svrlib.exe eet geheugen maar bestand niet te vinden.

[Verwijderd]

M'n systeem werd de laaste tijd steeds langzamer... nu is het op een punt gekomen dat het eigenlijk niet meer te doen is en dat ik eindelijk de tijd heb om er naar te kijken wat het nou is.

Toen ik naar m'n processen ging kijken viel me direct 1 ding op... svrlib.exe neemt steeds zo'n 80% van m'n processorkracht in en neemt steeds meer geheugen in.
Als ik het proces stop start hij vanzelf weer op. en binnnen 5 minuten neemt hij meer dan 182mb geheugen in beslag!
Dat is de boosdoener dus lijkt me...

als ik op google zoek naar svrlib.exe krijg ik C++ dingetjes waar ik niets van begrijp!
Op de process website die in de FAQ staat, staat de svrlib.exe er niet bij....

AdAware zegt dat het process draait vanaf c:/windows/fonts/ echter kan ik hem hier niet vinden!! Ook via search kan ik het bestand niet vinden!
Log van AdAware:

#:38 [svrlib.exe]
FilePath : C:\WINDOWS\Fonts\
ThreadCreationTime : 21-10-2004 12:56:01
BasePriority : Normal
FileSize : 798 KB
Created on : 11-10-2004 19:16:13
Last accessed : 20-10-2004 23:00:00
Last modified : 11-10-2004 19:16:16

Volgens Panda antivirus heb ik geen virus op m'n computer...
Bijde programma's hebben de nieuwste updates gehad....


inmiddels ben ik 3 uur met deze laptop bezig... maar ik weet nogsteeds niet wat het probleem is... tenminste, ik denk dat svrlib.exe het probleem is maar ik krijg het niet gestopt. Adaware en Panda doen er bijde niets mee....

Wat kan ik nog doen?

[DeMoN]

Als je nou gewoon eens je computer doorzoekt op svrlib.exe....
Waar staat ie dan?

En als je 'm stopt doe dat dan via de rechtermuisknop en kies voor processtructuur beeindigen. Heb je kans dat ie niet meteen weer opstart.

edit:

Wat gek dat ik dan niks kan vinden met google:

klik

[ Voor 27% gewijzigd door DeMoN op 21-10-2004 17:17 ]

[Freee!!]

En wat zegt Hijack This

EDIT:
En kijk eens naar Beveiliging en Virussen - Nieuw topic starten

[ Voor 63% gewijzigd door Freee!! op 21-10-2004 17:20 ]

[LuCarD]

Welk os heb je?
Doe eens een online scan?
Post je HiJack This Log? ( haal hem ook door de link in mijn signature,... )

@DEMON:
Zoeken op svrlib zonder .exe vind je een 38 tal items..

[ Voor 17% gewijzigd door LuCarD op 21-10-2004 17:24 ]

[DeMoN]

LuCarD schreef op 21 oktober 2004 @ 17:23:
Welk os heb je?
Doe eens een online scan?
Post je HiJack This Log? ( haal hem ook door de link in mijn signature,... )

@DEMON:
Zoeken op svrlib zonder .exe vind je een 38 tal items..

Jah maar die svrlib heeft imho erg weinig te maken met de .exe file...

[Verwijderd]

Hijack log: (hier staat ook meteen info OS enzo)

