temp dir vol met virussen/malware/...

[BizonKid]

Sinds enige tijd zit ik met een vervelend virus of trojan waar ik zeer moeilijk van af raak. Het is begonnen met het modem uploadlampje wat constant knippert.
Ik gebruik een kaspersky scanner. Die vindt telkens als ik opstart bepaalde virussen.

1) c:\documents and settings\administrator\local settings\temp\cmdinst krijg ik als eerste melding
Ik kan kiezen: Deny of Skip. Ik kies Deny.

direct daarna:
2)Not-a-virus:adware.win32.look2me.ab ---> delete

3) Trojan-downloader.Win32.adload.co ----> delete

4) c:\...\DRSMARTLOAD832[1].exe

De bovenvermelde temp mappen heb ik handmatig al eens leeg gemaakt, maar opnieuw starten en ze staan weer vol...
Ik ben daarnet ook eens opgestart in veilige modus, wat het volgens mij alleen maar erger heeft gemaakt. De scanner werkte niet in die mode, en die trojan heeft nu vanalle andere beestjes uitgenodigd vermoed ik.

Ook het programma Ewido heb ik al gebruikt, telkens wordt er iets gevonden wat ik ook verwijder natuurlijk, maar het blijft maar terugkeren.

Iemand ervaring hiermee?

[BCC]

Opnieuw installeren. Dat is de enige manier waarop je het systeem weer een beetje kan vertrouwen...

[dacreator]

Know Your Malware: Drsmartload Removal

[BizonKid]

dacreator schreef op maandag 24 juli 2006 @ 22:18:
Know Your Malware: Drsmartload Removal

Via deze site Spyware Doctor afgehaald. Hij is nu aan het scannen en vindt veel infecties.
Dus na het gebruik van Adaware, Spybot, Ewido, Kaspersky nog maar een programmatje erbij

Hoop dat dit de oplossing is!

edit: LOL Het scannen is gedaan en ik krijg de melding: "kopen om gedetecteerde infecties van uw computer te verwijderen"....

[ Voor 13% gewijzigd door BizonKid op 24-07-2006 22:32 ]

[Verwijderd]

Ik ben benieuwd naar de malware die volgens spyware doctor door kav gemist wordt. Email staat in mijn signature.

Daarnaast is het veel handiger om bij malware die niet gemakkelijk te verwijderen is, gebruik te maken van de kav/kis rescue disc.

[ Voor 8% gewijzigd door Verwijderd op 24-07-2006 22:33 ]

[BizonKid]

Kan er iemand mijn HiJack log nakijken? Ik dacht dat het nu opgelost was na het verwijderen van de virussen, maar het upload lampje blijft knipperen. (En verstuurt wel degelijk data als ik de eigenschappen van mijn LAN-verbinding bekijk)

code:

Logfile of HijackThis v1.99.1
Scan saved at 19:48:28, on 25/07/2006
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\NVIDIA Corporation\NvMixer\NVMixerTray.exe
C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe
D:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe
C:\WINDOWS\System32\rundll32.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\Messenger\msmsgs.exe
d:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe
d:\Program Files\ewido anti-spyware 4.0\guard.exe
E:\Program Files\Spyware Doctor\swdoctor.exe
e:\Program Files\Spyware Doctor\sdhelp.exe
C:\WINDOWS\System32\wuauclt.exe
C:\PROGRA~1\MOZILL~1\FIREFOX.EXE
C:\Program Files\Outlook Express\msimn.exe
e:\Program Files\WinRAR\WinRAR.exe
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\Rar$EX00.484\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: PCTools Site Guard - {5C8B2A36-3DB1-42A4-A3CB-D426709BBFEB} - E:\PROGRA~1\SPYWAR~1\tools\iesdsg.dll
O2 - BHO: PCTools Browser Monitor - {B56A7D7D-6927-48C8-A975-17DF180C71AC} - E:\PROGRA~1\SPYWAR~1\tools\iesdpb.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [NVMixerTray] "C:\Program Files\NVIDIA Corporation\NvMixer\NVMixerTray.exe"
O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime -Delay
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [dmlpu.exe] C:\WINDOWS\System32\dmlpu.exe
O4 - HKLM\..\Run: [kav] "d:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe"
O4 - HKLM\..\Run: [WinDLL (wsync32.dll)] rundll32.exe C:\WINDOWS\System32\wsync32.dll,start
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Spyware Doctor] "E:\Program Files\Spyware Doctor\swdoctor.exe" /Q
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Web Anti-Virus - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - d:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\scieplugin.dll
O9 - Extra button: Spyware Doctor - {2D663D1A-8670-49D9-A1A5-4C56B4E14E84} - E:\PROGRA~1\SPYWAR~1\tools\iesdpb.dll
O20 - AppInit_DLLs:   C:\WINDOWS\System32\rundll32.dll
O20 - Winlogon Notify: klogon - C:\WINDOWS\System32\klogon.dll
O20 - Winlogon Notify: SharedDLLs - C:\WINDOWS\system32\mvpatcha.dll (file missing)
O20 - Winlogon Notify: WRNotifier - WRLogonNTF.dll (file missing)
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Kaspersky Anti-Virus 6.0 (AVP) - Kaspersky Lab - d:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe
O23 - Service: ewido anti-spyware 4.0 guard - Anti-Malware Development a.s. - d:\Program Files\ewido anti-spyware 4.0\guard.exe
O23 - Service: PC Tools Spyware Doctor (SDhelper) - PC Tools Research Pty Ltd - e:\Program Files\Spyware Doctor\sdhelp.exe

Terwijl ik dit schrijf is er weer een exe file bijgekomen in c:\ met als naam wksv.exe. zucht....

[ Voor 5% gewijzigd door BizonKid op 25-07-2006 19:53 . Reden: bijvoeging ]

[Verwijderd]

eerst in veilige modus starten, hierna hitman pro of een ander tooltje draaien, regedit op starten en zoeken naar de vermeldingen van de verwijderde spy/adware

[Martijnc]

O20 - Winlogon Notify: SharedDLLs - C:\WINDOWS\system32\mvpatcha.dll (file missing)
Je hebt/had look2me, probeer eens met l2mfix of look2medestroyer.

Deze hoort hier ook niet echt thuis:
O4 - HKLM\..\Run: [dmlpu.exe] C:\WINDOWS\System32\dmlpu.exe
Je kan het bestand eens scannen met Jotti of Virustotal.