Laptop verzend massa's spam

[McKaamos]

Een tijdje terug is de laptop van m'n vriendin geinfecteer geraakt met spyware en wat virussen.
Nu heb ik de machine toen helemaal schoon geveegd met Spybot Search&Destroy, Avast Antivirus en Process Explorer
Alles leek goed, maar ze nam het ding weer mee en hoewel het meeste weg blijkt te zijn is er toen ze thuis kwam toch nog weer iets opgedoken.

Avast heeft een uitgaande email scanner (sensitivity op high) en die komt constant met meldingen over suspicious messages. In de system tray (bij de klok) staat ook constant een icoontje die niet van een van haar programma's is.
Zodra haar netwerkverbinding ge-disabled wordt verdwijnt het, wanneer ze verbinding maakt issie er weer.
Meestal is er ook een proces te vinden dan een nummer.exe is, maar die is er schijnbaar niet altijd.
Alssie er is, dan is het genoeg om dat proces te killen en de lokatie van de exe op te zoeken en te deleten. Uiteindelijk komt dat dan toch weer terug en begint de boel weer.

Helaas kan ik niks meer vinden met Avast Antivirus en Spybot. Heeft iemand toevallig tips wat ik nog kan proberen?

[lier]

Tja...tips...

Scannen met alles waar je aan kan komen ?
Herinstallatie ?

[RedHat]

Dit soort virussen zijn er in heel veel soorten / maten.
Misschien disabled het je virusscanner wel (al dan niet zichtbaar).

Ook verwijderen heeft geen zin want hij reproduceerd zichzelf.

Vaak is de beste oplossing dan ook clean install. Dit soort systemen zijn vaak niet meer te vertrouwen als je geen goede 'fix' kan vinden. Een goede fix kun je vaak alleen vinden als je de naam van het virus weet. Maar dit soort virussen zijn er in heel veel soorten en maten volgens mij.

Misschien dat andere tweakers een oplossing hebben. Ik ben benieuwd.

[Cave_Boy]

Vaak zitten dit soort virussen lekker diep in je Windows register en ben je er vaak sneller en beter af om te schoon schippen.

Het komt vaak voor dat een virus niet meer gevonden wordt omdat deze dan zichzelf onzichtbaar maakt voor de virusscanner.

Wat je kan doen is nog eens kijken welk virus het is daar de verwijder handleding van zoeken en dan in de veilige modus alles nalopen.


Was wat traag...

[strandbal]

Allereerst: Pas op met dat ding aan het netwerk hangen. Providers vinden het nooit zo fijn als jij massa's spam verstuurt, en zouden je automatisch kunnen blokkeren. (XS4all bijvoorbeeld doet dit).

Verder: Kijk met Sysinternals Autoruns eens of je verdachte opstartprogramma's tegenkomt. Processen die je niet vertrouwt kun je door http://virusscan.jotti.org heenhalen en eventueel verwijderen.

[McKaamos]

Het probleem is dat er geen tijd is voor een clean install. Ze heeft het ding nodig voor school, morgen moet het ding weer met haar mee naar huis.

Edit:
Sja, ik kan zelf poort26 wel even blokkeren op m'n server. Das niet zo'n probleem

[ Voor 24% gewijzigd door McKaamos op 28-09-2008 11:47 ]

[Knaak]

Documenten backuppen en format/recovery gebruiken? Als je zelf al aangeeft dat het verwijderen, scannen etc niets uithaalt zal het probleem toch wel wat ingewikkelder zijn.

Als het "process" nu een gewoone naam zou hebben kan je erop los googlen, maar in dit geval lijkt het me zinloos.

[edit] Als hij morgen al weer gebruikt moet worden, is het dan geen optie om nu alvast alles te backuppen.. mocht het dan verder misgaan heb je iig je documenten en kan je later format C:/ doen.

[ Voor 25% gewijzigd door Knaak op 28-09-2008 11:49 ]

[lier]

McKaamos schreef op zondag 28 september 2008 @ 11:45:
Het probleem is dat er geen tijd is voor een clean install. Ze heeft het ding nodig voor school, morgen moet het ding weer met haar mee naar huis.

