[virus/spyware] ten einde raad

[silentkiller]

Hallo allemaal,
Sinds kort heb ik last van een virus. Ik ga proberen alles in stappen uit te leggen zodat het overzichtelijk blijft.
1. Wat doet het virus ?
=> opeens zie ik een command venster openen en verschijnen er files op mijn C schijf (in de root)
djmggki.exe
mupsfkdw.exe
...
Vanaf dan kan ik nietmeer: ctrl + alt + delete (uitgeschakeld door systeembeheerder)
Ik kan ook nietmeer rebooten of afsluiten, dat is ook uitgeschakeled veronderstel ik.
Ik krijg een hoop popups en banners en webbalken
In mijn system tray komt een icoon: spyware infection has detected (wil dan registry cleaner installeren)
2 Wat heb ik al geprobeerd
3 keer mijn pc geformateerd. Het komt telkens terug. Alle software die ik op mijn pc installeer heb ik gescand met pandasoft online scan. Heel mijn pc is gescand met pandasoft online
De laatste keer scande ik heel mjin pc met pandasoft online. Resultaat: 2 onnutige spyware's gevonden (in men cookies). Ik reboot mijn pc, zie het cmd venster flitsen en hopla, weeral last van de nest.

3 Waar kan het niet aan liggen
Aan mijn windows xp cd, want die heb ik altijd al gebruikt
Aan de software die ik installeer (die is gescand met pandasoft)
Hoe komt het virus dan op mijn pc ? Via mijn eigen home netwerk ? Voor de rest heeft geen andere pc in mijn netwerk hier last van.
En telkens als ik formateer komt het na een X aantal uur terug, dat kan toch gewoon niet ? Het komt ook altijd zomaar uit het niets, soms ben ik aan het surfen, soms blader ik door mijn bestanden en dan installeer het virus zich plots (cmd venstertje).

Ik had gehoopt dat het bij formateren zou opgelost zijn, maar na dit 3 keer gedaan te hebben weet ik het echt nietmeer.

Ookal op heb ik op google gezocht naar dit virus maar dan krijg ik instructies om het te verwijderen, die heb ik ookal geprobeerd (oa met SmitfraudFix.exe) maar maakt niet uit, virus gaat niet weg, het komt zelfs terug na een format .

[markvt]

update je die windows wel na een verse installatie ?

[silentkiller]

markvt schreef op zaterdag 26 mei 2007 @ 22:48:
update je die windows wel na een verse installatie ?

ja,volledig, telkens opnieuw weer 111 mb downloaden, ik installeer ook internet explorer 7 en mediaplayer 11, alles tot de laatste update zet ik erop
Als ik scan op virussen na alle updates gedaan te hebben vind hij niets, en dan opeens uit het niets ..

[EricJH]

Heb je wel een firewall aan staan?

Zorg dat je tijdens het installeren niet met het internet verbonden bent (met een kabelmodem zonder router hang je open en bloot aan het wereld wijde web. Zet als je het web opgaat een firewall aan; desnoods die van XP zelf.

Het kan zijn dat van één die twee bestanden die opgeeft de ander beschermt of dat ze elkaar in de gaten houden en terugzetten als de ander gewist wordt.

Doorzoek je register eens adhv de twee bestandsnamen die je gaf:
djmggki.exe
mupsfkdw.exe
Met de register zoektocht kom je een eventuele derde bestand op het spoor komen die de andere twee beschermt.

Met Process Explorer van Sysinternals kun je bijvoorbeeld bovenstaande bestanden in suspend zetten en ze dan wissen, Je kunt de bestanden ook vanaf herstelconsole of vanuit een andere Windows installatie benaderen en dan wissen. ZO heb ik eens een een terugkerende trojan de nek omgedraaid.

[silentkiller]

dat was ik vergeten te vermelden, mijn firewall van windows staat aan.
Dan opeens zie ik het cmd window komen en dan zegt hij in mijn system tray ook: u bent mogelijk in gevaar, firewall disabled.
En zoeken achter die files, ik kan ook niemeer in mijn register.
Ik kan wel terug gaan formateren, maar als het virus dan weer terugkomt kan ik wederom niet in mijn register. Hoe kan een virus eigenlijk telkens opnieuw terugkomen als ik zelfs formateer . In mijn windows CD kan hij niet zitten want die gebruik ik al heel lang, en de appz die ik installeer gebruik ik ook al heel lang, maar heb ze voor de veiligheid toch nog maar eens gescand en er is idd niks mis mee

[Verwijderd]

Heb je geen 2de schijf / partitie / geheugen kaart / memstick in je pc zitten van waar hij telkens terug kan komen?

[silentkiller]

Verwijderd schreef op zaterdag 26 mei 2007 @ 23:10:
Heb je geen 2de schijf / partitie / geheugen kaart / memstick in je pc zitten van waar hij telkens terug kan komen?

nee, het is een nieuwe laptop en alle schijven zijn leeg.
Al mijn applicaties staan op mijn computer die windows server 2003 enterprise draait. Daar connect ik mee via een ftp server en via terminal services

[Blisterin_Bull]

Die windows cd van je. Zit daar SP2 al in verwerkt? Zo nee;
offline
- Windows slipstreamen met SP2 en dan installeren.
- Autopatcher installeren na installatie.
Of misschien is je windows server 2003 wel gaar en krijg je het via die pc binnen.

