100% load telkens ander processen in c:\backup\files...

[Anoniem: 343802]

Beste mensen,

ik heb al een paar maanden last van het volgende probleem:
Na het spelen van een game (maar misschien ook als mijn computer een uurtje of meer aan staat) starten er twee processen op vanuit de map c:\backup\files... waarvan er één een processorkern voluit aan het werk zet. Gisteren heetten de processen 5zip.exe en 7rar.exe, maar het is elke keer anders. De map heet ook telkens anders; het begon bij files01 en nu is het filesss. Wel altijd in c:\backup.
Als ik de processen afsluit in tasmgr, knippert mijn scherm en start mijn Nvidia driver opnieuw. Het komt bij meerdere versies van de Gforce driver voor, dus daar ligt het denk ik niet aan.
AVG, McAfee, MBAM én Spybot vinden niks.

Verdere specificaties:
Windows 7 64 bit, Core2Quad 9550, 8GB DDR2, 80GB schijfruimte vrij, Nvidia gtx560ti driver 314.07.

Ik heb er op google en dit forum niks over kunnen vinden, is ook lastig omdat de procesnamen telkens anders zijn.

Hopelijk komt het iemand bekend voor, anders kan ik wel wat screenshots plaatsen als het weer gebeurt.

[Standeman]

Ik zou toch ook nog even scannen met Hitman pro. Misschien eerst nog even vanaf DVD / USB booten en dan scannen.

[Anoniem: 343802]

Bedankt voor de tip, Hitman Pro vond het onderstaande. Eerder genoemde scanners vonden ook wel wat, maar het probleem bleef bestaan. Hopelijk is dit de oorzaak, enig idee wat voor virus dit is en hoe gevaarlijk?

Malware _____________________________________________________________________

C:\Users\Lowies\AppData\Roaming\doc.exe
Size . . . . . . . : 2.647.741 bytes
Age . . . . . . . : 10.5 days (2013-03-11 23:16:32)
Entropy . . . . . : 8.0
SHA-256 . . . . . : E2320A4C8E69CE81A6C91B513F511EC6C16F416526C3E6CA42992F06E9935A5F
> a-Squared . . . . : Trojan.Win32.BitCoinMiner.AMN!A2
> G Data . . . . . . : Trojan.Generic.KDV.895412 (Engine A)
Fuzzy . . . . . . : 115.0

C:\Users\Lowies\AppData\Roaming\gen.exe
Size . . . . . . . : 2.585.356 bytes
Age . . . . . . . : 0.9 days (2013-03-21 14:04:30)
Entropy . . . . . : 8.0
SHA-256 . . . . . : 9CEE01DA2D44E2ADA9EEDB2B622BD9CFC979E300768E7C469C287EC1999B7D89
> a-Squared . . . . : Trojan.Win32.BitCoinMiner.AMN!A2
Fuzzy . . . . . . : 116.0
Forensic Cluster
0.0s C:\Users\Lowies\AppData\Roaming\gen.exe
0.4s C:\backup\

C:\Users\Lowies\AppData\Roaming\hajoken.exe
Size . . . . . . . : 2.626.891 bytes
Age . . . . . . . : 58.8 days (2013-01-22 14:56:24)
Entropy . . . . . : 8.0
SHA-256 . . . . . : B9FE7303032334771F3DF13B82BF01BCFEDF78577EE965423B0519E5637D012C
> G Data . . . . . . : Win32:Malware-gen
Fuzzy . . . . . . : 114.0

C:\Users\Lowies\AppData\Roaming\openn.exe
Size . . . . . . . : 2.794.696 bytes
Age . . . . . . . : 28.9 days (2013-02-21 14:00:01)
Entropy . . . . . : 8.0
SHA-256 . . . . . : F944721AC2FA9D8785EEB8337AB6CFD0C16D96F964431C5EEA4B7771BC5656F6
> G Data . . . . . . : Win32:Malware-gen
Fuzzy . . . . . . : 114.0

C:\Users\Lowies\AppData\Roaming\vvv.exe
Size . . . . . . . : 2.651.288 bytes
Age . . . . . . . : 14.9 days (2013-03-07 14:02:49)
Entropy . . . . . : 8.0
SHA-256 . . . . . : F487E24B06836CC54172BDB399DBD76B66DC2C7CE13416440A3031B637BEAC86
> a-Squared . . . . : Trojan.Win32.BitCoinMiner.AMN!A2
Fuzzy . . . . . . : 115.0

[Koppensneller]

Zo te zien is het iets wat jouw computer aan het werk zet om BitCoins te minen voor iemand anders. Als je wil weten hoe je er vanaf komt, kun je het best even googlen op de naam van het ding (Trojan.Win32.BitCoinMiner.AMN!A2).

[Anoniem: 343802]

Ja dat komt wel overeen met de klachten. Ik denk dat dit het is. Ik gooi voor de zekerheid PC Cleaner Pro er nog overheen, die kwam in beeld door op BitcoinMiner.AMN!A2 te zoeken.

Ongelofelijk dat je 6 verschillende programma's verder bent voordat je zoiets gedetecteerd en helemaal verwijderd hebt (hopen we dan maar). Die maken je PC er ook niet sneller op.

[Rupie]

Anoniem: 343802 schreef op vrijdag 22 maart 2013 @ 13:41:
Ongelofelijk dat je 6 verschillende programma's verder bent voordat je zoiets gedetecteerd en helemaal verwijderd hebt (hopen we dan maar).

Als je een dusdanige infectie hebt gehad zou sowieso een schone installatie overwegen als je echt zeker wil weten dat je er vanaf bent.

[Anoniem: 194828]

Beetje vreemd dat er a-Squared in het log staat. Dat is een naam die al jaren niet meer gebruikt wordt voor de scanner van Emsisoft.

Scan je systeem met de Emsisoft Emergency Kit scanner. De scanner installeert niets op je systeem, kan ook vanaf USB stick worden gebruikt.

[Anoniem: 400040]

Je kunt contact maken via IRC met de bitcoin mining related mensen en daar je bevindingen laten zien en ze vragen om hulp. Misschien weten ze wel een manier om er achter te komen wie het was en zo zijn bitcoin account opheffen. Waarschijnlijk weten ze ook wel een goede manier om de bitcoin software van je pc te krijgen. Alleen bij de verwijdering van de waarschijnlijk nog aanwezige trojan op je pc en de beveiliging van je pc weet ik niet of ze gaan helpen. Alles formatteren, verse installatie, alle windows updates draaien en poorten op modem bekijken of er iets raars tussen staat is denk ik de beste oplossing om er echt vanaf te komen.

http://bitcoin.org/en/community

[Anoniem: 343802]

Bedankt voor alle tips. Het lijkt erop dat Hitman Pro de trojan goed heeft verwijderd. Die laat ik mooi staan. Latere scan met MS Security Essentials (had ik nog niet geinstalleerd, vraag niet waarom) en PC Cleaner Pro vonden niks geks meer.
Ik heb mijn PC het hele weekeinde aan laten staan, en er wordt niets meer in de map c:\backup aangemaakt en er zijn geen verdachte processen meer. Vooralsnog ga ik er vanuit dat mijn systeem schoon is.
Zal voor de zekerheid de Emnisoft scanner nog draaien, maar ik verwacht dat die ook niets vindt. Ik zal het Hitman Pro logje nog posten bij de Bitcoin community, kijken wat die ermee kunnen.

In elk geval bedankt voor de hulp!