[XP]Automatische Updates kunnen niet aan na infectie*

[Spike_wolf]

Ik zit hier met net zoiets. Ik heb constand bij m'n klok het icoontje staan van het beveiligings centrum, waar staat dat automatische updates uitgeschakeld zijn, en in het beveiligingscentrum kan ik ze niet inschakelen, krijg ik de melding dat ik het handmatig moet doen. Als ik handmatig ga kijken dan zie ik dat automatische updates wel degelijk ingeschakeld zijn.

Ik weet zeker dat dit komt door spyware troep, ik had hier namelijk afgelopen week last van, in combinatie met internet dat niet meer wilde laden, en ongewenste pop-ups en later een wallpaper die veranderd werd naar een melding dat ik last had van virussen, en dat ik hier en daar moest klikken om weet ik het wat voor een software te kopen om er vanaf te komen...
Ook werd zo goed als alles uitgeschakeld, half startmenu, en taakbeheer kon ik niet meer bij.

Als ik inlogde onder een andere gebruiker was er echter niks aan de hand

PC geformatteerd, (mocht wel weer eens na 3 jaar) en windows er opnieuw opgezet.
Ding heeft totaal nog geen 2 uur gedraaid of die troep is weer terug!

Iemand enig idee wat voor een spyware dit is en hoe ik er vanaf kom? Ad-aware en Symantec Antivirus vinden niks.

[alt-92]

Ik heb je post afgesplitst van het topic in Windows Clients omdat het ten eerste een te oud topic was en ten tweede heb jij geheel andere oorzaken en symptomen erbij.

Wel even op letten in het vervolg, refereren met een linkje is prima, maar als je echt een afwijkend probleem hebt is het beter om zelf een topic aan te maken in de correcte hoek.

[Kixtart]

Hijackthis is in deze gevallen wel handig om te zien of er nog iets draait van spyware/virussen.

Staat de automaticupdate-service nog wel aan? (start->uitvoeren->services.msc)

[ Voor 33% gewijzigd door Kixtart op 07-06-2008 16:16 ]

[MuisM4t]

of Hitman pro.

[Polster]

Kijk eens in windowsupdate.log (C:\windows). Hier is misschien iets te vinden waarom WU niet goed werkt. Misschien zijn sommige services niet goed gestart.

[Spike_wolf]

alt-92 schreef op zaterdag 07 juni 2008 @ 16:07:
Ik heb je post afgesplitst van het topic in Windows Clients omdat het ten eerste een te oud topic was en ten tweede heb jij geheel andere oorzaken en symptomen erbij.

Wel even op letten in het vervolg, refereren met een linkje is prima, maar als je echt een afwijkend probleem hebt is het beter om zelf een topic aan te maken in de correcte hoek.

Was misschien handig geweest, maar wellicht dat het bij TS nog niet ver genoeg gevorderd was. bij mij heeft het ook een dag of wat zo gedaan als bij de ts voor het verdere symptomen begon te genereren.

Ik zal idd hitman pro eens draaien.
En een hijack logje maken straks.

[edit]

Kixtart schreef op zaterdag 07 juni 2008 @ 16:13:
Hijackthis is in deze gevallen wel handig om te zien of er nog iets draait van spyware/virussen.

Staat de automaticupdate-service nog wel aan? (start->uitvoeren->services.msc)

automaticheupdate-service staat niet aan. kan hem in services.msc ook niet aan zetten.

Kan de automatische updates-service op Lokale computer niet starten.

Fout 1058: Kan de service niet starten omdat deze is uitgeschakeld of omdat het geen ingeschakelde apparaten met zich heeft verbonden.

[ Voor 29% gewijzigd door Spike_wolf op 07-06-2008 16:30 ]

[Kixtart]

Dit lost het misschien op:
You cannot manually start the Automatic Updates service and you receive an "Error 1058" error message on a computer that is running Windows XP or Windows XP Tablet PC Edition 2005

RESOLUTION
To resolve this problem, follow these steps to enable the Automatic Updates service:
1. Click Start, click Run, type services.msc, and then click OK.
2. In the right pane, double-click Automatic Updates.
3. Click the Log On tab.
4. In the You can enable or disable this service for the hardware profiles listed below box, click the current hardware profile, and then click Enable.
5. Click Apply, and then click the General tab.
6. Click Start, and then click OK.

