Virus in niet bestaande map?

[DRuw]

Medetweakers,

Ik ben deze week overgestapt van Eset naar Avira, mede omdat eset laatst dat buma ding door had gelaten..
Ik kreeg sinds vorige week (voor de overstap) meldingen van bepaalde virussen van Eset en die deed er blijkbaar niets mee waardoor ik vervolgens Avira erop heb gezet.
Ik kreeg/krijg gemiddeld ongeveer 1x per 10 minuten meldingen van virussen en niets lijkt het op te lossen.
Zie onderaan een post van mijn avira log.

De map waarnaar gerefereerd word bestaat niet (ik heb verborgen bestanden aan staan!) en ik blijf de meldingen krijgen...

Ik ben nu in veilige modus met netwerkverbinding mijn pc aan het scannen en (hij is nu op 45%) hij heeft 3 detections en 276(!) warnings.
Hij doet er alleen geen fluit mee en de geinecteerde bestanden krijgt hij volgens mij ook geen toegang toe (melden is dan leuk maar als hij er neits mee kan?!???!!?)

Heeft iemand enig idee hoe ik dit op kan lossen (en wat het precies is?)

Ps: ik kreeg ook op mijn (bedrijfs) laptop de melding en die heeft hem wel tegengehouden volgens mij want daar hoor ik niets meer van (en das maar goed ook want mijn bedrijf haalt gewoon de laptops leeg en reinstalled alles (bahelve alles wat je er zelf op doet en je eigen instellingen )

Type: File
Source: C:\Windows\Installer\{61f6cab4-85ed-8709-e5dd-b5bc6229e931}\U\80000000.@
Status: Infected
Quarantine object: 54a67048.qua
Restored: NO
Uploaded to Avira: NO
Operating System: Windows XP/VISTA Workstation/Windows 7
Search engine: 8.02.10.126
Virus definition file: 7.11.38.210
Detection: TR/ATRAPS.Gen
Date/Time: 6-8-2012, 16:48


Type: File
Source: C:\Windows\Installer\{61f6cab4-85ed-8709-e5dd-b5bc6229e931}\U\800000cb.@
Status: Infected
Quarantine object: 4c315fef.qua
Restored: NO
Uploaded to Avira: NO
Operating System: Windows XP/VISTA Workstation/Windows 7
Search engine: 8.02.10.126
Virus definition file: 7.11.38.210
Detection: TR/ATRAPS.Gen2
Date/Time: 6-8-2012, 16:48


Type: File
Source: C:\Windows\Installer\{61f6cab4-85ed-8709-e5dd-b5bc6229e931}\U\80000000.@
Status: Infected
Quarantine object: 4e5154a8.qua
Restored: NO
Uploaded to Avira: NO
Operating System: Windows XP/VISTA Workstation/Windows 7
Search engine: 8.02.10.126
Virus definition file: 7.11.38.210
Detection: TR/ATRAPS.Gen
Date/Time: 6-8-2012, 16:44


Type: File
Source: C:\Windows\System32\services.exe
Status: Infected
Quarantine object: 56187b38.qua
Restored: NO
Uploaded to Avira: NO
Operating System: Windows XP/VISTA Workstation/Windows 7
Search engine: 8.02.10.126
Virus definition file: 7.11.38.210
Detection: W32/Patched.UA
Date/Time: 6-8-2012, 16:44


Type: File
Source: C:\Windows\Installer\{61f6cab4-85ed-8709-e5dd-b5bc6229e931}\U\800000cb.@
Status: Infected
Quarantine object: 53e47975.qua
Restored: NO
Uploaded to Avira: NO
Operating System: Windows XP/VISTA Workstation/Windows 7
Search engine: 8.02.10.126
Virus definition file: 7.11.38.210
Detection: TR/ATRAPS.Gen2
Date/Time: 6-8-2012, 16:43


Type: File
Source: C:\Windows\Installer\{61f6cab4-85ed-8709-e5dd-b5bc6229e931}\U\800000cb.@
Status: Infected
Quarantine object: 4ed157d7.qua
Restored: NO
Uploaded to Avira: NO
Operating System: Windows XP/VISTA Workstation/Windows 7
Search engine: 8.02.10.126
Virus definition file: 7.11.38.210
Detection: TR/ATRAPS.Gen2
Date/Time: 6-8-2012, 16:18


