hulp gevraagd bij verwijderen trojaans paardje

[Verwijderd]

Hello,

Ik heb een paar dagen geleden een bestandje geopend waarvan ik dacht dat het veilig was (na scannen met AVG8.5) maar helaas. Het voerde op de achtergrond enkel programma's uit waarvan ik toen al wist dat het fout zat. Ik ondervind slechts geringe last nl. :
- opstarten verloopt niet zo vlot als normaal
- iexplorer.exe staat tussen mijne services ook al staat deze niet open

Na een scan met AVG krijg ik volgende log file:
Resident Shield detection
Infection;"Object";"Result";"Detection time";"Object Type";"Process"
Virus found Win32/Heur;"C:\Program Files\ReaConverter 5.5 Pro\scheduler_monitor.exe";"Infected";"9/03/2009, 13:11:39";"file";"C:\Program Files\AVG\AVG8\avgcsrvx.exe"
Virus found Win32/Heur;"C:\Program Files\Seco Tools\Secocut\secocut.exe";"Infected";"9/03/2009, 13:12:14";"file";"C:\Program Files\AVG\AVG8\avgcsrvx.exe"
Trojan horse SHeur2.UGT;"C:\Documents and Settings\user\reader_s.exe";"Infected";"9/03/2009, 13:24:50";"file";"C:\WINDOWS\system32\57.tmp"
Trojan horse SHeur2.UGT;"C:\Documents and Settings\user\reader_s.exe";"Deleted";"9/03/2009, 10:19:20";"file";"C:\WINDOWS\system32\40.tmp"
Trojan horse SHeur2.UGT;"C:\WINDOWS\system32\reader_s.exe";"Deleted";"9/03/2009, 10:19:40";"file";"C:\PROGRA~1\AVG\AVG8\avgtray.exe"
Trojan horse SHeur2.UGT;"C:\Documents and Settings\user\reader_s.exe";"Deleted";"9/03/2009, 10:19:39";"file";"C:\PROGRA~1\AVG\AVG8\avgtray.exe"
Trojan horse SHeur2.UGT;"C:\WINDOWS\system32\reader_s.exe";"Deleted";"9/03/2009, 10:19:20";"file";"C:\WINDOWS\system32\40.tmp"
Trojan horse SHeur2.UGT;"C:\System Volume Information\_restore{CE5C976B-6582-43AF-A72E-11D9F221CE9C}\RP261\A0038253.exe";"Infected";"9/03/2009, 11:02:46";"file";"C:\WINDOWS\system32\svchost.exe"
Trojan horse SHeur2.UGT;"C:\System Volume Information\_restore{CE5C976B-6582-43AF-A72E-11D9F221CE9C}\RP261\A0038253.exe";"Infected";"9/03/2009, 11:21:11";"file";"C:\WINDOWS\system32\svchost.exe"
Trojan horse SHeur2.UGT;"C:\System Volume Information\_restore{CE5C976B-6582-43AF-A72E-11D9F221CE9C}\RP261\A0038253.exe";"Infected";"9/03/2009, 12:59:18";"file";"C:\WINDOWS\system32\svchost.exe"
Trojan horse SHeur2.UGT;"C:\System Volume Information\_restore{CE5C976B-6582-43AF-A72E-11D9F221CE9C}\RP261\A0038253.exe";"Infected";"9/03/2009, 12:52:41";"file";"C:\WINDOWS\system32\svchost.exe"
Trojan horse SHeur2.UGT;"C:\WINDOWS\system32\reader_s.exe";"Deleted";"9/03/2009, 11:57:29";"file";"C:\WINDOWS\system32\5.tmp"
Trojan horse SHeur2.UGT;"C:\Documents and Settings\user\reader_s.exe";"Deleted";"9/03/2009, 11:57:30";"file";"C:\WINDOWS\system32\5.tmp"
Trojan horse SHeur2.UGT;"C:\Documents and Settings\user\reader_s.exe";"Infected";"9/03/2009, 11:57:46";"file";"C:\PROGRA~1\AVG\AVG8\avgtray.exe"
Trojan horse SHeur2.UGT;"C:\WINDOWS\system32\reader_s.exe";"Infected";"9/03/2009, 13:24:50";"file";"C:\WINDOWS\system32\57.tmp"
Trojan horse Rootkit-Agent.DI;"C:\WINDOWS\system32\drivers\ndis.sys";"Object is white-listed (critical/system file that should not be removed)";"9/03/2009, 12:51:59";"file";"C:\WINDOWS\system32\svchost.exe"
Trojan horse Rootkit-Agent.DI;"C:\WINDOWS\system32\drivers\ndis.sys";"Object is white-listed (critical/system file that should not be removed)";"9/03/2009, 11:02:02";"file";"C:\WINDOWS\system32\svchost.exe"
Trojan horse Rootkit-Agent.DI;"C:\WINDOWS\system32\drivers\ndis.sys";"Object is white-listed (critical/system file that should not be removed)";"9/03/2009, 11:55:58";"file";"C:\WINDOWS\Temp\BN2.tmp"
Trojan horse Crypt.CPW;"C:\WINDOWS\services.exe";"Deleted";"9/03/2009, 11:57:31";"file";"C:\WINDOWS\system32\6.tmp"
Trojan horse BackDoor.Generic10.ACET;"C:\WINDOWS\system32\drivers\restore.sys";"Infected";"9/03/2009, 11:56:26";"file";"System"
Trojan horse BackDoor.Agent.ZCD;"C:\WINDOWS\services.exe";"Deleted";"9/03/2009, 10:19:41";"file";"C:\PROGRA~1\AVG\AVG8\avgtray.exe"
Trojan horse BackDoor.Agent.ZCD;"C:\WINDOWS\services.exe";"Deleted";"9/03/2009, 10:19:22";"file";"C:\WINDOWS\system32\41.tmp"
Trojan horse BackDoor.Agent.ZCD;"C:\WINDOWS\services.exe";"Infected";"9/03/2009, 13:24:46";"file";"C:\WINDOWS\system32\58.tmp"

