[Vista infectie] Obfuscator.DV onverwijderbaar

[paradoXical]

Vorige week via usenet wat bestanden binnengehaald. Deze bestanden scan ik altijd met clamav (download via een linux machine). Deze vond echter geen infectie.

Achteraf bleek een bestand toch geinfecteerd te zijn, en deze heb ik op mijn Vista laptop gerund. Sindsdien erg veel problemen. Ik heb voor Windows Lifecare gekozen nadat ad-aware en AVG geen uitkomst boden. Livecare vindt de infectie bij startup (VirTool:Win32/Obfuscator.DV) en zegt dat hij deze verwijderd.
Helaas bij opnieuw opstarten blijkt mijn systeem keer op keer weer geinfecteerd te zijn.

Ik heb in veilige modus geboot en een scan uitgevoerd met Avira Antivirus. Deze kan niets vinden. Livecare wil niet starten in veilige modus.

Hoe krijg ik in godsnaam deze infectie van mijn systeem zonder draconische maatregelen als Hitman?

[Seth_Chaos]

paradoXical schreef op donderdag 08 januari 2009 @ 11:16:
Vorige week via usenet wat bestanden binnengehaald. Deze bestanden scan ik altijd met clamav (download via een linux machine). Deze vond echter geen infectie.

Achteraf bleek een bestand toch geinfecteerd te zijn, en deze heb ik op mijn Vista laptop gerund. Sindsdien erg veel problemen. Ik heb voor Windows Lifecare gekozen nadat ad-aware en AVG geen uitkomst boden. Livecare vindt de infectie bij startup (VirTool:Win32/Obfuscator.DV) en zegt dat hij deze verwijderd.
Helaas bij opnieuw opstarten blijkt mijn systeem keer op keer weer geinfecteerd te zijn.

Ik heb in veilige modus geboot en een scan uitgevoerd met Avira Antivirus. Deze kan niets vinden. Livecare wil niet starten in veilige modus.

Hoe krijg ik in godsnaam deze infectie van mijn systeem zonder draconische maatregelen als Hitman?

Run msconfig
Google iedere app en service die niet van Microsoft is.
Geef een rechtermuis klik op die app en of service en open het pad. Kill de app en of service en verwijder het bestand. Herstart de pc en herhaal dit tot je probleem verholpen is.

Zet tevens je internet explorer naar factory defaults en controleer de startup en sceduled tasks.

[ Voor 4% gewijzigd door Seth_Chaos op 08-01-2009 11:26 ]

[Verwijderd]

Plaats is een hijackthis log.

[Noork]

Verwijderd schreef op donderdag 08 januari 2009 @ 19:16:
Plaats is een hijackthis log.

Of beter nog, scan hem eerst zelf, handmatig (googelen op onbekende applicaties) en op hijackthis.de.

[Verwijderd]

Nee.
Dat is de slechtste manier die er bestaat.
Ten 1e, online hijackthis analyzers zijn erg onbetrouwbaar en geven soms legitieme dingen aan als fout.
Ten 2e, door enkel en alleen dingen aan te vinken zonder er iets van te snappen gaat het virus niet weg.
Je moet snappen aan de hand van de symptonen in het log snappen wat voor een infectie het is zodat je precies weet hoe je het moet verwijderen.

Op een andere forum zei ik ook dit:

Online Hijackthis analyzers zijn nooit 100% te vertrouwen.
Sterker nog, als iemand er weinig van af weet en die site geeft een rood kruisje aan en diegene volgt dat blindelings kunnen er problemen komen.
Ik zie ook dat die vaak gele vraagtekens geeft, dan moet iemand dat zelf invullen.
Als diegene dan maar meteen denkt dat het schadelijk is, en hij fixt het kan het zijn dat het in werkelijkheid niet schadelijk was.
Andersom kan ook, iemand weet er weinig vanaf dus denkt die ach het is wel veilig en dan kan het gevaarlijk blijken.

Wat ik er ook aan toe wil voegen is dat je met alleen hijackthis haast nooit malware compleet van een computer halen, want dat is vaak in combinatie met andere programma's (dan loop je weer het risico dat iemand die er weinig vanaf weet met gevaarlijke programma's gaat spelen) en sommige gevallen ook met ComboFix en dat analyseert die site niet.

Als je wat googled zie je dat ook belemde hijackthis-experts van bijv Nucia.nl erg negatief zijn over online analysers van Hijackthis.

[paradoXical]

Ik kan weinig vinden over deze infectie.

