RunDLL

[mouche13]

Na de 2de scan nog is opgestart, maar de melding komt nog steeds.

[kape]

Controleer eens via de zoekfunctie of je dit op je PC kan vinden ?

1. Argos Security Monitor

2. argmon

8 december 2013 aangepast door kape

[mouche13]

Via de startknop gezocht maar niets gevonden.

[kape]

Via de startknop gezocht maar niets gevonden.

Vreemd ... bij nazicht heb ik dit bestand toch nog gevonden in één van je logjes. Ga eens naar deze locatie:C:\Windows\system32\argmon en wijzig dat bestand eens van naam in C:\Windows\system32\argmon-old. En daarna maar weer bekijken of je de melding nog krijgt ?

[mouche13]

[ATTACH]29401[/ATTACH]

Ik vind het bestand niet terug, in bijlage de print screen gemaakt van de map " systeem 32

PrtSc.docx

[kape]

Ik vind het bestand niet terug, in bijlage de print screen gemaakt van de map " systeem 32

Dat is inderdaad correct. Dan gaan we op een andere locatie zoeken. Typ in het zoekvak onderaan de opdracht regedit. Klik dan op de gevonden opdracht en zo ga je naar het register van de PC. Speur daar via "zoeken" naar de benaming argmon. Indien gevonden in het register, laat ons dan eerst even weten op welke locatie in het register dit het geval is. Dan kunnen we daarna beslissen wat er (eventueel) mee te doen valt ?

[mouche13]

Ik heb 2 keer het register doorzocht naar "argmon" maar niet gevonden, de 2de keer ook "hele tekenreeks" aangevinkt. Dan ook eens gezocht naar "argos security monitor" maar ook niets gevonden.

[kape]

Het wordt er alleen maar vreemder op

Dubbelklik op Zoek.exe om de tool te starten.

• Windows Vista, 7 en 8 gebruikers dienen de tool als "administrator" uit te voeren door middel van de rechtermuisknop en kiezen voor Als Administrator uitvoeren.
  
• Kopieer nu onderstaande code en plak die in het grote invulvenster:
  
• Note: Dit script is speciaal bedoeld voor deze PC, gebruik dit dan ook niet op andere PC's met een gelijkaardig probleem.
  

  C:\Windows\system32\argmon;vs
 C:\Windows\system32\[b]argmon;z[/b]
 [b]startupall;[/b]
 [b]process;[/b]

• Klik nu op de knop "Run script".
  
• Wacht nu geduldig af tot er een logje opent (dit kan na een herstart zijn als deze benodigd is).
  
• Mocht na de herstart geen logje verschijnen, start zoek.exe dan opnieuw, de log verschijnt dan alsnog.
  
• Post het geopende logje in het volgende bericht.
  

[mouche13]

Zoek.exe Version 4.0.0.5 Updated 05-December-2013

Tool run by Rozemaai on wo 11/12/2013 at 13:17:32,79.

Microsoft Windows 7 Professional 6.1.7601 Service Pack 1 x86

Running in: Normal Mode Internet Access Detected

Launched: C:\Users\Rozemaai\Desktop\zoek\zoek.exe [script inserted]

