[Vista] Hardnekkige malware

[KneoK]

Ik heb een ontzettend vervelend probleem wat ik maar niet opgelost krijg. Ik heb het vermoeden dat het iets van malware is maar kan mijn vinger er niet op leggen.

De symptomen:
Internetpagina's laden bijna niet meer maar er is geen echte lijn in te trekken. Zoekfuncties zijn permanent gesloopt, ik kan op de voorpagina van Google (yay zoek.nl, de enige die nog werkt) komen maar zoekresultaten verschijnen gewoon niet meer. Hier op GoT kan ik de topics zien, maar zodra ik mijn eigen naam aanklik om wat topics te bekijken blijft de pagina laden maar zoals te zien kan ik hier zonder problemen komen om dit topic te posten. De zoekfunctie hier werkt ook niet meer, na invoeren van keywords blijft de pagina gewoon laden.
De voorpagina van nu.nl laadt netjes, maar linkjes aanklikken resulteert in een lege pagina of een pagina met wat lijkt de stylesheet in plaintext.
Het rare is dat rss feeds wel netjes doorkomen in mijn reader en dat, zoals genoemd, zoek.nl wel zijn werk doet terwijl deze ook zoekmachines als Altavista en Google raadpleegt, maar daar staan de resultaten al op scherm voordat ik met mijn ogen kan knipperen.

Een testje op telegraag.nl levert weer geen enkel probleem op, alles is aan te klikken en verschijnt ook daadwerkelijk.

Het rare is dat ik verder weinig merk. Ik heb geen vervelende popups (fuck ! tijdens het typen van deze post krijg ik verdomme wel een popup, van IE notabene terwijl ik in Firefox aan het typen ben, ik kan in ieder geval Achmed the dead terrorist op mijn mobieltje zetten volgens de spam), de pagina's die wel verschijnen doen het goed, downloaden van newsgroups gaat fullspeed.

Uiteraard ben ik direct alle programma's gaan aanspreken waarvan ik het vermoeden heb dat die het probleem kunnen oplossen (HitmanPro, allerlei andere Spyware cleaners, CCleaner, AVG fullscan gedraaid, zelfs Norton trial z'n werk laten doen).

Hiernaast ben ik alle processen gaan nalopen die draaien en kom drie vreemde rundll's tegen, verder draaien de gebruikelijke 48 processen waarmee ik stuk voor stuk bekend ben.

Aan de hand van de rundll's ben ik in het register gaan spitten en kom daar bij hklm/software/etc/etc/etc/etc/run een tweetal entries tegen die wat mij betreft het probleem veroorzaken:

BM3b1c9180 -- Rundll32.exe "C:\Windows\system32\kpuiypfu.dll",s
382fa21c -- rundll32.exe "C:\Windows\system32\vfhqcaid.dll",b

Als ik alledrie de rundll processen kill dan treedt er weinig verbetering op. De keys verwjderen uit het register helpt he-le-maal niets, sterker nog, op het moment dat ik een andere key-group selecteer in het register en vervolgens weer terug ga naar /run dan staan de entries me gewoon weer aan te staren.

In veilige modus de bijbehorende dll's verwijderd, maar na reboot gewoon weer terug.

Met CCleaner heb ik de entries ook teruggevonden, nadat ik alles verwijderd heb uit het register en reboot kan ik alles weer, maar helaas van korte duur, want bij de volgende reboot (met een beetje geluk pas na de tweede reboot) is het weer terug.

Processorverbruik is minimaal, geen enkel proces neemt meer in dan nodig, de rest gaat netjes naar het idle proces.

Het probleem treedt op in IE en in Firefox, na herinstallatie van Firefox geen verbetering. Mijn hosts bestand is behalve de localhost entries gewoon leeg.

Ik ben ten einde raad en het is op dit moment maar goed dat degene die dit veroorzaakt waarschijnlijk lekker met z'n pootjes omhoog in een of ander warm land zit, want ik heb moordneigingen.

Nergens heb ik iets kunnen vinden, niet op de procesnamen, niet als ik zoek met keywords als spyware, malware, virus, worm en dan in combinatie met broken Google, broken search engines en nog vreselijk veel meer termen die mijn probleem omschrijven. Ook hier op GoT he-le-maal niets wat er op lijkt. Uiteraard ook alles in het Nederlands geprobeerd.

