[XP] virus is niet te verwijderen: adsndsh.exe

[Bridelance]

Onze vast computer heeft het zwaar te verduren: een stuk of 10 virussen en trojans

Ik heb de grootste zooi al kunnen verwijderen, maar ik blijf nu steken op 1 bestand
Heb gaat over een bestand in de windows\system32 map en heet adsndsh.exe. Het werd "laatst gewijzigd", en waarschijnlijk dus ook aangemaakt, rond de tijd waarop het virus toesloeg.

Op het internet vindt ik er niet veel over (een 20-tal hits op google, waarvan een hoop in het duits ) Op een site stond wel te lezen dat het geen kwaad kon, maar dat vind ik maar moeilijk te geloven aangezien het toevallig op mijn systeem verschijnt als het virus toesloeg.

Het bestand is ook verschenen in het opstart-tabblad van msconfig. En als ik het uitvink, vinkt hij hem automatisch terug aan als ik msconfig afsluit. Ik heb ook al eens geprobeerd alles van dat bestand uit het register te slopen (daar komt het voor onder een tiental sleutel met de naam "UpdateWin"), maar ook daar worden de sleutel weer automatisch aangemaakt.

Een systeemherstel heb ik nog niet uitgevoerd (kben namelijk bang dat alle andere virussen, die ik al gewist hebben, gaan terug komen ) Zou dat hier nuttig zijn? Alle virussen en trojans samen hebben wel meer dan 100 sleutels aangemaakt in het register (ik heb beginnen tellen, maar ben gestopt bij 100 )

Ook heb ik al eens geprobeerd om het bestand te deleten of te verplaatsen, maar dat lukt niet (in gebruik ) Maar in de processen die draaien kan ik niets schadelijks terugvinden.
Dit zijn de processen die draaien (ik heb ernaast gezet voor wat of wie het process, denk ik, bestemd is):
atiptaxx (admin) --> mijn ati videokaart waarschijnlijk
SMTray (admin)
AsusProb (admin) --> proggie om temperaturen te controleren
WgaTray (admin)
avgcc (admin) --> van avg
LWEMon (admin) ---> van logitech spelbesturing
svchost (admin)
ctfmon (admin)
hpobnz08 (admin) --> is blijkbaar van hp voor mijn printer, nog niet veel gezien daar
hpotdd01 (admin) --> idem
hpoevm08 (admin) ---> idem
hposts08 (admin) --> idem
setpoint (admin) --> voor logitech muisie
K9 (admin) --> een spam-filter
KHALMNPR (admin) --> ook van logitech
wuauclt.exe (admin)
explorer.exe (admin)
taskmgr (admin)
svchost (lokale service, 2x netwerkservice en system)
niet-actieve ... tralala (system)
system (system)
smss (system)
csrss (system)
winlogon (system)
services (system)
lsass (system)
ati2evxx (system) --> videokaart
avgamsvr (system) -->avg
avgupsvc (system) -->avg
avgemc (system) -->avg
MDM (system)
SMAgent (system)
spoolsv.exe (system)


qua anti-spyware, anti-vir proggies heb ik deze al gebruikt
avg
alles van hitmonpro (dus ad aware, spyware blaster, spybot s&d, spyware doctor, ...)
XoftSpy
Super Antispyware
(CCleaner)

Enkel Hitman is nog in staat adsndsh.exe (dus het bovenstaande bestand) te vinden


Ik heb al onderstaande kunnen verwijderen:
XP antivirus 2008
Microsoft Security Manager (geinstalleerd in program files, volgens hitman een virus)

de verwijderde bestanden van vermoedelijke virussen:
c:\windows\svc.exe
c:\windows\svw.exe
c:\windows\svx.exe
c:\windows\wdmon.exe
c:\windows\vlc.exe
c:\windows\svzip.exe
c:\windows\sv.exe
c:\windows\runsql.exe
c:\windows\system32\lphcg7qj0eef5.exe
c:\program files\lphcg7qj0eef5

Super Antispyware heeft volgende dingen gevonden, maar die heb ik ook al gedeleted:
NotHarmful.sysinternals Bluescreen screensaver
Rogue. Antivirus XP 2008
Rogue.Malware Protection/variant
Trojan.aff-Your thumbs
Trojan.Net-svchoster
Trojan.SmitFraud Variant-Gen/Srem
Trojan.Classified/msctrl

Bovenstaande trojans bevonden zich oa in een map: C:\System Volume Information. Maar als ik wil kijken ofdat alles weg is, geraak ik niet in die map. Toegang geweigerd


Kan mij iemand helpen met volgende vraagjes:
Is het bestand adsndsh.exe nu schadelijk, en hoe verwijder ik het (en hoe verwijder ik het uit het register en opstart menu)
Moet ik een systeemherstel uitvoeren?
Hoe raak ik in de map waar de trojans zich bevinden?
Is die Microsoft Security Manager kwaadaardig?
Heb ik niet teveel bestanden gedelete zodat ik mijn systeem nog kan rebooten? (Vooral die vlc.exe en lphcg7qj0eef5.exe ben ik niet zeker van)


Alvast bedankt!
En ook bedankt aan de mensen die de moeite hebben gedaan om al het bovenstaande te lezen, het is nogal veel tekst

[gambieter]

Bridelance schreef op zaterdag 25 oktober 2008 @ 17:05:
Bovenstaande trojans bevonden zich oa in een map: C:\System Volume Information. Maar als ik wil kijken ofdat alles weg is, geraak ik niet in die map. Toegang geweigerd

Gooi je herstelpunten weg, daar verschuilt zich veel malware. Kijk ook eens naar deze link over C:\System Volume Information.

Maar verstandigste is gewoon schoon installeren, en pas aan internet gooien als je de PC beveiligd hebt.

[rauzer]

ik zou zeggen,

pak een linux live cd'tje boot even in linux en verwijder het dan. Daarna kun je ook het vinkje uitzetten in msconfig en zal het hoogstwaarschijnlijk niet terug aan gaan.

[kromme]

Ik heb met combofix laatst een helemaal door virus kapot gemaakte pc kunnen fixen. Ik kon toen werkelijk niks meer. Geen menu , echt niks.
Misschien dat dit je helpt.

[soulrider]

vlc = video lan client - maar de echte komt onder program files normaal terecht en niet in de windows map.
(dus de delete is goed) en anders eens een hijackthis draaien en log hier posten.

onbekende .exe's, .dll's enzo kan je altijd via google opzoeken (op andere host)
(heb je al gedaan met de meesten zo te lewen)

(je kan ook via msconfig eens kijken welke bestanden er op starten en van waar en ook daar eventuele programma's uitschakelen - maar wees dan wel zeker dat je geen belangrijke onderdelen van windows uitschakeld, want dan start die niet meer op -- ook al gedaan, maar schijnbaar nog niet de goede gevonden)

trouwens ads... .exe klinkt meer als spyware voor ads/pop-ups, dan virus.

[Verwijderd]

Virus en Trojans is maar 1 remedie voor -> Format c: en herinstallatie. Anders blijf je met 'n stukje achterdocht cq ellende zitten.

[Copycat]

Verwijderd schreef op zaterdag 25 oktober 2008 @ 17:16:
Virus en Trojans is maar 1 remedie voor -> Format c: en herinstallatie. Anders blijf je met 'n stukje achterdocht cq ellende zitten.

Wat een onzin !!

D'r zijn zat tooltjes om van je ellende af te komen. Probeer Hijackthis maar eens in combinatie met unlocker of neem het bestand over met "take ownership" .Mocht dat niet werken dan kun je idd terugvallen op een live Cdtje .

Check je virusvault eens misschien verbergt AVG hem voor andere programma's

[Bridelance]

Nog vergeten te zeggen: avg merkte ook een verandering in enkele windows bestanden (shell.dll is de enigste die ik mij nog kan herinneren )

@rauzer: linux cd ligt nog op kot en aangezien ik nu een week thuis ben, kan ik daar pas volgende week vrijdag aan

@kromme: ik zal direct eens "combofix" opzoeken en testen. Maar ik heb echter 1 probleem hierbij: ik moet die pc terug aan het internet hangen voor het proggie te downen en te upgraden. Ik wilde daarmee wachten tot alles eraf was

zou die adsndsh.exe eigenlijk schadelijk zijn??

Ik wel eigenlijk gewoon zoveel mogelijk verwijderen, zodat die pc nog enkele weken zonder zorgen op het internet kan en dat mijn ma nog kan internet bankieren. Na die enkele weken zou ik dan xp opnieuw installeren (ik zou dat nu ook kunnen doen, maar die cd-rom ligt ook nog op kot )


ik zie net dat nog een massa mensen hebben gereageerd: BEDANKT!! Ik zal nu nog eens Hijackthis erover gooien. (nog nooit gebruikt eigenlijk)

[gambieter]

Bridelance schreef op zaterdag 25 oktober 2008 @ 17:30:
Ik wel eigenlijk gewoon zoveel mogelijk verwijderen, zodat die pc nog enkele weken zonder zorgen op het internet kan en dat mijn ma nog kan internet bankieren.

