[Malware] Backdoor.MoSucker.06 infectie - geen apps draaien*

[Verwijderd]

Ik had een bestandje gedownload van het internet, vaag bestandje, vage site, maar goed. Ik heb KAV geinstalled, even geupdate en scannen (voor het openen). KAV geeft een foutmelding iets in de trend van 'geen rechten om bestand te openen' dus ik gooi het bestand weg want dat vertrouw ik niet.

Ik wil KAV scan opstarten om mijn hele disk te controleren en.. kan programma niet vinden.. dan maar niet de snelkoppeling gebruiken en gewoon het programma starten maar wederom kan bestand niet vinden. Dan maar iexplorer starten om te housecallen, maar weer kan bestand niet vinden. Geen enkele App op mijn pc is meer te openen, kan het allemaal niet vinden. In de veilige modus (daar zit ik nu in) wil ie wel gewoon iexplorer opstarten, maar nog steeds het grootste deel van de progsels niet.

Ik ben nu aan het housecallen, maar die heeft nog niks gevonden.

Hebben jullie enig idee wat er gebeurd is? Of hoe ik mijn programma's weer gewoon kan openen?

Grappig, althans grappig is niet het goede woord. Als ik een *.psd open opend hij deze gewoon fatsoenlijk, met photoshop niks aan de hand. Ga ik echter naar mijn systeemmap om photoshop.exe te draaien, dan kan hij photoshop niet vinden.. zo bij alle programma's. De bestanden werken wanneer ik hierop click, maar het programma is niet rechstreeks zelf te openen.

[sjaakaq]

Dit had ik eerst ook bij een Agobot (sasser enz.) Schouw heeft me toen een soort batch-bestand gestuurd die de extensies weer goed zette enzo, ff aan hem vragen dus

[DaRoot]

In je register, de volgende sleutel:
HKEY_CLASSES_ROOT\exefile\shell\open\command
Deze moet als waarde "%1" %* hebben. Denk dat dat je probleem is.

[sjaakaq]

Alleen...volgens mij kon ik toen regedit niet openen

[KompjoeFriek]

leokennis schreef op 08 juni 2004 @ 00:16:
Alleen...volgens mij kon ik toen regedit niet openen

Regedit.exe renamen naar regedit.com, en dan runnen

[sjaakaq]

Hmmm...nou ja ok heel leuk allemaal

Maar kans is groot dat je ergens een .exe tegenkomt (explorer.exe oid)

[Verwijderd]

Na veel moeite is het uiteindelijk gelukt regedit te openen

Maar helaas is het probleem daarmee niet opgelost, bij de key staat namelijk dit:
c:\windows\system32\msbltn.exe"%1"%

En dat zou er dan moeten staan toch? Enige andere suggesties?

[blackd]

Verwijderd schreef op 08 juni 2004 @ 00:41:
Maar helaas is het probleem daarmee niet opgelost, bij de key staat namelijk dit:
c:\windows\system32\msbltn.exe"%1"%

c:\windows\system32\msbltn.exe
Wellicht is die file al weg, maar indien die file nog bestaat, haal hem eens door http://virusscan.jotti.dhs.org

[Verwijderd]

ftp://ftp.avp.ru/utils/clrav/clrav.com
Die proberen te runnen, of eventueel renamen naar msbltn.exe en in \windows\system32\ dumpen.
Dan $file openen.

Scan het origineel ook nog eens als je dat nog hebt en het is het overwegen waard om de sample te submitten.

[axis]

nogmaals:

DaRoot schreef op 08 juni 2004 @ 00:06:
In je register, de volgende sleutel:
HKEY_CLASSES_ROOT\exefile\shell\open\command
Deze moet als waarde "%1" %* hebben. Denk dat dat je probleem is.

enne, kan volgens mij alleen in veilige modus..

[Verwijderd]

Hij kan ook gewoon mijn tool gebruiken en dan hoeft ie niet zelf in het register te frotten.

[Verwijderd]

axis schreef op 08 juni 2004 @ 01:09:
nogmaals:


[...]


enne, kan volgens mij alleen in veilige modus..

Dat had ik al gedaan natuurlijk zie vorige post.

Ik zal dat tooltje van schouw nog proberen, even kijken hoe want ik heb geen internet meer (zit nu op mijn mac)

ctrl-alt-del werkt trouwens ook alleen in veilige modus, disabled by admin, terwijl ik admin ben en de enige gebruiker, zelfde gebruiker als in veilige modus..

