[XP SP2] exe files (installatie) sluiten automatisch af

[assifv]

Onlangs had ik wat last van spyware. Ik heb dit met Ad Aware in de veilige modus verwijderd.

Nu zit ik met het volgende probleem:

Als ik een exe file open, en in het bijzonder een installatie bestand, dan sluit deze na een paar seconden weer af zonder enige foutmelding te geven. Het lijkt erop dat ik de exe bestanden die ik heb gedownload in de periode dat ik last had van de spyware alleen last hebben van het bovenstaande probleem.

Ik heb internet en GoT afgezocht op dit probleem, maar het lijkt erop dat niemand anders dit ooit gemeld heeft, of diegene moet een andere omschrijving hebben gebruikt. Wie kan mij helpen?

Mijn systeem:

Laptop Asus A6JA, XP SP2

Voor de zekerheid hieronder een Hijack This log:

Logfile of HijackThis v1.99.1
Scan saved at 14:37:53, on 10-1-2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16574)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Intel\Wireless\Bin\EvtEng.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Common Files\LightScribe\LSSrvc.exe
C:\WINDOWS\system32\PSIService.exe
C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe
C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\Tablet.exe
C:\WINDOWS\system32\WTablet\TabUserW.exe
C:\WINDOWS\system32\Tablet.exe
C:\Program Files\ASUS\Power4 Gear\BatteryLife.exe
C:\Program Files\ASUS\Wireless Console 2\wcourier.exe
C:\Program Files\Intel\Wireless\bin\ZCfgSvc.exe
C:\Program Files\Intel\Wireless\Bin\ifrmewrk.exe
C:\Program Files\Intel\Wireless\Bin\EOUWiz.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Program Files\ASUSTeK\ASUSDVD\PDVDServ.exe
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\WINDOWS\system32\iprntlgn.exe
C:\Program Files\QuickTime\qttask.exe
C:\WINDOWS\mgrs.exe
C:\Program Files\JustWrite Office\ScreenMark.exe
C:\WINDOWS\TEMP\win4697.tmp.exe
C:\WINDOWS\lsass.exe
C:\Program Files\LClock\lclock.exe
C:\Program Files\Microsoft ActiveSync\wcescomm.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Logitech\SetPoint\SetPoint.exe
C:\PROGRA~1\Intel\Wireless\Bin\Dot1XCfg.exe
C:\PROGRA~1\MI3AA1~1\rapimgr.exe
C:\Program Files\Microsoft Office\Office\OSA.EXE
C:\Program Files\Last.fm\LastFMHelper.exe
C:\Program Files\Common Files\Logitech\khalshared\KHALMNPR.EXE
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\Microsoft Office\Office12\OUTLOOK.EXE
C:\Program Files\Mozilla Firefox\firefox.exe
C:\WINDOWS\BricoPacks\Vista Inspirat 2\YzShadow\YzShadow.exe
C:\Program Files\Windows Media Player\wmplayer.exe
C:\WINDOWS\system32\iprntlgn.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\iprntctl.exe
C:\WINDOWS\system32\msiexec.exe
C:\Program Files\WinRAR\WinRAR.exe
C:\DOCUME~1\FRANKV~1\LOCALS~1\Temp\Rar$EX00.406\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.asus.com/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 209.129.192.52:80
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O4 - HKLM\..\Run: [Power_Gear] C:\Program Files\ASUS\Power4 Gear\BatteryLife.exe 1
O4 - HKLM\..\Run: [Wireless Console 2] C:\Program Files\ASUS\Wireless Console 2\wcourier.exe
O4 - HKLM\..\Run: [IntelZeroConfig] "C:\Program Files\Intel\Wireless\bin\ZCfgSvc.exe"
O4 - HKLM\..\Run: [IntelWireless] "C:\Program Files\Intel\Wireless\Bin\ifrmewrk.exe" /tf Intel PROSet/Wireless
O4 - HKLM\..\Run: [EOUApp] "C:\Program Files\Intel\Wireless\Bin\EOUWiz.exe"
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe"
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [RemoteControl] "C:\Program Files\ASUSTeK\ASUSDVD\PDVDServ.exe"
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [Kernel and Hardware Abstraction Layer] KHALMNPR.EXE
O4 - HKLM\..\Run: [iPrint Tray] C:\WINDOWS\system32\iprntctl.exe TRAY_ICON
O4 - HKLM\..\Run: [iPrint Event Monitor] C:\WINDOWS\system32\iprntlgn.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [smgr] mgrs.exe
O4 - HKLM\..\Run: [AtiPTA] atiptaxx.exe
O4 - HKLM\..\Run: [JWOSetup] JWOSetup.exe -en
O4 - HKLM\..\Run: [SMKRun] C:\Program Files\JustWrite Office\ScreenMark.exe -i
O4 - HKLM\..\Run: [e425ea68] rundll32.exe "C:\WINDOWS\system32\xvffsbqn.dll",b