==== Older Logs ======================

C:\zoek-results2013-10-15-123624.log 26831 bytes

C:\zoek-results2013-12-06-150742.log 29154 bytes

C:\zoek-results2013-12-06-172535.log 4346 bytes

==== Running Processes ======================

C:\Windows\System32\smss.exe

C:\PROGRA~1\AVG\AVG2014\avgrsx.exe

C:\Program Files\AVG\AVG2014\avgcsrvx.exe

C:\Windows\system32\csrss.exe

C:\Windows\system32\wininit.exe

C:\Windows\system32\csrss.exe

C:\Windows\system32\services.exe

C:\Windows\system32\winlogon.exe

C:\Windows\system32\lsass.exe

C:\Windows\system32\lsm.exe

C:\Windows\system32\ibmpmsvc.exe

C:\Windows\System32\spoolsv.exe

C:\Windows\system32\Dwm.exe

C:\Windows\Explorer.EXE

C:\Windows\system32\taskhost.exe

C:\Program Files\Common Files\Adobe\ARM\1.0\armsvc.exe

C:\Windows\system32\AEADISRV.EXE

C:\Program Files\AVG\AVG2014\avgidsagent.exe

C:\Program Files\AVG\AVG2014\avgwdsvc.exe

C:\Program Files\Online Games Manager\ogmservice.exe

C:\Program Files\AVG\AVG2014\avgui.exe

C:\Program Files\Analog Devices\Core\smax4pnp.exe

C:\Windows\system32\DRIVERS\xaudio.exe

C:\Program Files\AVG\AVG2014\avgnsx.exe

C:\Program Files\AVG\AVG2014\avgemcx.exe

C:\Windows\system32\rundll32.exe

C:\Windows\system32\SearchIndexer.exe

C:\Program Files\Synaptics\SynTP\SynTPEnh.exe

C:\Program Files\Common Files\Java\Java Update\jusched.exe

C:\Users\Rozemaai\AppData\Local\VNT\vntldr.exe

C:\Program Files\Synaptics\SynTP\SynTPLpr.exe

C:\Program Files\Windows Media Player\wmpnetwk.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\Program Files\Internet Explorer\iexplore.exe

C:\Windows\system32\Macromed\Flash\FlashUtil32_11_9_900_170_ActiveX.exe

C:\Users\Rozemaai\Desktop\zoek\zoek.exe

C:\Windows\system32\conhost.exe

C:\Windows\system32\wbem\wmiprvse.exe

C:\Windows\system32\conhost.exe

C:\Windows\system32\svchost.exe -k DcomLaunch

C:\Windows\system32\svchost.exe -k RPCSS

C:\Windows\System32\svchost.exe -k LocalServiceNetworkRestricted

C:\Windows\System32\svchost.exe -k LocalSystemNetworkRestricted

C:\Windows\system32\svchost.exe -k LocalService

C:\Windows\system32\svchost.exe -k netsvcs

C:\Windows\system32\svchost.exe -k GPSvcGroup

C:\Windows\system32\svchost.exe -k NetworkService

C:\Windows\system32\svchost.exe -k LocalServiceNoNetwork

C:\Windows\system32\svchost.exe -k LocalServiceAndNoImpersonation

C:\Windows\system32\svchost.exe -k imgsvc

C:\Windows\system32\svchost.exe -k bthsvcs

==== Folders Found ======================

==== Files Found ======================

==== Folders Found In C:\Windows\system32\argmon ======================

2013-10-03 19:56:57 d-----w- C:\Windows\system32\argmon\argview\updater

2013-10-03 19:56:57 d-sh--w- C:\Windows\system32\argmon\argview

2013-10-03 19:56:58 d-----w- C:\Windows\system32\argmon\argview\updater\Microsoft.VC90.CRT

2013-10-03 19:59:39 d-sh--w- C:\Windows\system32\argmon\argarchive

2013-10-03 19:59:39 d-sh--w- C:\Windows\system32\argmon\argdata

2013-10-03 19:59:39 d-sh--w- C:\Windows\system32\argmon\argtransmit

==== Files Found In C:\Windows\system32\argmon ======================

2007-11-07 04:23:58 224768 --sha-w- 4A8BC195ABDC93F0DB5DAB7F5093C52F C:\Windows\system32\argmon\argview\updater\Microsoft.VC90.CRT\msvcm90.dll

2007-11-07 04:24:10 524 --sha-w- 6BB5D2AAD0AE1B4A82E7DDF7CF58802A C:\Windows\system32\argmon\argview\updater\Microsoft.VC90.CRT\Microsoft.VC90.CRT.manifest

2007-11-07 09:19:34 568832 --sha-w- 6DE5C66E434A9C1729575763D891C6C2 C:\Windows\system32\argmon\argview\updater\Microsoft.VC90.CRT\msvcp90.dll

2007-11-07 09:19:34 655872 --sha-w- E7D91D008FE76423962B91C43C88E4EB C:\Windows\system32\argmon\argview\updater\Microsoft.VC90.CRT\msvcr90.dll

