[pc-cillin]WORM_AGOBOT.ABU blijft terugkomen

[gp500]

pc-cillin detecteerd hem, maar nadat die in quarantene is geplaats kom t die snel weer terug.
Soms ook niet en de volgende dag weer wel.

Dit is de virus: http://es.trendmicro-euro...php?Vname=WORM_AGOBOT.ABU

Heb 't verhaal gevolgt


PC-cillin 2002 Log List
Time,Event,Source Type,Virus Name,File Name,First Action,Second Action
12:38,Real-time Scan,File,WORM_AGOBOT.ABU,C:\Documents and Settings\All Users\Documenten\dmsvc32.exe,Clean Fail,Quarantine Success,

Ik denk dat de virus uit een ander bestand komt maar welke, pc-cillin detecteerd 'm niet.
Ook neit met de online scan.

[hessel]

Dump je HTlog eens op www.hijackthis.de mischien laad een trojan downloader hem naar je pc

[ Voor 13% gewijzigd door hessel op 25-11-2004 20:57 ]

[gp500]

ik heb : %System%\Drivers\etc\Hosts de tekst gekopieerd maar hij vond niks bijzonders.
(dat bedoel je met Htlog toch ?)

het zijn ongeveer 12 pagina's met 127.0.0.1 www.......
veel ads pagina's.

kan 't kwaad om al die entries te wissen.

[ Voor 12% gewijzigd door gp500 op 26-11-2004 12:48 ]

[mimic]

Probeer eens een andere virusscanner, of een online scanner als in www.housecall.nl. Misschien dat deze hem verwijderd.

[gp500]

MiMiC schreef op vrijdag 26 november 2004 @ 14:11:
Probeer eens een andere virusscanner, of een online scanner als in www.housecall.nl. Misschien dat deze hem verwijderd.

Ik zie daar geen online scanner, maari kheb het ook al met de online scanner van micro trend gedaan.

[BoGhi]

gp500 schreef op vrijdag 26 november 2004 @ 12:48:
ik heb : %System%\Drivers\etc\Hosts de tekst gekopieerd maar hij vond niks bijzonders.
(dat bedoel je met Htlog toch ?).

Nee, dat bedoelt ie niet, HTlog is de log van HijackThis.exe. Staat ook in de FAQ overigens.

het zijn ongeveer 12 pagina's met 127.0.0.1 www.......
veel ads pagina's.

kan 't kwaad om al die entries te wissen.

127.0.0.1 is je localhost, dus dit is inderdaad aangepast door malware. Het kan dus geen kwaad deze te wissen, dat is zelfs goed. Laat er eentje over, en vervang dan je www-url door "localhost".

[Edit]: hiermee is de Agobot overigens niet weg, dit is alleen symptoombestrijding.

[ Voor 12% gewijzigd door BoGhi op 26-11-2004 17:39 ]

[gp500]

ik heb wel wat van een toolbar gevonden, meende dat ik dat al weggehaald had.
IEX ook, ik gebruik meestal opera.

Webhancer is wat HT heeft gevonden.
Ik zal S&D even installen.