kape

Combofix heeft zijn werk gedaan. Heeft dit enige (positieve) invloed gehad op je opstartprobleem ? En wat was dit opstartprobleem eigenlijk : traag opstarten of iets anders ?

Wat mij betreft is de actie met TDSS-killer perfect gelukt. De "boosdoener" is weggehaald van de PC (zie laatste lijntjes van het log). De benaming die je provider aan deze besmetting heeft gegeven, vind je inderdaad niet terug ... maar de oorzaken zijn wel weggenomen met de opeenvolgende behandelingen. Problemen van de baan, dan is het tijd voor de “grote schoonmaak” : verwijderen van gebruikte programma’s, een cleaning en het verwijderen van de besmette herstelpunten. Verwijder TDSS-killer. Verwijder Combofix: Start -> Uitvoeren/Zoekopdracht en typ: ComboFix /Uninstall Dit zal Combofix verwijderen + gerelateerde mappen en bestanden, herstelt de klokinstellingen opnieuw, verbergt de bestandsextensies, gaat verborgen bestanden en systeembestanden terug verbergen en maakt een nieuw herstelpunt. Indien aanwezig mag je de map C:\Qoobox manueel verwijderen. Download CCleaner. Klik op “Download Latest Version” en dan start de download van CCleaner automatisch en gratis op. Installeer het en start CCleaner op. Klik in de linkse kolom op “Cleaner”. Klik achtereenvolgens op ‘Analyseren’ en 'Schoonmaken'. Soms is 1 analyse niet voldoende. Deze procedure mag je herhalen tot de analyse geen fouten meer aangeeft. Klik vervolgens in de linkse kolom op “Register” en klik op ‘Scan naar problemen”. Als er fouten gevonden worden klik je op ”Herstel geselecteerde problemen” en ”OK”. Dan krijg je de vraag om een back-up te maken. Klik op “JA”. Kies dan “Herstel alle geselecteerde fouten”. Sluit hierna CCleaner terug af. Wil je dit uitgebreid in beeld bekijken, klik dan hier voor de handleiding.Het is aangewezen om de bestaande herstelpunten te verwijderen (daar zitten besmette herstelpunten tussen die je eventueel zou kunnen terugzetten) door systeemherstel tijdelijk uit te schakelen. Doe dit via Start -> Configuratiescherm -> Prestaties en Onderhoud -> Systeem -> Systeemherstel -> "Systeemherstel op alle stations uitschakelen" aanvinken. Toepassen en OK. PC herstarten en het vinkje terug weg halen. Indien dit alles probleemloos verlopen is, mag je hieronder op "markeer als opgelost" tokkelen !

Dat is duidelijk al een stuk beter. Maar toch gaan we nog even verder kijken : Download ComboFix van één van deze locaties: Link 1 Link 2 * BELANGRIJK !!! Sla ComboFix.exe op je Bureaublad op 1. Schakel alle antivirus- en antispywareprogramma's uit, want anders kunnen ze misschien conflicteren met ComboFix. Hier is een handleiding over hoe je ze kan uitschakelen: Klik hier 2. Het kan voorkomen dat de computer meerdere malen opnieuw gestart moet worden, dit is normaal. 3. Dubbelklik op "Combofix.exe" om de tool te starten. 4. Klik niet in het scherm van Combofix als deze actief is, hierdoor kan de 'tool' vastlopen. Noot !!! Als er een error wordt getoond met de melding "Illegal operation attempted on a registery key that has been marked for deletion", herstart dan de computer. 5. Wanneer ComboFix klaar is, zal het het een logbestand voor je maken. Post de inhoud van dit logbestand (te vinden als C:\ComboFix.txt) in je volgende bericht.

