Kan infectie niet vinden

[Tommy The Cat]

Een aantal dagen terug werd ik bij de laptop van m'n vader geroepen omdat zijn computer duidelijk geinfecteerd was. Er kwamen pop-ups, zelfs als je niet in IE aan het browsen was. Daarnaast vond NOD32 regelmatig virussen.

Met hijackthis heb ik de nasty exe en dll bestanden kunnen lokaliseren. Vervolgens heb ik deze handmatig verwijderd (nog met behulp van process killer) door naar deze bestanden en mogelijke varianten daarvan te zoeken terwijl uiteraard de verborgen bestanden werden weergegeven. Eveneens heb ik via msconfig e.e.a. uit de opstartmodus gehaald. Daarnaast heb ik met NOD32 een deep system scan gemaakt, de TEMP mapjes leegehaald, de IE beveiligingen (onder internetopties) weer op standaard gezet, enz... Alles dat hijackthis heeft gevonden is nu weg. De agressieve pop-ups zijn ook weg.

Maargoed. De problemen zijn dus nog niet volledig weg. Als ik met IE een zoekterm in google intik en voor de eerste keer op die zoekterm een hit aanklik, dan word ik doorverwezen naar een ongewenste website. Twee voorbeelden:

<kan de voorbeelden niet uploaden omdat ik GEEN toegang krijg tot mijn webspace>

Eveneens krijgt deze laptop met enige regelmaat een foutmelding als je in de explorer werkt. Zie hier een foutmelding die ik zojuist nog kreeg:

<kan het voorbeeld niet uploaden omdat ik GEEN toegang krijg tot mijn webspace>
Omschrijving foutmelding:
De instructie op 0x3644342d verwijst naar geheugen op 0x3644342d. De lees- of schrijfbewerking "read" op het geheugen is mislukt.

Tot slot wil deze computer geen schijfopruiming uitvoeren. Tijdens het berekenen krijg ik de volgende melding:



Wat te doen? Helaas heb ik m'n log die alle infecties weergaf reeds weggegooid, ik dacht immers dat ik klaar was. Het enige dat ik nog weet is dat de laptop o.a. geinfecteerd was met winanonymous dat ik gedeinstalleerd heb, uit msconfig heb gehaald, enz..

M'n huidige hijackthis log:

code:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 20:39:22, on 11-5-2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16640)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Intel\Wireless\Bin\EvtEng.exe
C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Common Files\LogiShrd\LVMVFM\LVPrcSrv.exe
C:\Program Files\TOSHIBA\ConfigFree\CFSvcs.exe
C:\Program Files\Diskeeper Corporation\Diskeeper\DkService.exe
C:\Program Files\Common Files\LogiShrd\LVCOMSER\LVComSer.exe
C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Program Files\Eset\nod32krn.exe
C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Toshiba\TOSHIBA Applet\TAPPSRV.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\Program Files\Toshiba\Toshiba Applet\thotkey.exe
C:\Program Files\TOSHIBA\Tvs\TvsTray.exe
C:\Program Files\TOSHIBA\TOSHIBA-zoomutility\SmoothView.exe
C:\Program Files\Intel\Wireless\bin\ZCfgSvc.exe
C:\Program Files\Intel\Wireless\Bin\ifrmewrk.exe
C:\Program Files\Eset\nod32kui.exe
C:\Program Files\HP\hpcoretech\hpcmpmgr.exe
C:\WINDOWS\system32\cselect.exe
C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
C:\Program Files\Common Files\LogiShrd\LComMgr\Communications_Helper.exe
C:\Program Files\Logitech\QuickCam\Quickcam.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\TOSHIBA\TOSCDSPD\toscdspd.exe
C:\Program Files\Microsoft ActiveSync\wcescomm.exe
C:\Program Files\Toshiba\Bluetooth Toshiba Stack\TosBtMng.exe
C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
C:\PROGRA~1\MI3AA1~1\rapimgr.exe
C:\PROGRA~1\Intel\Wireless\Bin\Dot1XCfg.exe
C:\Program Files\Toshiba\Bluetooth Toshiba Stack\TosA2dp.exe
C:\Program Files\Toshiba\Bluetooth Toshiba Stack\TosBtHsp.exe
C:\Program Files\Common Files\Logishrd\LQCVFX\COCIManager.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\Program Files\MSN Messenger\usnsvc.exe
C:\WINDOWS\system32\igfxsrvc.exe
C:\WINDOWS\explorer.exe
C:\Program Files\Opera\Opera.exe
C:\Documents and Settings\Jasper\Bureaublad\HiJackThis.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: DriveLetterAccess - {5CA3D70E-1895-11CF-8E15-001234567890} - C:\WINDOWS\System32\DLA\DLASHX_W.DLL
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [THotkey] C:\Program Files\Toshiba\Toshiba Applet\thotkey.exe
O4 - HKLM\..\Run: [Tvs] C:\Program Files\TOSHIBA\Tvs\TvsTray.exe
O4 - HKLM\..\Run: [SmoothView] C:\Program Files\TOSHIBA\TOSHIBA-zoomutility\SmoothView.exe
O4 - HKLM\..\Run: [IntelZeroConfig] "C:\Program Files\Intel\Wireless\bin\ZCfgSvc.exe"
O4 - HKLM\..\Run: [IntelWireless] "C:\Program Files\Intel\Wireless\Bin\ifrmewrk.exe" /tf Intel PROSet/Wireless
O4 - HKLM\..\Run: [nod32kui] "C:\Program Files\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [Gtz] "C:\Program Files\Postbank\Girotel Zakelijk 5.0\Gtz.exe" preload
O4 - HKLM\..\Run: [HP Component Manager] "C:\Program Files\HP\hpcoretech\hpcmpmgr.exe"
O4 - HKLM\..\Run: [Cselect] C:\WINDOWS\system32\cselect.exe
O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [LogitechCommunicationsManager] "C:\Program Files\Common Files\LogiShrd\LComMgr\Communications_Helper.exe"
O4 - HKLM\..\Run: [LogitechQuickCamRibbon] "C:\Program Files\Logitech\QuickCam\Quickcam.exe" /hide
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [TOSCDSPD] C:\Program Files\TOSHIBA\TOSCDSPD\toscdspd.exe
O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Program Files\Microsoft ActiveSync\wcescomm.exe"
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Lokale service')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Netwerkservice')
O4 - HKUS\S-1-5-21-783197659-992435019-3877665690-1006\..\Run: [TOSCDSPD] C:\Program Files\TOSHIBA\TOSCDSPD\toscdspd.exe (User 'Bert')
O4 - HKUS\S-1-5-21-783197659-992435019-3877665690-1006\..\Run: [H/PC Connection Agent] "C:\PROGRA~1\MI3AA1~1\wcescomm.exe" (User 'Bert')
O4 - HKUS\S-1-5-21-783197659-992435019-3877665690-1006\..\Run: [MsgCenterExe] "C:\Program Files\Common Files\Real\Update_OB\RealOneMessageCenter.exe"  -osboot (User 'Bert')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [WUAppSetup] C:\Program Files\Common Files\logishrd\WUApp32.exe -v 0x046d -p 0x08da -f video -m logitech -d 11.5.0.1145 (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [WUAppSetup] C:\Program Files\Common Files\logishrd\WUApp32.exe -v 0x046d -p 0x08da -f video -m logitech -d 11.5.0.1145 (User 'Default user')
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Bluetooth Manager.lnk = ?
O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_04\bin\npjpi150_04.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_04\bin\npjpi150_04.dll
O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MI3AA1~1\INetRepl.dll
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MI3AA1~1\INetRepl.dll
O9 - Extra 'Tools' menuitem: Mobiele favorieten maken - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MI3AA1~1\INetRepl.dll
O9 - Extra button: Onderzoek - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O16 - DPF: {DE591B16-A452-11D6-AED1-0001030A4E46} (PBGNX Control) - https://gto.postbank.nl/GTO/PBGNX.cab
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ConfigFree Service (CFSvcs) - TOSHIBA CORPORATION - C:\Program Files\TOSHIBA\ConfigFree\CFSvcs.exe
O23 - Service: Diskeeper - Diskeeper Corporation - C:\Program Files\Diskeeper Corporation\Diskeeper\DkService.exe
O23 - Service: Intel(R) PROSet/Wireless Event Log (EvtEng) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\EvtEng.exe
O23 - Service: LVCOMSer - Logitech Inc. - C:\Program Files\Common Files\LogiShrd\LVCOMSER\LVComSer.exe
O23 - Service: Process Monitor (LVPrcSrv) - Logitech Inc. - C:\Program Files\Common Files\LogiShrd\LVMVFM\LVPrcSrv.exe
O23 - Service: LVSrvLauncher - Logitech Inc. - C:\Program Files\Common Files\LogiShrd\SrvLnch\SrvLnch.exe
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset  - C:\Program Files\Eset\nod32krn.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\HPZIPM12.EXE
O23 - Service: Intel(R) PROSet/Wireless Registry Service (RegSrvc) - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe
O23 - Service: Intel(R) PROSet/Wireless Service (S24EventMonitor) - Intel Corporation  - C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe
O23 - Service: TOSHIBA Application Service (TAPPSRV) - TOSHIBA Corp. - C:\Program Files\Toshiba\TOSHIBA Applet\TAPPSRV.exe

[ Voor 100% gewijzigd door Tommy The Cat op 11-05-2008 21:34 ]

[Bitage]

Zet even de HJT-log in

code:

[code][/]

tags, leest makkelijker en houd de boel schoon. Scan ook eens met een berg andere AV programma's of gebruik Hitman Pro (meuk: Hitman Pro 2.7.0.0 RC1).

