Virus dolt mij, na verwijdering elke dag terug. Wat te doen?

Wat je nog zou kunnen proberen, is om je pc in de veilige modus met netwerkmogelijkheden op te starten en dan aan de slag te gaan met je kill-programma. Want een programma dat actief bezig is, kan vaak niet of niet geheel verwijderd worden, dus kan je het beste zo min mogelijk actief hebben staan als je aan de slag gaat. Ik werk altijd met de online scan van TrendMicro, die krijgt tot nu toe altijd alle spyware/malware/virussen/trojans gekilled. Ik heb trouwens ook weleens van iemand gehoord dat je je systeemherstel moet uitzetten als je je pc gaat cleanen van een of ander lastige trojan ofzo, omdat 'ie anders in je register blijft staan (of zoiets)

Krengiserweer schreef op 19 oktober 2007 @ 13:57:

Sja als je er echt vanaf wilt zit er niets anders op dan je gehele C-schijf tewissen en je PC opnieuw te installeren. Niet fijn, maar wel effectief.

Niet altijd hoor kreng, het virus kan zich ook in de boot-sector nestelen... ;-(

MyleneValerie,



Download en installeer dit programma:



Hijackthis



Voer het programma uit, en laat een log maken. Wil je dan deze log even plaatsen hier? Kan ik even goed kijken of er wat mis is!



Hoor het wel!

Er kan niks mis gaan als je even een log maakt. Duurt enkele seconden.







Do a systemscan and save logfile.



kopieer even je log, en zet 'm ff hier neer als je wilt.

@Mastermind: weet je (of iemand anders hier) ook hoe je dat doet, opstarten in veilige modus en/of zonder systeemherstel?



Ik zit al een tijdje met het probleem dat mijn computer blijft hangen op het 'windows sluit af' scherm als ik wil afsluiten, ik kan dus niet normaal afsluiten. Geen idee waar dat vandaan komt.

Verder sinds een paar dagen steeds de melding van een Trojan Horse (BV:KillFiles-K). Ik heb dat ding gegoogled zoals iemand hier tipte, maar ik vind 1 Franse site waar ik maar gedeeltelijk wijs uit word en verder een hele rits Braziliaanse sites. Ik heb het sinds ik dacht een e-card van een kennis te openen en krijg 'm dus niet weg. Wellicht wel in de veilige modus?

@Xander, zou je please(pleaseplease) ook even naar mijn logfile dat ik hieronder zal kopieren kunnen kijken? Met mijn lekenoog valt me vooral op dat er iets van het startgebeuren wordt genoemd en bij het opstarten krijg ik ook steeds die melding van de TrojanHorse. Eerder ook de melding dat BTT Tray (of zoiets) van Bluetooth niet kon starten. Ik heb Spybot en Avast een scan laten doen. Bij Avast kon ik niet alles verwijderen na de scan, dat zou dat startgebeuren kunnen zijn. Ik heb bij dat scannen dus niet gebruik gemaakt van een veilige modus of systeemherstel uitgezet (ofzo??), omdat ik niet weet hoe dat allemaal werkt... Als dat zou helpen, zou je me dan kunnen vertellen hoe dat werkt?



Sorry hoor, maar ik zit (ook) een beetje met de handen in het haar... Hieronder de kopie van de log van Hijack This:



---------------------------------------------------------------------------------------------------------

O4 - HKLM\..\Run: [wTask] C:\WINDOWS\Media\LTaskup.exe

O4 - HKLM\..\Run: [ashMaiSv] C:\PROGRA~1\ALWILS~1\AVAST4\ashmaisv.exe

O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme

O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe

O4 - HKLM\..\RunServices: [KB918547] C:\WINDOWS\SYSTEM\KB918547\KB918547.EXE

O4 - HKLM\..\RunServices: [KB891711] C:\WINDOWS\SYSTEM\KB891711\KB891711.EXE

O4 - HKLM\..\RunServices: [avast!] C:\Program Files\Alwil Software\Avast4\ashServ.exe