Combofix heeft zijn werk gedaan. Wat wel opvalt in je logjes is dat er nog sporen van 3 antivirusscanners aanwezig zijn : AVG, Norton/Symantec en F-Secure. Neem aan dat AVG je actieve scanner is, maar dan is het best dat we de rest wél verwijderen. Laat maar weten welke je wil behouden ? En kan je ons eens laten weten wat er exact in deze map zit : C:\Program Files(x98) Open een kladblokbestand. Kopieer en plak daarin de onderstaande vetgedrukte tekst. Folder:: C:\users\TEMP.MAARTEN.011 Firefox:: FF - ProfilePath - c:\users\Gebruiker\AppData\Roaming\Mozilla\Firefox\Profiles\5gd1td97.default\ FF - prefs.js: keyword.URL - Sla dit bestand op je bureaublad op als CFScript.txt. Sleep CFScript.txt in ComboFix.exe Dit zal ComboFix doen herstarten. Start opnieuw op als dat gevraagd wordt. Post na herstart de inhoud van de Combofix.txt in je volgende bericht.

In beide logjes geen malwareproblemen te vinden. Gaan we nog even dieper kijken : Download ComboFix van één van deze locaties: Link 1 Link 2 * BELANGRIJK !!! Sla ComboFix.exe op je Bureaublad op 1. Schakel alle antivirus- en antispywareprogramma's uit, want anders kunnen ze misschien conflicteren met ComboFix. Hier is een handleiding over hoe je ze kan uitschakelen: Klik hier 2. Het kan voorkomen dat de computer meerdere malen opnieuw gestart moet worden, dit is normaal. 3. Dubbelklik op "Combofix.exe" om de tool te starten. 4. Klik niet in het scherm van Combofix als deze actief is, hierdoor kan de 'tool' vastlopen. Noot !!! Als er een error wordt getoond met de melding "Illegal operation attempted on a registery key that has been marked for deletion", herstart dan de computer. 5. Wanneer ComboFix klaar is, zal het het een logbestand voor je maken. Post de inhoud van dit logbestand (te vinden als C:\ComboFix.txt) in je volgende bericht.

Dat zou zeker kunnen. Met systeemherstel hadden we dit in één klap ongedaan kunnen maken ... maar dat lukte helaas niet. Het aanbevolen programma Malwarebytes hebben we al eerder ingezet. Dat heeft een aantal besmettingen ontdekt en ongedaan gemaakt, maar dit was duidelijk nog niet voldoende. Een volgende stap zou dan de inzet van de TDSS-killer geweest zijn ... zoals ook aanbevolen door je provider. Download TDSSKiller en plaats het op je bureaublad.Pak de bestanden in tdsskiller.zip uit. Open de map tdsskiller en dubbelklik op TDSSKiller.exe om de tool te starten. Windows 7 en Windows Vista gebruikers: Rechtsklik op TDSSKiller.exe -> Uitvoeren als Administrator om de tool te starten. Als TDSSKiller bericht geeft van een beschikbare update, dan voer je deze eerst uit. Klik op de knop "Start Scan" en volg de instructies. Wanneer de scan klaar is klik je op de knop "Report". Er opent een kladblokbestand. Post de inhoud van dit bestand. Herstart de pc als TDSSKiller die optie geeft. (Reboot now) Wanneer er een herstart nodig was, vind je de logfile in C:\TDSSKiller.[Version]_[Date]_[Time]_log.txt

En in je logje van Combofix is niets abnormaals te bespeuren. Combofix mag je dan ook verwijderen : Verwijder Combofix: Start -> Uitvoeren/Zoekopdracht en typ: ComboFix /Uninstall Dit zal Combofix verwijderen + gerelateerde mappen en bestanden, herstelt de klokinstellingen opnieuw, verbergt de bestandsextensies, gaat verborgen bestanden en systeembestanden terug verbergen en maakt een nieuw herstelpunt. Indien aanwezig mag je de map C:\Qoobox manueel verwijderen.

