mogelijk virus met raar gedrag

[sprankel]

Ik ben niet zeker of het een virus betreft maar ik zal de symptomen uitleggen,

Als je de website van binckbank of facebook open doet, word de browser geminimaliseerd, gemaximaliseerd, geminimaliseerd, etc voor 2 minuten. (hij doet het onder alle browsers), ondertussen kun je niets doen. Achter 2 minuten gaat hij terug naar de vorige pagina.

taskmanager oproepen geeft hetzelfde gedrag.

Nog gekker word het bij google, deze werkt perfect echter, durf het woord facebook of binckbank in te tikken en te googlen, dus zonder dat je de website zelf bezoekt, geeft hetzelfde gedrag.

spybot search and destroy, kaspersky internet security 2010 en symantic endpoint protection draaien op de achtergrond (scans al meermaals gelopen) en op 2 trojans na niets specefiek gevonden. Ook zie ik geen verdachte processen, ook geen verdachte gedragingen wanneer hij begint te flikkeren (bv cpu gebruik die de hoogte in schiet )

iemand een idee?

[The Executer]

Post eens een Hijack This logje (mbv de code tags please), misschien dat daar nog iets in staat.

Overigens: Meerdere virusscanners op 1 systeem draaien is niet verstandig. Juist hierdoor is het mogelijk dat er virussen door glippen.

[sprankel]

De symantec is niet veel waard maar vanwege die van het werk erop staat kan ik die niet verwijderen,


Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 20:59:11, on 15/06/2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Symantec\Symantec Endpoint Protection\Smc.exe
C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
C:\WINDOWS\system32\spoolsv.exe
c:\windows\options\drivers\audio\audio (e6400)\wdm\stacsv.exe
C:\Program Files\Broadcom Corporation\Broadcom USH Host Components\CV\bin\HostControlService.exe
C:\Program Files\Broadcom Corporation\Broadcom USH Host Components\CV\bin\HostStorageService.exe
C:\Program Files\AVG\AVG9\avgwdsvc.exe
C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2010\avp.exe
C:\Program Files\Cisco Systems\VPN Client\cvpnd.exe
C:\Program Files\IBM\SQLLIB\BIN\db2jds.exe
C:\Program Files\AVG\AVG9\avgchsvx.exe
C:\Program Files\IBM\SQLLIB\BIN\db2sec.exe
C:\Notes\nsd.exe
C:\Notes\nslsvice.exe
C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe
C:\Program Files\AT&T Global Network Client\netcfgsvr.exe
C:\WINDOWS\system32\r_server.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Symantec\Symantec Endpoint Protection\Rtvscan.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\UPHClean\uphclean.exe
C:\Program Files\Webroot\Enterprise\CommAgent\CommAgent.exe
C:\Program Files\Webroot\Enterprise\Spy Sweeper\SpySweeper.exe
C:\Program Files\Common Files\Symantec Shared\ccApp.exe
C:\Program Files\IDT\WDM\sttray.exe
C:\WINDOWS\system32\AESTFltr.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\igfxpers.exe
C:\Program Files\Dell\Dell ControlPoint\Dell.ControlPoint.exe
C:\Program Files\CyberLink\PowerDVD DX\PDVDDXSrv.exe
C:\WINDOWS\system32\igfxsrvc.exe
C:\Program Files\DivX\DivX Update\DivXUpdate.exe
C:\Program Files\Webroot\Enterprise\Spy Sweeper\SpySweeperTray.exe
C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2010\avp.exe
C:\WINDOWS\system32\CCM\CcmExec.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Websense LogonApp\LogonApp.exe
C:\Documents and Settings\jo0003\Local Settings\Application Data\Google\Update\1.2.183.23\GoogleCrashHandler.exe
c:\Program Files\Dell\Dell ControlPoint\System Manager\DCPSysMgrSvc.exe
C:\Program Files\Symantec\Symantec Endpoint Protection\SmcGui.exe
C:\Notes\NLNOTES.EXE
C:\Notes\framework\rcp\eclipse\plugins\com.ibm.rcp.base_6.2.1.20090925-1604\win32\x86\notes2.exe
C:\Notes\ntaskldr.EXE
C:\Notes\nNOTESMM.EXE
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2010\klwtblfs.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\TEMP\Temporary Directory 1 for PrcView_5_2_15[1].zip\PrcView.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Documents and Settings\jo0003\Local Settings\Temporary Internet Files\Content.IE5\ADQGG3K0\HijackThis[1].exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 192.168.1.99:88
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: IEVkbdBHO - {59273AB4-E7D3-40F9-A1A8-6FA9CCA1862C} - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2010\ievkbd.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: link filter bho - {E33CF602-D945-461A-83F0-819F76A199F8} - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2010\klwtbbho.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [Client Access Service] "C:\Program Files\IBM\Client Access\cwbsvstr.exe"
O4 - HKLM\..\Run: [Client Access Help Update] "C:\Program Files\IBM\Client Access\cwbinhlp.exe"
O4 - HKLM\..\Run: [Client Access Check Version] "C:\Program Files\IBM\Client Access\cwbckver.exe" LOGIN
O4 - HKLM\..\Run: [Client Access Express Welcome] "C:\Program Files\IBM\Client Access\cwbwlwiz.exe"
O4 - HKLM\..\Run: [Client Access PC5250 Sound] "C:\Program Files\IBM\Client Access\Emulator\pcssnd.exe"
O4 - HKLM\..\Run: [Apoint] C:\Program Files\DellTPad\Apoint.exe
O4 - HKLM\..\Run: [SysTrayApp] %ProgramFiles%\IDT\WDM\sttray.exe
O4 - HKLM\..\Run: [AESTFltr] %SystemRoot%\system32\AESTFltr.exe /NoDlg
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [Persistence] C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [DellControlPoint] "c:\Program Files\Dell\Dell ControlPoint\Dell.ControlPoint.exe"
O4 - HKLM\..\Run: [PDVDDXSrv] "C:\Program Files\CyberLink\PowerDVD DX\PDVDDXSrv.exe"
O4 - HKLM\..\Run: [DivXUpdate] "C:\Program Files\DivX\DivX Update\DivXUpdate.exe" /CHECKNOW
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [AVG9_TRAY] C:\PROGRA~1\AVG\AVG9\avgtray.exe
O4 - HKLM\..\Run: [RightFAX Print-to-Fax Driver] C:\Program Files\RightFax\Client\faxctrl.exe
O4 - HKLM\..\Run: [Webroot Spy Sweeper, Enterprise Edition] C:\Program Files\Webroot\Enterprise\Spy Sweeper\SpySweeperTray.exe
O4 - HKLM\..\Run: [AVP] "C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2010\avp.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Common Files\Java\Java Update\jusched.exe"
O4 - HKLM\..\RunOnce: [WIAWizardMenu] RUNDLL32.EXE C:\WINDOWS\system32\sti_ci.dll,WiaCreateWizardMenu
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [Google Update] "C:\Documents and Settings\jo0003\Local Settings\Application Data\Google\Update\GoogleUpdate.exe" /c
O4 - HKCU\..\Policies\Explorer\Run: [1] "c:\program files\websense logonapp\websenselogonapp.bat"
