Haxdoor virus

[euros]

ComboFix 08-03-03.6 - Michiel 2008-03-10 20:32:14.2 - NTFSx86
Microsoft Windows XP Home Edition 5.1.2600.2.1252.31.1043.18.585 [GMT 1:00]
Gestart vanuit: C:\Documents and Settings\Michiel\Bureaublad\ComboFix.exe
.

(((((((((((((((((((( Bestanden Gemaakt van 2008-02-10 to 2008-03-10 ))))))))))))))))))))))))))))))
.

2008-03-07 18:45 . 2008-03-07 18:45 <DIR> d--h----- C:\WINDOWS\msdownld.tmp
2008-03-07 18:45 . 2007-10-12 15:14 3,734,536 --a------ C:\WINDOWS\system32\d3dx9_36.dll
2008-03-07 18:45 . 2007-07-19 18:14 3,727,720 --a------ C:\WINDOWS\system32\d3dx9_35.dll
2008-03-07 18:45 . 2007-10-12 15:14 1,374,232 --a------ C:\WINDOWS\system32\D3DCompiler_36.dll
2008-03-07 18:45 . 2007-07-19 18:14 1,358,192 --a------ C:\WINDOWS\system32\D3DCompiler_35.dll
2008-03-07 18:45 . 2007-10-02 09:56 444,776 --a------ C:\WINDOWS\system32\d3dx10_36.dll
2008-03-07 18:45 . 2007-07-19 18:14 444,776 --a------ C:\WINDOWS\system32\d3dx10_35.dll
2008-03-07 18:45 . 2007-10-22 03:39 267,272 --a------ C:\WINDOWS\system32\xactengine2_10.dll
2008-03-07 18:45 . 2007-07-20 00:57 267,112 --a------ C:\WINDOWS\system32\xactengine2_9.dll
2008-03-07 18:15 . 2008-03-07 18:15 <DIR> d-------- C:\WINDOWS\system32\AGEIA
2008-03-07 18:15 . 2008-03-07 18:15 <DIR> d-------- C:\Program Files\AGEIA Technologies
2008-03-07 18:14 . 2008-03-07 18:14 <DIR> d-------- C:\Program Files\Common Files\Wise Installation Wizard
2008-03-07 15:56 . 2008-03-07 15:56 <DIR> d-------- C:\Program Files\K-Lite Codec Pack
2008-03-07 08:56 . 2008-03-07 08:56 <DIR> d-------- C:\Program Files\Anark
2008-03-07 08:56 . 2006-11-22 14:27 212,992 --a------ C:\WINDOWS\system32\AKCPanel.cpl
2008-03-03 18:49 . 2008-03-03 18:49 <DIR> d-------- C:\WINDOWS\system32\Kaspersky Lab
2008-03-03 18:49 . 2008-03-03 18:49 <DIR> d-------- C:\DOCUME~1\ALLUSE~1\APPLIC~1\Kaspersky Lab
2008-02-28 20:24 . 2008-02-28 20:24 <DIR> d-------- C:\Graphics
2008-02-28 20:24 . 2005-06-14 01:51 233,984 --------- C:\WINDOWS\system32\mwgfx24.dll
2008-02-28 20:24 . 2005-07-12 11:17 162,304 --------- C:\WINDOWS\system32\mwgfx.dll
2008-02-28 20:24 . 2005-06-04 12:45 103,424 --------- C:\WINDOWS\system32\mwdds.dll
2008-02-28 20:24 . 2004-05-14 10:13 56,832 --------- C:\WINDOWS\system32\mwace.dll
2008-02-28 19:36 . 2008-02-28 19:36 <DIR> d-------- C:\Program Files\Trend Micro
2008-02-27 21:22 . 2008-03-03 18:12 <DIR> d-------- C:\HaxFix
2008-02-27 21:22 . 2008-03-03 17:59 449,390 --a------ C:\HaxFix.exe
2008-02-25 16:34 . 2008-02-25 16:34 <DIR> d-------- C:\Documents and Settings\Mapa\Application Data\Printer Info Cache
2008-02-25 16:34 . 2008-02-25 16:34 <DIR> d-------- C:\Documents and Settings\Mapa\Application Data\Image Zone Express
2008-02-23 21:18 . 2008-02-23 21:03 691,545 --a------ C:\WINDOWS\unins000.exe
2008-02-23 21:18 . 2008-02-23 21:18 2,555 --a------ C:\WINDOWS\unins000.dat
2008-02-23 16:35 . 2008-02-23 16:34 102,664 --a------ C:\WINDOWS\system32\drivers\tmcomm.sys
2008-02-23 16:34 . 2008-02-23 16:35 <DIR> d-------- C:\Documents and Settings\Michiel\.housecall6.6
2008-02-18 21:41 . 2008-02-18 21:41 <DIR> d-------- C:\WINDOWS\system32\Futuremark
2008-02-18 21:41 . 2007-09-07 14:55 27,672 --a------ C:\WINDOWS\system32\drivers\Entech.sys
2008-02-18 21:41 . 2007-09-07 14:55 12,744 --a------ C:\WINDOWS\system32\drivers\Entech64.sys
2008-02-18 21:41 . 2007-09-07 14:55 6,173 --a------ C:\WINDOWS\system32\drivers\Entech.vxd
2008-02-18 21:41 . 2001-11-19 20:05 3,972 --a------ C:\WINDOWS\system32\drivers\PciBus.sys
2008-02-18 21:40 . 2008-02-18 21:40 <DIR> d-------- C:\Program Files\Futuremark
2008-02-17 14:39 . 2000-01-14 17:14 45,568 --a------ C:\WINDOWS\UniFish3.exe
2008-02-10 16:52 . 2008-02-10 16:52 <DIR> d-------- C:\DOCUME~1\ALLUSE~1\APPLIC~1\Magix

