[XP Pro SP3] Nieuwe Blaster/Lovesan variant?

[Da_maniaC]

Hey,

Ik heb hier een laptopje staan voor reparatie wat geinfecteerd lijkt te zijn met een variant van de Blaster/Lovesan worm.
Waarom zeg ik variant? Alle bekende middeltjes tegen deze worm hebben totaal geen effect.

De symptonen zijn echter precies hetzelfde.

Ik heb gezocht op Google maar om mensen met een probleem te vinden dat lijkt op Blaster terwijl het geen Blaster is, is lastig.... ik krijg alleen maar hits op mensen die gewoon Blaster blijken te hebben.

Het systeem wil dus de PC telkens afsluiten wanneer deze is verbonden met internet.
Zie hier:

(Een melding die ook lichtelijk anders lijkt te zijn dan bij Blaster)


Wat heb ik al geprobeerd?
- Met Hijack This alle onnodige startup entries verwijdert. (Er staan er nu nog een stuk of 16 in die allemaal te verklaren zijn).
- Windows systeemherstel uitschakelen
- Evaluatie versie van Norman geinstalleerd en gescanned
- Spyware Doctor up to date, mee gescanned
- F-secure geinstalleerd en mee gescanned
- Hitman Pro 2.6 compleet geupdate en gescanned
- Verschillende fixBlaster/Lovesan tooltjes van Symantec en Kaspersky geprobeerd

(Alle scans zijn zowel in Veilige modus als in normale modus uitgevoerd en tussen alle virusscanners zit de gebruikelijke uninstall oude/install nieuwe software methode om te zorgen dat niets conlicteerd).

Mijn vraag is dus of iemand een idee heeft wat dit kan zijn?

Ik heb de windows installatie verder nagekeken en die is echt helemaal schoon.
(Alle scanners vonden verder ook niets interessants behalve wat cookies).
Het is dan ook noodzaak om de worm te verwijderen en niet het gehele systeem te formatteren/herinstalleren aangezien de installatie ong. 6 maanden oud is nog lekker snel werkt en zeer veel software bevat die, degene waarvan de laptop is dagelijks gebruikt voor werk/vrije tijd.

[Verwijderd]

Heb je een firewall aan?
Zit je achter een router?

BTW, uitvoeren: Shutdown -a en het afsluiten wordt gestopt.

[Da_maniaC]

Verwijderd schreef op vrijdag 05 september 2008 @ 19:48:
Heb je een firewall aan?
Zit je achter een router?

BTW, uitvoeren: Shutdown -a en het afsluiten wordt gestopt.

Nu de laptop hier staat zit deze achter een router met hardware firewall (en de windows firewall die iedere windows pc heeft, echter bied die niet echt bescherming).
De klacht is er nog steeds, firewall of geen firewall.

Dat shutdown -a truckje ken ik nog idd, ik scan echter altijd in Safe mode omdat er dan ook nog nauwelijks processen draaien.

[ Voor 4% gewijzigd door Da_maniaC op 05-09-2008 19:53 ]

[gambieter]

Vanaf BartPE bootdisk scannen? Ik zou zelf echter toch gewoon gaan voor herinstallatie, maar dat is een keuze

Kijk verder ook in Beveiliging & Virussen, dat is waarschijnlijk toch het beste forumdeel voor je vraag?

[rimpeldinky]

volgens google (gegoogled op de foutcode van services.exe) is het een bug in macafee
http://techrepublic.com.c...2&threadID=203038&start=0

[ Voor 4% gewijzigd door rimpeldinky op 05-09-2008 20:13 ]

[Da_maniaC]

rimpeldinky schreef op vrijdag 05 september 2008 @ 20:11:
volgens google (gegoogled op de foutcode van services.exe) is het een bug in macafee
http://techrepublic.com.c...2&threadID=203038&start=0

Het vreemde is alleen dat Mcaffee nog nooit op de laptop heeft gestaan.
Dit weet ik zeker omdat de laptop van een goeie vriend van me is waar ik vaak kom, ik de laptop voor hem heb uitgezocht en een keer opnieuw heb geinstalleerd.

