[rootkit & Trojan] Onbekende bestanden/het spookt

[xppn]

ik zit hier met een laptop,
Ineens kwamen er vandaag meldingen van virusen en dat was een hele lijst.
Trojan's erg balen. Maar internet explorer komt telkens met de mededeling dat hij crashed en dan kan je verzenden doen we kennnen het wel. Dus erg vervelend.

Virusscan gedaan. HijackThis, Adaware.
Na alles moet zo goed al leeg zijn... denk je...
maar nee echt niet, het begint weer van voor af aan. na een reboot.

Veilig modus dan maar alles in msconfig uitgeschakeld. (ff gekeken in veiligmodus naar IE maar geen problemen) dus weer opnieuw opgestart. En hij doet het weer IE. Dan gaan we langzaam alles aanzetten.
Stuit ik op dit:
0mcamcap.exe => trojan. Heb ik verwijdert.
KillAndClean => spyware. status: deleted.

na langzaam weer dus alles aanvinken. Komt de melding weer. Tot mijn ergenis.
Dus ben extra goed gaan kijken wat er nu in stond. Telkens stuit ik bestanden die er in komen die voor de reboot er nog niet stonden.
de bestandjes:

csyrz.exe
dmcbv.exe
jkdmw.exe
pdnlg.exe
dan denk je google. Niet dus! google kan aan deze bestanden niks knopen.

Bestanden uitgeschakeld en IE doet het weer (heb ze ook verwijdert).

dus eerste wat in mijn op kwam is "rootkit?"
Maar aangezien dat voor mij nog echt een diep donker gat is heb ik dus een beetje hulp nodig. ik heb Sophos Anti rootkit geinstalleerd


Resultaat van sophos:

Area: Windows registry
Description: Hidden registry key
Location: \HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{06A783C9-5DF4-4F84-8773-19E6BB228AD2}
Removable: No
Notes: (no more detail available)

Area: Windows registry
Description: Hidden registry key
Location: \HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ruins
Removable: No
Notes: (no more detail available)

Area: Windows registry
Description: Hidden registry value
Location: \HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\dmhlj.exe
Removable: No
Notes: (type 1, length 60) "C : \ W I N D O W S \ S y s t e m 3 2 \ d m h l j . e x e " (uhm deze register key had ik toch verwijdert )

Area: Windows registry
Description: Hidden registry value
Location: \HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\System
Removable: No
Notes: (type 1, length 20) "c s y r z . e x e "( What is this )

Area: Local hard drives
Description: Unknown hidden file
Location: C:\WINDOWS\system32\{31D0392F-87C3-4B13-AC80-DFB27404BD8B}.exe
Removable: Yes (but clean up not recommended for this file)
Notes: (no more detail available)

Area: Local hard drives
Description: Unknown hidden file
Location: C:\WINDOWS\system32\{1F99AE5B-E864-493A-87B7-9610A3CBEAA5}.exe
Removable: Yes (but clean up not recommended for this file)
Notes: (no more detail available)

Area: Local hard drives
Description: Unknown hidden file
Location: C:\WINDOWS\system32\{5BBFCE58-C5F8-4022-B275-DF758F838C3C}.exe
Removable: Yes (but clean up not recommended for this file)
Notes: (no more detail available)

Area: Local hard drives
Description: Unknown hidden file
Location: C:\WINDOWS\system32\csyrz.exe (deze is ook hidden in register )
Removable: Yes (but clean up not recommended for this file)
Notes: (no more detail available)

Area: Local hard drives
Description: Unknown hidden file
Location: C:\WINDOWS\system32\dmhlj.exe (deze had ik handmatig verwijdert! )
Removable: Yes (but clean up not recommended for this file)
Notes: (no more detail available)

Area: Local hard drives
Description: Unknown hidden file
Location: C:\WINDOWS\Prefetch\DMCBV.EXE-2FB9FD09.pf
Removable: Yes (but clean up not recommended for this file)
Notes: (no more detail available)

Je zie ook de bestanden in system32 met de "geke cijfer naam" om zo ff te noemen. Zulke namen hadden de trojans ook die de virusscanner ook vond.

Ik heb ook een trendmicro gedaan. Die vond ook wat, en die zijn allemaal verwijdert.

dit is mijn hijackthis log:

