w32/MebrootDll!Generic blijft maar verschijnen

[Reinhard]

Ik gebruik een Windows 10 64 bit pro systeem ( versie 1903, build 18362.418 met daarop System Mechanic 19.1.1.46 en Malwarebytes Premium 4.0.4. )
Geregeld komt Iolo System Mechanic met de popup dat een W21/MebrootDll!Generic infectie is voorkomen ( altijd in C:\Windows\WinXS\Temp\Infight\ (en dan eenhele reeks cijfers tekens ) en verwijderd.

Toch komt de melding telkens weer terug. Een scan levert niets op.

Iemand een idee?

[corporalnl]

Heb heb je zelf al gevonden en gedaan behalve alleen een scan?

Met wat voer je de scan uit.

Als je zoekt op W21/MebrootDll!Generic krijg je al veel resultaten met wat je evt kan doen.

[Reinhard]

corporalnl schreef op donderdag 2 januari 2020 @ 10:45:
Heb heb je zelf al gevonden en gedaan behalve alleen een scan?

Met wat voer je de scan uit.

Als je zoekt op W21/MebrootDll!Generic krijg je al veel resultaten met wat je evt kan doen.

Allemaal al gedaan. Verwijzingen naar veel vage sites met malware-removal tools. Dat risico loop ik liever niet. Malwarebytes en Iolo zouden voldoende moeten zijn.

[F_J_K]

Nee random "malwareverwijderaars" downloaden wil je niet doen. Vaker dan niet zou ik die zelf als malware willen bestempelen

Een van de (hier) eerste hits zegt:

W32/Generic!tr is a generic detection for malware that are characterized as trojans.

Een algemene duiding van iets dat ze niet herkennen. Er is dan ook een redelijke kans dat het geen malware is, maar bepaald gedrag vertoont dat er op lijkt. Om iets meer zekerheid te krijgen:
- verwijder de volgende keer niet meteen, maar upload naar een virustotal.com of virusscan.jotti.org. Als er daar een meer specifieke aanduiding is te zien dan weet je meer

- zoek uit welk process het bestand heeft aangemaakt, dan weet je waar het bij hoort. Laat https://docs.microsoft.co...ternals/downloads/procmon schrijfacties in alleen die directory tonen. Pas het filter aan met alleen tonen van: operation is CreateFile en Path begins with C:\Windows\WinXS\Temp\Infight\

Dan zie je welk proces het bestand aanmaakt.

[Reinhard]

F_J_K schreef op donderdag 2 januari 2020 @ 11:52:
Nee random "malwareverwijderaars" downloaden wil je niet doen. Vaker dan niet zou ik die zelf als malware willen bestempelen

Een van de (hier) eerste hits zegt:
[...]

Een algemene duiding van iets dat ze niet herkennen. Er is dan ook een redelijke kans dat het geen malware is, maar bepaald gedrag vertoont dat er op lijkt. Om iets meer zekerheid te krijgen:
- verwijder de volgende keer niet meteen, maar upload naar een virustotal.com of virusscan.jotti.org. Als er daar een meer specifieke aanduiding is te zien dan weet je meer

- zoek uit welk process het bestand heeft aangemaakt, dan weet je waar het bij hoort. Laat https://docs.microsoft.co...ternals/downloads/procmon schrijfacties in alleen die directory tonen. Pas het filter aan met alleen tonen van: operation is CreateFile en Path begins with C:\Windows\WinXS\Temp\Infight\

Dan zie je welk proces het bestand aanmaakt.

Da's een goeie! Maar waar geef ik het path op?

[Room42]

Reinhard schreef op donderdag 2 januari 2020 @ 13:12:
[...]

Da's een goeie! Maar waar geef ik het path op?

In het filter van Procmon.

[ Voor 3% gewijzigd door Room42 op 02-01-2020 13:35 ]

[MrMonkE]

Trend Micro housecall een full scan te laten doen.
Dit is gratis en is een gerenommeerd bedrijf.
https://www.trendmicro.co...e/products/housecall.html

Wel full scan kiezen.

Verder als lolo Mechanic de DLL in een vault (kluis) zet deze DLL misschien naar virustotal uploaden.

[ Voor 28% gewijzigd door MrMonkE op 02-01-2020 13:42 ]

[Reinhard]

MrMonkE schreef op donderdag 2 januari 2020 @ 13:41:
Trend Micro housecall een full scan te laten doen.
Dit is gratis en is een gerenommeerd bedrijf.
https://www.trendmicro.co...e/products/housecall.html

Wel full scan kiezen.

Verder als lolo Mechanic de DLL in een vault (kluis) zet deze DLL misschien naar virustotal uploaden.

Goeie tip. Zal ook even doen!

[L3dman]

Meschien een beetje ot.. Hoe krijg ik housecall weer van mn pc af het maakt zelfs een map in de windows folder aan ,en kan nergens behalve in de temp map van apps&data en c:/windows/trend micro waar een webpage met uninstall geklikt kan worden die gaat na uninstall aankliken niet verder dan 0% en er staat ook een silent install tussen

[F_J_K]

L3dman schreef op dinsdag 18 februari 2020 @ 05:27:
Meschien een beetje ot.. Hoe krijg ik housecall weer van mn pc af het maakt zelfs een map in de windows folder aan ,en kan nergens behalve in de temp map van apps&data en c:/windows/trend micro waar een webpage met uninstall geklikt kan worden die gaat na uninstall aankliken niet verder dan 0% en er staat ook een silent install tussen

Wel erg offtopic ja Ik sluit dit dan ook wel, dit kan prima in een eigen los topic.

Maak ajb een eigen topic aan.

Misschien kan je dan daarvoor eerst even kijken naar problemen met uninstall in het algemeen, en zien of er in de event viewer een relevant (fout)relevant is te zien.