[OPGELOST] Probleem: Win32 Hijack-AN

[Robo]

Hallo,

Ik gebruik Avast als virusbeveiliging.

Sinds gisteren detecteert hij het virus WIN32 Hijack-AN. Telkens delete ik met succes dit virus maar het blijft terugkomen. Soms direct twee keer na elkaar. Anders komt het meestal om de tien minuten terug.

Het virus zet zich meestal bij WINDOWS\TEMP en heeft meestal een lange nummer als naam. Het is ook een .exe bestand. Telkens het terugkomt heeft het een ander nummer als naam en het komt steeds in een tijdelijke map terecht.

Op internet en bij Avast vind ik niks over Hijack-AN terug.

Heb al vanalles geprobeerd maar het blijft terugkomen.

Weet iemand wat ik kan doen?

Alvast bedankt!

[kape]

Download HiJackThis, opslaan in een eigen map (bvb. C:\ProgramFiles\TrendMicro\HiJackThis), maak hiermee een log en hang dit (hijackthis.log) als bijlage aan een volgend bericht. Kunnen we eens meekijken wat er (eventueel) te doen valt.

[Robo]

Het probleem is er nog steeds.

Heb Hijackthis gedownload en de log is bijgevoegd aan dit bericht.

Hopelijk vinden jullie iets!

Bedankt!

hijackthis.log

[kape]

Laat ons hiermee starten :

• Download en bewaar SDFIx op je bureaublad. Dubbelklik op SDFix.exe en kies voor Install om het tooltje uit te pakken in een eigen map op je bureaubad. Herstart dan je pc in veilige modus.

• In veilige modus, open de SDFix map op je bureaublad en dubbelklik op RunThis.bat om het tooltje te starten.
  
• Typ Y om het clean proces te starten.
  
• het verwijdert alle Trojan Services of Registry Entries die met deze infectie te maken hebben, als het tooltje klaar is zal het jou vertellen om eender welke toets te drukken om je pc te herstarten, doe dit ook.
  
• Wanneer de pc herstart zal het tooltje opnieuw runnen en het opruimproces beëindigen en je de melding Finished tonen, druk dan op eender welke toets om het scriptje te beëindigen en je bureaublad zullen tevoorschijn komen.
  
• Wanneer je bureaublad icoontjes verschijnen zal het rapportje van SDFix openen en ook in de map bewaren onder de naam Report.txt.
  
• Kopieer en plak nu de inhoud van dat rapportje hier met een nieuw hijackthis logje.

[Robo]

Ik heb alles uitgevoerd zoals je beschreven hebt.

In bijlage de inhoud van het rapport van Sdfix en een nieuwe log van Hijackthis.

Laat ons hopen dat het opgelost is.

hijackthis.log

Report.txt

[kape]

SDFIx heeft zijn werk perfect gedaan.

Nog even dit opkuisen. Start Hijackthis op en kies voor 'Do a system scan only'. Selecteer alleen de items hieronder genoemd:

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O4 - HKLM\..\Run: [userFaultCheck] %systemroot%\system32\dumprep 0 –u

Klik op 'Fix checked' om de items te verwijderen.

Download ATF cleaner

Dubbelklik op ATF cleaner om het programma te starten.

Op het tabblad "Main", plaats je een vinkje bij Select All.

Klik op de knop Empty Selected.

En wat vertelt je Avast nu ? Laat eens horen of hij zich nu koest houdt ?

[Robo]

IK heb geen enkele melding meer gehad!!!

Ik vermoed dat het probleem volledig is opgelost.

Ik zou wel eens willen weten langs waar dat het virus is binnengekomen.

Bedankt Kape!!!!

[Robo]

Kape,

Ik heb met Hijackthis die drie items opgekuist.

Hoe zie je eigenlijk dat er daar iets mis mee is?

Waar heb je kunnen vaststellen wat het probleem was en hoe zie je dat dan?

In ieder geval bedankt om me van dat probleem af te helpen.

[kape]

Ik heb met Hijackthis die drie items opgekuist.

Hoe zie je eigenlijk dat er daar iets mis mee is? Waar heb je kunnen vaststellen wat het probleem was en hoe zie je dat dan?

Tja, een beetje ervaring zeker. En heel wat studie over HJT en spyware. In jouw geval zat het probleem niet in de drie lijntjes die ik je op het einde nog heb laten fixen (dat is eigenlijk maar opkuiswerk), maar wel in je eerste log van HJT. Als je daar kijkt naar deze service : O23 - Service: ICF - Unknown owner - C:\WINDOWS\system32\svchost.exe:exe.exe, dan zie je (alleen aan de structuur al) dat er iets mis is. Bovendien is het bestand "svchost" een klassieker in de wereld van de besmettingen. En dan is het uitzoeken met welk tooltje je dit kan opkuisen. In dit geval heeft SDFix de oplossing geboden. In jet log van SDFix zie je dat het deze O23 - Service: ICF - Unknown owner - C:\WINDOWS\system32\svchost.exe:exe.exe verwijderd heeft ... en daar lag de kern van je probleem. Wil je wat meer weten over HJT en de verschillende infecties kan je misschien hier al eens wat lezen.

Ook ik ben tevreden dat we dat zaakje netjes hebben kunnen oplossen (op een snelle en redelijk "eenvoudige" manier). En je vraag hoe die besmetting is binnengekomen, moet ik helaas onbeantwoord laten. De wondere wereld van de PC en de virus- en andere scanners, zeker

[Robo]

Bedankt voor de bijkomende uitleg.

Het is wel interessant om te weten hoe je zo'n spyware bestrijdt. Ik ben blij dat het uiteindelijk zo snel opgelost was. Nu heb ik weer wat bijgeleerd en dat komt altijd van pas in de toekomst. Ik gebruik al twee jaar Limewire om te downloaden en heb er nog nooit een probleem mee gehad ondanks dat iedereen waarschuwt dat je via Limewire wel eens wat virussen kunt binnenkrijgen.

Groeten,

Robo