Trojaans paard Agent_r.XJ

[omega]

Hmm

"Combofix cannot run when AVG is installed

...

Please uninstall AVG or use another tool"

Ik kan niet anders doen dan OK klikken en dan stopt alles. AVG is nochtans uitgeschakeld zoals in jouw link wordt beschreven.

Is het zinvol AVG even er af te smijten, wat me wat drastisch lijkt?

Het is tussen haakjes AVG 2011.

[kape]

AVG weigert - ten onrechte - samen te werken met Combofix. Er is dus geen andere mogelijkheid dan AVG volledig van de PC te verwijderen.

[omega]

Ik heb geprobeerd AVG te verwijderen maar dat lukt niet. Ik krijg melding dat enkele bestanden door een ander programma in gebruik zijn, maar ik heb geen idee welke. Ik krijg een stuk of 13 log bestanden, teveel om hier te kopiëren.

Ik weet nu niet of AVG nog betrouwbaar aan het werken is.

Internet Explorer wilt hoe langer hoe slechter werken, ik gebruik sinds zonet noodgedwongen Firefox.

Je moet ook eens hiernaar kijken: mijn taskmgr ImageShack® - Online Photo and Video Hosting

Normaal gezien zijn die waarden nooit allemaal zo hoog, is er een ander programma gebruik van aan het maken?

Als ik een wilde veronderstelling moet doen zou ik denken dat AVG op mijn PC corrupt is

[Asus]

Hallo,

AVG verwijder je best met AVG Remover, nadien kan je Combofix runnen en je logje posten.

Grtjs.

[omega]

Hi

Ik ben nu AVG aan het verwijderen, in veilige modus (zit dit te typen op laptop), en dat wil niet lukken.

Ik moest trouwens wel in veilige modus, want op de gewone manier wou mijn pc niet opstarten. Wat het ook is dat mijn PC wil overnemen, het wordt sterker.

[omega]

toch gelukt, dit is de log van Combofix:

ComboFix 11-04-20.01 - Jonas 21/04/2011 18:30:54.1.2 - x86

Microsoft Windows XP Home Edition 5.1.2600.3.1252.32.1043.18.2046.1598 [GMT 2:00]

Gestart vanuit: c:\documents and settings\Jonas\Bureaublad\ComboFix.exe

AV: AVG Anti-Virus Free Edition 2011 *Enabled/Updated* {17DDD097-36FF-435F-9E1B-52D74245D6BF}

AV: Lavasoft Ad-Watch Live! Antivirus *Enabled/Updated* {A1C4F2E0-7FDE-4917-AFAE-013EFC3EDE33}

.

.

(((((((((((((((((((((((((((((((((( Andere Verwijderingen )))))))))))))))))))))))))))))))))))))))))))))))))

.

.

c:\documents and settings\Jonas\WINDOWS

c:\windows\system32\tmp.tmp

.

.

(((((((((((((((((((( Bestanden Gemaakt van 2011-03-21 to 2011-04-21 ))))))))))))))))))))))))))))))

.

.

2011-04-20 10:14 . 2011-04-20 10:14 -------- d-----w- c:\documents and settings\Jonas\Application Data\Malwarebytes

2011-04-20 10:14 . 2011-04-20 10:14 -------- d-----w- c:\documents and settings\All Users\Application Data\Malwarebytes

2011-04-20 10:14 . 2010-12-20 16:09 38224 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys

2011-04-20 10:14 . 2011-04-20 10:14 -------- d-----w- c:\program files\Malwarebytes' Anti-Malware

2011-04-20 10:14 . 2010-12-20 16:08 20952 ----a-w- c:\windows\system32\drivers\mbam.sys

2011-04-18 21:14 . 2011-04-18 21:14 388096 ----a-r- c:\documents and settings\Jonas\Application Data\Microsoft\Installer\{45A66726-69BC-466B-A7A4-12FCBA4883D7}\HiJackThis.exe

2011-04-18 21:14 . 2011-04-18 21:14 -------- d-----w- c:\program files\Trend Micro

2011-04-18 18:30 . 2011-04-21 06:47 -------- d--h--r- c:\documents and settings\Jonas\Onlangs geopend

2011-04-17 17:03 . 2011-04-18 18:06 -------- d-----w- c:\documents and settings\Jonas\Application Data\BITS

2011-04-17 17:03 . 2011-04-17 17:03 -------- d-----w- c:\documents and settings\Jonas\Application Data\FlashGet

2011-04-17 17:03 . 2011-04-17 17:03 -------- d-----w- c:\program files\FlashGet Network

2011-04-17 11:20 . 2009-07-26 07:34 479232 ----a-w- c:\windows\ssndii.exe

2011-04-17 11:20 . 2011-04-17 11:20 -------- d-----w- c:\windows\Samsung

2011-04-17 11:19 . 2009-06-08 13:18 49152 ----a-w- c:\windows\system32\ssusbpn.dll

2011-04-17 11:19 . 2009-06-08 13:18 57344 ----a-w- c:\windows\system32\ssdevm.dll

2011-04-17 11:19 . 2008-01-10 13:39 82432 ----a-w- c:\windows\system32\msxml4r.dll

2011-04-17 11:19 . 2008-01-10 13:39 44544 ----a-w- c:\windows\system32\msxml4a.dll

2011-04-17 11:19 . 2008-01-10 13:39 1233920 ----a-w- c:\windows\system32\msxml4.dll

2011-04-17 11:19 . 2008-01-10 13:39 21776 ----a-w- c:\windows\system32\msxml2a.dll

2011-04-17 11:18 . 2009-06-08 10:18 38400 ------w- c:\windows\system32\drivers\DGIVECP.SYS

2011-04-17 11:18 . 2011-04-17 11:18 -------- d-----w- c:\program files\Samsung

2011-04-17 11:17 . 2008-01-10 12:17 22723 ----a-w- c:\windows\system32\ssp2ml3.dll

2011-04-17 11:17 . 2008-01-10 12:16 19968 ----a-w- c:\windows\system32\Spool\prtprocs\w32x86\ssp2mpc.dll

2011-04-17 11:17 . 2008-01-10 12:15 151552 ----a-w- c:\windows\system32\ssp2mci.exe

2011-04-17 11:17 . 2008-01-10 12:15 65536 ----a-w- c:\windows\system32\ssp2mci.dll

2011-04-17 11:16 . 2008-04-13 22:17 25856 -c--a-w- c:\windows\system32\dllcache\usbprint.sys

2011-04-17 11:16 . 2008-04-13 22:17 25856 ----a-w- c:\windows\system32\drivers\usbprint.sys

.

.

.

((((((((((((((((((((((((((((((((((((((( Find3M Rapport ))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2011-04-18 18:04 . 2010-06-20 23:14 16968 ----a-w- c:\windows\system32\drivers\hitmanpro35.sys

2011-04-07 07:59 . 2010-02-28 13:18 16432 ----a-w- c:\windows\system32\lsdelete.exe

2011-03-07 05:33 . 2008-11-26 15:11 692736 ----a-w- c:\windows\system32\inetcomm.dll

2011-03-04 06:36 . 2008-04-15 12:00 420864 ----a-w- c:\windows\system32\vbscript.dll

2011-03-03 13:53 . 2008-04-15 12:00 1858048 ----a-w- c:\windows\system32\win32k.sys

2011-02-22 23:07 . 2008-04-15 12:00 916480 ----a-w- c:\windows\system32\wininet.dll

2011-02-22 23:07 . 2008-04-15 12:00 43520 ----a-w- c:\windows\system32\licmgr10.dll

2011-02-22 23:07 . 2008-04-15 12:00 1469440 ------w- c:\windows\system32\inetcpl.cpl

2011-02-22 11:43 . 2008-04-15 12:00 385024 ----a-w- c:\windows\system32\html.iec

2011-02-17 13:18 . 2008-04-15 12:00 455936 ----a-w- c:\windows\system32\drivers\mrxsmb.sys

2011-02-17 13:18 . 2008-04-15 12:00 357888 ----a-w- c:\windows\system32\drivers\srv.sys

2011-02-17 12:54 . 2008-05-05 06:25 5632 ----a-w- c:\windows\system32\xpsp4res.dll

2011-02-15 12:56 . 2008-04-15 12:00 290432 ----a-w- c:\windows\system32\atmfd.dll

2011-02-09 13:54 . 2008-04-15 12:00 270848 ----a-w- c:\windows\system32\sbe.dll

2011-02-09 13:54 . 2008-04-15 12:00 186880 ----a-w- c:\windows\system32\encdec.dll

2011-02-08 13:33 . 2008-04-15 12:00 978944 ----a-w- c:\windows\system32\mfc42.dll

2011-02-08 13:33 . 2008-04-15 12:00 974848 ----a-w- c:\windows\system32\mfc42u.dll

2011-02-02 07:58 . 2008-11-26 15:10 2067456 ----a-w- c:\windows\system32\mstscax.dll

2011-01-27 11:57 . 2008-11-26 15:10 677888 ----a-w- c:\windows\system32\mstsc.exe

2011-01-23 13:01 . 2010-02-28 12:57 98392 ----a-w- c:\windows\system32\drivers\SBREDrv.sys

.

