Let op voor Vista Anti-Virus 2011

[Verwijderd]

Beste,

Ik denk dat dit iedereen wel aangaat maar er is een nieuwe variant op de "Vista Anti-Virus 2011"-virus (VaV) die vele malen agressiever is dan zijn voorgangers.

Vooraf wil ik aangeven dat ik grotendeels een leek ben qua computer termen, programering en dergelijke en ik hieronder alleen beschrijf zoals ik het heb meegemaakt.

Dit K*t programmatje (sorry voor het kleurrijke taalgebruik) heeft effectief mijn gehele pc (Vista Home Premium x64) vanacht in 1 uur onklaar gemaakt.

Hieronder staat beschreven de hoe's en wat's en de gebeurtenissen.

Direct na het opstarten van mijn pc en het openen van Google sloot I.E. zonder tussenkomst van mijzelf af waarna ik dit scherm kreeg http://blog.teesupport.co...Vista-Anti-Virus-2011.jpg. waarna ik direct de pc herstarte in Safe Mode om een virusscan uit te voeren.

In safe mode aangekomen bleek al echter snel dat Avira AntiVir Premium compleet buitenspel werd gezet door dit virus. Ondertussen had ik een goede vriend, en beroeps ICT-er, ingelicht om mij mee te helpen om VaV te verwijderen al mocht zelfs dat niet baten.

Ik kreeg wel telkens een herinnering om VaV te kopen - iedereen weet wel waar dit toe leid -.

Na een 15 a 20 minuten getracht te hebben om toch via een andere manier binnen in het systeem te kunnen komen gebeurde het dat wij nu alleen nog maar het VaV-venster zagen en een I.E. venstertje waar we moesten betalen. Wat ook al snel bleek was dat My Documents en alle omliggende bestandsmappen verdwenen waren (ook op de de C-drive kon ik ze niet meer terug halen) en na nog een aantal waarschuwingen van VaV verdwenen ook alle desktop icoontjes en de taakbalk.

VaV had ondertussen (ongeveer een 45 minuten na de aanval) command/uitvoeren en alle usb/firewire en dvd-drives uitgeschakeld. Ook Crtl+Alt+Del werkte niet.

Na de pc nog eens te hebben herstart bleek dat VaV alle mogelijkheden had geblokkeerd om ook maar iets te kunnen uitvoeren behalve die betalingssite.

Na nogmaals een aantal dingen te hebben uit geprobeert gaf de pc een BSOD weer waarop stond vermeld dat Windows de PC afsloot om verdere schade te voorkomen.

Hierop starte de pc opnieuw op maar kwam niet verder dan de BIOS. Mijn vriend gaf daarna meteen aan dat de OS niet meer op de PC stond.

Einde oefening helaas.

Ik zit nu alleen wel met jet volgende probleem.

Op die pc staat onder meer belangrijke financiële informatie. Ik heb wel een back-up maar deze is niet compleet. Er is best wel haast bij daar ik voor komende donderdag een afspraak heb met de belastingdienst en mijn accountant.

De vraag dus is, kan ik nog via een omweg deze bestanden van mijn PC afhalen en op een USB-stick of ander medium plaatsen waar ik deze dan weer op een andere pc kan openen en gebruiken?

Alvast bedankt,

Kevin v. Stekelenborg

[Verwijderd]

Ik zou eens beginnen met Linux Live Cd's of Windows PE cd's.

Daar kun je compleet onafhankelijk van je harddrive mee booten in een O.S.

Daarna toegang krijgen op je HDD en d.m.v. een externe drive alles veiligstellen.

Succes.

[Verwijderd]

Ik had van het weekend hetzelfde probleem. Ik kon gelukkig in veilige modus een herstelpunt terug zetten en klaar was ik. Alles werkte weer naar behoren.

[Mektheb]

Hitmanpro heeft die de power ?.
Maleware Bytes misschien ?.

Benieuwd weer, denk ik wel wat pc'tjes met die rotsooi ga binnen krijgen.

"mektheb toch heel blij met osx"

[LieveNiels]

Waarschuwen om op te letten voor een specifiek virus is nutteloos. Zodra weet dat je het hebt ben je te laat en heb je al iets fout gedaan. Naast het oplossen van dit probleem is het verstandig om na te gaan hoe je aan het virus gekomen bent, want het komt je niet aanwaaien.

[jbdeiman]

En als je dan weet hoe je eraan gekomen bent, deel dat dan hier (liefst uiteraard geen linkje) zodat mensen er op die manier wel op kunnen letten.

[johnkeates]

Het virus is heel makkelijk te verwijderen. Hernoem een kopie van je favoriete browser naar explorer.exe, hernoem een kopie van je task manager naar explorer.exe en hernoem een kopie van cmd naar explorer.exe, dan kan je ze allemaal openen. Executable namen worden gemonitord, dus vandaar dat je antivirus e.d. niet werkt en je programma's afgesloten wordt. Dit heeft niks met 'buiten spel' gezet worden te maken of met een 'slim' virus, het is een dom ouderwets princiepe, gericht op gebruikers die niet met computers kunnen werken.

Maar dat terzijde. Start je taskmanager, en kill het virus. Leeg daarna je temp mappen, en ruim je startup entries op, daarna je restore points wissen en system restore uit zetten (het is geen magische functie, maar gewoon een bestandenkopieerder/schaduwer - daar kunnen virussen zich ook gewoon in stoppen).

Laat een gericht stuk gereedschap los op je PC, zoals housecall of stinger, ruim ook meteen andere verboudingen op met combofix of smitfraudfix, ga even je exe's en ddl's langs om te kijken of er niet recent vreemde wijzigingen doorgevoerd zijn (doe desnoods een sfc) en dan rebooten en alles zal werken als voorheen.

[Nielson]

Toevallig gister nog even bezig geweest met een laptop van een vriend die ook deze rommel erop had gekregen. Opvallende was dat vista anti-virus 2011 zelfs in veilige modus gestart werd, volgens mij via het normale windows secuity center. Uiteindelijk met een task manager kunnen killen en was toen vrij makkelijk te verwijderen met Malwarebytes' Anti-Malware.

[FlipFluitketel]

Toevallig afgelopen week deze rommel ook tegen gekomen bij iemand. Zoals Nielson al schrijft start dit programma zich ook in veilige modus op maar helaas hielp op deze pc het afsluiten van het proces ook niet aangezien het zich net zo snel weer opnieuw activeerde.
Het installeren van Malwarebytes werd geblokkeerd maar het starten van Combofix niet (wel even een ander naampje gegeven voor de zekerheid). Combofix had een aantal bestanden verwijderd waarna het "antivirus"-programma ook niet meer terug is gekomen. Vervolgens nog eens laten scannen met Mbam & Superantispyware Pro en nog eens een virusscan gedaan en er werd niets meer gevonden en er kwamen ook geen meldingen meer.
Oplossing voor mij was dus Combofix.

[Equator]

Leesvoer over scareware/FakeAV:

http://nakedsecurity.soph...al-protection-mechanisms/