Irritante Malware

[TTD]

Ik kreeg gister op een of ander manier win pc antivirus op me pc geïnstalleerd. Dus ik dacht gewoon netjes eraf gooien en niks aan de hand. Vervolgens was dat programma zelf wel verwijderd maar de malware die ook in mijn pc kwam niet. Ik had vele manieren geprobeerd maar of ze vinden niks of ze willen niet opstarten.

Spybot : wilde niet opstarten
Norton : vond niks
Adaware : vond niet de betreffende malware
Malwarebyte : wilde ook niet opstarten
combofix : wilde ook niet opstarten
ccleaner : deed het wel maar weinig resultaat
super anti-spyware : deed het ook niet
prevx3.0 : kreeg een lijst van 6 infecties maar doordat ik de trial versie heb kan ik ze niet verwijderen en kon ze ook niet handmatig opsporen.

Ook heb ik de programma's die niet opstartten via een USB-stick geprobeerd maar dat werkte ook niet. Iemand een oplossing behalve windows herinstalleren?

ohja verder sloot die ook telkens internet explorer af als ik bijvoorbeeld ga googelen naar een oplossing. Firefox wilde na een tijdje ook niet meer mee werken en sloot ook telkens af.

Alvast Bedank

[ Voor 9% gewijzigd door TTD op 22-05-2009 16:27 ]

[Craven]

het hele zooitje weer is proberen in safe mode?
wat meer info zou ook wel welkom zijn. Ik neem aan dat prevx aangeeft hoe het beestje heet.

[Mad Marty]

In veilige modus proberen? Linux live-cd'tje proberen?

[mklcln]

Probeer is met veilige modus met bijv nod32 of avira.
Overigens gebruik ik meestal rescue bootcd`s om die irritante malware/virussen te verwijderen wordt tenminste de OS niet gebruikt.

[ Voor 7% gewijzigd door mklcln op 22-05-2009 16:29 ]

[TTD]

Dat was ik ff vergeten te vermelden. Ik had het ook in safe mode geprobeerd maar ook daar deden de programma's het niet of ze vonden niks
Ik had het ook via een andere OS geprobeerd die op dezelfde pc staat en ik heb daar met malwarebyte door de schijf gescand die geïnfecteerd was. Malwarebyte vond maar 1 infectie terwijl Prevx3.0 er 8 aangaf. Had die ene welverwijderd en vervolgens nog eens met prevx er doorheen gescand en toen vond die er nog altijd 6 infecties.

De niet geïnfecteerde OS is Windows Vista en de geïnfecteerde is Windows XP

*Ja ik ga zal zo even die andere OS weer opstarten. Ik geloof dat dat bestandje uax....... was.

[ Voor 8% gewijzigd door TTD op 22-05-2009 16:38 ]

[TTD]