Mijn log:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 20:36:01, on 8-1-2009
Platform: Windows Vista SP1 (WinNT 6.00.1905)
MSIE: Internet Explorer v7.00 (7.00.6001.18000)
Boot mode: Normal

Running processes:
C:\Windows\system32\taskeng.exe
C:\Windows\Explorer.EXE
C:\Windows\System32\rundll32.exe
C:\Program Files\Lenovo\HOTKEY\TPOSDSVC.exe
C:\Program Files\Apoint2K\Apoint.exe
C:\Windows\System32\hkcmd.exe
C:\Windows\System32\igfxpers.exe
C:\Program Files\Nokia\Nokia PC Suite 7\PCSuite.exe
C:\Program Files\Windows Media Player\wmpnscfg.exe
C:\Program Files\Apoint2K\ApMsgFwd.exe
C:\Windows\system32\igfxsrvc.exe
C:\Program Files\Lenovo\HOTKEY\TPONSCR.exe
C:\Program Files\Apoint2K\Apntex.exe
C:\Program Files\Lenovo\Zoom\TpScrex.exe
C:\Program Files\Microsoft Windows OneCare Live\winssnotify.exe
C:\Windows\System32\mobsync.exe
C:\Windows\system32\wbem\unsecapp.exe
C:\Program Files\Microsoft Office\Office12\EXCEL.EXE
C:\Program Files\BaS\Komeet\kmt458.exe
C:\Program Files\Windows Media Player\wmplayer.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avcenter.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Microsoft Office\Office12\OUTLOOK.EXE
C:\Program Files\PC Connectivity Solution\Transports\NclMSBTSrv.exe
C:\Program Files\Windows Live\Messenger\msnmsgr.exe
C:\Users\paradoxical\Downloads\HiJackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://lenovo.live.com
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.daemon-search.com/startpage
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O1 - Hosts: ::1 localhost
O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - C:\Program Files\AVG\AVG8\avgssie.dll (file missing)
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: ThinkVantage Password Manager - {F040E541-A427-4CF7-85D8-75E3E0F476C5} - C:\Program Files\Lenovo\Client Security Solution\tvtpwm_ie_com.dll
O4 - HKLM\..\Run: [PWMTRV] rundll32 C:\PROGRA~1\ThinkPad\UTILIT~1\PWMTR32V.DLL,PwrMgrBkGndMonitor
O4 - HKLM\..\Run: [TPHOTKEY] C:\Program Files\Lenovo\HOTKEY\TPOSDSVC.exe
O4 - HKLM\..\Run: [Apoint] C:\Program Files\Apoint2K\Apoint.exe
O4 - HKLM\..\Run: [IgfxTray] C:\Windows\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\Windows\system32\hkcmd.exe
O4 - HKLM\..\Run: [Persistence] C:\Windows\system32\igfxpers.exe
O4 - HKLM\..\Run: [OneCareUI] "C:\Program Files\Microsoft Windows OneCare Live\winssnotify.exe"
O4 - HKCU\..\Run: [PC Suite Tray] "C:\Program Files\Nokia\Nokia PC Suite 7\PCSuite.exe" -onlytray
O4 - HKCU\..\Run: [WMPNSCFG] C:\Program Files\Windows Media Player\WMPNSCFG.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\Run: [PcSync] C:\Program Files\Nokia\Nokia PC Suite 6\PcSync2.exe /NoDialog (User 'SYSTEEM')
O4 - HKUS\.DEFAULT\..\Run: [PcSync] C:\Program Files\Nokia\Nokia PC Suite 6\PcSync2.exe /NoDialog (User 'Default user')
O8 - Extra context menu item: Afbeelding verzenden naar &Bluetooth-apparaat... - C:\Program Files\ThinkPad\Bluetooth Software\btsendto_ie_ctx.htm
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~1\Office12\EXCEL.EXE/3000
O8 - Extra context menu item: Pagina verzenden naar &Bluetooth-apparaat... - C:\Program Files\ThinkPad\Bluetooth Software\btsendto_ie.htm
O9 - Extra button: (no name) - {0045D4BC-5189-4b67-969C-83BB1906C421} - C:\Program Files\Lenovo\Client Security Solution\tvtpwm_ie_com.dll
O9 - Extra 'Tools' menuitem: ThinkVantage Password Manager... - {0045D4BC-5189-4b67-969C-83BB1906C421} - C:\Program Files\Lenovo\Client Security Solution\tvtpwm_ie_com.dll
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\PROGRA~1\Java\JRE16~2.0_0\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\PROGRA~1\Java\JRE16~2.0_0\bin\ssv.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~1\Office12\REFIEBAR.DLL
O9 - Extra button: @btrez.dll,-4015 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Program Files\ThinkPad\Bluetooth Software\btsendto_ie.htm
O9 - Extra 'Tools' menuitem: @btrez.dll,-12650 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Program Files\ThinkPad\Bluetooth Software\btsendto_ie.htm
O13 - Gopher Prefix:
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macrom...ve/cabs/flash/swflash.cab
O23 - Service: Ac Profile Manager Service (AcPrfMgrSvc) - Lenovo - C:\Program Files\ThinkPad\ConnectUtilities\AcPrfMgrSvc.exe
O23 - Service: Access Connections Main Service (AcSvc) - Lenovo - C:\Program Files\ThinkPad\ConnectUtilities\AcSvc.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: HASP License Manager (hasplms) - Aladdin Knowledge Systems Ltd. - C:\Windows\system32\hasplms.exe
O23 - Service: ThinkPad PM Service (IBMPMSVC) - Lenovo - C:\Windows\system32\ibmpmsvc.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: IPS Core Service (IPSSVC) - Lenovo Group Limited - C:\Windows\system32\IPSSVC.EXE
O23 - Service: ServiceLayer - Nokia. - C:\Program Files\PC Connectivity Solution\ServiceLayer.exe
O23 - Service: Steam Client Service - Valve Corporation - C:\Program Files\Common Files\Steam\SteamService.exe
O23 - Service: System Update (SUService) - Lenovo Group Limited - C:\Program Files\Lenovo\System Update\SUService.exe
O23 - Service: ThinkVantage Registry Monitor Service - Lenovo Group Limited - C:\Program Files\Common Files\Lenovo\tvt_reg_monitor_svc.exe
O23 - Service: ThinkPad HDD APS Logging Service (TPHDEXLGSVC) - Lenovo. - C:\Windows\System32\TPHDEXLG.exe
O23 - Service: On Screen Display (TPHKSVC) - Unknown owner - C:\Program Files\LENOVO\HOTKEY\TPHKSVC.exe
O23 - Service: TSS Core Service (TSSCoreService) - IBM - C:\Program Files\Lenovo\Client Security Solution\tvttcsd.exe
O23 - Service: TVT Backup Protection Service - Unknown owner - C:\Program Files\Lenovo\Rescue and Recovery\rrpservice.exe
O23 - Service: TVT Backup Service - Lenovo Group Limited - C:\Program Files\Lenovo\Rescue and Recovery\rrservice.exe
O23 - Service: TVT Scheduler - Lenovo Group Limited - c:\Program Files\Common Files\Lenovo\Scheduler\tvtsched.exe
O23 - Service: tvtnetwk - Unknown owner - C:\Program Files\Lenovo\Rescue and Recovery\ADM\IUService.exe
O23 - Service: XAudioService - Conexant Systems, Inc. - C:\Windows\system32\DRIVERS\xaudio.exe