O4 - .DEFAULT Startup: w98Eject.lnk = C:\WINDOWS\SYSTEM\w98Eject.exe (User 'Default user')

O4 - .DEFAULT Startup: BTTray.lnk = C:\Program Files\Belkin\Bluetooth Software\BTTray.exe (User 'Default user')

O4 - .DEFAULT Startup: Microsoft Office Snelzoeken.lnk = C:\Program Files\Microsoft Office\Office\FINDFAST.EXE (User 'Default user')

O4 - Startup: w98Eject.lnk = C:\WINDOWS\SYSTEM\w98Eject.exe

O4 - Startup: BTTray.lnk = C:\Program Files\Belkin\Bluetooth Software\BTTray.exe

O4 - Startup: Microsoft Office Snelzoeken.lnk = C:\Program Files\Microsoft Office\Office\FINDFAST.EXE

O8 - Extra context menu item: Verzenden naar &Bluetooth - C:\Program Files\Belkin\Bluetooth Software\btsendto_ie_ctx.htm

O8 - Extra context menu item: &Google Zoeken - res://C:\PROGRAM FILES\GOOGLE\GOOGLETOOLBAR1.DLL/cmsearch.html

O8 - Extra context menu item: &Woord vertalen in het Nederlands - res://C:\PROGRAM FILES\GOOGLE\GOOGLETOOLBAR1.DLL/cmwordtrans.html

O8 - Extra context menu item: Opgeslagen momentopname van de pagina - res://C:\PROGRAM FILES\GOOGLE\GOOGLETOOLBAR1.DLL/cmcache.html

O8 - Extra context menu item: Gelijkwaardige pagina's - res://C:\PROGRAM FILES\GOOGLE\GOOGLETOOLBAR1.DLL/cmsimilar.html

O8 - Extra context menu item: Koppelingspagina's - res://C:\PROGRAM FILES\GOOGLE\GOOGLETOOLBAR1.DLL/cmbacklinks.html

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

O9 - Extra button: @btrez.dll,-4015 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Program Files\Belkin\Bluetooth Software\btsendto_ie.htm

O9 - Extra 'Tools' menuitem: @btrez.dll,-4017 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Program Files\Belkin\Bluetooth Software\btsendto_ie.htm

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\PROGRAM FILES\JAVA\JRE1.5.0_13\BIN\SSV.DLL

O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\PROGRAM FILES\JAVA\JRE1.5.0_13\BIN\SSV.DLL

O12 - Plugin for .pdf: C:\PROGRA~1\INTERN~1\PLUGINS\nppdf32.dll

O15 - Trusted Zone: *.05p.com (HKLM)

O15 - Trusted Zone: *.scoobidoo.com (HKLM)

O15 - Trusted IP range: 206.161.125.149

O15 - Trusted IP range: 206.161.124.130 (HKLM)

O16 - DPF: {4ED9DDF0-7479-4BBE-9335-5A1EDB1D8A21} - http://download.mcafee.co...-us/4,0,0,90/mcinsctl.cab

O16 - DPF: {BCC0FF27-31D9-4614-A68E-C18E1ADA4389} - http://download.mcafee.co...n-us/1,0,0,23/mcgdmgr.cab

O16 - DPF: {D83C1BD1-DCBB-11D4-9425-0050BF33FA6E} (CycloScopeLite Control) - http://www.cyclomedia.nl/...onents/CycloScopeLite.cab



--

End of file - 6530 bytes

--------------------------------------------------------------------------------------------------------

Dank je Laura....zal mijn oog er op laten vallen. Je hoort van me.

Opstarten in veilige modus kan op verschillende manieren: Tijdens het strarten van windows je F8 toets ingedrukt houden, echter, dit kan ook F7 zijn óf de CTRL toets. Kan nog weleens verschillen per computer.



Zal naar je log kijken....kom er op terug!

