virus?

Ga naar het laatste bericht

juni 2007

• sirmike
  Hey mensen mijn mcafee geeft aan dat ik zowel een trojan als virus heb.
  erg raar, want hij geeft aan dat mijn WinRAR een trojan is.
  maar nu schijn ik wel een viru shebben die verwijst naar
  New malware.b
  c:windows\system32\sys\spoolsv.exe
  
  weet iemand meer over dit programma wat waarschijnlijk een virus is?
  hij word in quarantiene genomen, dus moet ik hem handmatig verwijderen?
  
  verder heb ik een keylog-ardamax.dll gevonden in dit zelfde directory.
  
  in diezelfde spools map.
  
  wat kan ik doen?
  30 juni 2007 17:04
• mattuz
  Process File: spoolsv or spoolsv.exe
  Process Name: Microsoft Printer Spooler Service
  
  Description:
  spoolsv.exe is a Microsoft Windows system executable which handles the printing process to your local printers. Note: spoolsv.exe is also a process which is registered as the Backdoor.Ciadoor.B Trojan. This Trojan allows attackers to access your computer, stealing passwords and personal data. It is a registered security risk and should be removed immediately. Please see additional details regarding this process
  
  Ik zou het verwijderen ;)
  30 juni 2007 17:08
• erwin_w
  Zag net dat er met google veel te vinden valt over "New malware.b" i.c.m. McAffee, er werden ook oplossingen voor gegeven maar teveel om hier neer te zetten.
  Geldt trouwens ook voor "keylog-ardamax.dll"
  Even met google de oplossingen nalopen lijkt mij het beste
  30 juni 2007 17:11
• sirmike
  dat probeer ik vaak ja, maar vaak word er verschillend op gereageerd.
  30 juni 2007 17:18
• erwin_w
  Ja, soms kan het lastig zijn als er meerdere antwoorden gegeven worden maar dat risico loop je hier natuurlijk ook.
  Waarom probeer je niet gewoon eens een antwoord die er staat, niet geschoten is altijd mis.
  Zal vast wel iets tussen zitten dat werkt neem ik aan.
  Of eerst enkele antwoorden lezen en waarvan jij denkt, h? dat zou wel eens kunnen helpen, die dan uitvoeren.
  Succes
  30 juni 2007 17:22
• sirmike
  Logfile of HijackThis v1.99.1
  Scan saved at 17:30:37, on 30-6-2007
  Platform: Windows XP SP2 (WinNT 5.01.2600)
  MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
  
  Running processes:
  C:\windows\System32\smss.exe
  C:\windows\system32\winlogon.exe
  C:\windows\system32\services.exe
  C:\windows\system32\lsass.exe
  C:\windows\system32\Ati2evxx.exe
  C:\windows\system32\svchost.exe
  C:\windows\System32\svchost.exe
  C:\windows\system32\svchost.exe
  C:\windows\system32\Ati2evxx.exe
  C:\windows\Explorer.EXE
  C:\windows\system32\spoolsv.exe
  C:\WINDOWS\htpatch.exe
  C:\WINDOWS\vsnpstd.exe
  C:\Program Files\Messenger\msmsgs.exe
  C:\WINDOWS\system32\PnkBstrA.exe
  C:\windows\system32\svchost.exe
  C:\Program Files\MSN Messenger\usnsvc.exe
  C:\Program Files\DAEMON Tools\daemon.exe
  C:\PROGRA~1\McAfee\MSC\mcupdmgr.exe
  c:\PROGRA~1\mcafee.com\agent\mcagent.exe
  C:\PROGRA~1\McAfee\VirusScan\mcshield.exe
  C:\Program Files\Common Files\McAfee\HackerWatch\HWAPI.exe
  c:\PROGRA~1\COMMON~1\mcafee\redirsvc\redirsvc.exe
  C:\PROGRA~1\COMMON~1\McAfee\EmProxy\emproxy.exe
  C:\PROGRA~1\McAfee\VirusScan\mcsysmon.exe
  C:\PROGRA~1\McAfee\VirusScan\mcods.exe
  c:\PROGRA~1\mcafee\virusscan\mcvsshld.exe
  C:\PROGRA~1\McAfee\MSC\mcpromgr.exe
  c:\program files\mcafee\msc\mcupdui.exe
  c:\program files\common files\mcafee\mna\mcnasvc.exe
  c:\program files\mcafee\msc\mcshell.exe
  C:\PROGRA~1\McAfee\MSC\mcmscsvc.exe
  C:\Program Files\Internet Explorer\IEXPLORE.EXE
  C:\Program Files\Internet Explorer\IEXPLORE.EXE
  C:\Program Files\Internet Explorer\IEXPLORE.EXE
  C:\Program Files\Hijack This\hijackthis.exe
  
