Wat is dit voor een virus?

[Verwijderd]

Zojuist kom ik van een kennis af 'waar ik wel even een virusje zou verwijderen'. Nou, mooi niet dus. Het symptoom: bij elke executable de volgende melding:

[afbeelding]

MAAR: IE en Outlook Express werken WEL wanneer je de koppeling uit het Start Menu gebruikt (vanaf het bureaublad niet). EN: programma's werken WEL wanneer je ze koppelt aan een bestand (dus JPEG: openen met ...).

Symantec online scan: geen virussen gevonden.

Andere online scanners (TrendMicro/McAfee): W32.Swen.A@mm

Maar: geen enkel proces dat bij Symantec genoemd wordt, komt op de pc voor.

Toch maar de bestanden waarin het virus voorkwam verwijderd. Geen resultaat. Na een reboot blijven de executables onuitvoerbaar.

Oh ja: de kennis gaf toe dat het mogelijk was dat hij een bestand uit een 'Microsoft-mailtje' geopend had!

[ Voor 3% gewijzigd door Verwijderd op 19-09-2003 22:07 ]

[Tourniquet]

http://us.mcafee.com/viru...escription&virus_k=100662

[chucky666]

euh ik zie norton, dus norton updaten mischien


microsoft
Nep e-mail van Microsoft (W32/Swen@MM)

[ Voor 45% gewijzigd door chucky666 op 19-09-2003 22:13 ]

[Verwijderd]

Heel waarschijnlijk is het dus het betreffende virus, maar hoe haal ik het in hemelsnaam van zijn pc af? NAV updaten heeft geen nut, want NAV werkt niet (ook een executable).

[chucky666]

Verwijderd schreef op 19 September 2003 @ 22:16:
Heel waarschijnlijk is het dus het betreffende virus, maar hoe haal ik het in hemelsnaam van zijn pc af? NAV updaten heeft geen nut, want NAV werkt niet (ook een executable).

http://a64.g.akamai.net/7...cts/mcafee-avert/undo.reg
deze uitvoeren en dan norton uitvoeren met de nieuwste update

[Verwijderd]

Kijk eens in dit topic: [rml][ virus] W32.Swen.A hoe te fixen *[/rml]
Valt op dat er maar weinig (fatsoenlijke) removal guides zijn..

Je zou een removal tool kunnen proberen, hoewel deze waarschijnlijk niet zal werken.

[Verwijderd]

Helaas Chucky, zelfs de undo.reg werkt niet! En Schouw: jammer genoeg zit ik nu weer thuis, dus zal zo snel mogelijk kijken of dat 'dos prompt'-idee werkt!

[ Voor 56% gewijzigd door Verwijderd op 19-09-2003 22:28 ]

[wildhagen]

Heb je de Stinger-remover van McAfee al geprobeerd? Versie 1.86 moet Swen ook kunnen verwijderen. Gratis te downloaden op http://download.nai.com/products/mcafee-avert/stinger.exe

[Verwijderd]

Gaat niet lukken omdat het een *.exe is.

[wildhagen]

Verwijderd schreef op 19 September 2003 @ 22:36:
Gaat niet lukken omdat het een *.exe is.

Kan je hem ook niet renamen naar een .COM en hem dan uitvoeren? Hier (op een niet-geinfecteerd systeem) accepteert hij hem als ik hem stinger.com noem ipv stinger.exe.

Of houd dit virus ook .COM's tegen?

[Verwijderd]

Helaas, dan krijg ik de melding dat hij het bestand 'yzzfvfbtl.exe' nodig heeft.

[Verwijderd]

In de veilige modus kan je dus ook niets opstarten? Je kunt de HDD niet in tijdelijk in een andere pc hangen? Je kunt geen dos-scan uitvoeren?

Succes dan!

