Logjes

• 

  Paul

  02-01-2010 18:22

  Hallo,

  Van de week wat problemen gehad met een trojan. De one care scanner heeft geen noemenswaardige problemen gedetecteerd. Vanmorgen door AVG en Malware bytes een aantal problemen verwijdert. Hierbij toch nog even de logjes:

  Malwarebytes' Anti-Malware 1.42

  Database versie: 3454

  Windows 5.1.2600 Service Pack 3

  Internet Explorer 7.0.5730.13

  30-12-2009 7:44:22

  mbam-log-2009-12-30 (07-44-22).txt

  Scan type: Snelle Scan

  Objecten gescand: 173527

  Verstreken tijd: 12 minute(s), 50 second(s)

  Geheugenprocessen geïnfecteerd: 0

  Geheugenmodulen geïnfecteerd: 0

  Registersleutels geïnfecteerd: 0

  Registerwaarden geïnfecteerd: 1

  Registerdata bestanden geïnfecteerd: 0

  Mappen geïnfecteerd: 0

  Bestanden geïnfecteerd: 2

  Geheugenprocessen geïnfecteerd:

  (Geen kwaadaardige items gevonden)

  Geheugenmodulen geïnfecteerd:

  (Geen kwaadaardige items gevonden)

  Registersleutels geïnfecteerd:

  (Geen kwaadaardige items gevonden)

  Registerwaarden geïnfecteerd:

  HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\settdebugx.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.

  Registerdata bestanden geïnfecteerd:

  (Geen kwaadaardige items gevonden)

  Mappen geïnfecteerd:

  (Geen kwaadaardige items gevonden)

  Bestanden geïnfecteerd:

  C:\Documents and Settings\Paul\Local Settings\Temp\settdebugx.exe (Rogue.Installer) -> Delete on reboot.

  C:\Documents and Settings\Paul\Local Settings\Temp\wscsvc32.exe (Trojan.FakeAlert) -> Delete on reboot.

  Logfile of Trend Micro HijackThis v2.0.2

  Scan saved at 2:12:45, on 31-12-2009

  Platform: Windows XP SP3 (WinNT 5.01.2600)

  MSIE: Internet Explorer v7.00 (7.00.6000.16945)

  Boot mode: Normal

  Running processes:

  C:\WINDOWS\System32\smss.exe

  C:\WINDOWS\system32\winlogon.exe

  C:\WINDOWS\system32\services.exe

  C:\WINDOWS\system32\lsass.exe

  C:\WINDOWS\system32\Ati2evxx.exe

  C:\WINDOWS\system32\svchost.exe

  C:\WINDOWS\System32\svchost.exe

  C:\WINDOWS\system32\Ati2evxx.exe

  C:\Program Files\AVG\AVG9\avgchsvx.exe

  C:\Program Files\AVG\AVG9\avgrsx.exe

  C:\Program Files\AVG\AVG9\avgcsrvx.exe

  C:\WINDOWS\system32\spoolsv.exe

  C:\Program Files\AVG\AVG9\avgwdsvc.exe

  C:\WINDOWS\system32\FsUsbExService.Exe

  C:\WINDOWS\Explorer.EXE

  C:\Program Files\Java\jre6\bin\jqs.exe

  C:\WINDOWS\system32\svchost.exe

  C:\Program Files\AVG\AVG9\avgemc.exe

  C:\Program Files\AVG\AVG9\avgnsx.exe

  C:\Program Files\AVG\AVG9\avgcsrvx.exe

  C:\WINDOWS\SOUNDMAN.EXE

  C:\WINDOWS\CameraFixer.exe

  C:\WINDOWS\vsnpstd.exe

  C:\WINDOWS\system32\VTTimer.exe

  C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\MOM.exe

  C:\Program Files\Java\jre6\bin\jusched.exe

  C:\PROGRA~1\AVG\AVG9\avgtray.exe

  C:\WINDOWS\system32\ctfmon.exe

  C:\Program Files\Microsoft ActiveSync\wcescomm.exe

  C:\Program Files\Samsung\Samsung New PC Studio\NPSAgent.exe

  C:\PROGRA~1\MI3AA1~1\rapimgr.exe

  C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\ccc.exe

  C:\WINDOWS\system32\rundll32.exe

  C:\Program Files\Internet Explorer\iexplore.exe

  C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

  R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank

  R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL =

  R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL =

  R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page =

  R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page =

  R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen

  O2 - BHO: Adobe PDF Reader Help bij koppelingen - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

