[Win7] Virus/Malware: Popups/ongewenste site's

Ga naar het laatste bericht

mei 2010

• alphaxus
  Hallo,
  
  Ik had wat onveilige programma's geïnstalleerd, die ik al gauw weer veilig (ik verwijder altijd volledig met Revo Uninstaller Pro) verwijderd had, maar waar toch dingen van bleven hangen. Zo kunnen bijvoorbeeld Windows Update en Microsoft Security Essentials geen verbinding meer maken met het internet, en kunnen updates en virus-definities niet meer worden bijgewerkt. Ook werkt heel Internet Explorer niet meer (ik word steeds naar virus-websites gestuurd waar ik amper vanaf kan komen). Ik heb MBAM (en SuperAntiSpyware) beide een complete scan laten doen, en beide vonden wat trojan's en tracking-cookies, en verwijderde deze ook keurig, maar het vervelende resultaat bleef.
  09 mei 2010 12:42
• nickk
  HijackThis, logje maken en posten.
  09 mei 2010 12:45
• alphaxus
  Thanks voor de snelle reactie!
  
  Logfile of Trend Micro HijackThis v2.0.4
  Scan saved at 1:55:28, on 9-5-2010
  Platform: Windows 7 (WinNT 6.00.3504)
  MSIE: Internet Explorer v8.00 (8.00.7600.16385)
  Boot mode: Normal
  
  Running processes:
  C:\Windows\system32\Dwm.exe
  C:\Windows\Explorer.EXE
  C:\Windows\system32\taskhost.exe
  C:\Windows\System32\igfxtray.exe
  C:\Windows\System32\hkcmd.exe
  C:\Windows\System32\igfxpers.exe
  C:\Program Files\Microsoft Security Essentials\msseces.exe
  C:\Program Files\Common Files\Java\Java Update\jusched.exe
  C:\Windows\system32\igfxsrvc.exe
  C:\Windows\System32\rundll32.exe
  C:\Users\Cas\AppData\Local\Temp\Bvl.exe
  C:\Windows\system32\taskeng.exe
  C:\Windows\Bpekoa.exe
  C:\Program Files\Mozilla Firefox\firefox.exe
  C:\Windows\system32\SearchFilterHost.exe
  C:\Program Files\Trend Micro\HiJackThis\HiJackThis.exe
  
  R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
  R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.nl/
  R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
  R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
  R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
  R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
  R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
  R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
  R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
  O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
  O2 - BHO: Windows Live Aanmelden - Help - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
  O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
  O4 - HKLM\..\Run: [IgfxTray] C:\Windows\system32\igfxtray.exe
  O4 - HKLM\..\Run: [HotKeysCmds] C:\Windows\system32\hkcmd.exe
  O4 - HKLM\..\Run: [Persistence] C:\Windows\system32\igfxpers.exe
  O4 - HKLM\..\Run: [MSSE] "C:\Program Files\Microsoft Security Essentials\msseces.exe" -hide -runkey
  O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Common Files\Java\Java Update\jusched.exe"
  O4 - HKLM\..\Run: [AdobeAAMUpdater-1.0] "C:\Program Files\Common Files\Adobe\OOBE\PDApp\UWA\UpdaterStartupUtility.exe"
  O4 - HKLM\..\Run: [D-Link Network USB Utility] C:\Program Files\SharePort\SharePort.exe -mini
  O4 - HKCU\..\Run: [Canaveral] rundll32.exe C:\Windows\system32\sshnas21.dll,BackupReadW
  O4 - HKCU\..\Run: [M5T8QL3YW3] C:\Users\Cas\AppData\Local\Temp\Bvl.exe
  O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'LOCAL SERVICE')
  O4 - HKUS\S-1-5-19\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'LOCAL SERVICE')
  O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'NETWORK SERVICE')
  O4 - HKUS\S-1-5-20\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'NETWORK SERVICE')
  O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MIF5BA~1\Office12\EXCEL.EXE/3000
  O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MIF5BA~1\Office12\REFIEBAR.DLL
  O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} - http://fpdownload2.macromedia.com/ge...sh/swflash.cab
  
  --
  End of file - 3658 bytes
  09 mei 2010 13:09
• nickk
  Fix:
  
  [b]C:\Users\Cas\AppData\Local\Temp\Bvl.exe
  C:\Windows\Bpekoa.exe
  O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
  O4 - HKCU\..\Run: [Canaveral] rundll32.exe C:\Windows\system32\sshnas21.dll,BackupReadW
  O4 - HKCU\..\Run: [M5T8QL3YW3] C:\Users\Cas\AppData\Local\Temp\Bvl.exe[/b]
  
  Dit komt je bekend voor?
  D-Link Network USB Utility
  
  Opnieuw opstarten, nieuw logje maken en evt. bevindingen posten.
  
  Vul tevens even je Hardware-Profiel (straks) in, handig voor later :)
  09 mei 2010 13:22
• louwrens
  Draai Spybot Search & DestroyErg goed progje
  09 mei 2010 14:15
• alphaxus
  Nogmaals bedankt voor de reacties! Hier de nieuwe log:
  Logfile of Trend Micro HijackThis v2.0.4
  Scan saved at 19:42:49, on 9-5-2010
  Platform: Windows 7 (WinNT 6.00.3504)
  MSIE: Internet Explorer v8.00 (8.00.7600.16385)
  Boot mode: Normal
  
  Running processes:
  C:\Windows\system32\taskhost.exe
  C:\Windows\system32\Dwm.exe
  C:\Windows\Explorer.EXE
  C:\Windows\System32\igfxtray.exe
  C:\Windows\System32\hkcmd.exe
  C:\Windows\System32\igfxpers.exe
  C:\Program Files\Microsoft Security Essentials\msseces.exe
  C:\Program Files\Common Files\Java\Java Update\jusched.exe
  C:\Windows\system32\igfxsrvc.exe
  C:\Program Files\Adobe\Reader 9.0\Reader\reader_sl.exe
  C:\Windows\system32\taskeng.exe
  C:\Windows\Bpekoa.exe
  C:\Users\Cas\AppData\Local\Temp\Bvl.exe
  C:\Program Files\Windows Live\Messenger\msnmsgr.exe
  C:\Program Files\Windows Live\Contacts\wlcomm.exe
  C:\Program Files\Trend Micro\HiJackThis\HiJackThis.exe
  C:\Program Files\Winamp\winamp.exe
  
  R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
  R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.nl/
  R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
  R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
  R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
  R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
  R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
  R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
  R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
  O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
  O2 - BHO: Windows Live Aanmelden - Help - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
  O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
  O4 - HKLM\..\Run: [IgfxTray] C:\Windows\system32\igfxtray.exe
  O4 - HKLM\..\Run: [HotKeysCmds] C:\Windows\system32\hkcmd.exe
  O4 - HKLM\..\Run: [Persistence] C:\Windows\system32\igfxpers.exe
  O4 - HKLM\..\Run: [MSSE] "C:\Program Files\Microsoft Security Essentials\msseces.exe" -hide -runkey
  O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Common Files\Java\Java Update\jusched.exe"
  O4 - HKLM\..\Run: [AdobeAAMUpdater-1.0] "C:\Program Files\Common Files\Adobe\OOBE\PDApp\UWA\UpdaterStartupUtility.exe"
  O4 - HKLM\..\Run: [D-Link Network USB Utility] C:\Program Files\SharePort\SharePort.exe -mini
  O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
  O4 - HKLM\..\Run: [Adobe ARM] "C:\Program Files\Common Files\Adobe\ARM\1.0\AdobeARM.exe"
  O4 - HKCU\..\Run: [M5T8QL3YW3] C:\Users\Cas\AppData\Local\Temp\Bvl.exe
  O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'LOCAL SERVICE')
  O4 - HKUS\S-1-5-19\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'LOCAL SERVICE')
  O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'NETWORK SERVICE')
  O4 - HKUS\S-1-5-20\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'NETWORK SERVICE')
  O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MIF5BA~1\Office12\EXCEL.EXE/3000
  O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MIF5BA~1\Office12\REFIEBAR.DLL
  O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} - http://fpdownload2.macromedia.com/get/flashplayer/current/swflash.cab
  
  --
  End of file - 3909 bytes
  
  Windows kan nogsteeds geen verbinding maken met het internet. Ik ga nu Spybot Search & Destroy gebruiken, en wacht op een nieuwe reactie van Wesley.
  
  "D-Link Network USB Utility" is trouwens een bekend programma voor mij, ja, daar is volgens mij niks mis mee, werd met de router bijgeleverd voor netwerk verbindingen.
  
  "O4 - HKCU\..\Run: [M5T8QL3YW3] C:\Users\Cas\AppData\Local\Temp\Bvl.exe" heb ik trouwens toennet nog verwijderd, die was ik de eerste keer vergeten... :$
  09 mei 2010 19:44
• erwin_w
  Kijk eens even of je hosts bestand is gewijzigd/aangevuld met vreemde websites?
  Te vinden in C:\Windows\System32\driver\etc\...
  Gewoon openen met kladblok (met administrator-rechten).
  
