[OPGELOST] Rootkits

[Jorgen666]

Hey iedereen,

Heb vandaag nog eens een virusscan gedaan met Avast Antivirus. Heb een zorgvuldige scan gedaan, is nog altijd bezig, duurt nu al 6u en zit nog maar op 40%, en kreeg al verschillende keren een melding dat er malware gevonden is, met name rootkits. Aangezien ik geen idee had wat dat was, heb ik gewoon het advies gevolgd en het in de kluis gestopt. Maar na de 37ste melding, had ik er wel genoeg van en besloot ik om eens op te zoeken wat een rootkit is. Na het op wikipedia gelezen te hebben, begrijp ik het een beetje, en is het precies niet echt iets om mee te lachen.

Er staat namelijk dat het dingen wijzigt in je besturingssysteem (ofzo? ) en ook al verwijder je de rootkits, de wijzigingen blijven bestaan. De enigste oplossing is om te formatteren. Is dat waar? Moet ik nu een format doen?

Groetjes Jorgen

[Jorgen666]

Ook nog een dropper gevonden ... die heb ik hersteld ...

Pfff

[kape]

Die format kan je nog even in de ijskast zetten Laat ons eerst even via andere weg proberen je probleem op te lossen :

Download HiJackThis

Dubbelklik op HJTInstall.exe

Hijackthis wordt nu op je PC geïnstalleerd, een snelkoppeling wordt op je bureaublad geplaatst. Klik op "Do a systemscan and save a logfile". en hang dit logje aan je volgende bericht.

NB. Ben je een gebruiker van Windows Vista dan moet je eerst rechtsklikken op HijackThis.exe en dan kiezen voor "Run as Administrator".

[Jorgen666]

Die format kan je nog even in de ijskast zetten Laat ons eerst even via andere weg proberen je probleem op te lossen :

Download HiJackThis

Dubbelklik op HJTInstall.exe

Hijackthis wordt nu op je PC geïnstalleerd, een snelkoppeling wordt op je bureaublad geplaatst. Klik op "Do a systemscan and save a logfile". en hang dit logje aan je volgende bericht.

NB. Ben je een gebruiker van Windows Vista dan moet je eerst rechtsklikken op HijackThis.exe en dan kiezen voor "Run as Administrator".

Ok, mag ik dit morgen doen ?

Avast is nu nog aan het scannen en zit nog maar op 61%, maar wil hem toch verder laten zoeken (laatste 20% niks meer gevonden!).

En het is voetbal dus ...

Bedankt toch al voor reactie!

[Jorgen666]

Ok, hier is het.

Hoop dat het erbij zit xD

LogJorgen666.txt

[kape]

Start Hijackthis op. Ben je gebruiker van Vista kies dan voor “Run as administrator" of "Uitvoeren als administrator". Selecteer “Do a system scan only”. Selecteer alleen de items die hieronder zijn genoemd:

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = \blank.htm

R3 - Default URLSearchHook is missing

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O4 - HKLM\..\Run: [updater] C:\WINDOWS\system32\updater\explorer.exe

O4 - HKLM\..\Run: [systemdll] C:\WINDOWS\system32\systemdll.exe

O20 - AppInit_DLLs: pushow34.dll

Klik op 'Fix checked' om de items te verwijderen.

Download MBAM (Malwarebytes' Anti-Malware).

Dubbelklik op mbam-setup.exe om het programma te installeren.

Zorg ervoor dat er een vinkje geplaatst is voor Update Malwarebytes' Anti-Malware en Start Malwarebytes' Anti-Malware, Klik daarna op "Voltooien".

Indien een update gevonden werd, zal die gedownload en geïnstalleerd worden.

Wanneer het programma volledig up to date is, selecteer dan in het tabblad Scanner : "Snelle Scan", daarna klik op Scan.

Het scannen kan een tijdje duren, dus wees geduldig.

Wanneer de scan voltooid is, klik op OK, daarna "Bekijk Resultaten" om de resultaten te zien.

Zorg ervoor dat daar alles aangevinkt is, daarna klik op: Verwijder geselecteerde.

Na het verwijderen zal een log openen en zal er gevraagd worden om de computer opnieuw op te starten. (Zie verder)

De log wordt automatisch bewaard door MBAM en kan je terugvinden door op de "Logs" tab te klikken in MBAM.

Indien MBAM moeilijkheden heeft met het verwijderen van bepaalde bestanden zal het enkele meldingen geven waar je OK moet klikken.

Daarna zal het vragen om de computer opnieuw op te starten... dus sta toe dat MBAM de computer opnieuw opstart.