Problemen van de baan, dan is het tijd voor de “grote schoonmaak” : verwijderen van gebruikte programma’s, een cleaning en het verwijderen van de besmette herstelpunten. Verwijder TDSS-killer. Verwijder Combofix: Start -> Uitvoeren/Zoekopdracht en typ: ComboFix /Uninstall Dit zal Combofix verwijderen + gerelateerde mappen en bestanden, herstelt de klokinstellingen opnieuw, verbergt de bestandsextensies, gaat verborgen bestanden en systeembestanden terug verbergen en maakt een nieuw herstelpunt. Indien aanwezig mag je de map C:\Qoobox manueel verwijderen. Download CCleaner. Klik op “Download Latest Version” en dan start de download van CCleaner automatisch en gratis op. Installeer het en start CCleaner op. Klik in de linkse kolom op “Cleaner”. Klik achtereenvolgens op ‘Analyseren’ en 'Schoonmaken'. Soms is 1 analyse niet voldoende. Deze procedure mag je herhalen tot de analyse geen fouten meer aangeeft. Klik vervolgens in de linkse kolom op “Register” en klik op ‘Scan naar problemen”. Als er fouten gevonden worden klik je op ”Herstel geselecteerde problemen” en ”OK”. Dan krijg je de vraag om een back-up te maken. Klik op “JA”. Kies dan “Herstel alle geselecteerde fouten”. Sluit hierna CCleaner terug af. Wil je dit uitgebreid in beeld bekijken, klik dan hier voor de handleiding. Het is aangewezen om de bestaande herstelpunten te verwijderen (daar zitten besmette herstelpunten tussen die je eventueel zou kunnen terugzetten) door systeemherstel tijdelijk uit te schakelen. Doe dit via Start -> Configuratiescherm -> Prestaties en Onderhoud -> Systeem -> Systeemherstel -> "Systeemherstel op alle stations uitschakelen" aanvinken. Toepassen en OK. PC herstarten en het vinkje terug weg halen. That's it ! Als dit allemaal probleemloos verlopen is, mag je hieronder op "markeer als opgelost" tokkelen !

Is dit een scriptje dat jou bekend is ? O4 - HKCU\..\Policies\Explorer\Run: wscript.exe "C:\Users\Max\AppData\Roaming\41742.js" Zo nee, mag je het hieronder toevoegen aan het lijstje met te fixen items bij HijackThis. Ga naar Start – Uitvoeren/Zoekopdracht en tik in: sc stop MSPnPService Druk op Enter. Ga naar Start – Uitvoeren/Zoekopdracht en tik in: sc delete MSPnPService Druk op Enter. Start Hijackthis op. Selecteer “Scan”. Selecteer alleen de items die hieronder zijn genoemd: R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = local;*.local R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = O2 - BHO: Conduit Engine - {30F9B915-B755-4826-820B-08FBA6BD249D} - C:\Program Files (x86)\ConduitEngine\ConduitEngine.dll O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file) O2 - BHO: Adobe PDF Conversion Toolbar Helper - {AE7CD045-E861-484f-8273-0445EE161910} - E:\Program Files\adobeCS3\Acrobat 8.0\Acrobat\AcroIEFavClient.dll (file missing) O2 - BHO: Vuze Remote Toolbar - {ba14329e-9550-4989-b3f2-9732e92d17cc} - C:\Program Files (x86)\Vuze_Remote\tbVuze.dll O3 - Toolbar: Vuze Remote Toolbar - {ba14329e-9550-4989-b3f2-9732e92d17cc} - C:\Program Files (x86)\Vuze_Remote\tbVuze.dll O3 - Toolbar: Conduit Engine - {30F9B915-B755-4826-820B-08FBA6BD249D} - C:\Program Files (x86)\ConduitEngine\ConduitEngine.dll O4 - Global Startup: Adobe Acrobat Snelle start.lnk = ? Klik op 'Fix checked' om de items te verwijderen. Download MBAM (Malwarebytes Anti-Malware) Dubbelklik op mbam-setup.exe om het programma te installeren. Zorg ervoor dat er een vinkje geplaatst is voor Update Malwarebytes' Anti-Malware en Start Malwarebytes' Anti-Malware, Klik daarna op "Voltooien". Indien een update gevonden werd, zal die gedownload en geïnstalleerd worden. Wanneer het programma volledig up to date is, selecteer dan in het tabblad Scanner : "Snelle Scan", daarna klik op Scan. Het scannen kan een tijdje duren, dus wees geduldig. Wanneer de scan voltooid is, klik op OK, daarna "Bekijk Resultaten" om de resultaten te zien. Zorg ervoor dat daar alles aangevinkt is, daarna klik op: Verwijder geselecteerde. Na het verwijderen zal een log openen en zal er gevraagd worden om de computer opnieuw op te starten. (Zie verder). Indien er de rootkit (TDSS) aanwezig is, zal MBAM vragen te herstarten. Doe dit dan ook. MBAM zal na de herstart opnieuw scannen en de rootkit verwijderen. Het log wordt automatisch bewaard door MBAM en kan je terugvinden door op de "Logs" tab te klikken in het programma. Indien MBAM moeilijkheden heeft met het verwijderen van bepaalde bestanden zal het enkele meldingen geven waar je OK moet klikken. Daarna zal het vragen om de computer opnieuw op te starten... dus sta toe dat MBAM de computer opnieuw opstart. Plak de inhoud van het logje in je volgende bericht, samen met een nieuw HijackThis log.

