Svchost.exe verstuurt email

[Verwijderd]

Mijn pc is sinds een dag of 3 geinfecteerd met een trojan, die svchost.exe gebruikt om emails te versturen.
Eerst dacht ik dat het door TCPIP.exe kwam (spyware), maar na dat netjes verwijderd te hebben kreeg ik het probleem met svchost.

Hier een rijtje betanden dat in de root directory bij opstarten wordt geplaatst, door de trojan

eibkqlk.exe
ijyywtxq.exe
ybaxd.exe
hlvjisk.exe
eiplx.exe

Heb nu 2 visus scanner geprobeerd, avast en avg, en geprobeerd die bestandjes te googelen, maar kom steeds op verschillende virussen uit.

Iemand die een idee heeft, ben niet het type om uitgebreid in logs te loeren, maar mischien is er iemand die het probleem kent (en de oplossing), of een goed (en gratis) programma kent dat het virus mischien wel herkent en verwijderd.

bij voorbaat dank

[kevin33]

Je zou eens Xoftspy kunnen proberen.

[DataGhost]

Verwijderd schreef op zondag 04 maart 2007 @ 20:26:
Iemand die een idee heeft, ben niet het type om uitgebreid in logs te loeren, maar mischien is er iemand die het probleem kent (en de oplossing), of een goed (en gratis) programma kent dat het virus mischien wel herkent en verwijderd.

Goed, gratis en zeker? Format C: en opnieuw installeren. Tenminste, dat zou ik doen als ik je laatste alinea lees. Anders zou ik toch nog wat andere scanners proberen en die bestanden eens door Jotti's online scanner heen halen ofzo. Ook kan je met Process Explorer van Sysinternals het exacte pad naar svchost.exe zien, dit is waarschijnlijk niet dezelfde als die van Windows.

[ Voor 28% gewijzigd door DataGhost op 04-03-2007 20:31 . Reden: stuk overbodig quote.. het was toch best lang :+ ]

[gambieter]

In de BV FAQ staan al allerlei nuttige links. Verder klinkt dit als een reden voor een offline virusscan via bijvoorbeeld een BartPE Windows Live CD, het weggooien van besmette herstelpunten en het gebruiken van HijackThis logs.

[Frankie02]

Kijk eens bij msconfig of daar rare programma's meegestart worden (en vaak ook onder RUN in het register).

[Verwijderd]

In ieder geval al via process explorer de bron van het versturen van de emails verwijderd. Moet alleen nog zoeken waar al die exe's vandaan komen, maar dat gaat wel lukken denk ik. Bedankt voor de tips.

[Verwijderd]

Uiteindelijk via jotti's avir gebruikt (waren overigens maar 3 scanners die het virus kende), detecteerde 5 verschillende trojans (allemaal gemist door avg en avast) . Ga bijna denken dat men systeem gehackt was of zo. Moet alleen nog windows herstellen en dan is de ellende weer voorbij (winlogon.exe is beschadigd)

[soulrider]

let even op dat die herstel alles niet terughaalt.

beste oplossing bij zoiets (wat wrs ook deels rootkit is) : format and reinstall.

[sjongenelen]

soulrider schreef op donderdag 08 maart 2007 @ 14:30:
let even op dat die herstel alles niet terughaalt.

beste oplossing bij zoiets (wat wrs ook deels rootkit is) : format and reinstall.

yup..! een beetje spyware gaat JUIST in de recovery van xp zitten..!

[swampy]

TheNymf schreef op donderdag 08 maart 2007 @ 14:32:
[...]


yup..! een beetje spyware gaat JUIST in de recovery van xp zitten..!

Kan nog herinnerin hoe norton ( draaide dat iets van 3 jaar geleden voor het laatst dus misschien zijn er dingen verandert ) altijd weer een virus vondt IN de systeem herstel files en het niet kon deleten (duh) dus elke keer weer afging als een alarm. Enige oplossing, herstel uitschakelen herstarten en dan opnieuw aanzetten

Nee bij sommige virussen is format c: het veiligst..

[Verwijderd]

Misschien een stomme vraag maar heb je al een scan op malware gedaan? Ik zie alleen een virusscan staan en malware/virussen zijn toch twee heel aparte dingen.
Spybot S&D en Adaware een keertje draaien dus?

[ Voor 0% gewijzigd door Verwijderd op 10-03-2007 16:34 . Reden: zpelvauten ]

[Verwijderd]

Verwijderd schreef op zaterdag 10 maart 2007 @ 16:16:
Misschien een stomme vraag maar heb je al een scan op malware gedaan? Ik zie alleen een virusscan staan en malware/virussen zijn toch twee heel aparte dingen.
Spybot S&D en Adaware een keertje draaien dus?

Beetje laate reactie, maar adaware in ieder geval gedraaid.

Heb het winlogon probleem eruit, dr web vond nog een trojan, blij dat mijn pc eindelijk afsloot zonder blue screen. Totdat na 2 uur svchost afgesloten wordt en vrolijk weer emails gaat versturen. Dankzij comodo kan dit niet geblokt worden (maar weer zonealarm instaleren)

Denkt dat ik weer wat scanners moet gaan downloaden, lukt wel weer.

