Mededeling

Collapse
No announcement yet.

Trojan horse 'Start.bat'

Collapse
X
Collapse
  •  
  • Page of 1
  • Filter
  • Tijd
  • Show
Clear All
new posts
Vorige template Volgende
  • #1

    Trojan horse 'Start.bat'

    Hoi,

    Ik krijg al geruime tijd bij het opstarten van mijn PC de melding van de Symantec (virusscanner) dat ik een trojan horse op mijn PC heb met de naam 'start.bat'. Tegelijkertijd meld Symantec dat hij het virus niet kan verwijderen, maar wel in quarantaine zet. Hoe kom ik nu van dit virus af?

    Groet,

    Tony
    Labels: Geen
    • Citaat
  • #2
    Download: RVAXO.exe
    • Sla het bestand op je bureaublad op, dubbelklik het en kies voor "Unzip" om het uit te pakken.
    • Open nu de map RVAXO op je bureaublad en dubbeklik RVAXO.cmd
      Er zal een cmd-schermpje openen, daarin zullen snel enkele regels over niet gevonden bestanden voorbijkomen, dit is normaal.
    • Daarna zal je PC herstarten, na de herstart opent het cmd-venster van RVAXO opnieuw.
      Laat deze lopen en wacht tot er een logfile opent: C:\RVAXO-results.log
    • Herstart je computer niet vanzelf, of start de tool niet na de reboot, doe dit dan handmatig.
    • Post de inhoud van de logfile in je volgende bericht.


    Download Combofix naar je Bureaublad.
    Dubbelklik op Combofix.exe
    Kies voor "Continue" door 1 te typen gevolgd door ENTER.
    Tijdens het runnen van de fix, NIET in het venster klikken, want dit zal je pc doen vasthangen.
    Wanneer de fix voltooid is en na herstart, zal de log combofix.txt openen.
    Plaats deze log in je volgende post.

    NOTA: Indien je virusscanner reageert met een melding van een scriptuitvoering, mag je dit negeren.
    • Citaat

    Comment

    • #3
      Logs

      Bedankt voor je hulp Smeek!

      Ik heb beide logfiles hieronder staan. Ik heb overigens geen melding van Symantec meer gehad bij het opstarten! Is'ie er al af?

      Gr, Tony


      ----------------RVAXO.exe first run-------------

      Files found:

      C:\WINDOWS\lnk_dados_2.dll
      C:\Documents and Settings\Compaq_Eigenaar\user.dat
      C:\Documents and Settings\Compaq_Eigenaar\Emails.dat
      C:\WINDOWS\Media\LTaskup.exe
      C:\Documents and Settings\All Users\Menu Start\Online Security Guide.url
      C:\Documents and Settings\All Users\Menu Start\Security Troubleshooting.url

      Uninstallers Rogue scanners:


      Folders Found:


      Hosts-file was reset, If you use a custom hosts file please replace it...

      --------------RVAXO.exe last run---------------

      Files found:

      Folders Found:

      --------------RVAXO.exe finished----------------





      ComboFix 07-12-28.1 - Compaq_Eigenaar 2007-12-28 21:42:55.1 - NTFSx86
      Microsoft Windows XP Home Edition 5.1.2600.2.1252.1.1043.18.146 [GMT 1:00]
      Gestart vanuit: C:\Documents and Settings\Compaq_Eigenaar\Bureaublad\ComboFix.exe
      * Nieuw herstelpunt werd aangemaakt
      .

      (((((((((((((((((((((((((((((((((( Andere Verwijderingen )))))))))))))))))))))))))))))))))))))))))))))))))
      .

      C:\Documents and Settings\Compaq_Eigenaar\Application Data\macromedia\Flash Player\#SharedObjects\V7AQNN5T\iforex.com
      C:\Documents and Settings\Compaq_Eigenaar\Application Data\macromedia\Flash Player\#SharedObjects\V7AQNN5T\iforex.com\Emerp\Events\flash_object.swf\user_data.sol
      C:\Documents and Settings\Compaq_Eigenaar\Application Data\macromedia\Flash Player\macromedia.com\support\flashplayer\sys\#iforex.com
      C:\Documents and Settings\Compaq_Eigenaar\Application Data\macromedia\Flash Player\macromedia.com\support\flashplayer\sys\#iforex.com\settings.sol
      D:\Autorun.inf

      .
      ((((((((((((((((((((((((((((((((((((((( Drivers/Services )))))))))))))))))))))))))))))))))))))))))))))))))

      .
      -------\nm


      (((((((((((((((((((( Bestanden Gemaakt van 2007-11-28 to 2007-12-28 ))))))))))))))))))))))))))))))
      .

