Nieuwe windows 7 meteen besmet

[PerK]

Hallo,

Ik heb sinds 2 dagen een nieuwe windows 7 64bit professional. Dit alles heb geïnstalleerd op een nieuwe hdd(1TB). Na de installatie wou ik mijn C:\ naar 250 GB verkleinen. Dit kon in windows zelf ecter maar tot 500gb. Ik heb dus paragon software gedownload. Na het installeren kreeg ik echter een bootmgr fail bij het opstarten.

Na dit probleem te hebben opgelost krijg ik foutmeldingen van scvhost.exe dat er bepaalde .dll missen. Ik vertrouwde dit niet en heb meteen Malwarebytes anti malware gedraaid. Deze kwam met de volgende log waar ik zelf heel erg van geschrokken ben.

Malwarebytes Anti-Malware 1.61.0.1400
www.malwarebytes.org

Databaseversie: v2012.04.24.04

Windows 7 Service Pack 1 x64 NTFS
Internet Explorer 8.0.7601.17514
Kerssens :: KERSSENS-PC [administrator]

24-4-2012 17:38:04
mbam-log-2012-04-24 (17-38-04).txt

Scantype: Snelle scan
Ingeschakelde scanopties: Geheugen | Opstartitems | Register | Bestanden en mappen | Heuristiek/Extra | Heuristiek/Shuriken | PUP | PUM
Uitgeschakelde scanopties: P2P
Objecten gescand: 210969
Verstreken tijd: 1 minuut/minuten, 5 seconde(n)

Geheugenprocessen gedetecteerd: 4
C:\Program Files (x86)\WinApps\cmss.exe (Trojan.Agent) -> 2000 -> Zal worden verwijderd tijdens het herstarten.
C:\Program Files (x86)\WinApps\msmsgs.exe (Trojan.Agent) -> 2500 -> Zal worden verwijderd tijdens het herstarten.
C:\Program Files (x86)\WinApps\comres.exe (Trojan.VBAgent) -> 2496 -> Zal worden verwijderd tijdens het herstarten.
C:\Program Files (x86)\WinApps\RDS.exe (Trojan.VBAgent) -> 2644 -> Zal worden verwijderd tijdens het herstarten.

Geheugenmodulen gedetecteerd: 0
(Geen kwaadaardige objecten gedetecteerd)

Registersleutels gedetecteerd: 2
HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\{51E24AC2-BA5C-A1E2-12D1-D322A14AA1BD} (Trojan.Agent) -> Succesvol in quarantaine geplaatst en verwijderd.
HKCR\CLSID\{51E24AC2-BA5C-A1E2-12D1-D322A14AA1BD} (Trojan.Agent) -> Succesvol in quarantaine geplaatst en verwijderd.

Registerwaarden gedetecteerd: 2
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|IntellRaidConfigurer (Trojan.Agent) -> Data: C:\PROGRA~2\WinApps\cmss.exe -> Succesvol in quarantaine geplaatst en verwijderd.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|Ethernet Driver (Backdoor.Agent) -> Data: C:\Users\Kerssens\AppData\Roaming\Updater\update.exe -> Succesvol in quarantaine geplaatst en verwijderd.

Registerdata gedetecteerd: 0
(Geen kwaadaardige objecten gedetecteerd)

Mappen gedetecteerd: 3
C:\Users\Kerssens\AppData\Local\Temp\Compress0 (Backdoor.Bot) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Program Files\Accessories\Common (Trojan.Logger) -> Zal worden verwijderd tijdens het herstarten.
C:\Program Files\Accessories\Common\WC (Trojan.Logger) -> Zal worden verwijderd tijdens het herstarten.

