Ik heb een hardnekkige malware: wie weet raad?

[BesmettePC]

Ik dacht dat virusinfecties min of meer tot het verleden zouden behoren als je zoals ik altijd alle beveiliging aan hebt staan (virusscanners, firewall, alles up-to-date, etc) maar mijn pc (een desktop Dell Vostro 3250) lijkt toch te zijn getroffen door malware, d.w.z. sinds gisteren detecteert Windows Defender Security Center (die ik elke dag een full scan laat doen) een virus die hij TrojanDownloader:JS/Jesdow.B!url noemt en die hij vindt in de map C:\Recovery\Customizations. Hij zegt dan ook dat ie 'm heeft verwijderd maar bij elke nieuwe scan detecteert hij 'm opnieuw.

Inmiddels heb ik er tal van virusscanners op los gelaten (allemaal gratis versies). De Microsoft Security Essentials vindt 'm ook telkens en zegt dan ook dat hij 'm heeft verwijderd (maar die hanteert natuurlijk dezelfde database als Windows Defender). Opvallend is dat (de gratis versies van) HitmanPro, Malwarebytes en AVG geen enkele bedreiging vinden, ook niet bij een totale scan (die bij Malwarebytes 6 1/2 uur duurde...). Dat werpt de vraag op of het een false positive is, maar Windows lijkt zeker te zijn want kent de naam van de bedreiging (TrojanDownloader:JS/Jesdow.B!url) en noemt het een zeer ernstige bedreiging. Mijn pc doet (nog) niet raar en ik kan geen vreemde activiteit ontdekken, maar dat is misschien inherent aan een Trojan Downloader die wacht op een gelegenheid om malware binnen te halen waar ik wel last van krijg. Ik heb ook het idee dat de andere virusscanners uberhaupt niet of nauwelijks in de Recovery-mappen scannen want zij daarmee in zo'n 20 seconden of zo klaar (terwijl Windows meer dan 100.000 bestanden in die map scant en daar zeker een half uur over doet).

De locatie van het virus is dus de C:\Recovery-map en dan zouden telkens dezelfde vier bestanden van het programma Cyberlink Media Suite zijn geïnfecteerd: dat programma heeft volgens mij Windows er zelf op gezet bij de laatste Feature Update van Windows 10 (versie 1709) maar ik heb het nooit gebruikt. Ten einde raad heb ik dat programma van mijn pc verwijderd, maar ook dat heeft geen verschil gemaakt: hij blijft de malware detecteren op bestanden van Cyberlink in de Recovery-map (en het valt me op dat ook onder C:\Program Files (x86) de Cyberlink-mappen er nog gewoon staan ook al zou de verwijdering van dat programma succesvol zijn geweest).

Mijn pc is nota bene nog geen jaar oud dus ik wil 'm niet weg moeten doen omdat er gevaarlijke malware op zit die ik er niet af krijg. Weet iemand raad? Ik zit te denken om heel Windows opnieuw te laten installeren maar ik ben bang dat zelfs dat niet gaat helpen en misschien weet iemand een simpelere oplossing?

Bij voorbaat heel veel dank!

[HKLM_]

Wegdoen is overdreven installeer gewoon windows 10 opnieuw en zet daarna een backup van voor de infectie terug.

[NiGeLaToR]

Wellicht werken tools zoals deze?

Wikipedia: Malwarebytes

[BesmettePC]

HKLM_ schreef op zondag 1 april 2018 @ 18:36:
Wegdoen is overdreven installeer gewoon windows 10 opnieuw en zet daarna een backup van voor de infectie terug.

Dat ga ik doen als niemand een eenvoudigere oplossing heeft.

[Punkbuster]

HitManPro er overheen, is eenmalig gratis.

[BesmettePC]

NiGeLaToR schreef op zondag 1 april 2018 @ 18:41:
Wellicht werken tools zoals deze?

Wikipedia: Malwarebytes

Ik heb Malwarebytes er al op los gelaten maar die vindt geen enkele bedreiging...