.
((((((((((((((((((((((((((((((((((((((( Find3M Rapport ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-03-10 09:02 --------- d-----w C:\Program Files\Spybot - Search & Destroy
2008-03-09 20:01 --------- d-----w C:\Program Files\Hitman Pro
2008-03-09 20:00 --------- d-----w C:\Documents and Settings\Michiel\Application Data\Lavasoft
2008-03-09 20:00 --------- d-----w C:\DOCUME~1\ALLUSE~1\APPLIC~1\Spybot - Search & Destroy
2008-03-07 16:35 --------- d-----w C:\Documents and Settings\Michiel\Application Data\AVG7
2008-03-06 16:49 --------- d-----w C:\Documents and Settings\Michiel\Application Data\uTorrent
2008-03-03 13:57 --------- d-----w C:\DOCUME~1\ALLUSE~1\APPLIC~1\avg7
2008-03-03 09:43 --------- d-----w C:\Documents and Settings\Michiel\Application Data\LimeWire
2008-02-23 21:24 --------- d---a-w C:\DOCUME~1\ALLUSE~1\APPLIC~1\TEMP
2008-02-23 20:07 --------- d-----w C:\Program Files\ESET
2008-02-23 20:03 2,560 ----a-w C:\WINDOWS\system32\drivers\mchInjDrv.sys
2008-02-23 14:31 --------- d-----w C:\Program Files\Google
2008-02-18 20:42 86,016 ----a-w C:\WINDOWS\system32\OpenAL32.dll
2008-02-18 20:40 --------- d--h--w C:\Program Files\InstallShield Installation Information
2008-02-14 16:40 --------- d-----w C:\Program Files\Common Files\Adobe
2008-02-09 14:58 --------- d-----w C:\DOCUME~1\ALLUSE~1\APPLIC~1\Test Drive Unlimited
2008-02-05 15:29 --------- d-----w C:\Program Files\SystemRequirementsLab
2008-02-05 11:55 --------- d-----w C:\Program Files\Weather Watcher
2008-02-05 11:54 --------- d-----w C:\Documents and Settings\Michiel\Application Data\WeatherWatcher
2008-02-04 11:56 --------- d-----w C:\Documents and Settings\Michiel\Application Data\Winamp
2008-01-20 19:42 --------- d-----w C:\Program Files\AdVantage
2007-12-30 15:54 413,696 ----a-w C:\WINDOWS\system32\wrap_oal.dll
2007-12-24 12:49 7,680 ----a-w C:\WINDOWS\system32\ff_vfw.dll
2007-12-21 03:09 368,640 ----a-w C:\WINDOWS\system32\ATIDEMGX.dll
2007-12-21 03:08 272,384 ----a-w C:\WINDOWS\system32\ati2dvag.dll
2007-12-21 03:02 307,200 ----a-w C:\WINDOWS\system32\atiiiexx.dll
2007-12-21 02:59 43,520 ----a-w C:\WINDOWS\system32\ati2edxx.dll
2007-12-21 02:59 26,112 ----a-w C:\WINDOWS\system32\Ati2mdxx.exe
2007-12-21 02:59 147,456 ----a-w C:\WINDOWS\system32\atipdlxx.dll
2007-12-21 02:59 122,880 ----a-w C:\WINDOWS\system32\Oemdspif.dll
2007-12-21 02:58 122,880 ----a-w C:\WINDOWS\system32\ati2evxx.dll
2007-12-21 02:57 512,000 ----a-w C:\WINDOWS\system32\ati2evxx.exe
2007-12-21 02:56 53,248 ----a-w C:\WINDOWS\system32\ATIDDC.DLL
2007-12-21 02:53 9,826,304 ----a-w C:\WINDOWS\system32\atioglx2.dll
2007-12-21 02:47 3,120,640 ----a-w C:\WINDOWS\system32\ati3duag.dll
2007-12-21 02:36 1,661,696 ----a-w C:\WINDOWS\system32\ativvaxx.dll
2007-12-21 02:24 46,080 ----a-w C:\WINDOWS\system32\amdpcom32.dll
2007-12-21 02:20 385,024 ----a-w C:\WINDOWS\system32\atikvmag.dll
2007-12-21 02:18 17,408 ----a-w C:\WINDOWS\system32\atitvo32.dll
2007-12-21 02:15 159,744 ----a-w C:\WINDOWS\system32\atiok3x2.dll
2007-12-21 02:11 499,712 ----a-w C:\WINDOWS\system32\ati2cqag.dll
2007-12-20 20:05 593,920 ------w C:\WINDOWS\system32\ati2sgag.exe
2007-12-11 18:26 103,736 ----a-w C:\WINDOWS\system32\PnkBstrB.exe
.

((((((((((((((((((((((((((((((((((((( Reg Opstartpunten )))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Nota* lege verwijzingen & legitieme standaard verwijzingen worden niet getoond

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ctfmon.exe"="C:\WINDOWS\system32\ctfmon.exe" [2006-03-02 13:00 15360]
"LDM"="C:\Program Files\Logitech\Desktop Messenger\8876480\Program\BackWeb-8876480.exe" [ ]
"MsnMsgr"="C:\Program Files\MSN Messenger\MsnMsgr.exe" [2007-01-19 11:54 5674352]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SoundMan"="SOUNDMAN.EXE" [2006-01-11 08:08 577536 C:\WINDOWS\soundman.exe]
"AVG7_CC"="C:\PROGRA~1\Grisoft\AVG7\avgcc.exe" [2007-12-20 18:15 579072]
"Windows Defender"="C:\Program Files\Windows Defender\MSASCui.exe" [2006-11-03 18:20 866584]
"zBrowser Launcher"="C:\Program Files\Logitech\iTouch\iTouch.exe" [2004-03-18 09:33 892928]
"HP Software Update"="C:\Program Files\HP\HP Software Update\HPWuSchd2.exe" [2005-05-11 22:12 49152]
"SunJavaUpdateSched"="C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe" [2007-09-25 00:11 132496]
"NeroFilterCheck"="C:\WINDOWS\system32\NeroCheck.exe" [2001-07-09 11:50 155648]
"Adobe Reader Speed Launcher"="C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2008-01-11 22:16 39792]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"AVG7_Run"="C:\PROGRA~1\Grisoft\AVG7\avgw.exe" [2007-10-23 17:15 219136]