Als je een laptop bij Dell koopt, heb je (als het goed is) wel degelijk alle software erbij geleverd gekregen, zowel op PC als op schijfje: Windows en eventuele andere aangeschafte software met licentiecode. Daar heb je ook voor betaald. Ik heb ook een laptop van Dell (mijn tweede alweer).

En Laura, wil graag wat meer over je Trojan weten...

En Mylene....al logje gemaakt?

Krengiserweer schreef op 19 oktober 2007 @ 13:57:

Sja als je er echt vanaf wilt zit er niets anders op dan je gehele C-schijf tewissen en je PC opnieuw te installeren. Niet fijn, maar wel effectief.

pff, echt zo'n vrouwen oplossing

laat je pc gewoon online scannen

http://housecall.trendmicro.com/

en koop daarna een goede virusscanner

avg vind idd barweinig terug terwijl er weldegelijk virussen rondhangen op je schijf

AVG vindt genoeg, maar scant alleen naar virussen & trojan's..

Voor andere zooi heb je: S&D, Ad-Aware, Anti-rootkit zooi etc..

@Laura: onderin je log staat:

Trusted Zone: *.05p.com (HKLM)

O15 - Trusted Zone: *.scoobidoo.com (HKLM)

O15 - Trusted IP range: 206.161.125.149

O15 - Trusted IP range: 206.161.124.130 (HKLM)

Dat hoort er sowieso niet thuis!



Net als: cyclomedia..nl

ik weet dat avg niet naar spyware zoekt maar wanneer ik na een avg scan mn pc met een niet gratis-virusscanner scan, dan zie je pas wat avg zoal over het hoofd ziet, zelfs wanner het up to date is.

ik vind het echt niet zo geweldige virusscanner . maar gelukkig is er ook nog trend micro house housecall, een hele goede gratis online scanner vind ik!

Even gekeken, tja de scanner herkent dan ook meer dan virussen alleen..



Ik heb zelf 2 pc's met AVG Internet security, nooit problemen. Ze zijn af-en-toe té enthousiast. Er werden ook dingen herkend die geen virus/spyware zijn.

AVG free, haalt ook dingen weg die 'n betaalde variant van Symantec internet security 2006 liet/laat staan..



Als ik 'n scan niet vertrouw, dan ga ik meerdere online scanners af..

Xander68 schreef op 21 oktober 2007 @ 15:55:

En Laura, wil graag wat meer over je Trojan weten...

Wat dan en hoe kom ik aan die info? Ik krijg melding over die BV:KillFiles-k [Trj]. En daarbij C:\start.bat. Wat dat ook moge zijn. Ik neem aan dat dat ertoe leidt dat ik bij opstarten steeds die melding krijg.

rouke schreef op 21 oktober 2007 @ 16:16:

AVG vindt genoeg, maar scant alleen naar virussen & trojan's..

Voor andere zooi heb je: S&D, Ad-Aware, Anti-rootkit zooi etc..

@Laura: onderin je log staat:



[...]



Dat hoort er sowieso niet thuis!



Net als: cyclomedia..nl

Hoe kom ik van die dingen af dan? En ik dacht dat Cyclomedia.nl was van het programmaatje waarmee ik panoramafoto's kan bekijken op de site van woningnet?

Laura289 schreef op 21 oktober 2007 @ 23:28:

[...]





Hoe kom ik van die dingen af dan? En ik dacht dat Cyclomedia.nl was van het programmaatje waarmee ik panoramafoto's kan bekijken op de site van woningnet?

ohja, gezien, beetje vreemd als je 't mij vraagt, daarvoor zijn zat andere programma's beschikbaar. Dan nog vertrouw ik het niet wanneer zomaar 'n site zich in de veilige site s rommelt..



Xander wil weten hoe het virus wordt genoemd.. Denk ik zo..

Wat je zegt Rouke, ik zie ook dingen staan in haar log die er niet thuishoren...ook de IP range adressen..lijkt me ook vaag.



Leuke uitdaging dit



Wat zie je nou precies al je je compu opstart? Misschien slim om even een screendump te maken...

TO, waar ben je? Wil je best helpen, maar dan moet je natuurlijk wel een beetje meewerken he? Een log plaatsen bijvoorbeeld?

@Xander: Kun jij dan enkele posts gaan gebruiken ipv dp'tjes



Ik vindt die hijack this logs maar wat vaag, ik herken zeker zaken maar waar die nummers ervoor voorstaan?? kun jij me dat vertellen Xander? Ik gebruik 'n hele zooi andere software, maar geen hijackthis



google toolbar wil ik ook niet thuis in 'm'n huis btw, ik gebruik de veel relaxtere & handigere "de telefoongids" toolbar, daar zit ook google in btw. Maar dan vindt je NL'se tel & faxnummers wel veel sneller bovendien gratuis



@Leeuwin: het enigste wat Trendmicro onterecht als spy/grayware zag was mijn aangepaste hostsfile. Dat klopt idd. Die is door S&D aangepast & 2 cookies

Soms zou ik een pc het raam wel uit willen rammen... Had ik net een hele reactie geschreven, weg.



Poging 2.



Het opstarten in de veilige modus is nog niet gelukt. Is er een specifiek moment dat ik op zo'n toets moet drukken tijdens het opstarten van de computer? Ik heb windows 98, misschien verduidelijkt dat iets. Ja, ik weet het, antiek, maar het is tijdelijk. Mijn antieke laptop met daarop XP trok niks, dus daar had ik ook weinig aan.



Verder ben ik een nitwit op virusgebied. Ik dacht ook dat ik al had aangegeven hoe het virus genoemd wordt, maar zo niet, vertel me dan maar even waar ik die informatie kan vinden, want ik weet het niet.



Nogmaals voor het overzicht:

Wanneer ik pc opstart krijg ik bij laden van bureaublad (of als dat al geladen is, daar wil ik vanaf zijn) van mijn virusscanner (Avast!) de melding: '"BV:KillFiles-K [Trj]" has been found in "C:/start.bat".'. Hierna geeft de virusscanner de melding dat er een Trojan Horse gevonden is. Ik heb dan een keuze wat ik kan doen, waarbij 'verplaatsen naar kluis' aanbevolen wordt. Dat heb ik nu meermalen geprobeerd, net als verwijderen, maar elke keer bij opstarten weer die melding.



Bij het googelen op de naam van dit ding, kreeg ik Portugese sites en 1 Franse. Op de Franse site meende ik te lezen dat het ding gekomen was uit een e-card van een bekende. Dat is ook mijn ervaring. Een bekende stuurde me een e-mail met een e-card. Het was een (dacht ik toen) spaanstalige e-card, maar ik dacht: oh ze zal wel spaans spreken, vaak op sites daar komen en dan al haar e-friends een kaartje sturen. Beetje naief ja, maar erg goed had ik ook niet gekeken. Ik dacht alleen dat het er spaansachtig uitzag, maar heb er verder niet veel aandacht aan besteed. Ik drukte op de link en kreeg toen meteen de melding dat er een Trojan Horse was (van mijn virusscanner). Ik heb de bekende in kwestie geemaild en zij heeft inderdaad een Trojan Horse gehad. Iemand heeft hem er voor haar afgehaald, waardoor zij er vanaf is.

Dit is alle info die ik zo kan geven, als je meer wilt weten moet je maar zeggen waar ik dat kan vinden.



Over Cyclomedia: ik heb geen idee wat zo'n bestandje al dan niet doet, want ik heb er geen verstand van. Kan 'm verder nergens vinden in mijn pc zo snel, dus kan 'm ook niet verwijderen.



Verder heb ik zoals al eerder gezegd al langer het probleem dat ik mijn pc niet normaal kan afsluiten. Hij blijft hangen op 'windows sluit af'. Daar heb ik overigens nooit een melding bij gekregen, dus wat daarvan de oorzaak zou kunnen zijn weet ik niet.



Groetjes,

Laura