[XP] BSOD - zjwfnmbrgu1.sys

[Silver7]

Laatste tijd heb ik last van reboots. Pas als ik ga inloggen, gaat de computer opnieuw opstarten.
Ik heb informatie al verzameld en uitgezocht, maar ik kan helaas niets vinden op internet om probleem op te lossen.

Hardware
Indien het nodig is, dan edit ik startpost.

BSOD
STOP: 0x00000024 (0x0001902FE, 0xF9697950, 0xF969764C, 0xF9470407)

zjwfnmbrgu1.sys

Wel gevonden: 0x00000024 heeft betrekking op bestandssystemen (NTFS/FAT32)
Ik heb zelfs checkdisk gedaan, maar het heeft niet kunnen oplossen.

Onderzoek
Ik kan wel in veilige modus komen. Ik ga vanuit dat er iets mis met de software, waardoor de computer steeds opnieuw opstart.

Ik heb via msconfig de services en stuurprogramma's uitgeschakeld. Maar dat heeft niet geholpen.

Maar wanneer ik via F8, Laatste bekende juiste configuratie (recente instellingen die werkten), doe, dan start de computer normaal op. Ik kan gewoon binnenkomen zonder dat hij weer gaat opnieuw opstarten.

De bestand zjwfnmbrgu1.sys kan ik niet vinden op de schijven.
(ook met optie: alle verborgen mappen en bestanden weergeven)

BIj toeval kwam ik erachter via systeeminfo over die bestand.
Volgens systeeminfo is het ondertekende stuurprogramma.
- ondertekend = niet beschikbaar
- apparaat = legacydriver
- stuurprogramma = niet beschikbaar
- datum = niet beschikbaar
- apparaatid = ROOT\LEGACY_ZJWFNMBRGU1\0000

Waar kan ik verder uitzoeken?

Edit1: eerst had ik niet goed gezocht in regedit, maar ik heb het gevonden.
Het maakt onderdeel uit van software Search Assitant.
(Mogelijk spyware?)

Edit2:Reactie onder mij, dat is een goeie tip.

[ Voor 6% gewijzigd door Silver7 op 05-03-2009 10:49 ]

[mhoogendam]

Ik zou eens kijken naar een rootkit scanner, de bestandsnaam ziet er niet zo "normaal" uit.

Probeer anders ook eens Autoruns van MS

[leuk_he]

Silver7 schreef op donderdag 05 maart 2009 @ 10:44:

BIj toeval kwam ik erachter via systeeminfo over die bestand.
Volgens systeeminfo is het ondertekende stuurprogramma.
- ondertekend = niet beschikbaar
- apparaat = legacydriver
- stuurprogramma = niet beschikbaar
- datum = niet beschikbaar
- apparaatid = ROOT\LEGACY_ZJWFNMBRGU1\0000

Waar kan ik verder uitzoeken?

Sloop hem maar uit je registry, want hij hoort er niet.

Driver die zich probeert te verbergen???
-CD emulator? (deamon tools, anti blacklistool.)
-Trojan/rootkit?

[alt-92]

>> BV

[Silver7]

mhoogendam schreef op donderdag 05 maart 2009 @ 10:48:
Ik zou eens kijken naar een rootkit scanner, de bestandsnaam ziet er niet zo "normaal" uit.

Probeer anders ook eens Autoruns van MS

Ik heb bekeken.
- Ik heb wel 1 ding verwijderd die iets te maken had met Search.....

Wel heb ik Spyware Doctor gedownload en geinstalleerd. Hij vond niets.

In regedit vond ik wel die genoemde naam en verwijderd.

Ik ga nu zoeken naar rootkitscanner en andere anti-spyware scanner. Zijn er nog tips waar ik moet kijken/zoeken?

[Verwijderd]

Beste rootkit scanner; Prevx Edge
Anti-Malware; Uhm...ligt er eigenlijk aan welke malware er op het systeem staat.
Probeer MBAM eens voor een snelle scan en a-squared Anti-Malware voor een zeer grondige scan (dubbele scan engine).

[Silver7]

Verwijderd schreef op donderdag 05 maart 2009 @ 19:59:
Beste rootkit scanner; Prevx Edge
Anti-Malware; Uhm...ligt er eigenlijk aan welke malware er op het systeem staat.
Probeer MBAM eens voor een snelle scan en a-squared Anti-Malware voor een zeer grondige scan (dubbele scan engine).

