Na twee dagen alweer besmet met malware *

[Verwijderd]

Ik heb sinds ik mijn pc weer bij mn ouders heb geinstalleerd na 2 dagen de hele boel alweer vol met spyware. Met McAfee Enterprise vind ik na 12(!!) uur scannen wel het een en ander, maar kan het niet verwijderen. Tijdens typen missen er soms letters, als ik per seconde 1 toets aanraak is het te overzien, maar is eigelijk niet de bedoeling. Mijn processen zijn ook met ruim 10 nieuwe aangevuld, dit vreet gigantisch aan mn fysieke geheugen. svghost.exe vraagt alleen al superveel van mn RAM.
Hieronder mijn HijackThis logfile..Iemand een idee wat de schade kan veroorzaken?
Loop op Vista Ultimate met 1,5 GB RAM, 2x een 3,00 Ghz P4 processor welke allebei als het goed is aan staan. Zou in principe goed moeten draaien toch?

code:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 12:32:43, on 20-5-2008
Platform: Windows Vista  (WinNT 6.00.1904)
MSIE: Internet Explorer v7.00 (7.00.6000.16643)
Boot mode: Normal

Running processes:
F:\Program Files\Windows Defender\MSASCui.exe
F:\Program Files\McAfee\Common Framework\UdaterUI.exe
F:\Windows\ehome\ehtray.exe
F:\Program Files\Windows Media Player\wmpnscfg.exe
F:\Windows\System32\rundll32.exe
F:\Windows\System32\rundll32.exe
F:\Windows\system32\taskeng.exe
F:\Windows\ehome\ehmsas.exe
F:\Windows\system32\rundll32.exe
F:\Windows\system32\rundll32.exe
F:\Windows\system32\conime.exe
F:\Program Files\Internet Explorer\ieuser.exe
F:\Program Files\Internet Explorer\iexplore.exe
F:\Program Files\Common Files\Microsoft Shared\Windows Live\WLLoginProxy.exe
F:\Program Files\Internet Explorer\iexplore.exe
F:\Windows\explorer.exe
F:\Windows\system32\SearchFilterHost.exe
F:\Windows\system32\SearchProtocolHost.exe
F:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.nl/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
O1 - Hosts: ::1 localhost
O2 - BHO: Adobe PDF Reader Help bij koppelingen - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - F:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - F:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: scriptproxy - {7DB2D5A0-7241-4E79-B68D-6309F01C5231} - F:\Program Files\McAfee\VirusScan Enterprise\scriptcl.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Live Aanmelden - Help - {9030D464-4C02-4ABF-8ECC-5164760863C6} - F:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - F:\Program Files\Google\GoogleToolbarNotifier\2.1.1119.1736\swg.dll
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
O4 - HKLM\..\Run: [NvSvc] RUNDLL32.EXE F:\Windows\system32\nvsvc.dll,nvsvcStart
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE F:\Windows\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE F:\Windows\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [MSConfig] "F:\Windows\system32\msconfig.exe" /auto
O4 - HKLM\..\Run: [MSServer] rundll32.exe F:\Windows\system32\pmnlmnKc.dll,#1
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "F:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [ShStatEXE] "F:\Program Files\McAfee\VirusScan Enterprise\SHSTAT.EXE" /STANDALONE
O4 - HKLM\..\Run: [McAfeeUpdaterUI] "F:\Program Files\McAfee\Common Framework\UdaterUI.exe" /StartedFromRunKey
O4 - HKCU\..\Run: [MsnMsgr] "F:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [ehTray.exe] F:\Windows\ehome\ehTray.exe
O4 - HKCU\..\Run: [WMPNSCFG] F:\Program Files\Windows Media Player\WMPNSCFG.exe
O4 - HKCU\..\Run: [DAEMON Tools Lite] "F:\Program Files\DAEMON Tools Lite\daemon.exe" -autorun
O4 - HKCU\..\Run: [MSServer] rundll32.exe F:\Users\Mark\AppData\Local\Temp\byXRlmLD.dll,#1
O4 - HKCU\..\Run: [cmds] rundll32.exe F:\Users\Mark\AppData\Local\Temp\jkkKdDTM.dll,c
O4 - HKCU\..\Run: [BMf7c56215] Rundll32.exe "F:\Users\Mark\AppData\Local\Temp\hqydbpnt.dll",s
O4 - HKCU\..\Run: [0090b739] rundll32.exe "F:\Users\Mark\AppData\Local\Temp\trwucwxk.dll",b
O4 - HKCU\..\Run: [SpybotSD TeaTimer] F:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'NETWORK SERVICE')
O8 - Extra context menu item: E&xport to Microsoft Excel - res://F:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - F:\PROGRA~1\MICROS~3\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - F:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - F:\PROGRA~1\SPYBOT~1\SDHelper.dll
O13 - Gopher Prefix: 
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O22 - SharedTaskScheduler: Windows DreamScene - {E31004D1-A431-41B8-826F-E902F9D95C81} - F:\Windows\System32\DreamScene.dll
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft - F:\Program Files\Lavasoft\Ad-Aware 2007\aawservice.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - F:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: McAfee Framework Service (McAfeeFramework) - McAfee, Inc. - F:\Program Files\McAfee\Common Framework\FrameworkService.exe
O23 - Service: McAfee McShield (McShield) - McAfee, Inc. - F:\Program Files\McAfee\VirusScan Enterprise\Mcshield.exe
O23 - Service: McAfee Task Manager (McTaskManager) - McAfee, Inc. - F:\Program Files\McAfee\VirusScan Enterprise\VsTskMgr.exe
O23 - Service: SBSD Security Center Service (SBSDWSCService) - Safer Networking Ltd. - F:\Program Files\Spybot - Search & Destroy\SDWinSec.exe

--
End of file - 6388 bytes

Bedankt alvast!