O4 - HKUS\S-1-5-19\..\RunOnce: [_nltide_2] regsvr32 /s /n /i:U shell32 (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-19\..\RunOnce: [_nltide_3] rundll32 advpack.dll,LaunchINFSectionEx nLite.inf,C,,4,N (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\RunOnce: [_nltide_2] regsvr32 /s /n /i:U shell32 (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [_nltide_2] regsvr32 /s /n /i:U shell32 (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [_nltide_2] regsvr32 /s /n /i:U shell32 (User 'Default user')
O4 - Global Startup: AutoCAD LT Startup Accelerator.lnk = C:\Program Files\Common Files\Autodesk Shared\acstart16.exe
O8 - Extra context menu item: Toevoegen aan Anti-Banner - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2010\ie_banner_deny.htm
O9 - Extra button: PokerStars - {3AD14F0C-ED16-4e43-B6D8-661B03F6A1EF} - C:\Program Files\PokerStars\PokerStarsUpdate.exe
O9 - Extra button: &Virtueel toetsenbord - {4248FE82-7FCB-46AC-B270-339F08212110} - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2010\klwtbbho.dll
O9 - Extra button: URL Adviseur - {CCF151D8-D089-449F-A5A4-D9909053F20F} - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2010\klwtbbho.dll
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microso...eb_site.cab?1276283114656
O16 - DPF: {8C28EFD7-767B-11D1-844B-0060972DC2AC} - http://rmcbrio2/Hyperion/zeroadmin/component/Brio.Insight.en.cab
O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} - http://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = milliken.com
O17 - HKLM\Software\..\Telephony: DomainName = milliken.com
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = milliken.com
O17 - HKLM\System\CS3\Services\Tcpip\Parameters: Domain = milliken.com
O20 - AppInit_DLLs: C:\PROGRA~1\KASPER~1\KASPER~1\mzvkbd3.dll,C:\PROGRA~1\KASPER~1\KASPER~1\kloehk.dll
O22 - SharedTaskScheduler: Browseui preloader - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Component Categories cache daemon - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O23 - Service: Autodesk Licensing Service - Autodesk - C:\Program Files\Common Files\Autodesk Shared\Service\AdskScSrv.exe
O23 - Service: AVG WatchDog (avg9wd) - AVG Technologies CZ, s.r.o. - C:\Program Files\AVG\AVG9\avgwdsvc.exe
O23 - Service: AVG Firewall (avgfws9) - Unknown owner - C:\Program Files\AVG\AVG9\avgfws9.exe (file missing)
O23 - Service: AVG9IDSAgent (AVGIDSAgent) - AVG Technologies CZ, s.r.o. - C:\Program Files\AVG\AVG9\Identity Protection\Agent\Bin\AVGIDSAgent.exe
O23 - Service: Kaspersky Internet Security (AVP) - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 2010\avp.exe
O23 - Service: Dell ControlPoint Button Service (buttonsvc32) - Dell Inc. - c:\Program Files\Dell\Dell ControlPoint\DCPButtonSvc.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
O23 - Service: Credential Vault Host Control Service - Broadcom Corporation - C:\Program Files\Broadcom Corporation\Broadcom USH Host Components\CV\bin\HostControlService.exe
O23 - Service: Credential Vault Host Storage - Broadcom Corporation - C:\Program Files\Broadcom Corporation\Broadcom USH Host Components\CV\bin\HostStorageService.exe
O23 - Service: Cisco Systems, Inc. VPN Service (CVPND) - Cisco Systems, Inc. - C:\Program Files\Cisco Systems\VPN Client\cvpnd.exe
O23 - Service: iSeries Access for Windows Remote Command (Cwbrxd) - IBM Corporation - C:\WINDOWS\CWBRXD.EXE
O23 - Service: DB2 JDBC Applet Server (DB2JDS) - International Business Machines Corporation - C:\Program Files\IBM\SQLLIB\BIN\db2jds.exe
O23 - Service: DB2 Security Server (DB2NTSECSERVER) - International Business Machines Corporation - C:\Program Files\IBM\SQLLIB\BIN\db2sec.exe
O23 - Service: Dell ControlPoint System Manager (dcpsysmgrsvc) - Dell Inc. - c:\Program Files\Dell\Dell ControlPoint\System Manager\DCPSysMgrSvc.exe
O23 - Service: Symantec Eraser Service (EraserSvc11010) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: LiveUpdate - Symantec Corporation - C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE
O23 - Service: Lotus Notes Diagnostics - IBM - C:\Notes\nsd.exe
O23 - Service: Lotus Notes Single Logon - IBM Corp - C:\Notes\nslsvice.exe
O23 - Service: Network Configuration Service (netcfgsvr) - AT&T - C:\Program Files\AT&T Global Network Client\netcfgsvr.exe
O23 - Service: Remote Administrator Service (r_server) - Unknown owner - C:\WINDOWS\system32\r_server.exe
O23 - Service: Symantec Auto-upgrade Agent (Smcinst) - Unknown owner - C:\Program Files\Symantec\Symantec Endpoint Protection\SmcLU\Setup\smcinst.exe (file missing)
O23 - Service: Symantec Management Client (SmcService) - Symantec Corporation - C:\Program Files\Symantec\Symantec Endpoint Protection\Smc.exe
O23 - Service: Audio Service (STacSV) - IDT, Inc. - c:\windows\options\drivers\audio\audio (e6400)\wdm\stacsv.exe
O23 - Service: Symantec Endpoint Protection (Symantec AntiVirus) - Symantec Corporation - C:\Program Files\Symantec\Symantec Endpoint Protection\Rtvscan.exe
O23 - Service: Webroot CommAgent Service (WebrootCommAgentService) - Webroot Software, Inc. - C:\Program Files\Webroot\Enterprise\CommAgent\CommAgent.exe
O23 - Service: Webroot SpySweeper Service (WebrootSpySweeperService) - Webroot Software, Inc. - C:\Program Files\Webroot\Enterprise\Spy Sweeper\SpySweeper.exe

