Bitcoin miner virus hoe verwijder ?

vrijdag 17 juli 2015 13:38

Topicstarter

Hallo Tweakers,

Ik zit met een probleem waarvan ik niks tegen kan doen..
Sinds 3 dage heb ik een Bitcoin virus op mijn pc, ik heb het gemerkt omdat mijn videokaart en voeding als een tekeer ging en te warm werd..
Ik heb al met MAW/Hitmanpro gescant maar hij maakt steeds kopieen zodra ik mijn pc herstart..
Ook heb ik via Windows/Temp lsaass.exe gevonde en ook verwijderd maar die maakt ook een kopie wanneer ik mijn pc herstart..

http://imgur.com/a/DKMWg

Acties:

vrijdag 17 juli 2015 13:43

Medewerker van Oxygen Updater

Scan even met de volgende programma's:

-Roguekiller (link: http://www.adlice.com/softwares/roguekiller/)
-Combofix (link: http://www.bleepingcomputer.com/download/combofix/)
-Rkill (link: http://www.bleepingcomputer.com/download/rkill/)

Laat even de voortgang weten als je dat hebt uitgevoerd

.

Misschien is het ook eens handig om je register te checken.

[ Voor 20% gewijzigd door Anonymoussaurus op 17-07-2015 13:43 ]

Medewerker van Oxygen Updater: discord.gg/5TXdhKJ

Acties:

vrijdag 17 juli 2015 14:04

kalm aan

Kcetin1994 schreef op vrijdag 17 juli 2015 @ 12:14:
Hallo Tweakers,

Ik zit met een probleem waarvan ik niks tegen kan doen..
Sinds 3 dage heb ik een Bitcoin virus op mijn pc, ik heb het gemerkt omdat mijn videokaart en voeding als een tekeer ging en te warm werd..
Ik heb al met MAW/Hitmanpro gescant maar hij maakt steeds kopieen zodra ik mijn pc herstart..
Ook heb ik via Windows/Temp lsaass.exe gevonde en ook verwijderd maar die maakt ook een kopie wanneer ik mijn pc herstart..

http://imgur.com/a/DKMWg

http://www.surfright.nl/nl/kickstart Dan geen kopieën meer, maar als je 'm free gebruikt hebt (de normale Hitman) moet je m misschien kopen nu (das geen straf hoor)

NRG

Acties:

vrijdag 17 juli 2015 14:05

Topicstarter

Anonymoussaurus schreef op vrijdag 17 juli 2015 @ 13:38:
Scan even met de volgende programma's:

-Roguekiller (link: http://www.adlice.com/softwares/roguekiller/)
-Combofix (link: http://www.bleepingcomputer.com/download/combofix/)
-Rkill (link: http://www.bleepingcomputer.com/download/rkill/)

Laat even de voortgang weten als je dat hebt uitgevoerd .

Misschien is het ook eens handig om je register te checken.

Checking for processes to terminate:

* C:\Windows\Temp\lsass.exe (PID: 6196) [SFI]

1 proccess terminated!

Acties:

vrijdag 17 juli 2015 14:09

Medewerker van Oxygen Updater

Mooi zo. Is dat ook niet het bestand dat je handmatig had verwijderd? Met welk programma heb je het verwijderd? Komt het terug als je nu je pc opnieuw opstart?

Medewerker van Oxygen Updater: discord.gg/5TXdhKJ

Acties:

vrijdag 17 juli 2015 14:10

Topicstarter

Anonymoussaurus schreef op vrijdag 17 juli 2015 @ 14:05:
Mooi zo. Is dat ook niet het bestand dat je handmatig had verwijderd? Met welk programma heb je het verwijderd? Komt het terug als je nu je pc opnieuw opstart?

Dat was met Rkill, ja dat was de bestand die ik handmatig had verwijderd, hij komt telkens terug..

Acties:

vrijdag 17 juli 2015 14:21

Medewerker van Oxygen Updater

Dus hij komt nog steeds terug na je reboot?

Ook al de andere programma's geprobeerd?

Medewerker van Oxygen Updater: discord.gg/5TXdhKJ

Acties:

vrijdag 17 juli 2015 14:26

Topicstarter

Anonymoussaurus schreef op vrijdag 17 juli 2015 @ 14:10:
Dus hij komt nog steeds terug na je reboot?

Ook al de andere programma's geprobeerd?

Combofix kan ik niet opstarte geen ondersteuning van windows 10,
Rkill lsass.exe verdwijderd,
Roguekiller niks gevonde,
voorderest Hitmanpro en MAW ook verdwijderd maar komt telkens terug na herstart..

