[W7] Backdoor.Messa niet te verwijderen

[Wish]

Ongeveer een maand geleden heb ik een verse install gedaan van W7. Alles leuk en gezellig. Tot vandaag Microsoft Security Essentials in de lucht kwam met meldingen die ik niet verwachtte over een trojan die die had gevonden en verwijderd.

Nou blijkt dat verwijderen makkelijker gezegd door MSE dan gedaan. MSE werd stil, maar uit voorzorg toch maar MBAM gedownload en laten runnen. Deze komt keer op keer met de volgende log terug:

code:

Malwarebytes Anti-Malware (Trial) 1.65.1.1000
www.malwarebytes.org

Database version: v2012.10.31.03

Windows 7 Service Pack 1 x64 NTFS
Internet Explorer 9.0.8112.16421
Wish :: HOME [administrator]

Protection: Enabled

31-10-2012 11:37:27
mbam-log-2012-10-31 (11-37-27).txt

Scan type: Quick scan
Scan options enabled: Memory | Startup | Registry | File System | Heuristics/Extra | Heuristics/Shuriken | PUP | PUM
Scan options disabled: P2P
Objects scanned: 202038
Time elapsed: 1 minute(s), 45 second(s)

Memory Processes Detected: 0
(No malicious items detected)

Memory Modules Detected: 0
(No malicious items detected)

Registry Keys Detected: 1
HKCU\Software\VB and VBA Program Settings\SrvID (Malware.Trace) -> Quarantined and deleted successfully.

Registry Values Detected: 0
(No malicious items detected)

Registry Data Items Detected: 0
(No malicious items detected)

Folders Detected: 0
(No malicious items detected)

Files Detected: 1
C:\Users\Wish\AppData\Roaming\QHTZ73U5NE.exe (Backdoor.Messa) -> Quarantined and deleted successfully.

(end)

Na het runnen van de scans kan ik blijven kiezen voor verwijderen en opnieuw opstarten, maar de volgende scan is het kreng gewoon weer terug.

Naar aanleiding van deze posting heb ik de tool OTL gedownload en specifiek op het betreffende proces losgelaten. Dat heeft wel een effect, namelijk dat de PC crasht en ik een BSOD te pakken heb.

In diezelfde thread wordt ook het programma ComboFix genoemd. Ook laten draaien (zonder de andere scanners actief) met ook als resultaat dat het niet verwijderd blijkt te zijn.

Hardnekkig dingetje en ik moet eerlijk zeggen, geen idee waar ik het opgelopen heb. De laatste tijd toch echt geen stoute dingen gedownload (ook ik heb mijn lessen geleerd ) en ik zie alleen maar legale zut in mijn download historie. Waar het vandaan komt is mij dan ook een raadsel, maar goed.

Verder geeft Google me niet heel veel aanwijzingen hoe ik het zou kunnen verwijderen. Jullie nog tips en tricks voordat ik weer de (legale) installatie DVD uit de kast trek?

[Thijmen]

Al in safe-mode geprobeerd het bestand te verwijderen?

[Wish]

Thijmen schreef op woensdag 31 oktober 2012 @ 12:11:
Al in safe-mode geprobeerd het bestand te verwijderen?

Ja. Zowel het bestand als de regkey verwijderd in safe mode. Ze lijken dan verwijderd, maar komen vrolijk terug

[photofreak]

Dit probleem had ik ook een keer met een virus dat maar niet weg wilde gaan, zelfs niet na 35x overschrijven met willekeurige data.

Het probleem zou opgelost moeten zijn als je in het hele registry zoekt op QHTZ73U5NE.exe en om dan alle key's die de naam van die backdoor bevatten er handmatig af te gooien.

Daarna zou een run met mbam, hitmanpro, etc genoeg moeten zijn om die backdoor te verwijderen.

[Wish]

photofreak schreef op woensdag 31 oktober 2012 @ 16:43:
Dit probleem had ik ook een keer met een virus dat maar niet weg wilde gaan, zelfs niet na 35x overschrijven met willekeurige data.

Het probleem zou opgelost moeten zijn als je in het hele registry zoekt op QHTZ73U5NE.exe en om dan alle key's die de naam van die backdoor bevatten er handmatig af te gooien.

Daarna zou een run met mbam, hitmanpro, etc genoeg moeten zijn om die backdoor te verwijderen.

Helaas, net even met een stofkam door de registry heen geweest in safe mode, alle verwijzingen naar dat bestand en die originele meuk eruit gegooid. Weer dezelfde infectie.

Met Hitmanpro is het wel interessant, die vindt ineens 2 andere files in een map genaamd SoundMax. En dat ken ik niet. Even eruit krassen...

---
Yay! Na de gecombineerde actie van MBAM en HitmanPro is het ellendige ding weg! Morgen weer opnieuw scannen, maar nu zeggen beiden dat het apparaat schoon is. Cool.

[ Voor 9% gewijzigd door Wish op 31-10-2012 17:53 . Reden: Resultaat! ]

[LnC]

Haal voor de zekerheid nog even een scan langs je systeem met Eset Online scanner. Het heeft bij een laptop die ik recentelijk onder handen moest nemen toch nog twee dingen gevonden die MSE en MBAM niet gevonden hadden.

[Verwijderd]

Gebruik de Bitdefender Rescue disk of Kaspersky Rescue disk om te scannen zonder dat Windows wordt gestart. Je kunt de betreffende disks vanaf een CD of USB booten.