Explorer sluit en start constant dankzij malware?

[Verwijderd]

Gisteren zo stom geweest een crack-bestand aan te klikken dat vol zat met spyware. Ik heb zowel AdAware als Microsoft Antispyware er overheen gehaald en deze hebben vrijwel alles gecleaned, maar Microsoft Antispyware blijft de melding geven:

Unclassified.Trojan.93 (Browser Modifier)

en deze valt niet te verwijderen, komt elke keer weer terug. Voor de duidelijkheid (want ik had al gegoogled), ik heb géén ATI Catalyst draaien hier want ik heb integrated Intel graphics.

Het effect is dat elke minuut de Windows Explorer afgesloten wordt en weer automatisch opgestart. Alles in m'n taakbalk verdwijnt en de helft komt dus weer terug. Mijn bureaublad geeft een 'Active Desktop'-warning en nadat ik het herstel is hij een minuut later weer op wit...

Heeft iemand een idee wat het kan zijn? Ik heb hier het HijackThis log staan: http://www.x5nder.nl/hijackthis.log

[usgaap]

Hoi,

Je Hijack file staat vol met links naar vage sites (je host-bestand), zoals alltraffic.net enzo.
Ik zou er eerst een een paar goede anti-virus programma's op los laten.

Wellicht kan het raadzaam zijn eerst Windows in veilige modus zonder netwerkmogelijkheid op te starten en je Systeemherstel uit te zetten.
Succes

[ Voor 5% gewijzigd door usgaap op 12-11-2005 11:09 ]

[Verwijderd]

idd

Veilige modus -> systeemherstel uitzetten -> andere machine Hitman pro op binnehalen + updates -> fik op CD / USB stick -> trek netwerkkabel uit infected machine -> zet aan -> laat Hitman Pro met alle 3 de virusscanners er overheen razen.

[Sassie]

code:

C:\windows\system32\mdms.exe

http://www.liutilities.co...spro/processlibrary/mdms/ en http://www.sophos.com/virusinfo/analyses/w32sdbotch.html wijzen op niet veel goeds, upload die exe eens @ http://virusscan.jotti.org om te kijken wat het precies is

code:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = c:\secure32.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = c:\secure32.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = c:\secure32.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = c:\secure32.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = c:\secure32.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = c:\secure32.html

Heb jij die pagina zelf ingesteld? Zo nee, dan is het ook verdacht ('rare' plek en bestandsnaam).

En die hele rits host-enties,die kunnen ook wel weg.

code:

O21 - SSODL: SysTray.Excn2 - {1722ECFF-4356-4f5b-B534-E67294FE75E9} - C:\WINDOWS\system32\fhfeiglg.dll
O21 - SSODL: SysTray.Exsn - {2368D1FC-2F5C-4f1b-B124-E67214FC78E2} - C:\WINDOWS\system32\hekniimn.dll

Die namen van die dll's klinken ook wel verdacht, upload ook ze eens @ http://virusscan.jotti.org

code:

O23 - Service: Command Service (cmdService) - Unknown owner - C:\WINDOWS\eDVuZGVy\command.exe (file missing)

Ook verdachte entry. File missing, maar het pad is verdacht.


Dit mag dan wel niet direct malware zijn, maar je weet zeker dat dit wel stabiel is?

code:

C:\Program Files\ccxgui\ccXservice.exe
C:\Program Files\ccxgui\ccxstream.exe

En nog iets: voordat je dingen gaat 'fixen' mbv hijackthis: pak hijackthis even uit naar een aparte map. Hijackthis kan dan namelijk backups maken.

[pasta]

Naast alle O1 meldingen in HijackThis, zou ik ook nog even de volgende 2 files scannen bij Jotti's online malware scan:

code:

O21 - SSODL: SysTray.Excn2 - {1722ECFF-4356-4f5b-B534-E67294FE75E9} - C:\WINDOWS\system32\fhfeiglg.dll
O21 - SSODL: SysTray.Exsn - {2368D1FC-2F5C-4f1b-B124-E67214FC78E2} - C:\WINDOWS\system32\hekniimn.dll

Probeer het dan eens met een virusscanners die de bestanden herkende.

Welke file wordt door Microsoft AntiSpyware herkend als die Unclassified.Trojan.93 (Browser Modifier)?

Verder zie ik ook nog dat WinVNC draait als service, heb je die zelf geïnstalleerd?

edit:
Ook nog wat Sassie noemde, ik ben nog niet helemaal wakker

[ Voor 6% gewijzigd door pasta op 12-11-2005 12:31 ]

[Verwijderd]

www.mozilla.org

Modbreak:

Dit voegt echt helemaal niks toe aan het topic

[ Voor 68% gewijzigd door pasta op 12-11-2005 12:31 ]