Logfile of HijackThis v1.98.2
Scan saved at 16:57:02, on 21-10-2004
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\brsvc01a.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\brss01a.exe
C:\Program Files\Panda Software\Panda Antivirus Platinum\Firewall\PavFires.exe
C:\Program Files\Apoint\Apoint.exe
C:\Program Files\Sony\HotKey Utility\HKserv.exe
C:\Program Files\Sony\Jog Dial Utility\JogServ2.exe
C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe
C:\Program Files\iTunes\iTunesHelper.exe
C:\Program Files\Panda Software\Panda Antivirus Platinum\APVXDWIN.EXE
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\PowerPanel\Program\PcfMgr.exe
C:\Program Files\Nokia\PC Suite voor Nokia 9210 Communicator\ECTaskScheduler.exe
C:\Program Files\Realtek\Rtl8180\RtlWake.exe
C:\Program Files\Apoint\Apntex.exe
C:\PROGRA~1\Nokia\PCSUIT~1\Elogerr.exe
C:\Program Files\Panda Software\Panda Antivirus Platinum\pavsrv51.exe
C:\Program Files\Panda Software\Panda Antivirus Platinum\AVENGINE.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\usrbridg.exe
C:\PROGRA~1\Nokia\PCSUIT~1\BROADC~1.EXE
C:\Program Files\iPod\bin\iPodService.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Program Files\Panda Software\Panda Antivirus Platinum\pavProxy.exe
C:\WINDOWS\Fonts\svrlib.exe
C:\Documents and Settings\Bode\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.startpagina.nl/
O1 - Hosts: com
O1 - Hosts: com
O1 - Hosts: .com
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: CATLEvents Object - {3EC8E271-FAB9-418a-8A8E-65AEB4029E64} - C:\DOCUME~1\Bode\LOCALS~1\Temp\cvspct.dat
O2 - BHO: CATLEvents Object - {60112085-E1CE-4e0e-823A-EBB1AD98804C} - C:\DOCUME~1\Bode\LOCALS~1\Temp\cvspct.dat
O2 - BHO: CATLEvents Object - {6A06CDAD-9D2D-42A0-9C91-C0CF7CB9971B} - C:\WINDOWS\TEMP\bilrvs.dat
O2 - BHO: CATLEvents Object - {8109AF33-6949-4833-8881-43DCC232B7B2} - C:\DOCUME~1\Bode\LOCALS~1\Temp\cvspct.dat
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll
O2 - BHO: IEHlprObj Class - {CE7C3CF0-4B15-11D1-ABED-709549C10000} - C:\WINDOWS\IEHelper.dll
O2 - BHO: CATLEvents Object - {F32F8ECD-6CF3-459D-82F2-9738392C85A8} - C:\DOCUME~1\Bode\LOCALS~1\Temp\cvspct.dat
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\System32\igfxtray.exe
O4 - HKLM\..\Run: [Apoint] C:\Program Files\Apoint\Apoint.exe
O4 - HKLM\..\Run: [HKSERV.EXE] C:\Program Files\Sony\HotKey Utility\HKserv.exe
O4 - HKLM\..\Run: [JOGSERV2.EXE] C:\Program Files\Sony\Jog Dial Utility\JogServ2.exe
O4 - HKLM\..\Run: [Share-to-Web Namespace Daemon] C:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe
O4 - HKLM\..\Run: [RunDLL] rundll32.exe "C:\WINDOWS\Downloaded Program Files\bridge.dll",Load
O4 - HKLM\..\Run: [SysUpd] C:\WINDOWS\sysupd.exe
O4 - HKLM\..\Run: [tcpsvc] C:\WINDOWS\Help\tcpsvc.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] C:\Program Files\iTunes\iTunesHelper.exe
O4 - HKLM\..\Run: [*tcpsvc] C:\WINDOWS\Help\tcpsvc.exe
O4 - HKLM\..\Run: [*playinet] C:\WINDOWS\system\playinet.exe
O4 - HKLM\..\Run: [*imgfax] C:\WINDOWS\imgfax.exe
O4 - HKLM\..\Run: [*antiad] C:\WINDOWS\inf\antiad.exe
O4 - HKLM\..\Run: [*playdrv] C:\WINDOWS\inf\playdrv.exe
O4 - HKLM\..\Run: [*svrlib] C:\WINDOWS\Fonts\svrlib.exe
O4 - HKLM\..\Run: [SCANINICIO] "C:\Program Files\Panda Software\Panda Antivirus Platinum\Inicio.exe"
O4 - HKLM\..\Run: [APVXDWIN] "C:\Program Files\Panda Software\Panda Antivirus Platinum\APVXDWIN.EXE" /s
O4 - HKLM\..\Run: [*svcinet] C:\WINDOWS\msagent\svcinet.exe
O4 - HKLM\..\RunOnce: [*svcinet] C:\WINDOWS\msagent\svcinet.exe rerun
O4 - HKLM\..\RunOnce: [*svrlib] C:\WINDOWS\Fonts\svrlib.exe rerun
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\RunOnce: [*MS Setup] C:\WINDOWS\System32\bkinst.exe ren time:1097600061
O4 - Startup: HotSync Manager.lnk = C:\Program Files\palmOne\HOTSYNC.EXE
O4 - Global Startup: PowerPanel.lnk = ?
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: Koppeling naar PC Suite voor Nokia 9210 Communicator.lnk = C:\Program Files\Nokia\PC Suite voor Nokia 9210 Communicator\ConnectState.exe
O4 - Global Startup: Taakplanner voor PC Suite voor Nokia 9210 Communicator.lnk = C:\Program Files\Nokia\PC Suite voor Nokia 9210 Communicator\ECTaskScheduler.exe
O4 - Global Startup: RtlWake.lnk = ?
O8 - Extra context menu item: &Google Search - res://c:\program files\google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Gelijkwaardige pagina's - res://c:\program files\google\GoogleToolbar2.dll/cmsimilar.html
O8 - Extra context menu item: Koppelingspagina's - res://c:\program files\google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Opgeslagen momentopname van de pagina - res://c:\program files\google\GoogleToolbar2.dll/cmcache.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra button: Onderzoek - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll
O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll
O15 - Trusted Zone: *.Sony-europe.com
O15 - Trusted Zone: *.Sonystyle-europe.com
O16 - DPF: {238F6F83-B8B4-11CF-8771-00A024541EE3} (WficaCtl Object) - http://www.genisar.com/files/genplug60.cab
O16 - DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) - http://www.cult3d.com/download/cult.cab
O16 - DPF: {4E15D681-1D20-11D4-8B72-000021DA1956} - http://www.luchtfotoservice.nl/ab/plugin/plugin.exe

[ Voor 3% gewijzigd door Verwijderd op 21-10-2004 18:01 ]

[Mike Jarod]

Begin eerst eens met Windowsupdate. Zo te zien heb je dat al te lang niet gedaan.