.

------- Sigcheck -------

.

[7] 2008-06-20 . AD978A1B783B5719720CFF204B666C8E . 361600 . . [5.1.2600.5625] . . c:\windows\$hf_mig$\KB2509553\SP3QFE\tcpip.sys

[7] 2008-06-20 . AD978A1B783B5719720CFF204B666C8E . 361600 . . [5.1.2600.5625] . . c:\windows\$hf_mig$\KB951748\SP3QFE\tcpip.sys

[7] 2008-06-20 . AD978A1B783B5719720CFF204B666C8E . 361600 . . [5.1.2600.5625] . . c:\windows\SoftwareDistribution\Download\0295b08ef6f6d44d6e10800274c1496c\sp3qfe\tcpip.sys

[7] 2008-06-20 . 9AEFA14BD6B182D61E3119FA5F436D3D . 361600 . . [5.1.2600.5625] . . c:\windows\system32\dllcache\tcpip.sys

[-] 2008-06-20 . 4AFB3B0919649F95C1964AA1FAD27D73 . 361600 . . [5.1.2600.5625] . . c:\windows\system32\drivers\tcpip.sys

[7] 2008-04-15 . 93EA8D04EC73A85DB02EB8805988F733 . 361344 . . [5.1.2600.5512] . . c:\windows\$NtUninstallKB951748$\tcpip.sys

.

((((((((((((((((((((((((((((((((((((( Reg Opstartpunten )))))))))))))))))))))))))))))))))))))))))))))))))))

.

.

*Nota* lege verwijzingen & legitieme standaard verwijzingen worden niet getoond

REGEDIT4

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"RTHDCPL"="RTHDCPL.EXE" [2008-02-13 16857600]

"Belgacom"="c:\program files\Belgacom\bin\sprtcmd.exe" [2008-05-29 202016]

"Samsung PanelMgr"="c:\windows\Samsung\PanelMgr\SSMMgr.exe" [2009-08-14 614400]

.

c:\documents and settings\All Users\Menu Start\Programma's\Opstarten\

Microsoft Office.lnk - c:\program files\Microsoft Office\Office10\OSA.EXE [2001-2-13 83360]

NETGEAR WG111v3 Smart Wizard.lnk - c:\program files\NETGEAR\WG111v3\WG111v3.exe [2008-4-17 2326528]

.

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\securityproviders]

SecurityProviders msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll, mnyfunua.dll

.

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Lavasoft Ad-Aware Service]

@="Service"

.

[HKLM\~\startupfolder\C:^Documents and Settings^All Users^Menu Start^Programma's^Opstarten^Adobe Gamma Loader.lnk]

path=c:\documents and settings\All Users\Menu Start\Programma's\Opstarten\Adobe Gamma Loader.lnk

backup=c:\windows\pss\Adobe Gamma Loader.lnkCommon Startup

.

[HKLM\~\startupfolder\C:^Documents and Settings^Jonas^Menu Start^Programma's^Opstarten^LimeWire On Startup.lnk]

path=c:\documents and settings\Jonas\Menu Start\Programma's\Opstarten\LimeWire On Startup.lnk

backup=c:\windows\pss\LimeWire On Startup.lnkStartup

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe Reader Speed Launcher]

2008-06-12 01:38 34672 ----a-w- c:\program files\Adobe\Reader 9.0\Reader\reader_sl.exe

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}]

2007-01-15 15:14 147456 ----a-w- c:\program files\Common Files\Ahead\Lib\NMBgMonitor.exe

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NeroFilterCheck]

2006-01-12 14:40 155648 ----a-w- c:\program files\Common Files\Ahead\Lib\NeroCheck.exe

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\StartCCC]

2008-07-16 15:57 61440 ----a-w- c:\program files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SunJavaUpdateSched]

2010-02-24 20:12 149280 ----a-w- c:\program files\Java\jre6\bin\jusched.exe

.

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

"%windir%\\system32\\sessmgr.exe"=

"c:\\Program Files\\Messenger\\msmsgs.exe"=

"c:\\Program Files\\Mozilla Firefox\\firefox.exe"=

"c:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe"=

.

R0 Lbd;Lbd;c:\windows\system32\drivers\Lbd.sys [28/02/2010 14:57 64288]

R2 EAPPkt;Realtek EAPPkt Protocol;c:\windows\system32\drivers\EAPPkt.sys [9/10/2007 14:13 38144]

R2 sprtsvc_belgacom;SupportSoft Sprocket Service (belgacom);c:\program files\Belgacom\bin\sprtsvc.exe [29/05/2008 11:18 202016]

R3 RTL8187B;NETGEAR WG111v3 54Mbps Wireless USB 2.0 Adapter Vista Driver;c:\windows\system32\drivers\wg111v3.sys [28/12/2007 16:02 287232]

S2 gupdate;Google Updateservice (gupdate);c:\program files\Google\Update\GoogleUpdate.exe [2/01/2011 16:40 136176]

S2 SSPORT;SSPORT;\??\c:\windows\system32\Drivers\SSPORT.sys --> c:\windows\system32\Drivers\SSPORT.sys [?]

S3 Lavasoft Ad-Aware Service;Lavasoft Ad-Aware Service;c:\program files\Lavasoft\Ad-Aware\AAWService.exe [3/12/2010 11:05 2146496]

S3 Lavasoft Kernexplorer;Lavasoft helper driver;c:\program files\Lavasoft\Ad-Aware\kernexplorer.sys [3/12/2010 11:05 15232]

S4 AVGIDSShim;AVGIDSShim;c:\windows\system32\DRIVERS\AVGIDSShim.Sys --> c:\windows\system32\DRIVERS\AVGIDSShim.Sys [?]

.

Inhoud van de 'Gedeelde Taken' map

.

2011-04-21 c:\windows\Tasks\Ad-Aware Update (Weekly).job

- c:\program files\Lavasoft\Ad-Aware\Ad-AwareAdmin.exe [2010-12-03 17:20]

.

2011-04-21 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job

- c:\program files\Google\Update\GoogleUpdate.exe [2011-01-02 14:39]

.

2011-04-21 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job

- c:\program files\Google\Update\GoogleUpdate.exe [2011-01-02 14:39]

.

.

------- Bijkomende Scan -------

.

uStart Page = hxxp://www.google.be/

uInternet Settings,ProxyOverride = <local>

IE: E&xport to Microsoft Excel - c:\progra~1\MICROS~2\Office10\EXCEL.EXE/3000

IE: {{FA9B9510-9FCB-4ca0-818C-5D0987B47C4D} - c:\program files\PokerStars.NET\PokerStarsUpdate.exe

DPF: {BFF1950D-B1B4-4AE8-B842-B2CCF06D9A1B} - hxxp://game.zylom.com/activex/zylomgamesplayer.cab

FF - ProfilePath - c:\documents and settings\Jonas\Application Data\Mozilla\Firefox\Profiles\rf2gctus.default\

FF - prefs.js: browser.startup.homepage - hxxp://www.google.be

FF - Ext: Default: {972ce4c6-7e08-4474-a285-3208198ce6fd} - c:\program files\Mozilla Firefox\extensions\{972ce4c6-7e08-4474-a285-3208198ce6fd}

FF - Ext: Microsoft .NET Framework Assistant: {20a82645-c095-46ed-80e3-08825760534b} - c:\windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension

FF - Ext: Java Quick Starter: jqs@sun.com - c:\program files\Java\jre6\lib\deploy\jqs\ff

FF - Ext: Microsoft .NET Framework Assistant: {20a82645-c095-46ed-80e3-08825760534b} - %profile%\extensions\{20a82645-c095-46ed-80e3-08825760534b}

.

- - - - ORPHANS VERWIJDERD - - - -

.

HKLM-Run-ExtraFilmManager - c:\program files\ExtraFilm Designer BE NL\ExtraFilmManager.exe

.

.

.

**************************************************************************

.

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, GMER - Rootkit Detector and Remover

Rootkit scan 2011-04-21 18:36

Windows 5.1.2600 Service Pack 3 NTFS

.

scannen van verborgen processen ...

.

scannen van verborgen autostart items ...

.

scannen van verborgen bestanden ...

.

Scan succesvol afgerond

verborgen bestanden: 0

.

**************************************************************************

.

Stealth MBR rootkit/Mebroot/Sinowal/TDL4 detector 0.4.2 by Gmer, GMER - Rootkit Detector and Remover

Windows 5.1.2600 Disk: ST3250410AS rev.4.AAA -> Harddisk0\DR0 -> \Device\Ide\IdeDeviceP0T0L0-4

.

device: opened successfully

user: MBR read successfully

error: Read Een apparaat dat op het systeem is aangesloten, werkt niet.

kernel: MBR read successfully

detected disk devices:

detected hooks:

\Driver\atapi DriverStartIo -> 0x89D6C332

user & kernel MBR OK

.

**************************************************************************

.

--------------------- VERGRENDELDE REGISTER SLEUTELS ---------------------

.

[HKEY_USERS\S-1-5-21-606747145-492894223-1417001333-1004\Software\SecuROM\License information*]

"datasecu"=hex:fa,10,12,49,51,cb,f1,a2,25,06,aa,e7,9c,26,d4,85,c4,56,08,82,2a,

17,a8,a0,75,4e,62,ac,d6,c8,39,d4,4f,33,97,f7,47,6e,f7,2d,f6,e5,65,21,52,79,\

"rkeysecu"=hex:06,35,91,f3,dd,a0,c1,54,27,b9,d7,30,79,4b,c3,c6

.

--------------------- DLLs Geladen Onder Lopende Processen ---------------------

.

- - - - - - - > 'winlogon.exe'(692)

c:\windows\system32\Ati2evxx.dll

.

Voltooingstijd: 2011-04-21 18:38:46

ComboFix-quarantined-files.txt 2011-04-21 16:38

.

Pre-Run: 139.485.401.088 bytes beschikbaar

Post-Run: 139.572.359.168 bytes beschikbaar

.

WindowsXP-KB310994-SP2-Home-BootDisk-NLD.exe

[boot loader]

timeout=2

default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS

[operating systems]

c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons

UnsupportedDebug="do not select this" /debug

multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Home Edition" /noexecute=optin /fastdetect

.

- - End Of File - - BD2BCACE5E100F30E93F724E241FEACE

[kape]

En heeft AVG nu nog iets te melden ?

[omega]

Helaas nog net hetzelfde.

Ik heb ook problemen met internet explorer (en andere browsers) die soms simpelweg niet willen openen.

Gisteren kreeg ik ook melding van een nieuw paard dat een setup.exe wilde openen in een temp map. Dat is verwijderd maar ik weet niet welke er achter de schermen wel doorgeraken.

---------- Post toegevoegd om 08:51 ---------- Vorige post was om 08:44 ----------

Nieuwe AVG scan: ImageShack® - Online Photo and Video Hosting

Taskmgr: hier zitten dingen tussen die ik nog nooit heb opgemerkt, en die nu plots enorm hard aan het werk zouden zijn. ImageShack® - Online Photo and Video Hosting

Prestationfontcache.exe what the hell? Firefox.exe dat blijft draaien ook al is het programma afgesloten?

[omega]

Haja, ik zit ook met momenten met hetzelfde probleem als deze man: http://www.pc-helpforum.be/f163/pc-traag-waarschuwingen-van-avg-33176/

Al een dag geen last van gehad, maar ik ben niet zeker dat dat al opgelost is.

[kweezie wabbit]

Taskmgr: hier zitten dingen tussen die ik nog nooit heb opgemerkt, en die nu plots enorm hard aan het werk zouden zijn. ImageShack® - Online Photo and Video Hosting

Prestationfontcache.exe what the hell? Firefox.exe dat blijft draaien ook al is het programma afgesloten?

Hier vind je meer uitleg over Prestationfontcache.exe.

Processen die "enorm hard aan het werk zijn" verbruiken CPU en jou cpu gebruik is slechts 3%.

Er zijn wel processen die geheugen innemen omdat ze "geladen" zijn en klaar voor gebruik. Sommige processen blijven ook na het sluiten in het geheugen geladen maar bij firefox is normaal niet het geval.