[XP] [SP2 en sp3] Explorer.exe start niet op met windows

[Beetlejuise]

Goedendag,

Van de week op 3 verschillende pc's mogen meemaken dat er een virus op zat.
Op alle 3 de pc's het virus verwijdert, 2 met NOD32 en 1 pc met trensmicro housecall.
Alleen na het verwijderen en rebooten geven alle 3 de pc's geen taakbalk en iconen meer weer in windows.
Het handmatig explorer.exe starten met ctrl alt del uitvoeren geeft dat explorer niet gevonden kan worden. Explorer.exe staat alleen gewoon in de windows map.
Op 1 pc heb ik een windows installatie als reparatie erover heen gegooid, alleen dat gaf bij die pc nog steeds hetzelfde beeld. Daarna internet explorer 7 erop gezet aangezien die toch wat verweven is in het OS zonder resultaat. Daarna SP3 er nog op gezet, helaas ook zonder resultaat.

Bij mij thuis had ik het ook, terwijl NOD gewoon draaide...
NOD zag het virus wel na het scannen, alleen liet het ondertussen wel gewoon zijn evil job doen...
Dus uit pure armoede bij mij thuis maar een nieuwe windows erop gezet.

En nu vandaag op mijn werk heeft mijn pc nu ook geen taakbalk etc. meer...
Afgelopen vrijdag had ik nog snel alle virus troep er van afgegooid en dat leverde me dus vandaag een slecht humeur op.

Ik heb op mijn werk pc een herstel punt van 2 weken terug genomen en die gaf geen resultaat.
Ik heb zo'n scf /scannow gedaan ofzo, hij gaf rustig aan dat alles nagekeken werd, alleen ook geen resultaat na reboot.
En er was nog zo'n tooltje die ik op internet vond om taskbar te repairen, helaas ook zonder resultaat.

Het is absoluut belangrijk dat ik windows er niet opnieuw hoef op te zetten aangezien er verschillende programma's op staan die zeer moeilijk te installeren zijn.
Verder is dit nou ook niet echt mijn pc maar die van een collega die volgende week weer terug komt.

En op de vraag waar het virus weg komt kan ik zeggen dat mijn usb stick de oorzaak was.
Bij mij thuis zou ik die even opschonen maar helaas had ik teveel vertrouwen in NOD.
En ik heb hem op mijn werk opgelopen door abusievelijk een spam mail te openen met een exe erin.
Het Braviax virus was toen onderandere 1 van de virussen die erop werd gezet.
Zover ik begreep gaat die dan andere virussen toegang geven tot het systeem.

Er is maar op 1 pc trendmicro gebruikt dus Windows explorer.exe verdwenen is niet relevant op dit topic...
Verder, zoals eerder gezegd, handmatig explorer.exe starten geeft de foutmelding dat explorer niet gevonden kan worden.. Explorer.exe staat wel gewoon in de windows map.


In ieder geval bij voorbaat dank voor uw input over dezen...

[ Voor 195% gewijzigd door Beetlejuise op 08-09-2008 21:58 ]

[alt-92]

Dus, een virus komt binnen, wordt onderschept en vervolgens wordt de Explorer.exe (waar je met DLL injection leuke dingen mee kan uitvreten) door je scanner eruit gegooid - of door de malware zelf.

Dan nog snap ik niet helemaal dat je dit in [WOS] neerzet, want dat lijkt me nou bij uitstek een topic waar je in Beveiliging & Virussen beter mee op je plek bent

Ik verplaats 'm daarnaartoe. Overigens mag je als je twijfelt, of dat je vind dat we er naast zitten, ons ook gewoon even mailen of een Direct Message sturen.
Dat is denk ik wat handiger dan plompverloren gewoon wéér je topic openen

[Beetlejuise]

Mjah je hebt gelijk over het opnieuw openen, alleen ik ben 4 dagen met deze onzin her en der al bezig geweest, en ik had zelf niet echt het idee dat ik zomaar lukraak een topic aan het openen was..
Volgens mij heb ik ondertussen alle internet pagina's over niet opstartende explorer.exe wel gehad.
Dus toen mijn topic direct weer op slot zat werd ik even niet vrolijk...