  O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - C:\Program Files\AVG\AVG9\avgssie.dll

  O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

  O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll

  O2 - BHO: Java™ Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll

  O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll

  O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll

  O4 - HKLM\..\Run: SOUNDMAN.EXE

  O4 - HKLM\..\Run: “C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe”

  O4 - HKLM\..\Run: C:\WINDOWS\CameraFixer.exe

  O4 - HKLM\..\Run: C:\WINDOWS\vsnpstd.exe

  O4 - HKLM\..\Run: VTTimer.exe

  O4 - HKLM\..\Run: “C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe” MSRun

  O4 - HKLM\..\Run: “C:\Program Files\QuickTime\qttask.exe” -atboottime

  O4 - HKLM\..\Run: “C:\Program Files\Java\jre6\bin\jusched.exe”

  O4 - HKLM\..\Run: C:\PROGRA~1\AVG\AVG9\avgtray.exe

  O4 - HKCU\..\Run: C:\WINDOWS\system32\ctfmon.exe

  O4 - HKCU\..\Run: “C:\Program Files\Microsoft ActiveSync\wcescomm.exe”

  O4 - HKCU\..\Run: C:\Program Files\Samsung\Samsung New PC Studio\NPSAgent.exe

  O4 - HKCU\..\RunOnce: C:\WINDOWS\system32\Adobe\Shockwave 11\SwHelper_1150600.exe -Update -1150600 -“Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; .NET CLR 1.1.4322; .NET CLR 2.0.50727; .NET CLR 3.0.04506.30; .NET CLR 3.0.04506.648; .NET CLR 3.0.4506.2152; .NET CLR 3.5.30729)” -“http://www.gamevial.com/linkers/index.php?game=flylikeabird2”

  O4 - HKUS\S-1-5-19\..\Run: C:\WINDOWS\System32\CTFMON.EXE (User ‘Lokale service’)

  O4 - HKUS\S-1-5-20\..\Run: C:\WINDOWS\System32\CTFMON.EXE (User ‘Netwerkservice’)

  O4 - HKUS\S-1-5-18\..\Run: C:\WINDOWS\System32\CTFMON.EXE (User ‘SYSTEM’)

  O4 - HKUS\.DEFAULT\..\Run: C:\WINDOWS\System32\CTFMON.EXE (User ‘Default user’)

  O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE

  O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MI3AA1~1\INetRepl.dll

  O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MI3AA1~1\INetRepl.dll

  O9 - Extra ‘Tools’ menuitem: Mobiele favorieten maken - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MI3AA1~1\INetRepl.dll

  O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

  O9 - Extra ‘Tools’ menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

  O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

  O9 - Extra ‘Tools’ menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

  O9 - Extra button: PartyPoker.net - {F4430FE8-2638-42e5-B849-800749B94EED} - C:\WINDOWS\system32\shdocvw.dll

  O9 - Extra ‘Tools’ menuitem: PartyPoker.net - {F4430FE8-2638-42e5-B849-800749B94EED} - C:\WINDOWS\system32\shdocvw.dll

  O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

  O9 - Extra ‘Tools’ menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

  O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) -

  O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) -

  O16 - DPF: {2D8ED06D-3C30-438B-96AE-4D110FDC1FB8} (ActiveScan 2.0 Installer Class) -

  O16 - DPF: {5ED80217-570B-4DA9-BF44-BE107C0EC166} (Windows Live Safety Center Base Module) -

