[XP] Kgejeb32.exe nu beeindigen? *

[Verwijderd]

Als ik XP afsluit krijg ik dezel melding ...het lijkt dus of dit progje Kgejeb32.exe op de achtergrond aan het runnen is. Maar in taakbeheer , services , of msconfig is het niet terug te vinden ...kerio pf4 vind ook nix en mijn norton antivirus 2003 doet er ook nix mee ...

op GOT search gezocht nix gevonden ....hmmm

wie o wie weet wat het is en hoe ik het weg krijg / fix???

ideen?

[ Voor 3% gewijzigd door Verwijderd op 01-07-2004 09:39 ]

[Verwijderd]

misschien spyware, download (gratis) adaware.

[Verwijderd]

Willekeurig genaamde EXE bestanden zijn niet echt een goed teken aan de wand. Neem deze eens door met de diverse tools daarin beschreven: Beveiliging en Virussen - FAQ

[RobVee]

www.lavasoft.nl ...

[H!GHGuY]

of met hijackthis mss??

[Verwijderd]

ben net bezig de stinger anti worm en trojan prog dr overheen aan het laten gaan ... op c schijf nix gevonden

denkt iemand dat deleten van Kgejeb32.exe helpt ???

[Verwijderd]

Verwijderd schreef op 01 juli 2004 @ 09:40:
misschien spyware, download (gratis) adaware.

heb al 2 keer adaware 6.0 dr overheen gegooid .... nix gevonden (tenminste nix wat helpt )

ik zal wat nwe plugins downen van lavasoft

[Spider.007]

Dit zal inderdaad wel spyware zijn; lees onderstaand document even door:

[rml][ Howto] Spyware scannen en opruimen[/rml]

Ik verplaats je topic tegelijkertijd naar BV toe

[Verwijderd]

HIGHGuY schreef op 01 juli 2004 @ 09:45:
of met hijackthis mss??

Hier komt een kleine copy-pasta: de O4 dingetjes baren me zorgen iemand idee?

Logfile of HijackThis v1.97.7
Scan saved at 10:25:18, on 1-7-2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\MsPMSPSv.exe
C:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Documents and Settings\tessai\Mijn documenten\DOWNLOADS\firewalle en virusprogs\HijackThis.exe
C:\WINDOWS\System32\windows32.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://ie.search.msn.com/{SUB_RFC1766}/srchasst/srchcust.htm
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.wanadoo.nl/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.defaultsearch....B8D8/1043/ie/searchba.htm
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.defaultsearch....B8D8/1043/ie/searchmn.htm
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.wanadoo.nl/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.defaultsearch....B8D8/1043/ie/searchmn.htm
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://www.defaultsearch....B8D8/1043/ie/searchcs.htm
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.defaultsearch....B8D8/1043/ie/searchsa.htm
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Internet Explorer Tessai
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,AutoConfigURL = http://www.eur.nl/dia/portal/proxy.php3
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = www.wanadoo.nl;signup.wanadoo.nl;<local>
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,Shellnext = http://www.wanadoo.nl/
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [Syntax] windows32.exe
O4 - HKLM\..\RunServices: [msn] msnmsgr.exe
O4 - HKLM\..\RunServices: [5338CEFF] C:\WINDOWS\System32\bbesvomnlbmfkl.exe
O4 - HKLM\..\RunServices: [Syntax] windows32.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [Syntax] windows32.exe
O8 - Extra context menu item: E&xport to Microsoft Excel - res://E:\PROGRA~1\MICROS~1\Office10\EXCEL.EXE/3000
O9 - Extra 'Tools' menuitem: Sun Java Console (HKLM)
O14 - IERESET.INF: START_PAGE_URL=http://www.wanadoo.nl/
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedi...wave/cabs/director/sw.cab
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec....ontent/vc/bin/AvSniff.cab
O16 - DPF: {C2FCEF52-ACE9-11D3-BEBD-00105AA9B6AE} (Symantec RuFSI Registry Information Class) - http://security.symantec....tent/common/bin/cabsa.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload.macrome...ve/cabs/flash/swflash.cab