2010-04-18 10:34:12 904704 --sha-w- 80725A732ABA27911402F9CA09FEDE23 C:\Windows\system32\argmon\argview\System.Data.SQLite.DLL

2010-11-18 19:27:34 587776 --sha-w- 42BADC1D2F03A8B1E4875740D3D49336 C:\Windows\system32\argmon\7z.exe

2010-11-18 19:27:34 587776 --sha-w- 42BADC1D2F03A8B1E4875740D3D49336 C:\Windows\system32\argmon\argview\7z.exe

2010-11-27 15:31:02 49664 --sha-w- 422A02111FABD3E229FFD105D6054F56 C:\Windows\system32\argmon\argview\updater\w9xpopen.exe

2010-11-27 15:31:02 635392 --sha-w- 9B7068949FD591E3F699DF75B386DDA9 C:\Windows\system32\argmon\argview\updater\sqlite3.dll

2010-11-27 15:31:14 2288640 --sha-w- 36044BBA2FDFB72FD63D9D0281285EE3 C:\Windows\system32\argmon\argview\updater\python27.dll

2010-11-27 15:31:14 40960 --sha-w- E7E577C117BB5AA1011F841D1A10A218 C:\Windows\system32\argmon\argview\updater\_socket.pyd

2010-11-27 15:31:14 57344 --sha-w- 7FEF9260ED79F0B09D96CD7F781C44A9 C:\Windows\system32\argmon\argview\updater\_sqlite3.pyd

2010-11-27 15:31:14 688128 --sha-w- 55F49B88B58B89F2390CCCDBFA36F4F9 C:\Windows\system32\argmon\argview\updater\unicodedata.pyd

2010-11-27 15:31:16 11776 --sha-w- CA68F813DDB3F748DF9E2AA063B6DB1C C:\Windows\system32\argmon\argview\updater\select.pyd

2010-11-27 15:31:16 285184 --sha-w- CF239A4EA58056F6B32E2928F64738C4 C:\Windows\system32\argmon\argview\updater\_hashlib.pyd

2010-11-27 15:31:16 721920 --sha-w- E98A9104EE53322918E22B4D5900F695 C:\Windows\system32\argmon\argview\updater\_ssl.pyd

2010-11-27 15:31:16 76800 --sha-w- 17740EE013E915DCEF8D0AEE339F8520 C:\Windows\system32\argmon\argview\updater\bz2.pyd

2011-04-27 13:43:40 622080 --sha-w- C61AB0F88CCF256C0423EC1C14A92FB5 C:\Windows\system32\argmon\argview\SQLite.Interop.dll

2011-11-16 19:54:26 1947395 --sha-w- 843A96382F39533C3A1BB114EC2EF773 C:\Windows\system32\argmon\argview\updater\library.zip

2011-11-16 19:54:26 29184 --sha-w- 575AAF33B33398492CBE588F1BA7A5C4 C:\Windows\system32\argmon\argview\updater\db.exe

2012-03-01 11:17:06 563712 --sha-w- 241FA8A0248CEDAB8687A6532319E783 C:\Windows\system32\argmon\argview\dbclean.exe

2012-05-04 08:24:22 77312 --sha-w- B8EA87298023E318154CB69D229DCECE C:\Windows\system32\argmon\argini.dll

2012-10-17 12:32:58 506880 --sha-w- 5E5468203E8968B42473DB739B3CC046 C:\Windows\system32\argmon\argview\argviewer.exe

2012-12-01 00:48:06 960512 --sha-w- 71ABC96FF38224E7101F26A5659234E3 C:\Windows\system32\argmon\argcc.exe

2013-10-03 19:59:39 13912 ----a-w- E5EAAB9AAA6BCE7797B0ECC84DF71E36 C:\Windows\system32\argmon\arg.ini

2013-10-03 19:59:39 2 --sh--w- F3B25701FE362EC84616A93A45CE9998 C:\Windows\system32\argmon\argdata\url20131003-215939.txt

2013-10-03 19:59:50 28221 --sh--w- C4B956A81B8B0ED74344C2374CB5236A C:\Windows\system32\argmon\argdata\scr20131003-215944.jpg

2013-10-03 20:01:38 102 --sha-w- 4577189B27D5E9068CF46F93281CC2F4 C:\Windows\system32\argmon\argdata\key20131003-215939.txt

==== Startup Registry Enabled ======================

[HKEY_USERS\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\Run]

"Sidebar"="%ProgramFiles%\Windows\Sidebar.exe /autoRun"

[HKEY_USERS\S-1-5-20\Software\Microsoft\Windows\CurrentVersion\Run]

"Sidebar"="%ProgramFiles%\Windows\Sidebar.exe /autoRun"

[HKEY_USERS\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\RunOnce]

"mctadmin"="C:\Windows\System32\mctadmin.exe"

[HKEY_USERS\S-1-5-20\Software\Microsoft\Windows\CurrentVersion\RunOnce]

"mctadmin"="C:\Windows\System32\mctadmin.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"AVG_UI"="C:\Program Files\AVG\AVG2014\avgui.exe /TRAYONLY"

"SoundMAXPnP"="C:\Program Files\Analog Devices\Core\smax4pnp.exe"

"SynTPEnh"="C:\Program Files\Synaptics\SynTP\SynTPEnh.exe"

"SunJavaUpdateSched"="C:\Program Files\Common Files\Java\Java Update\jusched.exe"

"VNT"="C:\Program Files\VNT\vntldr.exe"

==== Startup Registry Disabled ======================

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run-]

"Adobe ARM"="\"C:\\Program Files\\Common Files\\Adobe\\ARM\\1.0\\AdobeARM.exe\""

"SunJavaUpdateSched"="\"C:\\Program Files\\Common Files\\Java\\Java Update\\jusched.exe\""

==== Task Scheduler Jobs ======================

C:\Windows\tasks\Adobe Flash Player Updater.job --a------ C:\Windows\system32\Macromed\Flash\FlashPlayerUpdateService.exe [10/12/2013 21:27]

C:\Windows\tasks\GoogleUpdateTaskMachineCore.job --a------ C:\Program Files\Google\Update\GoogleUpdate.exe [02/05/2013 14:14]

C:\Windows\tasks\GoogleUpdateTaskMachineUA.job --a------ C:\Program Files\Google\Update\GoogleUpdate.exe [02/05/2013 14:14]

==== Other Scheduled Tasks ======================

"C:\Windows\system32\tasks\Adobe Flash Player Updater" [C:\Windows\system32\Macromed\Flash\FlashPlayerUpdateService.exe]

"C:\Windows\system32\tasks\Adobe-online actualiseringsprogramma" [C:\Program Files\Common Files\Adobe\ARM\1.0\AdobeARM.exe]

"C:\Windows\system32\tasks\CCleanerSkipUAC" ["C:\Program Files\CCleaner\CCleaner.exe"]

"C:\Windows\system32\tasks\CreateChoiceProcessTask" [C:\Windows\System32\browserchoice.exe]

"C:\Windows\system32\tasks\GoogleUpdateTaskMachineCore" [C:\Program Files\Google\Update\GoogleUpdate.exe]

"C:\Windows\system32\tasks\GoogleUpdateTaskMachineUA" [C:\Program Files\Google\Update\GoogleUpdate.exe]

"C:\Windows\system32\tasks\Java Update Scheduler" [C:\Program Files\Common Files\Java\Java Update\jusched.exe]

"C:\Windows\system32\tasks\SidebarExecute" [C:\Program Files\Windows Sidebar\sidebar.exe]

==== EOF on wo 11/12/2013 at 13:18:45,23 ======================

11 december 2013 aangepast door kape
map argmon

[kape]

Via deze zoekopdracht is de map C:\Windows\system32\argmon wel degelijk gevonden. Dus zou je die ook zowel in je System32-map als in je register moeten terugvinden ? Schakel zeker het tonen van systeemmappen en -bestanden is. En zoek dan nog eens of je ze toch niet kan terugvinden. Want aanwezig op de PC is ze wel degelijk.