[XP] Personalized Settings MSCD.exe

[HyperDevil]

Hallo allemaal,

Ik heb sinds maand ofzo een beetje een raar probleem met mijn windows XP Pro installatie.
Elke keer als ik inlog krijg ik deze melding in een klein grijs raampje links bovenin mijn scherm:

Personalized Settings:
C:\Windows\System32\mscd.exe

Het gekke is is dat ik dat bestand daar niet vind, het enigste wat diezelfde naam heeft ligt in:
C:\Windows\Prefetch\MSCD.EXE-00A944E7.pf

Ik heb mijn pc een virusscan gegeven en een spyware scan, maar kon niks vinden.
Dit is allemaal begonnen na dat ik een raampje kreeg dat zei dat ik chinese taal pakket moest installeren.
Ik denk zelf niet dat het een virus is, maar ik kan op google hier weinig over vinden.
Misschien weten jullie wat?

HyperDevil

[DynamicDennis]

dit is ook niks?

http://www.prevx.com/file...144989403-0/MSCD.EXE.html

[HyperDevil]

DynamicDennis schreef op dinsdag 06 november 2007 @ 21:19:
dit is ook niks?

http://www.prevx.com/file...144989403-0/MSCD.EXE.html

Ik heb mijn pc gescanned met prevx, niks gevonden.

[HyperDevil]

Ik heb net een hijackthis gedraaid, maar deze kon ook niks raars vinden:

Logfile of Trend Micro HijackThis v2.0.0 (BETA)
Scan saved at 16:31:06, on 07.11.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Program Files\Common Files\Softwin\BitDefender Communicator\xcommsvr.exe
C:\Program Files\Common Files\Softwin\BitDefender Update Service\livesrv.exe
C:\Program Files\Raxco\PerfectDisk\PDAgent.exe
C:\Program Files\Raxco\PerfectDisk\PDEngine.exe
C:\Program Files\Raxco\PerfectDisk\PDExchange.exe
C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Program Files\Common Files\Softwin\BitDefender Scan Server\bdss.exe
C:\Program Files\Softwin\BitDefender10\vsserv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\PROGRA~1\Softwin\BITDEF~1\bdmcon.exe
C:\Program Files\Softwin\BitDefender10\bdagent.exe
C:\WINDOWS\CTHELPER.EXE
C:\WINDOWS\system32\CTXFIHLP.EXE
C:\Program Files\DAEMON Tools\daemon.exe
C:\WINDOWS\SYSTEM32\CTXFISPI.EXE
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Documents and Settings\Lars\Desktop\HiJackThis_v2.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_02\bin\ssv.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [BDMCon] C:\PROGRA~1\Softwin\BITDEF~1\bdmcon.exe
O4 - HKLM\..\Run: [BDAgent] "C:\Program Files\Softwin\BitDefender10\bdagent.exe"
O4 - HKLM\..\Run: [CTHelper] CTHELPER.EXE
O4 - HKLM\..\Run: [CTxfiHlp] CTXFIHLP.EXE
O4 - HKCU\..\Run: [DAEMON Tools] "C:\Program Files\DAEMON Tools\daemon.exe" -lang 1033
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O22 - SharedTaskScheduler: Browseui preloader - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Component Categories cache daemon - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:\Program Files\Common Files\Softwin\BitDefender Scan Server\bdss.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: iPod-tjeneste (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: BitDefender Desktop Update Service (LIVESRV) - SOFTWIN S.R.L. - C:\Program Files\Common Files\Softwin\BitDefender Update Service\livesrv.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: PDAgent - Raxco Software, Inc. - C:\Program Files\Raxco\PerfectDisk\PDAgent.exe
O23 - Service: PDEngine - Raxco Software, Inc. - C:\Program Files\Raxco\PerfectDisk\PDEngine.exe
O23 - Service: PDExchange - Raxco Software, Inc. - C:\Program Files\Raxco\PerfectDisk\PDExchange.exe
O23 - Service: BitDefender Virus Shield (VSSERV) - SOFTWIN S.R.L. - C:\Program Files\Softwin\BitDefender10\vsserv.exe
O23 - Service: BitDefender Communicator (XCOMM) - SOFTWIN S.R.L - C:\Program Files\Common Files\Softwin\BitDefender Communicator\xcommsvr.exe

--
End of file - 4163 bytes

[HyperDevil]

kick

[Duinkonijn]

dit toevallig geinstalleerd? http://wakoopa.com/executables/mscd-exe

Used by 4 people for 9 minutes and 30 seconds
The Microsoft Secure Content Downloader is built on a peer-to-peer research project and is being trialed for the distribution of Microsoft Visual Studio 2008 Beta 2.