Acties:

vrijdag 17 juli 2015 14:27

Medewerker van Oxygen Updater

Probeer Combofix op te starten met de compatibiliteits- modus (rechtermuisklik op icoon van Combofix > eigenschappen > compatibiliteit > compatibiliteits- modus aanvinken > Windows 8 kiezen > toepassen en "ok" klikken

Probeer dit programma anders nog eens: https://www.malwarebytes.org/regassassin/

Medewerker van Oxygen Updater: discord.gg/5TXdhKJ

Acties:

S_Chief

http://www.bleepingcomput...-svchostexe-and-lsassexe/

Dit al gelezen toevallig?

vrijdag 17 juli 2015 14:30

Acties:

vrijdag 17 juli 2015 14:35

Topicstarter

Anonymoussaurus schreef op vrijdag 17 juli 2015 @ 14:26:
Probeer Combofix op te starten met de compatibiliteits- modus (rechtermuisklik op icoon van Combofix > eigenschappen > compatibiliteit > compatibiliteits- modus aanvinken > Windows 8 kiezen > toepassen en "ok" klikken

Probeer dit programma anders nog eens: https://www.malwarebytes.org/regassassin/

http://prntscr.com/7tqzdi
Wat moet ik doen met regassassin doen ? http://prntscr.com/7tqzt3

Acties:

vrijdag 17 juli 2015 14:36

Topicstarter

SChief schreef op vrijdag 17 juli 2015 @ 14:27:
http://www.bleepingcomput...-svchostexe-and-lsassexe/

Dit al gelezen toevallig?

Logfile of Trend Micro HijackThis v2.0.5
Scan saved at 14:32:45, on 17-7-2015
Platform: Unknown Windows (WinNT 6.02.1008)
MSIE: Internet Explorer v11.0 (11.00.10240.16384)