[ Voor 6% gewijzigd door Verwijderd op 19-09-2003 22:48 ]

[Verwijderd]

We zijn momenteel bezig om op te starten in 'Veilige Modus met opdrachtprompt' (telefonisch, dus schiet niet echt op met een leek aan de andere kant). Van daaruit probeer ik dan regedit.exe te starten en dan de undo.reg te importeren. Even afwachten dus.

[Yoeri]

regedit.exe kun je in ieder geval zonder problemen hernoemen naar regedit.com vooraleer hem uit te voeren, moest je daarmee problemen hebben

[Verwijderd]

...

[ Voor 146% gewijzigd door Verwijderd op 19-09-2003 22:52 . Reden: niet goed lezen ]

[Verwijderd]

Robbedoeske: het lukte daarstraks toch echt niet.
Xavyer: volgens mij waren we daar al achter

[Verwijderd]

er zijn de laatste tijd mailtjes rondgestuurd met een zogenaamde "security-update" van microsoft. Dit was dus gewoon het virus.... bla bla blaat!

[Verwijderd]

GELUKT!!! Het virus is eraf! Haha!! Geeft wel een goed gevoel, moet ik zeggen!

DUS:

1. http://a64.g.akamai.net/7...cts/mcafee-avert/undo.reg opslaan op je harde schijf

2. Opstarten in 'Veilige modus met opdrachtprompt' en inloggen als administrator

3. regedit.exe uitvoeren

4. undo.reg importeren

5. opnieuw opstarten en klaar!

[wildhagen]

Cardin: ik zou er het volgende aan toevoegen, to be sure:

6. Log in normale modus in, update je virusscanner en haal hem voor de zekerheid nog een keer over je hele schijf heen.

Better safe than sorry.

[Verwijderd]

Klopt, heb ik die kennis van me ook aangeraden!

[Verwijderd]

Hm, goed topic... ik moet vanavond naar iemand toe met hetzelfde virus...

[BdR]

*terug vind post*

hier iemand met hetzelfde probleem. Stomme vraag misschien, maar hoe log ik aan als "administrator" op Windows XP?

[Mike Jarod]

op ctrl-alt-del drukken bij je aanmeldscherm of bv starten in veilige modus

[F_J_K]

OK dan

Goed gezocht, maar klik -> klik

[F_J_K]

BdR schreef op 02 december 2003 @ 23:53:
jammer dat dit topic Wat is dit voor een virus? weer zo snel gesloten werd, want ik heb het op kunnen lossen en deze oplossing stond volgens mij nog nergens genoemd.

Mn neef had het virus op zn pc, het bestand javhniqy.exe (in dit geval, de naam is altijd willekeurig) stond in C:\Windows\ en het probleem is dus dat het virus in de registry heeft gezet dat voor het opstarten van elke .EXE .COM .BAT etc eerst het virus programma wordt opgestart, met het op te starten programma als parameter. Bijv als je notepad opstart doet hij eigenlijk "javhniqy.exe notepad.exe"

Dus ook als je REGEDIT.EXE op wil starten zorgen die registry entries ervoor dat windows dan "javhniqy.exe regedit.exe" opstart. En nu de oplossing:

1, download dit bestandje UNDO.REG
2, maak een copy van REGEDIT.EXE en noem deze JAVHNIQY.EXE (in dit geval, naam is altijd verschillend)
3, sleep het bestand UNDO.REG op deze JAVHNIQY.EXE (is dus eigenlijk REGEDIT.EXE)
4, "wilt u instellingen van JAVHNIQY.EXE importeren in registry" -> nee
5, "wilt u instellingen van UNDO.REG importeren in registry" -> ja

wat je bij stap 3 doet, is hetzelfde als in de commandprompt dit intypen "javhniqy.exe javhniqy.exe undo.reg" Die eerste javhniqy.exe komt van de registry entry bij .EXE, de 2e javhniqy.exe komt omdat dat het programma is wat je wilt opstarten. Dan heb je dus de REGEDIT opgestart met 2 parameters, de eerste sla je over, de tweede importeer je

^^^ Oeps en dank voor de tip