kape

Toch zijn we alweer een stapje verder Download en bewaar SDFix op je bureaublad. Dubbelklik op SDFix.exe en kies voor Install om het tooltje uit te pakken in een eigen map op je bureaubad. Herstart dan je pc in veilige modus. In veilige modus, open de SDFix map op je bureaublad en dubbelklik op RunThis.bat om het tooltje te starten Typ Y om het clean proces te starten. Verwijdert alle Trojan Services of Registry Entries die met deze infectie te maken hebben, als het tooltje klaar is zal het jou vertellen om eender welke toets te drukken om je pc te herstarten, doe dit ook. Wanneer de pc herstart zal het tooltje opnieuw runnen en het opruimproces beëindigen en je de melding Finished tonen, druk dan op eender welke toets om het scriptje te beëindigen en je bureaublad zullen tevoorschijn komen. Wanneer je bureaublad icoontjes verschijnen zal het rapportje van SDFix openen en ook in de map bewaren onder de naam Report.txt. Terug in normale modus open je een kladblokbestand. Kopieer en plak daarin de onderstaande vetgedrukte tekst. Registry:: [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Run] "runner1"="C:\WINDOWS\mrofinu1423.exe" [HKLM\~\services\sharedaccess\parameters\firewallpo licy\standardprofile\AuthorizedApplications\List] "C:\\DOCUME~1\\BEHEER~1\\LOCALS~1\\Temp\\ebquéé£'£ '%''msn'è%'fix''.exe"= Sla dit bestand op je bureaublad op als CFScript.txt. Sleep CFScript.txt in ComboFix.exe Dit zal ComboFix doen herstarten. Start opnieuw op als dat gevraagd wordt. Verwijder volgende vetgedrukte bestanden (indien nog aanwezig) met Windows Verkenner. C:\WINDOWS\mrofinu1423.exe C:\WINDOWS\17PHolmes1423.exe Post na herstart de inhoud van de Combofix, het logje van SDFix en een nieuw logje van HijackThis. En dan kijken we weer verder.

De logjes zien er goed uit, maar de extra klachten - veilige modus, bureaublad - zouden wel eens in de richting van een corrupte Windows kunnen wijzen. Laten we eens proberen dit te herstellen met de optie sfc /scannow. Via Start -> Uitvoeren -> typ sfc /scannow (let op de spatie voor de slash). Het kan dat tijdens deze procedure de Windows-CD wordt gevraagd. Hou die al even bij de hand. En kijk daarna eens of die veilige modus en het aanpassen van je bureaublad nu wel lukt. Nadat je dit hebt uitgevoerd en nu je HJT-log geen negatieven aanwijzingen meer geeft, zou ik eventjes from scratch willen beginnen met een vers log van Combofix (in een nieuwe poging om de actuele toestand in te schatten), vermits er blijkbaar toch nog ergens een oorzaak moet te vinden zijn voor die pop-ups. Wat me nu ineens opvalt bij het overlzen van dit hele verhaal : ik ging er van uit dat je bij de start van je probleem MSN verwijderd had. Was dat wel het geval ? Of heb je die gewoon laten staan tijdens de hele procedure ?

Ondanks een aantal - misschien verrassende - gebeurtenissen, ben je toch op de goede weg. Nu is het inderdaad tijd voor een scan met Combofix (zoals je zelf ook al aangaf). Hang het logje van Combofix samen met een nieuw log van HJT aan je volgend bericht en we kijken verder wat er nog te doen valt. Kan je - voor je aan Combofix begint - ook eens proberen of ja alle items in Spybot - behalve Virtumonde uiteraard - kan deleten ?

