autorun.worm.c in Taskmon.exe, nu openen externe HDs niet *

[Verwijderd]

Enkele dagen geleden melde ik dat de map documents and settings automatisch opstart na het aandoen van mijn computer. Volgens een moderator kwam dit niet door een virus maar had het iets met clients te maken. Daarop werd de discussie gesloten.

Echter het lijkt hier toch om een virus te gaan. Een virus dat het bestand taskmon.exe in de windows/system32 map zet. Ook wordt in je registry aangegeven dat deze taskmon.exe bij het aandoen van de pc automatisch moet worden opgestart.

Ik heb met McAfee de pc gescanned en deze geeft aan dat het hier om W32/autorun.worm.c gaat. Het bestand Taskmon.exe in de windows/system32 map is in quarantaine gezet. Daarnaast had het bestand zich blijkbaar ook op 2 externe harde schijven geplaatst en deze zijn door McAfee ook in quarantaine gezet.

Het gevolg is nu wel dat ik het volgende probleem heb. Als ik in de verkenner dubbel klik op een externe harde schijf krijg ik het venster 'openen met' i.p.v. dat de schijf zich opent. Weet iemand hoe ik dit weer op kan lossen?

Dank alvast.

[LuckY]

De huidige taskmon verwijderen en een bekende die je vertrouwd het bestand kopiëren.
Maar dat is nog geen verzekering dat je het virus kwijt ben

[Verwijderd]

LuckyY schreef op zondag 20 april 2008 @ 21:46:
De huidige taskmon verwijderen en een bekende die je vertrouwd het bestand kopiëren.

De huidige taskmon bestanden op de externe schijven zijn verwijderd. Een andere taskmon.exe op de harde schijven zetten? Hoort taskmon.exe daar thuis?

[soulrider]

je hebt een bestand gehad van windows zelve dat geinfecteerd is geraakt door een virus, en ipv het te cleanen heeft je anti-virus het nu in quaranteine gezet...

dan heb jij de keuze:
a : je haalt van ergens een virusvrije versie (van de pc van een kennis bv of van de windows cd-rom)
b : je blijft verder werken met die geïnfecteerde versie en deelt je anti-virus mee dat ie hem met rust moet laten

of c : je blijft met die problemen zitten.

enigste oplossing is dus optie a
(of volledig herinstalleren - aka herstelpunt van lang genoeg geleden gebruiken)

of toch nog eentje: zoek een fatsoenlijke verwijder-tool die dat bestand kan cleanen van het gevonden virus ipv alleen maar quarantaine of delete te doen.
maw: Google

en ja, die is daar nodig.
(enkel noemt die op mijn windows XP telkens taskman.exe ipv taskmon.exe)
dus deel ook evne mee wat voor windows-versie je hebt enzo (zo al minstens 2000, XP of 2003 mist de map 'document and settings' bij al de rest niet bestaat - win 9x had dat niet, en bij vista is het in werkelijkheid "c:\users")

edit : en als je vind dat je topic toen onterecht gesloten is dan is het hier de gewoonte van de mod die dat gedaan heeft er even op aan te spreken via shop-a-modje, of via dm - zodat je met dat topic verder kunt ipv een nieuw topic te openen met daarin op de eerste plaats je ongenoegen te uiten.

(al de rest lijkt me standaard: "hoe moet ik een virus van mijn pc krijgen zonder dat ik mijn pc verkloot")

[ Voor 24% gewijzigd door soulrider op 20-04-2008 23:57 ]

[EricJH]

Ik heb net even XP en Vista nagevlooid maar er is geen Windows systeem bestand met de naam taskmon in de system32 map. XP kent een taskmgr en taskman. Vista enkel taskmgr.

Wat gebeurt er als je rechts op een schijf klikt en dan voor openen kiest?

[Verwijderd]

Ik heb XP met SP1. Als ik op de rechter muisknop klik kan ik kiezen voor openen en dat doet ie dan ook. De bovenste keuze is echter 'auto'.

