Ik logeer nou bij een vriendin van me en die heeft een virus gedownload. Bij taakbeheer staat bij processen een heleboel x soapclose. Ik heb een hijackthis-log gemaakt, kan iemand die nakijken en even kijken wat ik kan/moet doen?
alvast bedankt

Logfile of HijackThis v1.99.1
Scan saved at 23:50:34, on 29-6-2005
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\atievxx.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
C:\WINDOWS\System32\gearsec.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\system32\am772cfg.exe
C:\Program Files\QuickTime\qttask.exe
C:\Program Files\Java\j2re1.4.2_04\bin\jusched.exe
C:\Program Files\MessengerPlus! 3\MsgPlus.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe
C:\WINDOWS\System32\ctfmon.exe
c:\local.exe
C:\Program Files\Messenger\MSMSGS.EXE
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\Program Files\WinZip\WZQKPICK.EXE
c:\progra~1\intern~1\iexplore.exe
C:\Program Files\iPod\bin\iPodService.exe
C:\Documents and Settings\Maggee\Mijn documenten\hijackthis\HijackThis.exe
C:\WINDOWS\explorer.exe
C:\Program Files\Internet Explorer\iexplore.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.aqfkxkcqyfrnwe.net/VRH0dbKoDv1IULvvdVPXL9CqfesVnb1a2Mjt5MQzOE1w1rETNnCggiJX5vjSVeGA.jpg
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.nl/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: CometCursor Class - {1678F7E1-C422-11D0-AD7D-00400515CAAA} - C:\WINDOWS\System32\COMET.DLL
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: (no name) - {93D8EF71-A231-E6F8-8C90-E3A68EC0522C} - C:\DOCUME~1\Maggee\APPLIC~1\STYLEB~1\Open mode.exe
O3 - Toolbar: MSN Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Toolbar\01.01.1629.0\nl\msntb.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [AMD Wireless Network Configuration] "C:\WINDOWS\system32\am772cfg.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] C:\Program Files\iTunes\iTunesHelper.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\j2re1.4.2_04\bin\jusched.exe
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [MessengerPlus3] "C:\Program Files\MessengerPlus! 3\MsgPlus.exe"
O4 - HKLM\..\Run: [the wave extra this] C:\Documents and Settings\All Users\Application Data\Grid free the wave\soapclose.exe
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [Chicadmin] C:\DOCUME~1\Maggee\APPLIC~1\POPDEF~1\Holemp3rdr.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\MSMSGS.EXE" /background
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Program Files\WinZip\WZQKPICK.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_04\bin\npjpi142_04.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_04\bin\npjpi142_04.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O16 - DPF: {003FADA5-8FEE-11D6-AFB7-0004768F6183} (CryptoRSA Control) - https://www.p3.postbank.nl/sesam/CAX.cab
O16 - DPF: {4C0942C1-C405-4805-B3B6-EA16F2DDD1BD} (innova-Panorama-Viewer Object) - http://www.innova-webplaner.de/innova/pano/prog/HOL/rundum.6.5.0.11.cab
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://spaces.msn.com//PhotoUpload/MsnPUpld.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1115575301851
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cab
O16 - DPF: {DE591B16-A452-11D6-AED1-0001030A4E46} (PBGNX Control) - https://gto.postbank.nl/GTO/PBGNX.cab
O20 - AppInit_DLLs: MsgPlusLoader.dll
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
O23 - Service: Gear-beveiligingsvoorziening (GEARSecurity) - GEAR Software - C:\WINDOWS\System32\gearsec.exe
O23 - Service: iPod-voorziening (iPodService) - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

even ter aanvulling, er worden de hele tijd ie-vensters geopend(ik heb haar al aangeraden om dadelijk iig firefox te nemen). Ik ben nou aan het scannen en als dat klaar is zal ik even vermelden wat daar uit is gekomen.

Er lijkt ook een infectie met LOP te zijn als het gevolg van het installeren van MessengerPlus met sponsors.