  In principe horen hier geen vreemde vermeldingen te staan.
  (anders een tekst-kopie van het bestand als je niet zeker weet)
  
  Gemaakt wijzigingen worden niet weergegeven in bv. Hijackthis (ben ik laatst ook achter gekomen vandaar dit antwoord)
  09 mei 2010 19:56
• nickk
  [quote]"O4 - HKCU\..\Run: [M5T8QL3YW3] C:\Users\Cas\AppData\Local\Temp\Bvl.exe" heb ik trouwens toennet nog verwijderd, die was ik de eerste keer vergeten... #[/quote]
  Tis niet helemaal goed gegaan met het verwijderen van de entrys, daarom heb je het probleem ook nog.
  
  Start Windows in Veilige Modus (F8) op en run HijackThis met Admin-Rechten.
  Fix de volgende dingen (indien aanwezig):
  [b]C:\Windows\Bpekoa.exe
  C:\Users\Cas\AppData\Local\Temp\Bvl.exe
  O4 - HKCU\..\Run: [M5T8QL3YW3] C:\Users\Cas\AppData\Local\Temp\Bvl.exe[/b]
  
  Daarna computer opstarten in normale modus en logje maken (en bevindingen posten). Tevens is Spybot ook geen slecht idee ...
  09 mei 2010 20:01
• alphaxus
  Logfile of Trend Micro HijackThis v2.0.4
  Scan saved at 22:08:09, on 9-5-2010
  Platform: Windows 7 (WinNT 6.00.3504)
  MSIE: Internet Explorer v8.00 (8.00.7600.16385)
  Boot mode: Normal
  
  Running processes:
  C:\Windows\system32\taskhost.exe
  C:\Windows\system32\Dwm.exe
  C:\Windows\Explorer.EXE
  C:\Windows\System32\igfxtray.exe
  C:\Windows\System32\hkcmd.exe
  C:\Windows\System32\igfxpers.exe
  C:\Program Files\Microsoft Security Essentials\msseces.exe
  C:\Program Files\Common Files\Java\Java Update\jusched.exe
  C:\Windows\system32\igfxsrvc.exe
  C:\Program Files\Adobe\Reader 9.0\Reader\reader_sl.exe
  C:\Program Files\Mozilla Firefox\firefox.exe
  C:\Program Files\Trend Micro\HiJackThis\HiJackThis.exe
  
  R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
  R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.nl/
  R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
  R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
  R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
  R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
  R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
  R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
  R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
  O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
  O2 - BHO: Windows Live Aanmelden - Help - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
  O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
  O4 - HKLM\..\Run: [IgfxTray] C:\Windows\system32\igfxtray.exe
  O4 - HKLM\..\Run: [HotKeysCmds] C:\Windows\system32\hkcmd.exe
  O4 - HKLM\..\Run: [Persistence] C:\Windows\system32\igfxpers.exe
  O4 - HKLM\..\Run: [MSSE] "C:\Program Files\Microsoft Security Essentials\msseces.exe" -hide -runkey
  O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Common Files\Java\Java Update\jusched.exe"
  O4 - HKLM\..\Run: [AdobeAAMUpdater-1.0] "C:\Program Files\Common Files\Adobe\OOBE\PDApp\UWA\UpdaterStartupUtility.exe"
  O4 - HKLM\..\Run: [D-Link Network USB Utility] C:\Program Files\SharePort\SharePort.exe -mini
  O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
  O4 - HKLM\..\Run: [Adobe ARM] "C:\Program Files\Common Files\Adobe\ARM\1.0\AdobeARM.exe"
  O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'LOCAL SERVICE')
  O4 - HKUS\S-1-5-19\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'LOCAL SERVICE')
  O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'NETWORK SERVICE')
  O4 - HKUS\S-1-5-20\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'NETWORK SERVICE')
  O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MIF5BA~1\Office12\EXCEL.EXE/3000
  O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MIF5BA~1\Office12\REFIEBAR.DLL
  O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/ge...sh/swflash.cab
  
  --
  End of file - 3672 bytes
  
  SPYDOCTOR heeft wel dingen verwijderd, alleen de problemen zijn er nogsteeds...
  09 mei 2010 22:09
• wesel
  Ziet er schoon uitHet virus zou nu gewoon weg moeten zijn en je zou weer gewoon normaal moeten kunnen computeren
  09 mei 2010 22:16