[Verwijderd]

blackd schreef op 08 juni 2004 @ 00:49:
[...]


c:\windows\system32\msbltn.exe

Wellicht is die file al weg, maar indien die file nog bestaat, haal hem eens door http://virusscan.jotti.dhs.org

Het bestand is weg is daar nog wat aan te doen (ik ken het bestand niet) of is het een uniek bestand per gebruiker/pc?

* Ben inmiddels het tooltje van Schouw aan het draaien, denk niet dat het zal helpen want ik krijg vaak acces_denied in beeld (wederom als admin als enige gebruiker die normaal alle rechten heeft ingelogd)

[ Voor 22% gewijzigd door Verwijderd op 08-06-2004 02:27 ]

[Verwijderd]

Verwijderd schreef op 08 juni 2004 @ 02:10:
[...]


Het bestand is weg is daar nog wat aan te doen (ik ken het bestand niet) of is het een uniek bestand per gebruiker/pc?

* Ben inmiddels het tooltje van Schouw aan het draaien, denk niet dat het zal helpen want ik krijg vaak acces_denied in beeld (wederom als admin als enige gebruiker die normaal alle rechten heeft ingelogd)

ftp://ftp.avp.ru/utils/clrav/clrav.com

Die proberen te runnen, of eventueel renamen naar msbltn.exe en in \windows\system32\ dumpen.

Dan $file openen.


Scan het origineel ook nog eens als je dat nog hebt en het is het overwegen waard om de sample te submitten.

Kan ik clrav.exe gewoon renamen naar msbltn.exe? En wat bedoel je precies met @file openen en met sample submitten.

[KermieCow]

Kan ik het nu niet helemaal volgen of is het bestandje al weg?
Dat eerste stuk hoeft er helemaal niet in te staan.. Alleen het voorgaand ook al opgegeven "%1" %* dus nix ervoor..

Die file die er nu voor opgegeven wordt is alleen maar om te zorgen dat een bepaald illegaal progje mee opstart zodra jij een applicatie probeert op te starten.
Doordat dat illi progje nu verwijdert is kan je geen .exe files meer starten. Dus gewoon verwijzing uit register halen en klaar is *vul zelf gebruikersnaam in*

[elevator]

Windows Operating Systems >> Beveiliging & Virussen

[Verwijderd]

KermieCow schreef op 08 juni 2004 @ 08:38:
Kan ik het nu niet helemaal volgen of is het bestandje al weg?

Dat eerste stuk hoeft er helemaal niet in te staan.. Alleen het voorgaand ook al opgegeven "%1" %* dus nix ervoor..


Die file die er nu voor opgegeven wordt is alleen maar om te zorgen dat een bepaald illegaal progje mee opstart zodra jij een applicatie probeert op te starten.

Doordat dat illi progje nu verwijdert is kan je geen .exe files meer starten. Dus gewoon verwijzing uit register halen en klaar is *vul zelf gebruikersnaam in*

Dan heb ik het verkeerd begrepen, ik dacht dat het zo goed was, gelukkig niet dus want ik was mijn windows cd alweer aan het zoeken (zit midden in de verhuizing) ik ben nog een keer met kav aan het scannen voor het geval niks meer helpt dan heb ik iig een ' schone' pc bij een reinstall (andere partities).

* Even een stomme vraag.
Ik ben niet zo'n registry held dus ik zit er dan ook weinig tot niet in. Ik heb nu de keys veranderd naar "%1"1%* dan sluit ik regedit. Wanneer ik hem open ziet hij er nog steeds zo uit. Reboot ik echter dan staat alles weer terug.. Moet ik ergens saven? (bijvoorbeeld export en dan over de bestaande heen saven) of zou alleen editten voldoende moeten zijn?

[ Voor 70% gewijzigd door Verwijderd op 08-06-2004 11:04 ]

[sjaakaq]

Verwijderd schreef op 08 juni 2004 @ 02:00:
[...]


Dat had ik al gedaan natuurlijk zie vorige post.

Ik zal dat tooltje van schouw nog proberen, even kijken hoe want ik heb geen internet meer (zit nu op mijn mac)

ctrl-alt-del werkt trouwens ook alleen in veilige modus, disabled by admin, terwijl ik admin ben en de enige gebruiker, zelfde gebruiker als in veilige modus..

