[Malware] PC traag en rare hickup's

[The outer limits]

Ik heb hier een pc amd athlon 2600+ met 2 x 512mb ddr400 ram

Nu hebben hier msn-personages, nitwitten en ander raar gespuis op gezeten en de computer aardig vervuild met dialers, searchbars, lop, spyware en andere zooi.

De pc was bagger traag geworden (opstarten van word duurde al 30 seconden) en dus mocht ik er eens naar kijken.

Heb hier de faq eens doorgelezen en de volgende dingen gedaan.

Online scan via housecall die een aantal besmette bestanden verwijderde. Kapersky geinstaleerde die nog veel meer besmette bestanden verwijderde
Avg virusscan geinstaleerd die er nog een paar vond en verwijderde.

Ad-aware geinstaleerd en gedraaid
Spybot search & destroy geinstaleerd en gedraaid.
Spywareblaster geinstaleerd en gedraaid.


Alle virusscans en spywarescanners nogmaals gedraaid en nu word er niets meer gevonden al blijft avg volhouden (tijdens de achtergrondscan) dat er op e:\system volume information\{serie nummers en letters}\random naam.exe nog iets zit terwijl windows dit bestand (en de map zelf ook) niet ziet ook de uitgebreide scans van alle virus scanners laat niets meer zien.

De pc is inmiddels up to date qua patches zodat de windows xp updater geen nieuwe updates meer heeft

Met hijackthis heb ik inmiddels het volgende log verkregen (aantal regels die ik zelf al kon herkennen er tussenuit gehaald)

code:

Logfile of HijackThis v1.97.7
Scan saved at 10:54:04 PM, on 5/10/2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\RunDll32.exe
C:\WINDOWS\System32\devldr32.exe
C:\Program Files\Java\j2re1.4.2_01\bin\jusched.exe
C:\PROGRA~1\Support.com\bin\tgcmd.exe
C:\PROGRA~1\Grisoft\AVG6\avgserv.exe
C:\WINDOWS\System32\ctfmon.exe
C:\WINDOWS\System32\RUNDLL32.EXE
C:\WINDOWS\system32\cisvc.exe
C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\AppServ\mysql\bin\mysqld-nt.exe
C:\AppServ\Apache\Apache.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\cidaemon.exe
C:\WINDOWS\System32\taskmgr.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Program Files\Outlook Express\msimn.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Program Files\Internet Explorer\IEXPLORE.EXE


F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\Userinit.exe
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [anvshell] anvshell.exe
O4 - HKLM\..\Run: [PtiuPbmd] Rundll32.exe ptipbm.dll,SetWriteBack
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\j2re1.4.2_01\bin\jusched.exe
O4 - HKLM\..\Run: [CT Monitor] "C:\WINDOWS\mdx11C4.exe"
O4 - HKLM\..\Run: [NTFix] C:\WINDOWS\task.exe
O4 - HKLM\..\Run: [version] C:\WINDOWS\System32\manage.exe
O4 - HKLM\..\Run: [tgcmd] "C:\PROGRA~1\Support.com\bin\tgcmd.exe" /server /startmonitor /deaf
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\System32\ctfmon.exe
O4 - Startup: Virtual Bouncer.lnk = C:\Program Files\VBouncer\VirtualBouncer.exe
O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {093F9CF8-0DE1-491C-95D5-5EC257BD4CA3} - http://akamai.downloadv3.com/binaries/IA/dtc32_EN_XP.cab
O16 - DPF: {0FCD5A05-BCEC-4BB1-9ED3-88C289D87ABB} (Vacpro.netherland) - http://www.7adpower.com/dialer/netherland.CAB
O16 - DPF: {58FC4C77-71C2-4972-A8CD-78691AD85158} (BJA Control) - http://mirror.worldwinner.com/games/v49/bjattack/bjattack.cab
O16 - DPF: {665585FD-2068-4C5E-A6D3-53AC3270ECD4} (FileSharingCtrl Class) - http://appdirectory.messenger.msn.com/AppDirectory/P4Apps/FileSharing/en/filesharingctrl.cab
O16 - DPF: {785EA525-5066-495F-ADF6-3B8316515DEF} (Collapse Control) - http://mirror.worldwinner.com/games/v46/collapse/collapse.cab
O16 - DPF: {7ED7005B-4AF6-4CFF-9AE0-F243C4B8260F} (HouseCallButton.setup) - http://de.trendmicro-europe.com/file_downloads/common/housecall/HouseCallButton.CAB
O16 - DPF: {AD7FAFB0-16D6-40C3-AF27-585D6E6453FD} - http://dload.ipbill.com/del/loader.cab

Achtergrondinfo, pc is winxp (legaal) en heel veel andere zooi al dan niet (il)legaal daarom mag ik de pc niet gewoon formateren. Het hele gezin gebruikt deze pc en niemand controleert wat een ander doet het account waarop ze werken is geen administrator maar dat maakt voor hen niet uit, ze maken er sowieso een bende van.