O4 - HKLM\..\Run: [avp] C:\WINDOWS\TEMP\win4697.tmp.exe
O4 - HKLM\..\Run: [lsass] C:\WINDOWS\lsass.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKCU\..\Run: [LClock] C:\Program Files\LClock\lclock.exe
O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Program Files\Microsoft ActiveSync\wcescomm.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - Startup: Adobe Gamma.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Startup: Office Opstarten.lnk = C:\Program Files\Microsoft Office\Office\OSA.EXE
O4 - Startup: Last.fm Helper.lnk = C:\Program Files\Last.fm\LastFMHelper.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Logitech SetPoint.lnk = ?
O8 - Extra context menu item: Download all by Free Download Manager - file://C:\Program Files\Free Download Manager\dlall.htm
O8 - Extra context menu item: Download by Free Download Manager - file://C:\Program Files\Free Download Manager\dllink.htm
O8 - Extra context menu item: Download selected by Free Download Manager - file://C:\Program Files\Free Download Manager\dlselected.htm
O8 - Extra context menu item: Download web site by Free Download Manager - file://C:\Program Files\Free Download Manager\dlpage.htm
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~3\Office12\EXCEL.EXE/3000
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~3\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - AutorunsDisabled - (no file)
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MI3AA1~1\INetRepl.dll
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MI3AA1~1\INetRepl.dll
O9 - Extra 'Tools' menuitem: Mobiele favorieten maken - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MI3AA1~1\INetRepl.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\Office12\REFIEBAR.DLL
O11 - Options group: [INTERNATIONAL] International*
O14 - IERESET.INF: START_PAGE_URL=http://www.asus.com
O16 - DPF: {168F7BF2-D5DE-4EBF-9CA1-C59D94D2543C} - http://sselearning.autode...9120C00086018/install.cab
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://gfx1.mail.live.com/mail/w1/resources/MSNPUpld.cab
O16 - DPF: {B2BE75F3-9197-11CF-ABF4-08000996E931} (Autodesk WHIP! Control) - http://www.cadcollege.com/tools/symbolen/whip.cab
O16 - DPF: {EF791A6B-FC12-4C68-99EF-FB9E207A39E6} (McFreeScan Class) - http://download.mcafee.co...an/2,2,0,5203/mcfscan.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{FF720443-C3A6-4EBE-B1C8-64B76939C9C0}: NameServer = 212.45.32.3,212.45.33.3
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - C:\Program Files\Common Files\Microsoft Shared\Help\hxds.dll
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL
O18 - Filter hijack: text/xml - {807563E5-5146-11D5-A672-00B0D022E945} - C:\PROGRA~1\COMMON~1\MICROS~1\OFFICE12\MSOXMLMF.DLL
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Autodesk Licensing Service - Autodesk - C:\Program Files\Common Files\Autodesk Shared\Service\AdskScSrv.exe
O23 - Service: Intel(R) PROSet/Wireless Event Log (EvtEng) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\EvtEng.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Common Files\LightScribe\LSSrvc.exe
O23 - Service: ProtexisLicensing - Unknown owner - C:\WINDOWS\system32\PSIService.exe
O23 - Service: Intel(R) PROSet/Wireless Registry Service (RegSrvc) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe
O23 - Service: Intel(R) PROSet/Wireless Service (S24EventMonitor) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe
O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
O23 - Service: TabletService - Wacom Technology, Corp. - C:\WINDOWS\system32\Tablet.exe

[Haan]

Je kan echt beter meteen een reinstall doen, als je eenmaal hardnekkige spyware hebt binnengehaald, weet je nooit zeker of het helemaal weg is en of je systeem weer helemaal top draait. Herinstallatie is dan zowel sneller als veiliger.

[Mar2zz]

Ik heb dit ook een keer meegemaakt op de laptop van mijn schoonvader. Oorzaak: 2 virusscanners op 1 pc. Door de installatie van Hitman Pro was nod32 geinstalleerd naast Avast. Dubbelklikken op een .exe resulteerde in wat jij ook hebt. Deinstallatie van nod32 was voldoende om van het probleem af te zijn. Wellicht heb jij dit ook?

