[Virus] ...srv.exe bestanden

[shakkie]

Ik vroeg mij af of extenties met iets van srv.exe.altijd nadelig zijn voor de pc.
Ik keek zojuist in c:/winnt en het sterft er werkelijk van.
Een greep uit de bestanden:

- abehsrv.exe
- abgfsrv.exe
- abglsrv.exe
- abibsrv.exe

En zo tot en met de Z. Ik schat dat er zo` n 400 van dit soort bestandjes in de lijst staan.
Is dit nu normaal bij windows 2000 of zit mijn pc propvol met zooi die er niet op thuishoort ?

[GlowMouse]

Misschien kun je beter sorteren op datum, dan zie je snel wat al bij de installatie hoort, en wat daarna als zooi erbij is gekomen.

[megamuch]

Ik zou zeggen: Draai een virus scanner + ad aware. Dit lijkt op virus infectie.

[shakkie]

Virusscanner heb ik al gedraaid, net als adware en hijackthis maar niets komt die dingen tegen.

De creeerdatum van de bestandjes is allemaal 5 januari 2005. De datum dat ik een nieuwe install heb gedaan van windows na een complete format Op deze manier is het dus niet te achterhalen...

[F_J_K]

Is dit nu normaal bij windows 2000 of zit mijn pc propvol met zooi die er niet op thuishoort ?

Nee dat hoort niet zo, durf ik te gokken

Virusscanner: gooi zo'n bestand door een goede virusscanner die niet op jouw (zwaar verdachte) machine staat. Bijvoorbeeld http://www.kaspersky.com/scanforvirus en/of http://virusscan.jotti.dhs.org

[ Voor 3% gewijzigd door F_J_K op 11-01-2005 20:24 ]

[Henk007]

shakkie schreef op dinsdag 11 januari 2005 @ 20:18:
Virusscanner heb ik al gedraaid, .

Haal ze voor de zekerheid ook nog eens door Jotti
F_J_K was uiteraard sneller, en ik bedoel uiteraard niet Jotti zelf, maar zijn online scanner server

[ Voor 20% gewijzigd door Henk007 op 11-01-2005 20:27 ]

[shakkie]

Okeej, ga ik even proberen. Maar wil het ook zeggen dat Norton 2005 dit soort zaken " over het hoofd ziet" want dan noem ik mijzelf een enorme *** dat ik dat programma gekocht heb

****jotti geeft aan dat ik baggerzooi op deze machine heb staan en dat ik hem per direct aan de straatkant moet zetten.... Gelukkig ben ik geen officier van justitie *******

[ Voor 36% gewijzigd door shakkie op 11-01-2005 20:27 ]

[pasta]

Kan je overigens melden wat voor virussen het zijn? Dit kan handig zijn bij het oplossen, omdat er vaak ook wat andere troep bij komt te zitten die je nu nog niet is opgevallen.

Verder pas ik je topictitel even aan, het is nu ondertussen duidelijk dat je geïnfecteerd bent.

[shakkie]

Dit is het resultaat van de scan
Dit was een van de in totaal 3452 bestanden met srv in de bestandsnaam die in de winnt map staan.

code:

File:  ehclsrv.exe  
Status:  INFECTED/MALWARE
Packers detected:  UPX 
   
AntiVir  TR/Small.NS (0.15 seconds taken) 
Avast  No viruses found (1.51 seconds taken) 
BitDefender  No viruses found (2.36 seconds taken) 
ClamAV  No viruses found (1.32 seconds taken) 
Dr.Web  Trojan.PWS.GoldSpy (2.16 seconds taken) 
F-Prot Antivirus  No viruses found (1.03 seconds taken) 
Kaspersky Anti-Virus  No viruses found (2.05 seconds taken) 
mks_vir  Dialer.Mlt.J11 (0.62 seconds taken) 
NOD32  probably unknown NewHeur_PE (probable variant) (1.72 seconds taken) 
Norman Virus Control  No viruses found (1.55 seconds taken)

[ Voor 7% gewijzigd door shakkie op 11-01-2005 20:34 ]

[hessel]

laat Kav een steekje vallen (niet verwacht).... Zal in een volgende update wel verholpen zijn

[pasta]

shakkie schreef op dinsdag 11 januari 2005 @ 20:34:
Dit is het resultaat van de scan
Dit was een van de in totaal 3452 bestanden met srv in de bestandsnaam die in de winnt map staan.

Probeer eens 1 van de virusscanners uit die het virus detecteerde om het zo te cleanen. Post ook je HiJackThis log eens, misschien dat hier iets tussen staat dat het bronvirus kan zijn.