Heb hier een linuxbakkie staan en als ik daar dezelfde sites raadpleeg dan werken ze gewoon vlekkeloos. Heb zelfs mijn router verwijderd om te zien of die problemen veroorzaakt, maar ook rechtstreeks op het modem aangesloten is er niets veranderd.

Wie komt met het verlossende antwoord en helpt mij mijn grootste wens waarmaken, niet opnieuw installeren

[Petervanakelyen]

Kijk, een herinstallatie is altijd het beste als je een dergelijke infectie hebt.
Uiteraard vind je de namen van de DLL's niet terug, deze zijn random gegenereerd.

Post eens een HijackThis logfile.
Aan de hand daarvan kunnen wij kijken welke infectie heeft plaatsgevonden.

Draai trouwens die Anti Spyware programma's eens in Administrator Mode, want dat wil ook wel eens helpen, onder Vista.

En gooi Norton er maar lekker weer af, want dat is de grootste zooi die je op je PC kan hebben.
En immuniseren met Spybot S&D, met TeaTimer.

TeaTimer in Spybot S&D zal een melding geven als 'iets' de DLL entries terug in het register wil steken, en deze kan je weigeren, zodat de DLL's toch niet automatisch worden gestart.

Veel Succes

[KneoK]

Norton was inderdaad een wanhoopsdaad Voor wat betreft de random DLL's, ik weet dat ze zo werken, maar over het algemeen kom je met een combinatie van zaken die opvallen wel ergens uit. En het rare is, de registersleutels waren niet random, elke keer als ik ze verwijderde dan kwamen ze met dezelfde naam terug, vandaar dat ik het vreemd vond er niets op te kunnen vinden.

Maar ik denk dat ik weer schoon ben, alles werkt weer prima, Hijackthis logjes zien er goed uit, HitmanPro, Spybot en consorten geven geen meldingen meer en AVG vindt niets meer.

Ik krijg bij opstarten nu wel twee meldingen van missende DLL's (de boosdoeners) dus ik ben nog even aan het spitten naar de verwijzingen naar de bestanden om die meldingen ook weg te krijgen.

Ik ben er in ieder geval achtergekomen dat het een hardnekkige Vundo was die onder andere roet in het eten gooide.

Administrator was ik al, dus daar lag het niet aan. Ik ben in ieder geval in veilige modus alles weer gaan draaien, AVG als eerste, HitmanPro erachteraan, aparte run Spybot, twee Vundo fixes gedraaid, CCleaner even in opstarten en register laten zoeken en gekeken naar geinstalleerde software (wat in CCleaner iets uitgebreidere resultaten oplevert).
Gereboot, weer in veilige modus opnieuw AVG en Hitman laten draaien die niets meer konden vinden en nu ziet het er goed uit.

Heb de twee registerverwijzingen naar de DLL's nu verwijderd, ze komen niet meer terug als ik register sluit en opnieuw open en na een reboot zal ik zien of ook de meldingen wegblijven.

Allemaal niet leuk met ruim 1.4 miljoen bestanden die gescand moeten worden, ben een flink aantal uurtjes in de weer geweest.

In ieder geval bedankt voor je reactie

[Petervanakelyen]

Je moet, om die DLL meldingen weg te krijgen, het volgende doen:

Druk op "Windowstoets + R" en typ:

"msconfig"

Maar natuurlijk zonder aanhalingstekens.

Bij de melding of je wil doorgaan, klik op 'Doorgaan' (UAC)
Bij het tabblad "Opstarten" kan je het vinkje bij die DLL's weg halen, samen met andere applicaties die je niet automatisch wil laten opstarten.

Gelukt ?

[KneoK]

Weet wel aardig mijn weg in Windows. Heb handmatig een aantal register entries verwijderd en heb CCleaner en een register tooltje de rest van het werk laten doen.

Ach, heb van de week een OEM x64 aangeschaft vanwege 4gig zodat ik Maya wat meer ruimte kan geven, had alleen nog een excuus nodig om te installeren Ik denk dat ik in eerste instantie even een dualboot maak, kijken of het bevalt (zou niet weten waarom niet trouwens).

Bedankt voor je hulp ! De huidige installatie werkt weer zoals je mag verwachten van een installatie van iets langer dan een half jaar oud.