Ik heb Hijackthis nog ff door laten scannen

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 0:05:54, on 23-5-2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Internet Explorer\Iexplore.exe
C:\Program Files\Common Files\Symantec Shared\AppCore\AppSvc32.exe
C:\Program Files\Internet Explorer\Iexplore.exe
C:\Program Files\Lavasoft\Ad-Aware\AAWService.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.exe
C:\Program Files\ASUS\Drive Xpert\SteelVine.exe
C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
C:\Program Files\Prevx\prevx.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\PnkBstrA.exe
C:\WINDOWS\system32\PSIService.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Prevx\prevx.exe
C:\Program Files\Lavasoft\Ad-Aware\AAWTray.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\ASUS\Ai Suite\AiNap\AiNap.exe
C:\Program Files\ASUS\AI Direct Link\AsShare.exe
C:\Program Files\ASUS\Drive Xpert\DriveXpert.exe
C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe
C:\Program Files\Common Files\Ulead Systems\AutoDetector\monitor.exe
C:\Program Files\Analog Devices\Core\smax4pnp.exe
C:\Program Files\Analog Devices\SoundMAX\Smax4.exe
C:\Program Files\Common Files\Symantec Shared\ccApp.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Program Files\K-Lite Codec Pack\Real\Update_OB\realsched.exe
C:\Program Files\Corel\Corel MediaOne\Corel Photo Downloader.exe
C:\Program Files\Windows Live\Messenger\msnmsgr.exe
C:\Program Files\easyMule\eMule.exe
C:\Program Files\ASUS\Six Engine\SixEngine.exe
C:\Program Files\WinZip\WZQKPICK.EXE
C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe
C:\Program Files\Common Files\Ulead Systems\AutoDetector\monitor.exe
C:\Program Files\Analog Devices\Core\smax4pnp.exe
C:\Program Files\Common Files\Symantec Shared\ccApp.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: IE2EMBHO Class - {0A0DDBD3-6641-40B9-873F-BBDD26D6C14E} - C:\Program Files\easyMule\modules\IE2EM.dll
O2 - BHO: (no name) - {1E8A6170-7264-4D0F-BEAE-D42A53123C75} - C:\Program Files\Common Files\Symantec Shared\coShared\Browser\1.5\NppBho.dll
O2 - BHO: (no name) - {39fc2065-c9c7-49cd-8942-44cc2dedc844} - (no file)
O2 - BHO: Malicious Scripts Scanner - {55EA1964-F5E4-4D6A-B9B2-125B37655FCB} - C:\Documents and Settings\All Users\Application Data\Prevx\pxbho.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Windows Live Aanmelden - Help - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O3 - Toolbar: Show Norton Toolbar - {90222687-F593-4738-B738-FBEE9C7B26DF} - C:\Program Files\Common Files\Symantec Shared\coShared\Browser\1.5\UIBHO.dll
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [Six Engine] "C:\Program Files\ASUS\Six Engine\SixEngine.exe" -r
O4 - HKLM\..\Run: [Ai Nap] "C:\Program Files\ASUS\Ai Suite\AiNap\AiNap.exe"
O4 - HKLM\..\Run: [QFan Help] "C:\Program Files\ASUS\Ai Suite\QFan3\QFanHelp.exe"
O4 - HKLM\..\Run: [Cpu Level Up help] C:\Program Files\ASUS\Ai Suite\CpuLevelUpHelp.exe
O4 - HKLM\..\Run: [Launch Direct Link] "C:\Program Files\ASUS\AI Direct Link\AsShare.exe"
O4 - HKLM\..\Run: [Launch As Cmd Runner] "C:\Program Files\ASUS\AI Direct Link\AsCmd.exe" -reg
O4 - HKLM\..\Run: [Drive Xpert] C:\Program Files\ASUS\Drive Xpert\DriveXpert.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Ulead AutoDetector v2] C:\Program Files\Common Files\Ulead Systems\AutoDetector\monitor.exe
O4 - HKLM\..\Run: [SoundMAXPnP] C:\Program Files\Analog Devices\Core\smax4pnp.exe
O4 - HKLM\..\Run: [SoundMAX] "C:\Program Files\Analog Devices\SoundMAX\Smax4.exe" /tray
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [osCheck] "C:\Program Files\Norton Internet Security\osCheck.exe"
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [Ad-Watch] C:\Program Files\Lavasoft\Ad-Aware\AAWTray.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\K-Lite Codec Pack\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [PrevxOne] "C:\Program Files\Prevx1\PXConsole.exe"
O4 - HKLM\..\Run: [HitmanPro3] "C:\Program Files\Hitman Pro 3\hitmanpro3.exe" -autocheck
O4 - HKLM\..\Run: [Corel Photo Downloader] "C:\Program Files\Corel\Corel MediaOne\Corel Photo Downloader.exe" -startup
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [eMuleAutoStart] C:\Program Files\easyMule\eMule.exe -AutoStart
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Program Files\WinZip\WZQKPICK.EXE
O8 - Extra context menu item: Download by easyMule - C:\Program Files\easyMule\IE2EM.htm
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O23 - Service: 57xx SteelVine (57xx SteelVine Manager) - Unknown owner - C:\Program Files\ASUS\Drive Xpert\SteelVine.exe
O23 - Service: Automatic LiveUpdate Scheduler - Symantec Corporation - C:\Program Files\Symantec\LiveUpdate\ALUSchedulerSvc.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
O23 - Service: Symantec Lic NetConnect service (CLTNetCnService) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
O23 - Service: COM Host (comHost) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\VAScanner\comHost.exe
O23 - Service: CSIScanner - Prevx - C:\Program Files\Prevx\prevx.exe
O23 - Service: Symantec IS Password Validation (ISPwdSvc) - Symantec Corporation - C:\Program Files\Norton Internet Security\isPwdSvc.exe
O23 - Service: Lavasoft Ad-Aware Service - Lavasoft - C:\Program Files\Lavasoft\Ad-Aware\AAWService.exe
O23 - Service: LiveUpdate - Symantec Corporation - C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe
O23 - Service: Prevx Agent (PREVXAgent) - Prevx - C:\Program Files\Prevx1\PXAgent.exe
O23 - Service: ProtexisLicensing - Unknown owner - C:\WINDOWS\system32\PSIService.exe
O23 - Service: Symantec Core LC - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\CCPD-LC\symlcsvc.exe
O23 - Service: Symantec AppCore Service (SymAppCore) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\AppCore\AppSvc32.exe

--
End of file - 8706 bytes

ook heb ik net met vundofix gescand maar die vond ook niks.