O o dit had ik een tijd geledne ook...en toen had ik een Agobot (toch, Schouw ). Toen kreeg ik dus een .com oid van Schouw zodat ik weer wel apps kon openen. Toen heb ik met KAV gecanned en toen was t opgelost...

[DoDo]

Kijk is met een hijack this log wat er allem,aal in het begin opstart

[sjaakaq]

Hijackthis.exe

Zal niet werken vermoed ik

[Verwijderd]

Alles werkt wanneer ik het naar .com rename alleen allemaal een beetje langzamer (ik denk omdat ie niet alle .exe opend die in win gebakken zitten).

KAV is nog steeds aan het scannen (inmiddels al bijna 2 uur, 200GB leek zo handig

[Verwijderd]

Even een update:

KAV heeft inmiddels 3 keer een virus weggehaald alle 3 de keren betrof het:

backdoor.trojan mosucker.06

verder heb adaware aan de praat gekregen en die is nu aan het scannen, tot nu toe 1 ding gevonden.

IK heb dat bestand van Schouw gerenamed naar msbltn.exe en in mijn windows/system32 map gezet. Als alle scans klaar zijn ga ik weer rebooten om te testen.

Grootste probleem tot nu toe is dat ik alleen in veilige modus met cmdprompt acess heb tot ctrl-alt-del en regedit. Daar verander ik de register dus, maar na een reboot is het oude weer terug..

[Verwijderd]

backdoor.trojan mosucker.06

Dat is geen KAVnaam.

Als je die regvalue al hebt aangepast heeft het renamen van clrav.com/in system32 geen nut meer natuurlijk.

Volgens mij - maar dat ik weet niet zeker - past Mosucker(meestal) die exevalue niet aan.

Heb je die file die je hebt gedownload inmiddels nog op een andere plaats laten scannen/laten analyseren?

[Verwijderd]

Hij zet de regveranderingen telkens weer terug naar het oude.. wat ik ook doe:

- Regedit
- KAV scan: 3 trojans gedelete
- Adaware scan: 7 sleutels verwijderd
- Spy - Bot scan: niks verwijderd
- Housecall (online): Niks verwijderd
- Patch van Schouw: Geen access tot sommige bestanden, niks verwijderd/gecleaned.
- Reboot
- Nogmaals Regedit -> weer worden de waardes teruggezet na een boot.
- System recovery naar vorige week: Helpt niet
- System Repair: Windows start helemaal niet meer op

Dus ik ben nou maar Windows opnieuw aan het installen

Desalniettemin erg bedankt voor al jullie pogingen.

al met al deze windows versie toch al bijna 1.5 jaar op mijn bak met tot nu toe maar een keer een vastlopertje en nu dus dit, toch maar eens een keer een linux variant installen. OS-X draait hier al tijden geweldig. En minder dom zijn natuurlijk.

Bestand heb ik trouwens niet meer. Prullenbak had ik gelijk leeg gemaakt.

[ Voor 22% gewijzigd door Verwijderd op 08-06-2004 14:22 ]

[Verwijderd]

Argh, een reinstall was nog niet aan de orde imo...
Voor het geval dat je toch nog niet bent begonnen: Post je HT log eens.

[Verwijderd]

Verwijderd schreef op 08 juni 2004 @ 14:22:
Argh, een reinstall was nog niet aan de orde imo...

Voor het geval dat je toch nog niet bent begonnen: Post je HT log eens.

Ik moest wel ik zit gigantisch in tijdnood met werk en zelfs als ik nog wilde proberen lukte het niet meer dankzij de fijna repair mode van winXP (crashed voordat ik ingelogd ben)

[Verwijderd]

Hey wat grappig, ik zit op dit moment met hetzelfde probleem. Ik draai nu de tool van schouw, maar het schiet niet echt op, krijg erg vaak acces denied.
Ik heb dus ook een bestand msbltn.exe draaien dat ik niet weg krijg. ik kan de taskmanager niet in komen.

edit: ik kan regedit ook niet starten: regedit has been disabled by your administrator (grr dat ben ik)

[ Voor 18% gewijzigd door Verwijderd op 09-06-2004 23:24 ]

[Verwijderd]

ik kan steeds minder, en die tool van schouw helpt niks (krijgt geen toegang tot de bestanden).
iemand een goede suggestie?

de kaspersky file checker zegt dat mijn msbltn.exe infected is met Backdoor.MoSucker.06

edit:
k*t ik zit niet op te letten, wou eigenlijk editen ipv kicken na 20 min)

[ Voor 43% gewijzigd door Verwijderd op 09-06-2004 23:45 ]

[Verwijderd]

Normaal gesproken behoor je een nieuw topic te openen...