--
End of file - 8244 bytes

[paradoXical]

Ik heb overigens ervaring met het verwijderen van spyware / virusinfecties. Meestal google ik de betreffende infectie, en volg vervolgens de stappen van mijn voorgangers. Over deze infectie kan ik weinig vinden.

Ik heb natuurlijk al msconfig uitgevoerd en gekeken naar welke processen er gestart zijn en war wordt opgestart bij het opstarten. Hier heb ik zo snel niets uit kunnen halen. De problemen begonnen met een bestand van usenet. ClamAV kon hier geen infectie in vinden, dus heb ik deze gebruikt op mijn vista machine > ik kreeg direct een hoax te zien (de Microsoft Anti Spyware 2009). Livecare wist deze snel te verwijderen. Helaas blijf ik kampen met een melding van lifecare bij boot. Livecare geeft aan dat hij de infectie vewijderd, maar dit is dus niet het geval.

[paradoXical]

Echt ongelofelijk. Ik kan nieteens een antivirusprogramma downloaden, ze worden allemaal geblokkeerd. Waarom was ik ook alweer overgegaan op linux (alhoewel dit mijn eigen domme schuld is..). Nu weet ik het weer, die achterlijke virus / malware en scanners welke je nodig hebt.

Ik weet precies hoe ik alles moet beveiligen, en toch ben ik zo dom mijn systeem te infecteren. Ik kan wel janken!

edit:
Maar eens goed rondgekeken. Nadat ik niet meer op spywaresites / virussites kon komen heb ik dit in google gezet (keywords: unable download definitions). Op MalwareBytes anti-malware gekomen, deze herkende en verwijderde de infectie (zoals ik nu aanneem) wel.

Ik verbaas me erover dat verschillende anti-virussoftware niets vindt, andere pakketten wel (maar geen oplossing bieden) en dat juist een gratis applicatie alles oplost Valt me trouwens ook tegen dat mijn clamAV deamon hem niet detecteerde. Voortaan toch maar weer een scanner draaien op mijn Vista machine.

[ Voor 42% gewijzigd door paradoXical op 09-01-2009 00:09 ]