Eh, een mogelijk (waarschijnlijk) gecomprommiteerde computer gebruiken om te internetbankieren??? Sorry, maar dat is dan juist heel erg dom, en verkeerde economie.

Een dergelijke computer moet je juist niet voor dergelijke acties gebruiken. Het kan namelijk wel eens een heel kostbaar uitstel worden.

[bas-r]

Voor de zekerheid zou ik als ik jou was voor je moeder het volgende doen:
Met behulp van unetbootin een usb stick maken waarvan je een linux distro kunt opstarten.
Met de linux usb-stick kan ze dan veilig internet bankieren.

[Mental]

Zoals hierboven ook al vermeld, een reinstall is de minst tijdrovende oplossing om van virussen af te komen.. dit dan wel icm een formatje uiteraard.

[Bridelance]

ik weet ook dat internetbankieren nu niet echt aan de orde is (mamie zal maar moeten wachten )

juist hijackthis-logje gemaakt:

code:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 17:54:56, on 25/10/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
C:\PROGRA~1\Grisoft\AVG7\avgemc.exe
C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Analog Devices\SoundMAX\SMTray.exe
C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Program Files\ASUS\Probe\AsusProb.exe
C:\WINDOWS\system32\WgaTray.exe
C:\PROGRA~1\Grisoft\AVG7\avgcc.exe
C:\Program Files\Logitech\Gaming Software\LWEMon.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpobnz08.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe
C:\Program Files\Logitech\SetPoint\SetPoint.exe
C:\Documents and Settings\Administrator\Menu Start\Programma's\Opstarten\K9.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpoevm08.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\Bin\hpoSTS08.exe
C:\Program Files\Common Files\Logitech\KhalShared\KHALMNPR.EXE
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\explorer.exe
C:\Program Files\SUPERAntiSpyware\SUPERAntiSpyware.exe
C:\Program Files\Hitman Pro\hitmanpro2.exe
C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe
G:\HiJackThis.exe
C:\WINDOWS\System32\wbem\wmiprvse.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.msn.com/access/allinone.asp
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.be/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.msn.com/access/allinone.asp
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.be/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = \blank.htm
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = iexplore
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
O4 - HKLM\..\Run: [Smapp] C:\Program Files\Analog Devices\SoundMAX\SMTray.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [LogitechVideoRepair] C:\Program Files\Logitech\Video\ISStart.exe
O4 - HKLM\..\Run: [LogitechVideoTray] C:\Program Files\Logitech\Video\LogiTray.exe
O4 - HKLM\..\Run: [ASUS Probe] C:\Program Files\ASUS\Probe\AsusProb.exe
O4 - HKLM\..\Run: [Logitech Hardware Abstraction Layer] KHALMNPR.EXE
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVG7\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [Start WingMan Profiler] C:\Program Files\Logitech\Gaming Software\LWEMon.exe /noui

!!
O4 - HKLM\..\Run: [UpdateWin] C:\WINDOWS\system32\adsndsh.exe
!!

O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto

!!
O4 - HKLM\..\RunServices: [UpdateWin] C:\WINDOWS\system32\adsndsh.exe[/u]
!!

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [LDM] \Program\
O4 - HKCU\..\Run: [StartCCC] C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe

!!
O4 - HKCU\..\Run: [UpdateWin] C:\WINDOWS\system32\adsndsh.exe
O4 - HKCU\..\RunServices: [UpdateWin] C:\WINDOWS\system32\adsndsh.exe
!!

