Foto's opeens verwijderd... hacker?

[mani88]

Ik zit met volgend probleem: op onze computer is de inhoud van een ganse map met foto's verwijderd en niemand van de gebruikers op onze PC heeft dit gedaan.

Het gaat om de map "Foto's" met daarin verschillende submappen ("Koksijde 2008", "Slovenië 2008", "Verjaardag Glenn", "Huwelijk N&E",...) en in deze submappen de bijbehorende foto's.

De laatste keer dat ik de foto's heb gezien is afgelopen zondag.

Toen ik vanmorgen echter terug bepaalde foto's wou bekijken was de hele map "Foto's" leeg... Alle submappen (+ foto's erin natuurlijk) verwijderd...

De enige die op deze computer werken zijn ik, mijn broer, ma en pa.

Niemand van ons heeft die foto's verwijderd.

En ook toevallig de foto's verwijderen is zo goed als uitgesloten: een totaal pakket van meer dan 3GB verwijder je niet zomaar toevallig...

We staan echt voor een raadsel en snappen niet hoe dit zou kunnen...

Een hacker van buitenaf lijkt bijna de enige mogelijke verklaring maar...

1. We zouden van geen van onze buren zoiets verwachten

2. Waarom gewoon alle foto's verwijderen? Hackers zijn toch meer geïnteresseerd in wachtwoorden en dergelijke

3. Ons draadloos netwerk (router) is beveiligd met WPA-key

Bovendien is het ook raar dat de map "Foto's" volledig leeggemaakt is, maar de map zelf nog bestaat (ze is gewoon leeg). Waarom is ze dan niet gewoon gans verwijderd van de PC?

Een andere rare opmerking is dat enkele foto's die niet in een submap van de map "Foto's" stonden NIET verwijderd zijn... Het gaat dus enkel over de foto's in één specifieke map.

We ondervinden momenteel geen enkel probleem op onze computer en alles werkt perfect. Het enige probleem is dat in die map "Foto's" alle submappen met de foto's erin verwijderd zijn...

Ik hoop dat jullie mijn uitleg snappen..

Heeft er iemand soms een idee? Mogelijke oorzaak?

[Yannick]

druk eens met rechts op de map foto's en dan op eigenschappen.

hoe groot is de map?

als de map nog meerdere MB's of GB's is... dan staan de bestanden op verborgen (kan je weer uitvinken in dat zelfde eigenschappen menu)

controlleer ook de inhoud van de prullenbak natuurlijk even

in je stappenlijstje op punt 2

dat is niet correct.. er zijn verschillende soorten hackers... mensen die het doen voor het geld.. mensen die het doen voor de kick... en mensen die het doen alleen maar om andere schade aan te doen.

[mani88]

Alvast bedankt voor je reactie!

Dit zijn de antwoorden:

Eigenschappen van de map => 1kB

(is dus inderdaad volledig leeg, geen verborgen bestanden)

Prullenbak => leeg

En wat je zei ivm mijn punt 2:

Mensen die het doen voor de kick of gewoon om anderen schade ana te richten... die gaan toch eerder proberen binnen te dringen bij bedrijven of overheid? Maar toch niet gewoon bij een willekeurig individu...

En diegene die via mijn netwerk mijn computer heeft gehacked.. moet dat iemand zijn die op dat moment met een laptop in de buurt van mijn huis bezig was? Of kan dit even goed vanop verre afstand gebeurd zijn? Iemand die zelfs niet weet wie ik ben?

1. En waarom heeft mijn AVG Anti-Virus Free dan niet gereageerd of de hacker tegengehouden?

2. Waarom heb ik dan niets gemerkt van die hacker terwijl ik op de computer bezig was en hij aan het indringen was?

3. Hoe kan ik dan vermijden dat deze hacker nog eens gaat binnendringen in mijn computer?

4. Is de kans groot dat deze hacker nu ook over het wachtwoord van mijn e-mailadres beschikt?

5. Is de kans groot dat deze hacker nu ook over mijn gegevens ivm Online Banking beschikt?

[dj_ke]

Download CONVAR & PCinspector Data Recovery Datenrettung recupero dati datarecovery rcupration donnes en installeer dit even. Probeer met dit programma eens dat je de foto's nog kan terugkrijgen. Het kan ook zijn dat een programma ze gewoon gewist heeft (heb het ook als eens voor gehad).

[Pat]

Ik heb dit vorige week ook ondervonden, maar bij mij was de map mijn afbeeldingen ook weg !

[Yannick]

En wat je zei ivm mijn punt 2:

Mensen die het doen voor de kick of gewoon om anderen schade ana te richten... die gaan toch eerder proberen binnen te dringen bij bedrijven of overheid? Maar toch niet gewoon bij een willekeurig individu...

neehoor, een willekeurig individu kan voor de beginnende hacker (of een scriptkiddy) meer dan genoeg plezier opleveren.

om je andere punten te beantwoorden.

