backdoor.coreflood

[Verwijderd]

Er zit op mijn pc een virus dat niet door NAV2004 kan worden verwijderd. Het is een dll bestand en bevindt zich in de system32 map van windows XP en maakt na het opstarten van windows een bat bestand aan met dezelde naam: msvideik.bat
Na de hele middag zelf bezig te zijn geweest en velen manieren heb geprobeert om het bestand(msvidiek.dll) te verwijderen, zonder resultaat hoop ik dat iemand mij raad kan geven. Op dit forum zijn nog een aantal andere threads te vinden over vergelijkbare situatie, maar deze helpen me ook niet verder. Ik zal zeggen wat ik tot nu toe heb gedaan:
norton antivirus: detecteerd msvidiek.dll als een virus maar kan he niet verwijderen
regedit: in de HKEY_LOCLAL_MACHINE\...\...\...\run directory zijn geen waarden die wijzen naar het bestand of daar enigzins verband mee zouden kunnen houden. Ik heb toen gezocht op msvideik en vond twee waarden die ik heb verwijdert.
win98 bootdisk -> in dos kan hij de C directory niet herkennen en kan ik de del command niet uitvoeren. cmd.exe werkt niet.
Veilige modus: levert ook niets op.
Trojanhunter: detecteert de trojan vreemd genoeg niet.

Het merkbare effect van het virus is dus dat hij processorload opvoert naar 100 en de harde schijf continue laat zoeken, waardoor pc gebruik bijna onmogelijk is. In veilige modus gebeurt dit niet en kan de computer goed worden gebruikt.

Ik heb op google gezocht maar daar heb ik ook niet kunnen vinden dat hielp.
Ik hoop dat er hier iemand is met meer verstand van zaken en eventueel een oplossing weet, bij voorbaad dank...

[Edwin van Cleef]

een virusscan in de veilige modus uitvoeren?

andere virusscanner proberen
http://housecall.trendmicro.com/housecall/start_corp.asp

kijk eens even op de pagina van
www.virusalert.nl
is ook genoeg info hoe het virus te verwijderen

allom het is er op gekomen dus het kan er ook weer af

[Verwijderd]

Ik heb alle 3 geprobeert, maar nog geen resultaat. de virusscanner die je gaf vond het virus zelfs niet. de optie om mcaffee te proberen heb ik niet.

[Roberto]

Goh wat een toeval, ik kreeg het virus vandaag ook.

Lees ook even mijn topic

[rml][ XP Home sp1] Backdoor.Coreflood Niet verwijderbaar[/rml]

En hier ook: hdd usage 100% en cpu usage 100%

En dit typ ik dus onder safe, en hier heb ik dus geen problemen

[ Voor 26% gewijzigd door Roberto op 05-07-2004 18:32 ]

[Outerspace]

http://securityresponse.s...a/backdoor.coreflood.html
http://us.mcafee.com/viru...escription&virus_k=100312 :

opstarten in veiligmodus is heel belangrijk!

If successful, this file is saved to disk as a randomly named (7 characters) EXE. Once again, a DLL is extracted from its body and saved to disk as a similarly named DLL, for example:

%SysDir%\XQRXCCJ.EXE (28,160 bytes)
%SysDir%\XQRXCCJ.DLL (69,632 bytes)
(Differing versions of the proxy component will have differing file sizes of course.)

The following Registry key is set to hook system startup:

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
"XXXXXXX" = %SysDir%\XXXXXXX.EXE
(where XXXXXXX represents the 7 random characters used for the trojan filenames)
The EXE and the DLL are detected as CoreFlood and CoreFlood.dll respectively by the latest engine/DATs.

As for the "core" component described above, code within the DLL is run via a function call by the executable. Once again the DLL is injected into the memory space of EXPLORER.EXE.

A configuration file is then requested (via HTTP) from a remote server. This file contains text data referencing a URL, IP addresses and other strings that appear to relate to backdoor functionality.

Subsequent HTTP traffic to the URL and IP address specified in the configuration file is observed. Obviously target URLs and IPs can be modified trivially by updating the configuration file.

[ Voor 35% gewijzigd door Outerspace op 05-07-2004 18:39 ]

[Verwijderd]

[rml]Schouw in "[ XP Home sp1] Backdoor.Coreflood Niet ve..."[/rml]

[Verwijderd]

Bedankt schouw. het is mij ook gelukt net als in het andere topic. de oplossing die jij gaf stond ook in de dll file alleen had ik het commando niet goed ingevoerd in dos. Ook alle andere bedankt voor hun commentaar.