[virus] verschillende virussen? met online scan

[Pendaco]

Hi allen,

ik wordt er zo langzamerhand gek van het lijkt wel of ik die troep op 1 of andere manier aantrek maargoed.

Ik draai net een online virusscan van McAfee, omdat ik een mailtje had gekregen van iemand dat een nieuw virus bevatte zie ook http://gathering.tweakers.net/forum/list_messages/923943, just to be sure.

Hier was gelukkig niks mee aan de hand maar ik kreeg toch een lijst van 14! besmette bestanden, en wel de volgende;

mcafee online virusscan resultaten;

C:\WINDOWS\...\CONFLICT.1\jao.dll Keylog-Briss
C:\WINDOWS\Downloaded Program Files\jao.dll Keylog-Briss
C:\WINDOWS\Downloaded Program Files\bridge.dll Keylog-Briss
C:\_RESTORE\ARCHIVE\FS6067.CAB Downloader-CN
C:\_RESTORE\ARCHIVE\FS6067.CAB Downloader-CN
C:\_RESTORE\ARCHIVE\FS6086.CAB Keylog-Briss
C:\_RESTORE\ARCHIVE\FS6086.CAB Keylog-Briss
C:\_RESTORE\ARCHIVE\FS6086.CAB Keylog-Briss
C:\_RESTORE\ARCHIVE\FS5636.CAB Keylog-Briss
C:\_RESTORE\ARCHIVE\FS5636.CAB Keylog-Briss
C:\_RESTORE\ARCHIVE\FS6328.CAB Downloader-KL
C:\_RESTORE\ARCHIVE\FS6321.CAB Downloader-KL
C:\_RESTORE\ARCHIVE\FS6322.CAB Downloader-KL
C:\_RESTORE\ARCHIVE\FS6322.CAB Keylog-Briss

Stomverbaasd en ook licht geirriteerd, want ik dacht dat ik virus vrij was.

Verder heb ik die bridge.dll al een keer eerder verwijdert, via ad-aware, spybot, hi-jack this en cwshredder (zeg maar alle mogelijke programma's)

Verder staat er nog een vreemde sleutel in mn register namelijk;

Vendor > met submap 'xml' > met daar weer in een hele rits vreemde tekens
te vinden in; Hkey_local_machine >software

Ik draai;
Windows Me (compleet ge-update)
en Norton Prof 2003 compleet ge-update

Ik krijg ook zo'n sterk gevoel dat Norton ontiegelijk achterloopt en niet doet waarvoor ik hem heb aangeschaft.

help wordt ernstig op prijs gesteld

edit:
die bestanden die worden gevonden zijn ook niet te vinden of te zien op mn schijf, ook met verborgen bestanden weergeven aan

[ Voor 10% gewijzigd door Pendaco op 14-06-2004 23:30 ]

[Pendaco]

nog steeds niemand met een idee?

is dit bijvoorbeeld wel weg te halen met de trail versie van mcafee of een andere trial of gratis virusscanner?

In het archief van mcafee wordt wel aangegeven dat de risico's van deze bestanden vrij laag is maar ik ben het liever toch kwijt.

Ook over die sleutel in het register is niks te vinden op internet, maar die knal ik er zo gewoon uit denk ik

[Pendaco]

edit:
kut dubbel

[ Voor 106% gewijzigd door Pendaco op 15-06-2004 13:37 ]

[pasta]

Je kunt bv. eens Beveiliging en Virussen - Nieuw topic starten opvolgen. Met name het stuk over spyware verwijderen. bridge.dll is namelijk [u]spyware[/]

Ook het stuk over hoe je TS eruit moet zien kan wel handig zijn. Zo hebben we geen idee wat er allemaal draait bij jou.

[ Voor 24% gewijzigd door pasta op 15-06-2004 13:40 ]

[Pendaco]

dat heb ik allemaal al gelezen en ik weet dat bridge.dll spyware is, ik heb er zelfs nog een topic over geopend laatst.

Alleen toen dacht ik er na meerdere keren vanaf te zijn, maar blijkbaar dus niet.

Alleen vinden zowel ad-aware, spybot, cwshredder als hi-jack niks bijzonders meer op mn pc

Ook mn virusscanner zegt dat er niets aan de hand is.

Dan vind ik het toch vreemd dat een online virusscanner opeens met 14 verdachte objecten aankomt.

Maar hoe kan ik dit nu verwijderen als mijn virusscanner niks vindt en ik de bestanden op mn pc niet eens kan terugvinden?

[Verwijderd]

Alleen vinden zowel ad-aware, spybot, cwshredder als hi-jack niks bijzonders meer op mn pc

HT doet uit z'n eigen niets hoor..
Post maar eens een log tussen [code] tags.