Boot mode: Normal

Running processes:
C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
C:\Program Files (x86)\Skillbrains\lightshot\5.2.1.1\Lightshot.exe
C:\Program Files (x86)\Steam\Steam.exe
C:\Program Files (x86)\Steam\bin\steamwebhelper.exe
C:\Program Files (x86)\Steam\bin\steamwebhelper.exe
C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
C:\Program Files (x86)\Internet Download Manager\IDMan.exe
C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
C:\Program Files (x86)\Steam\steamapps\common\Football Manager 2015\fm.exe
C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
C:\Program Files (x86)\Steam\steamapps\common\Football Manager 2015\cefsimple.exe
C:\Program Files (x86)\Steam\steamapps\common\Football Manager 2015\cefsimple.exe
C:\Program Files (x86)\Steam\GameOverlayUI.exe
C:\Program Files (x86)\Steam\GameOverlayUI.exe
C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
C:\Users\kadir\Downloads\Programs\regassassin-setup-1.03.exe
C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
C:\Users\kadir\Downloads\Programs\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.viceice.com/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/p/?LinkId=255141
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/p/?LinkId=255141
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = %11%\blank.htm
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = C:\Windows\SysWOW64\blank.htm
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O2 - BHO: IDM Helper - {0055C089-8582-441B-A0BF-17B458C2A3A8} - C:\Program Files (x86)\Internet Download Manager\IDMIECC.dll
O4 - HKLM\..\Run: [StartCCC] "C:\Program Files (x86)\AMD\ATI.ACE\Core-Static\amd64\CLIStart.exe" MSRun
O4 - HKLM\..\Run: [Lightshot] C:\Program Files (x86)\Skillbrains\lightshot\Lightshot.exe
O4 - HKCU\..\Run: [OneDrive] "C:\Users\kadir\AppData\Local\Microsoft\OneDrive\OneDrive.exe" /background
O4 - HKCU\..\Run: [Skype] "C:\Program Files (x86)\Skype\Phone\Skype.exe" /minimized /regrun
O4 - HKCU\..\Run: [Steam] "C:\Program Files (x86)\Steam\steam.exe" -silent
O4 - HKCU\..\Run: [Octoshape Streaming Services] "C:\Users\kadir\AppData\Roaming\Octoshape\Octoshape Streaming Services\OctoshapeClient.exe" -inv:bootrun
O4 - HKCU\..\Run: [uTorrent] "C:\Users\kadir\AppData\Roaming\uTorrent\uTorrent.exe" /MINIMIZED
O4 - HKCU\..\Run: [IDMan] C:\Program Files (x86)\Internet Download Manager\IDMan.exe /onboot
O8 - Extra context menu item: Download alle links met IDM - C:\Program Files (x86)\Internet Download Manager\IEGetAll.htm
O8 - Extra context menu item: Download met IDM - C:\Program Files (x86)\Internet Download Manager\IEExt.htm
O11 - Options group: [ACCELERATED_GRAPHICS] Accelerated graphics
O18 - Protocol: tbauth - {14654CA6-5711-491D-B89A-58E571679951} - C:\Windows\SysWOW64\tbauth.dll
O23 - Service: @%SystemRoot%\system32\Alg.exe,-112 (ALG) - Unknown owner - C:\WINDOWS\System32\alg.exe (file missing)
O23 - Service: AMD External Events Utility - Unknown owner - C:\WINDOWS\system32\atiesrxx.exe (file missing)
O23 - Service: AMD FUEL Service - Advanced Micro Devices, Inc. - C:\Program Files\AMD\ATI.ACE\Fuel\Fuel.Service.exe
O23 - Service: Apple Mobile Device Service - Apple Inc. - C:\Program Files\Common Files\Apple\Mobile Device Support\AppleMobileDeviceService.exe
O23 - Service: @%SystemRoot%\system32\DiagSvcs\DiagnosticsHub.StandardCollector.ServiceRes.dll,-1000 (diagnosticshub.standardcollector.service) - Unknown owner - C:\WINDOWS\system32\DiagSvcs\DiagnosticsHub.StandardCollector.Service.exe (file missing)
O23 - Service: @%SystemRoot%\system32\efssvc.dll,-100 (EFS) - Unknown owner - C:\WINDOWS\System32\lsass.exe (file missing)
O23 - Service: @%systemroot%\system32\fxsresm.dll,-118 (Fax) - Unknown owner - C:\WINDOWS\system32\fxssvc.exe (file missing)
O23 - Service: Google Update-service (gupdate) (gupdate) - Google Inc. - C:\Program Files (x86)\Google\Update\GoogleUpdate.exe
O23 - Service: Google Update-service (gupdatem) (gupdatem) - Google Inc. - C:\Program Files (x86)\Google\Update\GoogleUpdate.exe
O23 - Service: HitmanPro Scheduler (HitmanProScheduler) - SurfRight B.V. - C:\Program Files\HitmanPro\hmpsched.exe
O23 - Service: @%SystemRoot%\system32\ieetwcollectorres.dll,-1000 (IEEtwCollectorService) - Unknown owner - C:\WINDOWS\system32\IEEtwCollector.exe (file missing)
O23 - Service: iPod-service (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: @keyiso.dll,-100 (KeyIso) - Unknown owner - C:\WINDOWS\system32\lsass.exe (file missing)
O23 - Service: MBAMService - Malwarebytes Corporation - C:\Program Files (x86)\Malwarebytes Anti-Malware\mbamservice.exe
O23 - Service: @comres.dll,-2797 (MSDTC) - Unknown owner - C:\WINDOWS\System32\msdtc.exe (file missing)
O23 - Service: @%SystemRoot%\System32\netlogon.dll,-102 (Netlogon) - Unknown owner - C:\WINDOWS\system32\lsass.exe (file missing)
O23 - Service: @%SystemRoot%\System32\ngcsvc.dll,-100 (NgcSvc) - Unknown owner - C:\WINDOWS\system32\lsass.exe (file missing)
O23 - Service: @%systemroot%\system32\Locator.exe,-2 (RpcLocator) - Unknown owner - C:\WINDOWS\system32\locator.exe (file missing)
O23 - Service: @%SystemRoot%\system32\samsrv.dll,-1 (SamSs) - Unknown owner - C:\WINDOWS\system32\lsass.exe (file missing)
O23 - Service: @%SystemRoot%\system32\SensorDataService.exe,-101 (SensorDataService) - Unknown owner - C:\WINDOWS\System32\SensorDataService.exe (file missing)
O23 - Service: Skype Updater (SkypeUpdate) - Skype Technologies - C:\Program Files (x86)\Skype\Updater\Updater.exe
O23 - Service: @%SystemRoot%\system32\snmptrap.exe,-3 (SNMPTRAP) - Unknown owner - C:\WINDOWS\System32\snmptrap.exe (file missing)
O23 - Service: @%systemroot%\system32\spoolsv.exe,-1 (Spooler) - Unknown owner - C:\WINDOWS\System32\spoolsv.exe (file missing)
O23 - Service: @%SystemRoot%\system32\sppsvc.exe,-101 (sppsvc) - Unknown owner - C:\WINDOWS\system32\sppsvc.exe (file missing)
O23 - Service: Steam Client Service - Valve Corporation - C:\Program Files (x86)\Common Files\Steam\SteamService.exe
O23 - Service: @%SystemRoot%\system32\ui0detect.exe,-101 (UI0Detect) - Unknown owner - C:\WINDOWS\system32\UI0Detect.exe (file missing)
O23 - Service: @%SystemRoot%\system32\vaultsvc.dll,-1003 (VaultSvc) - Unknown owner - C:\WINDOWS\system32\lsass.exe (file missing)
O23 - Service: @%SystemRoot%\system32\vds.exe,-100 (vds) - Unknown owner - C:\WINDOWS\System32\vds.exe (file missing)
O23 - Service: @%systemroot%\system32\vssvc.exe,-102 (VSS) - Unknown owner - C:\WINDOWS\system32\vssvc.exe (file missing)
O23 - Service: @%systemroot%\system32\wbengine.exe,-104 (wbengine) - Unknown owner - C:\WINDOWS\system32\wbengine.exe (file missing)
O23 - Service: @%ProgramFiles%\Windows Defender\MpAsDesc.dll,-320 (WdNisSvc) - Unknown owner - C:\Program Files (x86)\Windows Defender\NisSrv.exe (file missing)
O23 - Service: @%ProgramFiles%\Windows Defender\MpAsDesc.dll,-310 (WinDefend) - Unknown owner - C:\Program Files (x86)\Windows Defender\MsMpEng.exe (file missing)
O23 - Service: @%Systemroot%\system32\wbem\wmiapsrv.exe,-110 (wmiApSrv) - Unknown owner - C:\WINDOWS\system32\wbem\WmiApSrv.exe (file missing)
O23 - Service: @%PROGRAMFILES%\Windows Media Player\wmpnetwk.exe,-101 (WMPNetworkSvc) - Unknown owner - C:\Program Files (x86)\Windows Media Player\wmpnetwk.exe (file missing)