Mijn vraag is een beetje dit, volgens mij staat de teller nu op rond de tien unieke trojans (en +/-1000 bestanden) Ik heb nu antivir (herkende meer dan avast) en comodo (om nu weer over te gaan op zonealarm) Weet eigenlijk niet wat ik fout doe, iemand sugesties om alles weer een beetje op orde te krijgen? Of is er geen 1 virus dat nooit goed verwijderd.

[sunoke]

Backup maken van je documenten, Format c:, herinstalleren, virusscanner installeren, backup scannen, backup van je documenten terugzetten.

[F_J_K]

Verwijderd schreef op zaterdag 10 maart 2007 @ 16:16:
Ik zie alleen een virusscan staan en malware/virussen zijn toch twee heel aparte dingen.

offtopic:
Even corrigeren: malware = virussen + trojans + rootkits + adware + spyware + etc. etc.

Verder eens me tde tip (data backuppen+)formatteren+reinstall.

Je weet immers nooit wat een trojan heeft achtergelaten. En na reinstall natuurlijk goed beveiligen: alle updates, uptodate goede virusscanner, niet met adminrechten werken, etc.

[Verwijderd]

F_J_K schreef op zondag 25 maart 2007 @ 12:14:
[...]

offtopic:
Even corrigeren: malware = virussen + trojans + rootkits + adware + spyware + etc. etc.

Verder eens me tde tip (data backuppen+)formatteren+reinstall.

Je weet immers nooit wat een trojan heeft achtergelaten. En na reinstall natuurlijk goed beveiligen: alle updates, uptodate goede virusscanner, niet met adminrechten werken, etc.

Je hebt helemaal gelijk, maar ik probeer format c zo lang mogelijk uit te stellen (uit luiheid). Denkt er toch over binnen 6 maanden een nieuwe pc te kopen. Doe ook geen bankzaken met men pc of zo, dus als alles een beetje loopt ben ik tevreden.

Gek genoeg vond de spyware scan van zonealarm (!) 2 trojans (ben nu echt de tel kwijt, tis wel het 6 progje dat iets nieuws vindt), in ieder geval al een uur geen virusmelding. Maar dit is niet de eerste keer dat ik dacht dat men pc schoon was.

[F_J_K]

Ik snap je redenatie, maar

Doe ook geen bankzaken met men pc of zo, dus als alles een beetje loopt ben ik tevreden.

Hmja. Laat dan wel de internetverbinding weg. Of anders is jouw PC 6 maanden lang anderen aan het besmetten en / of ben je 6 maanden lang de bron van spam. Heb je zelf geen last van, maar sociaal is het niet

[gambieter]

F_J_K schreef op zondag 25 maart 2007 @ 14:09:
Ik snap je redenatie, maar
[...]
Hmja. Laat dan wel de internetverbinding weg. Of anders is jouw PC 6 maanden lang anderen aan het besmetten en / of ben je 6 maanden lang de bron van spam. Heb je zelf geen last van, maar sociaal is het niet

Hopelijk heeft de TS er dan wel last van, omdat zijn IP-adres als spam/rommelverspreider wordt aangemerkt en geblokkeerd wordt door de provider. Oftewel: formatteren en beter beschermen, die "luiheid" heeft je nu in de problemen gebracht

[Verwijderd]

gambieter schreef op zondag 25 maart 2007 @ 14:12:
[...]

Hopelijk heeft de TS er dan wel last van, omdat zijn IP-adres als spam/rommelverspreider wordt aangemerkt en geblokkeerd wordt door de provider. Oftewel: formatteren en beter beschermen, die "luiheid" heeft je nu in de problemen gebracht

Ik verstuur nu geen spam meer, zou ik wel merken. Heb ook alles wat verstuurd werd geblokt toen ik er wel last van had. Ik weet alleen niet zeker of alle trojans verwijderd zijn. Geen goede reden om format c te doen lijkt me.

[pasta]

Dat je spamrun momenteel is opgehouden wilt niet zeggen dat het probleem ook gelijk weg is. Sterker nog, een aantal trojans die nog eventueel resteren (wel of niet verstopt dmv een rootkit) kunnen gerust van tijd tot tijd andere stukken malware binnen halen. Je merkt er niet veel van, maar uiteindelijk staat je pc een of andere site te ddos'en, of wat dan ook. Er vanuit gaan dat het probleem zo maar gestopt is, zonder dat je 100% zeker weet dat het probleem echt opgelost is, is op z'n minst niet verstandig.

[gambieter]

Verwijderd schreef op zondag 25 maart 2007 @ 15:18:
[...]
Ik verstuur nu geen spam meer, zou ik wel merken. Heb ook alles wat verstuurd werd geblokt toen ik er wel last van had. Ik weet alleen niet zeker of alle trojans verwijderd zijn. Geen goede reden om format c te doen lijkt me.

Het is maar de vraag of je dat zou merken. Tot nu toe heb ik meerdere redenen gezien voor format C. En laten we nou eerlijk zijn, hoeveel tijd kost je dit? Backup maken van documenten, mail en favorieten, install-files en drivers klaar zetten en in een avondje of twee ben je klaar.