Ook mn virusscanner zegt dat er niets aan de hand is.

Je gebruikt NAV2003, die doet zo goed als helemaal niets aan spyware e.d.

Zit die troep niet gewoon o.a. in je systemrestore folder?
Gooi dus eventueel(even) je systemrestore uit zodat die folders automagisch worden gecleaned.

[Pendaco]

Verwijderd schreef op 15 juni 2004 @ 15:29:

HT doet uit z'n eigen niets hoor..
Post maar eens een log tussen [code] tags.

dat snap ik natuurlijk ook, maar hier mn log;

code:

Logfile of HijackThis v1.97.7
Scan saved at 16:12:44, on 15-6-2004
Platform: Windows ME (Win9x 4.90.3000)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\MSTASK.EXE
C:\WINDOWS\SYSTEM\SSDPSRV.EXE
C:\PROGRAM FILES\NETROPA\ONE-TOUCH MULTIMEDIA KEYBOARD\MMKEYBD.EXE
C:\WINDOWS\SYSTEM\STIMON.EXE
C:\PROGRAM FILES\COMMON FILES\SYMANTEC SHARED\CCEVTMGR.EXE
C:\PROGRAM FILES\NORTON SYSTEMWORKS\NORTON CLEANSWEEP\CSINJECT.EXE
C:\PROGRAM FILES\NORTON SYSTEMWORKS\NORTON UTILITIES\NPROTECT.EXE
C:\PROGRAM FILES\COMMON FILES\SYMANTEC SHARED\SYMTRAY.EXE
C:\WINDOWS\EXPLORER.EXE
C:\PROGRAM FILES\MESSENGER PLUS! 2\MSGPLUS.EXE
C:\PROGRAM FILES\NORTON SYSTEMWORKS\NORTON GHOST\GHOSTSTARTSERVICE.EXE
C:\WINDOWS\SYSTEM\RESTORE\STMGR.EXE
C:\PROGRAM FILES\NETROPA\ONE-TOUCH MULTIMEDIA KEYBOARD\KEYBDMGR.EXE
C:\PROGRAM FILES\NETROPA\ONSCREEN DISPLAY\OSD.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\PROGRAM FILES\NETROPA\ONE-TOUCH MULTIMEDIA KEYBOARD\MMUSBKB2.EXE
C:\WINDOWS\SYSTEM\HPSYSDRV.EXE
C:\WINDOWS\SYSTEM\USBMMKBD.EXE
C:\WINDOWS\SYSTEM\HIDSERV.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\PROGRAM FILES\ALCATEL\SPEEDTOUCH USB\DRAGDIAG.EXE
C:\PROGRAM FILES\COMMON FILES\SYMANTEC SHARED\CCAPP.EXE
C:\WINDOWS\SYSTEM\RMCTRL.EXE
C:\WINDOWS\PCTVOICE.EXE
C:\WINDOWS\LOADQM.EXE
C:\PROGRAM FILES\MSN MESSENGER\MSNMSGR.EXE
C:\PROGRAM FILES\NORTON SYSTEMWORKS\NORTON CLEANSWEEP\CSINSM32.EXE
C:\PROGRAM FILES\CAPLIO RR30\RGATEL.EXE
C:\Program Files\Norton SystemWorks\Norton CleanSweep\Monwow.exe
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\WINDOWS\SYSTEM\RNAAPP.EXE
C:\WINDOWS\SYSTEM\TAPISRV.EXE
C:\WINDOWS\SYSTEM\WBEM\WINMGMT.EXE
C:\WINDOWS\SYSTEM\SPOOL32.EXE
C:\WINDOWS\SYSTEM\PSTORES.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.startpagina.nl/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Startpagina = file:///C:/Program%20Files/MS-Connect/Portal/portal.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = 
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton SystemWorks\Norton AntiVirus\NavShExt.dll
O2 - BHO: (no name) - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [PCHealth] C:\WINDOWS\PCHealth\Support\PCHSchd.exe -s
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [hpsysdrv] c:\windows\system\hpsysdrv.exe
O4 - HKLM\..\Run: [USBMMKBD] usbmmkbd.exe
O4 - HKLM\..\Run: [Hidserv] Hidserv.exe run
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\SYSTEM\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [SpeedTouch USB Diagnostics] "C:\Program Files\Alcatel\SpeedTouch USB\Dragdiag.exe" /icon
O4 - HKLM\..\Run: [Tweak UI] RUNDLL32.EXE TWEAKUI.CPL,TweakMeUp
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [ccRegVfy] "C:\Program Files\Common Files\Symantec Shared\ccRegVfy.exe"
O4 - HKLM\..\Run: [NPROTECT] C:\Program Files\Norton SystemWorks\Norton Utilities\NPROTECT.EXE
O4 - HKLM\..\Run: [RemoteControl] C:\WINDOWS\SYSTEM\rmctrl.exe
O4 - HKLM\..\Run: [Delay] C:\WINDOWS\delayrun.exe
O4 - HKLM\..\Run: [PCTVOICE] pctvoice.exe
O4 - HKLM\..\Run: [LoadQM] loadqm.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\WINDOWS\SYSTEM\QTTASK.EXE" -atboottime
O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