  O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) -

  O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) -

  O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) -

  O16 - DPF: {9191F686-7F0A-441D-8A98-2FE3AC1BD913} (ActiveScan 2.0 Installer Class) -

  O16 - DPF: {B9F79165-A264-4C4A-A211-133A5E8D647F} (F-Secure Health Check 1.1) -

  O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) -

  O16 - DPF: {DEB21AD3-FDA4-42F6-B57D-EE696A675EE8} (IP-Uploader Control) -

  O16 - DPF: {E87F6C8E-16C0-11D3-BEF7-009027438003} (Persits Software XUpload) -

  O18 - Protocol: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - C:\Program Files\AVG\AVG9\avgpp.dll

  O20 - Winlogon Notify: avgrsstarter - C:\WINDOWS\SYSTEM32\avgrsstx.dll

  O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

  O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

  O23 - Service: AVG Free E-mail Scanner (avg9emc) - AVG Technologies CZ, s.r.o. - C:\Program Files\AVG\AVG9\avgemc.exe

  O23 - Service: AVG Free WatchDog (avg9wd) - AVG Technologies CZ, s.r.o. - C:\Program Files\AVG\AVG9\avgwdsvc.exe

  O23 - Service: FsUsbExService - Teruten - C:\WINDOWS\system32\FsUsbExService.Exe

  O23 - Service: Google Update Service (gupdate1c9a4e0ac69bac) (gupdate1c9a4e0ac69bac) - Google Inc. - C:\Program Files\Google\Update\GoogleUpdate.exe

  O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe

  O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe

  O23 - Service: ServiceLayer - Nokia. - C:\Program Files\PC Connectivity Solution\ServiceLayer.exe

  –

  End of file - 9196 bytes

  Gr. Paul

  Rapporteren
• 

  Argus

  02-01-2010 18:56

  Update Malwarebytes' Anti-Malware

  Ga naar tabblad “Scanner” en kies voor "Volledige Scan".

  logje posten

  Rapporteren
• 

  Paul

  02-01-2010 21:21

  Hierbij het logje.

  Malwarebytes' Anti-Malware 1.43

  Database versie: 3480

  Windows 5.1.2600 Service Pack 3

  Internet Explorer 7.0.5730.13

  2-1-2010 21:20:24

  mbam-log-2010-01-02 (21-20-24).txt

  Scan type: Volledige Scan (C:\|)

  Objecten gescand: 253702

  Verstreken tijd: 2 hour(s), 15 minute(s), 51 second(s)

  Geheugenprocessen geïnfecteerd: 0

  Geheugenmodulen geïnfecteerd: 0

  Registersleutels geïnfecteerd: 0

  Registerwaarden geïnfecteerd: 0

  Registerdata bestanden geïnfecteerd: 0

  Mappen geïnfecteerd: 0

  Bestanden geïnfecteerd: 0

  Geheugenprocessen geïnfecteerd:

  (Geen kwaadaardige items gevonden)

  Geheugenmodulen geïnfecteerd:

  (Geen kwaadaardige items gevonden)

  Rapporteren
• 

  Argus

  02-01-2010 22:57

  Hijack This

  Sluit alle vensters en start Hijack This

  Klik : Do a Systemscan only

  Zet een vinkje in het hokje voor:

  O4 - HKCU\..\RunOnce: C:\WINDOWS\system32\Adobe\Shockwave 11\SwHelper_1150600.exe -Update -1150600 -“Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; .NET CLR 1.1.4322; .NET CLR 2.0.50727; .NET CLR 3.0.04506.30; .NET CLR 3.0.04506.648; .NET CLR 3.0.4506.2152; .NET CLR 3.5.30729)” -“http://www.gamevial.com/linkers/index.php?game=flylikeabird2”

  Klik op ‘Fix checked’ om de items te verwijderen.

  Download Combofix naar je Bureaublad.

  Verander ComboFix.exe naar Combo-Fix.exe

  

  OPMERKING: indien je, tijdens of na het downloaden van Combofix of tijdens het gebruik van Combofix een melding krijgt van je Antivirus- of een andere realtime scanner, schakel dan deze scanner uit en download Combofix opnieuw.

  Sommige scanners zien bepaalde componenten die Combofix gebruikt als verdacht en gaan deze blokkeren of verwijderen!

  Dubbelklik op Combofix.exe om het te starten.

  Indien je Combofix al eerder hebt gebruikt, kan je een waarschuwing krijgen dat een update beschikbaar is. Sta toe dat ComboFix wordt geupdate.

  Klik op OK in het “NirCmd” venstertje.

  Klik na afloop terug op Ja om het scannen op malware te starten.

  Tijdens het runnen van de fix, NIET in het venster klikken, want dit zal je pc doen vasthangen.

  Wanneer de fix voltooid is en na herstart, zal de log Combofix.txt openen.

  Post het logje van ComboFix

  * Bezoek volgende pagina met de instructies voor het downloaden en gebruiken van Combofix.

  http://www.bleepingcomputer.com/combofix/nl/hoe-dient-combofix-gebruikt-te-worden

  Rapporteren
• 

  Paul

  03-01-2010 09:00

  Hallo,

  Fix uitgevoerd, na deel 48 van combofix kwam er een blauwscherm van Windows XP met de melding van een ernstigefout en werd er een geheugendump gemaakt en de PC opnieuw opgestart. Na opstarten kwam er een klein scherpje met de mededeling dat XP hersteld was van een ernstige fout en of Microsoft daar van in kennis gesteld van mocht worden. Combofix.txt is derhalve niet geopend.

  Gr. Paul

  Rapporteren
• 

  Argus

  03-01-2010 10:27

  Download DDS.com, DDS.scr of DDS.pif van één van deze locaties en plaats het op je bureaublad:

  DDS - Techsupport download.

  DDS - Bleeping download.

  DDS - Forospyware Download.

  DDS is een diagnosetool en maakt gebruik van scripts. Is het uitvoeren van scripts uitgeschakeld, dan schakel je dit weer in zodat er geen problemen optreden bij gebruik van DDS.

  Dubbelklik op DDS om de tool te starten. (afhankelijk van de download die je gekozen hebt kan dit het bestand DDS.com, DDS.scr of DDS.pif zijn)

  Wanneer het klaar is openen er twee logfiles: DDS.txt en Attach.txt

  Beide logfiles sla je op je bureaublad.

  Post de inhoud van DDS.txt.

  De inhoud Attach.txt moet je niet posten en Attach.txt moet je niet als bijlage toevoegen aan je post, tenzij men er om vraagt.

  Rapporteren
• 

  Paul

  03-01-2010 10:35

  Argus,

  Ik heb DDS.scr gebruikt, hierbij de log file:

  DDS (Ver_09-12-01.01) - NTFSx86

  Run by Paul at 10:30:56,79 on zo 03-01-2010

  Internet Explorer: 7.0.5730.13

  Microsoft Windows XP Home Edition 5.1.2600.3.1252.31.1043.18.1022.531

  AV: AVG Anti-Virus Free *On-access scanning enabled* (Updated) {17DDD097-36FF-435F-9E1B-52D74245D6BF}

