Bureaublad en taakbalk verdwenen

[kape]

In deze map C:\ProgramFiles\TrendMicro\HijackThis zal je een tekstbestand vinden met naam hijackthis.txt. Je opent dit tekstbestand en kopieert de tekst ervan. Dan reageer je hier op het forum met een nieuw bericht en plak je daar de tekst in. Dan kunnen we verder kijken wat er nog te doen valt.

In je bericht 3 is het je al gelukt om zo'n logje te plaatsen, dan zal dat nu ook wel opnieuw lukken. Succes ermee !

[mirian]

Ik snap nog niet helemaal wat ik nu moet doen. ALs ik HijackThis open, waar moet ik dan dit: C:\ProgramFiles\TrendMicro\HijackThis vinden?

[kape]

Je gaat via de volgorde C -> Program Files -> TrendMicro naar de map HijackThis. Daarin moet een bestandje hijackthis.txt zitten. Het is de inhoud van dit bestandje dat je moet kopiëren en in je volgende bericht plakken.

[mirian]

Dank je wel voor je snelle antwoord en excuses voor mijn late reactie.

Ik heb helaas het idee dat het een wat dieper gelegen probleem is. Ik kan überhaupt niet naar 'deze computer' of mappen verkennen. Ik kan dus het tekstbestand hijackthis.txt ten eerste al niet openen.

help!

[kape]

Probeer dan eerst eens of dit lukt ?

Download ComboFix van één van deze locaties:

Link 1

Link 2

* BELANGRIJK !!! Sla ComboFix.exe op je Bureaublad op

1. Schakel alle antivirus- en antispywareprogramma's uit, want anders kunnen ze misschien conflicteren met ComboFix. Hier is een handleiding over hoe je ze kan uitschakelen:

Klik hier

Als het je niet lukt om ze uit te schakelen, ga dan gewoon door naar de volgende stap.

2. Dubbelklik op ComboFix.exe en volg de meldingen op het scherm.

3. ComboFix zal controleren of dat de Microsoft Windows Recovery Console reeds is geïnstalleerd.

**Let op: Als de Microsoft Windows Recovery Console al is geïnstalleerd, dan krijg je de volgende schermen niet te zien en zal ComboFix automatisch verder gaan met het scannen naar malware.

4. Volg de meldingen op het scherm om ComboFix de Microsoft Windows Recovery Console te laten downloaden en installeren.

Je krijgt de volgende melding te zien wanneer ComboFix de Microsoft Windows Recovery Console succesvol heeft geïnstalleerd:

Klik op Ja om verder te gaan met het scannen naar malware.

5. Wanneer ComboFix klaar is, zal het een logbestand voor je maken. Post de inhoud van dit logbestand (te vinden als C:\ComboFix.txt) in je volgende bericht.

[mirian]

Dag!

Het is gelukt combofix uit te voeren. Hieronder het log:

ComboFix 11-03-29.01 - Eigenaar 29-03-2011 22:40:45.1.1 - x86

Microsoft Windows XP Professional 5.1.2600.3.1252.31.1043.18.1023.456 [GMT 2:00]

Gestart vanuit: c:\documents and settings\Eigenaar\Mijn documenten\Downloads\ComboFix.exe

AV: Microsoft Security Essentials *Disabled/Updated* {BCF43643-A118-4432-AEDE-D861FCBCFCDF}

AV: Microsoft Security Essentials *Enabled/Updated* {EDB4FA23-53B8-4AFA-8C5D-99752CCA7095}

.

.

(((((((((((((((((((((((((((((((((( Andere Verwijderingen )))))))))))))))))))))))))))))))))))))))))))))))))

.

.

c:\documents and settings\Eigenaar\Local Settings\Temp\catchme.dll

c:\documents and settings\Eigenaar\Menu Start\Programma's\Opstarten\OpenOffice.org 2.0 .lnk

C:\Install.exe

.

.

(((((((((((((((((((( Bestanden Gemaakt van 2011-02-28 to 2011-03-29 ))))))))))))))))))))))))))))))

.

.

2011-03-29 19:32 . 2011-03-29 19:32 28752 ----a-w- c:\documents and settings\All Users\Application Data\Microsoft\Microsoft Antimalware\Definition Updates\{3B9699E3-F854-4D78-94B1-22051F81A813}\MpKsl4ea407fc.sys

2011-03-29 19:31 . 2011-03-15 04:05 6792528 ----a-w- c:\documents and settings\All Users\Application Data\Microsoft\Microsoft Antimalware\Definition Updates\{3B9699E3-F854-4D78-94B1-22051F81A813}\mpengine.dll

2011-03-14 21:33 . 2011-03-15 04:05 6792528 ----a-w- c:\documents and settings\All Users\Application Data\Microsoft\Microsoft Antimalware\Definition Updates\Backup\mpengine.dll

2011-03-10 11:13 . 2011-03-10 11:13 388096 ----a-r- c:\documents and settings\Eigenaar\Application Data\Microsoft\Installer\{45A66726-69BC-466B-A7A4-12FCBA4883D7}\HiJackThis.exe

2011-03-10 11:13 . 2011-03-10 11:13 -------- d-----w- c:\program files\Trend Micro

2011-03-07 22:27 . 2011-03-07 22:27 -------- d-----w- c:\documents and settings\Eigenaar\Application Data\Uniblue

2011-03-07 22:20 . 2011-03-07 22:20 -------- d-----w- c:\documents and settings\Eigenaar\Application Data\Malwarebytes

2011-03-07 22:19 . 2010-12-20 17:09 38224 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys

2011-03-07 22:19 . 2011-03-07 22:19 -------- d-----w- c:\documents and settings\All Users\Application Data\Malwarebytes

2011-03-07 22:19 . 2011-03-11 09:06 -------- d-----w- c:\program files\Malwarebytes' Anti-Malware

2011-03-07 22:19 . 2010-12-20 17:08 20952 ----a-w- c:\windows\system32\drivers\mbam.sys

2011-03-07 22:04 . 2011-03-07 22:04 -------- d-----w- c:\windows\system32\wbem\Repository

.

.

((((((((((((((((((((((((((((((((((((((( Find3M Rapport ))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2011-02-09 13:54 . 2002-12-31 13:00 270848 ----a-w- c:\windows\system32\sbe.dll

2011-02-09 13:54 . 2002-12-31 13:00 186880 ----a-w- c:\windows\system32\encdec.dll

2011-02-02 07:58 . 2007-09-11 22:51 2067456 ----a-w- c:\windows\system32\mstscax.dll

2011-01-27 11:57 . 2007-09-11 22:51 677888 ----a-w- c:\windows\system32\mstsc.exe

2011-01-21 14:44 . 2002-12-31 13:00 441344 ----a-w- c:\windows\system32\shimgvw.dll

2011-01-13 09:41 . 2011-01-26 07:28 5890896 ----a-w- c:\documents and settings\All Users\Application Data\Microsoft\Microsoft Antimalware\Definition Updates\Updates\mpengine.dll

2011-01-07 14:09 . 2002-12-31 13:00 290048 ----a-w- c:\windows\system32\atmfd.dll

2010-12-31 14:04 . 2005-11-10 19:46 1855104 ----a-w- c:\windows\system32\win32k.sys

.

.

((((((((((((((((((((((((((((((((((((( Reg Opstartpunten )))))))))))))))))))))))))))))))))))))))))))))))))))

.

.

*Nota* lege verwijzingen & legitieme standaard verwijzingen worden niet getoond

REGEDIT4

.

