[Virus] Kan W32.Spybot.Worm niet verwijderen *

[Verwijderd]

Ik heb afgelopen vrijdag mijn computer weer gescand op virussen en ik had het W32.Spybot.Worm virus dus ik dacht das dan jammer ik verwijder hem wel, maar hij zit in C:\WINDOWS\SYSTEM32\system2.exe. Dit is waarschijnlijk altijd in gebruik als windows draait dus ik kan hem niet herstellen of iets dergelkijks.

Ik had eens gehoord dat je met opstarten ook virussen kan verwijderen, maar ik weet niet hoe dat moet. Zou iemand dat mij kunnen vertellen.

Ik heb al in de search gezocht, maar daar kreeg ik niet echt een bevredigend antwoord, dus als iemand mij zou kunnen helpen graag.

[Verwijderd]

system2.exe zegt mij helemaal niks eerlijk gezegd, volgens mij is dat gewoon zo'n lollige naam die ze eraan geven (net zoals rundll32.exe die ook niet bestaat)

Probeer eens in veilige modus op te starten ( op F8 drukken ) en kijk of je hem dan kan verwijderen

[Verwijderd]

Verwijderd schreef op 29 mei 2004 @ 15:37:
system2.exe zegt mij helemaal niks eerlijk gezegd, volgens mij is dat gewoon zo'n lollige naam die ze eraan geven (net zoals rundll32.exe die ook niet bestaat)

Probeer eens in veilige modus op te starten ( op F8 drukken ) en kijk of je hem dan kan verwijderen

Nee dat lukt ook niet, kan hem niet verwijderen zegt die dat het bestand toch in gebruik is. Er staat in de eigenschappen Generic Host Process for Win32 Services.

Ik gebruik trouwens norton antivirus.

[ Voor 14% gewijzigd door Verwijderd op 29-05-2004 16:04 ]

[Verwijderd]

Post je HijackThis log eens? Volgens mij is er wat meer aan de hand.

[Verwijderd]

Verwijderd schreef op 29 mei 2004 @ 16:40:
Post je HijackThis log eens? Volgens mij is er wat meer aan de hand.

Misschien een domme vraag hoor, maar wat is een hijackthis log precies.

[ Voor 10% gewijzigd door Verwijderd op 29-05-2004 16:46 ]

[_the_crow_]

Verwijderd schreef op 29 mei 2004 @ 16:45:
Misschien een domme vraag hoor, maar wat is een hijackthis log precies.

Hier (de B&V-FAQ) staat uitgelegd hoe je aan Hijack This komt en hoe je een log maakt. Zet die log dan vervolgens in een post tussen [code]-tags.

[Verwijderd]

Ok ik heb een scan gemaakt met dit programma, maar de log die ik krijg is nogal groot. Welk deel wil je precies zien?

In deze regel staat het system2 bestand

code:

O4 - HKCU\..\RunOnce: [System Terminal] SYSTEM2.EXE

[ Voor 34% gewijzigd door Verwijderd op 30-05-2004 01:34 ]

[mr_petit]

waarschijnlijk staat er in je register bij HKLM\software\microsoft\windows\currentversion\runonce (of run) een sleutel die verwijst naar de worm.
als je die sleutel in veilige modus verwijderd en daarna opnieuw opstart in veilige modus dan kan je waarschijnlijk wel dat bestandje verwijderen

edit:

ah hij staat in HKCU
check voor de zekerheid HKLM ook nog maar ff, (of staat die niet in je log)

[ Voor 17% gewijzigd door mr_petit op 30-05-2004 01:40 ]

[SithWarrior]

Dat is idd een virus, in veilige modus booten en dan met regedit zoeken naar system2.exe zoeken en alles wat ie vind verwijderen. nog een keer rebooten in veilige modus, dan moet moet je em wel kunnen weg gooien

[Verwijderd]

Ja ik zou graag in me regedit komen, maar als ik in regedit zit verdwijnt dit scherm na 2 seconden net als bij mijn taakbeheer. Ik dacht eigenlijk dat dit aan dit virus lag, want ik had al eerder eens gesearchd naar dit probleem en dat waren ook allemaal mensen met een virus die dit probleem hadden (niet hezelfde virus, maar ik heb geen andere virussen op mijn computer).

Misschien ligt het helemaal niet aan het virus, maar ik zou dan geen idee hebben waaraan het wel ligt, want het probleem kwam ongeveer tegelijkertijd met dit virus

[Verwijderd]

Verwijderd schreef op 30 mei 2004 @ 01:49:
Ja ik zou graag in me regedit komen, maar als ik in regedit zit verdwijnt dit scherm na 2 seconden net als bij mijn taakbeheer. Ik dacht eigenlijk dat dit aan dit virus lag, want ik had al eerder eens gesearchd naar dit probleem en dat waren ook allemaal mensen met een virus die dit probleem hadden (niet hezelfde virus, maar ik heb geen andere virussen op mijn computer).