  R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
  O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
  O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll
  O2 - BHO: scriptproxy - {7DB2D5A0-7241-4E79-B68D-6309F01C5231} - c:\program files\mcafee\virusscan\scriptcl.dll
  O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
  O4 - HKLM\..\Run: [HTpatch] C:\WINDOWS\htpatch.exe
  O4 - HKLM\..\Run: [SiSUSBRG] C:\WINDOWS\SiSUSBrg.exe
  O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
  O4 - HKLM\..\Run: [snpstd] C:\WINDOWS\vsnpstd.exe
  O4 - HKLM\..\Run: [0020541183212300mcinstcleanup] C:\DOCUME~1\Michael\LOCALS~1\Temp\0020541183212300mcinst.exe C:\PROGRA~1\COMMON~1\McAfee\Installer\cleanup.ini -cleanup -nolog
  O4 - HKLM\..\RunOnce: [!mcagntps.dll] regsvr32.exe /s c:\PROGRA~1\mcafee.com\agent\mcagntps.dll
  O4 - HKLM\..\RunOnce: [mcagent.exe] c:\PROGRA~1\mcafee.com\agent\mcagent.exe -regserver
  O4 - HKLM\..\RunOnce: [!mccomctl.dll] regsvr32.exe /s c:\PROGRA~1\COMMON~1\mcafee\msc\mccomctl.dll
  O4 - HKLM\..\RunOnce: [!mcmispps.dll] regsvr32.exe /s c:\PROGRA~1\mcafee\msc\mcmispps.dll
  O4 - HKLM\..\RunOnce: [!mccfgmgr.dll] regsvr32.exe /s c:\PROGRA~1\mcafee\msc\mccfgmgr.dll
  O4 - HKLM\..\RunOnce: [!mccfgpv.dll] regsvr32.exe /s c:\PROGRA~1\mcafee\msc\mccfgpv.dll
  O4 - HKLM\..\RunOnce: [!mcmismgr.dll] regsvr32.exe /s c:\PROGRA~1\mcafee\msc\mcmismgr.dll
  O4 - HKLM\..\RunOnce: [!mcmscver.dll] regsvr32.exe /s c:\PROGRA~1\mcafee\msc\mcmscver.dll
  O4 - HKLM\..\RunOnce: [!mcmnumgr.dll] regsvr32.exe /s c:\PROGRA~1\mcafee\msc\mcmnumgr.dll
  O4 - HKLM\..\RunOnce: [!mcdemenu.dll] regsvr32.exe /s c:\PROGRA~1\mcafee\msc\mcdemenu.dll
  O4 - HKLM\..\RunOnce: [!mcprtcnt.dll] regsvr32.exe /s c:\PROGRA~1\mcafee\msc\mcprtcnt.dll
  O4 - HKLM\..\RunOnce: [!mcprotpv.dll] regsvr32.exe /s c:\PROGRA~1\mcafee\msc\mcprotpv.dll
  O4 - HKLM\..\RunOnce: [mcshell.exe] c:\PROGRA~1\mcafee\msc\mcshell.exe -regserver
  O4 - HKLM\..\RunOnce: [!mcshllps.dll] regsvr32.exe /s c:\PROGRA~1\mcafee\msc\mcshllps.dll
  O4 - HKLM\..\RunOnce: [!mcuicfg.dll] regsvr32.exe /s c:\PROGRA~1\mcafee\msc\mcuicfg.dll
  O4 - HKLM\..\RunOnce: [mcupdmgr.exe] c:\PROGRA~1\mcafee\msc\mcupdmgr.exe -regserver
  O4 - HKLM\..\RunOnce: [mcupdui.exe] c:\PROGRA~1\mcafee\msc\mcupdui.exe -regserver
  O4 - HKLM\..\RunOnce: [!qcmisp.dll] regsvr32.exe /s c:\PROGRA~1\mcafee\mqc\qcmisp.dll
  O4 - HKLM\..\RunOnce: [!mcnmcsps.dll] regsvr32.exe /s c:\PROGRA~1\mcafee\msc\mcnmcsps.dll
  O4 - HKLM\..\RunOnce: [!mcnmcsrv.dll] regsvr32.exe /s c:\PROGRA~1\mcafee\msc\mcnmcsrv.dll
  O4 - HKLM\..\RunOnce: [!mcnmcver.dll] regsvr32.exe /s c:\PROGRA~1\mcafee\msc\mcnmcver.dll
  O4 - HKLM\..\RunOnce: [!mccoreps.dll] regsvr32.exe /s c:\PROGRA~1\COMMON~1\mcafee\core\mccoreps.dll
  O4 - HKLM\..\RunOnce: [!mcevtbrk.dll] regsvr32.exe /s c:\PROGRA~1\COMMON~1\mcafee\core\mcevtbrk.dll
  O4 - HKLM\..\RunOnce: [!mcnasvcps.dll] regsvr32.exe /s c:\PROGRA~1\COMMON~1\mcafee\mna\mcnasvcps.dll
  O4 - HKLM\..\RunOnce: [mcnasvc.exe] c:\PROGRA~1\COMMON~1\mcafee\mna\mcnasvc.exe -regserver
  O4 - HKLM\..\RunOnce: [!mcuj.dll] regsvr32.exe /s c:\PROGRA~1\COMMON~1\mcafee\mna\mcuj.dll
  O4 - HKLM\..\RunOnce: [mcsysmon.exe] c:\PROGRA~1\mcafee\virusscan\mcsysmon.exe -regserver
  O4 - HKLM\..\RunOnce: [!mcvsps.dll] regsvr32.exe /s c:\PROGRA~1\mcafee\virusscan\mcvsps.dll
  O4 - HKLM\..\RunOnce: [!naiannps.dll] regsvr32.exe /s c:\PROGRA~1\mcafee\virusscan\naiannps.dll
  O4 - HKLM\..\RunOnce: [!mcvsqt.dll] regsvr32.exe /s c:\PROGRA~1\mcafee\virusscan\mcvsqt.dll
  O4 - HKLM\..\RunOnce: [!mvscfg.dll] regsvr32.exe /s c:\PROGRA~1\mcafee\virusscan\mvscfg.dll
  O4 - HKLM\..\RunOnce: [!mvsver.dll] regsvr32.exe /s c:\PROGRA~1\mcafee\virusscan\mvsver.dll
  O4 - HKLM\..\RunOnce: [!mvsscan.dll] regsvr32.exe /s c:\PROGRA~1\mcafee\virusscan\mvsscan.dll
  O4 - HKLM\..\RunOnce: [!naiann.dll] regsvr32.exe /s c:\PROGRA~1\mcafee\virusscan\naiann.dll
  O4 - HKLM\..\RunOnce: [!mcodsps.dll] regsvr32.exe /s c:\PROGRA~1\mcafee\virusscan\mcodsps.dll
  O4 - HKLM\..\RunOnce: [!mcodsax.dll] regsvr32.exe /s c:\PROGRA~1\mcafee\virusscan\mcodsax.dll
  O4 - HKLM\..\RunOnce: [mcods.exe] c:\PROGRA~1\mcafee\virusscan\mcods.exe -regserver
  O4 - HKLM\..\RunOnce: [mcvsshld.exe] c:\PROGRA~1\mcafee\virusscan\mcvsshld.exe -regserver
  O4 - HKLM\..\RunOnce: [!mvsap.dll] regsvr32.exe /s c:\PROGRA~1\mcafee\virusscan\mvsap.dll
  O4 - HKLM\..\RunOnce: [!mvslog.dll] regsvr32.exe /s c:\PROGRA~1\mcafee\virusscan\mvslog.dll
  O4 - HKLM\..\RunOnce: [!hwapips.dll] regsvr32.exe /s c:\PROGRA~1\COMMON~1\mcafee\hackerwatch\hwapips.dll
  O4 - HKLM\..\RunOnce: [hwapi.exe] c:\PROGRA~1\COMMON~1\mcafee\hackerwatch\hwapi.exe -regserver
  O4 - HKLM\..\RunOnce: [!redirver.dll] regsvr32.exe /s c:\PROGRA~1\COMMON~1\mcafee\redirsvc\redirver.dll
  O4 - HKLM\..\RunOnce: [redirsvc.exe] c:\PROGRA~1\COMMON~1\mcafee\redirsvc\redirsvc.exe -regserver
  O4 - HKLM\..\RunOnce: [emproxy.exe] c:\PROGRA~1\COMMON~1\mcafee\emproxy\emproxy.exe -regserver
  O4 - HKLM\..\RunOnce: [!empxyver.dll] regsvr32.exe /s c:\PROGRA~1\COMMON~1\mcafee\emproxy\empxyver.dll
  O4 - HKLM\..\RunOnce: [!fwdrvver.dll] regsvr32.exe /s c:\PROGRA~1\COMMON~1\mcafee\fwdriver\fwdrvver.dll
  O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
  O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\Microsoft Office\OFFICE11\EXCEL.EXE/3000
  O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll
  O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll
  O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\Microsoft Office\OFFICE11\REFIEBAR.DLL
  O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
  O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
  O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab
  O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
  O16 - DPF: {6E5E167B-1566-4316-B27F-0DDAB3484CF7} (Image Uploader Control) - http://cache.hyves.nl/statics/Aurigma/ImageUploader4.cab
  O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab
  O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
  O16 - DPF: {D3A7982E-915D-4589-8ECE-249F70D0C941} (Launch Control) - http://aaotracker.com/LaunchGame.cab
  O17 - HKLM\System\CCS\Services\Tcpip\..\{4E3F7167-5C99-44B0-AA30-95BFD5AB3EBA}: NameServer = 194.109.104.104,194.109.6.66
  O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSN Messenger\msgrapp.8.1.0178.00.dll
  O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSN Messenger\msgrapp.8.1.0178.00.dll
  O20 - Winlogon Notify: WgaLogon - C:\windows\SYSTEM32\WgaLogon.dll
  O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
  O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\windows\system32\Ati2evxx.exe
  O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
  O23 - Service: McAfee E-mail Proxy (Emproxy) - McAfee, Inc. - C:\PROGRA~1\COMMON~1\McAfee\EmProxy\emproxy.exe
  O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe
  O23 - Service: iPod-service (iPod Service) - Unknown owner - C:\Program Files\iPod\bin\iPodService.exe (file missing)
  O23 - Service: McAfee HackerWatch Service - McAfee, Inc. - C:\Program Files\Common Files\McAfee\HackerWatch\HWAPI.exe
  O23 - Service: McAfee Update Manager (mcmispupdmgr) - McAfee, Inc. - C:\PROGRA~1\McAfee\MSC\mcupdmgr.exe
  O23 - Service: McAfee Services (mcmscsvc) - McAfee, Inc. - C:\PROGRA~1\McAfee\MSC\mcmscsvc.exe
  O23 - Service: McAfee Network Agent (McNASvc) - McAfee, Inc. - c:\program files\common files\mcafee\mna\mcnasvc.exe
  O23 - Service: McAfee Scanner (McODS) - McAfee, Inc. - C:\PROGRA~1\McAfee\VirusScan\mcods.exe
  O23 - Service: McAfee Protection Manager (mcpromgr) - McAfee, Inc. - C:\PROGRA~1\McAfee\MSC\mcpromgr.exe
  O23 - Service: McAfee Redirector Service (McRedirector) - McAfee, Inc. - c:\PROGRA~1\COMMON~1\mcafee\redirsvc\redirsvc.exe
  O23 - Service: McAfee Real-time Scanner (McShield) - McAfee, Inc. - C:\PROGRA~1\McAfee\VirusScan\mcshield.exe
  O23 - Service: McAfee SystemGuards (McSysmon) - McAfee, Inc. - C:\PROGRA~1\McAfee\VirusScan\mcsysmon.exe
  O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe
  O23 - Service: PnkBstrB - Unknown owner - C:\WINDOWS\system32\PnkBstrB.exe
  