De-installeer eerst MessengerPlus op de volgende manier:

Ga naar Configuratiescherm - Software - Programma's wijzigen en verwijderen. Deïnstalleer Messenger plus. (Later kan je deze terug installeren, maar kies dan voor een installatie zonder sponsors.)Tijdens het deïnstallatieprocess wordt er gevraagd om een securitycode in te geven. Doe dit.

Copieer onderstaande code in notepad:
[code:1:ab299fc9dd]
dir %Windir%\tasks\*.job /a:h > files.txt
notepad files.txt [/code:1:ab299fc9dd]
Sla dit op het bureaublad op als [b:ab299fc9dd]findjobs.bat[/b:ab299fc9dd]
Opslaan als type: [b:ab299fc9dd]Alle bestanden[/b:ab299fc9dd]

Start het bestand findjobs.bat en post de inhoud.

Onderstaande regels zijn bij mij onbekend, weet jij wat het is, zo nee scan dan deze exe-bestanden eens met http://virusscan.jotti.org en meldt het resultaat.

[b:ab299fc9dd]c:\local.exe
O2 - BHO: (no name) - {93D8EF71-A231-E6F8-8C90-E3A68EC0522C} - C:\DOCUME~1\Maggee\APPLIC~1\STYLEB~1\Open mode.exe
O4 - HKCU\..\Run: [Chicadmin] C:\DOCUME~1\Maggee\APPLIC~1\POPDEF~1\Holemp3rdr.exe
O4 - HKLM\..\Run: [the wave extra this] C:\Documents and Settings\All Users\Application Data\Grid free the wave\soapclose.exe[/b:ab299fc9dd]

Als het malware blijkt te zijn mag je deze regels wel fixen met hijackthis en de mappen [b:ab299fc9dd]C:\DOCUME~1\Maggee\APPLIC~1\POPDEF~1[/b:ab299fc9dd] en [b:ab299fc9dd]C:\Documents and Settings\All Users\Application Data\Grid free the wave[/b:ab299fc9dd] verwijderen(eventueel processen eerst killen met taakbeheer)

Probeer eerst via configuratiescherm –> Software "Comet Cursor" te verwijderen,
[b:ab299fc9dd]O2 - BHO: CometCursor Class - {1678F7E1-C422-11D0-AD7D-00400515CAAA} - C:\WINDOWS\System32\COMET.DLL[/b:ab299fc9dd]

Na een herstart van de PC een nieuwe log van HijackThis plaatsen

vr.gr.smeenk

[quote:7093146b18="smeenk"]
Onderstaande regels zijn bij mij onbekend

[b:7093146b18]
O2 - BHO: (no name) - {93D8EF71-A231-E6F8-8C90-E3A68EC0522C} - C:\DOCUME~1\Maggee\APPLIC~1\STYLEB~1\Open mode.exe
O4 - HKCU\..\Run: [Chicadmin] C:\DOCUME~1\Maggee\APPLIC~1\POPDEF~1\Holemp3rdr.exe
O4 - HKLM\..\Run: [the wave extra this] C:\Documents and Settings\All Users\Application Data\Grid free the wave\soapclose.exe[/b:7093146b18]
[/quote:7093146b18]

Deze regels horen bij de LOP infectie, dus mogen weg. :wink:

[quote:be61b85e61="smeenk"]Er lijkt ook een infectie met LOP te zijn als het gevolg van het installeren van MessengerPlus met sponsors.

De-installeer eerst MessengerPlus op de volgende manier:

Ga naar Configuratiescherm - Software - Programma's wijzigen en verwijderen. Deïnstalleer Messenger plus. (Later kan je deze terug installeren, maar kies dan voor een installatie zonder sponsors.)Tijdens het deïnstallatieprocess wordt er gevraagd om een securitycode in te geven. Doe dit.

Copieer onderstaande code in notepad:
[code:1:be61b85e61]
dir %Windir%\tasks\*.job /a:h > files.txt
notepad files.txt [/code:1:be61b85e61]
Sla dit op het bureaublad op als [b:be61b85e61]findjobs.bat[/b:be61b85e61]
Opslaan als type: [b:be61b85e61]Alle bestanden[/b:be61b85e61]

Start het bestand findjobs.bat en post de inhoud.