--
End of file - 9067 bytes

Acties:

vrijdag 17 juli 2015 14:37

kalm aan

Dan toch hitmanpro.kickstart?

NRG

Acties:

vrijdag 17 juli 2015 14:38

Medewerker van Oxygen Updater

Een probleempje dus.. je moet weten welke key het is. Dat kan je misschien vinden op Het Internet.

Anders je files backuppen en nieuwe Windows installeren.

Medewerker van Oxygen Updater: discord.gg/5TXdhKJ

Acties:

vrijdag 17 juli 2015 14:39

Topicstarter

GerardVanAfoort schreef op vrijdag 17 juli 2015 @ 14:36:
Dan toch hitmanpro.kickstart?

Via de boot ?

Acties:

vrijdag 17 juli 2015 14:41

Topicstarter

Anonymoussaurus schreef op vrijdag 17 juli 2015 @ 14:37:
Een probleempje dus.. je moet weten welke key het is. Dat kan je misschien vinden op Het Internet.

Anders je files backuppen en nieuwe Windows installeren.

Denk eerder aan 3dm torrent..

Acties:

vrijdag 17 juli 2015 14:44

kalm aan

Gezien de geinfecteerde bestanden, is het beter een rescue zoals kickstart op een andere pc te maken dus zoals surfright uitlegd in hun video. Of een rescue cd..

En inderdaad kickstart dringt gewoon wat vroeger je pc in

[ Voor 3% gewijzigd door GerardVanAfoort op 17-07-2015 14:48 ]

NRG

Acties:

vrijdag 17 juli 2015 14:45

kalm aan

Anonymoussaurus schreef op vrijdag 17 juli 2015 @ 14:37:
Anders je files backuppen en nieuwe Windows installeren.

Toptip! Not

Jouw voorgestelde manieren werken niet dus danmaar opnieuw installeren. Ik geef ook geen garantie, maar zal niet zeggen dat het met jouw methode's niet had kunnen slagen...

NRG

Acties:

Verwijderd

Misschien kun je wat vinden en uitschakelen met Autoruns https://technet.microsoft...ysinternals/bb963902.aspx

vrijdag 17 juli 2015 14:52

Acties:

zaterdag 18 juli 2015 16:00

Medewerker van Oxygen Updater

GerardVanAfoort schreef op vrijdag 17 juli 2015 @ 14:44:
[...]

Toptip! Not

Jouw voorgestelde manieren werken niet dus danmaar opnieuw installeren. Ik geef ook geen garantie, maar zal niet zeggen dat het met jouw methode's niet had kunnen slagen...

Misschien is dat inderdaad geen top idee. Op een iets postitievere manier had je het wel mogen brengen. @ Kcetinq1994 heb je geen backup op een externe harde schijf? Of een backup in de cloud of iets dergelijks?

Medewerker van Oxygen Updater: discord.gg/5TXdhKJ

Acties: