Virus verwijderT .exe bestanden virusscanners e.d.

[Rudedadude]

Ik kom er even niet meer uit. Ik heb blijkbaar een virus opgelopen dat de .exe bestanden van mijn antivirusprogramma verwijdert (AVG) en bijvoorbeeld ook van Spybot (wat ik al een tijd op mijn pc had staan). Zodra het ergens (bijvoorbeeld op een usb-stick, of bij herinstallatie) deze bestanden weer detecteert, worden deze direct verwijderd. Wanneer ik de bestanden op alleen lezen zet worden ze op de een of andere manier onbruikbaar gemaakt, waardoor ik ze niet kan gebruiken. Ik heb geprobeerd andere (gratis) virusscanneers te installeren, maar ook daarvan worden de belangrijke .exe bestanden tijdens de installatie direct verwijderd. Exe bestanden van normale programma's gebeurt niets mee.

Ik heb gekeken of ik iets kan vinden via hijackthis of in de draaiende processen of in de dingen die opgestart worden, maar ik heb niks kunnen vinden. Ook de online scan van Kaspersky heeft niets gevonden.

Ik weet op het moment dus even niet meer wat ik kan verzinnen om te detecteren waar het probleem zich bevindt en wat ik er aan kan dan. Ik ben dan ook benieuwd of er suggesties zijn, of de genoemde symptomen iemand bekend voorkomen (weten wat het is maakt het al makkelijker om een oplossing te zoeken.

Algemene informatie: Windows XP home edition, met alle windwos updates en ik had gewoon AVG draaien met de meest recente definities.

[Japidoff]

online scan van mcaffee ofzo?

[CherandarGuard]

Je zou een live cd met virusscanner kunnen proberen.

[Petervanakelyen]

Plaats eens een HijackThis log, wat jij niet hebt gevonden, kunnen anderen op dit forum misschien wél vinden.

[Rudedadude]

Bij deze een hijackthis log

code:

Logfile of Trend Micro HijackThis v2.0.0 (BETA)
Scan saved at 13:44:43, on 22-8-2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\CTsvcCDA.EXE
C:\WINDOWS\system32\nvsvc32.exe
C:\Program Files\Raxco\PerfectDisk\PDAgent.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Raxco\PerfectDisk\PDEngine.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\CpuIdle\cpuidle.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\ZyXEL Communications Corporation\ZyXEL G-220 Utility\ZyXEL_G-220_GUI.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\Microsoft Office\Office\OUTLOOK.EXE
C:\Program Files\Avant Browser\avant.exe
C:\Documents and Settings\Rudy\Bureaublad\HiJackThis_v2.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =  
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =  
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [CpuIdle] C:\Program Files\CpuIdle\cpuidle.exe
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Lokale service')
O4 - HKUS\S-1-5-19\..\Run: [AVG7_Run] C:\PROGRA~1\Grisoft\AVGFRE~1\avgw.exe /RUNONCE (User 'Lokale service')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Netwerkservice')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: ZyXEL G-220 Utility GUI.lnk = ?
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O16 - DPF: {DAF94F73-2AA6-44D8-A562-A28831820D34} (Pixum EasyUploadX Control) - http://www.pixum.de/int/EasyUpload/ImgUploader.cab
O16 - DPF: {EF791A6B-FC12-4C68-99EF-FB9E207A39E6} (McFreeScan Class) - http://download.mcafee.com/molbin/iss-loc/mcfscan/2,2,0,5101/mcfscan.cab
O22 - SharedTaskScheduler: Preloader van browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\System32\browseui.dll
O22 - SharedTaskScheduler: Cache-daemon voor onderdeelcategorieën - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\System32\browseui.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe (file missing)
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe (file missing)
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe (file missing)
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\System32\CTsvcCDA.EXE
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: PDAgent - Raxco Software, Inc. - C:\Program Files\Raxco\PerfectDisk\PDAgent.exe
O23 - Service: PDEngine - Raxco Software, Inc. - C:\Program Files\Raxco\PerfectDisk\PDEngine.exe

Proberen op te starten in een safe mode loopt de computer trouwens op vast.

[Petervanakelyen]

Aan volgende entries kan je dus inderdaad zien dat de belangrijke bestanden van de Avast! zijn verwijderd. Val nu om !

code:

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe (file missing)
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe (file missing)
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe (file missing)

Verder zie ik zoals je al verteld had, niet echt sporen van malware, misschien iemand anders ??

En nog iets :

code:

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =  
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =

Ik neem aan dat je zelf ingesteld hebt dat je geen startpagina krijgt ??

offtopic: waarom in de titel "verwijdert" met hoofdletter T ??

[ Voor 28% gewijzigd door Petervanakelyen op 22-08-2007 14:16 ]

[Rudedadude]

Jup, zelf ingesteld dat ik geen startpagina krijg Het antwoord op die T moet ik je schuldig blijven. Misschien gewoon om niet een d-t fout te maken Avast werd dus nog wel geinstalleerd, maar dus de van belang zijnde bestanden worden direct verwijderd. Bij Antivir worden tijdens het uitpakken van het installatiebestand direct al de betreffende bestanden verwijderd, zodat de hele installatie niet doorgaat...
Ik heb het nog nooit zo meegemaakt. Nu weer een mcafee online scan aan het draaien, om te zien of dat nog wat oplevert. Hij vind wel een verdacht bestand dat in mijn system volume information map staat, maar waartoe ik dus geen toegang heb.

[Petervanakelyen]

Scan ook eens met SysInternals van TrendMicro