Onderstaande regels zijn bij mij onbekend, weet jij wat het is, zo nee scan dan deze exe-bestanden eens met http://virusscan.jotti.org en meldt het resultaat.

[b:be61b85e61]c:\local.exe
O2 - BHO: (no name) - {93D8EF71-A231-E6F8-8C90-E3A68EC0522C} - C:\DOCUME~1\Maggee\APPLIC~1\STYLEB~1\Open mode.exe
O4 - HKCU\..\Run: [Chicadmin] C:\DOCUME~1\Maggee\APPLIC~1\POPDEF~1\Holemp3rdr.exe
O4 - HKLM\..\Run: [the wave extra this] C:\Documents and Settings\All Users\Application Data\Grid free the wave\soapclose.exe[/b:be61b85e61]

Als het malware blijkt te zijn mag je deze regels wel fixen met hijackthis en de mappen [b:be61b85e61]C:\DOCUME~1\Maggee\APPLIC~1\POPDEF~1[/b:be61b85e61] en [b:be61b85e61]C:\Documents and Settings\All Users\Application Data\Grid free the wave[/b:be61b85e61] verwijderen(eventueel processen eerst killen met taakbeheer)

Probeer eerst via configuratiescherm –> Software "Comet Cursor" te verwijderen,
[b:be61b85e61]O2 - BHO: CometCursor Class - {1678F7E1-C422-11D0-AD7D-00400515CAAA} - C:\WINDOWS\System32\COMET.DLL[/b:be61b85e61]

Na een herstart van de PC een nieuwe log van HijackThis plaatsen

vr.gr.smeenk[/quote:be61b85e61]

ik heb messenger+ nou gedeinstalleerd. Hiermee lijkt de computer iig een stuk sneller te worden en er komen niet voortduren IE pop-ups. Haar eigen virusscan(AVG geloof ik) kon niks vinden, dus ik ga zo even een onlinescan starten.
De regels die jij noemde kan ik niet meer vinden bij hijackthis. Ook krijg ik hijackthis het grootste gedeelte van de tijd niet meer opgestart en geeft hij halverwege het scannen een foutmelding.

findjobs.bat geeft dit:
Het volume in station C heeft geen naam.
Het volumenummer is 9C5E-84C9

Map van C:\WINDOWS\tasks

Incident Status Location

Adware:Adware/SaveNow No disinfected Windows Registry
Adware:Adware/Lop No disinfected C:\Program Files\C2Media
Adware:Adware/Comet No disinfected C:\WINDOWS\System32\Comet.dll
Adware:Adware/ExactSearch No disinfected Windows Registry
Possible Virus. No disinfected C:\command.pif
Adware:Adware/Lop No disinfected C:\Documents and Settings\All Users\Application Data\Grid free the wave\soapclose.exe
Adware:Adware/Lop No disinfected C:\Documents and Settings\Maggee\Application Data\Style body flaw\Open mode.exe
Adware:Adware/Lop No disinfected C:\Program Files\C2Media\Setup.exe
dit kwam er uit mijn scan met Panda.

Deze zaken moet je dus nog manueel verwijderen

Je moet eerst instellen dat verborgen bestanden weergegeven worden. Kijk hier hoe dat moet.

Start de computer in veilige modus.

Daarna met je verkenner de volgende bestanden en mappen opzoeken en verwijderen(indien aanwezig):
C:\Program Files\C2Media <–Deze map
C:\WINDOWS\System32\Comet.dll <– Dit bestand
C:\command.pif <– Dit bestand
C:\Documents and Settings\All Users\Application Data\Grid free the wave <–Deze map
C:\Documents and Settings\Maggee\Application Data\Style body flaw <–Deze map

Herstart hierna de PC in normale modus.

Maak ook een nieuwe log met HijackThis, als dit niet in normale modus wil, probeer het dan in veilige modus.

vr.gr.smeenk :wink:

Ik heb de bestanden verwijderd. Dit is het log. Alvast bedankt voor jullie hulp(ik ga strakjes weer naar huis, dus dan kan ik haar niet verder helpen.)

