naast \Run , ook in RunServices.
In veilige modus ben ik ook nog opzoek gegaan naar de temp folder. Daarin stonden allemaal .tmp.exe bestanden en was*.tmp bestanden (net zoals in virusalerts beschrijving). De eerste poging om deze te verwijderen slaagde niet, maar driemaal was scheepsrecht en de folder was leeg. Helaas had het geen effect, want de computer was nog even traag en de tmp.exe's waren vrolijk met z'n allen bezig.
Uiteindelijk komen we aan bij mijn huidige (bijna hopeloze toestand) en vraag ik jullie om hulp, want zelf kom ik er niet meer uit, en een format vind ik wat extreem.
/u/13831/icon.png?f=community){kind=icon}
:strip_icc():strip_exif()/u/3983/bird.jpg?f=community)
:strip_icc():strip_exif()/u/1158/twister-icon-nw.jpg?f=community){kind=icon}