W32 Worm?

[Dinant]

Mijn broer z'n pc is geinfecteerd en kan zelf daardoor nauwlijks zijn pc gebruiken. Hij heeft Norman antivirus die wel wat detecteerd, maar niets oplost. Stinger heeft ook niets uitgehaald. Hij heeft nog wel Hijackthis gedraaid; bij deze de log:

Logfile of HijackThis v1.99.1
Scan saved at 0:24:06, on 6-1-2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Program Files\Spyware Doctor\sdhelp.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\sm56hlpr.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Wanadoo\NL\Mnu\igomnu.exe
C:\Program Files\Wanadoo\AntiVirus\AVRealTime.exe
C:\Program Files\D-Tools\daemon.exe
C:\Program Files\Silvercrest\PH 1012\Silvercrest PH 1012.exe
C:\Program Files\Skype\Phone\Skype.exe
C:\WINDOWS\system32\ksdlmvbs.exe
C:\WINDOWS\system32\jvvmcsdlp.exe
C:\Program Files\Spyware Doctor\swdoctor.exe
C:\Program Files\Wanadoo\AntiVirus\sweepsrv.sys
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\conketfd.exe
C:\DOCUME~1\BERT&I~1\LOCALS~1\Temp\Tijdelijke map 2 voor hijackthis.zip\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://x4al.com/?lang={SUB_RFC1766}&id=170201055066900177
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://x4al.com/?lang={SUB_RFC1766}&id=170201055066900177
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://x4al.com/?lang={SUB_RFC1766}&id=170201055066900177
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://runonce.msn.com/?v=msgrv75
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://runonce.msn.com/?v=msgrv75
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://x4al.com/?lang={SUB_RFC1766}&id=170201055066900177
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://x4al.com/?lang={SUB_RFC1766}&id=170201055066900177
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Wanadoo
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: PCTools Site Guard - {5C8B2A36-3DB1-42A4-A3CB-D426709BBFEB} - C:\PROGRA~1\SPYWAR~1\tools\iesdsg.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar3.dll
O2 - BHO: PCTools Browser Monitor - {B56A7D7D-6927-48C8-A975-17DF180C71AC} - C:\PROGRA~1\SPYWAR~1\tools\iesdpb.dll
O3 - Toolbar: MSTBR - {10CA15EA-C0A5-7CAF-B9E9-B8B2A87EFE11} - C:\PROGRA~1\Wanadoo\GLOBAL\Mstbr\mstbr.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar3.dll
O4 - HKLM\..\Run: [NVMixerTray] "C:\Program Files\NVIDIA Corporation\NvMixer\NVMixerTray.exe"
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [SM56ACL] sm56hlpr.exe
O4 - HKLM\..\Run: [mnu] C:\Program Files\Wanadoo\NL\Mnu\igomnu.exe /S:T
O4 - HKLM\..\Run: [Preventon RealTime Antivirus] C:\Program Files\Wanadoo\AntiVirus\AVRealTime.exe
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Program Files\D-Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [SilverCrest PH 1012] C:\Program Files\Silvercrest\PH 1012\Silvercrest PH 1012.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_03\bin\jusched.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [Agent] C:\WINDOWS\system32\alsys.exe
O4 - HKLM\..\Run: [mlibsysmc] conketfd.exe
O4 - HKLM\..\RunServices: [mlibsysmc] conketfd.exe
O4 - HKCU\..\Run: [mnu] C:\Program Files\Wanadoo\NL\Mnu\igomnu.exe /S:T
O4 - HKCU\..\Run: [Skype] "C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [Key] C:\DOCUME~1\BERT&I~1\LOCALS~1\Temp\8.tmp
O4 - HKCU\..\Run: [cwingllib] C:\WINDOWS\system32\ksdlmvbs.exe
O4 - HKCU\..\Run: [Agent] C:\WINDOWS\system32\alsys.exe
O4 - HKCU\..\Run: [ymmsddlop] C:\WINDOWS\system32\jvvmcsdlp.exe
O4 - HKCU\..\Run: [Spyware Doctor] "C:\Program Files\Spyware Doctor\swdoctor.exe" /Q
O4 - Global Startup: Adobe Reader Snelle start.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Spyware Doctor - {2D663D1A-8670-49D9-A1A5-4C56B4E14E84} - C:\PROGRA~1\SPYWAR~1\tools\iesdpb.dll
O9 - Extra button: Onderzoek - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=http://runonce.msn.com/?v=msgrv75
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://by113w.bay113.mail...il/resources/MsnPUpld.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.c...eb_site.cab?1131132230578
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.c...eb_site.cab?1137786800436
O16 - DPF: {91F52A42-C10D-49A7-B941-882C657C604F} (Installation Helper Object) - http://kitcentral.wanadoo.../nl/instwact/instwact.dll
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - AppInit_DLLs: C:\WINDOWS\system32\svchb2.dll
O20 - Winlogon Notify: winsys2freg - C:\Documents and Settings\All Users.WINDOWS\Documenten\Settings\winsys2f.dll
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O21 - SSODL: EwSvcoMWTfDJ - {70C468E4-DA6E-C24E-8387-D30881F83744} - C:\WINDOWS\system32\bnioi.dll (file missing)
O23 - Service: AVG Anti-Spyware Guard - Unknown owner - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe (file missing)
O23 - Service: InstallDriver Table Manager (IDriverT) - Unknown owner - C:\Program Files\Common Files\InstallShield\Driver\1050\Intel 32\IDriverT.exe (file missing)
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: PC Tools Spyware Doctor (SDhelper) - PC Tools Research Pty Ltd - C:\Program Files\Spyware Doctor\sdhelp.exe
O23 - Service: sweepsrv.sys - Sophos Plc - C:\Program Files\Wanadoo\AntiVirus\sweepsrv.sys

[freggell]

Enneuh, zelf al ff gezocht. of het log doorgekeken?

Iets vreemds gezien?

ksdlmvbs.exe ?

[gsteen]

Uiteraard is zoeken op bestandsnaam niet 100% waterdicht, maar alsys.exe geeft bij een zoek aktie op google ook niet veel goeds. Een van de hits Klik .

[mhoogendam]

C:\WINDOWS\system32\ksdlmvbs.exe
C:\WINDOWS\system32\jvvmcsdlp.exe
C:\WINDOWS\system32\conketfd.exe
C:\WINDOWS\system32\alsys.exe
zijn er een paar die niet goed zijn.
Gooi je hijackthis log eens door de site: www.hijackthis.de
Deze analyseert het meteen en laat de verkeerde dingen zien.
p.s. hij kent Wanadoo antivirus niet, dus geeft hier error op.

[pasta]

HijackThis.de wil inderdaad wel nog eens foute meldingen geven, vertrouw er dus niet blind op. Het is beter om even verdachte files te scannen op Jotti's online malware scan en vervolgens een scan uit te voeren met een anti-virus die het bestand herkent. Verder wil ik je ook nog even wijzen op Beveiliging en Virussen - Nieuw topic starten en Beveiling & Virussen - Policy . Dit topic volgt niet het stappenplan, waardoor ik je eigen inzet ook mis. Lees Policy: Alle regels die op het forum gelden en de stickies hier nog eens door. Dit topic iig dicht.