Dus...in plaats van advies aan te nemen ga je hier eisen stellen. Even duidelijk: het is het probleem van je vriendin (en dus van jou). Als hierboven meerdere malen een herinstallatie genoemd wordt, is dat omdat deze mensen ervaring hebben met dit soort situaties. Een herinstallatie kost helemaal niet zo veel tijd, volgens mij moet je hem morgen zo compleet schoon aan je vriendin mee kunnen geven.

[Knaak]

lier schreef op zondag 28 september 2008 @ 11:47:
[...]

Dus...in plaats van advies aan te nemen ga je hier eisen stellen. Even duidelijk: het is het probleem van je vriendin (en dus van jou). Als hierboven meerdere malen een herinstallatie genoemd wordt, is dat omdat deze mensen ervaring hebben met dit soort situaties. Een herinstallatie kost helemaal niet zo veel tijd, volgens mij moet je hem morgen zo compleet schoon aan je vriendin mee kunnen geven.

Inderdaad, even een 2-10 dvd's branden met all het noodzakelijke wat je wilt bewaren duurt hooguit een uur. Daarnaast kost herinstall + updates van WinXP zo'n 2,5uur. Daarna kan je alle programma's + goede scanner erop gooien en dan pas, voorzichtig alle documenten terug zetten.

[DataGhost]

Je kan met process explorer zien door welk proces dat nummer.exe gestart wordt.

[McKaamos]

lier schreef op zondag 28 september 2008 @ 11:47:
[...]

Dus...in plaats van advies aan te nemen ga je hier eisen stellen. Even duidelijk: het is het probleem van je vriendin (en dus van jou). Als hierboven meerdere malen een herinstallatie genoemd wordt, is dat omdat deze mensen ervaring hebben met dit soort situaties. Een herinstallatie kost helemaal niet zo veel tijd, volgens mij moet je hem morgen zo compleet schoon aan je vriendin mee kunnen geven.

Ja, ik ga eissen stellen.
Er is simpelweg geen tijd voor een clean install, dus wil ik tips hoe ik die troep er af kan krijgen. Dat is ook waar ik om heb gevraagd.

Daarnaast is een re-install geen advies, maar een atoombom op een probleem dat vast wel anders opgelost kan worden.
En ja, een re-install kost wel zoveel tijd, want ik zou dan naar het andere eind van het land moeten gaan om haar Windows CD op te halen. Daarnaast staat er erg veel software op die opnieuw geinstalleerd zou moeten worden, plus een netwerk access tool van haar school die ik niet bij de hand heb.

[kamstra]

hoe lang kan je over een clean install doen...t is zondagochtend man

2 uurtjes werk en je hebt weer een fatsoenlijk werkende klapjap...

[McKaamos]

kamstra schreef op zondag 28 september 2008 @ 11:52:
hoe lang kan je over een clean install doen...t is zondagochtend man

2 uurtjes werk en je hebt weer een fatsoenlijk werkende klapjap...

Dus even voor de duidelijkheid:

Clean install is geen optie ivm bovengenoemde redenen

DataGhost schreef op zondag 28 september 2008 @ 11:51:
Je kan met process explorer zien door welk proces dat nummer.exe gestart wordt.

Interessant, dan moet ik ff kijken waar die optie zit... Thanks!

[ Voor 27% gewijzigd door McKaamos op 28-09-2008 11:55 ]

[kamstra]

ok, whatever...
in dat geval: hijackthis etc eroverheen, online scan, is t dan nog niet weg...pech gehad

[DataGhost]

McKaamos schreef op zondag 28 september 2008 @ 11:53:
[...]

Interessant, dan moet ik ff kijken waar die optie zit... Thanks!

Mja, dat is dus een apart tooltje he, niet zomaar taakbeheer ofzo. Standaard zie je een soort van 'tree' van processen en daarmee is het vrij snel duidelijk.

[McKaamos]

DataGhost schreef op zondag 28 september 2008 @ 11:56:
[...]

