politievirus

[jmn]

Hallo,

Vanmorgen plots m'n scherm uit en een scherm met politiebericht erin. Compleet met webcamfunctie e.d.

Met Mbam 2 'dingen' verwijdert.

Hier een Hijacklog.

Wat moet hier nog uit?

Alvast hartelijk dank...

Gr.

JOhan

hijackthis19122012.log

22 december 2012 aangepast door jmn

[kape]

Even geduld ... je probleem wordt momenteel bekeken (klein probleempje is in bespreking) ... analyse en oplossing komt er aan zodra dit uitgeklaard is ;-)

[Mako]

Hallo jmn,

Welkom op PCH!

Ga naar start - alle programma's - bureauaccesoires.

Zoek het icoon van het opdrachtprompt en klik er op met de rechter muisknop en kies dan in het lijstje voor uitvoeren als administrator om het opdrachtprompt te openen.

Tik in: sc stop Application Updater en druk op Enter.

Tik in: sc delete Application Updater en druk op Enter.

Tik in: sc stop Browser Manager en druk op Enter.

Tik in: sc delete Browser Manager en druk op Enter.

Tik in exit en druk Enter.

Als je op een van deze instructies een foutmelding krijgt, ga dan gewoon door met de volgende instructie.

Klik met de rechter muisknop op de icoon van Hijackthis en kies dan voor “Run as administrator" of "Uitvoeren als administrator".

Selecteer “Do a system scan only”.

Vink alleen de items aan die hieronder zijn genoemd:

R3 - URLSearchHook: YTD Toolbar - {F3FEE66E-E034-436a-86E4-9690573BEE8A} - C:\Program Files\YTD Toolbar\IE\6.6\ytdToolbarIE.dll

O2 - BHO: Claro LTD Helper Object - {000F18F2-09EB-4A59-82B2-5AE4184C39C3} - C:\Program Files\Claro LTD\claro\1.8.3.10\bh\claro.dll

O2 - BHO: IEWebHook - {AD4DF010-E2FD-43CE-864A-6BD1EDC59AC2} - C:\Users\Fam. Nijsse\AppData\Roaming\Media Finder\Extensions\IEPlugin32.dll

O2 - BHO: YTD Toolbar - {F3FEE66E-E034-436a-86E4-9690573BEE8A} - C:\Program Files\YTD Toolbar\IE\6.6\ytdToolbarIE.dll

O3 - Toolbar: Claro LTD Toolbar - {9E131A93-EED7-4BEB-B015-A0ADB30B5646} - C:\Program Files\Claro LTD\claro\1.8.3.10\claroTlbr.dll

O3 - Toolbar: YTD Toolbar - {F3FEE66E-E034-436a-86E4-9690573BEE8A} - C:\Program Files\YTD Toolbar\IE\6.6\ytdToolbarIE.dll

O4 - HKLM\..\Run: [searchSettings] "C:\Program Files\Common Files\Spigot\Search Settings\SearchSettings.exe"

O4 - Startup: SABnzbd.lnk = C:\Program Files\SABnzbd\SABnzbd.exe

O8 - Extra context menu item: Download with &Media Finder - C:\Program Files\Media Finder\hook.html

O20 - AppInit_DLLs: c:\progra~2\browse~1\25976~1.107\{c16c1~1\mngr.dll

Klik op 'Fix checked' om de items te verwijderen.

Klik op Main menu en dan op Do a systemscan and save a logfile

Plaats het nieuwe logje in een volgend bericht.

Download LSPFix naar het bureaublad.

1. Start het programma.

2. Selecteer "I know what I'am doing"

3. Selecteer ALLEEN dit bestand: ffilsp.dll

4. Klik op "remove" zodat het bestand naar het rechter venster gaat.

5. Klik op "Finish"

6. Herstart de pc.

7. Verwijder het bovengenoemde bestand uit de C:\Windows\System32\ directory (indien aanwezig)

Download MBAM (Malwarebytes Anti-Malware)

Dubbelklik op mbam-setup.exe om het programma te installeren.

Zorg ervoor dat er een vinkje geplaatst is voor Update Malwarebytes' Anti-Malware en Start Malwarebytes' Anti-Malware, Klik daarna op "Voltooien".

Indien een update gevonden werd, zal die gedownload en geïnstalleerd worden.

Wanneer het programma volledig up to date is, selecteer dan in het tabblad Scanner : "Snelle Scan", daarna klik op Scan.

Het scannen kan een tijdje duren, dus wees geduldig.

Wanneer de scan voltooid is, klik op OK, daarna "Bekijk Resultaten" om de resultaten te zien.

Zorg ervoor dat daar alles aangevinkt is, daarna klik op: Verwijder geselecteerde.

Na het verwijderen zal een log openen en zal er gevraagd worden om de computer opnieuw op te starten. (Zie verder).

Indien er de rootkit (TDSS) aanwezig is, zal MBAM vragen te herstarten. Doe dit dan ook.

MBAM zal na de herstart opnieuw scannen en de rootkit verwijderen.

Het log wordt automatisch bewaard door MBAM en kan je terugvinden door op de "Logs" tab te klikken in het programma.

Indien MBAM moeilijkheden heeft met het verwijderen van bepaalde bestanden zal het enkele meldingen geven waar je OK moet klikken. Daarna zal het vragen om de computer opnieuw op te starten... dus sta toe dat MBAM de computer opnieuw opstart.