--
End of file - 13664 bytes

[Petervanakelyen]

O9 - Extra button: PokerStars - {3AD14F0C-ED16-4e43-B6D8-661B03F6A1EF} - C:\Program Files\PokerStars\PokerStarsUpdate.exe

Die executable zou ik eens ga nakijken. Heb je al eens je HOSTS-file nagekeken op gekke entries? CCleaner al eens gedraaid (echt een gouden tool, download alleen de slim-versie) en opgeschoond? En wat is het resultaat eigenlijk als je in de Internet Options kiest om de standaardinstellingen van IE te herstellen? Alle plugins en browser add-ons worden verwijderd, maar Flash en dergelijk zijn binnen een seconde terug geïnstalleerd.

[sprankel]

Petervanakelyen schreef op dinsdag 15 juni 2010 @ 21:16:
[...]


Die executable zou ik eens ga nakijken. Heb je al eens je HOSTS-file nagekeken op gekke entries? CCleaner al eens gedraaid (echt een gouden tool, download alleen de slim-versie) en opgeschoond? En wat is het resultaat eigenlijk als je in de Internet Options kiest om de standaardinstellingen van IE te herstellen? Alle plugins en browser add-ons worden verwijderd, maar Flash en dergelijk zijn binnen een seconde terug geïnstalleerd.

pokerstars is ok, host files hebben geen entry's buiten diegene die spybot search and destroy heeft bijgezet. cc cleaner en standaard instellingen herstellen heeft geen effect gehad

[Rupie]

AVG wil ook wel eens rare dingen doen, wellicht dat je die er eens af kunt trappen. Het valt mij trouwens wel op dat je aardig wat beveiliging op je systeem hebt staan:

AVG
Symantec
Kaspersky
Spy Sweeper
Spybot

Met name AVG, Symantec en Kaspersky zullen elkaar dwars kunnen zitten, wellicht dat je ze stuk voor stuk eens af kunt sluiten om te zien of het dan wel beter gaat. Alternatief is om gewoon met een schone installatie te beginnen, hoef je je ook geen zorgen meer te maken over een eventueel virus.

[Mexel]

Via MSCONFIG even wat opstart items uitzetten van je AV, en heb je dit bij 1 browser of bij meerderen, en welke browser gebruik je.