Misschien ligt het helemaal niet aan het virus, maar ik zou dan geen idee hebben waaraan het wel ligt, want het probleem kwam ongeveer tegelijkertijd met dit virus

Misschien de resten van een virus?

[Verwijderd]

Verwijderd schreef op 30 mei 2004 @ 01:54:
[...]


Misschien de resten van een virus?

Dat zou kunnen ja, maar hoe kan ik resten van virussen dan opspooren. Ik gebruik gewoon norton antivirus met de laatste virusdefinities en die kan ze niet vinden. Is daar misschien nog een ander programma voor?

[mr_petit]

housecall...

gratis online virusscanner van trend micro
http://housecall.trendmicro.com/

[Verwijderd]

Staat er in je HijackThis log nog niets anders verdachts?.

Post gewoon de hele log hier.

[ Voor 23% gewijzigd door Verwijderd op 30-05-2004 02:04 ]

[pinockio]

Avast kan direct na het installeren - en na herstarten - je systeem scannen. www.avast.com

Zie ook Gratis virusscanners

[Verwijderd]

Verwijderd schreef op 30 mei 2004 @ 02:04:
Staat er in je HijackThis log nog niets anders verdachts?.

Post gewoon de hele log hier.

Ok hier is die dan helemaal:
sorry voor de lay-out, maar anders wordt de log onoverzichtelijk

code:

Logfile of HijackThis v1.97.7
Scan saved at 2:09:09, on 30-5-2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\windows\system\hpsysdrv.exe
C:\HP\KBD\KBD.EXE
C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb08.exe
C:\Program Files\Hewlett-Packard\HP Software Update\HPWuSchd2.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe
C:\Program Files\QuickTime\qttask.exe
C:\PROGRA~1\NORTON~1\navapw32.exe
C:\Program Files\Norton Internet Security\IAMAPP.EXE
C:\Program Files\Logitech\iTouch\iTouch.exe
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe
C:\WINDOWS\System32\SYSTEM2.EXE
C:\WINDOWS\System32\RUNDLL32.EXE
C:\PROGRA~1\COMMON~1\PCSuite\DATALA~1\DATALA~1.EXE
C:\Program Files\Logitech\MouseWare\system\em_exec.exe
C:\PROGRA~1\Nokia\NOKIAP~2\TRAYAP~1.EXE
C:\Program Files\MSN Messenger\MsnMsgr.Exe
C:\Program Files\Creative\MediaSource\RemoteControl\RcMan.exe
C:\Program Files\Creative\MediaSource\Go\CTCMSGo.exe
C:\Program Files\Globe Software\StatBar\StatBar.exe
C:\PROGRA~1\COMMON~1\PCSuite\Services\SERVIC~1.EXE
C:\Valve\Steam\Steam.exe
C:\Program Files\Sitecom\Bluetooth Software\BTTray.exe
C:\PROGRA~1\Sitecom\BLUETO~1\BTSTAC~1.EXE
C:\Program Files\Sitecom\Bluetooth Software\bin\btwdins.exe
C:\WINDOWS\System32\CTSvcCDA.EXE
C:\Program Files\Norton AntiVirus\navapsvc.exe
C:\Program Files\Norton Internet Security\NISUM.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Norton Internet Security\SymProxySvc.exe
C:\WINDOWS\System32\MsPMSPSv.exe
C:\Program Files\Norton Internet Security\NISSERV.EXE
C:\Program Files\Norton Internet Security\ATRACK.EXE
C:\PROGRA~1\Nokia\NOKIAP~2\COMPON~1\PHONEB~1\NOKIAV~1.EXE
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\download\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://srch-ne3.hpwis.com/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://srch-ne3.hpwis.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.nl/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://ne3.hpwis.com/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://srch-ne3.hpwis.com/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://srch-ne3.hpwis.com/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://ne3.hpwis.com/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://srch-ne3.hpwis.com/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: OpinionBar IE monitor - {6607C683-AE7C-11D4-ACD7-0050DAC291A2} - C:\PROGRA~1\OPINIO~1\MYIEMO~1.DLL
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [hpsysdrv] c:\windows\system\hpsysdrv.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\System32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe
O4 - HKLM\..\Run: [KBD] C:\HP\KBD\KBD.EXE
O4 - HKLM\..\Run: [PS2] C:\WINDOWS\system32\ps2.exe
O4 - HKLM\..\Run: [S3TRAY2] S3tray2.exe
O4 - HKLM\..\Run: [SoundFusion] RunDll32 cwaprops.cpl,CrystalControlWnd
O4 - HKLM\..\Run: [Microsoft Works Portfolio] C:\Program Files\Microsoft Works\WksSb.exe /AllUsers
O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Program Files\Microsoft Works\WkDetect.exe
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb08.exe
O4 - HKLM\..\Run: [HP Software Update] "C:\Program Files\Hewlett-Packard\HP Software Update\HPWuSchd2.exe"
O4 - HKLM\..\Run: [DeviceDiscovery] C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [NAV Agent] C:\PROGRA~1\NORTON~1\navapw32.exe
O4 - HKLM\..\Run: [iamapp] C:\Program Files\Norton Internet Security\IAMAPP.EXE
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [zBrowser Launcher] C:\Program Files\Logitech\iTouch\iTouch.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [DataLayer] C:\PROGRA~1\COMMON~1\PCSuite\DATALA~1\DATALA~1.EXE
O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\PROGRA~1\Nokia\NOKIAP~2\TRAYAP~1.EXE
O4 - HKLM\..\Run: [System Terminal] SYSTEM2.EXE
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [RemoteCenter] C:\Program Files\Creative\MediaSource\RemoteControl\RcMan.exe
O4 - HKCU\..\Run: [Creative MediaSource Go] C:\Program Files\Creative\MediaSource\Go\CTCMSGo.exe /SCB
O4 - HKCU\..\Run: [StatBar] C:\Program Files\Globe Software\StatBar\StatBar.exe
O4 - HKCU\..\Run: [Evidence Eliminator] C:\Program Files\Evidence Eliminator\ee.exe /m
O4 - HKCU\..\Run: [Netshredder] C:\Program Files\Evidence Wiper\NetRub.exe
O4 - HKCU\..\Run: [Steam] C:\Valve\Steam\Steam.exe -silent
O4 - HKCU\..\RunOnce: [System Terminal] SYSTEM2.EXE
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: BTTray.lnk = ?
O4 - Global Startup: GStartup.lnk = C:\Program Files\Common Files\GMT\GMT.exe
O4 - Global Startup: Logitech Desktop Messenger.lnk = C:\Program Files\Logitech\Desktop Messenger\8876480\Program\LDMConf.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~4\Office10\EXCEL.EXE/3000
O9 - Extra 'Tools' menuitem: Sun Java Console (HKLM)
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Windows Messenger (HKLM)
O16 - DPF: KANA IQ LiveA - http://dmzchatonly.europe.creative.com/srvs/eu/eu1.cab
O16 - DPF: {0A5FD7C5-A45C-49FC-ADB5-9952547D5715} (Creative Software AutoUpdate) - http://www.creative.com/SU/ocx/12119/CTSUEng.cab
O16 - DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) - http://www.cult3d.com/download/cult.cab
O16 - DPF: {54B52E52-8000-4413-BD67-FC7FE24B59F2} (EARTPatchX Class) - http://www.ea.com/downloads/rtpatch/EARTPX.cab
O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://207.188.7.150/07d758bbd4eb39461621/netzip/RdxIE601.cab
O16 - DPF: {83B67220-025C-416C-8049-398E12764B36} (Flo2_L2 Control) - http://www.nokiagame.com/games/2K1E4R5Vem5ui1Sw1Wyas/flo2_l2.cab
O16 - DPF: {8BC4B4C3-2CA2-44B0-9A36-495EF3946E22} (Flo2_L1 Control) - http://www.nokiagame.com/games/1fpO934H6RyteU8j62jfl/flo2_l1.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab
O16 - DPF: {90C9629E-CD32-11D3-BBFB-00105A1F0D68} (InstallShield International Setup Player) - http://www.lizardtech.com/software/expressview/webinstall/isetup.cab
O16 - DPF: {91413D86-9F27-402C-B5E3-DEBDD122C339} - http://content.netvenda.com/sites/games-intl/nl/games10.cab
O16 - DPF: {A9FD89D6-C839-11D3-B0FE-0050044B8FE9} (OBInstallRunner Control) - http://www.opinionbar.com/download/resources/OBInstallCabinet.CAB
O16 - DPF: {C2FCEF52-ACE9-11D3-BEBD-00105AA9B6AE} (Symantec RuFSI Registry Information Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: {E06E2E99-0AA1-11D4-ABA6-0060082AA75C} (GpcContainer Class) - https://carnegiehallevents.webex.com/client/latest/event/ieatgpc.cab
O16 - DPF: {E0B795B4-FD95-4ABD-A375-27962EFCE8CF} (StarInstall Control) - http://install.serviceurl.de/StarInstall.ocx
O16 - DPF: {F04A8AE2-A59D-11D2-8792-00C04F8EF29D} (Hotmail Attachments Control) - http://lw11fd.law11.hotmail.msn.com/activex/HMAtchmt.ocx
O16 - DPF: {F6ACF75C-C32C-447B-9BEF-46B766368D29} (Creative Software AutoUpdate Support Package) - http://www.creative.com/SU/ocx/12119/CTPID.cab
O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab

[pinockio]

Gooi sowieso Norton eraf. Mezelf even quoten:[rml]pinockio in "[ alg] Virus killing virus*"[/rml]

Blijkbaar helpt Norton niet, want het kan je virus niet vinden (een beter bewijs van de waardeloosheid van dat gebloate pakket kan ik niet vinden).

