[Vista]Windows Spelletjes zijn Trojans

[Petervanakelyen]

Een vriend van mij kloeg omdat alle vista spelletjes niet meer werkten, hij kreeg altijd een melding dat een "explorer.exe" niet gevonden kon worden. Wat mij opviel was dat alle symbolen van de spelletjes vervangen waren door een symbool van een dos venstertje. Na een tijdje begon er iets te dagen bij mij en heb ik een malwarescan gedaan (in veilige modus) met volgende tooltjes:

- AVG 7.5 (stond er standaard op en vond niets)
- Avast! (vond niets)
- Windows Defender (vond niets)
- Spybot S&D (vond niets buiten wat cookies)
- Ad-Aware (vond niets)
- CCleaner (203MB verwijderd)

Toen wilde ik, om toch zeker te weten of dat niet het probleem was, nog een Kaspersky Online virusscan doen, en deze vond toch wel een trojan zeker, in alle spelletjes !
Handmatig alle spelletjes (trojans) gedeleted met KillBox en de achtergelaten registerwijzigingen met Spybot S&D TeaTimer geweigerd. De PC werkt terug een heel pak beter, maar ik ben toch nog niet gerust. Daarom een HijackThis logje :

code:

Logfile of Trend Micro HijackThis v2.0.0 (BETA)
Scan saved at 0:32:03, on 1/01/2002
Platform: Windows Vista  (WinNT 6.00.1904)
Boot mode: Normal

Running processes:
C:\Windows\system32\taskeng.exe
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Program Files\Windows Defender\MSASCui.exe
C:\Program Files\Grisoft\AVG7\avgcc.exe
C:\Windows\System32\rundll32.exe
C:\Windows\SOUNDMAN.EXE
C:\Windows\ehome\ehtray.exe
C:\Windows\ehome\ehmsas.exe
C:\Windows\System32\rundll32.exe
C:\Windows\System32\mobsync.exe
C:\Windows\system32\wuauclt.exe
C:\Windows\system32\SearchFilterHost.exe
C:\Windows\system32\Taskmgr.exe
C:\Users\Peter\Downloads\HiJackThis_v2.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.be/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
O1 - Hosts: ::1 localhost
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Live Aanmelden - Help - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVG7\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [NvSvc] RUNDLL32.EXE C:\Windows\system32\nvsvc.dll,nvsvcStart
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKCU\..\Run: [ehTray.exe] C:\Windows\ehome\ehTray.exe
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-19\..\Run: [AVG7_Run] C:\PROGRA~1\Grisoft\AVG7\avgw.exe /RUNONCE (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\Run: [AVG7_Run] C:\PROGRA~1\Grisoft\AVG7\avgw.exe /RUNONCE (User 'SYSTEEM')
O4 - HKUS\.DEFAULT\..\Run: [AVG7_Run] C:\PROGRA~1\Grisoft\AVG7\avgw.exe /RUNONCE (User 'Default user')
O13 - Gopher Prefix: 
O20 - Winlogon Notify: avgwlntf - C:\Windows\SYSTEM32\avgwlntf.dll
O22 - SharedTaskScheduler: Component Categories cache daemon - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\Windows\system32\browseui.dll
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
O23 - Service: AVG7 Resident Shield Service (AvgCoreSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgrssvc.exe
O23 - Service: AVG E-mail Scanner (AVGEMS) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgemc.exe

--
End of file - 3710 bytes

Zou iemand niet eens kunnen kijken of er iets verdacht te bespeuren valt ?

Uiteraard weet ik dat een Re-Install het beste is, maar ik beschik niet over een Vista DVD en mijn vriend heeft deze kwijt gedaan.

PS: Zou iemand misschien de originele Vista spelletjes ergens willen uploaden ? Mijn vriend is verslaafd aan Spider Solitaire...

[Verwijderd]

Deze kan weg:

code:

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

Verder zie ik niks bijzonders

PS: Zou iemand misschien de originele Vista spelletjes ergens willen uploaden ? Mijn vriend is verslaafd aan Spider Solitaire...

Kun je dat niet gewoon herinstalleren via windowsonderdelen in software?

[Petervanakelyen]

Verwijderd schreef op donderdag 06 december 2007 @ 14:12:
Deze kan weg:

code:

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

Verder zie ik niks bijzonders

[...]

Kun je dat niet gewoon herinstalleren via windowsonderdelen in software?

Tja, spijtig genoeg gaat dat echt niet, de originele Vista DVD heeft m'n vriend niet meer (ja, weet het, dat is behoorlijk idioot...). Maar als ik de exe's van de spelletjes terug heb, kan ik met Acronis True Image een image maken van de harde schijf om dan die als "Vista DVD" te kunnen gebruiken in geval van nood.

Bedankt voor die registry entry, trouwens, heb liever alle mogelijke zooi weg vooraleer ik de image maak.