UKash Virus

michrd · 19 november 2012

Hoi ik kwam er vanmorgen achter dat mijn AVG scanner weer inactief was

en vlak erna had ik het U kash Virus

ik heb geprobeerd mijn pc in veiligge modus op te starten .maar dit ging dus niet ook niet zonder netwerk

dus ik kan geen HiJack logje maken

wat kan ik doen om het Virus weg te halen ...

- - - Updated - - -

op mijn laptop draait AVG wel gewoon goed hij is nu aan het updaten en op mijn desktop stond alles weer inactief

michrd · 19 november 2012

ik draai met xp home sp3

kape · 20 november 2012

Stap 1

Download op een andere niet geïnfecteerde computer de kaspersky Rescue CD en sla deze op je bureaublad op.

Download daarna IMG Burn, unzip en installeer dit programma. Standaard worden deze bestanden geplaatst in de map C:\Program Files\ImgBurn. Klik daar op ImgBurn.exe om het programma op te starten. Gebruikers van Vista en Windows 7 moeten dit “uitvoeren als administrator”.

Start "IMG burn" en klik op "Schrijf image bestand naar schijf"
Selecteer het image bestand van de Kaspersky Rescue CD en klik op de knop "Schrijf"

Stap 2

Voer dit uit op de geïnfecteerde computer.

Stop de Kaspersky Rescue CD, in de PC.
Start die PC opnieuw op.

3. Opstarten van de Kaspersky Rescue CD.

Info:

Als u problemen heeft met het opstarten vanaf de rescue cd controleer dan de instellingen in de BIOS voor het opstarten vanaf een bootable CD.

:>: Hier staat beschreven hoe u de CD / DVD drive als first boot device kunt instellen.

Druk op bovenstaande venster op een willekeurige "toets" om van de Kaspersky Rescue CD te starten.

Kies is het bovenstaande scherm de de gewenste taal wat standaard op Engels staat ingesteld en druk op "Enter"

Druk in het bovenstaande op "1" en om door te gaan.

Kies in het volgende scherm de optie "Kaspersky Rescue Disk - Grafische modus" en druk op enter.

Windowsunlocker

Als de computer is opgestart van de Kaspersky Rescue CD klik dan op de start (KDE) knop in de taakbalk en klik op "Terminal"
Geef in de terminal het commando windowsunlocker op gevolgd door enter.
Via de terminal zullen nu de registerwaarden die door de ransomware infectie zijn aangemaakt hersteld worden.
In het rode en groene kader hieronder kunt u zien dat de registerwaarden zijn hersteld.
Herstart de computer.

20 november 2012 aangepast door kape

michrd · 20 november 2012

Hallo Kape ik heb de kaspersky gedraaid en opnieuw opgestart ...het Ukash Virus start nogsteeds op en ik kan ook nog niet in veligge modes opstarten :-(

ik krijg2 x een foutmelding in rood gedrukt met afsluiten van kapersky : Failed because we are usung /run de rest van de meldingen zijn groen van Kaspersky

nu na weer opstarten is hij CHKDSK aan het doen uitzichzelf ik zal dit afwachten en kijken wat er gebeurt

- - - Updated - - -

Na chkdsk kan ik nogsteeds niet in veiligge Modes komen en Ukash komt weer zodra ik normaal opstart

kweezie wabbit · 20 november 2012

Start de pc op in veilige modus en in plaats van in te loggen, doe je een systeemherstel naar een herstelpunt van enkele dagen geleden toen je nog wel normaal kon opstarten.

michrd · 20 november 2012

ik kan niet in veiligge Modes komen ...op geen enkele manier ...niet met netwerk niet met opdrachtprompt nergens mee ...zodra hij veiligge modes aan het opstarten is reset de pc en start opnieuw op

kweezie wabbit · 21 november 2012

Probeer het dan eens met een andere rescue cd

Download het iso bestand voor het maken van een AVG rescue CD

In de AVG Rescue CD-Gids kan je nalezen hoe je de opstartcd moet branden en hoe je de rescue cd moet gebruiken

michrd · 21 november 2012

na de AVG rescue cd heeft hij wel het een en anders weg gehaald ...maar na het opstartenkan ik nog steeds niet in veiligge modes komen .

ik heb daarna nogmaals Kaspersky resque gedaan en ook laten scannen ......ik kan nogsteeds niet in veiligge modes komen maar het Ukash Virus is weg ...en ik kon een Hijack logje maken

C:\Program Files\Yahoo!\SoftwareUpdate\YahooAUService.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Program Files\Firebird\Firebird_2_5\bin\fbserver.exe

C:\Program Files\Trend Micro\HiJackThis\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = Bing

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = MSN.com

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = Bing

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = Bing

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = Bing

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen

O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll

O2 - BHO: Windows Live Aanmelden - Help - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: Java Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll

O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll

O4 - HKLM\..\Run: [soundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [HP Software Update] "C:\Program Files\HP\HP Software Update\HPWuSchd2.exe"

O4 - HKLM\..\Run: [HP Component Manager] "C:\Program Files\HP\hpcoretech\hpcmpmgr.exe"

O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE

O4 - HKLM\..\Run: [LogitechVideoRepair] C:\Program Files\Logitech\Video\ISStart.exe

O4 - HKLM\..\Run: [LogitechVideoTray] C:\Program Files\Logitech\Video\LogiTray.exe

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"

O4 - HKLM\..\Run: [Adobe ARM] "C:\Program Files\Common Files\Adobe\ARM\1.0\AdobeARM.exe"

O4 - HKLM\..\Run: [sunJavaUpdateSched] "C:\Program Files\Common Files\Java\Java Update\jusched.exe"