Op zich kan ik de schijf dus wel benaderen, het gaat echter niet op de manier zoals het zou horen te gaan. Ik zal vanavond eens kijken wat er gebeurt als ik de taskman.exe op de externe schijf zet. Voor zover ik begrepen heb is taskmon.exe normaal in de windows map, maar hoort hij niet thuis in de windows/system32 map.

[F_J_K]

offtopic:
Aha Dan had je goed gegokt. Ik pas trouwens de titel hier even aan, omdat ook deze ('Taskmon.exe') zo weinig zegt

En trouwens heeft ook deze vraag niets van doen met de malware an sich, maar met Windows zelf (ongeacht de oorzaak). Maar goed, ik zal het laten staan ipv te verplaatsen, al was het maar om zeker te zijn dat je ook schoon bent.

Inderdaad, Windows heeft een taskMAN.exe, mon kan wegblijven.

Je hebt het stokoude en zo lek als een mandje zijnde SP1: ga eerst SP2 installeren, grote kans dat je problemen dan al weg zijn (als je niet meer bent besmet). Hoe dan ook ben je zo veel te onveilig en ben je morgen weer besmet.

En als dat is gebeurt, draai even hjt etc en geef het (door je geinterpreteerde) log even, dan kunnen we meekijken of er nog wat over is.

[Verwijderd]

Dank je.

Ik zei inderdaad SP1.Sorry, moet SP2 zijn. Ik heb SP2 dus al.

De taskmon.exe bestanden zijn al door McAfee weggehaald. En wel uit de volgende mappen:

c:\windows\system32\taskmon.exe
e:\taskmon.exe
f:\taskmon.exe

Het gaat me er nu om dat ik het scherm 'openen met' niet meer krijg als ik in de verkenner dubbelklik op de E: en F: schijf.
Gek genoeg heb ik geen problemen met de C: en D: schijf.

Een en ander mag gekomen zijn door een virus, maar mocht het antwoord thuis horen in een andere discussie dan hoor ik het graag.

[Petervanakelyen]

Download HijackThis, en laat het een log bestand maken.
Post dit log bestand hier op het forum, uiteraard tussen code tags...

Veel succes

[Verwijderd]

