[OPGELOST] TrojanDownloader.xs, system integrity scan wizard

[Xeno]

Hoi B*rt,

Goed, ik kijk even hier wat te doen.

Groetjes,

Xeno

[b*rt]

Is goed. Mag ik vragen of je er een beetje vertrouwen in hebt?

Als pc gebruiker lijkt het nu alsof verder alles normaliter draait.

Groet b*rt

[b*rt]

het lijkt wel alsof alle miniatuurweergave van plaatjes en bestanden wit blijven. Dit is wel weer zichtbaar als ik de beeldweergave instellingen wijzig. Bijvoorbeeld van grote pictogrammen naar lijst of details etc. Als ik naar mijn bureaubladinstellingen ga zie ik ook de miniatuur van het bureaubladscherm niet. vandaar?

[b*rt]

Trouwens, de voorbeeldwaargave van de inhoud van mappen blijft weg. Van plaatjes en pdf bestanden geeft hij wel een voorbeeld. Ik hoop dat je een idee hebt?!

Groet b*rt

[Xeno]

Hoi B*rt,

Ik moet even een controle doen voor de codes die het forum gebruikt en die van CFSrcipt.

Natuurlijk komt alles goed, maar is een beetje nadenken.

Ga naar Start > Uitvoeren en typ (of kopiëer en plak) :

cmd /c Set >a.txt&&a.txt&&del a.txt

en klik op OK/Enter

Post het resultaat in je volgende antwoord.

Groetjes,

Xeno

[b*rt]

oke

succes

ALLUSERSPROFILE=C:\ProgramData

APPDATA=C:\Users\Bart\AppData\Roaming

CLASSPATH=.;C:\Program Files\Java\jre1.6.0_03\lib\ext\QTJava.zip

CommonProgramFiles=C:\Program Files\Common Files

COMPUTERNAME=PC_VAN_BART

ComSpec=C:\Windows\system32\cmd.exe

configsetroot=C:\Windows\ConfigSetRoot

FP_NO_HOST_CHECK=NO

HOMEDRIVE=C:

HOMEPATH=\Users\Bart

KMP_DUPLICATE_LIB_OK=TRUE

LOCALAPPDATA=C:\Users\Bart\AppData\Local

LOGONSERVER=\\PC_VAN_BART

NUMBER_OF_PROCESSORS=4

OMP_NUM_THREADS=4

OS=Windows_NT

Path=C:\Windows\system32;C:\Windows;C:\Windows\system32\wbem;C:\Program Files\QuickTime\QTSystem

PATHEXT=.COM;.EXE;.BAT;.CMD;.VBS;.VBE;.JS;.JSE;.WSF;.WSH;.MSC

PROCESSOR_ARCHITECTURE=x86

PROCESSOR_IDENTIFIER=x86 Family 6 Model 15 Stepping 7, GenuineIntel

PROCESSOR_LEVEL=6

PROCESSOR_REVISION=0f07

ProgramData=C:\ProgramData

ProgramFiles=C:\Program Files

PROMPT=$P$G

PUBLIC=C:\Users\Public

QTJAVA=C:\Program Files\Java\jre1.6.0_03\lib\ext\QTJava.zip

SESSIONNAME=Console

SystemDrive=C:

SystemRoot=C:\Windows

TEMP=C:\Users\Bart\AppData\Local\Temp

TMP=C:\Users\Bart\AppData\Local\Temp

USERDOMAIN=PC_van_Bart

USERNAME=Bart

USERPROFILE=C:\Users\Bart

windir=C:\Windows

[Xeno]

Hoi B*rt,

Wil je volgende ook eens doen:

Download reglooks.exe

Plaats het op je bureaublad.

Dubbelklik op reglooks.exe en wacht tot er een logfile opent. Post de inhoud van deze logfile.