Download VundoFix naar je bureaublad. [*]Dubbelklik VundoFix.exe om het te starten. [*]Klik op de Scan for Vundo knop. [*]Eenmaal gedaan met scannen, klik op de Remove Vundo knop. [*]Je zal een melding krijgen of je de bestanden wilt laten verwijderen, klik YES [*]Nadat je Yes hebt geklikt, zullen de icoontjes op je Bureaublad verdwijnen tijdens het verwijderen van Vundo. [*]Wanneer voltooid zal je de melding krijgen dat het je PC zal afsluiten, klik OK. [*]Start je pc terug opnieuw op. Nota: Het is mogelijk dat VundoFix een bestand vindt dat niet kan verwijderd worden. In dit geval zal VundoFix na het heropstarten van je pc nog eens opstarten. Dan moet je de instructies van hierboven nog eens uitvoeren vanaf: "Klik op Scan for Vundo." Start Hijackthis op en kies voor 'Do a system scan only'. Selecteer alleen de items hieronder genoemd (indien nog aanwezig) : O2 - BHO: (no name) - {3B378B14-B9A2-4B99-BE09-3FE1666B4784} - (no file) O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE O4 - HKLM\..\Run: [Windows live Messenger] msn.com O4 - HKCU\..\Run: [Google Update] "C:\Documents and Settings\Bartus De Ridder\Local Settings\Application Data\Google\Update\1.1.25.0\GoogleUpdate.exe" /lang en O4 - Startup: YouTube Uploader.lnk = C:\Documents and Settings\Bartus De Ridder\Local Settings\Application Data\YouTube\Uploader\youtubeuploader.exe O16 - DPF: {FFBB3F3B-0A5A-4106-BE53-DFE1E2340CB1} (DownloadManager Control) - http://dlm.tools.akamai.com/dlmanage...ex-2.2.1.6.cab O20 - Winlogon Notify: tuvTMgFW - C:\WINDOWS\SYSTEM32\tuvTMgFW.dll Klik op 'Fix checked' om de items te verwijderen. Verwijder volgend vetgedrukt bestand met Windows Verkenner. C:\WINDOWS\msn.com Post de inhoud van C:\vundofix.txt en een nieuwe log van HJT in je volgende bericht en laat meteen eens weten hoe het met de problemen gesteld is ?

Open een kladblokbestand. Kopieer en plak daarin de onderstaande vetgedrukte tekst. File:: C:\Documents and Settings\Beheerder\ljzech.exe C:\WINDOWS\system32\mqecdo.exe C:\sqmnoopt02.sqm C:\sqmdata01.sqm Registry:: [HKLM\~\services\sharedaccess\parameters\firewallpo licy\standardprofile\AuthorizedApplications\List] "C:\\DOCUME~1\\BEHEER~1\\LOCALS~1\\Temp\\ebquéé£'£ '%''msn'è%'fix''.exe"= Sla dit bestand op je bureaublad op als CFScript.txt. Sleep CFScript.txt in ComboFix.exe Dit zal ComboFix doen herstarten. Start opnieuw op als dat gevraagd wordt. Start Hijackthis op en kies voor 'Do a system scan only'. Selecteer alleen de items hieronder (indien nog aanwezig, wat normaal niet het geval zal zijn) genoemd: F2 - REGystem.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\DOCUM E~1\BEHEER~1\LOCALS~1\Temp\ebquéé£'£'%''msn'è%'fix ''.exe Klik op 'Fix checked' om de items te verwijderen. Post na herstart de inhoud van de Combofix.txt in je volgende antwoord samen met een nieuw logje van HijackThis. En laat dan eens weten of alles OK is ?

Laat - nu de zaak wat stabieler loopt - die Smitfraud eens runnen in normale modus.

Open een kladblokbestand. Kopieer en plak daarin de onderstaande vetgedrukte tekst. File:: C:\WINDOWS\system32\opppoqhj.ini C:\sqmdata02.sqm C:\sqmnoopt02.sqm C:\sqmdata01.sqm C:\sqmnoopt01.sqm C:\sqmdata00.sqm C:\sqmnoopt00.sqm C:\WINDOWS\17PHolmes572.exe C:\WINDOWS\TinyBHO.dll Registry:: [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\vtutqrq] Sla dit bestand op je bureaublad op als CFScript.txt. Sleep CFScript.txt in ComboFix.exe Dit zal ComboFix doen herstarten. Start opnieuw op als dat gevraagd wordt. Post na herstart de inhoud van de Combofix.txt in je volgende antwoord samen met een nieuw logje van HijackThis.

