AT-toets verdwijnt door malware - keer op keer

[Verwijderd]

Hello,

Graag had ik wat hulp gehad bij volgend probleem: Mijn at-toets, die ik dus om duidelijke redenen nu niet kan gebruiken werkt niet meer. Normaal volstaat de combinatie van Alt Gr + cijfer 2, maar het derde teken op die toets wordt dus niet meer geladen.

Eerst dacht ik dat het een hardwareprobleem was (controllerken ofzo), maar blijkbaar is het een shitpiece of malware dat mijn toetsenbord ontregelt, en enkel die knop dan nog wel. Natuurlijk liet ik Hitman Pro erop los en voila probleem was opgelost ...

Tot ik opnieuw opstarte: tadaaaa, het probleem stelde zich weer. Ik vermoed dus dat het onding zich ergens in mijn register genesteld heeft. Ik probeer ondertussen nog eens RegEdit, maar daar blijf ik eigenlijk liever af. Iemand hetzelfde meegemaakt of tips?

Je bent welkom,

Brecht.

[Snake]

Da's wel heel erg extreem, vind je niet?

[ Voor 78% gewijzigd door pasta op 04-12-2005 22:50 ]

[Sassie]

snake903 schreef op zondag 04 december 2005 @ 18:09:
*knip*

Dat lijkt me niet de oplossing om mee te beginnen. Dat is wel erg drastisch .


@TS: al in de veilige modus geprobeerd te scannen?
Heb je ook al gekeken of er geen rare processen actief zijn?
Mocht scannen in de veilige modus niet helpen, dan zou je een log met Hijackthis kunnen maken en die hier neer kunnen zetten. Als je zelf al dingen zie die je niet vertrouwt kun je dat er ook bij aangeven in je post.

[ Voor 2% gewijzigd door pasta op 04-12-2005 22:50 ]

[Verwijderd]

Hello,

Dank je voor de meer "usefull" reactie. Scannen in veilige modus heb ik nog niet gedaan en heb ik eerlijk gezegd nog nooit gedaan. Met het schaamrood op de wangen moet ik zeggen dat ik niet eens zou weten hoe je dat moet doen. Maar het diagnosticje heb ik wel al gedownload en de logfile heb ik hieronder geplakt. Misschien geraken jullie daar wijs uit, voor mij is het chinees. Zie je iets verdachts, laat het mij dan weten.

Beste groeten,

Brecht.