[ Voor 61% gewijzigd door Duinkonijn op 11-11-2007 20:25 ]

[HyperDevil]

Duinkonijn schreef op zondag 11 november 2007 @ 20:24:
dit toevallig geinstalleerd? http://wakoopa.com/executables/mscd-exe

Used by 4 people for 9 minutes and 30 seconds
The Microsoft Secure Content Downloader is built on a peer-to-peer research project and is being trialed for the distribution of Microsoft Visual Studio 2008 Beta 2.

Ik heb Microsoft Visual Studio niet geinstalleerd, ik gebruik ook geen Microsoft Office.

[Duinkonijn]

ik zou die C:\Windows\Prefetch\MSCD.EXE-00A944E7.pf renamen..

en anders via ntfs iedereen de rechten ontnemen om het te starten.

en dan ook expliciet system / je zelf / administrators toegang onzeggen

heb je ook niet andere grote zooi gedownload bij MS

[ Voor 11% gewijzigd door Duinkonijn op 11-11-2007 22:28 ]

[HyperDevil]

Ik heb gedaan wat je zei en het bestand komt gewoon weer terug na een restart.
Het gekke is is als ik een leeg bestand maak dat MSCD.EXE heet en in de C:\windows\system32 gooi vraagt hij of ik het wil overschrijven
Maar als ik die map in verkenner bekijk, staat deze er niet tussen (ook niet met verborgen bestanden weergeven).
Wat ik van microsoft heb geinstalleerd:
Micosoft Zune Windows XP Theme (probleem was er al voordat ik het had geinstalleerd)
TweakUI (is weer ge-deinstalled, en het probleem was er al voordat ik het installeerde)
En meer niet.. ik snap er niks van

[Duinkonijn]

als je via dos er naar toe gaat zie je hem dan wel?

start --> uitvoeren --> cmd

cd\
cd windows
cd system32

dir mscd.exe
dir mscd.exe /ah

[HyperDevil]

Duinkonijn schreef op maandag 12 november 2007 @ 18:08:
als je via dos er naar toe gaat zie je hem dan wel?

start --> uitvoeren --> cmd

cd\
cd windows
cd system32

dir mscd.exe
dir mscd.exe /ah

Directory of C:\WINDOWS\system32

05.11.2007 12:14 225 792 mscd.exe
1 File(s) 225 792 bytes
0 Dir(s) 4 945 666 048 bytes free

[Duinkonijn]

HyperDevil schreef op maandag 12 november 2007 @ 20:28:
[...]


Directory of C:\WINDOWS\system32

05.11.2007 12:14 225 792 mscd.exe
1 File(s) 225 792 bytes
0 Dir(s) 4 945 666 048 bytes free

k

heb je je register eigelijk al doorzocht of hij daar in staat..

je kan die mscd.exe ook blokkeren dmv

cacls mscd.exe /G %username%:R
cacls mscd.exe /D %username%
uit te voeren in die directory

[HyperDevil]

Duinkonijn schreef op maandag 12 november 2007 @ 20:50:
[...]

k

heb je je register eigelijk al doorzocht of hij daar in staat..

je kan die mscd.exe ook blokkeren dmv

cacls mscd.exe /G %username%:R
cacls mscd.exe /D %username%
uit te voeren in die directory

Ik kon in het register alleen last used files vinden, de laatst ge-opende bestanden dus dat is weinig interessants.
Wat doen deze commando's van jouw?

[Duinkonijn]

HyperDevil schreef op maandag 12 november 2007 @ 21:16:
[...]


Ik kon in het register alleen last used files vinden, de laatst ge-opende bestanden dus dat is weinig interessants.
Wat doen deze commando's van jouw?

commando 1 zorgt dat alleen jouw account het programma op mag starten
commando 2 zorgt er voor dat niemand het programma op mag starten...

normaal kan je dat met eigenschappen --> rechten doen.. maar aangezien je het programma niet kan zien, is dit het alternatief om van de command promt te doen

evt kan je het dan na een herstart renamen / verwijderen..

je loopt alleen de kans dat je een ander foutmelding krijgt

[ Voor 9% gewijzigd door Duinkonijn op 12-11-2007 22:46 ]

[F_J_K]

HyperDevil schreef op maandag 12 november 2007 @ 18:04:
Het gekke is is als ik een leeg bestand maak dat MSCD.EXE heet en in de C:\windows\system32 gooi vraagt hij of ik het wil overschrijven
Maar als ik die map in verkenner bekijk, staat deze er niet tussen (ook niet met verborgen bestanden weergeven).

De kans dat je niet door een of ander bent besmet acht ik ondertussen vrij klein. WOS => BV.

Check http://en.wikipedia.org/wiki/Rootkit even

[Duinkonijn]

ah in dat geval zou ik zeggen backup de zooi...
fdisk de tering zooi weg

en try again