Type: File
Source: C:\Windows\Installer\{61f6cab4-85ed-8709-e5dd-b5bc6229e931}\U\80000000.@
Status: Infected
Quarantine object: 56467870.qua
Restored: NO
Uploaded to Avira: NO
Operating System: Windows XP/VISTA Workstation/Windows 7
Search engine: 8.02.10.126
Virus definition file: 7.11.38.210
Detection: TR/ATRAPS.Gen
Date/Time: 6-8-2012, 16:18


Type: File
Source: C:\Windows\Installer\{61f6cab4-85ed-8709-e5dd-b5bc6229e931}\U\80000000.@
Status: Infected
Quarantine object: 53947f9d.qua
Restored: NO
Uploaded to Avira: NO
Operating System: Windows XP/VISTA Workstation/Windows 7
Search engine: 8.02.10.126
Virus definition file: 7.11.38.210
Detection: TR/ATRAPS.Gen
Date/Time: 6-8-2012, 16:13


Type: File
Source: C:\Windows\Installer\{61f6cab4-85ed-8709-e5dd-b5bc6229e931}\U\800000cb.@
Status: Infected
Quarantine object: 4b03503a.qua
Restored: NO
Uploaded to Avira: NO
Operating System: Windows XP/VISTA Workstation/Windows 7
Search engine: 8.02.10.126
Virus definition file: 7.11.38.210
Detection: TR/ATRAPS.Gen2
Date/Time: 6-8-2012, 16:13


Type: File
Source: C:\Windows\Installer\{61f6cab4-85ed-8709-e5dd-b5bc6229e931}\U\80000000.@
Status: Infected
Quarantine object: 4a3451d9.qua
Restored: NO
Uploaded to Avira: NO
Operating System: Windows XP/VISTA Workstation/Windows 7
Search engine: 8.02.10.126
Virus definition file: 7.11.38.210
Detection: TR/ATRAPS.Gen
Date/Time: 6-8-2012, 16:11


Type: File
Source: C:\Windows\Installer\{61f6cab4-85ed-8709-e5dd-b5bc6229e931}\U\800000cb.@
Status: Infected
Quarantine object: 52a37e7e.qua
Restored: NO
Uploaded to Avira: NO
Operating System: Windows XP/VISTA Workstation/Windows 7
Search engine: 8.02.10.126
Virus definition file: 7.11.38.210
Detection: TR/ATRAPS.Gen2
Date/Time: 6-8-2012, 16:11


Type: File
Source: C:\Windows\Installer\{61f6cab4-85ed-8709-e5dd-b5bc6229e931}\U\80000000.@
Status: Infected
Quarantine object: 5813606e.qua
Restored: NO
Uploaded to Avira: NO
Operating System: Windows XP/VISTA Workstation/Windows 7
Search engine: 8.02.10.126
Virus definition file: 7.11.38.210
Detection: TR/ATRAPS.Gen
Date/Time: 6-8-2012, 16:02


Type: File
Source: C:\Windows\Installer\{61f6cab4-85ed-8709-e5dd-b5bc6229e931}\U\800000cb.@
Status: Infected
Quarantine object: 40844fc9.qua
Restored: NO
Uploaded to Avira: NO
Operating System: Windows XP/VISTA Workstation/Windows 7
Search engine: 8.02.10.126
Virus definition file: 7.11.38.210
Detection: TR/ATRAPS.Gen2
Date/Time: 6-8-2012, 16:02


Type: File
Source: C:\Windows\Installer\{61f6cab4-85ed-8709-e5dd-b5bc6229e931}\U\800000cb.@
Status: Infected
Quarantine object: 56006020.qua
Restored: NO
Uploaded to Avira: NO
Operating System: Windows XP/VISTA Workstation/Windows 7
Search engine: 8.02.10.126
Virus definition file: 7.11.38.210
Detection: TR/ATRAPS.Gen2
Date/Time: 6-8-2012, 15:58