de steeds terugkerende files zijn die .tmp files en de services.exe en reader_s.exe.

met hijackthis krijg ik volgende log file:
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 14:03:30, on 9/03/2009
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16791)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Windows Defender\MsMpEng.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe
C:\Program Files\Bonjour\mDNSResponder.exe
C:\Program Files\Cisco Systems\VPN Client\cvpnd.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Program Files\CyberLink\Shared files\RichVideo.exe
C:\WINDOWS\system32\svchost.exe
C:\PROGRA~1\AVG\AVG8\avgrsx.exe
C:\PROGRA~1\AVG\AVG8\avgnsx.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\mHotkey.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\Program Files\Windows Defender\MSASCui.exe
C:\Program Files\VIA\VIAudioi\HDADeck\HDeck.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\PROGRA~1\AVG\AVG8\avgtray.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\AVG\AVG8\avgscanx.exe
C:\Program Files\AVG\AVG8\avgcsrvx.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\Program Files\Microsoft Office\Office12\WINWORD.EXE
C:\Program Files\AVG\AVG8\avgcsrvx.exe
C:\Program Files\AVG\AVG8\avgui.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Microsoft Office\Office12\EXCEL.EXE
C:\Program Files\AVG\AVG8\avgcsrvx.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://g.msn.be/0SENLBE/SAOS01?FORM=TOOLBR
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://g.msn.be/0SENLBE/SAOS01?FORM=TOOLBR
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.be/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://g.msn.be/0SENLBE/SAOS01?FORM=TOOLBR
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
O2 - BHO: Adobe PDF Reader Help bij koppelingen - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll
O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll
O3 - Toolbar: DAEMON Tools Toolbar - {32099AAC-C132-4136-9E9A-4E364A424E17} - C:\Program Files\DAEMON Tools Toolbar\DTToolbar.dll
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [CHotkey] mHotkey.exe
O4 - HKLM\..\Run: [showwnd] showwnd.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [Windows Defender] "C:\Program Files\Windows Defender\MSASCui.exe" -hide
O4 - HKLM\..\Run: [Kernel and Hardware Abstraction Layer] KHALMNPR.EXE
O4 - HKLM\..\Run: [HDAudDeck] C:\Program Files\VIA\VIAudioi\HDADeck\HDeck.exe 1
O4 - HKLM\..\Run: [AVG8_TRAY] C:\PROGRA~1\AVG\AVG8\avgtray.exe
O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [reader_s] C:\Documents and Settings\user\reader_s.exe
O4 - HKLM\..\Policies\Explorer\Run: [services] C:\WINDOWS\services.exe
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\Run: [DWQueuedReporting] "c:\PROGRA~1\COMMON~1\MICROS~1\DW\dwtrig20.exe" -t (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\Run: [reader_s] C:\Documents and Settings\user\reader_s.exe (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\Run: [nidle] "C:\Documents and Settings\user\Application Data\nidle\nidle.exe" 61A847B5BBF728103B9D3B466188719AB689201522886B092CBD44BD8689220221DD3257 (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\Run: [services] C:\WINDOWS\services.exe (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\Policies\Explorer\Run: [services] C:\WINDOWS\services.exe (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - HKUS\.DEFAULT\..\Policies\Explorer\Run: [services] C:\WINDOWS\services.exe (User 'Default user')