      2007-12-28 21:37 . 2007-12-28 21:38 <DIR> d-------- C:\RVAXO
      2007-12-28 21:35 . 2007-12-28 22:17 578,322 --a------ C:\WINDOWS\system32\RVAXO.bat
      2007-12-28 21:35 . 2001-10-01 14:51 69,632 --a------ C:\WINDOWS\system32\remove.exe
      2007-12-13 23:48 . 2007-12-20 20:13 <DIR> d-------- C:\Documents and Settings\Compaq_Eigenaar\Application Data\MSN6
      2007-12-13 23:48 . 2007-12-13 23:48 <DIR> d-------- C:\Documents and Settings\All Users\Application Data\MSN6

      .
      ((((((((((((((((((((((((((((((((((((((( Find3M Rapport ))))))))))))))))))))))))))))))))))))))))))))))))))))
      .
      2007-12-28 20:49 --------- d-----w C:\Program Files\Symantec AntiVirus
      2007-12-27 22:53 --------- d-----w C:\Documents and Settings\All Users\Application Data\DVD Shrink
      2007-12-08 21:08 --------- d-----w C:\Program Files\SPSS
      2007-11-26 17:27 --------- d-----w C:\Program Files\Google
      2007-11-13 10:25 20,480 ----a-w C:\WINDOWS\system32\drivers\secdrv.sys
      2007-10-29 20:21 --------- d-----w C:\Program Files\FDRLab
      2007-03-08 14:05 87,608 -c--a-w C:\Documents and Settings\Compaq_Eigenaar\Application Data\ezpinst.exe
      2007-03-08 14:05 47,360 -c--a-w C:\Documents and Settings\Compaq_Eigenaar\Application Data\pcouffin.sys
      2006-01-31 08:15 53,360 -c--a-w C:\Documents and Settings\Compaq_Eigenaar\Application Data\GDIPFONTCACHEV1.DAT
      2005-01-03 10:36 0 -csha-w C:\WINDOWS\SMINST\HPCD.sys
      2005-04-19 20:06 56 -csha-r C:\WINDOWS\system32\A50650D3B9.sys
      2005-09-11 18:01 5,285 -csha-r C:\WINDOWS\system32\sysfhr.dat
      2005-09-11 18:00 640,957 -csha-r C:\WINDOWS\system32\sysfhr.sys
      .

      ((((((((((((((((((((((((((((((((((((( Reg Opstartpunten )))))))))))))))))))))))))))))))))))))))))))))))))))
      .
      .
      REGEDIT4
      *Nota* lege verwijzingen & legitieme standaard verwijzingen worden niet getoond

      [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
      "NBJ"="C:\Program Files\Ahead\Nero BackItUp\NBJ.exe" [2005-01-04 13:17]
      "Acme.PCHButton"="C:\WINDOWS\PCHealth\HelpCtr\Vendors\CN=Hewlett-Packard"
      "ctfmon.exe"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-04 09:03]

      [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
      "VTTimer"="VTTimer.exe"
      "type32"="C:\Program Files\Microsoft IntelliType Pro\type32.exe" [2004-03-19 05:30]
      "SiS Windows KeyHook"="C:\WINDOWS\System32\keyhook.exe" [2004-05-20 09:47]
      "Share-to-Web Namespace Daemon"="C:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe" [2002-04-17 10:42]
      "Recguard"="C:\WINDOWS\SMINST\RECGUARD.EXE" [2004-04-14 20:43]
      "PS2"="C:\WINDOWS\system32\ps2.exe" [2003-09-12 20:13]
      "KBD"="C:\HP\KBD\KBD.EXE" [2003-02-11 20:02]
      "IntelliPoint"="C:\Program Files\Microsoft IntelliPoint\point32.exe" [2004-03-19 05:29]
      "hpsysdrv"="c:\windows\system\hpsysdrv.exe" [1998-05-07 16:04]
      "HotKeysCmds"="C:\WINDOWS\System32\hkcmd.exe" [2004-08-03 18:43]
      "CamMonitor"="C:\Program Files\Hewlett-Packard\Digital Imaging\\Unload\hpqcmon.exe" [2002-10-07 00:23]
      "AGRSMMSG"="AGRSMMSG.exe" [2005-03-04 11:01 C:\WINDOWS\AGRSMMSG.exe]
      "CloneCDTray"="C:\Program Files\SlySoft\CloneCD\CloneCDTray.exe" [2004-10-21 23:41]
      "AnyDVD"="C:\Program Files\SlySoft\AnyDVD\AnyDVD.exe" [2005-01-23 16:09]
      "BluetoothAuthenticationAgent"="bthprops.cpl" [2004-08-04 09:03 C:\WINDOWS\system32\bthprops.cpl]
      "iTunesHelper"="C:\Program Files\iTunes\iTunesHelper.exe" [2005-10-18 11:58]
      "QuickTime Task"="C:\Program Files\QuickTime\qttask.exe" [2005-12-20 11:25]
      "NeroFilterCheck"="C:\WINDOWS\system32\NeroCheck.exe" [2001-07-09 09:50]
      "SunJavaUpdateSched"="C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe" [2007-09-25 00:11]
      "ccApp"="C:\Program Files\Common Files\Symantec Shared\ccApp.exe" [2004-02-29 16:44]
      "vptray"="C:\PROGRA~1\SYMANT~1\VPTray.exe" [2004-03-12 15:18]
      "Adobe Photo Downloader"="C:\Program Files\Adobe\Photoshop Album Starter Edition\3.2\Apps\apdproxy.exe" [2007-03-22 14:09]
      "Adobe Reader Speed Launcher"="C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2007-10-10 19:51]