Zo vaak kom ik hier niet dus ik hoop dat het goed is dat ik het hele logbestand hieronder plaats:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 19:26:32, on 21-4-2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16640)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Common Files\Acronis\Schedule2\schedul2.exe
C:\Program Files\Bonjour\mDNSResponder.exe
C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\mscorsvw.exe
C:\Program Files\McAfee\MBK\MBackMonitor.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\McAfee\MSC\mcmscsvc.exe
c:\PROGRA~1\COMMON~1\mcafee\mna\mcnasvc.exe
c:\PROGRA~1\COMMON~1\mcafee\mcproxy\mcproxy.exe
C:\PROGRA~1\McAfee\VIRUSS~1\mcshield.exe
C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Program Files\McAfee\MPF\MPFSrv.exe
c:\PROGRA~1\mcafee.com\agent\mcagent.exe
C:\Program Files\McAfee\MSK\MskSrver.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Program Files\SiteAdvisor\6172\SAService.exe
C:\PROGRA~1\McAfee\MSC\mcregist.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\WINDOWS\system32\RunDll32.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\SiteAdvisor\6172\SiteAdv.exe
C:\Program Files\McAfee\MBK\McAfeeDataBackup.exe
C:\WINDOWS\system32\ctfmon.exe
C:\PROGRA~1\McAfee\VIRUSS~1\mcsysmon.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\FlashGet\flashget.exe
E:\Download\Programma\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.flickr.com/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: Adobe PDF Reader Help bij koppelingen - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {089FD14D-132B-48FC-8861-0048AE113215} - C:\Program Files\SiteAdvisor\6172\SiteAdv.dll
O2 - BHO: flashget urlcatch - {2F364306-AA45-47B5-9F9D-39A8B94E7EF7} - C:\Program Files\FlashGet\jccatch.dll
O2 - BHO: McAntiPhishingBHO - {377C180E-6F0E-4D4C-980F-F45BD3D40CF4} - c:\PROGRA~1\mcafee\msk\mcapbho.dll
O2 - BHO: scriptproxy - {7DB2D5A0-7241-4E79-B68D-6309F01C5231} - C:\Program Files\McAfee\VirusScan\scriptsn.dll
O2 - BHO: FlashGet GetFlash Class - {F156768E-81EF-470C-9057-481BA8380DBA} - C:\Program Files\FlashGet\getflash.dll
O3 - Toolbar: McAfee SiteAdvisor - {0BF43445-2F28-4351-9252-17FE6E806AA0} - C:\Program Files\SiteAdvisor\6172\SiteAdv.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [mcagent_exe] C:\Program Files\McAfee.com\Agent\mcagent.exe /runkey
O4 - HKLM\..\Run: [SiteAdvisor] C:\Program Files\SiteAdvisor\6172\SiteAdv.exe
O4 - HKLM\..\Run: [McENUI] C:\PROGRA~1\McAfee\MHN\McENUI.exe /hide
O4 - HKLM\..\Run: [MBkLogOnHook] C:\Program Files\McAfee\MBK\LogOnHook.exe
O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Lokale service')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Netwerkservice')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: &Ontvang alles met FlashGet - C:\Program Files\FlashGet\jc_all.htm
O8 - Extra context menu item: &Ontvang met FlashGet - C:\Program Files\FlashGet\jc_link.htm
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\Program Files\FlashGet\FlashGet.exe
O9 - Extra 'Tools' menuitem: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\Program Files\FlashGet\FlashGet.exe
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B} (QuickTime Plugin Control) - http://appldnld.apple.com...me/qtactivex/qtplugin.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microso...eb_site.cab?1206687316593
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microso...eb_site.cab?1206687294812
O16 - DPF: {C36112BF-2FA3-4694-8603-3B510EA3B465} (Lycos File Upload Component) - http://f008.mail.lycos.nl/app/uploader/FileUploader.cab
O16 - DPF: {E8F628B5-259A-4734-97EE-BA914D7BE941} (Driver Agent ActiveX Control) - http://plugin.driveragent.com/files/driveragent.cab
O16 - DPF: {EF791A6B-FC12-4C68-99EF-FB9E207A39E6} (McFreeScan Class) - http://download.mcafee.co...an/2,2,0,5277/mcfscan.cab
O23 - Service: McAfee Application Installer Cleanup (0215281208795849) (0215281208795849mcinstcleanup) - McAfee, Inc. - C:\WINDOWS\TEMP\021528~1.EXE
O23 - Service: Acronis Scheduler2 Service (AcrSch2Svc) - Acronis - C:\Program Files\Common Files\Acronis\Schedule2\schedul2.exe
O23 - Service: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762## (Bonjour Service) - Apple Computer, Inc. - C:\Program Files\Bonjour\mDNSResponder.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: MBackMonitor - McAfee - C:\Program Files\McAfee\MBK\MBackMonitor.exe
O23 - Service: McAfee Services (mcmscsvc) - McAfee, Inc. - C:\PROGRA~1\McAfee\MSC\mcmscsvc.exe
O23 - Service: McAfee Network Agent (McNASvc) - McAfee, Inc. - c:\PROGRA~1\COMMON~1\mcafee\mna\mcnasvc.exe
O23 - Service: McAfee Scanner (McODS) - McAfee, Inc. - C:\PROGRA~1\McAfee\VIRUSS~1\mcods.exe
O23 - Service: McAfee Proxy Service (McProxy) - McAfee, Inc. - c:\PROGRA~1\COMMON~1\mcafee\mcproxy\mcproxy.exe
O23 - Service: McAfee Real-time Scanner (McShield) - McAfee, Inc. - C:\PROGRA~1\McAfee\VIRUSS~1\mcshield.exe
O23 - Service: McAfee SystemGuards (McSysmon) - McAfee, Inc. - C:\PROGRA~1\McAfee\VIRUSS~1\mcsysmon.exe
O23 - Service: McAfee Personal Firewall Service (MpfService) - McAfee, Inc. - C:\Program Files\McAfee\MPF\MPFSrv.exe
O23 - Service: McAfee Anti-Spam Service (MSK80Service) - McAfee, Inc. - C:\Program Files\McAfee\MSK\MskSrver.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: SiteAdvisor Service - Unknown owner - C:\Program Files\SiteAdvisor\6172\SAService.exe