Iemand anders nog suggesties?

[FlipFluitketel]

Volgens mij belde afgelopen week een kennis van me op met het zelfde probleem (ik weet even niet zeker of bij hem in dat countdown-venstertje ook iets stond over services.exe). Maar hij heeft het opgelost met behulp van smitfraudfix.exe en Mbam in veilige modus te laten scannen.

[Petervanakelyen]

Misschien is je services.exe geïnfecteerd ?
Haal deze eens door Jotti's Malwarescan, of Virustotal.

Dit kan bv. met een SLAX live cd waarmee je verbinding maakt met internet en de NTFS partitie benaderd, of met de shutdown -a truck.

Probeer ook eens Uitvoeren --> sfc /scannow --> OK

[ Voor 10% gewijzigd door Petervanakelyen op 06-09-2008 09:15 ]

[Fuelke]

Ik verplaats deze toch even naar Beveiliging & Virussen

[Da_maniaC]

rimpeldinky schreef op vrijdag 05 september 2008 @ 20:11:
volgens google (gegoogled op de foutcode van services.exe) is het een bug in macafee
http://techrepublic.com.c...2&threadID=203038&start=0

Aan de hand van deze post toch maar even de Mcafee cleanup tool (MCPR.exe) gedraaid... geen resultaat helaas.

FlipFluitketel schreef op zaterdag 06 september 2008 @ 09:11:
Volgens mij belde afgelopen week een kennis van me op met het zelfde probleem (ik weet even niet zeker of bij hem in dat countdown-venstertje ook iets stond over services.exe). Maar hij heeft het opgelost met behulp van smitfraudfix.exe en Mbam in veilige modus te laten scannen.

Smitfraudfix.exe heb ik ook al geprobeerd inmiddels samen met Malwarebytes, combofix en trojan_remover.
Maar ik kan het nog een poging geven als het daarmee bij hem gelukt is.
(Kan me niet herinneren dat ik malwarebytes na installeren heb geupdate alvorens te scannen).

Petervanakelyen schreef op zaterdag 06 september 2008 @ 09:13:
Misschien is je services.exe geïnfecteerd ?
Haal deze eens door Jotti's Malwarescan, of Virustotal.

Dit kan bv. met een SLAX live cd waarmee je verbinding maakt met internet en de NTFS partitie benaderd, of met de shutdown -a truck.

Probeer ook eens Uitvoeren --> sfc /scannow --> OK

sfc /scannow ook al geprobeerd inmiddels echter had dat ook geen resultaat.
(For the record: alle updates zijn op de laptop geinstalleerd... SP3 en verder).

Daarnaast heb ik ook de Microsoft Windows Malicious Software Removal tool geprobeerd maar dit deed ook niets helaas.

Ik zal de andere 2 scans eens proberen.

Fuelke schreef op zaterdag 06 september 2008 @ 09:25:
Ik verplaats deze toch even naar Beveiliging & Virussen

Ik dacht er pas aan toen ik al gepost had, dank u.

[ Voor 50% gewijzigd door Da_maniaC op 06-09-2008 12:13 ]

[Da_maniaC]

Heb nu ook explorer.exe en explorer.bak door beide online scanners gehaald.
Geen infecties gevonden.

Heb opnieuw gescanned in normal en safe mode met een up to date versie van malwarebytes en ook met smitfraudfix.exe beide geen resultaat helaas.

Het lijkt erop dat dat ding een trojan te pakken heeft welke nog nergens bekend is.

[TRON]

DJ_The_SP schreef op zondag 07 september 2008 @ 12:33:
Heb nu ook explorer.exe en explorer.bak door beide online scanners gehaald.
Geen infecties gevonden.