Logfile of HijackThis v1.99.1
Scan saved at 17:40:31, on 30-6-2005
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
c:\local.exe
C:\WINDOWS\Explorer.EXE
C:\Documents and Settings\Maggee\Mijn documenten\hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://g.msn.nl/0SENLNL/SAOS01
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.startpagina.nl/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Startpagina = file:///C:/Program%20Files/EnterOne/Portal/portal.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {1678F7E1-C422-11D0-AD7D-00400515CAAA} - (no file)
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: MSN Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Toolbar\01.01.1629.0\nl\msntb.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [AMD Wireless Network Configuration] "C:\WINDOWS\system32\am772cfg.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\j2re1.4.2_04\bin\jusched.exe
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Program Files\WinZip\WZQKPICK.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_04\bin\npjpi142_04.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_04\bin\npjpi142_04.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O16 - DPF: {003FADA5-8FEE-11D6-AFB7-0004768F6183} (CryptoRSA Control) - https://www.p3.postbank.nl/sesam/CAX.cab
O16 - DPF: {4C0942C1-C405-4805-B3B6-EA16F2DDD1BD} (innova-Panorama-Viewer Object) - http://www.innova-webplaner.de/innova/pano/prog/HOL/rundum.6.5.0.11.cab
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://spaces.msn.com//PhotoUpload/MsnPUpld.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1115575301851
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cab
O16 - DPF: {DE591B16-A452-11D6-AED1-0001030A4E46} (PBGNX Control) - https://gto.postbank.nl/GTO/PBGNX.cab
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

Er is weer een nieuwe besmetting opgedoken :-?

Ga naar Start - Configuratiescherm - Software - Programma's wijzigen en verwijderen.
Deïnstalleer Switch.

Download en installeer CCleaner.
Klik bovenaan op de knop "Opties". Kies links in het scherm voor "Gevorderden". Haal het vinkje weg bij "Verwijder alleen tijdelijke bestanden in de windows systeemmap die ouder zijn dan 48 uur". Sluit CCleaner.
Gebruik het programma nog niet.

Start de computer in veilige modus. Hoe start ik de computer in veilige modus.

Start Hijackthis en laat de volgende fixen:
[b:dc10236502]R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Startpagina = file:///C:/Program%20Files/EnterOne/Portal/portal.html
O2 - BHO: (no name) - {1678F7E1-C422-11D0-AD7D-00400515CAAA} - (no file)[/b:dc10236502]

Verwijder de volgende mappen en bestanden:
[b:dc10236502]C:/Program Files/EnterOne[/b:dc10236502]

Heb je dit bestand nog gechecked met http://virusscan.jotti.org
[b:dc10236502]c:\local.exe[/b:dc10236502]

[b:dc10236502]Het gebruik van Ccleaner:[/b:dc10236502]
Crap cleaner verwijderd voornamelijk tijdelijke bestanden van je systeem, wanneer de hoeveelheid tijdelijke bestanden op je PC te groot wordt, kan dit problemen geven. Het is dus een goede zaak om af en toe je systeem eens op te schonen.

Ccleaner verwijderd ook cookies. Cookies zijn meestal gewoon nutteloos,
soms zelfs kwaadaardig, maar er zijn er ook enkele die nodig zijn voor het inloggen op bepaalde websites.
Ccleaner biedt je de mogelijkheid om in te stellen welke cookies je behouden wilt.
Kijk hiervoor bij "Opties"en dan Cookies, selecteer de cookies die je behouden wilt en plaats die in de "Te behouden cookies" ruimte.
Klik daarna op de knop "Opschonen".

Als de hoeveelheid tijdelijke bestanden, die Ccleaner verwijderd heeft, erg groot is zou je het beste je schijf ook even kunnen defragmenteren.

Herstel daarna je webinstellingen: Ga naar Configuratiescherm –> Internetopties –> tabblad Programma's.
Klik op de "Webinstellingen herstellen".


vr.gr.smeenk :wink: