[OPGELOST] System security

[idenniske]

Enkele dagen gelede gaf onze gezins pc de melding aan dat er een virus aanwezig was, ook werd de scanner System Security geopend. Kort daarna kon ik de pc niet meer opstarten. Ik heb de pc toen maar geformatteerd.

Nu 4 dagen later staat hetzelfde virus weer op de pc, ik heb de router al een keer hard gereset omdat ik die ook niet meer vertrouwde.

De pc staat nu aan in veilige modus en ik typ dit bericht vanaf mijn macbook. Ik heb hijack gedraait en de log vind je in de bijlage.

Kunnen jullie mij vertellen wat er niet klopt en welke regels ik moet fixen. Dan kan ik daarna de volgende stappen doorlopen.

Alvast bedankt voor de hulp.

hijackthis.log

[kape]

Start Hijackthis op. Ben je gebruiker van Vista kies dan voor “Run as administrator" of "Uitvoeren als administrator". Selecteer “Do a system scan only”. Selecteer alleen de items die hieronder zijn genoemd:

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\DOCUME~1\smits\LOCALS~1\Temp\init.e xe

O2 - BHO: XML module - {500BCA15-57A7-4eaf-8143-8C619470B13D} - C:\WINDOWS\system32\msxml71.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE

O4 - HKLM\..\Run: [18788594] C:\Documents and Settings\All Users\Application Data\18788594\18788594.exe

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

O4 - HKCU\..\Run: [EPSON Stylus DX7400 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATICDE.EXE /FU "C:\DOCUME~1\smits\LOCALS~1\Temp\E_S21.tmp" /EF "HKCU"

O4 - HKCU\..\Run: [Monopod] C:\DOCUME~1\smits\LOCALS~1\Temp\b.exe

Klik op 'Fix checked' om de items te verwijderen.

Download MBAM (Malwarebytes' Anti-Malware).

Dubbelklik op mbam-setup.exe om het programma te installeren.

Zorg ervoor dat er een vinkje geplaatst is voor Update Malwarebytes' Anti-Malware en Start Malwarebytes' Anti-Malware, Klik daarna op "Voltooien".

Indien een update gevonden werd, zal die gedownload en geïnstalleerd worden.

Wanneer het programma volledig up to date is, selecteer dan in het tabblad Scanner : "Snelle Scan", daarna klik op Scan.

Het scannen kan een tijdje duren, dus wees geduldig.

Wanneer de scan voltooid is, klik op OK, daarna "Bekijk Resultaten" om de resultaten te zien.

Zorg ervoor dat daar alles aangevinkt is, daarna klik op: Verwijder geselecteerde.

Na het verwijderen zal een log openen en zal er gevraagd worden om de computer opnieuw op te starten. (Zie verder). De log wordt automatisch bewaard door MBAM en kan je terugvinden door op de "Logs" tab te klikken in MBAM.

Indien MBAM moeilijkheden heeft met het verwijderen van bepaalde bestanden zal het enkele meldingen geven waar je OK moet klikken. Daarna zal het vragen om de computeropnieuw op te starten... dus sta toe dat MBAM de computer opnieuw opstart.

Plak de inhoud van het logje in je volgende bericht, samen met een nieuw HijackThis log.

[idenniske]

Hierbij de logjes. Ik moet in veilige modus werken anders is het onmogelijk om een van deze programma's te openen.

Hoe komt dit virus eigenlijk op de computer? Ik denk dat het te maken heeft met een spel wat mijn broertje speelt, zou dit kunnen?

mbam-log-2009-07-23 (15-12-07).txt

hijackthis.log

[kape]

Start Hijackthis op. Ben je gebruiker van Vista kies dan voor “Run as administrator" of "Uitvoeren als administrator". Selecteer “Do a system scan only”. Selecteer alleen de items die hieronder zijn genoemd:

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\DOCUME~1\smits\LOCALS~1\Temp\init.e xe

Klik op 'Fix checked' om de items te verwijderen.

Download MBAM (Malwarebytes' Anti-Malware).

Dubbelklik op mbam-setup.exe om het programma te installeren.

Zorg ervoor dat er een vinkje geplaatst is voor Update Malwarebytes' Anti-Malware en Start Malwarebytes' Anti-Malware, Klik daarna op "Voltooien".

Indien een update gevonden werd, zal die gedownload en geïnstalleerd worden.

Wanneer het programma volledig up to date is, selecteer dan in het tabblad Scanner : "Snelle Scan", daarna klik op Scan.

Het scannen kan een tijdje duren, dus wees geduldig.

Wanneer de scan voltooid is, klik op OK, daarna "Bekijk Resultaten" om de resultaten te zien.

Zorg ervoor dat daar alles aangevinkt is, daarna klik op: Verwijder geselecteerde.

Na het verwijderen zal een log openen en zal er gevraagd worden om de computer opnieuw op te starten. (Zie verder). De log wordt automatisch bewaard door MBAM en kan je terugvinden door op de "Logs" tab te klikken in MBAM.

Indien MBAM moeilijkheden heeft met het verwijderen van bepaalde bestanden zal het enkele meldingen geven waar je OK moet klikken. Daarna zal het vragen om de computeropnieuw op te starten... dus sta toe dat MBAM de computer opnieuw opstart.

Plak de inhoud van het logje in je volgende bericht, samen met een nieuw HijackThis log.

[idenniske]

Hierbij de nieuwe logjes

hijackthis.log

mbam-log-2009-07-23 (18-03-37).txt

[kape]

Bij Malwarebytes lijkt het er op dat je de geselecteerde items niet verwijderd hebt. "No action taken" wijst alvast in die richting. Mocht je dit niet gedaan hebben, dan mag je Malwarebytes opnieuw laten scannen en de items wél verwijderen. Zet daarna een nieuw logje van Malwarebytes in je volgende bericht.

[idenniske]

Nu is alles succesvol verwijderd. Logje dump ik in de bijlage.

Ook maar meteen een nieuwe hijack log gemaakt.

mbam-log-2009-07-24 (12-57-44).txt

hijackthis.log

[idenniske]

Ik heb nog even de combo fix gedaan, de log komt eraan.

Ik hoop dat het verholpen is, bedankt voor de hulp.

2 vraagjes van mijn kant:

1 : Hoe komt het virus binnen?

2 : Hoe weet je met hijack this welke regels je moet verwijderen?

[idenniske]

Hierbij de combofix log:

het lijkt nu allemaal in orde.

ComboFix.txt

[kape]

2 vraagjes van mijn kant:

1 : Hoe komt het virus binnen?

2 : Hoe weet je met hijack this welke regels je moet verwijderen?

1. Een deel via een Facebook-besmetting, een ander deel via een "fout" klikje op een "fout" linkje, of inderdaad via een besmet bestand in eventueel een "spelletje". Maar helemaal achterhalen kan je dit niet, vermits het hier om een gecombineerde besmetting ging.

2. Een beetje studie, wat afkijken bij de collega's ... en veel ervaring opbouwen. Je kan er eventueel een opleiding voor volgen op een Nederlands forum ... maar de wachttijden zijn daar ongezellig lang.

P.S. Al je logjes zien er nu goed uit, kunnen we aan de opruiming beginnen :

Verwijder Combofix: Start -> Uitvoeren en typ: combofix /u

Dit zal Combofix verwijderen + gerelateerde mappen en bestanden, herstelt de klokinstellingen opnieuw, verbergt de bestandsextensies, gaat verborgen bestanden en systeembestanden terug verbergen en maakt een nieuw herstelpunt.

Verwijder volgende vetgedrukte map met Windows Verkenner : C:\Qoobox (indien nog aanwezig).

Download CCleaner.

Installeer het en start CCleaner op. Klik in de linkse kolom op “Cleaner”. Klik achtereenvolgens op ‘Analyseren’ en 'Opschonen'. Soms is 1 analyse niet voldoende. Deze procedure mag je herhalen tot de analyse geen fouten meer aangeeft. Klik vervolgens in de linkse kolom op “Register” en klik op ‘Scan naar problemen”. Als er fouten gevonden worden klik je op ”Herstel geselecteerde problemen” en ”OK”. Dan krijg je de vraag om een back-up te maken. Klik op “JA”. Kies dan “Herstel alle geselecteerde fouten”. Sluit hierna CCleaner terug af.

Het is aangewezen om de bestaande herstelpunten te verwijderen (daar zitten besmette herstelpunten tussen die je eventueel zou kunnen terugzetten) door systeemherstel tijdelijk uit te schakelen. Doe dit via Start -> Configuratiescherm -> Systeem -> Systeemherstel -> "Systeemherstel op alle stations uitschakelen" aanvinken. Toepassen en OK. PC herstarten en het vinkje terug weg halen.

That's it !