[silentkiller]

in mijn xp zit sp2 in
Server 2003 kan inderdaad gaar zijn, maar als ik daar een virus scan op doe vind hij ook niets. En het lijkt mij raar dat een virus zich nestelt in de 2003, dat pandasoft hem niet vindt en dat hij zich niet installeert op de 2003, maar wel op mijn pc en niet op een andere pc in het netwerk (er hangen nog 3 andere pc's in het netwerk die nergens last van hebben ..)

[jeronimo]

Het virus zou zelfs in de boot sector van je harde schijf kunnen zitten. Formatteren veranderd daar niets aan. Fdisk /mbr van een schone bootfloppy zou dan wel eens kunnen helpen.

[Verwijderd]

Vertrouw nooit teveel op 1 virusscanner. Elke virusscanner mist wel wat, de ene iets meer dan de ander.

Probeer eens een online virusscanner van Kaspersky of Bitdefender.

Installeer een goed programma tegen trojans, ad-/spyware.
(a-squared Anti-Malware, Prevx1 (of Prevx2), Spybot Search & Destroy enz...)

[silentkiller]

jeronimo2003 schreef op zaterdag 26 mei 2007 @ 23:26:
Het virus zou zelfs in de boot sector van je harde schijf kunnen zitten. Formatteren veranderd daar niets aan. Fdisk /mbr van een schone bootfloppy zou dan wel eens kunnen helpen.

dat zal ik eens proberen, kan ik erop een of andere manier achter komen of hij inderdaad daadwerkelijk daarin zit ?

[jeronimo]

Afaik zijn de meeste AV programmas in staat tot het maken van een bootable medium waarmee je dan je pc op kunt starten en een gehele scan en evt repair uit kunt voeren. De voorwaarde is dan natuurlijk wel dat je deze cd/flop niet aanmaakt vanaf je mogelijk besmette pc.

[silentkiller]

jeronimo2003 schreef op zaterdag 26 mei 2007 @ 23:57:
Afaik zijn de meeste AV programmas in staat tot het maken van een bootable medium waarmee je dan je pc op kunt starten en een gehele scan en evt repair uit kunt voeren. De voorwaarde is dan natuurlijk wel dat je deze cd/flop niet aanmaakt vanaf je mogelijk besmette pc.

Kheb via een boot cd fdisk/mbr gedaan
Nu is hij opnieuw xp aan het installeren, hopelijk is het virus eraf nu

[gerre22]

Nieuwe laptop zeg je hé, soms hebben deze een hidden partition. Ik weet dat je wel zegt dat je geen extra partities hebt, maar ik weet niet of je van deze weet had.
voor de rest als het een bootsector virus is, toch maar eens over bijlezen dan.

[silentkiller]

gerre22 schreef op zondag 27 mei 2007 @ 00:04:
Nieuwe laptop zeg je hé, soms hebben deze een hidden partition. Ik weet dat je wel zegt dat je geen extra partities hebt, maar ik weet niet of je van deze weet had.
voor de rest als het een bootsector virus is, toch maar eens over bijlezen dan.

in partition magic zie ik geen extra partitie staan, of geeft die hidden partitions ook niet aan ?

[ Voor 12% gewijzigd door silentkiller op 27-05-2007 00:08 ]

[gerre22]

normaal gezien kan partition magic deze zien ja.

[Verwijderd]

mss kan je eens proberen winxp op een andere partitie te installeren?
om toch maar zeker te zijn dat niets van die vorige partitie nog gebruikt wordt?

en het programmaatje autoruns? kan dat mss geen oplossing bieden?

[silentkiller]

ik heb het volgende gedaan:
1)partion magic geopend: alle partities eruit geflikkerd (op beide schijven)
2)fdisk /MBR
3)windows xp installeren

Wat mij opvalt: ik heb 2 harde schijven in mijn laptop
in de installatie van windows xp duw ik op C om een nieuwe partitie te maken op mijn eerste schijf
Deze geeft hij de naam C
Dan duw ik nog eens op C om een tweede partitie te maken
Die noemt hij E

Dan maak ik een eerste partitie op de 2de hard disc
Die noemt hij F
Dan maak ik nog een partitie op de 2de hard disc
Die noemt hij G

Waar is D: ?
Op mijn vaste pc zou hij de twede partitie die ik aanmaak meteen D noemen

[gerre22]

hoe heet je diskdrive?

[silentkiller]

gerre22 schreef op zondag 27 mei 2007 @ 00:25:
hoe heet je diskdrive?

dat was ik ook al aant denken maar als ik op mijn vaste pc xp installeer noemt hij men schijf wel gewoon D:, dat vond ik nou net zo raar

[aZuL2001]

D: is je cd speler.

