Startdrv.exe [Virus]

Ga naar het laatste bericht

oktober 2007

• michelvandijk
  Hallo TW'ers!
  
  Fijn, fijn, fijn .. Het is weer WEEKEND!(h)
  Begint weer lekker:
  Mn pc is geinfecteerd met een virus [trojan] genaamd: 'startdrv.exe'. Deze staat in 'C:\WINDOWS\Temp\Startdrv.exe' Heb al verschillende scanners eroverheen laten gaan, maar geen van deze wil het virus verwijderen, hij blijft erop staan en start met windows op. Heb al gezocht op Google e.d, maar tot nu toe g??n resultaat. Verschrikkelijk irritant virus.
  Ps: heb het ook al geprobeerd in safe mode ..;) (ook dat heeft g??n resulaat opgeleverd.)
  
  Iemand een idee ..?
  BvD,
  Michel
  14 oktober 2007 12:55
• luccey
  al online scan gedaan?
  14 oktober 2007 12:56
• michelvandijk
  Jep, maar dat heeft toch geen nut ..? hij detecteert het virus wel .. maar verwijderd deze niet ..;)
  14 oktober 2007 12:57
• simon8400
  Soms wel, kijk hier eens.
  14 oktober 2007 12:59
• keitaro
  Probeer is de online virusscanner van kaspersky.
  
  Kaspersky online virusscan
  Ik heb tot nu toe nog niks voor een remover kunnen vinden. Het schijnt wel dat die een rating van 30% gevaarlijk heeft. Het schijnt een trojan.malware te zijn die nogal erg irri kan zijn en waarschijnlijk ook het OS update systeem tegen houd.
  
  Probeer die scan, en anders waarschijnlijk een herinstallatie vrees ik.
  14 oktober 2007 13:00
• raymus
  Misschien kan je met avast het proberen. Deze kan je laten scannen tijdens het opstarten van de pc. Zo kan het virus zich nog niet activeren, en verzetten;)
  14 oktober 2007 13:00
• michelvandijk
  [quote=89552]
  
  Klopt, internet doet het na een min of 5 niet meer op mn pc;) Hier op mn laptop werk internet prima
  
  Herinstallatie: als t moet dan moet t ;) maar liever niet natuurlijk ..:p zal de nu eerst volgende keer bij een clean install even een image maken van C:\ als ie nog mooi schoon is, hoef k m dan de keer d??rna niet helemaal opnieuw te installen ..;)
  
  Edit: Online scan heeft verder weinig nut als internet er na ?5min er uit ligt ..;) zal nu Avast Pro installen en doen wat Raymus zei hierboven
  14 oktober 2007 13:15
• Account verwijderd
  Een virusscan kan niets beginnen tegen een trojan ;) Hier ga je niet veel mee bereiken. Google op de naam van het proces, dan staat er genoeg uitleg om het te verwijderen. Meer hulp nodig? Post een HijackThis log ;)
  14 oktober 2007 13:27
• louwrens
  first hit @ Google: http://www.file.net/process/startdrv.exe.html
  14 oktober 2007 13:37
• simon8400
  Daar ven je wel niks mee he Louwrens ;)
  Het beste lijkt me een HiJack this logje te plaatsen...
  14 oktober 2007 13:38
• michelvandijk
  oke al eens ff een maken ;)
  Ik bericht later,
  14 oktober 2007 13:40
• louwrens
  @Simon: uit die pagina
  
  Important: Some malware camouflage themselves as STARTDRV.exe, particularly if they are located in c:\windows or c:\windows\system32 folder. Thus check the STARTDRV.exe process on your pc whether it is pest. We recommend Security Task Manager for verifying your computer's security. It is one of the Top Download Picks of 2005 of The Washington Post and PC World.
  14 oktober 2007 13:42
• michelvandijk
  Hier ff een logje:
  
  Logfile of Trend Micro HijackThis v2.0.2
  Scan saved at 13:45:40, on 14-10-2007
  Platform: Windows XP SP2 (WinNT 5.01.2600)
  MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
  Boot mode: Normal
  