  
  
  
  
  hier is een hijackthis log van mij, kan iemand aan de hand van die gegevens mij helpen?
  30 juni 2007 17:26
• erwin_w
  Dit heb ik gevonden op www.proceswiki.be:
  
  spools.exe
  Virus: ja
  Spyware: nee
  
  Bewerken
  Procesinformatie
  
  Virus!: gekend als W32/Kassbot-C.
  
  Dit is een trojan, die mensen onrechtmatige toegang kan geven tot je computer, wachtwoorden kan stelen en data kan beschadigen.
  
  Dit is een ernstige infectie en zou zo snel mogelijk verwijderd moeten worden.
  Hier vind je meer informatie over dit virus.
  
  Opmerking: verwar dit niet met het legitieme proces spoolsv.exe ;).
  
  Misschien heb je er iets aan.
  
  Edit: zag net dat het ging op spoolsv.exe i.p.v. spool.exe, mijn foutje (lijkt ook allemaal zo op elkaar)
  30 juni 2007 17:31
• louwrens
  en hoe weet je nou of het de goeie is?:p
  30 juni 2007 17:34

juli 2007

• sirmike
  Mensen, hopelijk kunnen jullie nu van hulp zijn.
  ik heb een screenshot gemaakt, van wat MCAFEE bij mij registreerd als een virus en een trojan
  
  hij schijnt ardamax zelf verwijderd te hebben, dat vind ik mooi, bespaard me weer werk.
  maar nu deze 2 dingen nog
  
  onderstaand is een link of een plaatje te zien die verwijst naar de virus en trojan die ik heb.
  hopelijk kunnen jullie helpen uit te vinden hoe ik dit verwijderd, zodat mn pc virus vrij word!
  aha.
  
  http://img291.imageshack.us/my.php?image=infectedpr7.jpg
  01 juli 2007 13:31
• blacksorcerer
  In de screenie zie je System32/Sys/
  die map Sys hoort daar helemaal niet, dus ff in veilige modus die map helemaal verwijderen, dan nogmaals scannen en eventueel overgebleven troep op andere plaatsen ook verwijderen.
  01 juli 2007 18:33
• larsijj
  spoolsv.exe en die dll kan je gewoon verwijderen dit hoort geen problemen te geven.
  als je ze verwijdert en je computer geeft missing file errors aan dan kan je als het klopt nog gewoon alles doen dan google je ff naar een download er van als het klopt staat de offici?le download hiervan op microsoft.
  
  [s]MVG,
  
  Larsijj.[/s] [color=gray]Admin: Dat is meer iets voor emails, dus liever niet in iedere post zetten, is niet nodig :-)[/color]
  
  PS: heb jij niet heel vaak problemen met je pc mss een idee ghost/back up hem ff.
  hou jij veel van deze problemen dan ga ik toch aardig denken dat jij word gehackt of zelf aan illigale hack praktijken doet.
  01 juli 2007 23:35
• blacksorcerer
  Het lijkt me toch minder verstandig spoolsv weg te gooien, aangezien in de screenshot duidelijk niet de originele spoolsv wordt aangeduidt die zich in system32 ipv system32/sys bevindt.
  Is gewoon een virus (of hardnekkige spyware) die hij ff in veilige modus moet verwijderen (maar niet het origineel dus) en dan nogmaals scannen op problemen
  01 juli 2007 23:58
• louwrens
  als je spoolsv verwijdert kun je niet printen XD
  of verbindeng maken met een printer :P
  mss als excuus tegen de leraar als je telaat een werkstuk inlevert:p
  02 juli 2007 00:00
• larsijj
  Op verschijdene forums staat namelijk dat het gewoon verwijderbaar is.
  
  Bij sommige mensen die windows xp professional SP2 hebben schijnt het namelijk ook in de sys map te staan maar dat is bij sommige mensen ik heb hiermee verder geen problemen.
  
  Maar ja hij kan natuurlijk altijd even een goede spyware scanner er over heen gooien.
  
  (PS: heb jij niet heel vaak problemen met je pc mss een idee ghost/back up hem ff.
  hou jij veel van deze problemen dan ga ik toch aardig denken dat jij word gehackt of zelf aan illigale hack praktijken doet.)
  
  Ik hoop niet dat hij aan de tekst hierboven doet wat tussen haakjes staat.
  
  want dan is het zijn eigenschuld en heeft vaak een virus/spyware scan geen zin meer dus zal hij moeten backuppen/ghosten.
  
  
  
  02 juli 2007 00:02