  ============== Running Processes ===============

  C:\WINDOWS\system32\Ati2evxx.exe

  C:\WINDOWS\system32\svchost -k DcomLaunch

  svchost.exe

  C:\WINDOWS\System32\svchost.exe -k netsvcs

  svchost.exe

  C:\WINDOWS\system32\Ati2evxx.exe

  C:\Program Files\AVG\AVG9\avgchsvx.exe

  C:\Program Files\AVG\AVG9\avgrsx.exe

  svchost.exe

  C:\Program Files\AVG\AVG9\avgcsrvx.exe

  C:\WINDOWS\system32\spoolsv.exe

  svchost.exe

  C:\Program Files\AVG\AVG9\avgwdsvc.exe

  C:\WINDOWS\system32\FsUsbExService.Exe

  C:\Program Files\AVG\AVG9\avgnsx.exe

  C:\Program Files\Java\jre6\bin\jqs.exe

  C:\WINDOWS\system32\svchost.exe -k imgsvc

  C:\Program Files\AVG\AVG9\avgemc.exe

  C:\Program Files\AVG\AVG9\avgcsrvx.exe

  C:\WINDOWS\Explorer.EXE

  C:\WINDOWS\SOUNDMAN.EXE

  C:\WINDOWS\CameraFixer.exe

  C:\WINDOWS\vsnpstd.exe

  C:\WINDOWS\system32\VTTimer.exe

  C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\MOM.exe

  C:\Program Files\Java\jre6\bin\jusched.exe

  C:\PROGRA~1\AVG\AVG9\avgtray.exe

  C:\WINDOWS\system32\ctfmon.exe

  C:\Program Files\Microsoft ActiveSync\wcescomm.exe

  C:\Program Files\Samsung\Samsung New PC Studio\NPSAgent.exe

  C:\PROGRA~1\MI3AA1~1\rapimgr.exe

  C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\ccc.exe

  C:\Program Files\Internet Explorer\iexplore.exe

  C:\Documents and Settings\Paul\Bureaublad\dds.scr

  ============== Pseudo HJT Report ===============

  uStart Page = about:blank

  BHO: Adobe PDF Reader Help bij koppelingen: {06849e9f-c8d7-4d59-b87d-784b7d6be0b3} - c:\program files\common files\adobe\acrobat\activex\AcroIEHelper.dll

  BHO: AVG Safe Search: {3ca2f312-6f6e-4b53-a66e-4e65e497c8c0} - c:\program files\avg\avg9\avgssie.dll

  BHO: Spybot-S&D IE Protection: {53707962-6f74-2d53-2644-206d7942484f} - c:\progra~1\spybot~1\SDHelper.dll

  BHO: Google Toolbar Helper: {aa58ed58-01dd-4d91-8333-cf10577473f7} - c:\program files\google\googletoolbar1.dll

  BHO: Java™ Plug-In 2 SSV Helper: {dbc80044-a445-435b-bc74-9c25c1c588a9} - c:\program files\java\jre6\bin\jp2ssv.dll

  BHO: JQSIEStartDetectorImpl Class: {e7e6f031-17ce-4c07-bc86-eabfe594f69c} - c:\program files\java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll

  TB: &Google: {2318c2b1-4965-11d4-9b18-009027a5cd4f} - c:\program files\google\googletoolbar1.dll

  EB: {32683183-48a0-441b-a342-7c2a440a9478} - No File

  uRun: c:\windows\system32\ctfmon.exe

  uRun: “c:\program files\microsoft activesync\wcescomm.exe”

  uRun: c:\program files\samsung\samsung new pc studio\NPSAgent.exe

  mRun: SOUNDMAN.EXE

  mRun: “c:\program files\adobe\reader 8.0\reader\Reader_sl.exe”

  mRun: c:\windows\CameraFixer.exe

  mRun: c:\windows\vsnpstd.exe

  mRun: VTTimer.exe

  mRun: “c:\program files\ati technologies\ati.ace\core-static\CLIStart.exe” MSRun

  mRun: “c:\program files\quicktime\qttask.exe” -atboottime

  mRun: “c:\program files\java\jre6\bin\jusched.exe”

  mRun: c:\progra~1\avg\avg9\avgtray.exe

  dRun: c:\windows\system32\CTFMON.EXE

  StartupFolder: c:\docume~1\alluse~1.win\menust~1\progra~1\opstar~1\micros~1.lnk - c:\program files\microsoft office\office10\OSA.EXE

  uPolicies-explorer: NoThemesTab = 0 (0x0)

  uPolicies-system: NoDispAppearancePage = 0 (0x0)

  uPolicies-system: NoColorChoice = 0 (0x0)

  uPolicies-system: NoSizeChoice = 0 (0x0)

  uPolicies-system: NoVisualStyleChoice = 0 (0x0)

  uPolicies-system: NoDispSettingsPage = 0 (0x0)

  IE: {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe

  IE: {F4430FE8-2638-42e5-B849-800749B94EED}

  IE: {FB5F1910-F110-11d2-BB9E-00C04F795683} - c:\program files\messenger\msmsgs.exe

  IE: {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - {2EAF5BB0-070F-11D3-9307-00C04FAE2D4F} - c:\progra~1\mi3aa1~1\INetRepl.dll

  IE: {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - {2EAF5BB0-070F-11D3-9307-00C04FAE2D4F} - c:\progra~1\mi3aa1~1\INetRepl.dll

  IE: {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - {53707962-6F74-2D53-2644-206D7942484F} - c:\progra~1\spybot~1\SDHelper.dll

  DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} - hxxp://www.kaspersky.com/kos/eng/partner/default/kavwebscan_unicode.cab

  DPF: {166B1BCA-3F9C-11CF-8075-444553540000} - hxxp://download.macromedia.com/pub/shockwave/cabs/director/sw.cab

  DPF: {233C1507-6A77-46A4-9443-F871F945D258} - hxxp://download.macromedia.com/pub/shockwave/cabs/director/sw.cab

  DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} - hxxp://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab

  DPF: {2D8ED06D-3C30-438B-96AE-4D110FDC1FB8} - hxxp://acs.pandasoftware.com/activescan/cabs/as2stubie.cab

  DPF: {3E68E405-C6DE-49FF-83AE-41EE9F4C36CE} - hxxp://office.microsoft.com/officeupdate/content/opuc3.cab

  DPF: {5ED80217-570B-4DA9-BF44-BE107C0EC166} - hxxp://cdn.scan.onecare.live.com/resource/download/scanner/wlscbase8942.cab

  DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} - hxxp://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1158952887234

  DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} - hxxp://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab

  DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} - hxxp://www.update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1256651224203

  DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} - hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_17-windows-i586.cab

  DPF: {8FFBE65D-2C9C-4669-84BD-5829DC0B603C} - hxxp://fpdownload.macromedia.com/get/flashplayer/current/polarbear/ultrashim.cab

  DPF: {9191F686-7F0A-441D-8A98-2FE3AC1BD913} - hxxp://acs.pandasoftware.com/activescan/cabs/as2stubie.cab

  DPF: {B9F79165-A264-4C4A-A211-133A5E8D647F} - hxxp://download.sp.f-secure.com/hc/hetnet/PCHC_customization_HetNet/fscax.cab

  DPF: {CAFEEFAC-0016-0000-0017-ABCDEFFEDCBA} - hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_17-windows-i586.cab

  DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} - hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_17-windows-i586.cab

  DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} - hxxp://fpdownload2.macromedia.com/get/flashplayer/current/swflash.cab

  DPF: {DEB21AD3-FDA4-42F6-B57D-EE696A675EE8} - hxxps://asp.photoprintit.de/microsite/8/defaults/activex/ImageUploader3.cab

  DPF: {E87F6C8E-16C0-11D3-BEF7-009027438003} - hxxp://www.hema.nl/SITE/xupload/XUpload.ocx

  Handler: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - c:\program files\avg\avg9\avgpp.dll

  Notify: AtiExtEvent - Ati2evxx.dll

  Notify: avgrsstarter - avgrsstx.dll

  SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - c:\windows\system32\WPDShServiceObj.dll

  ============= SERVICES / DRIVERS ===============

  R0 pavboot;pavboot;c:\windows\system32\drivers\pavboot.sys

  R0 xfilt;VIA SATA IDE Hot-plug Driver;c:\windows\system32\drivers\xfilt.sys

  R1 AvgLdx86;AVG Free AVI Loader Driver x86;c:\windows\system32\drivers\avgldx86.sys

