virus? mspaint.exe en wordpad.exe in program files

[Punksmurf]

hello all,


bij mijn moeder op haar computer zijn onlangs in haar start menu/bureau accesoires 2 icoontjes meer verschenen, namelijk paint(1) en wordpad(1). de icons lijken een beetje op de icons van de echte (die er ook nog staan) maar zien er toch wat brakker uit, daarom viel het me eigenlijk op

ze verwijzen naar mspaint.exe en wordpad.exe in c:\program files\bureau accesoires\

ik weet niet of dit een virus is maar ik heb er op internet of GoT niets over kunnen vinden wel is er 'iets' actief dat de virusscanner disabled.

is er hier toevallig iemand die wat meer informatie heeft?

bij voorbaad dank!

edit: os is winXP

[na een search leek het of er in dit subform het meest werd gepost over virussen dus vandaar dat ik hier post. als dat fout is, sorry!]

[ Voor 3% gewijzigd door Punksmurf op 18-12-2003 23:32 ]

[Mike Jarod]

Kan je hier eens kijken en een online scan uitvoeren? :

http://securityresponse.symantec.com
http://www.housecall.nl

edit: En welke virusscanner heb je?

[ Voor 14% gewijzigd door Mike Jarod op 18-12-2003 23:36 ]

[Verwijderd]

Stuur me de files eens, dan kijk ik er naar.(Zie sig for mail)

[Punksmurf]

tnx voor jullie reacties

housecall vond niets... maar er zal toch al iets zijn dat die virusscanner uitschakelt (kan starten wat ik wil maar hij geeft even een zandloper verder gebeurd er niets).
die andere weet ik nog niet, zal ik maandag doen (geen tijd meer van het weekend vrees ik)

schouw... misschien nog even morgenavond maar anders probeer ik er maandag aan te denken.

edit: scanner: mcafee 6

[ Voor 4% gewijzigd door Punksmurf op 19-12-2003 22:56 ]

[F_J_K]

Check ook de andere online scanners in de SA FAQ even. Het lijkt me stug dat ze allemaal worden geblokkeerd

[blackangel]

D:\WINDOWS\system32\mspaint.exe is hier 342.528 bytes groot.
MD5: 0d145a96c4b7328f10e075455fd254e2 *mspaint.exe

D:\Program Files\Windows NT\Bureau-accessoires\wordpad.exe is hier 202.752 bytes groot. MD5: e9875582158af1cc3eb29fe9bd0172a6 *wordpad.exe

Ook winXP, en ik zou niet weten waarom ze bij jou eventueel anders kunnen zijn.

[Punksmurf]

files staan op http://www.punksmurf.nl/zooi/vaag.zip

in die map stond nog een bestand: pcximp32.flt, die is meegezipt (pcx import 32bit filter ofzo? zou t toch een fatsoenlijk tegenprog zijn? vaag hoor)

*** let op *** mss ben ik n00b of paranoia, maar ik vertrouw die files niet, uitvoeren op eigen risico

_{ik denk, laat ik het er maar even bijzetten voor de zekerheid}

* Punksmurf probeert nog wat andere scanners

@blackangel, filesize van die bestanden komt overeen, deze bestanden komen uit een andere dir

daar: mspaint.exe: 329.488, wordpad.exe: 208.896. wel wat groot voor een virus geloof ik?

[ Voor 72% gewijzigd door Punksmurf op 23-12-2003 19:00 ]

[Webgnome]

avg antivirus vind geen virus en als ik op google zoek naar de file pcximp32.flt dan kom ik op alles uit behalve en virus dus ik denk dat je in een raar moment bent gaan slepen met je muis OF je hebt een trojan ofzo

[EvilWhiteDragon]

ik kan je iig vertellen dat er bij win xp geen map program files\bureau accesoires\
is, wel program files\windows nt\bureau accesoires\ met daar in alleen wordpad.exe

[Punksmurf]

moet ma iig wel zijn geweest

trojan lijkt me stug, zit hier achter een router, change is tho'. maar t rare is dat ik dus met een virusscanner (housecall alleen nog tot nu toe) geen virus vind
ik zeg ook niet dat het die bestandjes zijn maar ik vond ze verdacht. er zit imho toch ergens iets op, want voor zover ik weet schakelen alleen virussen de virusscanner uit...

@thakiller, thanks, maar dat had ik nu ook al ontdekt *woei, proud*

[ Voor 12% gewijzigd door Punksmurf op 23-12-2003 19:06 ]

[Verwijderd]

mspaint.exe doet niets? (Not a valid win32 app)
Wordpad.exe lijkt iig clean te zijn, maar zal de files submitten voor betere analyse.

Een router gaat een trojan niet tegenhouden hoor, alleen wat wormpjes die via internet binnen willen komen. Check je start up eens en je lopende processen.
Het komt vaker voor dat ik een virus tegenkom dat door geen enkele AV wordt gedetecteerd dan wel, dus wie weet staat er iets nieuws op..
(Daarnaast is housecall niet echt heel fantastisch).

Edit:

daar: mspaint.exe: 329.488, wordpad.exe: 208.896. wel wat groot voor een virus geloof ik?

Niet echt, pas als we het over >1 MB hebben is het aardig groot, maar zelfs 3+ MB komt tegenwoordig voor.

[ Voor 19% gewijzigd door Verwijderd op 23-12-2003 19:13 ]

[Verwijderd]

• Windows XP gebruik geen c:\program files\bureau accesoires\
• De files hebben niet kloppende versienummers (mspaint is 4.90 WinME en Wordpad is 5.0 Win98SE, terwijl dit bijv. 5.1.2600.1106 zou moeten zijn voor Windows XP)
• De files zijn te groot/klein tov de 5.1 versies
• De iconen in WindowsXP zijn truecolor, in de bovenstaande bestanden niet.
• FileCompare met de Win98SE versies die qua bestandsgrootte en versienummering overeenkomen geeft teveel verschillen
• Het komt erop neer dat de bestanden waarschijnlijk behoren aan Windows Millenium (4.90.3000.0 / 8-6-2000 17:00:00) - dat ze niet werken komt door de gewijzigde werking onder Windows XP van de DLL's

Kortom, ik zou die bovenstaande zut gewoon deleten op onderstaande na:

%Windir%\system32\mspaint32.exe
%Windir%\system32\dllcache\mspaint32.exe

%programfiles%\Windows NT\Bureau_accessoires\Wordpad.exe
%Windir%\system32\dllcache\Wordpad.exe

Dat zijn nl. de originele locaties van die bestanden - ook al zul je die niet in alle gevallen nodig hebben - en ook probleemloos ook kunnen deleten. Terugzetten kan dan vanaf de setupCD via configuratie>software>Windows onderdelen.

[ Voor 31% gewijzigd door Verwijderd op 23-12-2003 19:36 ]

[Punksmurf]

update: virusscanner opnieuw geinstalleerd en nu doet hij het wel ... *vaag* maar het zal wel...
ook nog wat andere vage zut is ook verdwenen door msn+ zonder sponsor opnieuw te installeren... *woei*

iig, bedankt!