[ Voor 47% gewijzigd door Kixtart op 07-06-2008 16:35 ]

[Spike_wolf]

Kixtart, daar waar je nu aangeeft staat hij gewoon ingeschakeld.

Hier een hijackthis log:

code:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 11:10:49, on 8-6-2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.5730.0013)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Common Files\Symantec Shared\ccSetMgr.exe
C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
C:\Program Files\Common Files\Symantec Shared\SPBBC\SPBBCSvc.exe
C:\Program Files\Lavasoft\Ad-Aware\aawservice.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Symantec AntiVirus\DefWatch.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Program Files\Symantec AntiVirus\Rtvscan.exe
C:\Program Files\Webroot\Spy Sweeper\SpySweeper.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Program Files\Winamp\winampa.exe
C:\Program Files\UltraMon\UltraMon.exe
C:\Program Files\Common Files\Symantec Shared\ccApp.exe
C:\Program Files\UltraMon\UltraMonTaskbar.exe
C:\PROGRA~1\SYMANT~1\VPTray.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\system32\Rundll32.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\DAEMON Tools Lite\daemon.exe
C:\Program Files\Rainlendar2\Rainlendar2.exe
C:\Program Files\Logitech\SetPoint\SetPoint.exe
C:\Program Files\Samurize\Client.exe
C:\Program Files\Common Files\Logishrd\KHAL2\KHALMNPR.EXE
C:\Documents and Settings\Roel\Bureaublad\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://gathering.tweakers.net/forum/myreact
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [WinampAgent] "C:\Program Files\Winamp\winampa.exe"
O4 - HKLM\..\Run: [UltraMon] "C:\Program Files\UltraMon\UltraMon.exe" /auto
O4 - HKLM\..\Run: [Kernel and Hardware Abstraction Layer] KHALMNPR.EXE
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [vptray] C:\PROGRA~1\SYMANT~1\VPTray.exe
O4 - HKLM\..\Run: [BM73827f3c] Rundll32.exe "C:\WINDOWS\system32\xeydyihi.dll",s
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [DAEMON Tools Lite] "C:\Program Files\DAEMON Tools Lite\daemon.exe" -autorun
O4 - HKCU\..\Run: [Rainlendar2] C:\Program Files\Rainlendar2\Rainlendar2.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Lokale service')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Netwerkservice')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Startup: Client Default.lnk = C:\Program Files\Samurize\Client.exe
O4 - Global Startup: Logitech SetPoint.lnk = C:\Program Files\Logitech\SetPoint\SetPoint.exe
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {2D663D1A-8670-49D9-A1A5-4C56B4E14E84} - (no file)
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {1E54D648-B804-468d-BC78-4AFFED8E262E} (System Requirements Lab) - http://dev.srtest.com/srl_bin/sysreqlab3.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1212690734096
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1212690885127
O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - C:\Program Files\Lavasoft\Ad-Aware\aawservice.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSetMgr.exe
O23 - Service: Symantec AntiVirus Definition Watcher (DefWatch) - Symantec Corporation - C:\Program Files\Symantec AntiVirus\DefWatch.exe
O23 - Service: Logitech Bluetooth Service (LBTServ) - Logitech, Inc. - C:\Program Files\Common Files\Logishrd\Bluetooth\LBTServ.exe
O23 - Service: LiveUpdate - Symantec Corporation - C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: SAVRoam (SavRoam) - symantec - C:\Program Files\Symantec AntiVirus\SavRoam.exe
O23 - Service: PC Tools Auxiliary Service (sdAuxService) - PC Tools - C:\Program Files\Spyware Doctor\pctsAuxs.exe
O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - C:\Program Files\Spyware Doctor\pctsSvc.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\SNDSrvc.exe
O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\SPBBC\SPBBCSvc.exe
O23 - Service: Symantec AntiVirus - Symantec Corporation - C:\Program Files\Symantec AntiVirus\Rtvscan.exe
O23 - Service: Webroot Spy Sweeper Engine (WebrootSpySweeperService) - Webroot Software, Inc. - C:\Program Files\Webroot\Spy Sweeper\SpySweeper.exe