Bestanden gedetecteerd: 78
C:\Program Files (x86)\WinApps\cmss.exe (Trojan.Agent) -> Zal worden verwijderd tijdens het herstarten.
C:\Program Files (x86)\WinApps\msmsgs.exe (Trojan.Agent) -> Zal worden verwijderd tijdens het herstarten.
C:\Program Files (x86)\WinApps\comres.exe (Trojan.VBAgent) -> Zal worden verwijderd tijdens het herstarten.
C:\Program Files (x86)\WinApps\RDS.exe (Trojan.VBAgent) -> Zal worden verwijderd tijdens het herstarten.
C:\Users\Kerssens\AppData\Roaming\Updater\update.exe (Backdoor.Agent) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Windows\msgnis.exe (Trojan.Agent) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress0\ccsvchst.exe (Trojan.VBAgent) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress0\ccsvchst1.exe (Trojan.VBAgent) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress0\comres.exe (Trojan.VBAgent) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress0\msmsgs.exe (Trojan.Agent) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress0\RDS.exe (Trojan.VBAgent) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress0\winsyst32.exe (Trojan.Agent) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress1\ccsvchst.exe (Trojan.VBAgent) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress1\ccsvchst1.exe (Trojan.VBAgent) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress1\comres.exe (Trojan.VBAgent) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress1\msmsgs.exe (Trojan.Agent) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress1\RDS.exe (Trojan.VBAgent) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress1\winsyst32.exe (Trojan.Agent) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress2\ccsvchst.exe (Trojan.VBAgent) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress2\ccsvchst1.exe (Trojan.VBAgent) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress2\comres.exe (Trojan.VBAgent) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress2\msmsgs.exe (Trojan.Agent) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress2\RDS.exe (Trojan.VBAgent) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress2\winsyst32.exe (Trojan.Agent) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress0\zipinfo.txt (Backdoor.Bot) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress0\ass.dll (Backdoor.Bot) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress0\delkl.dll (Backdoor.Bot) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress0\dete.dll (Backdoor.Bot) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress0\dunin.dll (Backdoor.Bot) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress0\emdc.dll (Backdoor.Bot) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress0\emfz.dll (Backdoor.Bot) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress0\emfzb.dll (Backdoor.Bot) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress0\emine.dll (Backdoor.Bot) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress0\eminu.dll (Backdoor.Bot) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress0\emon.dll (Backdoor.Bot) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress0\emoo.dll (Backdoor.Bot) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress0\ften.dll (Backdoor.Bot) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress0\inmsg.dll (Backdoor.Bot) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress0\inter.dll (Backdoor.Bot) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress0\inuser.dll (Backdoor.Bot) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress0\mail.dll (Backdoor.Bot) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress0\mailkl.dll (Backdoor.Bot) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress0\mailsc.dll (Backdoor.Bot) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress0\MSWINSCK.OCX (Backdoor.Bot) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress0\ntfsv.dll (Backdoor.Bot) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress0\oem.dll (Backdoor.Bot) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress0\port.dll (Backdoor.Bot) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress0\pwhost.dll (Backdoor.Bot) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress0\refsdm.dll (Backdoor.Bot) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress0\resu.dll (Backdoor.Bot) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress0\rmdesk.dll (Backdoor.Bot) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress0\rvhost.dll (Backdoor.Bot) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress0\rvport.dll (Backdoor.Bot) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress0\rwce.dll (Backdoor.Bot) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress0\rwci.dll (Backdoor.Bot) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress0\rwcs.dll (Backdoor.Bot) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress0\scan.dll (Backdoor.Bot) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress0\sccle.dll (Backdoor.Bot) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress0\scday.dll (Backdoor.Bot) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress0\scen.dll (Backdoor.Bot) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress0\scint.dll (Backdoor.Bot) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress0\scint2.dll (Backdoor.Bot) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress0\scloc.dll (Backdoor.Bot) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress0\seek.dll (Backdoor.Bot) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress0\seekil.dll (Backdoor.Bot) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress0\sid2.dll (Backdoor.Bot) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress0\ssap.dll (Backdoor.Bot) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress0\type.dll (Backdoor.Bot) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress0\unin.dll (Backdoor.Bot) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress0\update.dll (Backdoor.Bot) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress0\user.dll (Backdoor.Bot) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress0\ushost.dll (Backdoor.Bot) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Users\Kerssens\AppData\Local\Temp\Compress0\weben.dll (Backdoor.Bot) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Program Files\Accessories\Common\Chat_log.txt (Trojan.Logger) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Program Files\Accessories\Common\desktop.ini (Trojan.Logger) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Program Files\Accessories\Common\KB_log.txt (Trojan.Logger) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Program Files\Accessories\Common\LostStolenPC.txt (Trojan.Logger) -> Succesvol in quarantaine geplaatst en verwijderd.
C:\Program Files\Accessories\Common\PC_Active_Time.txt (Trojan.Logger) -> Succesvol in quarantaine geplaatst en verwijderd.