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Lokale service')
O4 - HKUS\S-1-5-19\..\Run: [AVG7_Run] C:\PROGRA~1\Grisoft\AVG7\avgw.exe /RUNONCE (User 'Lokale service')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Netwerkservice')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Startup: K9.exe
O4 - Global Startup: hp psc 2000 Series.lnk = C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpobnz08.exe
O4 - Global Startup: hpoddt01.exe.lnk = ?
O4 - Global Startup: Logitech Desktop Messenger.lnk = C:\Program Files\Logitech\Desktop Messenger\8876480\Program\LDMConf.exe
O4 - Global Startup: Logitech SetPoint.lnk = ?
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2\bin\npjpi142.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2\bin\npjpi142.dll
O9 - Extra button: Spyware Doctor - {2D663D1A-8670-49D9-A1A5-4C56B4E14E84} - C:\PROGRA~1\SPYWAR~1\tools\iesdpb.dll (file missing)
O9 - Extra button: Onderzoek - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe (file missing)
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe (file missing)
O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab31267.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab
O16 - DPF: {D1E7CBDA-E60E-4970-A01C-37301EF7BF98} (Measurement Services Client v.3.7) - http://gameadvisor.futuremark.com/global/msc37.cab
O18 - Protocol: bw+0 - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bw+0s - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bw-0 - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bw-0s - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bw00 - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bw00s - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bw10 - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bw10s - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bw20 - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bw20s - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bw30 - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bw30s - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bw40 - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bw40s - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bw50 - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bw50s - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bw60 - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bw60s - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bw70 - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bw70s - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bw80 - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bw80s - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bw90 - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bw90s - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bwa0 - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bwa0s - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bwb0 - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bwb0s - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bwc0 - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bwc0s - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bwd0 - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bwd0s - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bwe0 - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bwe0s - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bwf0 - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bwf0s - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bwfile-8876480 - {9462A756-7B47-47BC-8C80-C34B9B80B32B} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\GAPlugProtocol-8876480.dll
O18 - Protocol: bwg0 - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bwg0s - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bwh0 - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bwh0s - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bwi0 - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bwi0s - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bwj0 - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bwj0s - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bwk0 - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bwk0s - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bwl0 - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bwl0s - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bwm0 - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bwm0s - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bwn0 - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bwn0s - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bwo0 - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bwo0s - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bwp0 - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bwp0s - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bwq0 - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bwq0s - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bwr0 - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bwr0s - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bws0 - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bws0s - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bwt0 - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bwt0s - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bwu0 - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bwu0s - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bwv0 - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bwv0s - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bww0 - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bww0s - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bwx0 - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bwx0s - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bwy0 - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bwy0s - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bwz0 - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: bwz0s - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O18 - Protocol: offline-8876480 - {305CE05C-1A80-4DEA-BC0C-130A2F9A4EA3} - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BWPlugProtocol-8876480.dll
O20 - Winlogon Notify: !SASWinLogon - C:\Program Files\SUPERAntiSpyware\SASWINLO.dll
O22 - SharedTaskScheduler: IPC Configuration Utility - IPC Configuration Utility - (no file)
O22 - SharedTaskScheduler: Windows Installer Class - {020487CC-FC04-4B1E-863F-D9801796230B} - (no file)
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
O23 - Service: AVG E-mail Scanner (AVGEMS) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgemc.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Macromedia Licensing Service - Macromedia - C:\Program Files\Common Files\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: PC Tools Auxiliary Service (sdAuxService) - PC Tools - C:\Program Files\Spyware Doctor\svcntaux.exe
O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - C:\Program Files\Spyware Doctor\swdsvc.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
O23 - Service: Webroot Spy Sweeper Engine (svcWRSSSDK) - Webroot Software, Inc. - C:\Program Files\Webroot\Spy Sweeper\WRSSSDK.exe
O23 - Service: wampapache - Apache Software Foundation - C:\Program Files\wamp\apache2\bin\httpd.exe
O23 - Service: wampmysqld - Unknown owner - C:\Program Files\wamp\mysql\bin\mysqld-nt.exe

--
End of file - 20975 bytes

Volgens mij redelijk normaal (buiten die adsndsh referenties natuurlijk)

[soulrider]

die ads eruit halen (vinkje zetten - of is het juist weghalen - en laten herstellen)

en eens kijken waarom logitech die dll's zo vaak registreerd, want dat is ook wel belachelijk
(tig keren dezelfde is ook voor niets nodig, 1 a 2x zou wel genoeg zijn zekers ?)
die logitech is net niet hetzelfde, maar wel telkens dezelfde dll

[ Voor 12% gewijzigd door soulrider op 25-10-2008 18:14 ]

[Copycat]

Idd. gewoon even fixen. Register nog even handmatig controleren. En adsndsh verwijderen desnoods met unlocker. Daarna nog maar eens een complete virusscan voor de zekerheid.

[Bridelance]

jippie, adsndsh is uit het opstartmenu en ook verwijdert uit de system32 map

nu nog een paar scans, en dan eens proberen opnieuw op te starten (als hij het nog doet )

oja, kheb nog een vraagje over iets dat ik niet weet (je kunt niet alles weten, hé ) de meeste van de verwijderde bestanden heb ik geback-upt naar een andere map. Plaats ik deze nu best nog in quarantaine bij avg, of kan dat geen kwaad?
En als het antwoord "ja" is: hoe plaats je handmatig dingen in quarantaine in avg?