[F_J_K]

Wat is je eigen interpretatie van het logfile? Als ik het zo zie ben je idd alweer besmet. Maar:

na 2 dagen

Ik ben toen gestopt met lezen. Nu alweer schoonmaken heeft geen zin. Niet moeilijk doen: netwerkaansluiting er uit, formatteren, installeren, updaten, nu wel fatsoenlijk beveiligen, de nog bestaande backup terugzetten, adminrechten ontnemen, netwerkstekker er weer in, klaar.

offtopic:
Ik heb je topictitel aangepast. 'HijackThis log file hulp nodig!' is wel schreeuwerig maar niet informatief. En da's precies verkeerd om

[ Voor 29% gewijzigd door F_J_K op 20-05-2008 13:03 ]

[Vorak]

wat f_j_k zegt. Hier is geen andere oplossing voor

[Verwijderd]

Ja het probleem is juist dat er nu 4 gebruikers zijn ipv gebruikelijke 1.
Heb er sinds mn verhuizing niks mee gedaan. Heb alle data etc nog op mn computer zoals ie was bij mn oude huis. Enige wat veranderd is, is de internetprovider en dr zit nu een draadloze reciever tussen..

[Verwijderd]

Na het formatteren je ouders verplichten van Firefox te gebruiken. Zal ook een hoop schelen.

[Verwijderd]

@ SYNC4489: Haha goed, zal ik dan ook gaan doen.

Zie het alleen niet zitten, gaan al je series en games..
Maar zit niks anders op ben ik bang.
Voordat ik ga beginnen..Tips over beveiligingssoftware? Of voldoet mn Enterprise met Windows Defender?

[Vorak]

lees je in over administratierechten binnen windows. Maak gebruik van een admin account en een "gebruikers" account met beperkte rechten. Dat zal een hoop schelen.

[Spacecowboy]

Verwijderd schreef op dinsdag 20 mei 2008 @ 13:11:
@ SYNC4489: Haha goed, zal ik dan ook gaan doen.

Zie het alleen niet zitten, gaan al je series en games..
Maar zit niks anders op ben ik bang.
Voordat ik ga beginnen..Tips over beveiligingssoftware? Of voldoet mn Enterprise met Windows Defender?

Je hebt je data op dezelfde schijf staan als je windows install? Niet echt practisch imho. Daarbij, hoe krijg je het voorelkaar om in zo'n korte tijd alweer besmet te raken? Ik scan 1 keer in de drie maanden, en ik heb echt nooit wat...

Tips:

- Gebruik firefox
- Account met beperkte rechten
- Schakel al die ActiveX rommel uit
- Let op waar je klikt. hou het anders lekker bij sites als www.nu.nl e.d. Dan weet je zeker dat je geen rommel binnenkrijgt...

[ Voor 16% gewijzigd door Spacecowboy op 20-05-2008 13:33 ]

[fikkie_84]

Wat je ook kan doen, verwijder McAfee Enterprise en zet er een lightweight scanner op zoals bv nod32/avast/avg.
Verwijder vervolgens ook google, yahoo, whatever toolbar die in internet explorer genest zijn en zet alle accounts zoals hierboven gezegd ook op gelimiteerde accounts.
Had je eigenlijk voor de installatie van twee dagen terug ook vista draaien of was het nog xp?

[F_J_K]

Verwijderd schreef op dinsdag 20 mei 2008 @ 13:11:
Zie het alleen niet zitten, gaan al je series en games..

Naieve antwoord: die staan toch gewoon op DVD/CD?
Reeeler antwoord: die backup je toch gewoon?

Voordat ik ga beginnen..Tips over beveiligingssoftware?

Begin met het afnemen van alle rechten waar men blijkbaar niet mee kan omgaan. Een apart admin-account waar niet iedereen het wachtwoord van heeft. En de rest van de gebruikers gewone user-rechten.
Auto-udpate aanzetten, goede vscanner (daart ook autoupdate aan, let op dat dat ook werkt als men als gewone user inlogt), etc. Er zijn wat oudere discussies hier in BV die je even wil doornemen - maar houd in je achterhoofd dat Vista iets anders werkt dan XP.

Of voldoet mn Enterprise met Windows Defender?

IMHO: nee. Zie de discussies in het grote topic hier in B&V

[leuk_he]

fikkie_84 schreef op dinsdag 20 mei 2008 @ 13:35:
Wat je ook kan doen, verwijder McAfee Enterprise en zet er een lightweight scanner op zoals bv nod32/avast/avg.

Wellicht heb je gelijk, maar belangrijker is bewust te worden dat een scanner maar 90% zekerheid geeft, en dat traing van de gebruiker wellicth belangrijker is.

O4 - HKCU\..\Run: [MSServer] rundll32.exe F:\Users\Mark\AppData\Local\Temp\byXRlmLD.dll,#1
O4 - HKCU\..\Run: [cmds] rundll32.exe F:\Users\Mark\AppData\Local\Temp\jkkKdDTM.dll,c
O4 - HKCU\..\Run: [BMf7c56215] Rundll32.exe "F:\Users\Mark\AppData\Local\Temp\hqydbpnt.dll",s
O4 - HKCU\..\Run: [0090b739] rundll32.exe "F:\Users\Mark\AppData\Local\Temp\trwucwxk.dll",b

Dit moet wel rommel zijn, echter van niet alles is het bepalen.
bv.
Service: Ad-Aware 2007 Service (aawservice) - Lavasoft - F:\Program Files\Lavasoft\Ad-Aware 2007\aawservice.exe
is voor 80% zeker ad-aware, echter het zou me niet verbazen als er processen zijn die zoeiets faken. Dat light er gewoon aan wat je weet dat er geinstalleerd is.