Trojan.Agent.MVO - Niet te verwijderen

[Crazy-Al]

Bij mijn broer zijn bedrijf (Horeca) heb ik ongeveer vijf maanden geleden een nieuwe hoofdcomputer geinstalleerd. Programmas, antivirus, ccleaner, MBAM, het standaardpakketje om alles er alvast op te hebben mocht er ooits iets opkomen.


Nou ben ik gisteren gebeld, en vandaag even langsgekomen. Ze hadden namelijk steeds popups.

Dus ik daar aangekomen, constateer ik het eerste; Antivirus (NOD32) is foetsie. Pleite. Geen snelkoppeling, niks, dus ik was al woest, het lijkt mij dat iemand die dus verwijderd heeft als zijnde "ken ik niet".

Dus inmiddels draai ik het trio MBAM - TDSSKiller - MSE, en ik kom helemaal nergens mee verder. Veilige modus niet, normale modus niet,

Toen ik TDSSKiller aanzette, vond hij twee dingen, eentje gehersteld, en een verwijderd. Opnieuw opgestart en TDSSKiller vond niks meer.
Toen de beurt aan MSE. Die vond een paar trojans en backdoor downloaders, verwijderd, opnieuw opgestart, was goed.

MBAM aangezet, die vond er nog eens 30. VErwijderd, was clean, opnieuw opgestart.

Juist, toen de nacontrole, TDSSKiller was 0. MSE was 0. MBAM was... 6. Alle 6 Trojan.Agent.MVO. Opnieuw aangezet, verwijderd, klaar. Weer opnieuw aangezet zonder restart, en je voelt hem al aankomen... Weer weg.

Toen kwam mijn supertweakerinstinkt op; www.justfuckinggoogleit.com. Dus helemaal geen enkele resultaat (?). Dus ik zoeken op trojan.agent en kom een hele boel varianten tegen met allemaal dezelfde symptomen. Alleen.... het doet helemaal niks.

Inmiddels ben ik 2 uur verder, ik heb MBAM weer aangezet op volledig en zit (nog steeds bezig) al op de 128(!) objecten. Dus gewoon meer als toen ik begon.

Ik kom er niet uit hoe ik ze wegkrijg. Ik kan geen log posten (ik typ via mijn macbook) maar alles zit in:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\CurrentVersion\Run\\chkraids.exe
HKEY_CURRENT_USER\SOFTWARE\Microsoft\CurrentVersion\Run\\expdevice.exe
HKEY_CURRENT_USER\SOFTWARE\Microsoft\CurrentVersion\Run\\ctrlfast.exe
HKEY_CURRENT_USER\SOFTWARE\Microsoft\CurrentVersion\Run\\devicectrl.exe
HKEY_CURRENT_USER\SOFTWARE\Microsoft\CurrentVersion\Run\\dpapgraf.exe
HKEY_CURRENT_USER\SOFTWARE\Microsoft\CurrentVersion\Run\\helpctrl.exe

Heeft iemand een idee? Veilige modus heeft geen nut...


NB: Backup heb ik al gemaakt, maar ik ben dus bang dat ik het virus heb meegenomen op de backup.

Ik ben dusdanig desperate om het te fixen zonder reinstall (dat is met hotelsoftware een ramp) om voor het winnende antwoord een dinertje te regelen!

MVG
Marvin Jansen

[Baserk]

Een echt redelijke scan kan je doen met een LiveCD van bijv Kaspersky (link) of die van een andere goede AV.
Je kan ook nog HitmanPro3 overwegen voor een scan maar het enige juiste, en daarmee afziend van een diner, is imao een verse reinstall met de (tijdsrovende?) installatie van de hotelsoftware.
Maak daarna een image van de partitie met het OS+programma's zodat je de volgende keer binnen een half uurtje klaar bent mocht er weer iemand een 'lastig' programma zoals de AV de-installeren.
Maak user accounts aan voor de gebruikers en geef het admin pw aan een beperkt aantal mensen zodat je broer meteen weet wie hij moet aanspreken als er weer een Einstein op zo'n leuk idee komt.
Scannen met een LiveCD kan trouwens ook uren duren en geeft nooit de 100% zekerheid van een verse install.
Ik zeg, ga voor zeker; reinstall, het is tenslotte de broodwinning van je broer.

[PilatuS]

Haal de HDD er anders uit en probeer het op een andere PC te verwijderen. Virussen verwijderen gaat meestal beter als het OS waarop ze staan niet in gebruik is.

[Verwijderd]

Als alle laatste kun je combofix overwegen wanneer je voor de keuze staat van reinstall

http://www.leerwiki.nl/Wat_is_Combofix

Dit is de link: bleepingcomputer http://www.bleepingcomputer.com/combofix/how-to-use-combofix

Succes.

[-The_Mask-]

Avast heeft ook een goede rootkit scanner kun je ook proberen.

[Weiman]

Ik zou de Microsoft Standalone System Sweeper eens proberen, sowieso scannen buiten het OS lijkt me een goed idee.

[Crazy-Al]

Beste allen,

allereerst bedankt voor de reacties!

@Baserk we zijn de voorbereiding voor een reinstall al aan het maken, alle afspraken worden momenteel zowel digitaal als op papier gemaakt, en tijdens de rustige uurtjes worden digitale afspraken overgeschreven. Het nadeel is dat er veel gegevens zitten per afspraak (naam, adres, tel nr. e.d.) die allemaal mee moeten worden genomen.Partities maken is het volgende dat sowieso gebeurt, helaas genoeg was ik niet degene die deze PC van grond af aan heeft geinstalleerd, ik heb alleen alle eindsoftware e.d. er op gezet.

@PilatuS/Weiman Ik heb op mijn workbench computer (P4 antivirus bakje) wat nieuwe dingen geupdate. Ik zal morgen kijken of ik die mee kan nemen en via die computer als slave scannen, bedankt voor de tip, helemaal niet aan gedacht!

@Kapitein dankjewel! ik zal er morgen wat meer op inlezen.


Voor nu in ieder geval, allen een fijne kerst gewenst! Morgen zal ik even kijken wat we kunnen doen ermee. Hartstikke bedankt!

[42dpi]

Anders SDfix of smitfraudfix proberen.

[kevinr1]

Ik weet niet of het veel werk is, maar herinstalleer is waarschijnlijk wel het veiligst?
Ik weet hier niet veel van, maar virussen schrijven zich ook weg op de MBR ( master boot record ).
Daarom blijven deze terugkomen. Valt niet te verwijderen vanuit het OS zelf.

Desnoods nog even Hiren's boot `15.1 Full.