[Anoniem: 255280]

Bitage schreef op zondag 11 mei 2008 @ 21:27:
Zet even de HJT-log in

code:

[code][/]

tags, leest makkelijker en houd de boel schoon. Scan ook eens met een berg andere AV programma's of gebruik Hitman Pro (meuk: Hitman Pro 2.7.0.0 RC1).

Ik ben ook lange tijd gebruiker geweest van het Hitman pakket, maar moet zeggen dat ik er de laatste tijd helemaal niet meer teverden van was. Hangende applicaties omdat het script van Hitman flipte en dergelijke...

Zelf ben ik van Hitman afgestapt en gebruik nu en dan

http://www.superantispyware.com/

om de boel eens te controlleren. En mijn ervaring op 'vuile' pc's is dat dit programma sneller en betere resultaten geeft dan Hitman.

[Frankie02]

Ik gebruik deze wel eens bij sommige kennissen:

http://housecall.trendmicro.com/housecall

[gambieter]

Al eens een BartPE Live CD gemaakt, daar een aantal spyware-scanners op gezet. Mogelijk kan je daar rootkits e.d. weghalen? Daarnaast is het misschien geen slecht idee te herinstalleren.

[Tommy The Cat]

Hitman Pro: er wordt nogal veel trial spul geinstalleerd, maar ik zal het overwegen.

Superantispyware: als ik ga updaten, of het programma ga gebruiken, dan valt het programma ineens weg.

Housecall.trendmicro: op het moment dat ik ga scannen valt heel IE ineens weg.

BartPe Live CD, rootkits e.d.: dit is algebra voor me.

Dat e.e.a. zomaar wegvalt is helemaal geen goed teken. Een volledige herinstallatie is misschien noodzakelijk inderdaad. Dat is wel de laatste uitweg omdat m'n pa veel zakelijke programma's gebruikt en nogal allergisch is voor herinstallaties uit angst dat hij gegevens verliest .

[gambieter]

Tommy The Cat schreef op zondag 11 mei 2008 @ 22:06:
BartPe Live CD, rootkits e.d.: dit is algebra voor me.

Zie Wikipedia: BartPE en Wikipedia: Rootkit. Rootkits zijn verborgen voor het Operating Systeem (Windows in dit geval) en worden daardoor ook niet door de virusscanner gezien als deze via het OS werkt, maar mogelijk wel vanaf een Live CD (opstart CD waar het hele OS op staat). Lees je verder in met de links, en maak er eentje op je eigen PC.

Een volledige herinstallatie is misschien noodzakelijk inderdaad. Dat is wel de laatste uitweg omdat m'n pa veel zakelijke programma's gebruikt en nogal allergisch is voor herinstallaties uit angst dat hij gegevens verliest .

Als je pa erg zuinig is op zijn data, dan maakt hij natuurlijk dagelijks een backup en heeft hij een image van een werkende, schone installatie. Blijkbaar niet, en dan is het toch iets als billen branden, blaren zitten .

Misschien is het goed om je pa ook iets te onderwijzen in zakelijk computeren, of hem advies laten inwinnen

[KillerAce_NL]

Tommy The Cat schreef op zondag 11 mei 2008 @ 22:06:
Hitman Pro: er wordt nogal veel trial spul geinstalleerd, maar ik zal het overwegen.

Superantispyware: als ik ga updaten, of het programma ga gebruiken, dan valt het programma ineens weg.

Housecall.trendmicro: op het moment dat ik ga scannen valt heel IE ineens weg.

BartPe Live CD, rootkits e.d.: dit is algebra voor me.

Dat e.e.a. zomaar wegvalt is helemaal geen goed teken. Een volledige herinstallatie is misschien noodzakelijk inderdaad. Dat is wel de laatste uitweg omdat m'n pa veel zakelijke programma's gebruikt en nogal allergisch is voor herinstallaties uit angst dat hij gegevens verliest .

Dan moet je pa toch eens leren om met een zakelijke pc wat voorzichtiger te doen. Je raakt niet zomaar besmet, dus voor de volgende keer beter oppassen !

Er is duidelijk nog een vies iets aanwezig, gezien deze smart genoeg is om een online scanner er uit te donderen.
Denk ook aan een rootkit of een erg smerig botje.

[Pimmerd]

Je hebt geen 02 en 020 regels in je logfile staan, dat wijst op een Vundo infectie.
Je zou Combofix of MBAM eens kunnen proberen.

[Anoniem: 194828]

MBAM = Malwarebytes' Antimalware, kun je o.a. hier downloaden; http://www.besttechie.net/tools/mbam-setup.exe
Updaten en scannen maar.