Deze lijntjes mag je nog fixen met HijackThis : O2 - BHO: Searchqu Toolbar - {99079a25-328f-4bd4-be04-00955acaa0a7} - (no file) O2 - BHO: (no name) - {B922D405-6D13-4A2B-AE89-08A030DA4402} - (no file) O3 - Toolbar: (no name) - {B922D405-6D13-4A2B-AE89-08A030DA4402} - (no file) O3 - Toolbar: (no name) - {99079a25-328f-4bd4-be04-00955acaa0a7} - (no file) ... en laat dan even weten hoe het nu met de opstartproblemen staat ?

Mooi zo. Nu zal je eens moeten bekijken of je nog meldingen krijgt dat er problemen zijn met je PC en/of je verbinding. Op basis van deze logjes zou nu alles OK moeten zijn. Is alles in orde, geef dan een seintje ... want er moet nog één en ander opgeruimd worden dan.

Download ComboFix van één van deze locaties: Link 1 Link 2 * BELANGRIJK !!! Sla ComboFix.exe op je Bureaublad op 1. Schakel alle antivirus- en antispywareprogramma's uit, want anders kunnen ze misschien conflicteren met ComboFix. Hier is een handleiding over hoe je ze kan uitschakelen: Klik hier Als het je niet lukt om ze uit te schakelen, ga dan gewoon door naar de volgende stap. 2. Dubbelklik op ComboFix.exe en volg de meldingen op het scherm. 3. ComboFix zal controleren of dat de Microsoft Windows Recovery Console reeds is geïnstalleerd. **Let op: Als de Microsoft Windows Recovery Console al is geïnstalleerd, dan krijg je de volgende schermen niet te zien en zal ComboFix automatisch verder gaan met het scannen naar malware. 4. Volg de meldingen op het scherm om ComboFix de Microsoft Windows Recovery Console te laten downloaden en installeren. Je krijgt de volgende melding te zien wanneer ComboFix de Microsoft Windows Recovery Console succesvol heeft geïnstalleerd: Klik op Ja om verder te gaan met het scannen naar malware. 5. Wanneer ComboFix klaar is, zal het een logbestand voor je maken. Post de inhoud van dit logbestand (te vinden als C:\ComboFix.txt) in je volgende bericht.