Ik draai nu de tool van schouw, maar het schiet niet echt op, krijg erg vaak acces denied.

Iets meer details graag mbt. acces denied.

Probeer ook eens die tool in safemode te draaien.
HT log zou ook wel handig zijn.

[Verwijderd]

Titeledit.

[Verwijderd]

Ik ga zo de tool in safemode draaien, hij krijgt nu geen acces tot dingen als ntuser.dat en nog zo´n 50 files.
Ik ga aan de slag.

Een hijackthis scan

code:

Logfile of HijackThis v1.97.7
Scan saved at 0:00:43, on 10-6-2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Sygate\SPF\smc.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\devldr32.exe
c:\WINDOWS\system32\msbltn.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\AVPersonal\AVWUPSRV.EXE
C:\Documents and Settings\aXarion\Desktop\HijackThis.com

R3 - Default URLSearchHook is missing
O2 - BHO: (no name) - {0000607D-D204-42C7-8E46-216055BF9918} - (no file)
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Program Files\D-Tools\daemon.exe"  -lang 1033
O4 - HKLM\..\Run: [DU Meter] C:\Program Files\DU Meter\DUMeter.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\j2re1.4.2_04\bin\jusched.exe
O4 - HKLM\..\Run: [vfkmiho] C:\WINDOWS\System32\tkpwuwf.exe
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKLM\..\Run: [OfficeGuard RegChecker] "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\ogrc.exe"
O4 - HKLM\..\Run: [AVPCC] "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal Pro\avpcc.exe" /wait
O4 - HKLM\..\Run: [Wintask] c:\WINDOWS\system32\msbltn.exe
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O9 - Extra 'Tools' menuitem: Sun Java Console (HKLM)
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Messenger (HKLM)
O16 - DPF: {003FADA5-8FEE-11D6-AFB7-0004768F6183} (CryptoRSA Control) - https://www.p3.postbank.nl/sesam/CAX.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?38132.6199652778
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab

Ok. De tool komt in safe mode niet in atapi.sys, de submappen van system\win32 waar de logs in staan, de logs zelf (sam.log etc), niet in de ntuser.dat files, niet in een file die eidigt op perflib-perfdata_35c.dat en niet in iets dat lijkt op usiclass.dat
Er worden geen geinfecteerde bestanden gevonden.

[ Voor 98% gewijzigd door Verwijderd op 10-06-2004 00:25 ]

[Verwijderd]

code:

O4 - HKLM\..\Run: [vfkmiho] C:\WINDOWS\System32\tkpwuwf.exe

wat is dat?

Google vind er niks over

code:

O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1

Die is ook wel vreemd en vermoedelijk de reden waarom het bestandje van Schouw niet werkt.

[ Voor 46% gewijzigd door Verwijderd op 10-06-2004 00:50 ]

[Verwijderd]

code:

O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1

Dat lijkt alvast een probleem te zijn...

code:

O4 - HKLM\..\Run: [vfkmiho] C:\WINDOWS\System32\tkpwuwf.exe

Scan die ook eens.

Let op!!!!
_Niet_ zomaar die eerste verwijderen, we willen eerst weten met wat voor malware we te maken hebben ivm payload. Zomaar die key verwijderen kan leiden tot een lege schijf.
Bijvoorbeeld Rorons vern**ken de ntfs/fat tabellen zodra er gedetecteerd wordt dat de 'disable regedit'/'run key' verwijderd is/zijn.

[ Voor 14% gewijzigd door Verwijderd op 10-06-2004 00:52 ]

[Verwijderd]

dus als ik het goed begrijp moet ik eerst dat tkwupf (uit mn hoofd) bestand online scannen.
momentje dan

edit: ik kan dat tkpwuwf niet scannen, want ik kan het niet uploaden.
als ik het selecteer en op submit druk, krijg ik een nieuw leeg vakje en de melding dat ik een bestand moet selecteren en dan op submit drukken
ik kan het niet deleten (is in gebruik)
ik kan het ook niet renamen
ik kan het niet kopieren naar een andere map

ik scan het met kaspersky personal trial, met update, en die zegt dat het tkpwuwf clean is.
het is wel in gebruik, maar zoekt geen contact met internet (sygate ziet niks iig)

[ Voor 84% gewijzigd door Verwijderd op 10-06-2004 01:08 ]

[Verwijderd]

ik kan het niet deleten (is in gebruik)
ik ga het nu renamen

Datgene wat ik voor die keys zei, geldt natuurlijk ook voor files..