Logfile of HijackThis v1.99.1
Scan saved at 9:35:21, on 5/12/2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Intel\Wireless\Bin\EvtEng.exe
C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe
C:\Program Files\Intel\Wireless\Bin\ZcfgSvc.exe
C:\Program Files\Intel\Wireless\Bin\WLKeeper.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Common Files\Symantec Shared\ccSetMgr.exe
C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\Intel\Wireless\Bin\1XConfig.exe
C:\WINDOWS\system32\cisvc.exe
C:\Program Files\Symantec AntiVirus\DefWatch.exe
C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Program Files\Dell\NICCONFIGSVC\NICCONFIGSVC.exe
C:\Program Files\Eset\nod32krn.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Symantec AntiVirus\Rtvscan.exe
C:\Program Files\VMware\VMware Workstation\vmware-authd.exe
C:\Program Files\Common Files\VMware\VMware Virtual Image Editing\vmount2.exe
C:\WINDOWS\system32\vmnat.exe
C:\WINDOWS\system32\vmnetdhcp.exe
C:\WINDOWS\system32\rundll32.exe
C:\Program Files\Apoint\Apoint.exe
C:\Program Files\Intel\Wireless\Bin\ifrmewrk.exe
C:\Program Files\Common Files\Symantec Shared\ccApp.exe
C:\PROGRA~1\SYMANT~1\VPTray.exe
C:\Program Files\Java\jre1.5.0_05\bin\jusched.exe
C:\Program Files\USB ADSL\CnxDslTb.exe
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\Program Files\MSN Messenger\MsnMsgr.Exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\rundll32.exe
C:\Program Files\Apoint\Apntex.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\cidaemon.exe
C:\WINDOWS\system32\cidaemon.exe
C:\Program Files\Mozilla Thunderbird\thunderbird.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.be/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /installquiet
O4 - HKLM\..\Run: [Apoint] C:\Program Files\Apoint\Apoint.exe
O4 - HKLM\..\Run: [IntelZeroConfig] C:\Program Files\Intel\Wireless\bin\ZCfgSvc.exe
O4 - HKLM\..\Run: [IntelWireless] C:\Program Files\Intel\Wireless\Bin\ifrmewrk.exe /tf Intel PROSet/Wireless
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [vptray] C:\PROGRA~1\SYMANT~1\VPTray.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_05\bin\npjpi150_05.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_05\bin\npjpi150_05.dll
O9 - Extra button: (no name) - {2D663D1A-8670-49D9-A1A5-4C56B4E14E84} - (no file)
O9 - Extra button: Onderzoek - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab
O16 - DPF: {01A88BB1-1174-41EC-ACCB-963509EAE56B} (SysProWmi Class) - http://support.euro.dell.com/systemprofiler/SysPro.CAB
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn...rStatsClient.cab31267.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{CD52E727-79E9-4439-ABDB-3AD6D7E49AA9}: NameServer = 62.58.94.130 62.58.62.132
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O20 - Winlogon Notify: IntelWireless - C:\Program Files\Intel\Wireless\Bin\LgNotify.dll
O20 - Winlogon Notify: NavLogon - C:\WINDOWS\system32\NavLogon.dll
O20 - Winlogon Notify: WRNotifier - C:\WINDOWS\SYSTEM32\WRLogonNTF.dll
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSetMgr.exe
O23 - Service: Symantec AntiVirus Definition Watcher (DefWatch) - Symantec Corporation - C:\Program Files\Symantec AntiVirus\DefWatch.exe
O23 - Service: EvtEng - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\EvtEng.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: NICCONFIGSVC - Dell Inc. - C:\Program Files\Dell\NICCONFIGSVC\NICCONFIGSVC.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset - C:\Program Files\Eset\nod32krn.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: RegSrvc - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe
O23 - Service: Spectrum24 Event Monitor (S24EventMonitor) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe
O23 - Service: SAVRoam (SavRoam) - symantec - C:\Program Files\Symantec AntiVirus\SavRoam.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\SNDSrvc.exe
O23 - Service: Webroot Spy Sweeper Engine (svcWRSSSDK) - Webroot Software, Inc. - C:\Program Files\Webroot\Spy Sweeper\WRSSSDK.exe
O23 - Service: Symantec AntiVirus - Symantec Corporation - C:\Program Files\Symantec AntiVirus\Rtvscan.exe
O23 - Service: VMware Authorization Service (VMAuthdService) - VMware, Inc. - C:\Program Files\VMware\VMware Workstation\vmware-authd.exe
O23 - Service: VMware DHCP Service (VMnetDHCP) - VMware, Inc. - C:\WINDOWS\system32\vmnetdhcp.exe
O23 - Service: VMware Virtual Mount Manager Extended (vmount2) - VMware, Inc. - C:\Program Files\Common Files\VMware\VMware Virtual Image Editing\vmount2.exe
O23 - Service: VMware NAT Service - VMware, Inc. - C:\WINDOWS\system32\vmnat.exe
O23 - Service: WLANKEEPER - Intel® Corporation - C:\Program Files\Intel\Wireless\Bin\WLKeeper.exe

[Sassie]

Verwijderd schreef op maandag 05 december 2005 @ 09:40:
Hello,

Dank je voor de meer "usefull" reactie. Scannen in veilige modus heb ik nog niet gedaan en heb ik eerlijk gezegd nog nooit gedaan. Met het schaamrood op de wangen moet ik zeggen dat ik niet eens zou weten hoe je dat moet doen. Maar het diagnosticje heb ik wel al gedownload en de logfile heb ik hieronder geplakt. Misschien geraken jullie daar wijs uit, voor mij is het chinees. Zie je iets verdachts, laat het mij dan weten.

Scannen in de veilige modus doe je gewoon door de veilige modus op te starten (F8 indrukken bij opstarten pc en dan krijg je vanzelf een keuzemenu). Dan moet je natuurlijk nog wel je antivirus of antispyware programma opstarten. .
Zie ook: http://www.virushelp.nl/veilige_modus.htm

Wat betreft je hijackthis-log, ik kan daar geen malware in ontdekken.
Misschien moet je eerst gewoon maar even kijken naar andere software die je geinstalleerd hebt (bijv je toetsenbord software) of je toetsenbord-instellingen. Bij mij wil het toetsenbord ook regelmatig omschakelen van VS (internationaal) naar NL. Best lastig als je de ene instelling gewend bent en weet waar alle leestekens zitten als dat opeens verandert (en de ':' opeens een '+' is'). Maar met ctrl+(linker)shift is dat bij mij weer terug te draaien.

Alleen het volgende zou evt weg kunnen (nutteloze entrie):

O9 - Extra button: (no name) - {2D663D1A-8670-49D9-A1A5-4C56B4E14E84} - (no file)

[ Voor 10% gewijzigd door Sassie op 05-12-2005 22:46 ]

[Verwijderd]

Hello,

Een tijdje geleden dat ik nog gereageerd heb, maar niets helpt dus met die verdomde at-toets. Nu had ik gedacht om er een keytweaker op los te laten, maar ook dat is niet zo eenvoudig, omdat die programmaatjes meestal de primaire toets wel kunnen veranderen, maar combinaties met ALT-GR blijkbaar niet. Bovendien heb ik nog geen enkel programmaatje gevonden dat de at-toets ook maar als remapping-mogelijkheid geeft.