Verwijder eerst MSN (en alle andere Messengers). Download Combofix en zet het op je Bureaublad. Start Hijackthis op en kies voor 'Do a system scan only'. Selecteer alleen de items hieronder genoemd: F2 - REGystem.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\DOCUM E~1\BEHEER~1\LOCALS~1\Temp\ebquéé£'£'%''msn'è%'fix ''.exe O4 - HKLM\..\Run: [Flash Media] C:\DOCUME~1\BEHEER~1\LOCALS~1\Temp\ebquéé£'£'%''ms n'è%'fix''.exe O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe (file missing) O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe (file missing) O16 - DPF: {85D1F3B2-2A21-11D7-97B9-0010DC2A6243} (SecureLogin class) - http://secure2.comned.com/signuptemp...ogin-devel.cab Klik op 'Fix checked' om de items te verwijderen. Dubbelklik op Combofix.exe en volg de instructies, aanvaard de disclaimer door y te typen. Tijdens het runnen van de fix, NIET in het venster klikken, want dit zal je pc doen vasthangen. Wanneer de fix voltooid is en na herstart, zal de log combofix.txt openen. NOTA: Indien je virusscanner reageert met een melding van een scriptuitvoering, moet je dit toestaan.. Hang het log van Combofix en een nieuw log van HJT aan je volgend bericht.

Gewoon een vroegere instelling van je PC terugzetten, liefst van een datum vóór je problemen begonnen zijn. Je kan in XP naar systeemherstel gaan via Alle Programma's -> Bureauaccessoires -> Systeemwerkset -> Systeemherstel en daar dan een vorige situatie terugplaatsen.

Dat heeft een behoorlijke opruiming opgeleverd. Al zijn er nog twee items die hardnekkig verzet blijven bieden. Kan je eens kijken of je manueel - op welke manier dan ook - volgend bestand kan verwijderen : C:\Documents and Settings\Dimitri\BureaubladTrojan.Win32.BlackBird. exe En met Hijackthis dit item: O20 - Winlogon Notify: pmnnlkl - C:\WINDOWS\ En dan lees ik het wel, hoe dit weer verlopen is ? Zijn er - los van je problemen met die 'veilige modus' - nog andere zaken die niet correct zijn (pop-ups, e.d.) en die je permanent tegenkomt ?

sw24.exe behoort normaal tot een grafische kaart van MGI, maar kan ook een besmetting zijn als je dit soort kaart niet hebt. Download Combofix en zet het op je Bureaublad. Dubbelklik op Combofix.exe en volg de instructies, aanvaard de disclaimer door y te typen. Tijdens het runnen van de fix, NIET in het venster klikken, want dit zal je pc doen vasthangen. Wanneer de fix voltooid is en na herstart, zal de log combofix.txt openen. NOTA: Indien je virusscanner reageert met een melding van een scriptuitvoering, moet je dit toestaan. Hang je log van Combofix aan je volgend bericht.

Zo hoort het. Maar zou ik nog even het logje van Combofix mogen zien, voor we aan de "schoonmaak" beginnen ?

Maak eens een logje met HiJackTHis, want er zal meer nodig zijn dan alleen dat ene bestandje te verwijderen, vrees ik.