Probeer het eens te kopiëren naar een andere dir en die file te scannen.

[Verwijderd]

Nog even een laatste update:

HT log:

code:

Logfile of HijackThis v1.97.7
Scan saved at 1:16:28, on 10-6-2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Sygate\SPF\smc.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\D-Tools\daemon.exe
C:\Program Files\DU Meter\DUMeter.exe
C:\Program Files\Java\j2re1.4.2_04\bin\jusched.exe
C:\WINDOWS\System32\tkpwuwf.exe
C:\WINDOWS\System32\devldr32.exe
C:\PROGRA~1\Lavasoft\AD-AWA~1\Ad-aware.exe
C:\Program Files\Spybot - Search & Destroy\SpybotSD.exe
C:\Documents and Settings\aXarion\Desktop\HijackThis.com

R3 - Default URLSearchHook is missing
O2 - BHO: (no name) - {0000607D-D204-42C7-8E46-216055BF9918} - (no file)
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Program Files\D-Tools\daemon.exe"  -lang 1033
O4 - HKLM\..\Run: [DU Meter] C:\Program Files\DU Meter\DUMeter.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\j2re1.4.2_04\bin\jusched.exe
O4 - HKLM\..\Run: [vfkmiho] C:\WINDOWS\System32\tkpwuwf.exe
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKLM\..\Run: [Wintask] c:\WINDOWS\system32\msbltn.exe
O4 - HKLM\..\Run: [KAVPersonal50] C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kav.exe /minimize
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O9 - Extra 'Tools' menuitem: Sun Java Console (HKLM)
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Messenger (HKLM)
O16 - DPF: {003FADA5-8FEE-11D6-AFB7-0004768F6183} (CryptoRSA Control) - https://www.p3.postbank.nl/sesam/CAX.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?38132.6199652778
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab

Spybot vond en verwijderde het volgende:

code:

DSO Exploit: Data source object exploit (Registry change, nothing done)
  HKEY_USERS\S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0\1004!=W=3

DSO Exploit: Data source object exploit (Registry change, nothing done)
  HKEY_USERS\S-1-5-21-1390067357-842925246-1708537768-1003\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0\1004!=W=3

DSO Exploit: Data source object exploit (Registry change, nothing done)
  HKEY_USERS\S-1-5-20\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0\1004!=W=3

DSO Exploit: Data source object exploit (Registry change, nothing done)
  HKEY_USERS\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0\1004!=W=3

DSO Exploit: Data source object exploit (Registry change, nothing done)
  HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0\1004!=W=3


--- Spybot - Search && Destroy version: 1.3  ---
2004-05-25 Includes\Cookies.sbi
2004-05-29 Includes\Dialer.sbi
2004-05-28 Includes\Hijackers.sbi
2004-05-28 Includes\Keyloggers.sbi
2004-05-12 Includes\LSP.sbi
2004-05-28 Includes\Malware.sbi
2004-05-04 Includes\Revision.sbi
2004-04-12 Includes\Security.sbi
2004-05-28 Includes\Spybots.sbi
2004-05-24 Includes\Tracks.uti
2004-05-28 Includes\Trojans.sbi

Ad Aware vond en verwijderde dit:

code:

Lavasoft Ad-aware Personal Build 6.181
Logfile created on  :donderdag 10 juni 2004 1:26:08
Created with Ad-aware Personal, free for private use.
Using reference-file :01R315 06.06.2004
______________________________________________________

Ad-aware Settings
=========================
Set : Activate in-depth scan (Recommended)
Set : Safe mode (always request confirmation)
Set : Scan active processes
Set : Scan registry
Set : Deep scan registry


10-6-2004 1:26:08 - Scan started. (Smart mode)

Listing running processes
¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯

#:1 [smss.exe]
    FilePath           : \SystemRoot\System32\
    ThreadCreationTime : 9-6-2004 23:12:14
    BasePriority       : Normal