Ik zie helemaal geen virusscanner in je log... Dom geblaat van mij dus... Ignore

[ Voor 11% gewijzigd door Mar2zz op 10-01-2008 14:48 ]

[assifv]

Het probleem is opgelost, dus er mag een slotje op dit topic.

Ik heb de HijackThis log door http://www.hijackthis.de/ heen gehaald, en die site gaf aan daf de bestanden lsass.exe en mgrs.exe moest verwijderen. Dit gedaan, en nu heb ik er geen last meer van.

@Haan: Een reinstall probeer ik juist te voorkomen, want dat kost volgens mij een hele hoop tijd. Kan je al je programma's opnieuw gaan installeren, instellingen overzetten, enz.

[MAX3400]

assifv schreef op donderdag 10 januari 2008 @ 15:37:
Het probleem is opgelost, dus er mag een slotje op dit topic.

Ik heb de HijackThis log door http://www.hijackthis.de/ heen gehaald, en die site gaf aan daf de bestanden lsass.exe en mgrs.exe moest verwijderen. Dit gedaan, en nu heb ik er geen last meer van.

@Haan: Een reinstall probeer ik juist te voorkomen, want dat kost volgens mij een hele hoop tijd. Kan je al je programma's opnieuw gaan installeren, instellingen overzetten, enz.

Je hebt dus minimaal 1 bestand verwijderd wat door Microsoft geleverd en gebruikt wordt?

[Haan]

MAX3400 schreef op donderdag 10 januari 2008 @ 15:39:
[...]

Je hebt dus minimaal 1 bestand verwijderd wat door Microsoft geleverd en gebruikt wordt?

Nee dat is lsas.exe <- met dus maar 1 's' en niet twee hmm het microsoft proces is wel lsass.exe, dan is de spywareversie met 1 's'.. dus dan heeft de TS óf een typefoutje gemaakt, óf inderdaad de 'Local Security Authentication Server' verwijderd Een bekende truc van spyware progjes om je om de tuin te leiden, net als svhosts.exe bijvoorbeeld, (wat dus heel makkelijk te verwarren is met svhost.exe)

@TS: toch zou ik me niet meer helemaal safe voelen met je huidige installatie, dus als je binnenkort een paar uurtjes over hebt, zou ik toch die reinstall doen hoor.

[ Voor 30% gewijzigd door Haan op 10-01-2008 16:41 ]

[MAX3400]

Haan schreef op donderdag 10 januari 2008 @ 16:38:
[...]

Nee dat is lsas.exe <- met dus maar 1 's' en niet twee hmm het microsoft proces is wel lsass.exe, dan is de spywareversie met 1 's'.. dus dan heeft de TS óf een typefoutje gemaakt, óf inderdaad de 'Local Security Authentication Server' verwijderd Een bekende truc van spyware progjes om je om de tuin te leiden, net als svhosts.exe bijvoorbeeld, (wat dus heel makkelijk te verwarren is met svhost.exe)

Ah, dus lsass.exe die op al mijn servers draait en ook op mijn laptop en ook aanwezig is op de i386 op de XP-CD, is niet van Microsoft?

Jij ziet de fout terwijl ik nog zat te tikken...

[ Voor 5% gewijzigd door MAX3400 op 10-01-2008 16:46 ]

[assifv]

lsass.exe is inderdaad van Microsoft zelf, dit had ik ook al gevonden via Google, maar ergens kwam ik tegen dat spyware een andere lsass.exe in de windows root map installeert, terwijl het exemplaar van Microsoft in \system32 staat.

Ik citeer van tech-faq.com: Nochtans kan lsass.exe soms een trojan paard zijn of downloader vermomd om als een onschuldig proces te kijken.

Het lsass.exe- dossier wordt gevestigd in de omslag System32, of C:\Windows\System32. Als het nergens anders op de harde aandrijving of de computer wordt gevestigd, is het geen wettig programma en onmiddellijk moeten worden geschrapt of zou quaratined. U zou nooit met het dossier moeten schrappen of knoeien als het in de folder system32 wordt gevestigd.

Momenteel draait mijn systeem als een zonnetje. Ik heb voor de zekerheid nog even in de systeemmap gekeken, en daar staat het bestand gewoon, en als ik het taakbeheer open geeft zie ik hem ook staan.

Ik heb nog even verder gezocht, en er schijn ook nog lsasss.exe te bestaan.

@Haan: Reinstall is sowieso slim, want mijn systeem begint traag te worden...

[Haan]

Die tech-faq met babelfish vertaling blijft echt hilarisch