[sprankel]

Mexel schreef op woensdag 16 juni 2010 @ 08:06:
Via MSCONFIG even wat opstart items uitzetten van je AV, en heb je dit bij 1 browser of bij meerderen, en welke browser gebruik je.

meerdere browsers, IE, firefox, chrome,... bovendien doet hij het ook als je taskmanager oproept wat dus niet browser gerelateerd is.

Ondertussen is ook gebleken dat er binnen hetzelfde werk nog iemand is die met gelijkaardige problemen zit, daar zijn ze ontstaan op het moment dat de pc in gebruik is genomen.

dat geeft 3 opties:

ofwel is er iets mis met de image, echter de rest die dezelfde image gebruikt heeft er geen last van

ofwel komt er iets mee met de back-up van bestanden

ofwel komt er iets mee met de image

Rupie schreef op woensdag 16 juni 2010 @ 07:47:
AVG wil ook wel eens rare dingen doen, wellicht dat je die er eens af kunt trappen. Het valt mij trouwens wel op dat je aardig wat beveiliging op je systeem hebt staan:

AVG
Symantec
Kaspersky
Spy Sweeper
Spybot

Met name AVG, Symantec en Kaspersky zullen elkaar dwars kunnen zitten, wellicht dat je ze stuk voor stuk eens af kunt sluiten om te zien of het dan wel beter gaat. Alternatief is om gewoon met een schone installatie te beginnen, hoef je je ook geen zorgen meer te maken over een eventueel virus.

Avg is een oude installatie die niet meer actief staat.

de reden dat er aardig wat opstaat is dat symantec en spy sweeper erop staan door het werk maar geen een van de 2 vind ik goed, om niet te zeggen slecht. Echter deze kan ik niet eens verwijderen zonder netwerk administrator of local administrator.

[Petervanakelyen]

Echter deze kan ik niet eens verwijderen zonder netwerk administrator of local administrator.

Je hebt geen lokale administrator rechten? Ik zou daar eens eerst voor zorgen dan. En begin dan eens met de hoop zooi van alle mogelijk "oude installaties" weg te gooien.

[lordgandalf]

hmmz beetje systeembeheerder spelen op andermans netwerk :S:S:S
Laat je eigen systeembeheer van de zaak er eens naar kijken

[sprankel]

Petervanakelyen schreef op woensdag 16 juni 2010 @ 13:36:
[...]
Je hebt geen lokale administrator rechten? Ik zou daar eens eerst voor zorgen dan. En begin dan eens met de hoop zooi van alle mogelijk "oude installaties" weg te gooien.

ja en nee, ik heb wel admin rechten maar die specifieke programma's zijn op een dergelijke manier erop gezet dat je ofwel vanuit het lokale administrator account ofwel vanuit het netwerk administrator account moet zitten om ze aan te passen.

lordgandalf schreef op woensdag 16 juni 2010 @ 13:57:
hmmz beetje systeembeheerder spelen op andermans netwerk :S:S:S
Laat je eigen systeembeheer van de zaak er eens naar kijken

daar komt het op neer ja, maar die systeembeheerder is zeer benieuwt of ik het kan vinden want hij kon het zelf niet vinden.

En om het nog compleet te maken, ik werk er zelfs niet eens maar we geraken of-toppic, ik zal vanavond eens verder kijken en avg er volledig afgooien.

[R15]

Kijk even of er rare processen draaien met een vreemde naam, vaak zitten virussen in de "temp" map. Ook vaak heb je virussen met een naam zoals "a.exe" of "Ksh.exe" o.i.d. Wanneer je zo'n proces tegenkomt in Windows Taakbeheer, klik erop met de rechtermuisknop, kies voor "bestandslocatie openen", stop het proces (virus), verwijder dan de virus en klaar (hopelijk!)
Wat mogelijk een virus is (virussen zijn): C:\WINDOWS\TEMP\Temporary Directory 1 for PrcView_5_2_15[1].zip\PrcView.exe en
WINDOWS\system32\hkcmd.exe en C:\Notes\nsd.exe en
C:\Notes\nslsvice.exe

[alt-92]

sprankel schreef op dinsdag 15 juni 2010 @ 21:05:
De symantec is niet veel waard maar vanwege die van het werk erop staat kan ik die niet verwijderen,

Is dit een PC van je werk? > Beheerder inschakelen.
Die hoort dat op te lossen, jij hebt wel wat beters te doen. Je wordt niet betaald voor systeembeheerwerk, toch? Daar is die andere man voor.