--
End of file - 6497 bytes

[Kixtart]

Naast deze zie ik helemaal niks verkeerd:
O4 - HKLM\..\Run: [BM73827f3c] Rundll32.exe "C:\WINDOWS\system32\xeydyihi.dll",s

Google heeft 0 hits bij 'xeydyihi' en ik heb hem niet op mijn pc erbij staan.

[Spike_wolf]

Hitman Pro heb ik gister avond een keer in normal mode laten draaien, en een keer in safe mode, beide keren wel iets gevonden, maar niks interesants. Het is wel allemaal verwijderd, maar de problemen blijven zich nog voordoen.
Een hoop reclame bij websites, de eerste keer dat je IE opent kan hij geen verbinding maken met websites, FTP clients doen het niet, Steam kan niet connecten, etc.

Ik heb net die xeydyihi.dll weg gegooid uit het opstart rijtje in msconfig.

Heb nu nogsteeds het icoontje van het beveiligingscentrum bij de klok staan met de melding dat automatische updates niet aan staan.
Overige problemen zijn er ook nog...

[tweakerbee]

Ik snap niet hoe je binnen twee uur weer onder die rommel zit. Heb je toevallig een applicatie geinstalleerd die je van internet had gehaald? Probeer even van je downloads af te blijven tot je ze goed doorgelicht hebt met een of twee virusscanners (hiervoor kun je trials downloaden).

Het beste lijkt mij toch weer opnieuw beginnen. Als je eenmaal zo'n vaag probleem hebt en je weet niet precies waar je het zoeken moet of wat er verder allemaal nog gebeurd is (misschien heb je wel een rootkit draaien!?) is het beter om het zekere voor het onzekere te nemen.

[alt-92]

Kixtart schreef op zondag 08 juni 2008 @ 11:26:

Google heeft 0 hits bij 'xeydyihi' en ik heb hem niet op mijn pc erbij staan.

Dacht dat we inmiddels wel genoeg ervaring hebben opgebouwd om te herkennen dat een random 8.3 filename weinig goeds voorspelt, toch?

dusch: je hebt een infectie opgelopen, jammer alleen dat je het ding rucksichtlos verwijdert in plaats van deze bijvoorbeeld door Jotti's scan heen te halen om zo te zien of het een nieuwe variant van iets is, of een bekende.

Dan had je namelijk ook al kunnen achterhalen wat de beste manier is om het ding te verwijderen - in een draaiend systeem loop je grote kans dat het kreng nu al via dll injection weer ergens anders onder een andere naam zichzelf gespawned heeft.

[Spike_wolf]

Nja, waar het binnen 2 uur weer vandaan kwam, ik heb geen idee, in die tijd heb ik amper wat gedaan, alleen drivers enzo geinsalld, het internet amper aan geraakt, en symantec antivirus was een van de eerste applicaties op z'n plek.

Denk toch dat ik windows er nog maar eens op gooi, jammer maar helaas.. hoop wel dat het deze keer wel beter gaat

Jotti's scan heb ik eerlijk gezegd nooit van gehoord

[Verwijderd]

Hoi,

ik ben nieuw hier en niet ervaren (dus bij voorbaat alle excuses voor de fouten die ik ga maken)

Ik reply omdat ik hetzelfde probleem heb en geen idee heb hoe ik dit op moet lossen

Dus tips en trucks zijn van harte welkom.

[Kixtart]

Her-installatie als het precies hetzelfde is

[Spike_wolf]

Nog een herinstallatie heeft het probleem bij mij opgelost idd..
Blijf het vaag vinden dat ie de vorige keer binnen 2 uur weer terug was, maar het systeem draait inmiddels weer een aantal dagen zonder problemen