Open een kladblokbestand. Kopieer en plak daarin de onderstaande vetgedrukte tekst. File:: C:\WINDOWS\system32\tmp.reg C:\WINDOWS\system32\VCCLSID.exe C:\WINDOWS\system32\SrchSTS.exe C:\WINDOWS\system32\Process.exe C:\WINDOWS\system32\VACFix.exe C:\WINDOWS\system32\IEDFix.exe C:\WINDOWS\system32\dumphive.exe C:\WINDOWS\system32\WS2Fix.exe C:\WINDOWS\system32\ijszdqzu.dll C:\Documents and Settings\All Users\Application Data\tmbsbcfy.dll C:\WINDOWS\system32\hjnquqqo.exe C:\Documents and Settings\All Users\Application Data\oxqhqtub.dll C:\WINDOWS\ybinyxyd.exe C:\WINDOWS\system32\drvrid.dll Folder:: C:\Documents and Settings\Samuel\Application Data\PC-Cleaner Registry:: [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run] "hjnquqqo"="C:\WINDOWS\system32\hjnquqqo.exe" "rjwdtqbo"="C:\WINDOWS\system32\rjwdtqbo.exe" Sla dit bestand op je bureaublad op als CFScript.txt. Sleep CFScript.txt in ComboFix.exe Dit zal ComboFix doen herstarten. Start opnieuw op als dat gevraagd wordt. Start Hijackthis op en kies voor 'Do a system scan only'. Selecteer alleen de items hieronder genoemd (indien ze nog aanwezig zijn, want normaal niet het geval mag zijn): O4 - HKLM\..\Run: [hjnquqqo] C:\WINDOWS\system32\hjnquqqo.exe O4 - HKLM\..\Run: [rjwdtqbo] C:\WINDOWS\system32\rjwdtqbo.exe Klik op 'Fix checked' om de items te verwijderen. Post de inhoud van de Combofix.txt in je volgende bericht samen met een nieuw logje van HijackThis. En laat meteen eens weten hoe het staat met je Windows Security Alert ?

De volgende stap : Download Combofix en zet het op je Bureaublad. Start Hijackthis op en kies voor 'Do a system scan only'. Selecteer alleen de items hieronder genoemd: F3 - REG:win.ini: run="" O4 - HKLM\..\Run: [hjnquqqo] C:\WINDOWS\system32\hjnquqqo.exe O4 - HKLM\..\Run: [rjwdtqbo] C:\WINDOWS\system32\rjwdtqbo.exe Klik op 'Fix checked' om de items te verwijderen. Dubbelklik op Combofix.exe en volg de instructies, aanvaard de disclaimer door y te typen. Tijdens het runnen van de fix, NIET in het venster klikken, want dit zal je pc doen vasthangen. Wanneer de fix voltooid is en na herstart, zal de log combofix.txt openen. NOTA: Indien je virusscanner reageert met een melding van een scriptuitvoering, moet je dit toestaan. Hang het log van Combofix en een nieuw log van HJT aan je volgende bericht.

Perfect. Dit is het log wat we nodig hadden. Download SmitfraudFix. Pak het uit naar je bureaublad. Start je PC op in Veilige Modus, open de map SmitfraudFix en dubbelklik op Smitfraudfix.cmd. Kies optie 2 (Clean) om alle besmette bestanden te laten verwijderen. Als er gevraagd wordt om het register op te kuisen, sta je dit toe. Er wordt ook onderzocht of het bestandje wininet.dll besmet is. Indien dit het geval is, zal je de vraag krijgen om deze te vervangen. Type dan Y in achter de prompt en druk op Enter. De kans bestaat dat je PC herstart wordt in normale modus. Is dit niet het geval doe je dit handmatig zodat het zijn taak volledig kan uitvoeren. Er zal een tekstbestandje openen met de resultaten van de fix. ( c:\rapport.txt). Sla dit op je bureaublad op. Herstart de computer in normale modus. Start Hijackthis op en kies voor 'Do a system scan only'. Selecteer alleen de items hieronder genoemd: F3 - REG:win.ini: run="" O2 - BHO: (no name) - {00922FF5-A588-10D0-43A1-06CFEFE74C57} - C:\WINDOWS\system32\gfebrhld.dll O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file) O4 - HKLM\..\Run: [rjwdtqbo] C:\WINDOWS\system32\rjwdtqbo.exe O4 - HKLM\..\Policies\Explorer\Run: [C1mlnINwLK] C:\WINDOWS\ybinyxyd.exe O20 - Winlogon Notify: windii32 - windii32.dll (file missing) Klik op 'Fix checked' om de items te verwijderen. Verwijder volgende vetgedrukt bestand (indien nog aanwezig) met Windows Verkenner C:\WINDOWS\system32\rjwdtqbo.exe Hang het log van Smitfraud en een nieuw log van HJT aan je volgend bericht.

