[trojan] 0000a270.EXE onvindbaar

[paQ]

Ik heb sinds 2 dagen ernstig last van een trojan op mijn PC.
iedere 25 minuten krijg ik een melding van mijn virusscanner die de trojan verwijderd.

In deze screenshot kun je zien dat er iedere 25 minuten een 'aanval' komt. Halverwege dit lijstje zit een paar uur niks. Hier was de router vastgelopen denk ik, want die moest ik vanochtend herstarten. (gebeurd zo nu en dan wel eens)

(click)

maw: geen internetverbinding >> geen trojan

hitmanpro, hijack, virusscanners, MS antispyware, trojan scanners etc etc... er is niks te vinden
ook google zegt van niks te weten over deze trojan. Ik heb dus ook geen idee waar hij vandaan komt, hoe ik eraan ben gekomen, wat ie doet en above all... hoe ik er vanaf kom

[Verwijderd]

Is je windows up 2 date?

[paQ]

yes

(sorry win XP pro SP2)

[Verwijderd]

ook met alle updates sindsdien?

[Verwijderd]

zet eens je system restore uit,het lijkt me een filename die in de sysrestore voorkomt op het moment dat windows een restorepoint aanmaakt

en ja ,veel v-scanners slaan dat hoofdstukje wel eens over(heb zelf ook verschillende malen gezien dat een stuk malware /trojans / spyware in de sysrestore zaten en daar kon de scanner ze niet uit halen)


suc6

[paQ]

net weer gecontrolleerd
er zijn twee security updates die hij nu staat te installeren.
misschien dat dat uitkomst biedt

Verwijderd schreef op woensdag 22 februari 2006 @ 11:47:
zet eens je system restore uit,het lijkt me een filename die in de sysrestore voorkomt op het moment dat windows een restorepoint aanmaakt

en ja ,veel v-scanners slaan dat hoofdstukje wel eens over(heb zelf ook verschillende malen gezien dat een stuk malware /trojans / spyware in de sysrestore zaten en daar kon de scanner ze niet uit halen)


suc6

waarom zouden er alleen restore points worden aangemaakt als er een verbinding met het internet is?

[ Voor 70% gewijzigd door paQ op 22-02-2006 11:50 ]

[GmR]

google zegt:
http://pcpitstop.invision...on/index.php/t107892.html
en
http://www.norman.com/Vir...s/28920/en?show=detection

[ Voor 32% gewijzigd door GmR op 22-02-2006 11:52 ]

[Basement]

Het valt mij op dat deze trojan alleen in tmp mappen zitten.

Je zou met ccleaner, al je tmp mappen eens kunnen opruimen, en kijken of het dan weg is.

meuktracker: Crap Cleaner 1.27.260

[Verwijderd]

De Trojan downloadt zichzelf niet --> Trojan-Downloader op het systeem aanwezig.
Het installeren van een paar patches doet daar zeer waarschijnlijk niets aan.

Ik vermoed dat je een Trojan-Downloader.Win32.Zlob variant op je systeem hebt die de spywarestrike downloader binnenhaalt.

Nog wat beter kijken dus.

[GmR]

Verwijderd schreef op woensdag 22 februari 2006 @ 11:53:
De Trojan downloadt zichzelf niet --> Trojan-Downloader op het systeem aanwezig.
Het installeren van een paar patches doet daar zeer waarschijnlijk niets aan.

Ik vermoed dat je een Trojan-Downloader.Win32.Zlob variant op je systeem hebt die de spywarestrike downloader binnenhaalt.

Nog wat beter kijken dus.

Het programma dat door Norman aangeboden wordt, verwijdert ook varianten van Zlob

[Verwijderd]

paQ schreef op woensdag 22 februari 2006 @ 11:49:
net weer gecontrolleerd
er zijn twee security updates die hij nu staat te installeren.
misschien dat dat uitkomst biedt


[...]


waarom zouden er alleen restore points worden aangemaakt als er een verbinding met het internet is?

dat heb ik niet gezegd,..restorepoints worden altijd aangemaakt op het moment dat je software of instellingen in windows veranderen, online of niet

[ Voor 1% gewijzigd door Verwijderd op 22-02-2006 11:55 . Reden: typo ]

[Verwijderd]

GrandmasteR schreef op woensdag 22 februari 2006 @ 11:54:
[...]


Het programma dat door Norman aangeboden wordt, verwijdert ook varianten van Zlob

McAfee verwijdert ook varianten van Zlob.
Mits engine/defs uptodate geef ik McAfee toch wel wat meer kans om deze malware te detecteren dan NVC.

[c00kie]

en sowieso, als je de spyware probeert te verwijderen... Doe dit in veilige modus...
www.ewido.org kuist ook redelijk grondig op, dit in combinatie met hitmanpro & ms-antispyware zorgt voor een propere pc... (meestal toch...)

[Verwijderd]

Met regedit alles nalopen en verwijderen en vervolgens weer je antivirus eroverheen.

start-> uitvoeren -> regedit en dan zoeken op die bestandsnaam en verwijderen die sleutels(let wel op welke allemaal)

[Verwijderd]

Volgens mij kan je die hele map 1024 weggooien ik heb hem er niet instaan en volgens mij staat er alleen maar troep in.

[paQ]

heb die smitrem etc gedraaid, nog vanalles in safe mode geprobeerd, maar het kwam meteen weer terug.

Ineerste instantie heeft de virusscanner een uit zichzelf geinstalleerde malware nvctrl.exe gedelete en eennetsearch dll.

vervolgens iedere 25 minuten weer de trojan

edit:


al deze zaken zijn nergens op de HDD of in de regedit vindbaar

[ Voor 20% gewijzigd door paQ op 22-02-2006 15:17 ]

[Sassie]

Maak anders eens een Hijackthis-log, misschien dat daarmee de boosdoener(s) boven water komen.

Zie trouwens ook: http://wiki.castlecops.com/Malware_Removal:_SpyAxe_Removal

[paQ]

Sassie schreef op woensdag 22 februari 2006 @ 15:46:
Maak anders eens een Hijackthis-log, misschien dat daarmee de boosdoener(s) boven water komen.

Zie trouwens ook: http://wiki.castlecops.com/Malware_Removal:_SpyAxe_Removal

die smitrem had ik al geprobeerd, maar heb nu ook die andere beschreven scanner gebruikt

90 minuten bezig geweest
(300 tracking cookies gevonden en 9 stuks malware en 11 trojans)


net pas gereboot dussuh... fingers crossed


edit:
25 min. zijn verstreken dus het lijkt te zijn gelukt
thanks Sassie

[ Voor 17% gewijzigd door paQ op 22-02-2006 18:23 ]