[shakkie]

Hierbij de hijackthis log van deze zieke machine

code:

Logfile of HijackThis v1.99.0
Scan saved at 8:49:37 PM, on 1/11/2005
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\Program Files\Common Files\Symantec Shared\SNDSrvc.exe
C:\Program Files\Common Files\Symantec Shared\SPBBC\SPBBCSvc.exe
C:\Program Files\Common Files\Symantec Shared\ccSetMgr.exe
C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
C:\WINNT\system32\spoolsv.exe
C:\AppServ\Apache\Apache.exe
C:\WINNT\System32\svchost.exe
C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe
C:\AppServ\mysql\bin\mysqld-nt.exe
C:\Program Files\Norton AntiVirus\navapsvc.exe
C:\Program Files\Norton AntiVirus\IWP\NPFMntor.exe
C:\Program Files\Norton SystemWorks\Norton Utilities\NPROTECT.EXE
C:\WINNT\System32\nvsvc32.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\AppServ\Apache\Apache.exe
C:\Program Files\Common Files\Symantec Shared\CCPD-LC\symlcsvc.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\Explorer.EXE
C:\Program Files\Winamp\winampa.exe
C:\WINNT\system32\mobsync.exe
C:\WINNT\SOUNDMAN.EXE
C:\Program Files\Common Files\Symantec Shared\ccApp.exe
C:\Program Files\Java\jre1.5.0\bin\jusched.exe
C:\Program Files\QuickTime\qttask.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\WINNT\system32\wuauclt.exe
C:\WINNT\system32\rundll32.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Winamp\winamp.exe
C:\WINNT\system32\SNDVOL32.EXE
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\PROGRA~1\MOZILL~1\FIREFOX.EXE
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Common Files\Symantec Shared\NMAIN.EXE
C:\Program Files\WinRAR\WinRAR.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\DOCUME~1\FAMILI~1\LOCALS~1\Temp\Rar$EX00.797\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\SearchURL,(Default) = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = hoerige tering explorer
R3 - Default URLSearchHook is missing
O1 - Hosts: 69.20.16.183 auto.search.msn.com
O1 - Hosts: 69.20.16.183 search.netscape.com
O1 - Hosts: 69.20.16.183 ieautosearch
O1 - Hosts: 69.20.16.183 ieautosearch
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exe
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Program Files\Common Files\Symantec Shared\Security Center\UsrPrmpt.exe
O4 - HKLM\..\Run: [SymTray - Norton SystemWorks] C:\Program Files\Common Files\Symantec Shared\Symtray.exe SetReg
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINNT\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.5.0\bin\jusched.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [SpybotSnD] "C:\Program Files\Spybot - Search & Destroy\SpybotSD.exe" /autocheck
O4 - HKLM\..\Run: [JelSrv32] C:\WINNT\jelsrv.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~3\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0\bin\npjpi150.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0\bin\npjpi150.dll
O10 - Unknown file in Winsock LSP: c:\winnt\system32\aklsp.dll
O10 - Unknown file in Winsock LSP: c:\winnt\system32\aklsp.dll
O10 - Unknown file in Winsock LSP: c:\winnt\system32\aklsp.dll
O10 - Unknown file in Winsock LSP: c:\winnt\system32\aklsp.dll
O15 - Trusted IP range: 209.8.20.130
O15 - Trusted IP range:  (HKLM)
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cab
O16 - DPF: {91433D86-9F27-402C-B5E3-DEBDD122C339} - http://www.netvenda.com/sites/games-nl/nl/games6.cab
O23 - Service: Apache - Unknown - C:\AppServ\Apache\Apache.exe
O23 - Service: Symantec Event Manager - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSetMgr.exe
O23 - Service: Macromedia Licensing Service - Unknown - C:\Program Files\Common Files\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - Service: MySQL - Unknown - C:\AppServ\mysql\bin\mysqld-nt.exe
O23 - Service: Norton AntiVirus Auto-Protect Service - Symantec Corporation - C:\Program Files\Norton AntiVirus\navapsvc.exe
O23 - Service: Norton AntiVirus Firewall Monitor Service - Symantec Corporation - C:\Program Files\Norton AntiVirus\IWP\NPFMntor.exe
O23 - Service: Norton Unerase Protection - Symantec Corporation - C:\Program Files\Norton SystemWorks\Norton Utilities\NPROTECT.EXE
O23 - Service: NVIDIA Display Driver Service - NVIDIA Corporation - C:\WINNT\System32\nvsvc32.exe
O23 - Service: Trend Micro Personal Firewall - Unknown - C:\Program Files\Trend Micro\Internet Security\PccPfw.exe (file missing)
O23 - Service: SAVScan - Symantec Corporation - C:\Program Files\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service - Symantec Corporation - C:\PROGRA~1\COMMON~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\SNDSrvc.exe
O23 - Service: Symantec SPBBCSvc - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\SPBBC\SPBBCSvc.exe
O23 - Service: Symantec Core LC - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\CCPD-LC\symlcsvc.exe
O23 - Service: Trend NT Realtime Service - Unknown - C:\Program Files\Trend Micro\Internet Security\Tmntsrv.exe (file missing)