Combofix heeft zijn werk gedaan en logje ziet er nu verder prima uit. Nog even iets anders bekijken : Download TDSSKiller en plaats het op je bureaublad. Pak de bestanden in tdsskiller.zip uit. Open de map tdsskiller en dubbelklik op TDSSKiller.exe om de tool te starten. Windows 7 en Windows Vista gebruikers: Rechtsklik op TDSSKiller.exe -> Uitvoeren als Administrator om de tool te starten. Als TDSSKiller bericht geeft van een beschikbare update, dan voer je deze eerst uit. Klik op de knop "Start Scan" en volg de instructies. Wanneer de scan klaar is klik je op de knop "Report". Er opent een kladblokbestand. Post de inhoud van dit bestand. Herstart de pc als TDSSKiller die optie geeft. (Reboot now) Wanneer er een herstart nodig was, vind je de logfile in C:\TDSSKiller.[Version]_[Date]_[Time]_log.txt

Start Hijackthis op. Selecteer “Scan”. Selecteer alleen de items die hieronder zijn genoemd: O2 - BHO: DIALux 3.1 ULDBrowserHelper Class - {69AB812A-8CE4-4BF3-B49B-3B60A9F31FB2} - C:\Program Files\DIALux\DLXShellExtension.dll (file missing) O4 - HKLM\..\Run: [PlusService] C:\Program Files\Yuna Software\Messenger Plus!\PlusService.exe Klik op 'Fix checked' om de items te verwijderen. Download ComboFix van één van deze locaties: Link 1 Link 2 * BELANGRIJK !!! Sla ComboFix.exe op je Bureaublad op 1. Schakel alle antivirus- en antispywareprogramma's uit, want anders kunnen ze misschien conflicteren met ComboFix. Hier is een handleiding over hoe je ze kan uitschakelen: Klik hier Als het je niet lukt om ze uit te schakelen, ga dan gewoon door naar de volgende stap. 2. Dubbelklik op ComboFix.exe en volg de meldingen op het scherm. 3. ComboFix zal controleren of dat de Microsoft Windows Recovery Console reeds is geïnstalleerd. **Let op: Als de Microsoft Windows Recovery Console al is geïnstalleerd, dan krijg je de volgende schermen niet te zien en zal ComboFix automatisch verder gaan met het scannen naar malware. 4. Volg de meldingen op het scherm om ComboFix de Microsoft Windows Recovery Console te laten downloaden en installeren. Je krijgt de volgende melding te zien wanneer ComboFix de Microsoft Windows Recovery Console succesvol heeft geïnstalleerd: Klik op Ja om verder te gaan met het scannen naar malware. 5. Wanneer ComboFix klaar is, zal het een logbestand voor je maken. Post de inhoud van dit logbestand (te vinden als C:\ComboFix.txt) in je volgende bericht.

Dit nieuwe logje ziet er prima uit. Hoe gedraagt de PC zich nu ? Nog virusmeldingen ?

Zitten er op 1 september méér herstelpunten, bvb. vóór en na het installeren van de printer ? Dan zou je er één van kunnen gebruiken. Ofwel moet je naar dat herstelpunt teruggaan. Konsekwentie kan dan wel zijn dat je de printer opnieuw moet installeren ... tenminste als je dàt herstelpunt zou kunnen terugzetten. De twee mappen mag je verwijderen. HJT-logje is nog altijd clean ... maar dat was eerder ook al zo, natuurlijk ;-)

In je herstelpunt van 5 september zitten alle gegevens over de installatie van de printer op 1 september ... dus worden die ook behouden. Terugzetten moet dan probleemloos lukken. Mocht dit een oplossing van je FF-probleem opleveren, dan mag je daarna opnieuw een logje met HijackThis zetten. Dan beginnen we opnieuw aan de procedure om je PC te cleanen.

Heb je van vóór de vertraging is opgetreden nog herstelpunten op je PC ? Dan zou je eens met systeemherstel naar zo'n punt kunnen teruggaan. Dan is (mogelijk) het probleem in één klap opgelost. Want enkel met een cleane PC win je nog niet aan snelheid. Enig probleem is dan dat je ook de "foute" bestanden misschien terugzet ... maar dat zien we daarna dan wel weer !