O4 - Global Startup: VPN Client.lnk = ?
O8 - Extra context menu item: &Windows Live Search - res://C:\Program Files\Windows Live Toolbar\msntb.dll/search.htm
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O8 - Extra context menu item: Openen in een nieuwe achtergrondtab - res://C:\Program Files\Windows Live Toolbar\Components\nl-be\msntabres.dll.mui/229?d9e2d4dfae69446ebde347490bc73aba
O8 - Extra context menu item: Openen in een nieuwe voorgrondtab - res://C:\Program Files\Windows Live Toolbar\Components\nl-be\msntabres.dll.mui/230?d9e2d4dfae69446ebde347490bc73aba
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra button: Onderzoek - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microso...eb_site.cab?1189772753218
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macrom...ve/cabs/flash/swflash.cab
O18 - Protocol: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - C:\Program Files\AVG\AVG8\avgpp.dll
O20 - Winlogon Notify: avgrsstarter - C:\WINDOWS\SYSTEM32\avgrsstx.dll
O23 - Service: Bonjour-service (Bonjour Service) - Apple Inc. - C:\Program Files\Bonjour\mDNSResponder.exe
O23 - Service: Cisco Systems, Inc. VPN Service (CVPND) - Cisco Systems, Inc. - C:\Program Files\Cisco Systems\VPN Client\cvpnd.exe
O23 - Service: Logitech Bluetooth Service (LBTServ) - Logitech, Inc. - C:\Program Files\Common Files\Logishrd\Bluetooth\LBTServ.exe
O23 - Service: Lookout Citadel Server (LkCitadelServer) - National Instruments, Inc. - C:\WINDOWS\system32\lkcitdl.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: OpcEnum - OPC Foundation - C:\WINDOWS\system32\OpcEnum.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Program Files\CyberLink\Shared files\RichVideo.exe


kan iemand mij helpen dit probleem op te lossen? AVG resident shield vindt telkens opnieuw deze trojan horses en iexplorer.exe wordt regelmatig op de achtergrond opgestart, wat me zorgen baart.

Alleszins bedankt voor de hulp!
Fredze

[Verwijderd]

Start op in veilige modus en doe vanuit de veilige modus een scan met AVG. Daarnaast ook in veilige modus een scan met het programma Malwarebytes' Anti-Malware.

[Kixtart]

Hijackthis geeft ook aan dat je nog steeds een aantal virussen hebt (in O4). Het beste is om eens te scannen vanuit veilige modus, want dan is naast windows niks actief.

[Baserk]

Om mogelijke installatie/update problemen met Malwarebytes'Antimalware te voorkomen is het misschien handig om de MBAM-installer te hernoemen in ABC.exe voor dat je 'm installeert en daarna de MBAM.exe te hernoemen in ABCD.exe voordat je het programma laat updaten en de scan in veilige modus uitvoert.

[ Voor 4% gewijzigd door Baserk op 09-03-2009 15:33 ]

[Verwijderd]

Thx voor de hulp, Ik heb deze middag in veilige modus AVG laten scannen en aangevinkt dat hij de geinfecteerde bestanden in de 'vault' moest plaatsen. Er werden vele bestanden gevonden, zoals hierboven. Nadat ik terug in normale modus windows opstartte, was het beginscherm en de opstartprocedure terug zoals voorheen.
Het virusprobleem is echter niet helemaal verdwenen, soms komen die programma's terug in mijn servicelijst te staan en geeft AVG een melding. Het ergste van al is dat ik geen netwerkverbindingen meer heb in normale modus. Er staan gewoon geen LAN verbindingen in de lijst bij configscherm==>netwerkverbindingen.
Ik kan nu op internet in veilige modus met netwerkmogelijkheden.