Op zich is dit niet echt een groot probleem, want volgens je log is die MediaBar wel degelijk verdwenen. Klopt dat ook in de praktijk ? Daar kan alleen jij een antwoord op geven. En ook de rest van de aanpassingen zijn correct uitgevoerd. Om die map te verwijderen zou je het eens in "Veilige Modus" kunnen proberen. Start je computer opnieuw op, blijf tijdens het opstarten tokkelen op F8 en als je in het keuzescherm komt, kies je voor "Veilige Modus". Je scherm zal er wat anders uitzien dan normaal, maar dat is geen probleem. Dan probeer je daar de map C:\Program Files\iMesh Applications te verwijderen. Ik lees wel of dit gelukt is.

Betekent dit dat het enkel alle gegevens zijn die je kwijt bent, of ook je programma's, e.d. Je Windows is - neem ik aan - terug in orde. Of ook niet ?

Knap, dat is wat we nodig hadden Nu aan de slag. Start Hijackthis op en kies voor 'Do a system scan only'. Selecteer alleen de items hieronder genoemd: R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Startpagina = file:///C:/Program%20Files/eMakeSV/Portal/portal.html O2 - BHO: UrlHelper Class - {474597C5-AB09-49d6-A4D5-2E8D7341384E} - C:\Program Files\iMesh Applications\iMesh MediaBar\iMeshIEHelper.dll O2 - BHO: System - {D1C8F9CE-563E-11D8-813C-005022E14DE3} - C:\Program Files\LNM Client\AddAPI.dll O9 - Extra button: LNM Client - {5D602A21-B929-11d7-A5D3-005022E14DE3} - LNM.eu : Welkom (file missing) O24 - Desktop Component 0: (no name) - file:///C:/DOCUME~1/pc/LOCALS~1/Temp...p_image002.jpg Klik op 'Fix checked' om de items te verwijderen. Verwijder volgende vetgedrukte map met Windows Verkenner. C:\Program Files\iMesh Applications En nu we toch bezig zijn, nog even dit aanpassen. Je Java software is verouderd. Oudere versies hebben lekken die malware de kans geeft om zich te installeren op je systeem. Doe eerst deze stappen om Java te de-installeren en de nieuwere versie te installeren. Download Java Runtime Environment (JRE) 6u5. Scroll omlaag naar : "Java Runtime Environment (JRE) 6u5". Klik op de "Download" knop aan de rechterkant. In het uitklapmenu rechts naast Platform, selecteer “Windows”. Vink aan: "I agree to the Java SE Runtime Environment 6 License Agreement", en klik op “Continue”. De pagina zal herladen. Klik op de jre-6u5-windows-i586-p.exe link ONDER Windows Offline Installation en bewaar het naar je Bureaublad. Sluit alle programma's die eventueel open zijn, zeker je webbrowser. Ga dan naar Start -> Configuratiescherm -> Software en verwijder alle oudere versies van Java uit de Softwarelijst. Vink alles aan met Java Runtime Environment (JRE of J2SE) in de naam. Klik dan op “Verwijderen” of op de “Wijzig/Verwijder” knop. Herhaal dit tot alle oudere versies verdwenen zijn. Na het verwijderen van alle oudere versies, herstart je pc. Dubbelklik vervolgens op jre-6u5-windows-i586-p.exe op je Bureaublad om de nieuwste versie van Java te installeren. Tot slot moet je - na dit alles - nog even dat programma dat Yannick geadviseerd had - CCleaner - zijn werk laten doen. En laat dan even horen of je Mediabar naar de "eeuwige jachtvelden" is verhuisd ?