[ Voor 21% gewijzigd door alt-92 op 16-06-2010 16:16 ]

[Petervanakelyen]

R15 schreef op woensdag 16 juni 2010 @ 16:03:
Kijk even of er rare processen draaien met een vreemde naam, vaak zitten virussen in de "temp" map. Ook vaak heb je virussen met een naam zoals "a.exe" of "Ksh.exe" o.i.d. Wanneer je zo'n proces tegenkomt in Windows Taakbeheer, klik erop met de rechtermuisknop, kies voor "bestandslocatie openen", stop het proces (virus), verwijder dan de virus en klaar (hopelijk!)
Wat mogelijk een virus is (virussen zijn): C:\WINDOWS\TEMP\Temporary Directory 1 for PrcView_5_2_15\[1].zip\PrcView.exe en
WINDOWS\system32\hkcmd.exe en C:\Notes\nsd.exe en
C:\Notes\nslsvice.exe

Die twee laatsten die je opnoemt zijn volgens mij van Lotus Notes.

[ Voor 83% gewijzigd door Petervanakelyen op 16-06-2010 16:15 ]

[sprankel]

R15 schreef op woensdag 16 juni 2010 @ 16:03:
Kijk even of er rare processen draaien met een vreemde naam, vaak zitten virussen in de "temp" map. Ook vaak heb je virussen met een naam zoals "a.exe" of "Ksh.exe" o.i.d. Wanneer je zo'n proces tegenkomt in Windows Taakbeheer, klik erop met de rechtermuisknop, kies voor "bestandslocatie openen", stop het proces (virus), verwijder dan de virus en klaar (hopelijk!)
Wat mogelijk een virus is (virussen zijn): C:\WINDOWS\TEMP\Temporary Directory 1 for PrcView_5_2_15\[1].zip\PrcView.exe en
WINDOWS\system32\hkcmd.exe en C:\Notes\nsd.exe en
C:\Notes\nslsvice.exe

PrcView is een programma om processen te bekijken, aangezien taskmanager niet meer werkt. hkcmd.exe is een is van intel graphics en de overige 2 zijn zoals al aangehaald van lotus notes.

alt-92 schreef op woensdag 16 juni 2010 @ 16:14:
[...]

Is dit een PC van je werk? > Beheerder inschakelen.
Die hoort dat op te lossen, jij hebt wel wat beters te doen. Je wordt niet betaald voor systeembeheerwerk, toch? Daar is die andere man voor.

Ik ken de beheerder en af en toe word een probleem naar mij doorgeschoven, of dat ik daar dan al dan niet voor betaald word is mijn zaak. Kunnen we die discussie aub hierbij eindigen?

[R15]

Ik denk niet dat het volgende helpt, maar je weet het maar nooit: ga naar "C:\Windows\System32\drivers\etc" en open het bestand "hosts" met kladblok. Staat daar alleen dit:
# Copyright © 1993-1999 Microsoft Corp.
#
# This is a sample HOSTS file used by Microsoft TCP/IP for Windows.
#
# This file contains the mappings of IP addresses to host names. Each
# entry should be kept on an individual line. The IP address should
# be placed in the first column followed by the corresponding host name.
# The IP address and the host name should be separated by at least one
# space.
#
# Additionally, comments (such as these) may be inserted on individual
# lines or following the machine name denoted by a "#" symbol.
#
# For example:
#
# 102.54.94.97 rhino.acme.com # source server
# 38.25.63.10 x.acme.com # x client host
#
127.0.0.1 localhost


--- dit en het volgende hoort er niet meer bij ---
Als er in dat bestand nog allemaal regels staan, moet je die verwijderen.

