Onbekend virus

[Verwijderd]

Hey,

Ik had laatst ineens last van een trage pc en een hoop rare processen.
Nadat ik de virusscanner eroverheen had gejaagd (nav2005) had ie niks gevonden.
Omdat ik ook geen updates meer kon krijgen via windows update (browser liep hele tijd vast, en anders wel error) heb ik de pc geformateerd via de winxp cdrom en opnieuw windows erop gezet.
Alles ging goed totdat ik internet verbinding maak, langzaam wordt de pc sloom en er komen steeds meer verschillende processen bij. Het begint allemaal met Mcafeee.exe (met 3 e's ja).

Ik kan nu windows niet updaten en windows niet activeren want dat loopt allemaal vast.
Als ik via Netlimiter kijkw at de traffic is van internet zie ik al die processen erbij staan waarbij 2/3 aan het downloaden en uploaden is.

Hier een hijack log:

Logfile of HijackThis v1.99.0
Scan saved at 17:50:23, on 2-1-2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\svmhost.exe
C:\Program Files\Alcatel\SpeedTouch USB\Dragdiag.exe
C:\WINDOWS\System32\svhost.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\System32\wpabaln.exe
C:\WINDOWS\system32\svphost.exe
C:\WINDOWS\System32\mcafeee.exe
C:\WINDOWS\system32\cmd.exe
C:\Program Files\Outlook Express\msimn.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\NetPeeker\NPGUI.exe
C:\Program Files\NetPeeker\NPGUI.exe
C:\Documents and Settings\Dick\Bureaublad\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.nl/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [SpeedTouch USB Diagnostics] "C:\Program Files\Alcatel\SpeedTouch USB\Dragdiag.exe" /icon
O4 - HKLM\..\Run: [Windows Media Player] mcafeee.exe
O4 - HKLM\..\Run: [Microsoft Windows Update] svmhost.exe
O4 - HKLM\..\Run: [Networking Protocol Assistant] svhost.exe
O4 - HKLM\..\RunServices: [Windows Media Player] mcafeee.exe
O4 - HKLM\..\RunServices: [Microsoft Windows Update] svmhost.exe
O4 - HKLM\..\RunServices: [Networking Protocol Assistant] svhost.exe
O4 - HKLM\..\RunOnce: [Microsoft Windows Update] svmhost.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [Microsoft Windows Update] svmhost.exe
O4 - HKCU\..\Run: [Windows Media Player] mcafeee.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\RunOnce: [Microsoft Windows Update] svmhost.exe
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.m..._site.cab?-1505246G254404
O17 - HKLM\System\CCS\Services\Tcpip\..\{201FEE3E-7F66-4FA6-AE6D-D7443DD32F48}: NameServer = 195.241.48.33 195.241.49.33

Ik heb de processen 1 voor 1 proberen op te zoeken via google, maar steeds komt er weer een mogelijk tot een ander virus uit.

Weet iemand mischien wat ik moet doen?

[Maurits27]

Het lijkt idd te liggen aan het volgende.

O4 - HKLM\..\Run: [Windows Media Player] mcafeee.exe

Vink alle combinaties die met media player en mcafee opstart af mbv msconfig.

Herstart daarna je pc en ga met de zoekfunctie op zoek naar mcafeee.exe en verwijder het bestand. Lijkt mij een programmaatje in plaats van een virus.

[TrickShot]

Formateer je pc, zet er off-line Service Pack 2 op, installeer een virusscanner en ga daarna pas online.

[under-world]

als ik jouw log hier http://www.hijackthis.de/index.php plak dan zegt deze analyzer precies wat er nasty is en wat niet. Jij hebt nogal wat nastyprocessen lopen ben ik al achter. sterkte ermee

[ Voor 5% gewijzigd door under-world op 02-01-2005 18:12 ]

[Pendaco]

Wat je moet doen is onderstaande entries verwijderen met hijack this! terwijl je in veilige modus draait.
Check achteraf ook even of die files ook daadwerkelijk van je schijf zijn

ook kun je onderstaande files even met jotti's malware scan scannen, weet je precies welk(e) virus(sen) t zijn

code:

C:\WINDOWS\System32\svmhost.exe
C:\WINDOWS\System32\svhost.exe
C:\WINDOWS\system32\svphost.exe 
C:\WINDOWS\System32\mcafeee.exe
O4 - HKLM\..\Run: [Windows Media Player] mcafeee.exe
O4 - HKLM\..\Run: [Microsoft Windows Update] svmhost.exe
O4 - HKLM\..\Run: [Networking Protocol Assistant] svhost.exe
O4 - HKLM\..\RunServices: [Windows Media Player] mcafeee.exe
O4 - HKLM\..\RunServices: [Microsoft Windows Update] svmhost.exe
O4 - HKLM\..\RunServices: [Networking Protocol Assistant] svhost.exe
O4 - HKLM\..\RunOnce: [Microsoft Windows Update] svmhost.exe
O4 - HKCU\..\Run: [Microsoft Windows Update] svmhost.exe
O4 - HKCU\..\Run: [Windows Media Player] mcafeee.exe
O4 - HKCU\..\RunOnce: [Microsoft Windows Update] svmhost.exe

svmhost.exe > FORBOT-CH WORM!
svhost.exe > W32.Mydoom.I@mm

daarna zou ik nog even een online scan draaien met bijv.
housecall antivirus
mcafee antivirus

[ Voor 13% gewijzigd door Pendaco op 03-01-2005 01:34 ]

[Occy74]

Hmmm. zo onbekend blijkt dat virus nou ook weer niet

[chromeeh]

Nog een optie: via de Security Response site van Symantec kun je ook online virus scannen

[Verwijderd]

Maar natuurlijk eerst je hosts file leegmaken...

[Verwijderd]

Gewoon niet met een kale niet-geupdate windows op internet gaan zonder firewall ertussen.
Dat lijkt me niet meer dan logisch.

SP2 op een CD branden, opnieuw formateren en SP2 offline installeren.
Dan pas online gaan.