HJT logje na PC probleem

[percussive]

--------------------------------------------------------------------------------

KASPERSKY ONLINE SCANNER 7.0: scan report

Tuesday, August 10, 2010

Operating system: Microsoft Windows XP Home Edition Service Pack 3 (build 2600)

Kaspersky Online Scanner version: 7.0.26.13

Last database update: Tuesday, August 10, 2010 08:52:02

Records in database: 4131149

--------------------------------------------------------------------------------

Scan settings:

scan using the following database: extended

Scan archives: yes

Scan e-mail databases: yes

Scan area - My Computer:

A:\

C:\

D:\

E:\

F:\

Scan statistics:

Objects scanned: 235409

Threats found: 4

Infected objects found: 8

Suspicious objects found: 0

Scan duration: 03:56:30

File name / Threat / Threats count

C:\Qoobox\Quarantine\C\Documents and Settings\Gebruiker\Menu Start\Programma's\Opstarten\srvklw32.exe.vir Infected: Trojan.Win32.Jorik.Bredolab.bs 1

C:\Qoobox\Quarantine\C\WINDOWS\system32\bycool\winacces.exe.vir Infected: Trojan-Dropper.Win32.Agent.afpc 1

C:\Qoobox\Quarantine\C\WINDOWS\system32\drivers\aec.sys.vir Infected: Rootkit.Win32.Agent.bier 1

C:\Qoobox\Quarantine\C\WINDOWS\system32\fjhdyfhsn.bat.vir Infected: Trojan.BAT.Agent.vf 1

C:\System Volume Information\_restore{646DADF1-444D-4C68-B8D6-E68E0715A4D0}\RP345\A0141233.exe Infected: Trojan.Win32.Jorik.Bredolab.bs 1

C:\System Volume Information\_restore{646DADF1-444D-4C68-B8D6-E68E0715A4D0}\RP345\A0141234.exe Infected: Trojan-Dropper.Win32.Agent.afpc 1

C:\System Volume Information\_restore{646DADF1-444D-4C68-B8D6-E68E0715A4D0}\RP345\A0141235.bat Infected: Trojan.BAT.Agent.vf 1

C:\System Volume Information\_restore{646DADF1-444D-4C68-B8D6-E68E0715A4D0}\RP345\A0156471.sys Infected: Rootkit.Win32.Agent.bier 1

Selected area has been scanned.

[kape]

Verwijder Combofix: Start -> Uitvoeren en typ: ComboFix /Uninstall

Dit zal Combofix verwijderen + gerelateerde mappen en bestanden, herstelt de klokinstellingen opnieuw, verbergt de bestandsextensies, gaat verborgen bestanden en systeembestanden terug verbergen en maakt een nieuw herstelpunt.

Indien aanwezig mag je de map C:\Qoobox manueel verwijderen.

Download hier CCleaner en dan start de download van CCleaner automatisch en gratis op.

Installeer het en start CCleaner op. Klik in de linkse kolom op “Cleaner”. Klik achtereenvolgens op ‘Analyseren’ en 'Schoonmaken'. Soms is 1 analyse niet voldoende. Deze procedure mag je herhalen tot de analyse geen fouten meer aangeeft. Klik vervolgens in de linkse kolom op “Register” en klik op ‘Scan naar problemen”. Als er fouten gevonden worden klik je op ”Herstel geselecteerde problemen” en ”OK”. Dan krijg je de vraag om een back-up te maken. Klik op “JA”. Kies dan “Herstel alle geselecteerde fouten”. Sluit hierna CCleaner terug af.

Wil je dit uitgebreid in beeld bekijken, klik dan hier voor de handleiding.

Het is aangewezen om de bestaande herstelpunten te verwijderen (daar zitten besmette herstelpunten tussen die je eventueel zou kunnen terugzetten) door systeemherstel tijdelijk uit te schakelen. Doe dit via Start -> Configuratiescherm -> Prestaties en Onderhoud -> Systeem -> Systeemherstel -> "Systeemherstel op alle stations uitschakelen" aanvinken. Toepassen en OK. PC herstarten en het vinkje terug weg halen.

En laat dan maar weten of er nog merkbare problemen zijn ?

[percussive]

Ik heb voor de zekerheid nog een keer extra opgestart (had vorige keer ook al eens te vroeg gejuicht). Volgens mij doet hij het weer helemaal normaal. Alleen onder C: kan ik nog een ComboFix mapje vinden, met daarin 1 bestand 'NircmdB'. Qoobox is wel weg. Ging het hier nu om een virus/spyware?

Nog een laatste vraagje, in de C:map staat bovenaan als eerste mapje altijd een lange gecodeerde map '6e405479e68fd4dffaa74f1cca8b4f' met daarin de mappen i386 en amd64.Is dat iets speciaals?

Moest er alsnog iets mislopen laat ik het spoedig weten. Ontzettend hard bedankt voor alle hulp en moeite!!!

Mvg

Sam

[kape]

Je had inderdaad een Trojan en Rootkit in je PC-netje gevangen. Dat blijkt al uit het resultaat van Kaspersky. Maar geen nood, deze zijn netjes verwijderd.

Mapje van Combofix mag manueel verwijderd worden. Die cijfermap is moeilijk te beoordelen vanop afstand. Wat je kan doen is de bestanden die in de map zitten (tijdelijk) een andere naam geven : bvb. amd64.exe wijzigen in amd64.old (dus steeds de extensie op old zetten) ... en dan eens kijken of je met deze wijziging tegen problemen aanbotst. Is dat niet het geval, kan je na een weekje - met gerust gemoed - beslissen om ook deze map te verwijderen.

Mocht er nog iets zijn, dan kom je maar opnieuw aankloppen. Is dat niet het geval - en je bent zeker dat alles nu OK is - klik dan even op de button "opgelost" onderaan dit topic !

[percussive]

Volgens wat ik kan terugvinden heeft de cijfermap te maken met Windows-updates, de andere mapjes met Intel en AMD processor. Weinig speciaals blijkbaar.

Nog eens hartelijk merci voor de steeds snelle reply's en efficiënte hulp!

Mvg

Sam