[BesmettePC]

Punkbuster schreef op zondag 1 april 2018 @ 18:43:
HitManPro er overheen, is eenmalig gratis.

Die vindt ook niks... de

GtrCraft schreef op zondag 1 april 2018 @ 18:48:
Verwijder met Geek uninstaller cyberlink media suite (wat overigens niet standaard door windows wordt geïnstalleerd). Verwijder anders alle mappen van het programma en C:/recovery handmatig of installeer Windows opnieuw.

Is Geek Uninstaller betrouwbaar? Wikipedia kent 'm niet, wel de Revo Uninstaller maar de zin "Revo Uninstaller can also irrecoverably delete files" schrikt wat af. Ik weet ook niet hoe hij Cyberlink er af kan halen als Windows 'm grofweg heeft verwijderd. Ik ga er over nadenken...

Ik kan de Cyberlink-mappen verwijderen in C:\Program Files maar niet in C:\Recovery want daar vind ik slechts een (heel groot) bestand Apps.ppkg zonder verdere differentiatie. Of kan ik veilig dat hele pakket verwijderen?

[ Voor 70% gewijzigd door BesmettePC op 01-04-2018 19:14 ]

[GtrCraft]

Verwijder met Geek uninstaller cyberlink media suite (wat overigens niet standaard door windows wordt geïnstalleerd). Verwijder anders alle mappen van het programma en C:/recovery handmatig of installeer Windows opnieuw.

[kever678]

Windows installeren is ook zo klaar.. voornamelijk afhankelijk hoeveel er teruggezet moet worden. (weet niet of je een back-up van je bestanden beschikbaar hebt?)

[NiGeLaToR]

BesmettePC schreef op zondag 1 april 2018 @ 18:43:
[...]


Ik heb Malwarebytes er al op los gelaten maar die vindt geen enkele bedreiging...

Ah niet goed gelezen, sorry.

Ik vond wel deze removal guide:

http://www.fixallthreats....sdow-burl-safely-quickly/

Ik vind false positive ook nog een optie. Kun je die medialink suite niet verwijderen en kijken of de melding blijft?

[com2,1ghz]

Op het moment dat er een virus in je systeem is gekomen is er geen andere optie dan een nieuwe installatie.
Een virusscanner werkt preventief en is altijd daarvoor bedoeld.

[NiGeLaToR]

com2,1ghz schreef op zondag 1 april 2018 @ 18:51:
Op het moment dat er een virus in je systeem is gekomen is er geen andere optie dan een nieuwe installatie.
Een virusscanner werkt preventief en is altijd daarvoor bedoeld.

Tegeltjes wijsheid. Veel virussen/malware zijn prima te verwijderen, als je maar een beetje weet wat je doet.

Ik gebruik géén virusscanner, zodat ik er nooit op ga rekenen dat dit me wel veilig houdt bijvoorbeeld.

[WEBGAMING]

NiGeLaToR schreef op zondag 1 april 2018 @ 18:58:
[...]


Tegeltjes wijsheid. Veel virussen/malware zijn prima te verwijderen, als je maar een beetje weet wat je doet.

Ik gebruik géén virusscanner, zodat ik er nooit op ga rekenen dat dit me wel veilig houdt bijvoorbeeld.

Klopt. Maar meestal is opnieuw installeren 100X makkelijker dan windows proberen te herstellen.

[ Voor 20% gewijzigd door WEBGAMING op 01-04-2018 19:14 ]

[BesmettePC]

kever678 schreef op zondag 1 april 2018 @ 18:48:
Windows installeren is ook zo klaar.. voornamelijk afhankelijk hoeveel er teruggezet moet worden. (weet niet of je een back-up van je bestanden beschikbaar hebt?)

Ik heb helaas geen recente back-up maar er staan sowieso niet veel bestanden op: ik zit te denken om morgen (als de winkels dan open zijn) een USB-stick te kopen om er mijn bestanden op te zetten en daarna Windows opnieuw te installeren.

Settings-->Recovery heeft een optie Reset this PC die Windows opnieuw zou installeren zonder je persoonlijke bestanden te verwijderen. Is dat een goede optie of zal die niet 'diep' genoeg gaan om het virus eraf te halen?

[BesmettePC]

NiGeLaToR schreef op zondag 1 april 2018 @ 18:49:
[...]


Ah niet goed gelezen, sorry.

Ik vond wel deze removal guide:

http://www.fixallthreats....sdow-burl-safely-quickly/

Ik vind false positive ook nog een optie. Kun je die medialink suite niet verwijderen en kijken of de melding blijft?

Ja, alles op internet over deze malware verwijst naar deze en vergelijkbare sites die allemaal het antivirusprogramma Spyhunter willen verkopen... ik vertrouw deze niet zo.

[NiGeLaToR]

BesmettePC schreef op zondag 1 april 2018 @ 19:19:
[...]


Ja, alles op internet over deze malware verwijst naar deze en vergelijkbare sites die allemaal het antivirusprogramma Spyhunter willen verkopen... ik vertrouw deze niet zo.

Scherp.. dan inderdaad maar niet doen.
Grrr, lastig parket.

[Itrme]

BesmettePC schreef op zondag 1 april 2018 @ 19:17:
[...]


Ik heb helaas geen recente back-up maar er staan sowieso niet veel bestanden op: ik zit te denken om morgen (als de winkels dan open zijn) een USB-stick te kopen om er mijn bestanden op te zetten en daarna Windows opnieuw te installeren.

Settings-->Recovery heeft een optie Reset this PC die Windows opnieuw zou installeren zonder je persoonlijke bestanden te verwijderen. Is dat een goede optie of zal die niet 'diep' genoeg gaan om het virus eraf te halen?

Als je toch opnieuw gaat installeren moet je het niet half doen. Denk dat de recovery meer bedoeld is om een installatie te herstellen. Als je gaat herinstalleren zou ik zeggen formatteer die schijf gelijk.

En wat verder al gezegd is. Deinstalleer die cyberlink programmas als je denkt dat daar het probleem ligt. Maar als malwarebytes en de andere AVs het niet vinden zou ik ook aan een false positive denken. Maar als jij het niet geinstalleerd hebt waar komt het vandaan? Weet wel dat medion op n bepaald punt standaard n paar cyberlink programmas in de installatie had.

[BesmettePC]

Itrme schreef op zondag 1 april 2018 @ 19:50:
[...]


Als je toch opnieuw gaat installeren moet je het niet half doen. Denk dat de recovery meer bedoeld is om een installatie te herstellen. Als je gaat herinstalleren zou ik zeggen formatteer die schijf gelijk.

En wat verder al gezegd is. Deinstalleer die cyberlink programmas als je denkt dat daar het probleem ligt. Maar als malwarebytes en de andere AVs het niet vinden zou ik ook aan een false positive denken. Maar als jij het niet geinstalleerd hebt waar komt het vandaan? Weet wel dat medion op n bepaald punt standaard n paar cyberlink programmas in de installatie had.

Ik weet niet of ik helemaal opnieuw kan installeren, want ik heb bij de pc geen CD of zo erbij gekregen noch een backup van Windows gemaakt...

Ik geloof nu dat Cyberlink in de fabriek door Dell zelf erop is gezet en dus altijd al op mijn PC zat...

Overigens, ik heb inmiddels een Duits forum gevonden met exact hetzelfde probleem (en welk probleem ook gisteren lijkt te zijn begonnen) en ik geloof dat men daar concludeert dat het een vals positief is maar ik ben er niet zeker van want mijn Duits is uiterst beroerd:
https://www.trojaner-boar...ader-js-jesdow-b-url.html

Evengoed vertrouw ik het nog niet: dat alleen Windows de infectie vindt betekent nog niet dat het een vals positief is, toch (ik durf nu in ieder geval geen bankzaken meer te doen op mijn PC...)? Vreemd is dat Windows wel zegt dat het de malware heeft verwijderd maar dat het daarna toch weer detecteert of wijst dat gegeven ook naar een vals positief?

[com2,1ghz]

NiGeLaToR schreef op zondag 1 april 2018 @ 18:58:
[...]


Tegeltjes wijsheid. Veel virussen/malware zijn prima te verwijderen, als je maar een beetje weet wat je doet.

Ik gebruik géén virusscanner, zodat ik er nooit op ga rekenen dat dit me wel veilig houdt bijvoorbeeld.

Wees niet zo naief. Anno 2018 kan je echt niet zonder virusscanner op Windows. Op het moment dat je al browsed ben je al vatbaar. Je hoeft het niet eens te merken maar op achtergrond kunnen een hoop dingen gebeuren. Zoals ik al zei, een virusscanner werkt preventief. Als je systeem besmet is geweest kan je niet achterhalen wat het heeft achtergelaten.
Aangezien we tegenwoordig belangrijkere dingen doen zoals DigiD, bankzaken enz kan je zeker niet aanraden om gewoon maar even een scannertje te gebruiken om de boel op te lappen.

[Itrme]

BesmettePC schreef op zondag 1 april 2018 @ 20:01:
[...]


Ik weet niet of ik helemaal opnieuw kan installeren, want ik heb bij de pc geen CD of zo erbij gekregen noch een backup van Windows gemaakt...

Ik geloof nu dat Cyberlink in de fabriek door Dell zelf erop is gezet en dus altijd al op mijn PC zat...

Overigens, ik heb inmiddels een Duits forum gevonden met exact hetzelfde probleem (en welk probleem ook gisteren lijkt te zijn begonnen) en ik geloof dat men daar concludeert dat het een vals positief is maar ik ben er niet zeker van want mijn Duits is uiterst beroerd:
https://www.trojaner-boar...ader-js-jesdow-b-url.html

Evengoed vertrouw ik het nog niet: dat alleen Windows de infectie vindt betekent nog niet dat het een vals positief is, toch (ik durf nu in ieder geval geen bankzaken meer te doen op mijn PC...)? Vreemd is dat Windows wel zegt dat het de malware heeft verwijderd maar dat het daarna toch weer detecteert of wijst dat gegeven ook naar een vals positief?

Ik zou om te beginnen gewoon lekker dat Cyberlink deinstalleren. Persoonlijk zou ik zeggen, dat die recovery map waar je het over hebt alleen lezen is, dat je AV er niet eens iets mee kan doen (verklaart misschien waarom de bestanden er nog staan)
Heb zelf al een gruwelijke hekel aan programma's die "voor me" geïnstalleerd worden terwijl ik ze niet eens wil

Anyway, mocht je Windows opnieuw willen installeren, dat is sinds Windows 10 nog nooit zo makkelijk geweest. zie: https://www.microsoft.com/nl-nl/software-download/windows10 (Kan het op een USB gooien, of een CD, net wat je wil. Externe HDD moet ook werken)

Het .ppkg bestand is waarschijnlijk een package die de fabriek er op heeft gezet voor je, op het moment dat je Windows installeert, wordt als 2e stap alle instellingen en troep die ze in de fabriek met dat bestand klaar hebben gezet op je PC getrapt (Dus ook cyberlink en eventuele andere programma's). Misschien heel handige voor sommige mensen maar afgezien van eventuele drivers (En windows 10 is tegenwoordig redelijk handig in de juiste drivers installeren) zie ik het nut er niet van in.

Misschien de handleiding er nog even op na slaan? Zoiezo is het handig wel even te zorgen (mocht je opnieuw gaan installeren) dat je weet wat je Windows 10 key is. Mocht daar weer om gevraagd worden.

[BesmettePC]

Even een update. Vandaag was mijn electronicawinkel nog gesloten en ik had andere dingen te doen, dus heb ik even niets meer geprobeerd. Wel blijken veel mensen sinds afgelopen zaterdag hetzelfde probleem te hebben (d.w.z. Windows Defender detecteert de TrojanDownloader in de map Recovery bij de Cyberlinkbestanden en niemand kan het virus eraf krijgen). Ook mensen die online-virusbescherming hebben hebben evengoed het virus opgelopen dus ofwel het zat al lang in Cyberlink maar is pas sinds zaterdag aan het licht gekomen of het is een vals positief.

Het probleem is geloof ik onder de aandacht gebracht van Windows dus hopelijk komt er snel duidelijkheid of de Russen (of Chinezen: Cyberlink is Taiwanees) succesvol al onze apparaten hebben geïnfecteerd c.q. onklaar gemaakt dan wel het een valse positief is als gevolg van zaterdag gepubliceerde nieuwe maar incorrecte virusdefinities van Windows zelf.

Zie voor een discussie: https://answers.microsoft...b4-488b-a37d-583c7ef94df9

PS. Het zou wellicht interessant zijn te weten of er andere mensen hier Cyberlink Media op hun pc hebben staan en of die wel heelhuids door de scan van Windows Defender komen!

[ Voor 8% gewijzigd door BesmettePC op 02-04-2018 20:45 ]

[F_J_K]

Ik zou inderdaad even wachten. En nu alvast wel backups maken. (Meervoud: een backup is geen backup, immers kan de backup ook besmet worden, je wilt dan naar de vorige backupmedia terug kunnen. Let ook op of je wel alle belangrijke bestanden hebt, zoals bv ook mail/contacts. Zie ook andere topics hier in P&B).

NiGeLaToR schreef op zondag 1 april 2018 @ 18:58:
Tegeltjes wijsheid. Veel virussen/malware zijn prima te verwijderen, als je maar een beetje weet wat je doet.

Ik gebruik géén virusscanner, zodat ik er nooit op ga rekenen dat dit me wel veilig houdt bijvoorbeeld.

offtopic:
...en het puur een virus is zonder remote toegang-mogelijkheid, zonder mogelijkheid om van een C&C server nieuwe code te ontvangen.

Een virusscanner houdt je niet veilig, een virusscanner is een van de vele lagen aan beveiliging. Net zoals dat een condoom slechts een van de lagen van beveiliging is bij sex. Geen garantie geen enge ziektes te krijgen, wel extra zekerheid.

Maar je hebt gelijk, gewoon een paar goede backups hebben en bij twijfel meteen formatteren, kan ook. Hooguit ben je dan je wachtwoorden en wat geld (CC-gegevens, betaalopdrachten van bank en cryptocurrency) kwijt.

BesmettePC schreef op zondag 1 april 2018 @ 19:19:
Ja, alles op internet over deze malware verwijst naar deze en vergelijkbare sites die allemaal het antivirusprogramma Spyhunter willen verkopen... ik vertrouw deze niet zo.

Qua verwijderen van malware zijn ze volgens https://www.av-comparativ...p_spyhunter_201711_en.pdf (betaald door de makers zelf dus hooguit) een middenmoter.

offtopic:
Reden dat ik ze nooit geld zou geven is (a) verwijderen gaat alleen goed als ze je bestanden mogen gemaild krijgen wat ik niet vertrouw en (b) ze zoals ik het zie inderdaad vooral goed zijn in reclame. Allerhande copypaste-sites waar niets anders gebeurt dan generieke simpele tips + verwijzen naar steeds Spyhunter. Er is ook hier op het forum gespamd voor dergelijke sites. Zulke marketingtechnieken maken mij de makers op z'n minst wantrouwen en sowieso mijn geld niet waard.