[F_J_K]

pasta schreef op dinsdag 11 januari 2005 @ 20:43:
[...]
Probeer eens 1 van de virusscanners uit die het virus detecteerde om het zo te cleanen. Post ook je HiJackThis log eens, misschien dat hier iets tussen staat dat het bronvirus kan zijn.

Maar pas op dat het dan niet bepaald perse helemaal schoon is als je last had van een trojaans paard. IMHO is formatteren na veel paardjes een snellere oplossing dan zeker weten dat het schoon is

[ Voor 43% gewijzigd door F_J_K op 11-01-2005 20:47 . Reden: het was niet meer duidelijk waar ik op reageerde ]

[shakkie]

hahaha ik wordt nog een expert in het formateren van pc`s

[pasta]

Poeh, dat is een behoorlijke log

Ik denk dat deze rakker hier overigens de boosdoender is.

code:

O4 - HKLM\..\Run: [JelSrv32] C:\WINNT\jelsrv.exe

Start eens op in veilige mode en probeer de file daar te verwijderen.
De volgende entries kunnen ook nog weg volgens mij.

code:

O10 - Unknown file in Winsock LSP: c:\winnt\system32\aklsp.dll
O10 - Unknown file in Winsock LSP: c:\winnt\system32\aklsp.dll
O10 - Unknown file in Winsock LSP: c:\winnt\system32\aklsp.dll
O10 - Unknown file in Winsock LSP: c:\winnt\system32\aklsp.dll
O15 - Trusted IP range: 209.8.20.130
O15 - Trusted IP range:  (HKLM)
O23 - Service: Trend NT Realtime Service - Unknown - C:\Program Files\Trend Micro\Internet Security\Tmntsrv.exe (file missing)

F_J_K schreef op dinsdag 11 januari 2005 @ 20:47:
[...]

Maar pas op dat het dan niet bepaald perse helemaal schoon is als je last had van een trojaans paard. IMHO is formatteren na veel paardjes een snellere oplossing dan zeker weten dat het schoon is

Inderdaad, 3452 *srv.exe bestanden is bizar veel en ook een teken dat je PC veel te lang onveilig heeft opengestaan. Installeer in het vervolg ook een goeie firewall, zorg dat Windows up-to-date is, en ook een goeie virusscanner valt enorm aan te raden.

[ Voor 29% gewijzigd door pasta op 11-01-2005 20:53 ]

[shakkie]

Ik heb een klein probleempje ernaast en dat is dat de veilige modus geen moer doet sinds dit probleempje. het bestand wat je aangeetf heb ik al meerdere malen getracht weg te halen maar dat lukt niet.....

Ik denk dat het toch waar is dat formatteren de enige oplossing is


Welke firewall raden jullie aan en de tweede vraag is dan ook : Welke virusscanner (beter dan het al oude NAV) is aan te raden ? Ik kom er nu helemaal niet meer uit

[ Voor 24% gewijzigd door shakkie op 11-01-2005 20:56 ]

[pasta]

Mocht je willen formatteren en Windows opnieuw willen installeren, let dan wel even op de tips die ik je net in [rml]pasta in "[ Virus] ...srv.exe bestanden"[/rml] gaf.

[shakkie]

Alle bestanden zijn handmatig verwijderd en ik krijg geen meldingen en/of popups meer. Dit was dan ook de eige methode om ze kwijt te raken. dr. web pakte ze ook niet mee in de scan.....

In ieder geval bedankt voor de hulp!

[pasta]

shakkie schreef op dinsdag 11 januari 2005 @ 20:53:
Welke firewall raden jullie aan en de tweede vraag is dan ook : Welke virusscanner (beter dan het al oude NAV) is aan te raden ? Ik kom er nu helemaal niet meer uit

Daar hebben we speciaal een topic voor. [rml][ Virusscanners] discussietopic deel 2[/rml]