Politievirus - geen VEILIGE MODUS

luver · 22 september 2013

Hallo

voor derde keer Politievirus en reeds 2x goed geholpen door jullie medewerkers

(voorheen geregistreerd als "libo" maar ik kan met dit profiel GEEN nieuwe discussies meer openen)

Kunnen jullie helpen- ik schets het probleem:

WIN 7

bij opstart een geblokkeerd scherm met "Politiemelding"

geprobeerd in VEILIGE MODUS op te starten maar PC reboot steeds

gezocht in PC-Helpfrum naar mogelijke oplossingen: downloaden op USB-Stick van Hotmann Pro met Kickstart

PC zo opgestart (na wijzigen first Bootdevice) en dit lukte

Kickstart startte scanning en ik heb deze logfile kunnen bewaren op externe schijf

na opslaan vraag naar registratie-licentie kreeg ik geen mogelijkheid - misschien volgens de nota reeds Hitmann voorheen opgebruikt?

dus kan ik nu niet verder

Ik ben wel - indien nodig - bereid de Hitman-Software aan te kopen maar ik vraag toch graag eerst jullie hulp en raad

kunnen jullie dit eens bestuderen?

hierbij het logje van Hitman

file:///X:/HitmanPro_20130921_2018.log

HitmanPro 3.7.7.205
www.hitmanpro.com

  Computer name . . . . : I0081643
  Windows . . . . . . . : 6.1.1.7601.X86/2
  User name . . . . . . : NT AUTHORITY\SYSTEM
  UAC . . . . . . . . . : Disabled
  License . . . . . . . : Free

  Scan date . . . . . . : 2013-09-21 20:09:50
  Scan mode . . . . . . : Normal
  Scan duration . . . . : 6m 59s
  Disk access mode  . . : Direct disk access (SRB)
  Cloud . . . . . . . . : Internet
  Reboot  . . . . . . . : No

  Threats . . . . . . . : 29
  Traces  . . . . . . . : 355

  Objects scanned . . . : 1.044.379
  Files scanned . . . . : 39.079
  Remnants scanned  . . : 190.544 files / 814.756 keys

Malware _____________________________________________________________________

  D:\Profiles\LBORNAUW.I0081643\AppData\Local\Temp\b34btbztdb0vavaw.exe
     Size . . . . . . . : 54.272 bytes
     Age  . . . . . . . : 1.2 days (2013-09-20 14:56:14)
     Entropy  . . . . . : 7.8
     SHA-256  . . . . . : 67E6D3EEFC04B26AFD07653141FB592648DD6D42A59309535A32B2AD8F95EBC6
   > G Data . . . . . . : Gen:Variant.Kazy.252311
   > Kaspersky  . . . . : Trojan-Ransom.Win32.Foreign.iajf
     Fuzzy  . . . . . . : 108.0

  D:\Profiles\LBORNAUW.I0081643\AppData\Roaming\data.dat
     Size . . . . . . . : 54.272 bytes
     Age  . . . . . . . : 1.2 days (2013-09-20 14:56:20)
     Entropy  . . . . . : 7.8
     SHA-256  . . . . . : 67E6D3EEFC04B26AFD07653141FB592648DD6D42A59309535A32B2AD8F95EBC6
   > G Data . . . . . . : Gen:Variant.Kazy.252311
   > Kaspersky  . . . . : Trojan-Ransom.Win32.Foreign.iajf
     Fuzzy  . . . . . . : 154.0
        One or more antivirus vendors have indicated that the file is malicious.
        Substitutes Explorer.exe as the default shell. Malware tends to start this way.
        This file was most recently added as automatic startup.
        The file name extension of this program is not common.
        Entropy (or randomness) indicates the program is encrypted, compressed or obfuscated. This is not typical for most programs.
        Authors name is missing in version info. This is not common to most programs.
        Version control is missing. This file is probably created by an individual. This is not typical for most programs.
        Program starts automatically without user intervention.
        Time indicates that the file appeared recently on this computer.
        The file appears to be part of an installation package or setup program. This is typical for most programs.
     Startup
        HKU\S-1-5-21-2387108698-3719649394-282492801-1002\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell

  D:\Profiles\LBORNAUW.I0081643\Documents\DXM_Runtime\DXM_Runtime.exe
     Size . . . . . . . : 111.104 bytes
     Age  . . . . . . . : 44.2 days (2013-08-08 15:17:39)
     Entropy  . . . . . : 6.6
     SHA-256  . . . . . : 66E5E287312DB9088D8BA52DBCEAC96ACABDFFA9701C3F87F53CF4FA8C500924
     Product  . . . . . : Pidgin Portable
     Publisher  . . . . : PortableApps.com
     Description  . . . : Pidgin Portable
     Version  . . . . . : 1.6.9.0
     Copyright  . . . . : John T. Haller
   > G Data . . . . . . : Gen:Variant.Graftor.107194
   > Ikarus . . . . . . : Trojan-Ransom.Win32.****oAsset!IK
   > Kaspersky  . . . . : Trojan-Ransom.Win32.Foreign.gitm
     Fuzzy  . . . . . . : 102.0
     Startup
        HKU\S-1-5-21-2387108698-3719649394-282492801-1002\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\run


Potential Unwanted Programs _________________________________________________

  HKLM\SOFTWARE\Babylon\ (Babylon)
  HKLM\SOFTWARE\BabylonToolbar\ (Babylon)
  HKLM\SOFTWARE\Classes\AppID\escort.DLL\ (Funmoods)
  HKLM\SOFTWARE\Classes\AppID\escortApp.DLL\ (Funmoods)
  HKLM\SOFTWARE\Classes\AppID\escortEng.DLL\ (Funmoods)
  HKLM\SOFTWARE\Classes\AppID\escorTlbr.DLL\ (Funmoods)
  HKLM\SOFTWARE\Classes\AppID\esrv.EXE\ (Funmoods)
  HKLM\SOFTWARE\Classes\AppID\tdataprotocol.DLL\ (Blabbers)
  HKLM\SOFTWARE\Classes\AppID\updatebho.DLL\ (Blabbers)
  HKLM\SOFTWARE\Classes\AppID\wit4ie.DLL\ (Blabbers)
  HKLM\SOFTWARE\Classes\AppID\{09C554C3-109B-483C-A06B-F14172F1A947}\ (Funmoods)
  HKLM\SOFTWARE\Classes\AppID\{20EDC024-43C5-423E-B7F5-FD93523E0D9F}\ (Blabbers)
  HKLM\SOFTWARE\Classes\AppID\{35C1605E-438B-4D64-AAB1-8885F097A9B1}\ (Babylon)
  HKLM\SOFTWARE\Classes\AppID\{373ED12D-B306-43AC-9485-A7C5133DC34C}\ (Blabbers)
  HKLM\SOFTWARE\Classes\AppID\{4E1E9D45-8BF9-4139-915C-9F83CC3D5921}\ (Funmoods)
  HKLM\SOFTWARE\Classes\AppID\{B12E99ED-69BD-437C-86BE-C862B9E5444D}\ (Funmoods)
  HKLM\SOFTWARE\Classes\AppID\{BDB69379-802F-4eaf-B541-F8DE92DD98DB}\ (Babylon)
  HKLM\SOFTWARE\Classes\AppID\{D7EE8177-D51E-4F89-92B6-83EA2EC40800}\ (Funmoods)
  HKLM\SOFTWARE\Classes\AppID\{ED6535E7-F778-48A5-A060-549D30024511}\ (Blabbers)
  HKLM\SOFTWARE\Classes\b\ (Babylon)
  HKLM\SOFTWARE\Classes\Babylon.dskBnd.1\ (Babylon)
  HKLM\SOFTWARE\Classes\Babylon.dskBnd\ (Babylon)
  HKLM\SOFTWARE\Classes\bbylnApp.appCore.1\ (Babylon)
  HKLM\SOFTWARE\Classes\bbylnApp.appCore\ (Babylon)
  HKLM\SOFTWARE\Classes\bbylntlbr.bbylntlbrHlpr.1\ (Babylon)
  HKLM\SOFTWARE\Classes\bbylntlbr.bbylntlbrHlpr\ (Babylon)
  HKLM\SOFTWARE\Classes\escort.escortIEPane.1\ (Funmoods)
  HKLM\SOFTWARE\Classes\escort.escortIEPane\ (Funmoods)
  HKLM\SOFTWARE\Classes\esrv.BabylonESrvc.1\ (Babylon)
  HKLM\SOFTWARE\Classes\esrv.BabylonESrvc\ (Babylon)
  HKLM\SOFTWARE\Classes\Interface\{44C3C1DB-2127-433C-98EC-4C9412B5FC3A}\ (Babylon)
  HKLM\SOFTWARE\Classes\Interface\{4D5132DD-BB2B-4249-B5E0-D145A8C982E1}\ (Babylon)
  HKLM\SOFTWARE\Classes\Interface\{706D4A4B-184A-4434-B331-296B07493D2D}\ (Babylon)
  HKLM\SOFTWARE\Classes\Interface\{817923CB-4744-4216-B250-CF7EDA8F1767}\ (Blabbers)
  HKLM\SOFTWARE\Classes\Interface\{8BE10F21-185F-4CA0-B789-9921674C3993}\ (Babylon)
  HKLM\SOFTWARE\Classes\Interface\{94C0B25D-3359-4B10-B227-F96A77DB773F}\ (Babylon)
  HKLM\SOFTWARE\Classes\Interface\{9F0C17EB-EF2C-4278-9136-2D547656BC03}\ (Blabbers)
  HKLM\SOFTWARE\Classes\Interface\{B0B75FBA-7288-4FD3-A9EB-7EE27FA65599}\ (Babylon)
  HKLM\SOFTWARE\Classes\Interface\{B173667F-8395-4317-8DD6-45AD1FE00047}\ (Babylon)
  HKLM\SOFTWARE\Classes\Interface\{B32672B3-F656-46E0-B584-FE61C0BB6037}\ (Babylon)
  HKLM\SOFTWARE\Classes\Interface\{C2434722-5C85-4CA0-BA69-1B67E7AB3D68}\ (Babylon)
  HKLM\SOFTWARE\Classes\Interface\{C2996524-2187-441F-A398-CD6CB6B3D020}\ (Babylon)
  HKLM\SOFTWARE\Classes\Interface\{E047E227-5342-4D94-80F7-CFB154BF55BD}\ (Babylon)
  HKLM\SOFTWARE\Classes\Interface\{E3F79BE9-24D4-4F4D-8C13-DF2C9899F82E}\ (Babylon)
  HKLM\SOFTWARE\Classes\Interface\{E77EEF95-3E83-4BB8-9C0D-4A5163774997}\ (Babylon)
  HKLM\SOFTWARE\Classes\Prod.cap\ (Claro)
  HKLM\SOFTWARE\Classes\tdataprotocol.CTData.1\ (Blabbers)
  HKLM\SOFTWARE\Classes\tdataprotocol.CTData\ (Blabbers)
  HKLM\SOFTWARE\Classes\TypeLib\{35C1605E-438B-4D64-AAB1-8885F097A9B1}\ (Babylon)
  HKLM\SOFTWARE\Classes\TypeLib\{4E1E9D45-8BF9-4139-915C-9F83CC3D5921}\ (Funmoods)
  HKLM\SOFTWARE\Classes\TypeLib\{6E8BF012-2C85-4834-B10A-1B31AF173D70}\ (Babylon)
  HKLM\SOFTWARE\Classes\TypeLib\{830B56CB-FD22-44AA-9887-7898F4F4158D}\ (Blabbers)
  HKLM\SOFTWARE\Classes\TypeLib\{8830DDF0-3042-404D-A62C-384A85E34833}\ (Blabbers)
  HKLM\SOFTWARE\Classes\TypeLib\{955B782E-CDC8-4CEE-B6F6-AD7D541A8D8A}\ (Blabbers)
  HKLM\SOFTWARE\Classes\TypeLib\{D7EE8177-D51E-4F89-92B6-83EA2EC40800}\ (Funmoods)
  HKLM\SOFTWARE\Classes\updatebho.TimerBHO.1\ (Blabbers)
  HKLM\SOFTWARE\Classes\updatebho.TimerBHO\ (Blabbers)
  HKLM\SOFTWARE\Classes\wit4ie.WitBHO.2\ (Blabbers)
  HKLM\SOFTWARE\Classes\wit4ie.WitBHO\ (Blabbers)
  HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{8375D9C8-634F-4ECB-8CF5-C7416BA5D542}\ (Babylon)

Jion · 22 september 2013

Hoi luver,

Vreemd dat je met je oude profiel geen topics meer kan starten.

Meld dit anders eens bij forum feedback.

We zullen je probleem met een andere tool proberen aan te pakken:

1. Download de onderstaande ISO en bijbehorende utility.

2. Kaspersky Rescue USB stick maken

Dubbelklik op rescue2usb.exe, dit is een Winrar self-extracting archive.
Klik op "Install" en de Kaspersky Rescue Disk maker zal gestart worden.
Klik op "Browse" en selecteer de gedownloade Kaspersky Rescue Disk (ISO) en klik op "Openen"

Kies bij "USB Medium:" de gebruikte USB stick, als deze niet standaard is geselecteerd.
Klik nu op "Start" en de benodigde bestanden vanuit de ISO zullen naar de USB stick worden gekopieerd.
Als het kopiëren gereed is zal u de volgende melding krijgen; 'Kaspersky USB Rescue Disk has been succesfully created'.
Klik in dit scherm op "OK" en sluit de Kaspersky Rescue Disk maker.
Stop de Kaspersky Rescue USB, in de besmette PC.
Start die PC opnieuw op.
Druk op F11 en selecteer dan het USB station om het rescue systeem van Kaspersky te starten.

Bij “Press any key to enter the menu” druk je op gelijk welke toets om het menu van de Kaspersky Rescue CD te openen.

Kies in het volgende scherm de optie "Kaspersky Rescue Disk - Grafische modus" en druk op enter.
Druk hierna op “1” om de licentie overeenkomst te accepteren.

Als de computer is opgestart van de Kaspersky Rescue CD klik dan op de start (KDE) knop in de taakbalk en klik op "Terminal"

Geef in de terminal het commando windowsunlocker op gevolgd door enter.
Geef nu het cijfer 1 op (Unlock Windows) gevolgd door enter.

Via de terminal zullen nu de registerwaarden die door de ransomware infectie zijn aangemaakt hersteld worden.
In het rode kader hieronder kunt u zien dat de registerwaarden zijn hersteld.

Herstart de computer.

luver · 22 september 2013

Hallo

alvast bedankt

MAAR.... het lukt niet helemaal

bij

Geef in de terminal het commando windowsunlocker op gevolgd door enter.
Geef nu het cijfer 1 op (Unlock Windows) gevolgd door enter.

sta ik geblokkeerd: ik krijg dos-boodschap:

en kavrescue-lijn blijft verschijnen

usr-sbin-chmod-cannot access - windowsunlocker - no such file or directory

(het betreft hier wel een "eertijdse bedrijfsnetwerkcomputer" die nu privé gebruikt wordt en geen verbindingen met dit netwerk heeft )

Jion · 22 september 2013

Aha een bedrijfscomputer... Dat zal de reden zijn waarom HitmanPro ook niet werkt.

Doe eens een gewone virusscan met Kaspersky en herstart daarna je computer.

luver · 23 september 2013

Hallo

so far so good.... de PC is weer OK waarbij zeker mijn dank!!

de scan lukte en ik diende dus meerdere lijnen te deleten en na herstart OK

maar waarschijnlijk zijn er toch nog verdere controles nodig om zeker te zijn dat het virus volledig verwijderd werd?

en ik las ook (ergens op het forum?) dat deze virus mogelijks voorkomt bij JAVA-software die niet meer up-to-date- is : kan ik daar ook iets voor doen om dat te herstellen?

Jion · 23 september 2013

Ja dat klopt inderdaad. Dit was slechts een eerste stap.

In de loop van de volgende logs, zullen we zeker je Java eens controleren.

Download RSIT van de onderstaande locaties en sla deze op het bureaublad op.

Hier staat een beschrijving hoe je kan kijken of je een 32- of 64-bitversie van Windows heeft.

RSIT 32 bit (RSIT.exe)
RSIT 64 bit (RSITx64.exe)

Dubbelklik op RSIT.exe om de tool te starten.

Windows Vista, 7 en 8 gebruikers dienen de tool als "administrator" uit te voeren door middel van de rechtermuisknop en kiezen voor Als Administrator uitvoeren.
Vervolgens wordt de "Disclaimer of warranty" getoond, klik vervolgens op "Continue"
Wanneer de tool gereed is wordt er een kladblok bestand genaamd "Log" geopend.
Plaats de inhoud hiervan in het volgende bericht.

luver · 23 september 2013

Hierbij het logje van RSIT ter controle

Logfile of random's system information tool 1.09 (written by random/random)

Run by LBORNAUW at 2013-09-23 15:32:09

Microsoft Windows 7 Professional Service Pack 1

System drive C: has 34 GB (55%) free of 61 GB

Total RAM: 2000 MB (40% free)

Logfile of Trend Micro HijackThis v2.0.4

Scan saved at 15:33:03, on 23/09/2013

Platform: Windows 7 SP1 (WinNT 6.00.3505)

MSIE: Internet Explorer v10.0 (10.00.9200.16686)

Boot mode: Normal

Running processes:

C:\Windows\System32\smss.exe

C:\Windows\system32\csrss.exe

C:\Windows\system32\wininit.exe

C:\Windows\system32\csrss.exe

C:\Windows\system32\services.exe

C:\Windows\system32\winlogon.exe

C:\Windows\system32\lsass.exe

C:\Windows\system32\lsm.exe