Mocht je wel gaan formatteren, dan m.i. door de hele machine te formatteren (na backup en controle dat de backup OK is). Installeren kan vanaf USB stick, die je VANAF EEN SCHONE PC kunt aanmaken met de tool op https://www.microsoft.com/nl-nl/software-download/windows10

[BesmettePC]

Nou mensen, het lijkt erop dat het inderdaad vals alarm was: Windows heeft z'n virusdefinities geactualiseerd en daarmee detecteert Windows Defender niets meer (ook anderen op de website van Microsoft melden dit). Met de oude definities overigens nog wel, zodat het echt aan die vernieuwde virusdefinities ligt. Fijn dat Microsoft dit redelijk snel heeft opgelost. Wel jammer dat er niet over wordt gecommuniceerd zodat nu heel veel mensen een paar dagen lang in onzekerheid/paniek hebben geleefd of nog leven...

Wel was dit een goede reminder om weer eens een backup te maken en om ook Windows 10 op een USB-stick te zetten voor het geval het echt eens mis gaat.

Twee zaken uit de discussie op Microsoft licht er nog even uit omdat ze misschien voer voor discussie zijn:

Er is geopperd dat dit vals alarm voortkomt uit inderdaad die toestand met de Russen c.q. snel toenemende cyber threats waardoor Windows een beetje in paniek raakt en en we mogelijk veel vaker dan voorheen valse positieven krijgen.

Ook wordt wel gesteld dat het helemaal niet nodig of zelfs wenselijk is om je pc grondig te scannen op malware: de 'snelle' scans zouden voldoende zijn omdat die de mappen scannen die actief zijn; zelfs een echt virus in de Recovery-map zou niet gevaarlijk zijn omdat die map niets doet zolang je je pc niet herstelt (herinstalleert). De hele pc scannen zou alleen maar de kans op valse positieven groot maken en zou alleen raadzaam zijn als er al een virus of verdacht gedrag is gedetecteerd.

[EricJH]

Blij

BesmettePC schreef op dinsdag 3 april 2018 @ 17:17:

Er is geopperd dat dit vals alarm voortkomt uit inderdaad die toestand met de Russen c.q. snel toenemende cyber threats waardoor Windows een beetje in paniek raakt en en we mogelijk veel vaker dan voorheen valse positieven krijgen.

Het probleem zit'm in de automatische verwerking van bestanden die geupload worden. Er is dan altijd de kans dat bepaalde gedragingen van legitieme programma's als potentieel malicieus worden gezien. Dat is het geval bij alle AV producten.

Ook wordt wel gesteld dat het helemaal niet nodig of zelfs wenselijk is om je pc grondig te scannen op malware: de 'snelle' scans zouden voldoende zijn omdat die de mappen scannen die actief zijn; zelfs een echt virus in de Recovery-map zou niet gevaarlijk zijn omdat die map niets doet zolang je je pc niet herstelt (herinstalleert). De hele pc scannen zou alleen maar de kans op valse positieven groot maken en zou alleen raadzaam zijn als er al een virus of verdacht gedrag is gedetecteerd.

Als een bestand enkel op je harde schijf zit zonder dat deze uitgevoerd wordt en als (potentieel) kwaadaardig wordt gezien dan is er niet veel aan de hand. Pas als een scanner aangeeft dat ook het aktief in het geheugen is en opstartsleutels heeft dan is er iets aan de hand.

Je kunt een map met honderden malwares hebben omdat je die dingen verzameld zonder dat je besmet bent.

Het advies dat ik tot nu miste is om het bestand naar bij Virus Total te uploaden om te zien of het slechts door een of enkele scanners wordt opgepikt (kans op false positive) of door een grotere groep (grote kans dat het om een echte infectie gaat).

Zoals je ziet kan het soms lonen om niet meteen je Windows opnieuw te installeren zoals hier vaak te makkelijk geroepen wordt.

[ Voor 76% gewijzigd door EricJH op 03-04-2018 21:00 ]

[BesmettePC]

Dank EricJH!

Ik had al geprobeerd het bestand naar Virus Totaal te uploaden maar het bestand is te groot voor dergelijke sites: het is namelijk een enorm groot pakketbestand...

[Berlinetta]

Tijd om procmonitor/procesexplorer te gebruiken.