adware in contest.dll

[landegge]

Hallo,

Telkens na een paar dagen krijg ik bij het opstarten van de computer de melding van Avast (blauw icoontje met rode cirlel) dat AAVM een RPC fout heeft gedetecteerd en dus het opstarten van Avast niet kan afronden.

Hierbij kan ik ternauwernood nog op internet. Ik verwijder de oude Avast en installeer daarna direct een nieuwe gedownloade versie. Daarna loopt alles weer.

Echter bij de eerste totale scan van Avast krijg ik ook steeds de melding dat een file besmet is. Nu is dat C:\WINDOWS\system32\ConTest.dll. Deze is volgens Avast besmet met WIN32:Adware-gen. Ik denk dat daar het probleem zit, maar wat te doen?

Je krijgt dan de mogelijkheid om te herstellen, negeren, in de kluis te doen, verwijderen, etc. Ik gebruik voor de zekerheid maar negeren omdat ik verwijderen te riskie vind en daarvan niet de consequenties weet. Dus blijft de file besmet.

Heb al gecontroleerd door hoeveel programma's de file wordt gebruikt en dat is 3.

Dus collega-forummers, wat te doen??

Ik ben bang dat eerdaags de computer niet meer is op te starten of internet helemaal niet meer bereikbaar is.

Wie helpt me? :dontknow:Alvast bedankt.

Jan-Willem

[kape]

ConTest.dll is een worm, dus zit je met een besmetting op je PC.

Download HiJackThis

Dubbelklik op HJTInstall.exe

Hijackthis wordt nu op je PC geïnstalleerd, een snelkoppeling wordt op je bureaublad geplaatst. Klik op "Do a systemscan and save a logfile". en hang dit logje aan je volgende bericht.

NB. Ben je een gebruiker van Windows Vista dan moet je eerst rechtsklikken op HijackThis.exe en dan kiezen voor "Run as Administrator".

[landegge]

Hallo Kape,

Bedankt voor je snelle reactie. Ik was al bang dat er zoiets aan de hand was.

Maar ik zal jouw instructies uitvoeren en zien wat er van komt.

Heb nog wel 1 vraag: Wat bedoel je met het logje aan het volgende bericht hangen (dit weet ik even niet), en hoe doe ik dat?

Groeten, Jan-Willem

[landegge]

Hallo Kape,

Wellicht bedoel je dat ik de logfile mee moest sturen naar jou.

Met dit bericht hen ik je een bijlage gestuurd met de logfile na de scan.

Groeten, Jan-Willem

2009-08-29- logfile 1.txt

[kape]

Dit was inderdaad wat we nodig hadden om je probleem te analyseren. Je bent het slachtoffer van een DNS-changer van onze Oekraïense "vrienden" op je PC. Begin al eens met het volgende :

Start Hijackthis op. Ben je gebruiker van Vista kies dan voor “Run as administrator" of "Uitvoeren als administrator". Selecteer “Do a system scan only”. Selecteer alleen de items die hieronder zijn genoemd:

R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)

O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)

O4 - HKCU\..\RunOnce: [shockwave Updater] C:\WINDOWS\system32\Adobe\SHOCKW~1\SWHELP~2.EXE -Update -1100465 -"Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1) ; .NET CLR 1.1.4322; .NET CLR 2.0.50727)" -Bio-Racer XL - UNDERdog - Online 3D Games, 3D Browsergames & Webgames

O16 - DPF: CabBuilder - http://kiw.imgag.com/imgag/kiw/toolbar/download/InstallerControl.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{DE3B8FEC-5553-49F7-95C7-F8A2E80E4017}: NameServer = 85.255.114.100,85.255.112.63

O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.114.100 85.255.112.63

O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.114.100 85.255.112.63

O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.114.100 85.255.112.63

Klik op 'Fix checked' om de items te verwijderen.

Download MBAM (Malwarebytes' Anti-Malware).

Dubbelklik op mbam-setup.exe om het programma te installeren.

Zorg ervoor dat er een vinkje geplaatst is voor Update Malwarebytes' Anti-Malware en Start Malwarebytes' Anti-Malware, Klik daarna op "Voltooien".

Indien een update gevonden werd, zal die gedownload en geïnstalleerd worden.

Wanneer het programma volledig up to date is, selecteer dan in het tabblad Scanner : "Snelle Scan", daarna klik op Scan.