Gooi daarna eens onderstaande dingen (indien van toepassing) door http://virusscan.jotti.dhs.org :

code:

O1 - Hosts: com
O1 - Hosts: com
O1 - Hosts: .com
O2 - BHO: CATLEvents Object - {3EC8E271-FAB9-418a-8A8E-65AEB4029E64} - C:\DOCUME~1\Bode\LOCALS~1\Temp\cvspct.dat
O2 - BHO: CATLEvents Object - {60112085-E1CE-4e0e-823A-EBB1AD98804C} - C:\DOCUME~1\Bode\LOCALS~1\Temp\cvspct.dat
O2 - BHO: CATLEvents Object - {6A06CDAD-9D2D-42A0-9C91-C0CF7CB9971B} - C:\WINDOWS\TEMP\bilrvs.dat
O2 - BHO: CATLEvents Object - {8109AF33-6949-4833-8881-43DCC232B7B2} - C:\DOCUME~1\Bode\LOCALS~1\Temp\cvspct.dat
O4 - HKLM\..\Run: [RunDLL] rundll32.exe "C:\WINDOWS\Downloaded Program Files\bridge.dll",Load
O4 - HKLM\..\Run: [SysUpd] C:\WINDOWS\sysupd.exe
O4 - HKLM\..\Run: [tcpsvc] C:\WINDOWS\Help\tcpsvc.exe
O4 - HKLM\..\Run: [*tcpsvc] C:\WINDOWS\Help\tcpsvc.exe
O4 - HKLM\..\Run: [*playinet] C:\WINDOWS\system\playinet.exe
O4 - HKLM\..\Run: [*imgfax] C:\WINDOWS\imgfax.exe
O4 - HKLM\..\Run: [*antiad] C:\WINDOWS\inf\antiad.exe
O4 - HKLM\..\Run: [*playdrv] C:\WINDOWS\inf\playdrv.exe
O4 - HKLM\..\Run: [*svrlib] C:\WINDOWS\Fonts\svrlib.exe
O4 - HKLM\..\Run: [*svcinet] C:\WINDOWS\msagent\svcinet.exe
O4 - HKLM\..\RunOnce: [*svcinet] C:\WINDOWS\msagent\svcinet.exe rerun
O4 - HKLM\..\RunOnce: [*svrlib] C:\WINDOWS\Fonts\svrlib.exe rerun
O4 - HKCU\..\RunOnce: [*MS Setup] C:\WINDOWS\System32\bkinst.exe ren time:1097600061
O16 - DPF: {238F6F83-B8B4-11CF-8771-00A024541EE3} (WficaCtl Object) - http://www.genisar.com/files/genplug60.cab
O16 - DPF: {AD7FAFB0-16D6-40C3-AF27-585D6E6453FD} - http://dload.ipbill.com/del/loader.exe
O16 - DPF: {F0230524-9D39-4E84-8452-41C592961EA7} (Installer Class) - http://www.4wav.com/Config.cab

Een aantal dingen hiervan zijn zeker weten malware. Anderen weet ik niet zeker. Je kan alles verwijderen met HijackThis maar let op sommige malware brengt schade aan je systeem als je ze verwijderd. Daarom is het aan te raden eerst uit te zoeken waar je mee te maken hebt

[wildhagen]

Een systeem wat zo zwaar gecompromised is zou ik niet eens meer schoonmaken, maar formatteren en herinstalleren. Ik herken zowieso MINIMAAL 3 verschillende virussen/andere malware.

Installeer daarna ook een GOEDE virusscanner, dat voorkomt in het vervolg een hoop ellende.

Als je die file niet eens ziet, maar hij er wel is en kennelijk ook draait, zou je ook wel eens gehacked kunnen zijn met een rootkit. In dat geval kan er nog wel méér malware draaien dan je nu met Hijack This ziet.

[ Voor 29% gewijzigd door wildhagen op 21-10-2004 18:14 ]

[Verwijderd]

hmmz.. opnieuw installeren van een laptop is niet mijn leukste hobby
zeker niet als het de laptop van m'n vader is!

[Freee!!]

Verwijderd schreef op 21 oktober 2004 @ 20:50:
hmmz.. opnieuw installeren van een laptop is niet mijn leukste hobby

Dat hoort er gewoon bij als je Windows draait.

zeker niet als het de laptop van m'n vader is!

Als hij hem zelf zo verprutst heeft, kan hij het ook zelf op knappen hoor (tenzij je er voldoende geld voor krijgt en dan moet je ook niet zeuren over "leukste hobby").