O4 - HKLM\..\RunServices: [SSDPSRV] C:\WINDOWS\SYSTEM\ssdpsrv.exe
O4 - HKLM\..\RunServices: [*StateMgr] C:\WINDOWS\System\Restore\StateMgr.exe
O4 - HKLM\..\RunServices: [Keyboard Manager] c:\Program Files\Netropa\One-touch Multimedia Keyboard\MMKeybd.exe
O4 - HKLM\..\RunServices: [StillImageMonitor] C:\WINDOWS\SYSTEM\STIMON.EXE
O4 - HKLM\..\RunServices: [ccEvtMgr] "C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe"
O4 - HKLM\..\RunServices: [ScriptBlocking] "C:\Program Files\Common Files\Symantec Shared\Script Blocking\SBServ.exe" -reg
O4 - HKLM\..\RunServices: [CSINJECT.EXE] C:\Program Files\Norton SystemWorks\Norton CleanSweep\CSINJECT.EXE
O4 - HKLM\..\RunServices: [NPROTECT] C:\Program Files\Norton SystemWorks\Norton Utilities\NPROTECT.EXE
O4 - HKLM\..\RunServices: [SymTray - Norton SystemWorks] C:\Program Files\Common Files\Symantec Shared\SymTray.exe "Norton SystemWorks"
O4 - HKLM\..\RunServices: [MessengerPlus2] "C:\Program Files\Messenger Plus! 2\MsgPlus.exe"
O4 - HKLM\..\RunServices: [GhostStartService] C:\PROGRAM FILES\NORTON SYSTEMWORKS\NORTON GHOST\GHOSTSTARTSERVICE.EXE
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKCU\..\Run: [MessengerPlus2] "C:\Program Files\Messenger Plus! 2\MsgPlus.exe" /WinStart
O4 - HKCU\..\Run: [msnmsgr] "C:\PROGRAM FILES\MSN MESSENGER\MSNMSGR.EXE" /background
O4 - Startup: CleanSweep Smart Sweep-Internet Sweep.lnk = C:\Program Files\Norton SystemWorks\Norton CleanSweep\csinsm32.exe
O4 - Startup: RICOH Gate L.lnk = C:\Program Files\Caplio RR30\RGateL.exe
O8 - Extra context menu item: &Google Search - res://C:\PROGRAM FILES\GOOGLE\GOOGLETOOLBAR1.DLL/cmsearch.html
O8 - Extra context menu item: Cac&hed Snapshot of Page - res://C:\PROGRAM FILES\GOOGLE\GOOGLETOOLBAR1.DLL/cmcache.html
O8 - Extra context menu item: Si&milar Pages - res://C:\PROGRAM FILES\GOOGLE\GOOGLETOOLBAR1.DLL/cmsimilar.html
O8 - Extra context menu item: Backward &Links - res://C:\PROGRAM FILES\GOOGLE\GOOGLETOOLBAR1.DLL/cmbacklinks.html
O9 - Extra button: Trace (HKLM)
O9 - Extra 'Tools' menuitem: VisualRoute Trace (HKLM)
O12 - Plugin for .mov: C:\PROGRA~1\INTERN~1\PLUGINS\npqtplugin.dll
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/ansi/iuctl.CAB?37863.1315277778
O16 - DPF: {F58E1CEF-A068-4C15-BA5E-587CAF3EE8C6} (MSN Chat Control 4.5) - http://chat.msn.com/bin/msnchat45.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/shockwave/cabs/director/sw.cab
O16 - DPF: {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B} (QuickTime Object) - http://www.apple.com/qtactivex/qtplugin.cab
O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab
O16 - DPF: {C3DFA998-A486-11D4-AA25-00C04F72DAEB} (MSN Photo Upload Tool) - http://sc.groups.msn.com/controls/PhotoUC/MsnPUpld.cab
O16 - DPF: {23B7A816-3647-49D2-9756-6F41CE8F9201} (ddm_download.ddm_control) - http://download.rfwnad.com/cab/ddm_control.CAB
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Besturing) - http://virusscan.zdnet.nl/housecall/xscan53.cab
O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab
O16 - DPF: {6F7864F9-DB33-11D3-8166-0060B0F885E6} (VSPTA Class) - https://certificaten.vecozo.nl/VSApps/vspta3.cab
O16 - DPF: {33564D57-0000-0010-8000-00AA00389B71} - http://download.microsoft.com/download/F/6/E/F6E491A6-77E1-4E20-9F5F-94901338C922/wmv9VCM.CAB
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O16 - DPF: {9A54032D-31F7-400D-B184-83B33BDE65FA} (MSN File Upload Control) - http://sc.groups.msn.com/controls/FileUC/MsnUpld.cab
O16 - DPF: {EF791A6B-FC12-4C68-99EF-FB9E207A39E6} (McFreeScan Class) - http://download.mcafee.com/molbin/iss-loc/vso/en-us/tools/mcfscan/2,0,0,4366/mcfscan.cab