Overigens zou ik - als ik jou was - ook even met msconfig in de weer gaan om nutteloze startup items te verwijderen.

[ Voor 26% gewijzigd door pinockio op 30-05-2004 02:33 ]

[Verwijderd]

pinockio schreef op 30 mei 2004 @ 02:31:
Gooi sowieso Norton eraf. [rml]pinockio in "[ alg] Virus killing virus*"[/rml]

Blijkbaar helpt Norton niet, want het kan je virus niet vinden (een beter bewijs van de waardeloosheid van dat gebloate pakket kan ik niet vinden).

Norton ziet mijn virus wel, maar als je dan later het virus in quarantaine wil zetten om later te verwijderen doet die dit niet en in 1 keer verwijderen ook niet. Het geeft dan echter geen oplossing voor het probleem en zegt dan alleen van er zijn nog virussen op uw computer aanwezig, maar daar heb je niet echt veel aan.

Ik ben momenteel ook al aan het scannen met avast.

[ Voor 6% gewijzigd door Verwijderd op 30-05-2004 02:35 ]

[SliderTPP]

Doe es in msdos prompt opstarten, dan kun je m verwijderen.

[Verwijderd]

Ik had EXACT hetzelfde probleem! Ik heb de computer opgestart in de veilige modus en toen ben ik naar de map gegaan waar system2.exe zich bevond. Deze heb ik toen gewoon kunnen verwijderen. Mocht het bestand in gebruik zijn, in de veilige modus kon ik wel taakbeheer en het register gebruiken.

[Verwijderd]

code:

C:\WINDOWS\System32\SYSTEM2.EXE
O4 - HKLM\..\Run: [System Terminal] SYSTEM2.EXE
O4 - HKCU\..\RunOnce: [System Terminal] SYSTEM2.EXE

Die kunnen volgens mij zeker weg.

[ Voor 24% gewijzigd door Verwijderd op 30-05-2004 11:18 ]

[Verwijderd]

Verwijderd schreef op 30 mei 2004 @ 10:59:

code:

C:\Program Files\Globe Software\StatBar\StatBar.exe

Die kunnen volgens mij zeker weg.

Ik denk dat TS StatBar met een bedoeling heeft geinstalleerd. Dit is namelijk geen spyware o.i.d.

[ Voor 10% gewijzigd door Verwijderd op 30-05-2004 11:06 ]

[wildhagen]

Deze kan ook weg, is spyware:

code:

O4 - Global Startup: GStartup.lnk = C:\Program Files\Common Files\GMT\GMT.exe

[Verwijderd]

Verwijderd schreef op 30 mei 2004 @ 11:05:
[...]

Ik denk dat TS StatBar met een bedoeling heeft geinstalleerd. Dit is namelijk geen spyware o.i.d.

Done, de naam komt zo spyware achtig over.

[Verwijderd]

Verwijderd schreef op 30 mei 2004 @ 11:19:
[...]


Done, de naam komt zo spyware achtig over.

Voortaan is het beter om eerst zelf wat onderzoek te doen voordat je tegen iemand zegt dat hij die dingen zeker kan verwijderen.

In dit geval ging het alleen om Statbar maar het had natuurlijk ook om iets vitalers kunnen gaan..

Titel ook direct wat aangepast.

[ Voor 5% gewijzigd door Verwijderd op 30-05-2004 12:05 ]

[Verwijderd]

Verwijderd schreef op 30 mei 2004 @ 12:04:
[...]

Voortaan is het beter om eerst zelf wat onderzoek te doen voordat je tegen iemand zegt dat hij die dingen zeker kan verwijderen.

In dit geval ging het alleen om Statbar maar het had natuurlijk ook om iets vitalers kunnen gaan..

Titel ook direct wat aangepast.

Okee, zal ik doen.

Van je fouten leer je.

[Verwijderd]

Ok ik heb dus een paar keer geprobeerd om het virus in de veilige modus het virus te verwijderen. Dit is me na een paar keer gelukt. Ik heb daarna met 3 verschillende virus scanners gescand en die kunnen geen virus meer vinden, dus ik neem aan dat het virus nu wel verdwenen is.

Het mooie is ook dat het probleem met me taakbeheer en me uitvoeren die verdwenen na een aantal seconden nu ook opgelost is. Nu blijven deze menutjes gewoon en gaan ze niet meer weg na een aantal seconden, dus lag dit probleem waarschijnlijk aan het virus.

Ik wil jullie allemaal bedanken voor jullie hulp.