Type: File
Source: C:\Windows\Installer\{61f6cab4-85ed-8709-e5dd-b5bc6229e931}\U\80000000.@
Status: Infected
Quarantine object: 56476d1a.qua
Restored: NO
Uploaded to Avira: NO
Operating System: Windows XP/VISTA Workstation/Windows 7
Search engine: 8.02.10.126
Virus definition file: 7.11.38.210
Detection: TR/ATRAPS.Gen
Date/Time: 6-8-2012, 15:58


Type: File
Source: C:\Windows\Installer\{61f6cab4-85ed-8709-e5dd-b5bc6229e931}\U\80000000.@
Status: Infected
Quarantine object: 4b494ca4.qua
Restored: NO
Uploaded to Avira: NO
Operating System: Windows XP/VISTA Workstation/Windows 7
Search engine: 8.02.10.126
Virus definition file: 7.11.38.210
Detection: TR/ATRAPS.Gen
Date/Time: 6-8-2012, 15:56


Type: File
Source: C:\Windows\Installer\{61f6cab4-85ed-8709-e5dd-b5bc6229e931}\U\800000cb.@
Status: Infected
Quarantine object: 53de6303.qua
Restored: NO
Uploaded to Avira: NO
Operating System: Windows XP/VISTA Workstation/Windows 7
Search engine: 8.02.10.126
Virus definition file: 7.11.38.210
Detection: TR/ATRAPS.Gen2
Date/Time: 6-8-2012, 15:56


Type: File
Source: C:\Windows\AutoKMS.exe
Status: Infected
Quarantine object: 4ec34a1b.qua
Restored: NO
Uploaded to Avira: NO
Operating System: Windows XP/VISTA Workstation/Windows 7
Search engine: 8.02.10.126
Virus definition file: 7.11.38.210
Detection: TR/Meredrop.A.8924
Date/Time: 5-8-2012, 21:48


Type: File
Source: C:\Windows\AutoKMS.exe
Status: Infected
Quarantine object: 56546de0.qua
Restored: NO
Uploaded to Avira: NO
Operating System: Windows XP/VISTA Workstation/Windows 7
Search engine: 8.02.10.126
Virus definition file: 7.11.38.210
Detection: TR/Meredrop.A.8924
Date/Time: 5-8-2012, 21:48

[Raven]

"De map waarnaar gerefereerd word bestaat niet (ik heb verborgen bestanden aan staan!) en ik blijf de meldingen krijgen..."

Om systeembestanden te laten weergeven heb je nog een aparte setting

edit: Dat is bij XP het geval, bij 7 blijkbaar niet meer. Welk OS gebruik je?

[ Voor 16% gewijzigd door Raven op 06-08-2012 17:26 ]

[DRuw]

Win 7

ter info, hij is nu op 61% met scannen en heeft 3 detections en 373 warnings....

[Bastien]

En anders kun je ook in win7 (zelfde dir, ook standaard verborgen) via Start in het zoekgeval intypen %windir%\installer gevolgd door Enter. Opent de directory ook wel zonder dat je de bestanden zichtbaar moet maken.

[MEN-O]

Veilige modus zonder netwerkverbinding en dan de scanner gebruiken..

[Bastien]

En zo te lezen via linkjes op Google kom je er met alleen een virusscanner niet vanaf... Beetje lezen en dan hopen dat je dit gedrocht kunt kwijtraken. Succes ermee

[DRuw]

MEN-O schreef op maandag 06 augustus 2012 @ 17:32:
Veilige modus zonder netwerkverbinding en dan de scanner gebruiken..

ben ik nu aan het doen maar volgens mij doet hij precies hetzelfde als met netwerkverbinding...
ben op 13% en heeft 3 detections en 271 warnings....

[prutser001]

Draai eens mcafee stinger had laatst zoiets op een pc van een 'klant' deze bleef maar mekkeren dat er run.exe in de recycler map stond en dit virus bleef zich maar op verwislbare media installeren (stikjes/memory cards/telefoons/media spelers en netwerk drives).

De map was iets als 'c:\recycler\{#@(*#(D&DG!*&D@&*GD&*@G}@*&(*@#}}'

Mcafee stinger heeft em weg gekregen.