  Running processes:
  C:\WINDOWS\System32\smss.exe
  C:\WINDOWS\system32\winlogon.exe
  C:\WINDOWS\system32\services.exe
  C:\WINDOWS\system32\lsass.exe
  C:\WINDOWS\system32\svchost.exe
  C:\WINDOWS\System32\svchost.exe
  C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
  C:\Program Files\Alwil Software\Avast4\ashServ.exe
  C:\WINDOWS\system32\spoolsv.exe
  C:\Program Files\Lavasoft\Ad-Aware 2007\aawservice.exe
  C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
  C:\Program Files\Bonjour\mDNSResponder.exe
  C:\Program Files\NVIDIA Corporation\nTune\nTuneService.exe
  C:\WINDOWS\system32\nvsvc32.exe
  C:\WINDOWS\system32\PSIService.exe
  C:\Program Files\Sygate\SPF\smc.exe
  C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
  C:\WINDOWS\Explorer.EXE
  C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
  C:\WINDOWS\system32\wscntfy.exe
  C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
  C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
  C:\WINDOWS\system32\wuauclt.exe
  C:\Program Files\Trend Micro\HijackThis\HijackThis.exe
  C:\PROGRA~1\MOZILL~1\FIREFOX.EXE
  
  R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://windowsupdate.microsoft.com/
  R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
  R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
  O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
  O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_02\bin\ssv.dll
  O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
  O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
  O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
  O4 - HKCU\..\Run: [NVIDIA nTune] "C:\Program Files\NVIDIA Corporation\nTune\nTuneCmd.exe" clear
  O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Lokale service')
  O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Netwerkservice')
  O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
  O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
  O4 - Global Startup: Smc.lnk = C:\Program Files\Sygate\SPF\Smc.exe
  O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
  O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
  O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_02\bin\ssv.dll
  O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_02\bin\ssv.dll
  O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
  O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
  O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
  O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1190460549843
  O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft AB - C:\Program Files\Lavasoft\Ad-Aware 2007\aawservice.exe
  O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
  O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
  O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
  O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
  O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
  O23 - Service: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762## (Bonjour Service) - Apple Computer, Inc. - C:\Program Files\Bonjour\mDNSResponder.exe
  O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
  O23 - Service: NBService - Nero AG - C:\Program Files\Nero\Nero 7\Nero BackItUp\NBService.exe
  O23 - Service: nTune Service (nTuneService) - NVIDIA - C:\Program Files\NVIDIA Corporation\nTune\nTuneService.exe
  O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
  O23 - Service: ProtexisLicensing - Unknown owner - C:\WINDOWS\system32\PSIService.exe
  O23 - Service: RORGTWB - Unknown owner - C:\DOCUME~1\Eigenaar\LOCALS~1\Temp\RORGTWB.exe (file missing)
  O23 - Service: PC Tools Auxiliary Service (sdAuxService) - PC Tools - C:\Program Files\Spyware Doctor\svcntaux.exe
  O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - C:\Program Files\Spyware Doctor\swdsvc.exe
  O23 - Service: Sygate Personal Firewall Pro (SmcService) - Sygate Technologies, Inc. - C:\Program Files\Sygate\SPF\smc.exe
  
  --
  End of file - 5471 bytes
  
  14 oktober 2007 13:47
• leviathan
  Hij staat in de map temp, die is niet eens nodig. Waarom bootje niet vanaf de windows cd en gooi je via de repair console die volledige map leeg?
  14 oktober 2007 14:24
• Account verwijderd
  Ik zie de trojan er toch nergens tussen staan, deze zou normaal onder O4 moeten staan. (O4 - HKLM\..\Run: [startdrv] C:\WINDOWS\Temp\startdrv.exe)..
  
  Anyway open HijackThis opnieuw, laat weer scannen. Vink hierna de volgende dingen aan en laat deze fixen. Start je pc opnieuw op en maak daarna weer een nieuwe log en post deze hier.
  
  O23 - Service: RORGTWB - Unknown owner - C:\DOCUME~1\Eigenaar\LOCALS~1\Temp\RORGTWB.exe (file missing)
  
  @ Leviathan: Deze trojans kunnen zichzelf verspreiden, maar aangezien HijackThis niets vind kan het zijn dat het bestand al verwijderd is. Maar voor het zekere voor het onzekere te nemen het beste nog even een logje posten na een reboot.
  14 oktober 2007 14:32
• leviathan
  Ja natuurlijk doen ze dat, maar dan is iig diegene uit de TS al onder handen genomen.
  14 oktober 2007 14:37
• michelvandijk
  [quote]Leviathan
  14 Oct 2007 14:24
  
  Enterprise mod
  Hij staat in de map temp, die is niet eens nodig. Waarom bootje niet vanaf de windows cd en gooi je via de repair console die volledige map leeg? [/quote]
  [offtopic]Hoe doen we dat ..?;)[/offtopic]
  
  On:
  Hmm, voor zover het nu lijkt is het virus pleite .. zal nog eens ff dubbel checken ..
  
