[W32.sillyP2P] Hoe verwijderen?

[MadMan]

Hallo,
Ik heb gisteren met Kazaa een document gedownload, en onder het downloaden kreeg ik een melding van mijn virusscanner dat het bestand was geinfecteerd met het virus W32.sillyP2P, en dat de file read-only was. Ik heb toen kazaa uitgezet en norton de file laten verwijderen. Daarna heb ik een full system scan gedaan en er werd niets gevonden. Toen ik echter vandaag mijn pc weer opstartte, kreeg ik een melding dat c:\windows\system32\syschost.exe was geinfecteerd met W32.sillyP2P en dat deze niet "gecleaned" kon worden. Toen ik vervolgens op delete file klikte kreeg ik de melding "acces to file was denied"
Wat heb ik gedaan:
- Ik heb mijn eigen virusscanner, Norton 2004 pro een full system scan laten doen, hij vond het virus nogmaals maar kan het niet verwijderen.
- Ik heb met de online virusscanner van norton gescand, zelfde resultaten.
- Ik heb met de online virusscanner van trendmicro (housecall) gescand, die kon geen virus vinden.
- Ik heb met google gezocht, alleen meldingen van norton dat het virus was toegevoegd aan de database zonder beschrijving hoe te verwijderen, en meldingen van een duitser die het gehad heeft, en nu een ander probleem heeft waarvan hij denkt dat het aan W32.sillyP2P ligt. En nog een paar posts op een forum in een vreemde taal.
- Ik heb de GoT search gebruikt: 0 hits.

Mijn systeem staat in mijn sig, ik draai windows xp professional.

Nu vraag ik mij dus af of er hier mensen zijn die dit virus kennen/gehad hebben? En hoe ik dit virus van mijn pc afkrijg natuurlijk. Een volledige reinstall is geen optie, ik heb ongeveer 100Gb aan belangrijke data op mijn pc staan en dat is een beetje veel op op cd-r's te branden...

[Verwijderd]

misschien kan je hem in veilige modus verwijderen.f8 bij boot

[Verwijderd]

Had hetzelfde probleem.
Opstarten in veilige modus met F8.
Daarna "windows\system32\syschost.exe" verwijderen.

[ralpje]

Safe mode inderdaad, of eerst het process killen en hem daarna verwijderen.

[MadMan]

Yep ik heb het proces gekilld en toen kon ik hem gewoon verwijderen. Toen ik het in veilige modus wilde doen lukte het me niet.

[_JGC_]

Vraag ik me toch een ding af: hoe heeft Norton het zover laten komen dat dat bestand in c:\winnt\system32 komt, en hoe heeft Norton het zover laten komen dat het ook automatisch opgestart wordt door je systeem?

* _JGC_ begint steeds meer te twijfelen aan de titel "Professional" van Norton Antivirus.

[MadMan]

_JGC_ schreef op 24 juni 2004 @ 18:53:
Vraag ik me toch een ding af: hoe heeft Norton het zover laten komen dat dat bestand in c:\winnt\system32 komt, en hoe heeft Norton het zover laten komen dat het ook automatisch opgestart wordt door je systeem?

* _JGC_ begint steeds meer te twijfelen aan de titel "Professional" van Norton Antivirus.

Dat zou ik ook graag willen weten, en ik heb Norton hierover ook een mail gestuurd. Ik twijfel nu ook aan de capaciteiten van Norton, daarom draai ik voor de zekerheid eens per week ook de online scanner van trend micro HouseCall. Als ik een mail terug krijg zal ik deze hier posten.

[_JGC_]

MadMan schreef op 30 juni 2004 @ 09:47:
[...]

Dat zou ik ook graag willen weten, en ik heb Norton hierover ook een mail gestuurd. Ik twijfel nu ook aan de capaciteiten van Norton, daarom draai ik voor de zekerheid eens per week ook de online scanner van trend micro HouseCall. Als ik een mail terug krijg zal ik deze hier posten.

Mogelijkheid is natuurlijk dat het ding er al op stond voor norton de signature had voor dat virus, dat zal ook vast het antwoord zijn.

Maar dan nog vind ik het fout dat norton het opstarten van het ding niet blokkeert. Als ik met sophos geinstalleerd een trojan download, vervolgens ga updaten en dan reboot, kan dat ding niet starten. Vervolgens krijg ik dat ding op 1 manier nog maar weg: met sophos sweep zelf, of met shift+delete, want moven mag ook niet

[tHe_BiNk]

Kan ik dit virus 'automatisch' binnen krijgen via een torrent client (Azureus)? Of kan het zich verspreiden via een Bluetooth exploit? Symantec heeft dit virus al twee keer gedeleted in de laatste twee weken uit mijn /System Volume Information/. Ik heb geen idee waar het vandaan komt. Een search via Google leverde geen info op hoe het in /System Volume Information/ komt.


Symantec (Antivirus Corp. Ed. V.9.02) loopt altijd, met een regelmatig complete scan van mijn comp. Win XP SP2. HijackThis toont geen vreemde processen.

[ Voor 14% gewijzigd door tHe_BiNk op 10-12-2004 18:36 ]

[hessel]

Scan eens met een andere merk viruscanner (bv online)

[Verwijderd]

tHe_BiNk schreef op vrijdag 10 december 2004 @ 18:31:
Kan ik dit virus 'automatisch' binnen krijgen via een torrent client (Azureus)?

Wat versta je onder automatisch?
Tenzij Azureus een(bekend) lek heeft dat arbitrary code execution toelaat, is dat niet mogelijk.

Of kan het zich verspreiden via een Bluetooth exploit?

Ik geloof niet dat er zulke malware ItW is.(Voor workstations iig)

Symantec heeft dit virus al twee keer gedeleted in de laatste twee weken uit mijn /System Volume Information/. Ik heb geen idee waar het vandaan komt. Een search via Google leverde geen info op hoe het in /System Volume Information/ komt.

Een betere zoektocht had je waarschijnlijk verteld dat malware zich daar nog al eens naar toe wil kopiëren/verstoppen.
Hoe malware die in system restore zit te cleanen, is al in genoeg topics besproken, zoek daar dus eens na.

[tHe_BiNk]

Spybot Search and Destroy en Online virusscanner van trendmicro (housecall) vonden niks, maar Ad-ware vond malware (exdl.exe, exul.exe, en xxxxxxxxxxxxxxxxxxxxxxxxxxmsbexxxx.dll).

Het lijkt erop dat het installeren van het proggie MP3 butcher een aantal weken geleden, nog meer shit op de computer heeft gezet dan ik de afgelopen weken al heb geremoved. Een keer savonds laat wat shit installen, en je hebt weken lang last van shit.

[ Voor 59% gewijzigd door tHe_BiNk op 10-12-2004 20:21 ]