  R1 AvgMfx86;AVG Free On-access Scanner Minifilter Driver x86;c:\windows\system32\drivers\avgmfx86.sys

  R1 AvgTdiX;AVG Free8 Network Redirector;c:\windows\system32\drivers\avgtdix.sys

  R2 avg9emc;AVG Free E-mail Scanner;c:\program files\avg\avg9\avgemc.exe

  R2 avg9wd;AVG Free WatchDog;c:\program files\avg\avg9\avgwdsvc.exe

  R2 FsUsbExService;FsUsbExService;c:\windows\system32\FsUsbExService.Exe

  R3 FsUsbExDisk;FsUsbExDisk;c:\windows\system32\FsUsbExDisk.Sys

  S2 gupdate1c9a4e0ac69bac;Google Update Service (gupdate1c9a4e0ac69bac);c:\program files\google\update\GoogleUpdate.exe

  =============== Created Last 30 ================

  2010-01-03 07:30:07 0 d-sha-r- C:\cmdcons

  2010-01-03 07:28:26 98816 —-a-w- c:\windows\sed.exe

  2010-01-03 07:28:26 77312 —-a-w- c:\windows\MBR.exe

  2010-01-03 07:28:26 261632 —-a-w- c:\windows\PEV.exe

  2010-01-03 07:28:26 161792 —-a-w- c:\windows\SWREG.exe

  2010-01-03 07:28:19 0 d-s—w- C:\Combo-Fix

  2009-12-30 10:16:17 28552 —-a-w- c:\windows\system32\drivers\pavboot.sys

  2009-12-24 11:56:49 0 d—–w- c:\program files\Abe's Oddysee

  2009-12-24 11:56:17 314368 —-a-w- c:\windows\IsUninst.exe

  ==================== Find3M ====================

  2009-12-30 13:55:24 38224 —-a-w- c:\windows\system32\drivers\mbamswissarmy.sys

  2009-12-30 13:54:58 19160 —-a-w- c:\windows\system32\drivers\mbam.sys

  2009-12-09 11:18:51 90586 —-a-w- c:\windows\system32\perfc013.dat

  2009-12-09 11:18:51 508910 —-a-w- c:\windows\system32\perfh013.dat

  2009-11-30 20:18:06 360584 —-a-w- c:\windows\system32\drivers\avgtdix.sys

  2009-11-30 20:18:06 333192 —-a-w- c:\windows\system32\drivers\avgldx86.sys

  2009-11-30 20:17:41 12464 —-a-w- c:\windows\system32\avgrsstx.dll

  2009-11-26 17:57:25 58064 —-a-w- c:\docume~1\paul\applic~1\GDIPFONTCACHEV1.DAT

  2009-10-29 07:46:58 832512 —-a-w- c:\windows\system32\wininet.dll

  2009-10-29 07:46:51 78336 —-a-w- c:\windows\system32\ieencode.dll

  2009-10-29 07:46:50 17408 ——w- c:\windows\system32\corpol.dll

  2009-10-21 05:40:47 75776 —-a-w- c:\windows\system32\strmfilt.dll

  2009-10-21 05:40:47 25088 —-a-w- c:\windows\system32\httpapi.dll

  2009-10-13 10:38:29 270848 —-a-w- c:\windows\system32\oakley.dll

  2009-10-12 13:40:22 79872 —-a-w- c:\windows\system32\raschap.dll

  2009-10-12 13:40:22 150016 —-a-w- c:\windows\system32\rastls.dll

  2009-10-11 03:17:27 411368 —-a-w- c:\windows\system32\deploytk.dll

  2009-01-05 05:14:11 109 –sha-w- c:\windows\system32\675925729.dat

  2008-07-29 10:04:23 32768 -csha-w- c:\windows\system32\config\systemprofile\local settings\geschiedenis\history.ie5\mshist012008072920080730\index.dat

  ============= FINISH: 10:31:51,25 ===============

  Rapporteren
• 

  Argus

  03-01-2010 10:51

  Ga naar Start - Uitvoeren en kopïeer het volgende er in:

  Combofix /Uninstall

  Klik daarna op OK.

