Beagle/Mitglieder virus

[Upsal]

Ik gebruik Windows XP SP2 met Norton AntiVirus 2004 (up-to-date). De FAQ heb ik inmiddels doorgenomen, maar zonder succes.

Vandaag opende ik een EXE bestand dat zich in een ZIP bestand bevond. Het leek me OK aangezien Norton bij de scan niks aantrof.
Echter, toen ik het geopend had, had ik had al door dat het wel malware was. Norton LiveUpdate werd gedeactiveerd, en vrijwel alle EXE bestanden van Norton werden verwijderd.
Nadat ik het gevaarlijke EXE bestand had geplaatst op Jotti's malware scan, kwam naar voren dat het bleek te gaan om een B(e)agle variant:



Na wat zoekwerk op Google, kwam ik op een informatie pagina van Symantec uit, die ging over W32.Beagl.BP@MM. Echter kwamen de technische details niet overeen met mijn bestanden in mappen van Windows. Ik zag ook dat bep. varianten van B(e)agle gebundeld waren met Trojan.Mitglieder.C.
De symptomen die ik zie, komen overeen met die van Trojan.Mitglieder.C, maar er staat geen system.exe in de system map (zoals wel verteld staat op de infopagina).

Ik heb inmiddels een hoop virusscanner geprobeerd, maar tevergeefs.

Virusscanners die tijdens de installatie werden geblokkeerd door het virus:
- AntiVir
- Avast
- AVG
- BitDefender
- Kaspersky
- McAfee
- NOD32
- Norman
- Norton
- Panda

Malwarescanners die wel werkten, maar vrijwel niets detecteerde:
- F-Prot
- Housecall (online)
- McAfee Stinger
- Panda pqremove
- The Cleaner
- TrojanHunter

Ik heb er wel een paar removaltools geprobeerd die op bepaalde B(e)agle varianten werkte, maar dit heeft ook niet geholpen.

Ondertussen heb ik nog even met McAfee en Kaspersky zitten scannen vanuit een andere bootpartitie (Win2K), maar deze konden dit virus ook niet verwijderen.

Als iemand nog tips heeft, graag, anders ben ik genoodzaakt Windows opnieuw te installeren.

[ Voor 5% gewijzigd door Upsal op 22-02-2007 21:50 . Reden: Removaltools ]

[Tundreq]

Is er geen removal tool voor te downloaden op de kaspersky website?

Ik zie zo dat er nog geen removal tool voor is, maar als kaspersky reageert zoals normaal dan kun je over een uur of 2 denk ik wel wat vinden op hun site.

[ Voor 54% gewijzigd door Tundreq op 22-02-2007 21:51 ]

[rodie83]

Probeer eens een online scanner. Ik zie niet dat je dit al geprobeerd hebt en aangezien deze niet of nauwelijks (active x script) geïnstalleerd hoeven te worden geeft het ook een stuk minder werk.

Probeer eens met http://housecall.trendmicro.com/ om te beginnen

Edit: of zijn die malwarescanners die je opgeeft de online varianten?

[ Voor 12% gewijzigd door rodie83 op 22-02-2007 21:48 ]

[Upsal]

Ik heb de removaltools op de Kaspersky site over het hoofd gezien, ga ik zometeen proberen.
Housecall heb ik al geprobeerd, maar die detecteerde niets.

[PipoDeClown]

http://www.sophos.com/support/disinfection/trojan.html

[Verwijderd]

Misschien een stomme vraag, maar waarom denk je dat het virus nog op de PC staat?

[dB90]

Probeer dit ook even Windows Live

[Upsal]

@Denniswerf:

Aangezien Windows Firewall, Windows Beveiligingscentrum en een hoop viruscanners niet aangezet/geinstalleerd kunnen worden. Het lijkt me eerder een actief proces, dan een registerinstelling, want telkens bij de installatie van een viruscanner, gaat het mis met de EXE-bestanden aanmaken (naar mijn idee worden die direct ná de aanmaak door het virus verwijderd).

Ik heb inmiddels ook Systeemherstel proberen uit te voeren (herstelpunt van gisteren), maar na de reboot gaf Systeemherstel aan dat het mislukt was.

[ Voor 65% gewijzigd door Upsal op 22-02-2007 21:59 ]

[Verwijderd]

Ja maar dat kan net zogoed een aanpassing in het register geweest zijn? Ik dacht dat Housecall behoorlijk accuraat was

Hoe zit het met Systeemherstel? Of is dat een achterlijk voorstel? (ik heb geen ervaring met virussen)

[Verwijderd]

Bestand ook eens testen op www.virustotal.com

Daar krijg je nog veel meer resultaten van scanners te zien, misschien zit daar dan de juiste informatie tussen die je verder helpt met het handmatig verwijderen.

[pasta]

Check anders ook even met HijackThis of er soms nog verdachte dingen draaien/opstarten zoals ook in Beveiliging en Virussen - Nieuw topic starten genoemd staat. Mocht je er zelf niet 100% uitkomen, post dan de log even hier, wel tussen [code][/code]-tags. Geef ook even aan wat je zelf niet helemaal vertrouwd.

[Upsal]

Bedankt voor de tips.
Heb net nog even gekeken in de Application Data map van de Windows XP installatie via m'n 2de bootpartitie (Windows 2K), en zag daar een mapje; hidires. Door op dat keyword te zoeken in google ben ik erachter gekomen dat het niet ging om Bagle.bp maar om Bagle.dz. Het bleek te gaan om een trojan/rootkit die zich zo diep had ingenesteld, dat de bestanden/registerkeys voor de normale gebruiker niet zichtbaar waren. Via Windows 2K heb ik alle bestanden nog wel handmatig kunnen verwijderen. Ik neem aan dat het virus nu verwijderd is .
HijackThis logboek ziet er trouwens vrij netjes uit.