Met die Prevx Edge is het gebleken dat het om rootkit en threat gaan.

Als ik ze wil verwijderen, moet ik daarvoor licensie aanschaffen.
(ondertussen ben ik aan het kijken of licensie goedkoop is of ik gratis kan oplossen)

Edit: zomaar, bedankt voor je tip!

Edit2: Nou licentie vind ik te duur. Ik heb het niet voor een jaar nodig.

[ Voor 6% gewijzigd door Silver7 op 05-03-2009 22:51 ]

[leuk_he]

Betalen voordat hij het doet... ik hoop dat dat niet zo'n fake tool is die altijd iets vind die de naam van een echte tool sheeft overgenomen.

Er zijn ook een paar gratis rootkit scanners..

Rootkitrevealer:
http://technet.microsoft....ysinternals/bb897445.aspx

http://www.pchell.com/support/rootkitremovaltools.shtml

AVG Anti-Rootkit
From Grisoft, maker of AVG Antivirus, a free rootkit removal tool that shows alot of promise

BitDefender Antirootkit (beta)
Although I can't find a link from the BitDefender site, here is a direct link to the beta download of their antirootkit

F-Secure Blacklight
From the maker of F-Secure, one of the original and most used rootkit removal tools. Now integrated into their security suite.
McAfee's Rootkit Detective
One of the newest rootkit removal tools available by a trusted antivirus vendor Mcafee.

Panda Software Anti-Rootkit
Although I couldnt find a link from the Panda Software website to this rootkit, there is a download available from Download.com. It has a great scan for rootkits.

Sophos Anti-Rootkit version 1.3.1
Standalone free rootkit removal tool

TrendMicro Rootkit Buster
From the maker of PC-Cillin and the online scanner Housecall

links staan in bron... doe je best.

[Verwijderd]

Silver, stuur mij even een mailtje.
Ik mag trial-licenties weggeven indien nodig. Ben zelf beta-tester voor o.a. Prevx
Graag zou ik het logbestand ontvangen als tegenprestatie, in ieder geval de regels waarin het gedetecteerd is.

[Silver7]

Verwijderd schreef op donderdag 05 maart 2009 @ 23:35:
Silver, stuur mij even een mailtje.
Ik mag trial-licenties weggeven indien nodig. Ben zelf beta-tester voor o.a. Prevx
Graag zou ik het logbestand ontvangen als tegenprestatie, in ieder geval de regels waarin het gedetecteerd is.

Zomaar,

Dat is goed, ik zal gaan zoeken naar log-bestand. (pas vanavond)

Super!

[ Voor 3% gewijzigd door Silver7 op 06-03-2009 08:16 ]

[SKiLLa]

Je kan ook het gratis GMER proberen (klik & run, geen installatie). Als diezelfde driver daar in het rood tevoorschijn komt, kun je 'm meestal met rechtermuisknop -> verwijderen cleanen ...

PS: Niet schrikken van de hoeveelheid info die de tool geeft; pas als ie dingen in het rood weergeeft, kun je er vrijwel zeker van zijn dat het slecht is

[Verwijderd]

Silver7 schreef op vrijdag 06 maart 2009 @ 08:15:
[...]

Zomaar,

Dat is goed, ik zal gaan zoeken naar log-bestand. (pas vanavond)

Super!

Log kun je maken via; Tools > Save Scan Results

[Silver7]

Verwijderd met:

SKiLLa schreef op vrijdag 06 maart 2009 @ 08:49:
Je kan ook het gratis GMER proberen (klik & run, geen installatie). Als diezelfde driver daar in het rood tevoorschijn komt, kun je 'm meestal met rechtermuisknop -> verwijderen cleanen ...

PS: Niet schrikken van de hoeveelheid info die de tool geeft; pas als ie dingen in het rood weergeeft, kun je er vrijwel zeker van zijn dat het slecht is

Opnieuw gescand met bovenstaande tooltje en tooltje van zomaar (onder).

Verwijderd schreef op donderdag 05 maart 2009 @ 19:59:
Beste rootkit scanner; Prevx Edge

@zomaar, voordat ik het verwijderd heb, heb ik eerst een logboek gemaakt.
Dus DM of mail me als je het wilt hebben.