Logfile of HijackThis v1.99.0
Scan saved at 17:12:20, on 25-8-2006
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\NavNT\defwatch.exe
C:\WINDOWS\system32\HPConfig.exe
C:\Program Files\HPQ\Notebook Utilities\HPWirelessMgr.exe
C:\Program Files\NavNT\rtvscan.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\wdfmgr.exe
C:\WINDOWS\System32\MsgSys.EXE
C:\WINDOWS\Explorer.EXE
C:\Program Files\NETGEAR\WG511\Utility\WG511WLU.exe
C:\Program Files\NavNT\vptray.exe
C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe
C:\Program Files\HPQ\One-Touch\OneTouch.EXE
C:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnf.exe
C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpobnz08.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hposol08.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpoevm08.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\Bin\hpoSTS08.exe
C:\SOPHTEMP\sargui.exe
C:\Documents and Settings\Administrator\Mijn documenten\downloads\RootkitRevealer\RootkitRevealer.exe
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\MBAKKZ.exe
E:\tijdelijk\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.nu.nl/
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.hp.com/info/e-center-p
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: HelperObject Class - {00C6482D-C502-44C8-8409-FCE54AD9C208} - C:\Program Files\TechSmith\SnagIt 7\SnagItBHO.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: PopUpCop - {DB43E4E6-FF8A-4018-8C8E-F68587A44A73} - C:\PROGRA~1\PopUpCop\PopUpCop.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: SnagIt - {8FF5E183-ABDE-46EB-B09E-D2AAB95CABE3} - C:\Program Files\TechSmith\SnagIt 7\SnagItIEAddin.dll
O4 - HKLM\..\Run: [WG511WLU] C:\Program Files\NETGEAR\WG511\Utility\WG511WLU.exe
O4 - HKLM\..\Run: [vptray] C:\Program Files\NavNT\vptray.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [Share-to-Web Namespace Daemon] C:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe
O4 - HKLM\..\Run: [QT4HPOT] C:\Program Files\HPQ\One-Touch\OneTouch.EXE
O4 - HKLM\..\Run: [Display Settings] C:\Program Files\HPQ\Notebook Utilities\hptasks.exe /s
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
O4 - Global Startup: hp psc 2000 Series.lnk = C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpobnz08.exe
O4 - Global Startup: officejet 6100.lnk = ?
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Open Image in New Window - res://C:\PROGRA~1\PopUpCop\popupcop.dll/imagenew
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O16 - DPF: {61E5D102-6D19-4CA2-BF78-1C4CDD563938} (SOAPTreeViewX Control) - https://cmst.tudelft.nl/edit/SOAPTreeViewControl.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.m...web_site.cab?954397979541
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn...rStatsClient.cab31267.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/...sengerSetupDownloader.cab
O16 - DPF: {DE591B16-A452-11D6-AED1-0001030A4E46} (PBGNX Control) - https://gto.postbank.nl/GTO/PBGNX.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{6518D345-3E56-4236-964B-74040ED86E18}: NameServer = 85.255.115.106,85.255.112.111
O17 - HKLM\System\CCS\Services\Tcpip\..\{97B6E3B6-07AD-41F0-8E19-19295269978F}: NameServer = 85.255.115.106,85.255.112.111
O17 - HKLM\System\CCS\Services\Tcpip\..\{DD9B0254-6D69-459F-AA33-C1EF13DDEFE4}: NameServer = 85.255.115.106,85.255.112.111
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.115.106 85.255.112.111
O17 - HKLM\System\CS1\Services\Tcpip\..\{6518D345-3E56-4236-964B-74040ED86E18}: NameServer = 85.255.115.106,85.255.112.111
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.115.106 85.255.112.111
O17 - HKLM\System\CS2\Services\Tcpip\..\{6518D345-3E56-4236-964B-74040ED86E18}: NameServer = 85.255.115.106,85.255.112.111
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.115.106 85.255.112.111
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O23 - Service: DefWatch - Symantec Corporation - C:\Program Files\NavNT\defwatch.exe
O23 - Service: HP Configuration Interface Service - Hewlett-Packard - C:\WINDOWS\system32\HPConfig.exe
O23 - Service: HPWirelessMgr - Hewlett-Packard Co. - C:\Program Files\HPQ\Notebook Utilities\HPWirelessMgr.exe
O23 - Service: MBAKKZ - Sysinternals - www.sysinternals.com - C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\MBAKKZ.exe
O23 - Service: Norton AntiVirus Client - Symantec Corporation - C:\Program Files\NavNT\rtvscan.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\System32\HPZipm12.exe

Wie weet beetje raad? Kan ik al die bestanden die

Ohja terwijl ik op deze pc bezig ben krijg ik net een melding dat er een virus is gevonden:

En dit is SP1 ik kan geen sp2 installeren omdat bepaalde software het niet leuk vind, (administratie software) het is niet mijn laptop, van een familie lid.
hp Compaq nx9010 is de laptop

En IE geeft weer fijne foutmeldingen

[Martijnc]

Je hebt Wareout, probeer even met Fixwareout.
In sommige gevallen heeft deze ook rootkitgedrag.

[ Voor 21% gewijzigd door Martijnc op 25-08-2006 18:11 ]

[xppn]

ik heb het gedraaid en hij had dergelijk wat gevonden!! en wat verdachte dingen. En die zijn ook verleden tijd.
Hopen dat dit het is. Morgu ochtend (uhm vandaag eigelijk ) ff nog TrojanHunter etc er overheen halen om te kijken of alles weg is.

Thnx Martijnc

(ohja klein vraagje, heb jij dit ook wel eens gehad?... hoe ben jij er toen achter gekomen...?)

[Martijnc]

Ik heb een opleiding gevolgt op SpywareInfo.com

[xppn]

die site houden we 8ter de hand bedankt
de laptop is nu lkkr aan het scannen en heeft maar 1 dingetje gevonden tot nu toe ziet er veel belovend uit.

edit:

Het is opgelost geen problemen meer bedankt!!!

@ Modje
mag slotje op

[ Voor 22% gewijzigd door xppn op 27-08-2006 20:16 ]

[BHQ]

(Misschien een open deur intrappen): al Hitman Pro eerst volledig geupdate en in safe mode laten lopen? Zit oa. een (goede) virusscanner, misschien kan dat wat uitmaken..

[Verwijderd]

Martijnc schreef op vrijdag 25 augustus 2006 @ 18:10:
Je hebt Wareout, probeer even met Fixwareout.
In sommige gevallen heeft deze ook rootkitgedrag.

Thanx! Ik had ook 1 of andere vage hardnekkige trojan en die is met dat progje meteen verdwenen.

[Pendaco]

Mag hopen dat je wel je verbinding eruit hebt gehaald alvorens te scannen en cleanen?

Daarna zou ik mezelf afvragen hoe t er uberhaupt op is gekomen, brakke virusscanner
onveilig internetten, vreemde dingen gedownload/geinstalleerd?

Natuurlijk een beetje mosterd na de maaltijd, maar dan blijft het iig maar bij 1x