[soulrider]

als achteraf je pc virusvrij is, is het altijd handig om de backup-versie van die bestanden even door te sturen naar een av-producent.
avg verteld je dat graag in hun help-files wrs.
je kan ook via de multi online scanner gaan (juiste naam en link ongaat me, maar staat wellicht hier in de faq) - daar worden sinds kort ook de ingestuurde files die gedetecteerd worden door maar sommigen doorgestuurd naar alle aangesloten av-producenten

[ Voor 8% gewijzigd door soulrider op 25-10-2008 18:45 ]

[Copycat]

Geen idee. Maar als het besmette backups zijn gewoon even scannen.

soulrider schreef op zaterdag 25 oktober 2008 @ 18:44:
je kan ook via de multi online scanner gaan (juiste naam en link ongaat me, maar staat wellicht hier in de faq)

ww.jotti.org bedoel je

[ Voor 66% gewijzigd door Copycat op 25-10-2008 18:48 ]

[wowi]

Uit de log van hijaakthis vallen op als ik dat bekijk

O4 - HKLM\..\Run: [UpdateWin] C:\WINDOWS\system32\adsndsh.exe

O4 - HKLM\..\RunServices: [UpdateWin] C:\WINDOWS\system32\adsndsh.exe[/u]

O4 - HKCU\..\Run: [UpdateWin] C:\WINDOWS\system32\adsndsh.exe

O4 - HKCU\..\RunServices: [UpdateWin] C:\WINDOWS\system32\adsndsh.exe

O4 - Startup: K9.exe ( wat is dit ?????????????)


missende dingen of fouten

O9 - Extra button: Spyware Doctor - {2D663D1A-8670-49D9-A1A5-4C56B4E14E84} - C:\PROGRA~1\SPYWAR~1\tools\iesdpb.dll (file missing)

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe (file missing)


O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe (file missing)

O22 - SharedTaskScheduler: IPC Configuration Utility - IPC Configuration Utility - (no file)

O22 - SharedTaskScheduler: Windows Installer Class - {020487CC-FC04-4B1E-863F-D9801796230B} - (no file)


Die file die je niet kunt verwijderen zal dus wel als service draaien of gestart zijn verwijder de sleutels van die file dus de eerste 5 regels in iedergeval!!!!
En reboot dan en doe een nieuwe scan.

[ Voor 9% gewijzigd door wowi op 25-10-2008 19:04 ]

[alx]

Als je PC zo onder de shit heeft gezeten en je wilt ook nog gaan internetbankieren, is er maar 1 oplossing en dat is My docs, mail e.d. backuppen vanuit bootable (linux) cd, wissen, reinstall, patchen, backup scannen, terugzetten. Anders blijft er altijd zooi achter. Hell, zelfs je virusscanner helpt niet meer. Mss is die ook wel aangetast. Zorg dat je na reinstall alle service packs en fixes installeert voordat je je pc aan het internet hangt (dus vantevoren op cd downen of slipstreamen, liefst vanaf een andere pc), anders kom je niet verder. Besmetting van een ongepatchte XP is minutenwerk.

[soulrider]

ivm die av: het kan gewoon zijn dat de av de spyware niet herkende als virus.
(recente update werd bv niet gedaan door TS, of werd tegengehouden door die 'bug'...)
wanneer leren mensen nu eens eindelijk het verschil tussen die twee?
een av werkt niet altijd tegen spyware, daarmee dat die laatste niet als virus bestempeld wordt, en die eerste niet als anti-spyware-tool.... (alhoewel een av steeds vaker spyware kan markeren als 'ongewenst')

je andere tips zijn wel toepasselijk, maar dat is aan de TS de keuze natuurlijk.
(TS kan van de C't offline update-tool - bekijk meuktracker - gebruik maken om alle update's offline te halen mbv een andere pc - paar keer klikken, lege cd/dvd in de brander leggen en voila je hebt een autorun-update-schijfje met alle nodige patches)

[ Voor 30% gewijzigd door soulrider op 26-10-2008 05:34 . Reden: quote niet nodig als gequote post er net boven staat ]

[Bridelance]

Het ziet er naar uit dat alles eraf is:
ik heb zonet de pc 2 maal gescand met alles wat ik in mijn arsenaal heb, en niets gevonden

nu nog controleren ofdat alle besmette registersleutels weg zijn en ik denk dak ik klaar ben.

!!!!!!Bedank voor alle hulp!!!!!!

[keur0000]

Als je hem aan i-net hangt doe dan eerst een online scan voordat je verder gaat .