[Verwijderd]

Spider.007 schreef op 01 juli 2004 @ 10:17:
Dit zal inderdaad wel spyware zijn; lees onderstaand document even door:

[rml][ Howto] Spyware scannen en opruimen[/rml]

Ik verplaats je topic tegelijkertijd naar BV toe

THx had al het idee dat het nu een ander topic werd

[Verwijderd]

C:\WINDOWS\System32\windows32.exe
O4 - HKLM\..\RunServices: [5338CEFF] C:\WINDOWS\System32\bbesvomnlbmfkl.exe

Scan die eens hier: http://www.kaspersky.com/scanforvirus.html
_Niet_ Zomaar de startup links fixen..

[Verwijderd]

Verwijderd schreef op 01 juli 2004 @ 10:38:
[...]

Scan die eens hier: http://www.kaspersky.com/scanforvirus.html
_Niet_ Zomaar de startup links fixen..

Gevonden : 1 trojan !! gratis af te halen door eigenaar aub

bbesvomnlbmfkl.exe - infected by TrojanProxy.Win32.Bobax.a


eh wrom doet norton en stinger hier nix tegen !!!!!

[_VpS_]

Stinger is iig bestemd om een selecte groep van die troep te fixen. Is geen volwaardige virusscanner.

[Verwijderd]

Scanned file: Kgejeb32.exe

Kgejeb32.exe - packed with PE_Patch.Qukart
Kgejeb32.exe - infected by TrojanSpy.Win32.Qukart.c


ben ik nu zo'n naieveling of zouden mijn nat router en kerio pf mij enigsinds beter moeten beschermen???

btw weet iemand hoe ik die trojans wel moet verwijderen?

[Verwijderd]

Verwijderd schreef op 01 juli 2004 @ 10:54:
[...]

Gevonden : 1 trojan !! gratis af te halen door eigenaar aub

bbesvomnlbmfkl.exe - infected by TrojanProxy.Win32.Bobax.a

eh wrom doet norton en stinger hier nix tegen !!!!!

Stinger is geen echte virusscanner, dat scant maar op een paar virussen..
Norton zou Bobax.a inmiddels toch wel moeten detecteren lijkt me.

Ik ben er redelijk van overtuigd dat die windows32.exe ook malware is, die kun je waarschijnlijk beter submitten ter analyse..

http://www.viruslist.com/eng/viruslist.html?id=1521990
Ik zou de bak niet meer vertrouwen...

Kgejeb32.exe - packed with PE_Patch.Qukart
Kgejeb32.exe - infected by TrojanSpy.Win32.Qukart.c

Kon wel eens door Bobax gedownload zijn..die windows32.exe kan hetzelfde voor gelden.

Met je NAT router/firewall dicht had Bobax nooit je systeem mogen bereiken.
Of je hebt die pas naderhand aangeschaft waarbij je systeem niet gepatcht was.

[Verwijderd]

ik ben nu bezig met housecall na identificatie van antidote (20 wormpjes en trojans :8x bobax.a oid)

de eerste bobaxen vliegen er weer af ... ik zal die xp patch nog eens runnen want ik weet niet zeker of ik dat al gedaan heb....

[Verwijderd]

hmmm dr blijven nog 5 op staan :

2 x : backdoor.Rbot.gen
3X: bobax.a

[Verwijderd]

Verwijderd schreef op 01 juli 2004 @ 11:01:
[...]

Stinger is geen echte virusscanner, dat scant maar op een paar virussen..
Norton zou Bobax.a inmiddels toch wel moeten detecteren lijkt me.

Ik ben er redelijk van overtuigd dat die windows32.exe ook malware is, die kun je waarschijnlijk beter submitten ter analyse..

http://www.viruslist.com/eng/viruslist.html?id=1521990
Ik zou de bak niet meer vertrouwen...