Ook is er al geruime tijd een nieuwe versie van NOD32 beschikbaar, versie 3.

[Tommy The Cat]

Inmiddels is het gelukt om superantispyware te laten draaien (geen speciale handelingen verricht). Deze heeft maarliefst 67 infecties gedetecteerd en verwijderd. Daarna was ik ook in staat housecall trendmicro te draaien. Deze vond 3 infecties en zijn verwijderd. Daarna NOD32 nog een in depth analyses laten uitvoeren, niks gevonden.

De IE pop-ups bij het aanklikken van een hit via google is weg. De schijfopruiming is weer uit te voeren en explorer heeft vooralsnog geen fouten meer gegeven. Daarnaast lijkt het erop dat diskeeper in tegenstelling tot eerst plots een aantal system files heeft kunnen defragmenteren. Daarvoor had ik dit topic geopend, wellicht dat het verband houdt, wellicht dat het toeval is.

Met andere woorden lijkt het erop dat de pc schoon is. Ik zal de nieuwe versie van NOD32 binnenhalen en de laptop uitrusten met wat goede en up to date anti-spyware programma's.

Verder zal ik adviseren zo min mogelijk met IE te browsen en bv Opera te gebruiken waar ik overigens zelf goede ervaringen mee heb: geen virus scanner, geen anti spyware programma's, maar nog nooit rotzooi op de pc gehad. Natuurlijk ligt dat ook aan je eigen gedrag. Opera is niet zo'n populaire browser als IE of FF, vandaar dat er logischerwijs minder aanvallen zijn.

Het backuppen van data wordt al met enige regelmaat uitgevoerd, maar er is nog geen zekerheid/overzicht over het weer kunnen operationaliseren van bepaalde zakelijke programma's na bv een herinstallatie. Daar zal m'n pa zich ook over moeten buigen.

[ Voor 3% gewijzigd door Tommy The Cat op 12-05-2008 14:13 ]

[gambieter]

Tommy The Cat schreef op maandag 12 mei 2008 @ 14:09:
Het backuppen van data wordt al met enige regelmaat uitgevoerd, maar er is nog geen zekerheid/overzicht over het weer kunnen operationaliseren van bepaalde zakelijke programma's na bv een herinstallatie. Daar zal m'n pa zich ook over moeten buigen.

Mooit dat het opgelost lijkt te zijn. Aangaande installatie van programma's, daar is een image voor, zoals je maakt met Acronis TrueImage of Norton Ghost. Beide programma's zijn het geld meer dan waard.

[Anoniem: 194828]

Het kan geen kwaad om ook even te scannen met Malwarebytes' Anti-Malware.

Wat backuppen betreft is het misschien een beter idee om een backup programma te gebruiken dat een image (exacte kopie) van een partitie/schijf maakt. Stel je maakt een image van de systeemschijf waar ook alle software op is geïnstaleerd, dan kun je bij problemen gewoon de image terugzetten en het systeem (en zakelijke software) werkt weer exact hetzelfde als op het moment dat de image gemaakt is.

Wanneer je alléén een backup van data maakt en bij problemen het systeem gaat formatteren en alle software weer opnieuw moet installeren ben je erg veel tijd kwijt en is het vaak nog lastig ook om alle instellingen van de software weer zo te zetten als voorheen.

Een image maken kost iets van 10 minuten, beetje afhankelijk van 't systeem natuurlijk. Met zulke backup software is het ook mogelijk om een bootdisk te maken waarmee het systeem dan kan worden opgestart om de image weer terug te zetten. Als je de software ergens in de winkel koopt zit er meestal een bootable cd/dvd bij.

[Anoniem: 194828]

...ik moet wat sneller typen...

[Tommy The Cat]

Ok gambieter en zomaar, ik zal jullie adviezen in acht nemen. Ik zal malwarebytes' Anti-Malware nog laten draaien en ik zal me verdiepen in het maken van een image van de systeemschijf, dat klinkt namelijk als muziek in de oren!!

Bedankt voor alle suggesties.

[Anoniem: 194828]

De image NIET bewaren op een partitie van dezelfde harde schijf natuurlijk. Denk je een goede backup te hebben en dan gaat (met dit warme weer) opeens je schijf stuk....

[Tommy The Cat]

Komt op een externe

[Tommy The Cat]

Malwarebytes' Anti-Malware heeft alsnog 12 geinfecteerde onderdelen gevonden, waaronder nog wat overblijfselen van winanonymous. Dat was dus geheel niet overbodig!

Ik zal de pc uitrusten met:
- NOD32 (up to date)
- Superantispyware (misschien de betaalde versie)
- Malwarebytes' Anti-Malware
- Hijackthis (voor als het mis gaat)
- Process Killer (voor als het mis gaat)

En dan zijn we een heel eind .