Hijackthis start niet, ook niet na rename

Verwijderd schreef op vrijdag 18 juli 2008 @ 19:38:
Je kunt spybot toch ook laten scannen bij boot. Dus voordat je shell geladen wordt. Dan moet je 'm weg kunnen gooien.

Ja, maar deze .dll heb ik op het oog gevonden. Hij is zeer verdacht en wordt niet automatisch door Spybot herkend. Alle pogingen hem te killen zijn gestrand omdat Winlogon hem lockt en hij daarna gewoon vanuit memory alle pogingen om hem te verwijderen tegengaat.

Ik heb bij de opties van Spybot gekeken, maar ik zie er geen een bij die je in staat stelt om een van te voren aangegeven registry sleutel voor het laden van de shell (en Winlogon) te verwijderen.

Harrie.

SinergyX schreef op vrijdag 18 juli 2008 @ 16:54:
Weet je zeker dat het een link 'naar hun site' was?

Nu weet ik het zeker. Ik heb op mijn laptop even doorgeklikt en kom dan keurig op de site van Spicylemon / Nod32.nl uit.

Harrie

Verwijderd schreef op zondag 20 juli 2008 @ 00:13:
Maar dat HiJackFree die dll niet zag lijkt mij vreemd. Had je gekeken bij; Autostarters > Listige Startups > WinLogon?

Daar heb ik uitgebreid gekekeken, zomaar, maar hij stond er echt niet bij. De enige die hem zag was Spybot Search and Destroy.

Dit was dan ook een van de lessen van deze oefening: er bestaat niet één enkele utility dat alles ziet en alles kan. Maar de twee positieve uitschieters van alle utilities die ik heb geprobeerd zijn Spybot and Malwarebytes' Anti-Malware.

Verder heb ik uitgebreid gemaild met de makers van Spyware Doctor, een commercieel programma dat regelmatig hoog scoort bij allerlei tests. De adbcbebbefca.dll was nog niet bekend en is ook op het net nog niet te vinden. Door zo uitgebreid met jullie hulp dit kreng te bevechten heb ik veel waardevolle informatie aan hen door kunnen geven, waar anderen nu ook van kunnen profiteren.

Nogmaals dank voor je doorslaggevende hulp

Verwijderd schreef op zaterdag 19 juli 2008 @ 22:43:
Als jij meer tijd kwijt bent met het herinstallen van zaken dan heb je gewoon geen recente backup. Weet je wat recent wil zeggen?

Je hebt nu een systeem waarvan je nimmer met zekerheid kunt zeggen dat er geen bestanden zijn aangetast. Je hebt een infectie gehad en die heb je verwijderd maar zekerheid over de integriteit heb je _niet_. Als je een schijf leeggooit en een image terug zet dan heb je meer zekerheid dan een gerepareerde installatie zoals nu.

HlpDsk, ik blijft het fundamenteel oneens met je. De beste methode om je systeem malware vrij te krijgen vind ik nog steeds een clean install van de C: schijf, gevolgd door de laatste updates van het OS en vervolgens een herinstallatie van alle applicaties. Daarna zet je natuurlijk je eigen databestanden terug.

Ik ben het niet met je eens dat het terugzetten van een image van de C: schijf minder kans geeft op het voortbestaan van malware dan de methode die ik in deze thread heb gevolgd. Waarom? Nou, ik maak voor het dagelijkse werk gebruik van NOD32 en SpyWare Doctor with Antivirus. Toen ik met andere utilities probeerde de adbcbebbefca.dll te verwijderen, vonden die en passant nog zo'n 5 a 10 andere malwares die dus zowel door NOD32 als Spyware Doctor waren gemist. Stel je voor dat ik mijn C: schijf vanuit een image had teruggezet, en ik had niet die extra utilities gedraaid, dan waren er dus mooi een aantal fraaie malwares met de backup weer keurig teruggekomen op mijn systeem.

Mijn conclusies uit deze hele exercitie:

1. Doe liever een clean install, dan het terugzetten van een C: image. Tenminste als je echt zeker wilt zijn.
2. Gebruik naast de main-stream anti-virus en anti-malware utilities ook regelmatig andere. Ik vermoed dat je er toch al gauw 3 tot 5 moet gebruiken om enigszins zeker te zijn dat je de meerderheid van de malware wel te pakken hebt.
3. Ondanks 2. hierboven heeft elk systeem op enig moment waarschijnlijk wel enige malware erop staan. Dit is een fact of life want de malware programmeurs en hun bestrijders spelen haasje over, zoals blijkt uit het feit dat die .dll van mij nog niet bekend was.
4. Het actief achter deze malware aangaan heeft mij weer wat geleerd over hoe dit soort dingen te werk gaan en wat je ertegen kunt doen. Bovendien heb ik de informatie aan Spyware Doctor kunnen doorgeven zodat hopelijk anderen er ook weer plezier aan kunnen beleven.
5. Verder overweeg ik een wat strakkere firewall te gaan gebruiken en een registry beschermer.