  Dit zal combofix deïnstalleren

  Download OTC.exe (by OldTimer) naar je Buraublad

  Zorg dat er een internetverbinding is.

  Klik nu op de knop “CleanUp!”

  Als je firewall, of een ander beveiligingsprogramma, een waarschuwing geeft dat OTC.exe internettoegang wil, mag je dit toestaan, het programma heeft die connectie nodig.

  OTC zal als laatste vragen of je de computer herstarten wilt, dit mag je toestaan, hiermee verwijdert het zichzelf ook.

  Download Kaspersky® Virus Removal Tool naar je Bureaublad

  Platform:

  Windows 2000 Professional (Service Pack 4 or higher)

  Windows XP (Service Pack 2 or higher)

  Windows Vista (32-Bit)

  Dubbelklik op het installatie bestand om het programma te installeren

  Zorg ervoor dat de volgende items zijn aangevinkt

  Hidden startup objects

  System memory

  Disk boot sectors

  Deze Computer

  De schijf waar Windows is geïnstalleerd

  Alle verwisselbare schijven

  Klik: Start scan

  Bij een Infectie word door middel van een Pop-Up aangegeven wat te doen

  Klik “Disinfect (recommended)” als dit word aangegeven

  Kan de Infectie niet gedesinfecteerd worden kies in de volgende Pop-up

  voor “Delete (recommended)”

  Volg de aanwijzing van Kaspersky >> (recommended)

  Klik aan het eind van de scan “Report”

  Klik op het plus(+) teken voor Autoscan

  Rechtermuisklik >>kies “select all” dan

  Rechtermuisklik >>kies “Copy”

  Ga via Start\Programma’s\Bureau accesoires naar Kladblok(Editor)

  Rechtermuisklik >>kies “Plakken”

  Geef het tekstbestandje een naam b.v kav.txt en sla het op je Bureaublad op

  Sluit AVP en er komt de volgende vraag,klik Yes

  Kopïeer nu de inhoud van het Log in het Forum

  Verwijder de Installer van AVP van je Bureaublad

  Schakel je eigen Virusscanner uit

  Rapporteren
• 

  paul

  03-01-2010 15:11

  Hoe lang duurt die scan van Kaspersky? Hij is 3,5 uur aan het scannen en zit op 27%. Gaat dat goed?

  Rapporteren
• 

  Argus

  03-01-2010 16:51

  De Infectie die je had/hebt is uitgerust met een rootkit

  Als er tot nu toe niets gevonden is kun je wel stoppen

  Download gmer.

  Platform: Windows NT/W2K/XP/VISTA

  Plaats het op je bureaublad.

  Unzip het, open de map gmer en dubbelklik op gmer.exe.

  Krijg je een melding dat er rootkits actief zijn en er wordt gevraagd om een scan uit te voeren, dan sta je dit niet toe.

  Aan de rechterkant heb je een aantal opties die je kan uit- of aanvinken. Standaard staat alles aangevinkt.

  Vink volgende items uit:

  - Sections

  - IAT/EAT

  Files moet aangevinkt zijn, maar zorg dat hier enkel de Systeempartitie aangevinkt is. ( De systeempartitie is die partitie waarop je windows geïnstalleerd is. )

  Haal het vinkje weg bij “show all” ( dit mag niet aangevinkt zijn! )

  Klik nu op de “Scan” knop om de rootkitscan met Gmer te starten.

  Als de scan klaar is klik je op de knop “Save” en sla je het logje op op je bureaublad.

  ( Klik je op knop “Copy”, dan wordt de volledige rapportje van de log naar het klembord gekopieerd en kan je via CTRL+V in je volgende post plakken. )

  Om Gmer te sluiten, klik je op de knop “Cancel”.

  Rapporteren