#:2 [winlogon.exe]
    FilePath           : \??\C:\WINDOWS\system32\
    ThreadCreationTime : 9-6-2004 23:12:19
    BasePriority       : High


#:3 [services.exe]
    FilePath           : C:\WINDOWS\system32\
    ThreadCreationTime : 9-6-2004 23:12:19
    BasePriority       : Normal
    FileSize           : 99 KB
    FileVersion        : 5.1.2600.0 (xpclient.010817-1148)
    ProductVersion     : 5.1.2600.0
    CompanyName        : Microsoft Corporation
    FileDescription    : Services and Controller app
    InternalName       : services.exe
    OriginalFilename   : services.exe
    ProductName        : Microsoft 
    Created on         : 23-8-2001 12:00:00
    Last accessed      : 9-6-2004 23:16:01
    Last modified      : 23-8-2001 12:00:00

#:4 [lsass.exe]
    FilePath           : C:\WINDOWS\system32\
    ThreadCreationTime : 9-6-2004 23:12:19
    BasePriority       : Normal
    FileSize           : 11 KB
    FileVersion        : 5.1.2600.1106 (xpsp1.020828-1920)
    ProductVersion     : 5.1.2600.1106
    CompanyName        : Microsoft Corporation
    FileDescription    : LSA Shell (Export Version)
    InternalName       : lsass.exe
    OriginalFilename   : lsass.exe
    ProductName        : Microsoft 
    Created on         : 23-8-2001 12:00:00
    Last accessed      : 9-6-2004 23:16:01
    Last modified      : 29-8-2002 10:41:26

#:5 [svchost.exe]
    FilePath           : C:\WINDOWS\system32\
    ThreadCreationTime : 9-6-2004 23:12:20
    BasePriority       : Normal
    FileSize           : 12 KB
    FileVersion        : 5.1.2600.0 (xpclient.010817-1148)
    ProductVersion     : 5.1.2600.0
    CompanyName        : Microsoft Corporation
    FileDescription    : Generic Host Process for Win32 Services
    InternalName       : svchost.exe
    OriginalFilename   : svchost.exe
    ProductName        : Microsoft 
    Created on         : 23-8-2001 12:00:00
    Last accessed      : 9-6-2004 23:19:14
    Last modified      : 23-8-2001 12:00:00

#:6 [svchost.exe]
    FilePath           : C:\WINDOWS\System32\
    ThreadCreationTime : 9-6-2004 23:12:20
    BasePriority       : Normal
    FileSize           : 12 KB
    FileVersion        : 5.1.2600.0 (xpclient.010817-1148)
    ProductVersion     : 5.1.2600.0
    CompanyName        : Microsoft Corporation
    FileDescription    : Generic Host Process for Win32 Services
    InternalName       : svchost.exe
    OriginalFilename   : svchost.exe
    ProductName        : Microsoft 
    Created on         : 23-8-2001 12:00:00
    Last accessed      : 9-6-2004 23:19:14
    Last modified      : 23-8-2001 12:00:00

#:7 [smc.exe]
    FilePath           : C:\Program Files\Sygate\SPF\
    ThreadCreationTime : 9-6-2004 23:12:20
    BasePriority       : Normal
    FileSize           : 2289 KB
    FileVersion        : 5.5.00.2525
    ProductVersion     : 5.5.00.2525
    Copyright          : Copyright  
    CompanyName        : Sygate Technologies, Inc.
    FileDescription    : Sygate Agent Firewall
    InternalName       : Smc
    OriginalFilename   : Smc.EXE
    ProductName        : Sygate 
    Created on         : 24-12-2003 12:44:56
    Last accessed      : 9-6-2004 23:14:28
    Last modified      : 24-12-2003 12:44:56

#:8 [spoolsv.exe]
    FilePath           : C:\WINDOWS\system32\
    ThreadCreationTime : 9-6-2004 23:12:25
    BasePriority       : Normal
    FileSize           : 50 KB
    FileVersion        : 5.1.2600.0 (XPClient.010817-1148)
    ProductVersion     : 5.1.2600.0
    CompanyName        : Microsoft Corporation
    FileDescription    : Spooler SubSystem App
    InternalName       : spoolsv.exe
    OriginalFilename   : spoolsv.exe
    ProductName        : Microsoft 
    Created on         : 23-8-2001 12:00:00
    Last accessed      : 9-6-2004 23:16:01
    Last modified      : 23-8-2001 12:00:00