Heb opnieuw gescanned in normal en safe mode met een up to date versie van malwarebytes en ook met smitfraudfix.exe beide geen resultaat helaas.

Het lijkt erop dat dat ding een trojan te pakken heeft welke nog nergens bekend is.

Waar komt de explorer.bak vandaan?

[The Eagle]

Probeer voor de gein de Stinger van McAfee eens. Heeft bij mij al vaker rare vormen gevnden en verwijderd

Overigens kun je bij mijn weten bij de meeste antivirusbouwers zelf virii insturen, dus wellicht kun je daar evt ook nog iets mee

[Da_maniaC]

TRON schreef op zondag 07 september 2008 @ 13:21:
[...]

Waar komt de explorer.bak vandaan?

Geen flauw idee... ik zag deze onder boven explorer.exe staan in de windows map.

Verwijderen dan maar?

The Eagle schreef op zondag 07 september 2008 @ 13:29:
Probeer voor de gein de Stinger van McAfee eens. Heeft bij mij al vaker rare vormen gevnden en verwijderd

Overigens kun je bij mijn weten bij de meeste antivirusbouwers zelf virii insturen, dus wellicht kun je daar evt ook nog iets mee

Ja maar de exacte oorzaak (bestand oid) is niet te vinden...
Moet ik ze een image van de gehele schijf sturen?

[ Voor 51% gewijzigd door Da_maniaC op 07-09-2008 13:49 ]

[TRON]

DJ_The_SP schreef op zondag 07 september 2008 @ 13:48:
[...]


Geen flauw idee... ik zag deze onder boven explorer.exe staan in de windows map.

Verwijderen dan maar?

Nee, niet per se. Is de datum van explorer.bak recent? Wellicht draai je nu een aangepaste explorer.exe.

[Da_maniaC]

Hrmmm, ben vergeten om er naar te kijken...
Heb hem inmiddels al wel verwijderd namelijk, maar ook zonder resultaat.

[Da_maniaC]

Heeft iemand anders misschien nog een idee?

[Petervanakelyen]

Post eens een HijackThis logje hier, kan zijn dat je iets hebt over het hoofd gezien ?
Verder alle anti malware programma's erop loslaten die je maar kent.

Hier een lijstje:

AVG 8
Avast
AntiVir
Norman
NOD32
Fortinet
F-Prot
F-Secure
ClamAV
Ewido
Ikarus
Kaspersky
McAfee
Norton
Panda
Prevx CSI
TrendMicro
VBA32
Sophos
BitDefender
MS Defender
Spybot S&D
Ad-Aware
Hitman Pro
Webwasher
VirusBuster
GData
QuickHeal
Authentium

En ga maar voort

En anders moet je eens Windows opnieuw installeren, dat is niet zo'n ramp.
Je kan ook eens proberen met een Linux CD ofzo...

[Da_maniaC]

90% van de scanners die je post zijn echt al geprobeerd.
En we hebben er echt aan toe moeten geven ja.... ik heb de laptop maar opnieuw geinstalleerd.

We zijn nu bijna klaar, omdat ik een backup heb gemaakt van alle documenten en program files etc.
Vriend van me gebruikt erg veel muziekbewerkings programma's die gewoon in hun eigen map de settings bewaren, dus na de setup van het programma kan de backup map eroverheen en klaar.
(Deze mappen los gescanned uiteraard en zijn virus vrij bevonden).

Ding loopt wederom als een zonnetje.... het is nu nog een kwestie van een stuk of 10 programma's/spellen installeren.

Heb AVG er nu op staan. Zal niet de beste live protector zijn die er is, maar hij is wel gratis.

Ook maak ik een Acronis image als we klaar zijn met installeren... dan hebben we een image die ws op een DVDtje past.

[ Voor 12% gewijzigd door Da_maniaC op 12-09-2008 01:15 ]