Plak de inhoud van het logje in je volgende bericht, samen met een nieuw HijackThis log.

En dan nog een vraagje : ken jij de provider die in de 017-lijn van je log voorkomt ?

83.143.245.37

org-name: Globalaxs Communications

[Jorgen666]

Ik klikte op "voltooien" en toen kwam er een kadertje van dat hij verbinding ging maken met die site ofzo, maar toen kreeg ik een foutmelding van "Update is mislukt. Controleer of je verbonden bent met het internet en of je firewall dit niet blokkeert."

Geen update dus, denk ik.

Wat nu ?

En dat van die provider, ik heb geen idee ...

Ik weet dat nu we nu sinds 21 maart bij Telenet zitten en voordien hadden we full adsl. Maar dat helpt je waarschijnlijk geen stap vooruit ...

+ Kreeg daarstraks ook melding van Avast, dat er een fout was opgetreden in de weet-ik-veel-wat en dus moest afsluiten ... (kan het service guide zijn?)

+ extra informatie : heb een maand zonder virusscanner gezeten, maar ik zat op kot en die pc stond max een uurtje aan per weekend...

+ extra informatie : soms startte mijn pc op, ik log in op mijn account, maar dan blokkeerde hij. Ik kon mijn muis bewegen, ik zag het bureaublad, maar ik kon nergens op dubbel klikken, want dan kreeg ik die zandloper en gebeurde er niets, als ik gwn op mijn startbalk ging staan, kreeg ik ook een zandloper, dus kon ik ook niet op start duwen. ctrl + alt + del werkte ook niet ...

[kape]

OK, dan moet je eerst een andere stap zetten (indien dit lukt) :

Download Combofix naar je Bureaublad.

Lees hier meer over correct gebruik van Combofix.

OPMERKING: indien je, tijdens of na het downloaden van Combofix of tijdens het gebruik van Combofix een melding krijgt van je Antivirus- of een andere realtime scanner, schakel dan deze scanner uit en download Combofix opnieuw.

Sommige scanners zien bepaalde componenten die Combofix gebruikt als verdacht en gaan deze blokkeren of verwijderen!

• 
  Dubbelklik op Combofix.exe om het te starten.
  Indien je Combofix al eerder hebt gebruikt, kan je een waarschuwing krijgen dat een update beschikbaar is. Sta toe dat ComboFix wordt geupdate.
  Volg de instructies, aanvaard de disclaimer door op Ja te klikken.
  Indien de Recovery Console niet geïnstalleerd is, wordt je gevraagd om dit alsnog te doen door op JA te klikken in het "Query - Recovery Console" venster (enkel voor XP, niet voor VISTA).
  Klik op OK en Ja om automatisch de Recovery Console te laten installeren.
  Klik na afloop terug op Ja om het scannen op malware te starten.
  Tijdens het runnen van de fix, NIET in het venster klikken, want dit zal je pc doen vasthangen.
  

Wanneer de fix voltooid is en na herstart, zal de log Combofix.txt openen.

Post dit logje in je volgende antwoord.

[Jorgen666]

Na enkele fouten dingen (Avast die ertussen kwam enzo, en ik heb het gisteren uitgemaakt met mijn vriendin waarmee ik anderhalf jaar samen was) is het gelukt.

Hier is de log.

Als je niet meer online komt, voor 17u, moet je geen moeite meer doen om een antwoord te schrijven. Ik vertrek namelijk om 17u op weekend met mijn ouders en ben maandag avond pas terug thuis, vanaf dan zal ik verder kunnen gaan met het herstellen van mijn pc. Toch al bedankt voor alles.

Als je zometeen antwoord kunnen we hem misschien nog herstellen voor ik vertrek.

ComboFixLog.txt

[kape]

Nog even klaar vóór de vakantie

Open een kladblokbestand.

Kopieer en plak daarin de onderstaande vetgedrukte tekst.

File::

c:\windows\t55ft3223f44.dat

c:\windows\t55ft2631f44.dat

C:\4443223454.bat

Folder::

c:\program files\websrvx

Registry::

[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\G]

[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\H]

[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{d2dc5fb2-aa7e-11dc-bae1-0011091b1d98}]

Sla dit bestand op je bureaublad op als CFScript.txt.

Sleep CFScript.txt in ComboFix.exe

Dit zal ComboFix doen herstarten. Start opnieuw op als dat gevraagd wordt.

Post na herstart de inhoud van de Combofix.txt in je volgende bericht samen met een nieuw logje van HijackThis. En laat dan meteen even weten of je nog problemen merkt ?