      C:\Documents and Settings\All Users\Menu Start\Programma's\Opstarten\
      Acrobat Assistant.lnk - C:\Program Files\Adobe\Acrobat 6.0\Distillr\acrotray.exe [2003-05-15 01:19:50]
      Adobe Gamma Loader.lnk - C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe [2005-03-31 21:19:22]

      [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer]
      "NoSecurityTab"= 1 (0x1)

      [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Acme.PCHButton]
      C:\PROGRA~1\HELPAN~1\Presario\XPHWWRF4\plugin\bin\pchbutton.exe

      R1 LADriver;LADriver;C:\WINDOWS\system32\drivers\LADriver.sys [2005-09-22 03:12]
      R1 LDDriver;LDDriver;C:\WINDOWS\system32\drivers\LDDriver.sys [2005-09-22 02:17]
      R1 LHDriver;LHDriver;C:\WINDOWS\system32\drivers\LHDriver.sys [2005-09-22 03:21]
      R2 sysdrv;sysdrv;C:\WINDOWS\system32\drivers\sysdrv.sys [2004-02-05 11:26]

      [HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\D]
      \Shell\AutoRun\command - C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL Info.exe protect.ed 480 480

      .
      Inhoud van de 'Gedeelde Taken' map
      "2007-12-28 18:48:12 C:\WINDOWS\Tasks\Symantec NetDetect.job"
      - C:\Program Files\Symantec\LiveUpdate\NDETECT.EXE
      .
      **************************************************************************

      catchme 0.3.1333 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
      Rootkit scan 2007-12-28 21:49:52
      Windows 5.1.2600 Service Pack 2 NTFS

      scannen van verborgen processen ...

      scannen van verborgen autostart items ...

      scannen van verborgen bestanden ...

      disk error: C:\WINDOWS\

      **************************************************************************
      .
      Voltooingstijd: 2007-12-28 21:52:50 - machine was rebooted
      .
      2007-12-12 21:48:56 --- E O F ---
      • Citaat

      Comment

      • #4
        Infectie is verwijderd

        Open de map RVAXO op je bureaublad en dubbelklik Uninstall.cmd
        Dit zal alles van RVAXO doen verwijderen.

        Download ATF cleaner (mirror)(gemaakt door Atribune)

        Belangrijk: Sluit al je browservensters(IE en/of Firefox en/of Opera) om de tool goed te kunnen laten werken.

        Dubbelklik op ATF cleaner om het programma te starten.
        Op het tabblad "Main", plaats je een vinkje bij Select All.
        Klik op de knop Empty Selected.

        Het volgende doen als je ook FireFox als browser hebt:
        Klik op tabblad "Firefox", plaats een vinkje bij Select All.
        Wil je de door Firefox opgeslagen wachtwoorden behouden, dan klik je in het venster dat verschijnt op "No".
        (dit haalt het vinkje weer weg bij "Firefox saved passwords")
        Klik op de knop Empty Selected.

        Het volgende doen als je ook Opera als browser hebt:
        Klik op tabblad "Opera", plaats een vinkje bij Select All.
        Wil je de door Opera opgeslagen wachtwoorden behouden, dan klik je in het venster dat verschijnt op "No".
        Klik op de knop Empty Selected.
        Ga naar het tabblad "Main" en klik op de knop Exit om het programma af te sluiten.

        Ga naar Start - Uitvoeren en geef hier het volgende in:
        Combofix /U
        Druk daarna op OK.
        Let op: Er moet een spatie tussen Combofix en /U zitten.

        Dit zal Combofix deïnstalleren.

        Schakel Systeemherstel uit. Herstart de computer. Schakel Systeemherstel weer in.
        Kijk hier hoe je je systeemherstel moet uitschakelen.
        Hiermee verwijder je eventuele restanten van de infecties uit je systeemherstel.

        Dan denk ik dat alles weer OK is
        • Citaat

        Comment

        • #5
          Thanks Smeenk!!!

          Ik ga je laatste adviezen opvolgen!

          Groet,

          Tony
          • Citaat

          Comment

          Vorige template Volgende
          Sorry, you are not authorized to view this page
          Working...
          X