Mja, dat is dus een apart tooltje he, niet zomaar taakbeheer ofzo. Standaard zie je een soort van 'tree' van processen en daarmee is het vrij snel duidelijk.

Ja, process explorer toch? die ken ik wel, ff zoeken waar die functie zit iig.

[lier]

Ben toch wel benieuwd of je vriendin vandaag met een schone laptop naar school kon...

[McKaamos]

Nope, helaas. Ik heb uiteindelijk terug kunnen tracen naar services.exe en kwam daar niet meer verder, helaas

[Verwijderd]

je zegt dat er geen tijd is voor een herinstallatie , maar als je vriendin de laptop mee naar school neemt, en um daar aan het netwerk hangt en probeert spam te versturen dan zal ze toch een keer op het matje moeten komen, je zal de afweging moeten maken, als je laptop crasht dan moet je ook helemaal opnieuw beginnen

[Sassie]

Zoals al eerder geopperd in dit topic: kijk eens even of je via Process Explorer iets kunt vinden of maak anders een log met hijackthis (je kunt het als eerste schifting al laten analyseren op www.hijackthis.de, als je er verder dan niet uitkomt kun je je log ook hier posten). Wanneer je verdachte bestanden/processen op het spoor bent: laat ze dan analyseren door http://virusscan.jotti.org of http://www.virustotal.com/.

[ Voor 17% gewijzigd door Sassie op 29-09-2008 15:06 ]

[Noork]

Kun je niet even een portscan doen? Wellicht staat er een leuk proxy geval op geinstalleerd.

[McKaamos]

Racer, ik kan geen re-install doen. Ik heb de CD niet.

Hijack This levert niks op, portscan niet gedaan maar wel Netstat gebruikt om processen te achterhalen.
Komende week komt de CD mee en dan install ik opnieuw.
Afgelopen weekend was re-install iig geen optie ivm afwezigheid CD.

[trinite_t]

Als er een Windows productcode onder op laptop staat (volgens mij op alle laptops met windows), dan kun je gewoon een "illegaal" gedownloade versie gebruiken voor de (legale) installatie, zorg alleen dat je dan geen corporate versie download.

[Snake]

-leer lezen-

[ Voor 96% gewijzigd door Snake op 29-09-2008 15:42 ]

[trinite_t]

offtopic:
Daarom zei ik ook GEEN corporate ,
die werkt namelijk niet met de code onder op de laptop. Maar circuleren wel veel in het illegale cirquit.

[ Voor 8% gewijzigd door trinite_t op 29-09-2008 15:42 ]

[McKaamos]

Mjah, dat had misschien een kopietje wel had voldaan, maar je komt regelmatig versies tegen die zijn aangepast met b.v. nLite. Daar heb ik dan weer geen trek in.
Ik heb destijds (ongeveer een jaar terug) ook wel een install schijfje gemaakt met nLite met alle drivers er in. Scheelt een hoop tijd bij een re-install, maja die zit bij de originele disk in het hoesje en de image heb ik niet meer.

Anyway, het moet nu maar even wachten helaas.

[Charlie932]

Haal er ook even Anti Malware overheen. Wel eerst de defs updaten tijdens de setup!

[FezzFest]

Dus download eventjes HijackThis op je bureaublad, start het programma op, accepteer de licentie, en klik op 'Do a system scan and save a logfile'.

Na een scan van ongeveer eenminuut, zal er uiteraard een logje tevoorschijn komen.
Als je bang bent om hem op internet aan te sluiten steek je er een memorystick, cd, dvd, diskette, whatever in en zet je de logfile over naar een andere PC.

Als het waar is dat het virus de virusscanner uitzet, start dan eens op met een Live CD met Linux, en installeer er een virusscanner in, en laat die scannen.

Je kan ook een LiveCD met ingebouwde virusscanner gebruiken, zoals deze van BitDefender. Of installeer ClamAV in bv. Ubuntu.

Voor verdachte bestanden bestaan er nog VirusTotal en Jotti's Malware Scan.

Voor online scanners, kijk naar bv. TrendMicro HouseCall en Kasperky Online Scanner.

Hoop dat je er iets mee bent.