(einde)

Hij heeft het verwijderd, maar toch zit het me nog niet helemaal lekker. Zoals 5 minuten geleden opeens mij explorer.exe afsluit..
Hopelijk kan iemand mij tips geven over hoe ik dit kan oplossen.

[Zjemm]

ik zou geen risico's nemen en een herinstallatie uitvoeren. dan kun je meteen de juiste partitie groote kiezen

[Henk007]

Zekerheid heb je pas als je de besmettingsvector gevonden hebt. Sluit die mogelijkheid uit en doe een herinstallatie. Pas dan ben je veilig.

[MaximusTG]

Zeker een gedownloade windows 7 dvd?

[PerK]

Nee de windows 7 is 100% legaal. Ik heb zelfs mijn serial via de telefoon geactiveerd!:) Wel heb ik de windows 7 van een Microsoft reseller & niet van een dvd. Ik kreeg een image van mijn reseller.

Het klopt dat die partitie software niet helemaal legaal was. En ik weet zeker dat de trojan via die weg binnen is gekomen.

[ Voor 24% gewijzigd door PerK op 26-04-2012 12:46 ]

[dragoncry]

of is het partitie programma wat je hebt gebruikt niet helemaal legaal?

of gedownload uit onbetrouwbare bron

[ Voor 22% gewijzigd door dragoncry op 26-04-2012 12:48 ]

[MaximusTG]

Nou, als je dat weet, installeer dan opnieuw, en pas de partitiegroottes voor de installatie aan? Of als dat ook tijdens de install niet werkt, gebruikt een linux live cd op usb. Daar kan het sowieso.

[Perkouw]

Opnieuw installeren eventueel een nieuwe Windows 7 iso downloaden, zijn genoeg legale manier te vinden m.b.v. google. Wat je andere software betreft, check je resources!

[Mental]

Het klopt dat die partitie software niet helemaal legaal was. En ik weet zeker dat de trojan via die weg binnen is gekomen.

Case closed lijkt me.
Ook kun je prima met diskpart buiten windows om ( vanaf je installatie media dus ) je systeempartitie verkleinen.

[PerK]

Perkouw schreef op donderdag 26 april 2012 @ 12:49:
Opnieuw installeren eventueel een nieuwe Windows 7 iso downloaden, zijn genoeg legale manier te vinden m.b.v. google. Wat je andere software betreft, check je resources!

Kan ik mijn serial daarna gewoon weer opnieuw gebruiken dan?

ps. Ik heb werkelijk geen idee waar ik een nieuwe image van w7 prof vandaan moet halen.

[Henk007]

Ten overvloede, voordat je opnieuw gaat installeren, zorg dat je MBR schoon is

[Perkouw]

Perkerssens schreef op donderdag 26 april 2012 @ 12:50:
[...]


Kan ik mijn serial daarna gewoon weer opnieuw gebruiken dan?

ps. Ik heb werkelijk geen idee waar ik een nieuwe image van w7 prof vandaan moet halen.

Moet zeggen dat dit wel op het randje zit. Ik geef duidelijk aan dat je dit m.b.v. google kan vinden. Wil eigenlijk een Let me google that for you link geven maar goed. Klik

[ Voor 4% gewijzigd door Perkouw op 26-04-2012 12:54 ]

[3dfx]

Perkerssens schreef op donderdag 26 april 2012 @ 12:50:
[...]
ps. Ik heb werkelijk geen idee waar ik een nieuwe image van w7 prof vandaan moet halen.