--
End of file - 8048 bytes

[Petervanakelyen]

OK, op het eerste zicht lijkt het me dat de infectie inderdaad weg is, of toch gedeeltelijk.
Kijk eens of je het bestand 'taskmgr.exe' en 'taskman.exe' in de C:\WINDOWS\System32\ map nog hebt ?

[Verwijderd]

Ik heb zowel taskman.exe als taskmgr.exe in de c:\windows\system32\ map zitten.

Nog even een vraag. Komen er verborgen bestanden te staan op een externe schijf, nadat deze geformateerd is? Zo ja, welke? Wellicht kan ik deze bestanden dan op de schijf zetten om de situatie op te lossen.

[ Voor 57% gewijzigd door Verwijderd op 22-04-2008 07:28 ]

[soulrider]

misschien eerst eens checken dat er geen autorun.inf aanwezig is op die schijven.
(laat hem ook de verborgen en systeem-bestanden tonen incl. extentie's)

mogelijk veroorzaakt dit je vreemde situatie?

[Verwijderd]

Ik heb er naar gekeken (in weergave de verborgen mappen en bestanden aangevinkt). Ik weet zo niet of de systeembestanden dan ook getoond worden, of dat ik daar nog iets extra's voor moet doen. Er komen geen mappen of bestanden te voorschijn.
Verder heb ik het systeem laten zoeken op autorun.inf. Ook geen resultaat.

[Verwijderd]

Ik heb precies hetzelfde probleem gehad. Heb taskmon.exe nu verwijderd op mijn pc en op mijn externe harde schijf en usb sticks. (heb ook autorun.inf verwijderd op externe harde schijf) Heb nu hetzelfde als Stadjer. Alles werkt opzich goed. usb sticks werkten weer prima na formateren. Alleen als ik mijn externe hardeschijf wil openen krijg ik "openen met". Ben erg benieuwd hoe hoe dit weer normaal te krijgen. (misschien formateren?)

Stadjer, heb je nog een oplossing hiervoor gevonden?

P.S. ik heb al geprobeerd een ander taskmon.exe bestand op de externe hardeschijf te zetten en ook weer autorun.inf. (waarin overigens iets instond over taskmon.exe).maar dit werkte ook niet.

[Verwijderd]

Of weet iemand anders het misschien?

[Verwijderd]

Het is niet de bedoeling dat je een topic al na een paar uur omhoog schopt

[Verwijderd]

Download [color=blue]Combofix[/color] naar je Bureaublad.

OPMERKING: indien je, tijdens of na het downloaden van Combofix of tijdens het gebruik van Combofix een melding krijgt van je Antivirus- of een andere realtime scanner, schakel dan deze scanner uit en download Combofix opnieuw.
Sommige scanners zien bepaalde componenten die Combofix gebruikt als verdacht en gaan deze blokkeren of verwijderen!