Iemand een nuttige tip?

Brecht.

[exempt]

als je bij een toetsenbord alt shift indrukt veranderen de toetsen!

[c00kie]

heb je nu ondertussen hitmanpro al eens laten draaien in veilige modus.
Dikwijls is het zo dat er zaken niet kunnen verwijderd worden omdat ze toch aan één of ander proces zijn gekoppeld. Als je zegt dat het na een gewone hitmanpro-run in windows is opgelost, maar na rebooten terugkomt denk ik dat je er in veilige modus wel vanaf gaat geraken.
Misschien kun je best eerst systeemherstel nog eventjes uitschakelen, dan hitmanpro zijn ding laten doen in veilige modus, en daarna kan je systeemherstel terug inschakelen.

Eventueel kun je in veilige modus ook nog eens een online virusscanner laten draaien... Trendmicro bijvoorbeeld...

[Verwijderd]

Hello,

Alles al geprobeerd ondertussen: scannen in veilige modus, keymapping, zelfs de shift-toets!

Zou het dan toch een hardwareprobleem zijn?
Ik vermoed nog steeds van niet, want dan zouden de twee andere toetsmogelijkheden op die toets, namelijk het cijfer 2 en het teken é ook niet werken, en dat doen ze wel.

Countdown voor herinstallatie van Windows: 1 week.

Wie helpt me?

[Resistor]

Heb je al geprobeerd een andere toetsenbordindeling in te stellen? dan kan je een hardwareprobleem zo elimineren.

http://www.microsoft.com/globaldev/reference/keyboards.mspx voor als je niet weet waar je dan de @ moet zoeken

[Verwijderd]

Yup, ook dat heb ik al geprobeerd. Niets helpt. Dit weekend dus bezig geweest met Windows te herinstalleren. Ging nog redelijk rap, vooral omdat al mijn installatiebestanden in een handige map Tools op mijn tweede partitie stonden. En met Virtual Demon Tools hoefde ik zelfs niet te zeulen met CD's, alleen maar enkele Isootjes laden. Na zowat drie uur stond mijn pc er weer als de ouwe.

Toch bedankt voor de interesse. Wat mij betreft mag dit topicje een slotje krijgen.

Thanks.

[Verwijderd]

Laat dat slotje maar voor wat het is. Pas enkele weken mijn Windows opnieuw geinstalleerd en bam, daar is het alweer. Mijn at-toets is weer verdwenen. Wat heb ik al gedaan:

- Symantec Antivirus : vindt niets
- Hitman Pro in gewone modus: vindt niets, MAAR na het scannen werkt at-toets weer, TOT ik de pc heropstart! Dan is het probleem er weer!
- Hitman Pro in veilige modus: blokkeert halverwege.

Blijkbaar is het virus zo geconstrueerd om zichzelf in gewone modus voor te doen als "dood", maar bij een nieuwe boot terug van de partij te zijn. En het is inventief genoeg om in Veilige modus ipv prooi, jager te worden.

Wie kan mij helpen?

[Aphelion]

Verwijderd schreef op zaterdag 25 februari 2006 @ 17:15:
Laat dat slotje maar voor wat het is. Pas enkele weken mijn Windows opnieuw geinstalleerd en bam, daar is het alweer. Mijn at-toets is weer verdwenen. Wat heb ik al gedaan:

- Symantec Antivirus : vindt niets
- Hitman Pro in gewone modus: vindt niets, MAAR na het scannen werkt at-toets weer, TOT ik de pc heropstart! Dan is het probleem er weer!
- Hitman Pro in veilige modus: blokkeert halverwege.

Blijkbaar is het virus zo geconstrueerd om zichzelf in gewone modus voor te doen als "dood", maar bij een nieuwe boot terug van de partij te zijn. En het is inventief genoeg om in Veilige modus ipv prooi, jager te worden.

Wie kan mij helpen?

Wat nu als het geen virus is maar zoals vaker je toetsenbordinstellingen gewoon veranderen bij het starten van een bepaalde applicatie (switch tussen UK/ENG of NL op UK of NL op NL etc)

[Verwijderd]

Het is zeker geen toetsenbordinstelling die fout zit, dat had ik idd vergeten te vermelden. De instellingen zijn: Invoertaal (Nederlands - België), toetsenbord (Belgisch, punt).

Bovendien is het idd mogelijk dat toetsenbordinstellingen gewijzigd zijn door applicaties, maar dan zou die applicatie het virus zelf moeten zijn, want ik heb geen enkel nieuw programma gebruikt.

Nope, aan het toetsenbord zelf ligt het volgens mij niet.