Hier kun je de linkjes naar officiële ISO's vinden:
http://www.mydigitallife....1-iso-from-digital-river/

[PerK]

Iva_Bigone schreef op donderdag 26 april 2012 @ 12:54:
[...]


Hier kun je de linkjes naar officiële ISO's vinden:
http://www.mydigitallife....1-iso-from-digital-river/

Hoe zit dit dan met mijn verkregen serial waar ik geld voor heb betaald?

[3dfx]

Perkerssens schreef op donderdag 26 april 2012 @ 12:55:
[...]


Hoe zit dit dan met mijn verkregen serial waar ik geld voor heb betaald?

Gewoon opnieuw invoeren? En evt. activeren via de telefoon als via internet niet lukt?

[denyos]

Tip voor de volgende keer: Altijd eerst je virusscanner installeren en updaten voor je het internet op gaat. Voorkom je een hoop ellende mee.

[RobIII]

Je kunt je serial, zeker als 'ie legaal is, gewoon nog eens activeren. Zolang de hardware niet veranderd is zou 't gewoon moeten werken. Werkt 't niet dan kun je MS bellen ("activatielijn") en helpen zij je zonder probleem. Vaak genoeg gedaan.

[ Voor 4% gewijzigd door RobIII op 26-04-2012 12:57 ]

[PerK]

Oke super, Bedankt iedereen voor de feedback!

ps. leermomentje die ik eigen al had moeten weten. Even snel software "illegaal" downloaden is zeker geen voldoening..

[makkie ;)]

Gebruik een offline update CD en download de virusscanner vooraf. Installeer je systeem offline. Heb je niet een besmette computer in je netwerk?

[PerK]

makkie ;) schreef op donderdag 26 april 2012 @ 13:01:
Gebruik een offline update CD en download de virusscanner vooraf. Installeer je systeem offline. Heb je niet een besmette computer in je netwerk?

Momenteel ben ik maar in het bezit van 1 computer.

[MaximusTG]

Als je nu eerst die gedownloade software scant (heb je die nog?) dan weet je zeker of het daar vandaan kwam?

[PerK]

MaximusTG schreef op donderdag 26 april 2012 @ 13:04:
Als je nu eerst die gedownloade software scant (heb je die nog?) dan weet je zeker of het daar vandaan kwam?

Ik heb de bestanden van de paragon software meteen verwijderd. Is het mogelijk om de verkregen windows 7 iso van mij reseller te controleren?

Edit: Zoals in het logje te zien is. Heb ik een aantal 'backdoors' op mijn pc gehad. Ik kan er dus vanuit gaan dat alles wat ik gedaan heb sinds ik dat virus heb ergens genoteerd staat en iemand alles kan zien?!

[ Voor 22% gewijzigd door PerK op 26-04-2012 13:08 ]

[Perkouw]

Perkerssens schreef op donderdag 26 april 2012 @ 13:06:
[...]


Ik heb de bestanden van de paragon software meteen verwijderd. Is het mogelijk om de verkregen windows 7 iso van mij reseller te controleren?

Ik wil echt niet al te zuur overkomen, maar heb je zelf al op google gekeken hoe je dit zou kunnen controleren ?
Er is echt meer dan voldoende te vinden.

[PerK]

Perkouw schreef op donderdag 26 april 2012 @ 13:08:
[...]


Ik wil echt niet al te zuur overkomen, maar heb je zelf al op google gekeken hoe je dit zou kunnen controleren ?
Er is echt meer dan voldoende te vinden.

Is dit vertrouwd? http://www.istartedsometh...6/windows-7-iso-verifier/

[Perkouw]

Perkerssens schreef op donderdag 26 april 2012 @ 13:10:
[...]


Is dit vertrouwd? http://www.istartedsometh...6/windows-7-iso-verifier/

Google -> how to verify windows 7 iso

Op die manier kan je er zelf achter komen hoe je dit het best kunt controleren, er is genoeg over te vinden zoals ik al eerder zei.

[ Voor 10% gewijzigd door Perkouw op 26-04-2012 13:19 ]