Heel bizar vind ik dit. Is een format aangeraden of is er nog een (deftige) uitweg?
Ik heb malwarebytes niet laten zoeken nadat AVG zn werk gedaan had, kwestie van die schadelijke bestanden eerst te kunnen verwijderen.

En dit in thesistijden, er zijn leukere zaken.

Dank voor de hulp

[Verwijderd]

Heel bizar vind ik dit. Is een format aangeraden of is er nog een (deftige) uitweg?
Ik heb malwarebytes niet laten zoeken nadat AVG zn werk gedaan had, kwestie van die schadelijke bestanden eerst te kunnen verwijderen.

Een format op een besmet systeem is eigenlijk altijd aan te raden, omdat je dan zeker weet dat alle zooi weg is en het is een goede reden om met een 'fris' systeem te beginnen.

Overigens: Je had die Malwarebytes ook na AVG moeten doen, grote kans dat die toch nog wat gevonden had

[Verwijderd]

Morgen ga ik waarschijnlijk formatteren en alles opnieuw installeren, ik heb alle setup-files nog staan en ook de drivers, dus hopelijk is dit op een namiddagje werk opgelost. Hoe dan ook bedankt voor de hulp, Vanaf nu onmiddellijk AVG in orde brengen en Malwarebytes gebruiken.

Thx,
Fredze

[hellknight]

format is je enige optie in dit geval - ik weet vrijwel zeker dat je in ieder geval Virut te pakken hebt (een virus dat, afhankelijk van de versie, .exe, en soms .htm(l) files besmet). Als je nog enige files van je huidige systeem wilt back-uppen, blijf dan in ieder geval van .exe, .htm, .html, en archives (.zip, .rar, etc) af, anders riskeer je het virus mee te nemen naar je nieuwe installatie

[Verwijderd]

Ik heb hier precies hetzelfde virus, en ben een week bezig geweest om het te verwijderen op de normale manier, met 100'n virusscans/anti-malware and hijackthis en ccleaner bij de hand, allemaal tevergeefs, dus ik ging over op de enige optie die ik nog had, formateren en windows er opnieuw op.

Maar, nu ik net windows heb geinstalleerd, service packs ge-update, krijg ik alweer een rare pop-up, en zie ik in mijn taakbeheer alle virus-processen weer terug !.

Ik baal nu ontzettend erg en heb er al zoveel tijd ingestoken, wat kan ik nu nog doen als zelfs formatteren niet helpt?

[Kalua]

Zoek eens naar rmvirut.exe van AVG. Deze cleaned alle bestanden voordat windows opstart.
Dit was bij mij de enige manier om dit virus te verwijderen, ook na een format had ik namelijk nog last van het virus.

Kijk eens op de volgende pagina: klik

[ Voor 20% gewijzigd door Kalua op 23-05-2009 22:13 . Reden: link toegevoegd ]

[Verwijderd]

Hulp

Alle stappen zoals eerder gesproken geprobeerd en toch nog het probleem.

is er echt geen oplossing om die trojan horse rootkit-agent.di te verwijderen en internet te behouden????


Dringend hulp nodig

[Verwijderd]

Verwijderd schreef op woensdag 10 februari 2010 @ 21:23:
Hulp

Alle stappen zoals eerder gesproken geprobeerd en toch nog het probleem.

is er echt geen oplossing om die trojan horse rootkit-agent.di te verwijderen en internet te behouden????


Dringend hulp nodig

Oude topic, maar kijk eens naar hitman pro. 30 dagen proef en je bent verlost...

[iisschots]

Je plaatst nu een reactie in een oud topic, het is van mei vorig jaar. De reactie die je plaatst voegt niet zoveel aan het topic toe dat het een kick waardig is. Daarom gooi ik hem nu op slot.

Je hebt al een tip gekregen, mocht je na dit tip er nog niet uit komen mag je wel een eigen topic starten. Lees van te voren wel Het algemeen beleid goed door. Zeker het gedeelte over de topic start.