Laat Smitfraud even voor wat het is en voer de volgende acties uit : Open een kladblokbestand. Kopieer en plak daarin de onderstaande vetgedrukte tekst. File:: C:\Documents and Settings\Dimitri\BureaubladTrojan.Win32.BlackBird. exe Folder:: C:\WINDOWS\SxsCaPendDel C:\Program Files\PC-Cleaner Registry:: [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\ShellServiceObjectDelayLoad] [HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\pmnnlkl] [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\My Web Search Bar Search Scope Monitor] [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MyWebSearch Email Plugin] Sla dit bestand op je bureaublad op als CFScript.txt. Sleep CFScript.txt in ComboFix.exe Dit zal ComboFix doen herstarten. Start opnieuw op als dat gevraagd wordt. Open een nieuw kladblokbestand, kopieer en plak daarin de onderstaande vetgedrukte tekst. REGEDIT4 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center] "AntiVirusOverride"=dword:00000000 [HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecAntiVirus] "DisableMonitoring"=dword:00000000 Sla dit op op je Bureaublad als regfix.reg, met als type 'alle bestanden' Dubbelklik op regfix.reg en sta het toevoegen aan het register toe. Download Malwarebytes' Anti-Malware Dubbelklik mbam-setup.exe om het programma te installeren. Zorg ervoor dat er een vinkje geplaatst is voor Update Malwarebytes' Anti-Malware en Launch Malwarebytes' Anti-Malware, Klik daarna op "finish". Indien een update gevonden werd, zal het die downloaden en de laatste versie installeren. Wanneer het programma volledig up to date is, selecteer "Perform Quick Scan", daarna klik Scan. Het scannen kan een tijdje duren, dus wees geduldig. Wanneer de scan voltooid is, klik OK, daarna "Show Results" om de resultaten te zien. Zorg ervoor dat daar alles aangevinkt is, daarna klik: Remove Selected. Na het verwijderen zal een log openen en zal er gevraagd worden om de computer opnieuw op te starten. (Zie extra nota onderaan) De log wordt automatisch bewaard door MBAM die je kan zien door de "Logs" tab te klikken in MBAM. Extra Nota: Indien MBAM moeilijkheden heeft met het verwijderen van bepaalde bestanden zal het enkele meldingen geven waar je OK moet klikken. Daarna zal het vragen om de Computer opnieuw op te starten... dus sta toe dat MBAM de computer opnieuw opstart. En hang dan de logjes van Combofix, MABM en een nieuw log van HiJackThis aan een volgend bericht.

Ik zie een "dankje" staan. Heeft het ook iets opgeleverd ?

rtvscan.exe is een Symantec Real Time Virus Scan service van Symantec Corporation en onderdeel van Symantec Internet Security Suite. wmpnetwk.exe is de sharing service van Windows Media Player. msmpeng.exe is van Windows Defender Auto-Protect Service. Alle drie dus legitieme programma's. Daar kunnen geen problemen door komen. Enkel die Shaing Service van WMP lijkt me perfect uit te schakelen te zijn, zonder aan veiligheid in te boeten.

(1) Neen, dat lijkt me nu OK te zijn (2) Helaas geen idee meer :s Anderen, misschien ?

Ben je zeker dat dit je volledige log is van HiJackThis ? Er ontbreekt alvast een belangrijk gedeelte ... probeer het eens opnieuw - maar dan in zijn geheel - te plaatsen in een volgend bericht. Het zal zeker nodig zijn, want er zit een flinke besmetting op je PC.

Ziet er goed uit. Hoe staat het met de overflow-melding ?