Volgens mij ligt het probleem ook bij het verdwijnen van ondersteunende .dll bestanden, alleen ik weet niet welke dat zijn.
Een kameraad kwam zanet nog met dit Verwijderd in "\[2003 TS] explorer.exe crasht als IE wor..."
Weet niet of meer mensen daar heil in zien?

En voor alle duidelijkheid waarom ik hem in eerste instantie in WOS had gezet was omdat het virus op zich wel van het systeem was verwijderd.
En er in WOS ook een vergelijkbaar explorer topic was geopend, alleen die op de basis nog verschilde met mijn topic zodat ik een nieuw topic had gestart.

[Beetlejuise]

Event log zegt bij het starten dat het opgegeven bestand niet kan worden gevonden, bij het klikken op welke gegevens worden verstuurd wordt netevent.dll genoemd.
Deze dll is wel aanwezig in de system32 map van windows.
Verder in de tijd komen er veel errors die vermelden het volgende:

Een besturingspakket van het IO-subsysteem is ongeldig. Raadpleeg het pakket voor meer gegevens.

Bij het klikken op help en ondersteuning naar microsoft wordt weer netevent.dll genoemd.

Verder zie ik nu nog een fout dat zegt:

Vastgelopen toepassing lsass.exe versie 5.1.2600.2180, vastgelopen module:
lsass.exe,versie: 5.1.2600.2180, vastgelopen op 0x00001000
En bij het klikken voor het versturen van meer info dan wordt faultrep.dll genoemd

[ Voor 21% gewijzigd door Beetlejuise op 09-09-2008 11:57 ]

[Alpha-]

Net vandaag dit probleem nog verholpen:

Google Systernals Suite en zet het op een USB stick. Start computer op (veilige modus kan, niet nodig) start het programma Autoruns in de Suite en kijk onderaan naar een register string:

HKLM/Software/Microsoft/Windows NT/Current Version/Image File Execution Options/

Waarschijnlijk staat hierachter Debugger en een link naar de spyware/virus (in mijn geval "C:\Program Files\Microsoft Commons\swma.exe" Microsoft Commons is dus een nep folder van de spyware dat moet op een echte lijken).
Vink de Debugger key uit en herstart, het zou nou moeten werken.

[dezejongeman]

http://security.nl/artike...s_als_Trojaans_paard.html

dit is ook wel intresant trenmicro ziet widows als trojan hors aan.
in onderandere explorer.exe

[Beetlejuise]

Alpha- schreef op dinsdag 09 september 2008 @ 13:48:
Google Systernals Suite en zet het op een USB stick. Start computer op (veilige modus kan, niet nodig) start het programma Autoruns in de Suite en kijk onderaan naar een register string:

HKLM/Software/Microsoft/Windows NT/Current Version/Image File Execution Options/

Waarschijnlijk staat hierachter Debugger en een link naar de spyware/virus (in mijn geval "C:\Program Files\Microsoft Commons\swma.exe" Microsoft Commons is dus een nep folder van de spyware dat moet op een echte lijken).
Vink de Debugger key uit en herstart, het zou nou moeten werken.

Dit op mijn eigen pc uitgeprobeerd op de windows die er nog op stond...
in de image file execution options zat niet de regel zoals hierboven genoemd maar wel andere verwijzingen naar bestanden die niet meer bestonden etc.
Ook mijn werk pc doet het weer zonder problemen

Alpha- voor nu

[ Voor 15% gewijzigd door Beetlejuise op 10-09-2008 20:52 ]

[Randeazy]

Super!!!

bij werkt het ooK!
nu ff de rest nog cleanen..