#:9 [explorer.exe]
    FilePath           : C:\WINDOWS\
    ThreadCreationTime : 9-6-2004 23:12:41
    BasePriority       : Normal
    FileSize           : 980 KB
    FileVersion        : 6.00.2800.1106 (xpsp1.020828-1920)
    ProductVersion     : 6.00.2800.1106
    CompanyName        : Microsoft Corporation
    FileDescription    : Windows Explorer
    InternalName       : explorer
    OriginalFilename   : EXPLORER.EXE
    ProductName        : Microsoft 
    Created on         : 26-5-2004 13:23:57
    Last accessed      : 9-6-2004 23:16:01
    Last modified      : 29-8-2002 10:41:24

#:10 [daemon.exe]
    FilePath           : C:\Program Files\D-Tools\
    ThreadCreationTime : 9-6-2004 23:13:31
    BasePriority       : Normal
    FileSize           : 80 KB
    FileVersion        : 3.46.0.0
    ProductVersion     : 3.46.0.0
    Copyright          : Copyright (C) 2000-2004
    CompanyName        : DAEMON'S HOME
    FileDescription    : Virtual DAEMON Manager
    InternalName       : DAEMON.EXE
    OriginalFilename   : daemon.exe
    ProductName        : DAEMON Tools
    Created on         : 12-3-2004 20:43:18
    Last accessed      : 9-6-2004 23:15:01
    Last modified      : 12-3-2004 20:43:18

#:11 [dumeter.exe]
    FilePath           : C:\Program Files\DU Meter\
    ThreadCreationTime : 9-6-2004 23:13:31
    BasePriority       : Normal
    FileSize           : 1267 KB
    FileVersion        : 3.05 Build 148
    ProductVersion     : 3.05 Build 148
    Copyright          : Copyright  
    CompanyName        : Hagel Technologies
    FileDescription    : DU Meter
    InternalName       : DU Meter
    OriginalFilename   : DUMETER.EXE
    ProductName        : DU Meter
    Created on         : 22-6-2003 14:38:28
    Last accessed      : 9-6-2004 23:15:02
    Last modified      : 22-6-2003 14:38:28

#:12 [jusched.exe]
    FilePath           : C:\Program Files\Java\j2re1.4.2_04\bin\
    ThreadCreationTime : 9-6-2004 23:13:31
    BasePriority       : Normal
    FileSize           : 32 KB
    Created on         : 22-2-2068 21:44:46
    Last accessed      : 9-6-2004 23:15:03
    Last modified      : 22-2-2004 21:44:44

#:13 [tkpwuwf.exe]
    FilePath           : C:\WINDOWS\System32\
    ThreadCreationTime : 9-6-2004 23:13:31
    BasePriority       : Normal
    FileSize           : 37 KB
    Created on         : 27-5-2004 19:50:45
    Last accessed      : 9-6-2004 23:12:14
    Last modified      : 21-5-2004 16:02:58

#:14 [devldr32.exe]
    FilePath           : C:\WINDOWS\System32\
    ThreadCreationTime : 9-6-2004 23:13:37
    BasePriority       : Normal
    FileSize           : 23 KB
    FileVersion        : 1, 0, 0, 17
    ProductVersion     : 1, 0, 0, 17
    Copyright          : Copyright (C) Creative Technology Ltd. 1998-2001
    CompanyName        : Creative Technology Ltd.
    FileDescription    : DevLdr32
    InternalName       : DevLdr
    OriginalFilename   : DevLdr32.exe
    ProductName        : Creative Ring3 NT Inteface 
    Created on         : 17-5-2004 18:34:48
    Last accessed      : 9-6-2004 23:15:28
    Last modified      : 17-8-2001 22:36:42

#:15 [spybotsd.exe]
    FilePath           : C:\Program Files\Spybot - Search & Destroy\
    ThreadCreationTime : 9-6-2004 23:15:48
    BasePriority       : Normal
    FileSize           : 3855 KB
    FileVersion        : 1, 3, 0, 12
    ProductVersion     : 1, 3, 0, 12
    CompanyName        : Safer Networking Limited
    FileDescription    : Spybot - Search & Destroy
    InternalName       : SpyBotSD
    OriginalFilename   : SpyBotSD.exe
    ProductName        : SpyBot-S&D
    Created on         : 11-5-2004 23:03:00
    Last accessed      : 9-6-2004 23:15:09
    Last modified      : 11-5-2004 23:03:00