Plak de inhoud van het logje in je volgende bericht, samen met een nieuw HijackThis log.

[jmn]

Hallo,

Bedankt voor de reactie.

Van de eerste set acties lukte allen het deleten van de Browser Manager. De overigen gaf een 'mislukt'-melding.

Hijacklog en MBAM-log is bijgevoegd.

En ook de LSPfix is gelukt. Heb het bestand na opnieuw opstarten handmatig uit de System32 map verwijderd.

Kun je in een paar zinnen zeggen wat nu precies het probleem was? Zou ik wel interessant vinden...

Groet en bedankt weer voor de goede service!

Johan

mbam-log-2012-12-24 (09-10-16).txt

hijackthis24122012.log

[Mako]

Hoi,

Kun je in een paar zinnen zeggen wat nu precies het probleem was? Zou ik wel interessant vinden...

Je bent geïnfecteerd geraakt met een browserkaper. Concreet wil dit zeggen dat een malafide bestand vroeg in het opstartproces wordt geladen waardoor jij dat vervelende scherm te zien krijgt. Daarbij horen uiteraard heel wat andere malafide processen en bestanden.

De computer is echter nog niet schoon, heel wat van deze bestanden zijn nog steeds aanwezig. Daarom is het raadzaam om alles goed uit te voeren .

Sommige zaken zijn niet helemaal gelukt.

Ga naar start - alle programma's - bureauaccesoires.

Zoek het icoon van het opdrachtprompt en klik er op met de rechter muisknop en kies dan in het lijstje voor uitvoeren als administrator om het opdrachtprompt te openen.

Tik in: sc stop "Application Updater" en druk op Enter.

Tik in: sc delete "Application Updater" en druk op Enter.

Tik in: sc stop "Browser Manager" en druk op Enter.

Tik in: sc delete "Browser Manager" en druk op Enter.

Tik in exit en druk Enter.

Als je op een van deze instructies een foutmelding krijgt, ga dan gewoon door met de volgende instructie.

Klik met de rechter muisknop op de icoon van Hijackthis en kies dan voor “Run as administrator" of "Uitvoeren als administrator".

Selecteer “Do a system scan only”.

Vink alleen de items aan die hieronder zijn genoemd:

O2 - BHO: YTD Toolbar - {F3FEE66E-E034-436a-86E4-9690573BEE8A} - C:\Program Files\YTD Toolbar\IE\6.6\ytdToolbarIE.dll

O20 - AppInit_DLLs: c:\progra~2\browse~1\25976~1.107\{c16c1~1\mngr.dll

Klik op 'Fix checked' om de items te verwijderen.

Download ComboFix van één van deze locaties:

Link 1

Link 2

* BELANGRIJK !!! Sla ComboFix.exe op je Bureaublad op

1. Schakel alle antivirus- en antispywareprogramma's uit, want anders kunnen ze misschien conflicteren met ComboFix. Hier is een handleiding over hoe je ze kan uitschakelen:

Klik hier

2. Het kan voorkomen dat de computer meerdere malen opnieuw gestart moet worden, dit is normaal.

3. Dubbelklik op "Combofix.exe" om de tool te starten.

4. Klik niet in het scherm van Combofix als deze actief is, hierdoor kan de 'tool' vastlopen.

Noot !!! Als er een error wordt getoond met de melding "Illegal operation attempted on a registery key that has been marked for deletion", herstart dan de computer.

5. Wanneer ComboFix klaar is, zal het het een logbestand voor je maken. Post de inhoud van dit logbestand (te vinden als C:\ComboFix.txt) in je volgende bericht samen met een nieuw HijackThis logje.

[jmn]

Combofix loopt vast. Heb m'n pc uiteindelijk met de aan/uit knop hard moeten killen.

Ik herinner me dat ik daar een andere keer ook last mee had.

Hij heeft ruim drie kwartier aan gestaan, niet in het venster geklikt e.d.

Ook virusscanner uit gezet. Kan de firewall de boosdoener zijn? Windows Defender stond volgens mij ook uit.

Wat kan ik hieraan doen?

Gr.

Johan

[kape]

Voer Combofix uit in "veilige modus" ... maar post eerst eens een nieuw logje van HijackThis in je volgende bericht.

[jmn]

Hallo,

Hier de log.

Die 020 (Browser Manager?) regel komt iedere keer terug, zie ik.

Ik ga de ComboFix in veilige modus proberen.

Dank en groet,

Johan

[ATTACH]23193[/ATTACH]

hijackthis24122012[3]log.txt

[jmn]

Combofix geeft in de veilige modus een hoop foutmeldingen bij het opstarten en scannen doet ie al helemaal niet...

Is er geen alternatief voor deze fix?

Groet,

JOhan

[kape]

Geen echt alternatief, maar doe eens eerst dit:

Download AdwCleaner by Xplode naar je bureaublad.

• Sluit alle openstaande vensters.
  
• Vista en Windows 7 gebruikers: Rechtsklik op AdwCleaner en selecteer als Administrator uitvoeren...
  
• Voor XP: Gewoon dubbelklikken op AdwCleaner.
  
• Klik vervolgens op Verwijderen.
  
• Klik bij AdwCleaner – Informatie op OK
  
• Klik bij AdwCleaner – Herstarten Noodzakelijk op OK
  

Dat tijdens de actie de snelkoppelingen verdwijnen, is normaal. Nadat de PC opnieuw is opgestart, opent een logfile. Post de inhoud van dit log in je volgende bericht.