1: omdat het een antivirus is, en geen firewall

het is de taak van een firewall om verbindingen van buitenaf tegen te houden, en aantivirus zoekt enkel naar virusen.

2: als het hier al om een hacker gaat (wat dus niet eens hoeft) dan kan hij dit op allerlei manieren doen zonder dat je er ook maar iets van merkt.

hij (of zij) heeft slechts een seconde op de pc zelf nodig om er al een "rotzooitje" van te maken

3: zorg voor een goed wachtwoord op elk account van de pc en installeer een degelijke firewall!

Comodo Free Firewall

Online Armor Free

Jetico Personal Firewall v.1

(de versie Jetico Personal Firewall v.1 is niet compatibel met Vista, daarvoor moet je de Jetico Personal Firewall v.2 gebruiken die niet gratis is)

Kerio Firewall

Agnitum Outpost Free

4&5 : ja dit kan mogelijk zijn. het is sterk aan te raden om ook even een logje te maken met HijackThis zodat we kunnen zien of er mogelijk een keylogger op je pc staat geinstalleerd of iets anders waar een mogelijke hacker mee zou kunnen binnen dringen.

maak met HijackThis een scan en sla een logfile op. kopier dan de inhoud van de logfile hier heen

[mani88]

Ok, bedankt!

Ik zal die logfile van HJT morgen posten, want ik werk nu op een andere computer.

Welk van bovenstaande firewalles zou je trouwens aanraden?

En zijn ze allemaal gratis?

Bovendien: is de standaard firewall van Windows niet voldoende?

En dan nog één vraagje:

Stel dat het geen hacker was, wat zijn dan nog mogelijke oorzaken van het plots verdwijnen van deze foto's? Wat voor programma's kunnen "toevallig" een ganse map verwijderen zonder dat je het beseft?

[Yannick]

super kunnen onze experts eens een kijkje nemen of ze iets ongewoon vinden

comodo en outpost ken ik beide zelf.. outpost moest je geloof ik in het begin wel heel veel "leren" over wat wel en niet goed is.. maar is daarna een hele goede firewall.

en gratis natuurlijk

de standaard firewall van windows is vaak niet genoeg.. voor een hacker dan

tja.. dat zou een virus kunnen zijn.. maar ook dat kunnen we in het HijackThis logje zien

[mani88]

1. Ik ga nu Comodo Free Firewall installeren!

2. Dit is alvast de logfile van HJT. Hopelijk zie je hierin meer...

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 8:28:24, on 2008-08-28

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16705)

Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe

C:\WINDOWS\system32\Belpic PCSC Service.exe

C:\phpdev\Apache\Apache.exe

C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe

C:\Program Files\Microsoft SQL Server\MSSQL\Binn\sqlservr.exe

C:\phpdev\Apache\Apache.exe

C:\WINDOWS\system32\slserv.exe

C:\WINDOWS\system32\svchost.exe

C:\Program Files\Virtual CD v4 SDK\system\vcssecs.exe

C:\PROGRA~1\AVG\AVG8\avgrsx.exe

C:\PROGRA~1\AVG\AVG8\avgemc.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\SOUNDMAN.EXE

C:\WINDOWS\ALCWZRD.EXE

C:\ATI Technologies\ATI Control Panel\atiptaxx.exe

C:\Apps\Powercinema\PCMService.exe

C:\Program Files\Virtual CD v4 SDK\system\vcsplay.exe

C:\Program Files\Common Files\Real\Update_OB\realsched.exe

C:\Program Files\Philips\Philips Device Transfer Pop-up\PDeviceConn.exe

C:\Program Files\Belgium Identity Card\beidSystemTray.exe

C:\Program Files\iTunes\iTunesHelper.exe

C:\PROGRA~1\AVG\AVG8\avgtray.exe

C:\Program Files\Java\jre1.6.0_06\bin\jusched.exe

C:\Program Files\QuickTime\qttask.exe

C:\Apps\EZHome\EZStatus.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Program Files\iPod\bin\iPodService.exe

C:\Program Files\Nikon\NkView5\NkvMon.exe

C:\Program Files\Microsoft SQL Server\80\Tools\Binn\sqlmangr.exe

C:\Program Files\WinZip\WZQKPICK.EXE

C:\Program Files\Sony\Sony Picture Utility\PMBCore\SPUVolumeWatcher.exe

C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = https://webmail.skynet.be/page.html?partner=p2002&pagelang=nl

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = MSN.com

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = Live Search

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = Live Search

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer aangeboden door Belgacom Skynet

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen

O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - C:\Program Files\AVG\AVG8\avgssie.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_06\bin\ssv.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: Windows Live Aanmelden - Help - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll

O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll

O4 - HKLM\..\Run: [iMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32

O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC

O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName

O4 - HKLM\..\Run: [snelkoppeling naar eigenschappenvenster voor High Definition Audio] HDAudPropShortcut.exe

O4 - HKLM\..\Run: [soundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [AlcWzrd] ALCWZRD.EXE

O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE

O4 - HKLM\..\Run: [ATIPTA] C:\ATI Technologies\ATI Control Panel\atiptaxx.exe

O4 - HKLM\..\Run: [PCMService] "c:\Apps\Powercinema\PCMService.exe"

O4 - HKLM\..\Run: [VCSPlayer] "C:\Program Files\Virtual CD v4 SDK\system\vcsplay.exe"

O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot

O4 - HKLM\..\Run: [LaunchPDeviceConn] "C:\Program Files\Philips\Philips Device Transfer Pop-up\PDeviceConn.exe"

O4 - HKLM\..\Run: [Certificate Import] C:\Program Files\Belgium Identity Card\beidSystemTray.exe

O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"

O4 - HKLM\..\Run: [AVG8_TRAY] C:\PROGRA~1\AVG\AVG8\avgtray.exe

O4 - HKLM\..\Run: [sunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_06\bin\jusched.exe"

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime

O4 - HKCU\..\Run: [EzStatus] C:\Apps\EZHome\EZStatus.exe

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\RunOnce: [] C:\Program Files\Internet Explorer\IEXPLORE.EXE Uw Norton-programma opnieuw installeren na het uitvoeren van het Norton-verwijderingsprogramma

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Lokale service')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Netwerkservice')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O4 - Startup: Mediacontrole Picture Motion Browser.lnk = C:\Program Files\Sony\Sony Picture Utility\PMBCore\SPUVolumeWatcher.exe

O4 - Global Startup: Adobe Reader Snelle start.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\microsoft office\Office\OSA9.EXE

O4 - Global Startup: NkvMon.exe.lnk = C:\Program Files\Nikon\NkView5\NkvMon.exe

O4 - Global Startup: Service Manager.lnk = C:\Program Files\Microsoft SQL Server\80\Tools\Binn\sqlmangr.exe

O4 - Global Startup: WinZip Quick Pick.lnk = C:\Program Files\WinZip\WZQKPICK.EXE

O8 - Extra context menu item: &Windows Live Search - res://C:\Program Files\Windows Live Toolbar\msntb.dll/search.htm

O8 - Extra context menu item: Add to Windows &Live Favorites - Add to Windows Live Favorites

O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_06\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_06\bin\ssv.dll

O9 - Extra button: In weblog opnemen - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll

O9 - Extra 'Tools' menuitem: &In weblog opnemen met Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O14 - IERESET.INF: START_PAGE_URL=http://www.belgacom.net

O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?LinkID=39204

O16 - DPF: {19D6A3D5-EA50-4C3B-88F0-79627C325570} (IlosoftMultipleImageCtrl Class) - http://iloapp.fansitekfcwambeek.be/gallery/executable/IlosoftMultipleImageUpload.dll

O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab31267.cab

O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://gfx2.hotmail.com/mail/w3/pr01/resources/MSNPUpld.cab

O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/NL-NL/a-UNO1/GAME_UNO1.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1115222255968

O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab

O16 - DPF: {90ACA777-5956-4CB8-8A53-71BEA5324365} (ImgUpload Control) - http://fdcandy.pixend.be/cab/imgupload.cab

O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab

O18 - Protocol: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - C:\Program Files\AVG\AVG8\avgpp.dll

O18 - Filter hijack: text/html - {2AB289AE-4B90-4281-B2AE-1F4BB034B647} - (no file)

O20 - AppInit_DLLs: avgrsstx.dll

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: AVG Free8 E-mail Scanner (avg8emc) - AVG Technologies CZ, s.r.o. - C:\PROGRA~1\AVG\AVG8\avgemc.exe

O23 - Service: AVG Free8 WatchDog (avg8wd) - AVG Technologies CZ, s.r.o. - C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe

O23 - Service: Belgium Identity Card Service (BELGIUM_ID_CARD_SERVICE) - Zetes - C:\WINDOWS\system32\Belpic PCSC Service.exe

O23 - Service: dev4_423 - Unknown owner - C:\phpdev\Apache\Apache.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: iPod-service (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe

O23 - Service: Planner voor Automatische LiveUpdate - Unknown owner - C:\Program Files\Symantec\LiveUpdate\ALUSchedulerSvc.exe (file missing)

O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe

O23 - Service: Virtual CD v4 Security service (SDK - Version) (VCSSecS) - H+H Software GmbH - C:\Program Files\Virtual CD v4 SDK\system\vcssecs.exe

--

End of file - 10524 bytes

[Yannick]

ik heb onze HJT expert kape ingelicht, hij zal zo snel mogelijk een kijkje nemen