Groetjes,

Xeno

[b*rt]

groet b*rt

REGLOOKS logfile

version 0.977

2008-04-21 22:43:01.09

running from: "D:\Bart Gebruikersbestanden\Desktop"

--- SSODL regkeys ---

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad

only standard or legit regkeys found

--- STS regkeys ---

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler

only standard or legit regkeys found

--- USERINIT regkey ---

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

--- SHELL regkey ---

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

--- SYSTEM regkey ---

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

--- APPINIT_DLLS regkey ---

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows

--- NOTIFY regkeys ---

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify

only standard or legit regkeys found

--- SHELLEXECUTEHOOKS regkey ---

HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\shellexecutehooks

--- HKLM\Run regkeys ---

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

regkey does not exist

--- HKLM\RunOnce regkeys ---

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce

regkey does not exist

--- HKLM\RunOnceEx regkeys ---

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx

regkey does not exist

--- HKLM\RunServices regkeys ---

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices

regkey does not exist

--- HKLM\RunServicesOnce regkeys ---

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServicesOnce

regkey does not exist

--- HKCU\Run regkeys ---

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

regkey does not exist

--- HKCU\RunOnce regkeys ---

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce

regkey does not exist

--- HKCU\RunOnceEx regkeys ---

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx

regkey does not exist

--- HKCU\RunServices regkeys ---

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices

regkey does not exist

--- HKCU\RunServicesOnce regkeys ---

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServicesOnce

regkey does not exist

--- HKU\.DEFAULT\Run regkeys - Default user ---

HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

regkey does not exist

--- HKU\S-1-5-18\Run regkeys - user SYSTEM ---

HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

regkey does not exist

--- HKU\S-1-5-19\Run regkeys - User Lokale service ---

HKEY_USERS\S-1-5-19\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

regkey does not exist

--- HKU\S-1-5-20\Run regkeys - User Netwerkservice ---

HKEY_USERS\S-1-5-20\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

regkey does not exist

--- HKLM\Explorer\Run regkeys ---

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run

regkey does not exist

--- HKCU\Explorer\Run regkeys ---

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run

regkey does not exist

--- Image File Execution regkeys ---

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options

regkey does not exist

--- BROWSER HELPER OBJECTS regkeys ---

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects

regkey does not exist

--- TOOLBAR regkeys ---

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar

regkey does not exist

--- URLSEARCHHOOKS regkeys ---

HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\URLSearchHooks

regkey does not exist

--- CONTEXTMENUHANDLERS regkeys ---

HKEY_CLASSES_ROOT\*\shellex\ContextMenuHandlers

HKEY_CLASSES_ROOT\Directory\shellex\ContextMenuHandlers

HKEY_CLASSES_ROOT\Folder\shellex\ContextMenuHandlers

--- SAFEBOOT MINIMAL SERVICES ---

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal

no unknown services found

--- SAFEBOOT NETWORK SERVICES ---

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network

no unknown services found

--- SERVICES ---

no unknown services found

no unknown services found!

--- SECURITYPROVIDERS regkey ---

HKEY_LOCAL_MACHINE\system\currentcontrolset\control\securityproviders

regkey does not exist

--- SVCHOST regkey ---

HKEY_LOCAL_MACHINE\software\Microsoft\Windows NT\CurrentVersion\Svchost

LocalService: nsi\0lltdsvc\0SSDPSRV\0upnphost\0SCardSvr\0w32time\0EventSystem\0RemoteRegistry\0WinHttpAutoProxySvc\0lanmanworkstation\0TBS\0SLUINotify\0THREADORDER\0fdrespub\0netprofm\0fdphost\0wcncsvc\0QWAVE\0Mcx2Svc\0WebClient\0SstpSvc\0\0

LocalSystemNetworkRestricted: hidserv\0UxSms\0WdiSystemHost\0Netman\0trkwks\0AudioEndpointBuilder\0WUDFSvc\0irmon\0sysmain\0IPBusEnum\0dot3svc\0PcaSvc\0EMDMgmt\0TabletInputService\0wlansvc\0WPDBusEnum\0\0