[...]

Kon wel eens door Bobax gedownload zijn..die windows32.exe kan hetzelfde voor gelden.

Met je NAT router/firewall dicht had Bobax nooit je systeem mogen bereiken.
Of je hebt die pas naderhand aangeschaft waarbij je systeem niet gepatcht was.

Scanned file: windows32.exe

windows32.exe - packed with UPX
windows32.exe - infected by Backdoor.Rbot.gen

kan ik deze gewoon uitzetten in taskmanager of is het wel een belangrijke file voor windows die gewoon geinfecteerd is oid ???<< hij is namelijk nogal actief zeg maar dus wellicht kan ik hem niet verwijderen als hij draait ???

[ Voor 6% gewijzigd door Verwijderd op 01-07-2004 11:54 ]

[wildhagen]

Hij zal best heel erg actief zijn ja. Met zichzelf verspreiden

Killen, entries deleten. Het is geen file van Windows zelf.

Maar zoals Schouw al zei, is het geen verstandig idee om de PC eens opnieuw te installeren? Er zijn zóveel besmettingen...

Neem dan ook meteen een betere virusscanner. Als Bobax al niet gedetecteerd word... is nu niet bepaald het nieuwste virus...

[Verwijderd]

Windows32.exe is in ieder geval geen officiele Windows file en zoals je ziet ook besmet - weg dus met die zooi zou ik zeggen

[Verwijderd]

je zou het niet zeggen maar op zich loopt mn pc best aardig ....

ik zal eens een uitgebreide virus check doen en dan maar ff die fix doen denk ik en dan nog eens scannen.....of is het niet meer te regelen?

[Verwijderd]

O4 - HKLM\..\Run: [Syntax] windows32.exe
O4 - HKLM\..\RunServices: [Syntax] windows32.exe
O4 - HKCU\..\Run: [Syntax] windows32.exe

dus als deze kan ik gerust met hijack this fixen?

[Miki]

Verwijderd schreef op 01 juli 2004 @ 12:03:
O4 - HKLM\..\Run: [Syntax] windows32.exe
O4 - HKLM\..\RunServices: [Syntax] windows32.exe
O4 - HKCU\..\Run: [Syntax] windows32.exe

dus als deze kan ik gerust met hijack this fixen?

Inderdaad fixen met hijack this maar!!! controleer of dit bestand daarna nog wel even handmatig, mocht deze er zijn verwijder deze dan alsnog.

[Verwijderd]

Een pc die zo'n troep is...daar kun je niet meer veilig op werken.
Ik blijf erbij: Formatten is de véél betere optie.

Kijk eens naar wat voor leipe junk je er op hebt/had staan...
Ik betwijfel of het ding inmiddels wel volledig clean is.

[Verwijderd]

wordt nog hard aan gewerkt jah ...:D

ik ben bezig met nog wat dingen en zal dan weer eens kijken of er nog nasty zaken zijn....

ff reboot dan maar !! thx 4 the advice so far !!!

[Verwijderd]

deze nog maar es gedaan :

http://gathering.tweakers.net/forum/list_messages/890219

nu weer helemaal safe ?? wellicht

[Verwijderd]

laatste vraag :

backdoor.rbot.gen ----> pc cillin en KAV verwijderen / zien deze niet maar antidote wel!! iemadn een idee hoe je deze dr af kunt krijgen?

[cutter]

Verwijderd schreef op 01 juli 2004 @ 15:14:
laatste vraag :

backdoor.rbot.gen ----> pc cillin en KAV verwijderen / zien deze niet maar antidote wel!! iemadn een idee hoe je deze dr af kunt krijgen?

http://www.sophos.com/virusinfo/analyses/w32rbotae.html niet iedereen noemt virussen hetzelfde iets waar imho verandering in zou moeten komen.

[Verwijderd]

nieuwste stinger gedownload en deze heeft hem verwijderd