Het scannen kan een tijdje duren, dus wees geduldig.

Wanneer de scan voltooid is, klik op OK, daarna "Bekijk Resultaten" om de resultaten te zien.

Zorg ervoor dat daar alles aangevinkt is, daarna klik op: Verwijder geselecteerde.

Na het verwijderen zal een log openen en zal er gevraagd worden om de computer opnieuw op te starten. (Zie verder). De log wordt automatisch bewaard door MBAM en kan je terugvinden door op de "Logs" tab te klikken in MBAM.

Indien MBAM moeilijkheden heeft met het verwijderen van bepaalde bestanden zal het enkele meldingen geven waar je OK moet klikken. Daarna zal het vragen om de computer opnieuw op te starten... dus sta toe dat MBAM de computer opnieuw opstart.

Plak de inhoud van het logje in je volgende bericht, samen met een nieuw HijackThis log.

[landegge]

Hallo Kape,

Heb de instructies uitgevoerd en stuur je hierbij de logjes van zowel MBAM als HijackThis.

Bekijk het maar even en geef je commentaar.

Trouwens ik ben verrast over de snelle reacties. Super !!

Groeten, Jan-Willem

2009-08-30- logfile 2.txt

mbam-log-2009-08-30 (07-00-57).txt

[kape]

Malwarebytes heeft behoorlijk wat onheil verwijderd en logje van HiJackThis ziet er nu prima uit

Laat Avast eens opnieuw los op deze PC. Ben benieuwd of die nog iets te vertellen heeft ?

[landegge]

:top:Hallo Kape,

Avast er weer overheen gegooid. Volgende 2 files als resultaat:

a) File: C:\Documents and Settings\janwillem\Local Settings\Temporary Internet Files\Content IE5\3PGS4TU1\clipsomatic_com[1].htm

Resultaat: Infectie: HTML:frame-inf

Bewerking: Met succes verplaatst naar kluis

File: C:\WINDOWS\winstart.bat

Resultaat: Onmogelijk af te tasten: Bestand is offline - het is momenteel niet beschikbaar

Bewerking: blanco

Moet ik hier nog iets aan doen? Ik hoor het wel.

Verder alvast bedankt voor de grote en snelle hulp. Ik ben onder de indruk.

Groeten, Jan-Willem

---------- Post toegevoegd om 14:35 ---------- Vorige post was om 14:24 ----------

Hallo Kape,

Nog even een tweede berichtje.

Ik gebruik nu Avast. Heeft dit ook jouw voorkeur van alle "free" virusscanners of zou je mij een andere aanbevelen?

Groeten, Jan-Willem

[kape]

Doe dit nog even als extraatje :

Download Combofix naar je Bureaublad.

Lees hier meer over correct gebruik van Combofix.

OPMERKING: indien je, tijdens of na het downloaden van Combofix of tijdens het gebruik van Combofix een melding krijgt van je Antivirus- of een andere realtime scanner, schakel dan deze scanner uit en download Combofix opnieuw.

Sommige scanners zien bepaalde componenten die Combofix gebruikt als verdacht en gaan deze blokkeren of verwijderen!

• Dubbelklik op Combofix.exe om het te starten.
  Indien je Combofix al eerder hebt gebruikt, kan je een waarschuwing krijgen dat een update beschikbaar is. Sta toe dat ComboFix wordt geupdate.
  Volg de instructies, aanvaard de disclaimer door op Ja te klikken.
  Indien de Recovery Console niet geïnstalleerd is, wordt je gevraagd om dit alsnog te doen door op JA te klikken in het "Query - Recovery Console" venster (enkel voor XP, niet voor VISTA).
  Klik op OK en Ja om automatisch de Recovery Console te laten installeren.
  Klik na afloop terug op Ja om het scannen op malware te starten.
  Tijdens het runnen van de fix, NIET in het venster klikken, want dit zal je pc doen vasthangen.
  

Wanneer de fix voltooid is en na herstart, zal de log Combofix.txt openen.

Post dit logje in je volgende antwoord.

En AVAST is alvast geen slechte keuze

[landegge]

Hallo Kape,

Hier dan het logje van Combofix.

Ik zie je reactie met spanning tegemoet.

Groeten, Jan-Willem

combofix logfile - 2009-08-30.txt