NetworkServiceNetworkRestricted: PolicyAgent\0\0

LocalServiceNoNetwork: PLA\0DPS\0BFE\0mpssvc\0ehstart\0\0

NetworkService: CryptSvc\0DHCP\0TermService\0KtmRm\0DNSCache\0NapAgent\0nlasvc\0WinRM\0WECSVC\0Tapisrv\0\0

termsvcs: TermService\0\0

WerSvcGroup: wersvc\0\0

netsvcs: AeLookupSvc\0wercplsupport\0Themes\0CertPropSvc\0SCPolicySvc\0lanmanserver\0gpsvc\0IKEEXT\0AudioSrv\0FastUserSwitchingCompatibility\0Ias\0Irmon\0Nla\0Ntmssvc\0NWCWorkstation\0Nwsapagent\0Rasauto\0Rasman\0Remoteaccess\0SENS\0Sharedaccess\0SRService\0Tapisrv\0Wmi\0WmdmPmSp\0TermService\0wuauserv\0BITS\0ShellHWDetection\0LogonHours\0PCAudit\0helpsvc\0uploadmgr\0iphlpsvc\0seclogon\0AppInfo\0msiscsi\0MMCSS\0ProfSvc\0EapHost\0winmgmt\0schedule\0SessionEnv\0browser\0hkmsvc\0\0

swprv: swprv\0\0

LocalServiceNetworkRestricted: DHCP\0eventlog\0AudioSrv\0LmHosts\0wscsvc\0p2pimsvc\0PNRPSvc\0p2psvc\0WPCSvc\0PnrpAutoReg\0\0

rpcss: RpcSs\0\0

regsvc: RemoteRegistry\0\0

wcssvc: WcsPlugInService\0\0

DcomLaunch: PlugPlay\0DcomLaunch\0\0

wdisvc: WdiServiceHost\0\0

sdrsvc: sdrsvc\0\0

imgsvc: StiSvc\0\0

secsvcs: WinDefend\0\0

bthsvcs: BthServ\0\0

WindowsMobile: wcescomm\0rapimgr\0\0

LocalServiceRestricted: WcesComm\0RapiMgr\0\0

--- WOW-CMDLINE regkeys ---

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\WOW

--- DNS SERVER regkeys ---

no "NameServer" values found

--- STARTUP FOLDERS ---

C:\Users\Bart\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini

C:\Users\Bart\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Logitech SetPoint.lnk

C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Bluetooth Manager.lnk

C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\desktop.ini

C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\Network Server.lnk

--- TASK SCHEDULER JOBS ---

C:\Windows\tasks\Controleren op updates voor Windows Live Toolbar.job

C:\Windows\tasks\User_Feed_Synchronization-{F3506F30-F03C-4547-B24B-ED550C9E79FF}.job

--- File associations ---

.BAT files: ("%1" %*)

.COM files: ("%1" %*)

.EXE files: ("%1" %*)

.HLP files: (%SystemRoot%\winhlp32.exe %1)

.INF files: (%SystemRoot%\system32\NOTEPAD.EXE %1)

.INI files: (%SystemRoot%\system32\NOTEPAD.EXE %1)

.JS files: (%SystemRoot%\System32\WScript.exe "%1" %*)

.PIF files: ("%1" %*)

.REG files: (regedit.exe "%1")

.SCR files: ("%1" /S)

.TXT files: (%SystemRoot%\system32\NOTEPAD.EXE %1)

.VBS files: ("%SystemRoot%\System32\WScript.exe" "%1" %*)

FINISHED

[Xeno]

Hoi B*rt,

Prima, daar krijg je nog een respons van, maar nu wil ik je vorige toestand terug zetten.

Even aandachtig zijn, want is geen gewone procedure.

Download deze

Sla deze op in C:\Qoobox

En nu even goed opletten:

Het slepen gebeurt in Windows Verkenner,

en MOET binnen de map Qoobox gebeuren.

Vervolgens de map To Remove in CF-DeQuarantine.exe slepen (zoals met CFScript) en de map met zijn folders wordt teruggezet (en verwijderd in Qoobox)

Aandacht, nooit deze procedure gebruiken zonder voorschrift van een analist.

Ik kom terug met raad.

Groetjes,

Xeno

[Xeno]

Hoi B*rt,

Ja het forum en ik spreken een andere taal, het zit in het pipe attribut van DOS, maar zal jou een zorg wezen.

Doe maar wat ik vraag, en zal mijn post aanpassen.

Groetjes,

Xeno