Er zijn 6 infecties waarvan 4 .dll zijn, een registery en een .sys bestand. Alle .dll bestandjes hebben als rating high risk. Een van die bestandjes heet 'uacnvvvaiyeshhcmyl.dll '. Hij zit ergens verstopt in de system32 file maar kan hem nergens vinden. De rest van de bestanden op de registery na beginnen allemaal met ' uac '.

Verder heb ik nog geprobeerd om mijn systeem te herstellen naar een herstelpunt maar hij reageerde niet eens...

[mklcln]

Scan het systeem is met een paar verschillende rescue cd`s
Url`s:
Dr. Web Rescue CD
Bitdefender Rescue CD
G-Data Rescue CD
Kaspersky Rescue CD

Note:
Zorg er wel even voor dat je bekabeld zit. Zodat je de updates kunt downloaden/binnenhalen voordat je gaat scannen.

[ Voor 14% gewijzigd door mklcln op 23-05-2009 00:30 ]

[Exception]

Probeer ComboFix je computer eens te laten scannen, maar dan in Veilige Modus. Start hij dan wel op?

[ Voor 32% gewijzigd door Exception op 23-05-2009 00:34 ]

[TTD]

dpz schreef op zaterdag 23 mei 2009 @ 00:28:
Scan het systeem is met een paar verschillende rescue cd`s
Url`s:
Dr. Web Rescue CD
Bitdefender Rescue CD
G-Data Rescue CD
Kaspersky Rescue CD

Note:
Zorg er wel even voor dat je bekabeld zit. Zodat je de updates kunt downloaden/binnenhalen voordat je gaat scannen.

oke ik zal het zoeven proberen

Exception schreef op zaterdag 23 mei 2009 @ 00:32:


Probeer ComboFix je computer eens te laten scannen, maar dan in Veilige Modus. Start hij dan wel op?

jep combofix geprobeerd in veiligheid modus maar ook toen wilde hij niet opstarten en als ik vanuit een direct link doe dan zegt die dat die combofix niet kan benoemen naar combofix[1]

[bobsquad]

Zo te zien kun je dit probleem makkelijk oplossen met malware bytes heb dit probleem zelf ook een aantal maanden geleden gehad. Mocht het eventueel niet lukken kijk dan of je die bestanden via de cmd handmatig kunt verwijderen en of dat effect heeft.

[Craven]

combofix startte niet op, ook niet in safe mode.

als ik me niet vergis heeft een collega van mij een weekje geleden nog een pc schoongemaakt met een dergelijke "uac" geval op xp. hij is gewoon in register gaan graven en heeft een hele zooi register sleutels met de "uac" vermelding verwijderd. Ik zou even een register cleanertje installeren en op alles zoeken dat het woord uac bevat dat kun je sowieso verwijderen.

Maar eerlijk gezegd zou ik het hele geval gewoon opnieuw installeren mn collega kreeg hem alleen weer werkend zonder foutmeldingen en dergelijken maar echt soepel draaide hij niet meer.

[TTD]

bobsqaud schreef op zaterdag 23 mei 2009 @ 00:46:
Zo te zien kun je dit probleem makkelijk oplossen met malware bytes heb dit probleem zelf ook een aantal maanden geleden gehad. Mocht het eventueel niet lukken kijk dan of je die bestanden via de cmd handmatig kunt verwijderen en of dat effect heeft.

Het probleem is wel dat malwarebyte niet opstart, blijkbaar heeft is dit virus/malware zo ingesteld dat alle mogelijke programma's die hem uit kan schakelen gaat blokeren.

Craven87 schreef op zaterdag 23 mei 2009 @ 00:47:
combofix startte niet op, ook niet in safe mode.

als ik me niet vergis heeft een collega van mij een weekje geleden nog een pc schoongemaakt met een dergelijke "uac" geval op xp. hij is gewoon in register gaan graven en heeft een hele zooi register sleutels met de "uac" vermelding verwijderd. Ik zou even een register cleanertje installeren en op alles zoeken dat het woord uac bevat dat kun je sowieso verwijderen.

Maar eerlijk gezegd zou ik het hele geval gewoon opnieuw installeren mn collega kreeg hem alleen weer werkend zonder foutmeldingen en dergelijken maar echt soepel draaide hij niet meer.

regcleaner een goeie?

[bobsquad]

Dan raad ik je toch een live cd van een linux distributie aan om die bestanden die kwaadwillig zijn te verwijderen en daarna nog een of ander programma te gaan draaien om de resten te verwijderen.