Nu dacht ik de pc leeg en schoon te hebben maar als ik een programma sluit of met alt-tab naar een ander venster ga hangt de hele pc altijd voor een paar seconden (muis en alles reageert niet) en gaat dan gewoon verder waar ie mee bezig hoort te zijn.
Alles werkt wel maar heeft dus last van hickups en is af en toe naar mijn mening te traag maar dat kan ook komen doordat ik sneller (en minder geinstaleerde zooi) gewend ben.

Ik hoop dat iemand wat kan maken van de HT scan van hierboven en anders moeten ze het er maar mee doen.

[Pendaco]

al een defragmentatie gedraaid, of controle op windows fouten, aangezien je er het 1 en ander uit heb gehaald zou de boel wat gefragmenteerd kunnen zijn.

weet niet of je beschikking hebt over norton utilities? maar anders zou je daar ook nog die pc mee kunnen controleren

edit:
cw-shredder ook al gedraaid?

deze sleutels horen er volgens mij ook niet meer in;

code:

O16 - DPF: {093F9CF8-0DE1-491C-95D5-5EC257BD4CA3} - http://akamai.downloadv3.com/binaries/IA/dtc32_EN_XP.cab
O16 - DPF: {0FCD5A05-BCEC-4BB1-9ED3-88C289D87ABB} (Vacpro.netherland) - http://www.7adpower.com/dialer/netherland.CAB
O16 - DPF: {58FC4C77-71C2-4972-A8CD-78691AD85158} (BJA Control) - http://mirror.worldwinner.com/games/v49/bjattack/bjattack.cab
O16 - DPF: {785EA525-5066-495F-ADF6-3B8316515DEF} (Collapse Control) - http://mirror.worldwinner.com/games/v46/collapse/collapse.cab
O16 - DPF: {AD7FAFB0-16D6-40C3-AF27-585D6E6453FD} - http://dload.ipbill.com/del/loader.cab

1ste is porno
2de is reclame
3rde & 4rde iets van online gaming
5de iets met hosting van website (weet niet of de gebruiker dit toevallig gebruikt)

[ Voor 56% gewijzigd door Pendaco op 12-05-2004 12:11 ]

[wildhagen]

Deze horen er volgens mij ook niet thuis:

code:

O4 - HKLM\..\Run: [NTFix] C:\WINDOWS\task.exe
O4 - HKLM\..\Run: [version] C:\WINDOWS\System32\manage.exe

Deze zeggen mij ook niks, jou wel? :

code:

O4 - HKLM\..\Run: [PtiuPbmd] Rundll32.exe ptipbm.dll,SetWriteBack
O4 - HKLM\..\Run: [CT Monitor] "C:\WINDOWS\mdx11C4.exe"

haal ze zo nodig allen eens door de Jotti-scan: http://virusscan.jotti.dhs.org/

[ Voor 10% gewijzigd door wildhagen op 12-05-2004 12:24 ]

[The outer limits]

code:

 O4 - HKLM\..\Run: [PtiuPbmd] Rundll32.exe ptipbm.dll,SetWriteBack

Deze waren clean bij jotti, de andere 3 bestanden worden niet op deze computer gevonden.

heb ze maar verwijderd, schijnen ze toch iets essentieels te doen kan ik ze altijd weer restoren

die 5 urls heb ik er gewoon uit gegooid lijkt mij verder nergens goed voor.

defragmentatie en windows error scan is uitgevoerd.

[wildhagen]

The_outer_limits: ja, heb nog even wat onderzoek gedaan. Die DLL is iets van Promise, dus wel OK denk ik.

Die task.exe zou wel eens dit geweest kunnen zijn: http://www.trendmicro.com...5.asp?VName=BKDR_BHIROT.A

Manage.exe kan dit geweest zijn: http://securityresponse.s...nc/data/adware.jraun.html

Die MDX11C4.EXE leverde niet één hit op.