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"MsnMsgr"="c:\program files\Windows Live\Messenger\msnmsgr.exe" [2010-04-16 3872080]

"Skype"="c:\program files\Skype\Phone\Skype.exe" [2011-01-26 15026056]

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"AGRSMMSG"="AGRSMMSG.exe" [2005-03-04 88209]

"NeroFilterCheck"="c:\windows\system32\NeroCheck.exe" [2001-07-09 155648]

"RemoteControl"="c:\program files\ASUSTeK\ASUSDVD\PDVDServ.exe" [2003-10-31 32768]

"MSC"="c:\program files\Microsoft Security Client\msseces.exe" [2010-11-30 997408]

"WinampAgent"="c:\program files\Winamp\winampa.exe" [2010-12-09 74752]

.

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

"DWQueuedReporting"="c:\progra~1\COMMON~1\MICROS~1\DW\dwtrig20.exe" [2007-02-25 437160]

.

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]

"tscuninstall"="c:\windows\system32\tscupgrd.exe" [2002-12-31 44544]

.

c:\documents and settings\All Users\Menu Start\Programma's\Opstarten\

Adobe Reader Speed Launch.lnk - c:\program files\Adobe\Acrobat 7.0\Reader\reader_sl.exe [2004-12-14 29696]

.

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\MsMpSvc]

@="Service"

.

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

"c:\\Program Files\\Messenger\\msmsgs.exe"=

"c:\\Program Files\\Skype\\Plugin Manager\\skypePM.exe"=

"c:\\Program Files\\Windows Live\\Messenger\\wlcsdk.exe"=

"c:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe"=

"c:\\Documents and Settings\\Eigenaar\\Mijn documenten\\Mijn video's\\BitLord 1.2\\Bitlord files\\bitlord.exe"=

"c:\\Program Files\\Winamp\\winamp.exe"=

"c:\\Program Files\\Skype\\Phone\\Skype.exe"=

.

R1 MpKsl4ea407fc;MpKsl4ea407fc;c:\documents and settings\All Users\Application Data\Microsoft\Microsoft Antimalware\Definition Updates\{3B9699E3-F854-4D78-94B1-22051F81A813}\MpKsl4ea407fc.sys [29-3-2011 21:32 28752]

R3 CONAN;CONAN;c:\windows\system32\drivers\o2mmb.sys [12-9-2007 12:13 182101]

R3 MbxStby;MbxStby;c:\windows\system32\drivers\MbxStby.sys [12-9-2007 12:13 5689]

R3 WLAN_400_500_SERVICE;HP WLAN W400/W500 Wireless Network Adapter Service;c:\windows\system32\drivers\ar5211.sys [12-9-2007 12:03 468768]

S2 gupdate;Google Updateservice (gupdate);c:\program files\Google\Update\GoogleUpdate.exe [14-12-2010 19:01 136176]

.

--- Andere Services/Drivers In Geheugen ---

.

*NewlyCreated* - MPKSL4EA407FC

.

Inhoud van de 'Gedeelde Taken' map

.

2011-03-29 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job

- c:\program files\Google\Update\GoogleUpdate.exe [2010-12-14 17:01]

.

2011-03-29 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job

- c:\program files\Google\Update\GoogleUpdate.exe [2010-12-14 17:01]

.

2011-03-29 c:\windows\Tasks\MP Scheduled Scan.job

- c:\program files\Microsoft Security Client\Antimalware\MpCmdRun.exe [2010-11-11 11:26]

.

.

------- Bijkomende Scan -------

.

FF - ProfilePath - c:\documents and settings\Eigenaar\Application Data\Mozilla\Firefox\Profiles\2g5rqbs6.default\

FF - prefs.js: browser.search.defaulturl - hxxp://search.conduit.com/ResultsExt.aspx?ctid=CT2830765&SearchSource=3&q={searchTerms}

FF - prefs.js: browser.startup.homepage - hxxp://search.conduit.com/?ctid=CT2830765&SearchSource=13

FF - prefs.js: keyword.URL - hxxp://search.conduit.com/ResultsExt.aspx?ctid=CT2830765&q=