[Mavamaarten]

Ik zou beginnen met een mbam scan (malware bytes anti malware). Lukt dat niet dan is er nog een heel arsenaal aan tooltjes. Geen paniek, er is nog niks verloren ;D

[Petervanakelyen]

Type: File
Source: C:\Windows\AutoKMS.exe
Status: Infected
Quarantine object: 56546de0.qua
Restored: NO
Uploaded to Avira: NO
Operating System: Windows XP/VISTA Workstation/Windows 7
Search engine: 8.02.10.126
Virus definition file: 7.11.38.210
Detection: TR/Meredrop.A.8924
Date/Time: 5-8-2012, 21:48

Aan het prutsen geweest met minder legale Microsoft Office versies?

[DRuw]

Petervanakelyen schreef op maandag 06 augustus 2012 @ 17:53:
[...]


Aan het prutsen geweest met minder legale Microsoft Office versies?

Normaal wel en daar heb ik nooit last van.
Dit is de eerste keer dat ik een legale win7 en office heb!!!!!!

[martin149]

Om systeembestanden te laten weergeven heb je nog een aparte setting

edit: Dat is bij XP het geval, bij 7 blijkbaar niet meer. Welk OS gebruik je?

Voor zover ik weet heb je voor verborgen systeembestanden deze optie nodig(het vinkje moet dus weg):

[Raven]

Ah kijk, bij 7 is die dus toch nog apart. Ik zat bij de S te kijken van systeembestanden...

@DRuw: Kijk even naar de instelling uit de post hierboven

[ Voor 27% gewijzigd door Raven op 06-08-2012 18:01 ]

[Petervanakelyen]

DRuw schreef op maandag 06 augustus 2012 @ 17:54:
[...]

Normaal wel en daar heb ik nooit last van.
Dit is de eerste keer dat ik een legale win7 en office heb!!!!!!

Als je een legale versie van Office hebt moet er geen KMS activator aan te pas komen. Prutsen met gekraakte software is vragen om malware (en daar mogen we je officieel ook niet bij helpen).

Maar goed, download de Avira Rescue CD, als je niet in Windows zit krijg je het er veel eenvoudiger af. Linux trekt zich overigens ook niets aan van slecht geformatteerde bestandsnamen.

[ Voor 4% gewijzigd door Petervanakelyen op 06-08-2012 18:01 ]

[DRuw]

Petervanakelyen schreef op maandag 06 augustus 2012 @ 18:01:
[...]


Als je een legale versie van Office hebt moet er geen KMS activator aan te pas komen. Prutsen met gekraakte software is vragen om malware (en daar mogen we je officieel ook niet bij helpen).

Maar goed, download de Avira Rescue CD, als je niet in Windows zit krijg je het er veel eenvoudiger af. Linux trekt zich overigens ook niets aan van slecht geformatteerde bestandsnamen.

Wat wil je, dat ik de codes doorgeef zodat je microsoft kan bellen om te vragen of ze legaal zijn?
Ik heb via mijn werk office voor 12 euro kunnen kopen, dan ga ik toch niet lopen klooien?
Komop, als ik een topic open voor hulp en ik ga lopen liegen als reactie op vragen, waar ben ik dan mee bezig....

Anyway,
ik laat nu mijn pc scannen door een mbab scanner en die heeft 2 hits nu... kijken of hij ze ook oplost.
anders probeer ik die bootcd (inderdaad, linux is dan handig )

[DRuw]

Raven schreef op maandag 06 augustus 2012 @ 18:00:
Ah kijk, bij 7 is die dus toch nog apart. Ik zat bij de S te kijken van systeembestanden...

@DRuw: Kijk even naar de instelling uit de post hierboven

Ik zie het inderdaad, instelling gedaan en daar is het mapje:)
ik krijg hem niet weg omdat dat de admin moet doen.... dat ben ik gewoon???
inhoud eruit gegooid maar volgens mij is mijn pc al verder besmet... ik laat de scans nu even draaien en dan hopen dat het weg is:s

[Raven]

Voer anders %windir%\system32\cmd.exe eens als admin uit en dan met rmdir of rd de map weghalen? Voorbeeld:

code:

RD /S /Q "C:\Users\UserName\Desktop\Folder"

The folder will be deleted immediately and not placed in the Recycle Bin first. Deleting a folder using this command will also delete all of it's contents as well as the folder. Be sure to backup anything you want to keep in the folder first.