[silentkiller]

hmm oke, door fdisk /mbr is men boot record opnieuw ingesteld, dus als het virus daar zat werkt hopelijk nu wel alles lekker, jullie horen het wel

[silentkiller]

ok, fdisk /mbr heeft niet geholpen. ik veronderstel dat het virus dan in mijn server 2003 zit ?
Doch merk ik er daar niets van en zegt een virus scan ook niets als ik de server 2003 scan.
Als ik mijn server 2003 wil formateren, zou ik dan ook een fdisk /mbr doen daar ?
Hoe zien mijn harde schijven eruit ?
Schijf 120GB: opgesplitst in C (windows) en D
Schijf 80GB E

Verlies ik alle data daar dan als ik een fdisk /mbr doe ?
Kan het ook nog aan iets anders liggen ? Ik bedoel: kan het virus zich nog ergens anders in mijn laptop huishouden ?

[aZuL2001]

Heb je die server al gechecked op virussen / wormen ? (blijkbaar wel, maar gebruik sysclean maar eens)
Laat Sysclean van Trend Micro daar eens zijn werk doen.

En dat ook op alle andere pc's op je netwerk.

Hoe zit je aan het internet vast ?
Wat voor XP cd gebruik je ? Een legale of een gedownloade ?
Zorg eens dat je voor jouw taal de meest recente Autopatcher op bijv usb stick hebt staan, en ook bijvoorbeeld een trialversie van PcCillin.

Scan de usb stick op virussen !

Install je laptop opnieuw. Maak geen verbinding met een netwerk of internet ! ! !
Werk mbv Autopatcher je systeem bij zodat je bijna alle patches weer hebt.
Installeer PcCillin NL 30 dagen trial zodat je iig bescherming hebt.

En dan pas mag je je laptop weer aan een netwerk aansluiten.

Kijken of dat helpt.

[ Voor 58% gewijzigd door aZuL2001 op 27-05-2007 16:26 . Reden: aanvulling ]

[silentkiller]

aZuL2001 schreef op zondag 27 mei 2007 @ 16:17:
Heb je die server al gechecked op virussen / wormen ?

Laat Sysclean van Trend Micro daar eens zijn werk doen.

hij is al gecheckt met pandascan en daar vond hij niets mee, ik zal trendmicro er ook eens laten overlope

[silentkiller]

Hij vind:
adware_bestoffers
=>Internet Explorer Cache\Zedo.com

HTTP cookies
=>Internet Explorer Cache\ad.yieldmanager.com
=>Internet Explorer Cache\rotator.adjuggler.com
=>Internet Explorer Cache\www.burstnet.com

Niet echt de moeite lijkt me ? Vanwaar komt het virus op men laptop toch dan

[aZuL2001]

Als je zelf de laatste post gemaakt hebt, edit die dan voor aanvullingen.
Anders krijgt men de indruk dat je het topic omhoog aan het schoppen bent, en dat stellen ze niet zo op prijs hier.

Die cookies zijn niet zo schokkend imho.
Die Zedo.com Spyware zou ik zien te verwijderen.

En had je de rest van mijn post van 16:17 ook gelezen ?

[Petervanakelyen]

Er bestaan een hoop gratis anti-spyware en anti-virus tools :

- Avast : http://files.avast.com/iavs4pro/setupdut.exe
- Ad-Aware : http://dw.com.com/redir?d...4&mfgId=69274&merId=69274

En installeer ze op alle pc's zou ik zeggen. Laat eens weten of het iets heeft opgeleverd.
Als je HijackThis ook eens download, en een logje hier plaatst, kunnen we mischien nog andere dingen te weten komen om je te helpen.

[ Voor 13% gewijzigd door Petervanakelyen op 27-05-2007 21:05 ]

[silentkiller]

Alvast allemaal enrom bedankt voor de tip's.
Wat ik momenteel gedaan heb: windows 2k3 server uitgeschakeld,de laptop opnieuw geformateerd, via autoupdater alle update's gedaan en aan het netwerk gehangen
De 2k3 server staat nog altijd af.
Momenteel blijft het virus uit, zou het kunnen dat het virus zich in de 2k3 server genesteld heeft ? Maar waarom vinden 2 viri scanner het dan niet ?

[Petervanakelyen]

Om dat het misschien spyware is ?
Heb je al een HijackThis logje ?

[silentkiller]

ok het is opgelost. Ik schaam mij wel een beetje om het resultaat te posten maar dan weten jullie ook aan wat het lag. Alles kwam gewoon door een slechte versie van winrar. Die had ik van een site gehaald (niet de officiele) maar ik kan niet meer zeggen welke.
Wat wel heel raar is: winrar zelf werkte perfect en zowal pandasoft als de andere virusscan die ik gebruikt heb als de norton van mijn vader herkende de winrar file niet als virus/spyware.
Bedaknt allemaal voor jullie hulp !

[aZuL2001]

En jij bedankt voor het melden van de oplossing.

Een paar tooltjes zijn de moeite van het kopen echt wel waard
WinRAR en Total Commander horen daar imho wel bij.

[ Voor 18% gewijzigd door aZuL2001 op 28-05-2007 23:18 . Reden: aanvulling ]