#:16 [firefox.exe]
    FilePath           : C:\Program Files\Mozilla Firefox\
    ThreadCreationTime : 9-6-2004 23:16:40
    BasePriority       : Normal
    FileSize           : 6592 KB
    FileVersion        : 0.8
    ProductVersion     : Personal
    Copyright          : Mozilla
    CompanyName        : Mozilla
    FileDescription    : Firefox
    InternalName       : Firefox
    OriginalFilename   : firefox.exe
    ProductName        : Firefox
    Created on         : 26-5-2004 14:33:44
    Last accessed      : 9-6-2004 23:17:49
    Last modified      : 7-2-2004 10:12:00

#:17 [ad-aware.exe]
    FilePath           : C:\PROGRA~1\Lavasoft\AD-AWA~1\
    ThreadCreationTime : 9-6-2004 23:26:00
    BasePriority       : Normal
    FileSize           : 668 KB
    FileVersion        : 6.0.1.181
    ProductVersion     : 6.0.0.0
    Copyright          : Copyright  
    CompanyName        : Lavasoft Sweden
    FileDescription    : Ad-aware 6 core application
    InternalName       : Ad-aware.exe
    OriginalFilename   : Ad-aware.exe
    ProductName        : Lavasoft Ad-aware Plus
    Created on         : 26-5-2004 18:21:20
    Last accessed      : 9-6-2004 23:15:54
    Last modified      : 12-7-2003 19:00:20

Memory scan result :
¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
New objects : 0
Objects found so far: 0


Started registry scan
¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯

 Windows Object recognized!
    Type               : RegData
    Data               : 
    Rootkey            : HKEY_CURRENT_USER
    Object             : Software\Microsoft\Windows\CurrentVersion\Policies\System
    Value              : DisableTaskMgr
    Data               : 


 Windows Object recognized!
    Type               : RegData
    Data               : 
    Rootkey            : HKEY_CURRENT_USER
    Object             : Software\Microsoft\Windows\CurrentVersion\Policies\System
    Value              : DisableRegistryTools
    Data               : 


Registry scan result :
¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
New objects : 2
Objects found so far: 2


Started deep registry scan
¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯

Deep registry scan result :
¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
New objects : 0
Objects found so far: 2


¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯

 Tracking Cookie Object recognized!
    Type               : File
    Data               : axarion@276[1].txt
    Object             : C:\Documents and Settings\aXarion\Cookies\

    Created on         : 9-6-2004 21:09:58
    Last accessed      : 9-6-2004 23:19:58
    Last modified      : 9-6-2004 21:09:58


¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯


Deep scanning and examining files (C:)
¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯


Performing conditional scans..
¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯

Conditional scan result:
¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
New objects : 0
Objects found so far: 3


1:28:01 Scan complete

Summary of this scan
¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯¯
Total scanning time :00:01:52:321
Objects scanned :39143
Objects identified :3
Objects ignored :0
New objects :3

Kaspersky Personal vond dit:

code:

log komt zo, is nog bezig

Op dit moment knippert de cursor te snel en kan ik niet regedit doen, geen taskmanager starten en ik krijg een melding dat de c schijf bijna vol is (irl: not)

Misschien een idee: Via Spybot kan ik ook msconfig achtige dingen doen, ik kan de autostart van tkpwuwf en msbltn.exe (die 2x) uitzetten. doen?


Ik viel in slaap tijdens de full scan
In ieder geval, kaspersky heeft een zooi dingen verwijderd, 2 versies van msbltn.exe in quarantine gezet, wat ouwe viri die ik nooit gemerkt heb opgeruimd (in mn email dbx, en in mn downloads map etc) en toen was het klaar. Kaspersky personal kan ik geen log van posten want die kan ik niet copy/pasten.
Ik heb vervolgens ad-aware nog eens gedraaid, vond niks. Toen nog een keer spybot, die vond een exploit, verwijderd, vervolgens de auto start van msbltn.exe rn tkpwuwf.exe uitgezet via spybot en een reboot later ben ik clean.
Ik ga nog ff full scannen voor de zekerheid, maar ik geloof dat ik het kwijt ben.

[ Voor 4% gewijzigd door Verwijderd op 10-06-2004 10:05 ]