PUM NoDrives

[abbs]

Hallo,

 

We gaan Farbar Recovery Scan Tool (FRST.exe) opnieuw gebruiken.

• Download de bijlage fixlist.txt naar de map, waar ook FRST.exe aanwezig is.
• Dubbelklik op FRST.exe om de tool te starten.
• Als het programma is geopend klik Yes (Ja) bij de disclaimer.
• Druk op de Fix knop.
• Na de fix wordt een logbestand gemaakt (Fixlog.txt) op dezelfde plaats vanwaar de 'tool' is gestart.
• Voeg dit logbestand als bijlage toe aan je volgend bericht.

 

 

 

fixlist.txt

[Gast]

Gelukt!

Ik heb ontdekt dat ik de files via Windirstat wel kon zien. Ik heb de fix uitgevoerd, maar windirstat kon de mappen nog steeds zien en vanaf hier kon ik de mappen openen in file explorer. Ook is na de fix iets veranderd aan mijn schijf. Deze toont nu 2x, 1x als de gewone schijf en een tweede keer als een "ontkoppelde netwerkschijf". Dit toonde hij in het begin van het opstarten in explorer, maar ging daarna weer weg. In windirstat is wel nog te zien dat er 2x dezelfde drive wordt gedeteceerd... Eigenaardig...

Screenshot: 

Fixlog.txt

[Gast]

Na een snelle scan, ook deze weer aanwezig!

 

[abbs]

Hallo,

 

En via "Deze computer" zie je schijf dan ook 2x?

 

Download ZHPCleaner via onderstaande link:
- ZHPCleaner (klik op de blauwe knop 'TÉLÉCHARGER !')
Bewaar het op je bureaublad.

Sluit alle programma's en internet browsers. Internet browsers zullen automatisch afgesloten worden.

ZHPCleaner uitvoeren

• Rechtsklik op ZHPCleaner.exe en klik op "Als administrator uitvoeren".
• Klik op de knop "Akkoord" als je dit programma voor de eerste keer gebruikt.
• Klik op "Scanner" en wacht geduldig tot dit klaar is.
• Let op: Laat het programma nog niets repareren!
• Na afloop staat er een tekstbestand met de naam ZHPCleaner.txt op je bureaublad, post deze als bijlage in je volgend bericht.
  (Het logbestand kan je ook terugvinden in de map %AppData%\ZHP.)
  

[Gast]

Na de reboot die geinitialiseerd werd door de FarBar fix werd deze getoond in "Deze computer" onder het deel netwerken, met de naam "ontkoppelde netwerkschijf" enkele seconde later was dit echter verdwenen. Zoals aangetoond in de bovenstaande screenshot word de "ontkoppelde netwerkschijf" nog wel herkend door WinDirStat.

Hier het logje nog van WHPCleaner:

ZHPCleaner.txt

[abbs]

Hallo,

 

Ik gebruik nooit WinDirStat, ik weet niet of die ook gereset kan worden omdat alles van slag is door malware/adware.

 

Sluit alle programma's en internet browsers. Internet browsers zullen anders automatisch afgesloten worden.

Start opnieuw ZHPCleaner.

• Rechtsklik op ZHPCleaner.exe en klik op "Als administrator uitvoeren".
• Klik op "Scanner" en wacht geduldig tot dit klaar is.
• Klik op "Repareer".
• Er verschijnt een nieuw venster met een aantal knoppen.
• Klik op de knop "Repareer". Wacht de reparatie geduldig af.
• Na afloop staat er een tekstbestand met de naam ZHPCleaner.txt op je bureaublad, post deze als bijlage in je volgend bericht.
  (Het logbestand kan je ook terugvinden in de map %AppData%\ZHP.)
  

 

 

Doe hierna ook weer een scan met Malwarebytes en plaats het logje in plaats van een printscreen:

 

Doe daarvoor het volgende: Start MBAM.

• Klik in de bovenbalk op "Geschiedenis".
  
  
  
  
• Klik vervolgens op de optie programmalogboeken.
  
  
  
  
• Je vindt nu zowel een scan-log als ook beschermingslogs.
  
  
  
  
• Dubbelklik nu op de vermelding "Scanlogboek".
  
  
  
  
• Er opent nu een nieuw venster: links onderaan zie je nu twee knoppen (Exporteer & Kopieer naar klembord).
  
  
  
  
• Klik nu op de knop Exporteer en kies voor Tekstbestand *(txt).
  
  
  
  
• Sla dit kladblok bestand op kies daarvoor bv. het bureaublad en sla het daar op onder vermelding van MBAM scanlog.

[Gast]

Hardnekkig..

ZHPCleaner.txt

mbam.txt

[Gast]

Ik merkte dit net op tijdens het opstarten... geluidje @0:23 seconde.. Komt uit de speakers..

Video: 

 

[Gast]

Conclusie: het popup geluid is een initialisatie (van een rootkit??) waardoor de files hermaakt worden bij verwijdering. 
 

Ik heb via WinDirStat enkele mapjes verwijderd, onder andere deze: 

C:\Users\~IRImfAYo
C:\Users\# 5Ox5Bt
C:\~Upbu
C:\# N6PN9

En nog een paar met zo een rare tekens.. In het begin kreeg ik echter deze waarschuwing bij het verwijderen van een mapje:


Als IT-er kan ik hieruit besluiten dat mijn PC gebruikt wordt in een botnet ofso? Of wordt gebruikt als server. 
Liefst zo snel mogelijk advies om deze rommel er vanaf te krijgen! Ik heb hier geen ervaring mee en de files komen telkens weer terug!

28 december 2016 aangepast door Dalderup

[Gast]

Update: 

Ben in de map geraakt, ga hem nu verwijderen en opnieuw opstarten, zien wat er gebeurt..