[sprankel]

R15 schreef op woensdag 16 juni 2010 @ 18:46:
Ik denk niet dat het volgende helpt, maar je weet het maar nooit: ga naar "C:\Windows\System32\drivers\etc" en open het bestand "hosts" met kladblok. Staat daar alleen dit:
# Copyright © 1993-1999 Microsoft Corp.
#
# This is a sample HOSTS file used by Microsoft TCP/IP for Windows.
#
# This file contains the mappings of IP addresses to host names. Each
# entry should be kept on an individual line. The IP address should
# be placed in the first column followed by the corresponding host name.
# The IP address and the host name should be separated by at least one
# space.
#
# Additionally, comments (such as these) may be inserted on individual
# lines or following the machine name denoted by a "#" symbol.
#
# For example:
#
# 102.54.94.97 rhino.acme.com # source server
# 38.25.63.10 x.acme.com # x client host
#
127.0.0.1 localhost


--- dit en het volgende hoort er niet meer bij ---
Als er in dat bestand nog allemaal regels staan, moet je die verwijderen.

Het enige wat er nog bij staat is dit:

#list added by spybot search and destroy
site x
site y
site z
etc
# end of list added by spybot search and destroy

Morgen word er getest als er een nieuwe gebruiker word aangemaakt (en dus een nieuw user register) of dit iets helpt.

[R15]

Dan lijkt het me wel goed, als er maar geen rare adressen in staan, spybot staat er bij ook.

[Petervanakelyen]

Je kan altijd nog een een HOSTS-file zoals deze installeren (http://www.mvps.org/winhelp2002/hosts.htm), die gebruik ik ook erg vaak. Je moet er wel rekening mee houden dat je CPU-belasting ontzettend omhoog zal gaan als je met een grote HOSTS-file onder Windows 2000/XP de DNS-Client service niet uit zet, maar dat geldt nu voor de lijst van Spybot S&D ook al.

[Verwijderd]

Weet je nog welke 2 trojans het waren.

[TaraWij]

Maak nog eens een log met AutoRuns, dat is heel wat vollediger dan HijackThis en misschien valt daar wel iets te zien. Stoppen met ESC, gewoon instellen dat die niets verbergt en signatures verifieert, opnieuw scannen en dan opslaan als een PML bestand en ergens online zetten...

Als daar het probleem niet ligt kan het ook nog een rootkit of gewoon een vage bug zijn...
http://www.gmer.net/ en http://technet.microsoft....ysinternals/bb897445.aspx

[Jester-NL]

Je werkt met een (oud) image waar twee verouderde virusscanners in zitten die niet goed weg kunnen. Ik begrijp dat het om een machine voor het werk gaat en dat systeembeheer je bij tijd en wijle vraagt bij te springen.
Misschien is het een goed idee om 'gewoon' opnieuw te beginnen? Data opslaan, formatteren en herinrichten, en alle ouwe meuk die er niet op terug moet gewoon niet installeren. Maak daarvan een nieuwe image. Daar was minder tijd in gaan zitten
En nog afgezien van of het veilig of schoon is... Ik kan me (bijna) geen reden voorstellen waarom poker-software op een werkPC ok is.
* Jester-NL heeft in het verleden meerdere malen problemen met laptops 'gewoon' middels een herinstallatie opgelost nadat hij allerhande semi-legale games op die machines tegenkwam.

[Petervanakelyen]

En geef die image dan ook ineens door aan je sysadmin, voorkom je in het vervolg tenminste nog problemen.

[R15]

Ja, kijk nog eens bij de services, zitten er daar nog rare bij? (msconfig) En kijk ook even naar wat er allemaal opstart.

[sprankel]

net avg eraf gegooid, hij doet normaal dus problem solved

bedankt om mee te denken

[ Voor 19% gewijzigd door sprankel op 18-06-2010 19:50 ]