  Edit: Oh fijn, virus is er nog steeds ..:s
  
  Screenshot!
  
  Weer ff een Hijack logje:
  [size=13]startdrv.exe ff [color=red]rood[/color] gemarkeerd[/size]
  
  Logfile of Trend Micro HijackThis v2.0.2
  Scan saved at 14:15:32, on 15-10-2007
  Platform: Windows XP SP2 (WinNT 5.01.2600)
  MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
  Boot mode: Normal
  
  Running processes:
  C:\WINDOWS\System32\smss.exe
  C:\WINDOWS\system32\csrss.exe
  C:\WINDOWS\system32\winlogon.exe
  C:\WINDOWS\system32\services.exe
  C:\WINDOWS\system32\lsass.exe
  C:\WINDOWS\system32\svchost.exe
  C:\WINDOWS\system32\svchost.exe
  C:\WINDOWS\System32\svchost.exe
  C:\WINDOWS\system32\svchost.exe
  C:\WINDOWS\system32\svchost.exe
  C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
  C:\Program Files\Alwil Software\Avast4\ashServ.exe
  C:\WINDOWS\system32\spoolsv.exe
  C:\Program Files\Lavasoft\Ad-Aware 2007\aawservice.exe
  C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
  C:\Program Files\Bonjour\mDNSResponder.exe
  C:\Program Files\NVIDIA Corporation\nTune\nTuneService.exe
  C:\WINDOWS\system32\nvsvc32.exe
  C:\WINDOWS\system32\PSIService.exe
  C:\Program Files\Sygate\SPF\smc.exe
  C:\WINDOWS\system32\wbem\wmiprvse.exe
  C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
  C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
  C:\WINDOWS\System32\alg.exe
  C:\WINDOWS\Explorer.EXE
  C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
  C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
  C:\Program Files\Spyware Doctor\update.exe
  C:\Program Files\Spybot - Search & Destroy\SpybotSD.exe
  C:\Program Files\Mozilla Firefox\firefox.exe
  C:\Program Files\Trend Micro\HijackThis\HijackThis.exe
  C:\WINDOWS\system32\wbem\wmiprvse.exe
  
  R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://windowsupdate.microsoft.com/
  R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
  R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
  O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
  O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_02\bin\ssv.dll
  O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
  [color=red]O4 - HKLM\..\Run: [startdrv] C:\WINDOWS\Temp\startdrv.exe[/color]
  O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
  O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
  O4 - HKCU\..\Run: [NVIDIA nTune] "C:\Program Files\NVIDIA Corporation\nTune\nTuneCmd.exe" clear
  O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Lokale service')
  O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Netwerkservice')
  O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
  O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
  O4 - Global Startup: Smc.lnk = C:\Program Files\Sygate\SPF\Smc.exe
  O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
  O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
  O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_02\bin\ssv.dll
  O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_02\bin\ssv.dll
  O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
  O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
  O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
  O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.nl/scanforvirus-en/kavwebscan_unicode.cab
  O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1190460549843
  O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft AB - C:\Program Files\Lavasoft\Ad-Aware 2007\aawservice.exe
  O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
  O23 - Service: avast! Antivirus - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashServ.exe
  O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
  O23 - Service: avast! Web Scanner - ALWIL Software - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
  O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Program Files\Grisoft\AVG Anti-Spyware 7.5\guard.exe
  O23 - Service: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762## (Bonjour Service) - Apple Computer, Inc. - C:\Program Files\Bonjour\mDNSResponder.exe
  O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
  O23 - Service: NBService - Nero AG - C:\Program Files\Nero\Nero 7\Nero BackItUp\NBService.exe
  O23 - Service: nTune Service (nTuneService) - NVIDIA - C:\Program Files\NVIDIA Corporation\nTune\nTuneService.exe
  O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
  O23 - Service: ProtexisLicensing - Unknown owner - C:\WINDOWS\system32\PSIService.exe
  [color=red]O23 - Service: RORGTWB - Unknown owner - C:\DOCUME~1\Eigenaar\LOCALS~1\Temp\RORGTWB.exe (file missing)[/color]
  O23 - Service: PC Tools Auxiliary Service (sdAuxService) - PC Tools - C:\Program Files\Spyware Doctor\svcntaux.exe
  O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - C:\Program Files\Spyware Doctor\swdsvc.exe
  O23 - Service: Sygate Personal Firewall Pro (SmcService) - Sygate Technologies, Inc. - C:\Program Files\Sygate\SPF\smc.exe
  
  --
  End of file - 5951 bytes
  
  
  14 oktober 2007 19:54