• Dubbelklik op [b]Combofix.exe[/b] om het te starten. Indien je Combofix al eerder hebt gebruikt, kan je een waarschuwing krijgen dat een update beschikbaar is. Sta toe dat ComboFix wordt geupdate. Volg de instructies, aanvaard de disclaimer door op [b]Ja[/b] te klikken. Indien de Recovery Console niet geïnstalleerd is, wordt je gevraagd om dit alsnog te doen door op [b]JA[/b] te klikken in het "Query - Recovery Console" venster (enkel voor XP, niet voor VISTA). Klik op [b]OK[/b] en [b]Ja[/b] om automatisch de Recovery Console te laten installeren. Klik na afloop terug op [b]Ja[/b] om het scannen op malware te starten. Tijdens het runnen van de fix, [b]NIET[/b] in het venster klikken, want dit zal je pc doen vasthangen.

Wanneer de fix voltooid is en na herstart, zal de log Combofix.txt openen.

Post dit logje in je volgende antwoord.

[soulrider]

er zijn wellicht genoeg removal tools te vinden via sites van bekende anti-virus-producenten.
(mij lijkt bovenstaande link iets minder betrouwbaar dan eentje van symantec, mcafee, of dergelijken)

ps: aan bovenbuur: geef even een link naar symantec en/of mcafee hun site met eenzelfde tool.
ipv enkel een zip-file zonder enige extra informatie ..

[Verwijderd]

Wonder boven wonder opent mijn externe hdd weer normaal als ik er dubbel op klik. Ik weet nu niet hoe ik het gedaan heb.Misschien omdat de autorun.inf verwijderd is en taskmon. maar dan kreeg dit pas effect na een paar keer aan en uit. allemaal beetje raar. maarja alles is weer normaal dus ik vindt het prima.

Ik dank jullie voor jullie antwoorden maar die zijn dus niet meer nodig.

[Verwijderd]

soulrider schreef op woensdag 28 januari 2009 @ 10:46:
er zijn wellicht genoeg removal tools te vinden via sites van bekende anti-virus-producenten.
(mij lijkt bovenstaande link iets minder betrouwbaar dan eentje van symantec, mcafee, of dergelijken)

Dan weet je welicht niet hoe betrouwbaar Combofix wel is, maar goed.

ps: aan bovenbuur: geef even een link naar symantec en/of mcafee hun site met eenzelfde tool.
ipv enkel een zip-file zonder enige extra informatie ..

Een zip-file ??? Goed gekeken ? Is een exe-file ?

En removaltools van de klassieke anti-virus-producenten ? Je mag ze me altijd even melden.

[soulrider]

Verwijderd schreef op zondag 01 februari 2009 @ 20:50:
[...]
Dan weet je welicht niet hoe betrouwbaar Combofix wel is, maar goed.

een link naar een exe op een site zonder enige echte info .... Link dan volgende keer naar de pagina waar die tool af te halen is, zodat de bijhorende informatie ook direct vindbaar is (ipv dat te quoten). 't kon net zo goed je eigen site zijn met een wat minder betrouwbare .exe ;-)

[...]
Een zip-file ??? Goed gekeken ? Is een exe-file ?

een exe-file dan, who cares... die vraag naar de log-file deed een belletje afgaan...
de vraag naar een log-file is de gewoonte bij hijack-this, niet bij andere tools ...

En removaltools van de klassieke anti-virus-producenten ? Je mag ze me altijd even melden.

blijkbaar heb je ook nooit even gaan kijken bij hun want na 2 kliks hun site's:

Symantec: http://www.symantec.com/b...response/removaltools.jsp
AVG: http://www.avg.com/virus-removal

De juiste eruit halen is iets voor TS.... (of wie last heeft van een virus)
(Bij Symantec staat er ook telkens bij welke aanpassingen er gedaan werden door het virus, en wat er ongedaan wordt gemaakt door de removal tool. Hiermee weet je ook wat er nog te doen is achteraf en is het makkelijker controleerbaar of ie echt weg is)

[ Voor 31% gewijzigd door soulrider op 02-02-2009 12:44 ]