O4 - HKLM\..\Run: [APSDaemon] "C:\Program Files\Common Files\Apple\Apple Application Support\APSDaemon.exe"

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [NvMediaCenter] RunDLL32.exe NvMCTray.dll,NvTaskbarInit -login

O4 - HKLM\..\Run: [nwiz] C:\Program Files\NVIDIA Corporation\nview\nwiz.exe /installquiet

O4 - HKLM\..\Run: [AVG_UI] "C:\Program Files\AVG\AVG2013\avgui.exe" /TRAYONLY

O4 - HKCU\..\Run: [LogitechSoftwareUpdate] "C:\Program Files\Logitech\Video\ManifestEngine.exe" boot

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKUS\S-1-5-21-725345543-1801674531-1920980409-1006\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'UpdatusUser')

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204

O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1287579073281

O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} - http://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab

O22 - SharedTaskScheduler: Preloader van browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll

O22 - SharedTaskScheduler: Cache-daemon voor onderdeelcategorieën - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll

O23 - Service: Adobe Active File Monitor V6 (AdobeActiveFileMonitor6.0) - Unknown owner - C:\Program Files\Adobe\Photoshop Elements 6.0\PhotoshopElementsFileAgent.exe

O23 - Service: Firebird Guardian - DefaultInstance (FirebirdGuardianDefaultInstance) - Firebird Project - C:\Program Files\Firebird\Firebird_2_5\bin\fbguard.exe

O23 - Service: Firebird Server - DefaultInstance (FirebirdServerDefaultInstance) - Firebird Project - C:\Program Files\Firebird\Firebird_2_5\bin\fbserver.exe

O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe

O23 - Service: Google Updateservice (gupdate) (gupdate) - Google Inc. - C:\Program Files\Google\Update\GoogleUpdate.exe

O23 - Service: Google Update-service (gupdatem) (gupdatem) - Google Inc. - C:\Program Files\Google\Update\GoogleUpdate.exe

O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe

O23 - Service: MySQL55 - Unknown owner - C:\Program.exe (file missing)

O23 - Service: NVIDIA Driver Helper Service (nvsvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: NVIDIA Update Service Daemon (nvUpdatusService) - NVIDIA Corporation - C:\Program Files\NVIDIA Corporation\NVIDIA Update Core\daemonu.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

O23 - Service: Yahoo! Updater (YahooAUService) - Yahoo! Inc. - C:\Program Files\Yahoo!\SoftwareUpdate\YahooAUService.exe

O24 - Desktop Component AutorunsDisabled: (no name) - (no file)

--

End of file - 7107 bytes

kweezie wabbit · 21 november 2012

ik kan nogsteeds niet in veiligge modes komen maar het Ukash Virus is weg ...en ik kon een Hijack logje maken

Betekent dit dat je terug normaal kan opstarten?

Klik met de rechter muisknop op de icoon van Hijackthis en kies dan voor “Run as administrator" of "Uitvoeren als administrator".

Selecteer “Do a system scan only”.

Vink alleen de items aan die hieronder zijn genoemd:

O24 - Desktop Component AutorunsDisabled: (no name) - (no file)

Klik op 'Fix checked' om de items te verwijderen.

Download MBAM (Malwarebytes Anti-Malware)

Dubbelklik op mbam-setup.exe om het programma te installeren.

op het einde van de installatie van MBAM wordt er reeds enige tijd gevraagd of je de "evaluatieversie" wil gebruiken...

als je daarvoor kiest heb je niet de freeware maar een trial van de betalende versie...op deze vraag dien je dus te antwoorden met "afwijzen", dan heb je wel de freewareversie...mss de moeite om te vermelden ?

Zorg ervoor dat er een vinkje geplaatst is voor Update Malwarebytes' Anti-Malware en Start Malwarebytes' Anti-Malware, Klik daarna op "Voltooien".

Indien een update gevonden werd, zal die gedownload en geïnstalleerd worden.

Wanneer het programma volledig up to date is, selecteer dan in het tabblad Scanner : "Snelle Scan", daarna klik op Scan.

Het scannen kan een tijdje duren, dus wees geduldig.

Wanneer de scan voltooid is, klik op OK, daarna "Bekijk Resultaten" om de resultaten te zien.

Zorg ervoor dat daar alles aangevinkt is, daarna klik op: Verwijder geselecteerde.

Na het verwijderen zal een log openen en zal er gevraagd worden om de computer opnieuw op te starten. (Zie verder).

Indien er de rootkit (TDSS) aanwezig is, zal MBAM vragen te herstarten. Doe dit dan ook.

MBAM zal na de herstart opnieuw scannen en de rootkit verwijderen.

Het log wordt automatisch bewaard door MBAM en kan je terugvinden door op de "Logs" tab te klikken in het programma.

Indien MBAM moeilijkheden heeft met het verwijderen van bepaalde bestanden zal het enkele meldingen geven waar je OK moet klikken.

Daarna zal het vragen om de computer opnieuw op te starten... Dus sta toe dat MBAM de computer opnieuw opstart.

Plak de inhoud van het logje in je volgende bericht, samen met een nieuw HijackThis log.

michrd · 21 november 2012

hier is mijn Mbam Logje

Malwarebytes Anti-Malware 1.65.1.1000

www.malwarebytes.org

Databaseversie: v2012.11.21.04

Windows XP Service Pack 3 x86 NTFS

Internet Explorer 8.0.6001.18702

mich :: HOME-593292D6C1 [administrator]

21-11-2012 15:28:30

mbam-log-2012-11-21 (15-28-30).txt

Scantype: Snelle scan

Uitgeschakelde scanopties: P2P

Objecten gescand: 221687

Verstreken tijd: 8 minuut/minuten, 2 seconde(n)

Geheugenprocessen gedetecteerd: 0