Je gebruikt NAV2003, die doet zo goed als helemaal niets aan spyware e.d.

maar waarom vind een online virusscan van mcafee dit wil dan?

Zit die troep niet gewoon o.a. in je systemrestore folder?
Gooi dus eventueel(even) je systemrestore uit zodat die folders automagisch worden gecleaned.

Dat ga ik nu proberen, wordt dat gecleaned wanneer ik mn pc opnieuw opstart of al direct wanneer ik m uitvink?

edit:
kan ik m na een reboot weer opnieuw aanzetten?

[cutter]

Ik zie zo snel geen rare entries in je hijackthis.... wel veel, maar volgens mij geen spyware.

[wildhagen]

Dit is iig spyware, weg ermee:

code:

O16 - DPF: {23B7A816-3647-49D2-9756-6F41CE8F9201} (ddm_download.ddm_control) - http://download.rfwnad.com/cab/ddm_control.CAB

[Pendaco]

thenx, ik wist niet dat dat spyware was

Maar zijn die virussen eerder genoemd te verwijderen met een trial versie van bijvoorbeeld mcaffee of heb je daarvoor een betaalde versie nodig.

Kan geen kwaad om die er ook nog even overheen te gooien dacht ik zo?

edit:
systemrestore ook uitgezet, en dit heeft volgens mij wel geholpen, ik had er namelijk ook last van dat mn start menu niet helemaal goed werd weergegeven, net alsof er niet genoeg geheugen over was. geen icoontjes enz

[ Voor 32% gewijzigd door Pendaco op 15-06-2004 19:17 ]

[Pendaco]

het lijkt nu allemaal te zijn opgelost dankzij AntiVir

antivir heeft de eerste 3 bestanden uit t lijstje hiervboven gevonden en verwijdert.

De rest van de bestanden waren al blijkbaar gewist toen ik de system restore had uitgeschakeld (schouw bedankt nog hiervoor).

Verder vond Antivir nog 2 verdachte bestanden namelijk;
preinstt.exe in de c:/windows folder

en

default.sfx in mn Winrar directory (DIAL/000641 dialer - INFECTED/MALWARE)

1ste bestand heb ik verwijdert na zoeken met google
over de 2de kon ik niets vinden, t is wel een ill*g*le versie dus miss ligt het daaraan? ik heb het bestand nog door de Jotti scan heen gehaald en alleen Antivir herkende het bestand.

offtopic:
AntiVir blijft er iig netjes opstaan, want Norton blijkt dus nu uit eigen ervaring niet goed genoeg te werken

[ Voor 10% gewijzigd door Pendaco op 16-06-2004 14:29 ]

[Exirion]

Pendaco schreef op 14 juni 2004 @ 22:47:Ik krijg ook zo'n sterk gevoel dat Norton ontiegelijk achterloopt en niet doet waarvoor ik hem heb aangeschaft.

Pendaco schreef op 16 juni 2004 @ 14:27:
het lijkt nu allemaal te zijn opgelost dankzij AntiVir

Goh, grappig dat jij bevestigt wat ik een tijdje gelieden riep. Werd door een alwetende moderator op dit (sub)forum voor compleet gestoord verklaard dat ik zoiets kon zeggen. Geen Norton meer voor mij. AntiVir werkt sneller, beter en kost niks.

[Han]

Kan ook een kwestie zijn van je antivirus programma goed configureren.... Om het uur laten updaten zorgt er voor dat je virusscanner achterloopt

[Pendaco]

Merely schreef op 16 juni 2004 @ 16:00:
Kan ook een kwestie zijn van je antivirus programma goed configureren.... Om het uur laten updaten zorgt er voor dat je virusscanner achterloopt

alles liep bij mij geupdate, alleen herkende norton die trojaantjes gewoon niet