Zie http://www.sevenforums.co...elete-command-prompt.html

[ Voor 82% gewijzigd door Raven op 06-08-2012 18:15 ]

[Petervanakelyen]

DRuw schreef op maandag 06 augustus 2012 @ 18:05:
[...]

Wat wil je, dat ik de codes doorgeef zodat je microsoft kan bellen om te vragen of ze legaal zijn?
Ik heb via mijn werk office voor 12 euro kunnen kopen, dan ga ik toch niet lopen klooien?
Komop, als ik een topic open voor hulp en ik ga lopen liegen als reactie op vragen, waar ben ik dan mee bezig....

Ik heb nergens beweerd dat je liegt, ik stel enkel vast dat er een KMS activator op je systeem staat en dat je moet oppassen met gekraakte software vanwege malware. Iets minder defensief reageren mag wel.

Zou je in het vervolg overigens even de -knop willen gebruiken om iets aan je vorige post toe te voegen?

DRuw schreef op maandag 06 augustus 2012 @ 18:07:
[...]

Ik zie het inderdaad, instelling gedaan en daar is het mapje:)
ik krijg hem niet weg omdat dat de admin moet doen.... dat ben ik gewoon???
inhoud eruit gegooid maar volgens mij is mijn pc al verder besmet... ik laat de scans nu even draaien en dan hopen dat het weg is:s

Even de eigenschappen openen -> Beveiliging en dan jezelf de benodigde rechten geven. Maar de kans bestaat dat dat verhinderd wordt door de infectie, dat is één van de redenen om een LiveCD te gebruiken.

[DRuw]

ik kom er inderdaad niet in qua rechten en met cmd kom ik op hetzelfde (deltree kent win7 niet maar met rd/s loop ik op het toegansprobleem).
ik loop de scans nog even door (ik ben nu op mijn laptop bezig) en als dat niets oplost gaat de cd erin...

(sorry voor de defence-agressie, kreeg even een prutmail van mijn werk die nogal doordrukte in mijn post...)

edit: die malware scan is klaar en hij heeft er 3 uitgehaald. Dit zijn alleen dingen die al tijden op mijn pc staan.. (nee ik heb niet alles legaal) dus lijkt me heeeeel sterk als dit het is...
Avira is nog door aan het scannen (49%, 3 detections en 276 warnings) en als die klaar is ga ik de cd proberen denk ik....

[ Voor 30% gewijzigd door DRuw op 06-08-2012 18:23 ]

[DRuw]

volgens mij is het gelukt door die malware scan.
reboot en daarna kon ik de map weghalen in windows\installer
Ik draai hem nu nog een keer maar eerst kreeg ik de eerste melding binnen 5 minuten na opstarten al....

EDIT:
na de scan lijkt de gen/gen2 eruit maar nu blijft alleen die W32/Patched.UA over (1 hit).
ik heb de CD gebrand en geboot en hij geeft en error dat The File niet goed werkt en breek de scan af...
iemand nog een ander idee met welke bootcd ik dit weg kan krijgen?

[ Voor 39% gewijzigd door DRuw op 07-08-2012 08:45 ]

[Raven]

Pak een willekeurige WinPE bootcd met netwerkondersteuning en start de online scan van ESET (mits die onder WinPE gedraait kan worden) in de hoop dat die het weg kan krijgen?

En anders, misschien zit er iets in Hiren's BootCD of Ultimate Boot CD dat 't weg kan krijgen.

[ Voor 21% gewijzigd door Raven op 07-08-2012 10:01 ]

[DRuw]

ik heb een bootusb van kaspersky gedownload en die ga ik strak proberen (nu op werk, 13:00 uur thuis).
Als dat niet werkt gaan we vrolijk die vertex 4 kopen en de boel opnieuw installen denk ik (ik zocht een reden om mijn huidige ssd te vervangen voor een grotere;)