FF - prefs.js: network.proxy.type - 0

FF - Ext: Default: {972ce4c6-7e08-4474-a285-3208198ce6fd} - c:\program files\Mozilla Firefox\extensions\{972ce4c6-7e08-4474-a285-3208198ce6fd}

FF - Ext: Skype extension: {AB2CE124-6272-4b12-94A9-7303C7397BD1} - c:\program files\Mozilla Firefox\extensions\{AB2CE124-6272-4b12-94A9-7303C7397BD1}

FF - Ext: Conduit Engine : engine@conduit.com - %profile%\extensions\engine@conduit.com

FF - Ext: Elf 1.12 Community Toolbar: {38542454-dfb6-44f5-b052-d4e071a3d073} - %profile%\extensions\{38542454-dfb6-44f5-b052-d4e071a3d073}

FF - Ext: Bitlord 1.2 Community Toolbar: {8c5878d0-6106-423b-aaa8-144c143dbf44} - %profile%\extensions\{8c5878d0-6106-423b-aaa8-144c143dbf44}

.

- - - - ORPHANS VERWIJDERD - - - -

.

HKCU-Run-Uniblue RegistryBooster 2009 - c:\program files\Uniblue\RegistryBooster\RegistryBooster.exe

.

.

.

**************************************************************************

.

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, GMER - Rootkit Detector and Remover

Rootkit scan 2011-03-29 22:44

Windows 5.1.2600 Service Pack 3 NTFS

.

scannen van verborgen processen ...

.

scannen van verborgen autostart items ...

.

scannen van verborgen bestanden ...

.

Scan succesvol afgerond

verborgen bestanden: 0

.

**************************************************************************

.

--------------------- DLLs Geladen Onder Lopende Processen ---------------------

.

- - - - - - - > 'winlogon.exe'(772)

c:\windows\system32\Ati2evxx.dll

.

- - - - - - - > 'Explorer.EXE'(3680)

c:\program files\Windows Media Player\wmpband.dll

c:\program files\Malwarebytes' Anti-Malware\mbamext.dll

c:\progra~1\MI239C~1\shellext.dll

c:\windows\system32\audiodev.dll

c:\windows\system32\WMVCore.DLL

c:\windows\system32\WMASF.DLL

.

Voltooingstijd: 2011-03-29 22:47:03

ComboFix-quarantined-files.txt 2011-03-29 20:46

.

Pre-Run: 15.789.719.552 bytes beschikbaar

Post-Run: 16.049.672.192 bytes beschikbaar

.

WindowsXP-KB310994-SP2-Pro-BootDisk-NLD.exe

[boot loader]

timeout=2

default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS

[operating systems]

c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons

UnsupportedDebug="do not select this" /debug

multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /noexecute=optin /fastdetect

.

- - End Of File - - AAAA91E98518A53805B10C40CB484AD4

En nu?

[kape]

Open een kladblokbestand.

Kopieer en plak daarin de onderstaande vetgedrukte tekst.

Firefox::

FF - ProfilePath - c:\documents and settings\Eigenaar\Application Data\Mozilla\Firefox\Profiles\2g5rqbs6.default\

FF - prefs.js: browser.search.defaulturl –

FF - prefs.js: browser.startup.homepage –

FF - prefs.js: keyword.URL –

FF - Ext: Conduit Engine : engine@conduit.com - %profile%\extensions\engine@conduit.com

Sla dit bestand op je bureaublad op als CFScript.txt.

Sleep CFScript.txt in ComboFix.exe

Dit zal ComboFix doen herstarten. Start opnieuw op als dat gevraagd wordt.

Post na herstart de inhoud van de Combofix.txt in je volgende bericht.

[mirian]

Wanneer ik het kladblokbestand probeer op te slaan, verdwijnt deze zomaar. Bij het openen van het kladblok, krijg ik ook al de volgende melding: 'Het systeem kan het opgegeven pad niet vinden'. Als ik vervolgens op 'oke' druk kan ik er wel in werken. Opslaan lukt daarna helaas niet.