Open een kladblokbestand. Kopieer en plak daarin de onderstaande vetgedrukte tekst. Firefox:: FF - ProfilePath - c:\documents and settings\Sebastiaan\Application Data\Mozilla\Firefox\Profiles\d7l5lfgd.default\ FF - prefs.js: browser.search.defaulturl - FF - prefs.js: browser.startup.homepage - FF - Ext: Bitlord 1.2 Community Toolbar: {8c5878d0-6106-423b-aaa8-144c143dbf44} - %profile%\extensions\{8c5878d0-6106-423b-aaa8-144c143dbf44} Sla dit bestand op je bureaublad op als CFScript.txt. Sleep CFScript.txt in ComboFix.exe Dit zal ComboFix doen herstarten. Start opnieuw op als dat gevraagd wordt. Post na herstart de inhoud van de Combofix.txt in je volgende bericht.

Logje HijackThis ziet er prima uit. De twee (onbekende) mappen zitten nog steeds in je log van Combofix. Kan je de map Application Data vinden (die voorafgaat aan de twee mappen) ? Zo niet zal je eerst de optie "verborgen mappen weergeven" moeten inschakelen. Op basis van deze logjes zie ik niet meteen een aanleiding waarom FF het na een tijdje laat afweten. Heb je nog een andere browser op je PC (Internet Explorer of anderen) ? Zo ja, doen zich daar dezelfde problemen mee voor ?

Zou me niet echt veel zorgen maken om een boot-bestand in je C:\-directory. Heb er daar al jaren - probleemloos - eentje zitten. Dit is wel in XP en niet in Win 7 ... maar het lijkt me absoluut veiliger om deze map te behouden, dan deze te gaan manipuleren. Boot-mappen verwijderen houdt altijd risico's in. Je logje is nog altijd prima ... en dat zal dan de rest van de PC ook wel zijn.

Een deel van de besmette items is reeds verwijderd, maar toch zitten er nog lijntjes in die in de nieuwe run ook niet verwijderd zijn ? Start Hijackthis op. Selecteer “Scan”. Selecteer alleen de items die hieronder zijn genoemd: R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.bigseekpro.com/burn4free/...-D1EBE5146345} R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = Analysis of program downloads scanned for viruses and spyware. R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.bigseekpro.com/burn4free/...-D1EBE5146345} R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = O2 - BHO: Ask Toolbar BHO - {D4027C7F-154A-4066-A1AD-4243D8127440} - C:\Program Files\Ask.com\GenericAskToolbar.dll O3 - Toolbar: Ask Toolbar - {D4027C7F-154A-4066-A1AD-4243D8127440} - C:\Program Files\Ask.com\GenericAskToolbar.dll O4 - Global Startup: BTTray.lnk = ? O8 - Extra context menu item: &Search - http://edits.mywebsearch.com/toolbar...g&n=2010072617 O16 - DPF: {E06E2E99-0AA1-11D4-ABA6-0060082AA75C} – Klik op 'Fix checked' om de items te verwijderen. Verwijder Ask Toolbar of Ask.com bij Software (indien aanwezig) of verwijder anders volgende vetgedrukte map : C:\Program Files\Ask.com. Probeer het nog even opnieuw, maar nu als "adminstrator" én in normale modus.

Combofix heeft behoorlijk wat ongewenst spul van de PC gehaald. Vraagje : heb je deze twee mappen zelf zo genoemd (of komen die je bekend voor) ? C:\documents and settings\Eigenaar\Application Data\Texo C:\documents and settings\Eigenaar\Application Data\Pawiki

Malwarebytes heeft een berg rotzooi van je PC gehaald, maar de aanpassingen met HijackThis zijn - om één of andere reden - niet gelukt ? Als Vista-gebruiker moet je de opdracht om de items met HijackThis te verwijderen uitvoeren als "administrator". Wil je dat even herhalen én doe het meteen ook in "veilige modus". Hang daarna een nieuw logje van HijackThis in je volgende bericht.

OK, we wachten je berichten wel even af !