[EdwardTheGreat]

Volgende keer even zorgen dat je geimmuniseerd bent met SpywareBlaster en Spybot S&D, je wilt niet weten hoeveel die van dit soort troep buiten kunnen houden.

Nou is geen enkele beveiliging waterdicht natuurlijk, maar dit is toch wel een uber manier om infecties te voorkomen.. Bij alle mensen waar ik dit geinstalleerd heb, hoef ik tegenwoordig minder vaak op te draven om spyware op te ruimen.

Nog een ideetje: hitman pro, ik weet eigenlijk niet hoe goed die tegenwoordig is maar 'vroeger' heel veel gebruikt (en versie 3 zou nu sneller moeten zijn dan versie 2 toen)

Ik wou nog iets zeggen over C:\WINDOWS\system32\PnkBstrA.exe omdat ik die eerder eens ben tegengekomen, op een pc waarop geen online spellen werden gespeeld, maar volgens Google lijkt ie legitiem. (Dat zal dan wel zo zijn )

[bobsquad]

Punkbuster is voor games als CoD en dergelijke om je te laten connecten met servers en is gekoppeld aan je game account ivm cheaten en dergelijke dus dat is geen probleem.

uacnvvvaiyeshhcmyl.dll kan ik zelf ook verder nergens vinden. Het zit zo te zien ook niet standaard bij de UAC in vista.

Aan de log te zien heb je aardig wat virusscanners/adware programma's geinstalleerd.

Mischien moet je die toch eens allemaal gaan verwijderen. Dit maakt nu toch niet uit aangezien ze momenteel niet helpen. Dit kan eventueel wel het probleem oplossen als ze elkaar gaan tegenwerken.

[TTD]

TruckingOtto schreef op zaterdag 23 mei 2009 @ 01:18:
Volgende keer even zorgen dat je geimmuniseerd bent met SpywareBlaster en Spybot S&D, je wilt niet weten hoeveel die van dit soort troep buiten kunnen houden.

Nou is geen enkele beveiliging waterdicht natuurlijk, maar dit is toch wel een uber manier om infecties te voorkomen.. Bij alle mensen waar ik dit geinstalleerd heb, hoef ik tegenwoordig minder vaak op te draven om spyware op te ruimen.

Nog een ideetje: hitman pro, ik weet eigenlijk niet hoe goed die tegenwoordig is maar 'vroeger' heel veel gebruikt (en versie 3 zou nu sneller moeten zijn dan versie 2 toen)

Ik wou nog iets zeggen over C:\WINDOWS\system32\PnkBstrA.exe omdat ik die eerder eens ben tegengekomen, op een pc waarop geen online spellen werden gespeeld, maar volgens Google lijkt ie legitiem. (Dat zal dan wel zo zijn )

Hitman pro had ik ook geprobeerd was ik vergeten te vermelden, had de afgelopen 24uur uit paniek zoveel antispyware/malware/virus programma''s geïnstalleerd en af gegooid dat ik zelf het niet meer bij kan houden

bobsqaud schreef op zaterdag 23 mei 2009 @ 01:24:
Punkbuster is voor games als CoD en dergelijke om je te laten connecten met servers en is gekoppeld aan je game account ivm cheaten en dergelijke dus dat is geen probleem.

uacnvvvaiyeshhcmyl.dll kan ik zelf ook verder nergens vinden. Het zit zo te zien ook niet standaard bij de UAC in vista.

Aan de log te zien heb je aardig wat virusscanners/adware programma's geinstalleerd.

Mischien moet je die toch eens allemaal gaan verwijderen. Dit maakt nu toch niet uit aangezien ze momenteel niet helpen. Dit kan eventueel wel het probleem oplossen als ze elkaar gaan tegenwerken.

Is goed ik ben ze al aan het verwijderen maar moet norton ook weg?

[bobsquad]

Ik zou gewoon alles verwijderen en dan kijken of het probleem zich dan nog voordoet, mocht dat niet zo zijn dan kun je ze een voor een weer installeren en dan kun je zien waar het probleem zich voordoet.

Zelf ben ik ervoor om 1 maar max 2 virusscanners en dergelijke meuk op mijn windows pc's te installeren.

[ Voor 34% gewijzigd door bobsquad op 23-05-2009 01:39 ]

[TTD]

hmm... Norton kan niet worden verwijderd....

[Jimster]

Malwarebytes (mbam.exe) en Spybot een andere naam geven en opstarten en scannen maar.

[TTD]

Me hele systeem is nu zo instabiel als wat, constant foutmeldingen. Ik denk dat ik gewoon een nieuwe installatie ga doen.
Bedank voor al jullie hulp nog