C:\DOCUME~1\ALLUSE~1\MENUST~1\PROGRA~1\OPSTAR~1\
HP Digital Imaging Monitor.lnk - C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe [2005-05-11 22:23:26 282624]
Logitech Desktop Messenger.lnk - C:\Program Files\Logitech\Desktop Messenger\8876480\Program\LogitechDesktopMessenger.exe [2007-11-07 18:17:52 67128]

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"C:\\Program Files\\Grisoft\\AVG7\\avginet.exe"=
"C:\\Program Files\\Grisoft\\AVG7\\avgamsvr.exe"=
"C:\\Program Files\\Grisoft\\AVG7\\avgcc.exe"=
"C:\\Program Files\\Grisoft\\AVG7\\avgemc.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"C:\\Program Files\\MSN Messenger\\msnmsgr.exe"=
"C:\\Program Files\\MSN Messenger\\livecall.exe"=
"C:\\Program Files\\HP\\Digital Imaging\\bin\\hpqste08.exe"=
"C:\\Program Files\\HP\\Digital Imaging\\bin\\hpofxm08.exe"=
"C:\\Program Files\\HP\\Digital Imaging\\bin\\hposfx08.exe"=
"C:\\Program Files\\HP\\Digital Imaging\\bin\\hposid01.exe"=
"C:\\Program Files\\HP\\Digital Imaging\\bin\\hpqscnvw.exe"=
"C:\\Program Files\\HP\\Digital Imaging\\bin\\hpqkygrp.exe"=
"C:\\Program Files\\HP\\Digital Imaging\\bin\\hpqCopy.exe"=
"C:\\Program Files\\HP\\Digital Imaging\\bin\\hpfccopy.exe"=
"C:\\Program Files\\HP\\Digital Imaging\\bin\\hpzwiz01.exe"=
"C:\\Program Files\\HP\\Digital Imaging\\Unload\\HpqPhUnl.exe"=
"C:\\Program Files\\HP\\Digital Imaging\\bin\\hpoews01.exe"=
"D:\\Games\\Test Drive\\TestDriveUnlimited.exe"=
"C:\\Program Files\\BitTornado\\btdownloadgui.exe"=
"D:\\Games\\Stranglehold\\Binaries\\Retail-Stranglehold.exe"=
"D:\\Games\\Freeciv\\Freeciv-2.0.9-gtk2\\civserver.exe"=
"C:\\Program Files\\Bonjour\\mDNSResponder.exe"=
"D:\\Games\\Postal Share The pain\\System\\Postal2.exe"=
"C:\\Program Files\\Logitech\\Desktop Messenger\\8876480\\Program\\LogitechDesktopMessenger.exe"=
"C:\\Program Files\\Internet Explorer\\iexplore.exe"=
"C:\\Program Files\\uTorrent\\uTorrent.exe"=
"D:\\Games\\Kane and Lynch Dead Men\\kaneandlynch.exe"=
"D:\\Games\\Lost Via Domus\\Yeti_Final_Win32.exe"=


.
**************************************************************************

catchme 0.3.1344 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-03-10 20:34:35
Windows 5.1.2600 Service Pack 2 NTFS

scannen van verborgen processen ...

scannen van verborgen autostart items ...

scannen van verborgen bestanden ...

Scan succesvol afgerond
verborgen bestanden: 0

**************************************************************************
.
Voltooingstijd: 2008-03-10 20:35:03
ComboFix2.txt 2008-03-03 09:10:57
.
2008-03-07 12:15:31 --- E O F ---

[Marckie]

Laat weten of er nog problemen zijn.

[euros]

vrijwel onmiddelijk.
ik had de opdrachten uitgevoerd.

weer eens van profiel gewisseld en het was weer van dat.

ik krijg wel telkens de melding bij het opnieuw opstarten dat het systeem herstelt van een zware fout.
dus mss word de oorzaak telkens herstelt.

in ieder geval. het is zeker nog niet opgelost.
tegendeel, ik vind da mijn pc trage opstarte.

[Marckie]

Wat er gebeurt er als je uitlogt, aflsluit, en na herstart onder dezelfde account weer inlogt?
Niet switchen van gebruiker.

[euros]

niets. dat is geen probleem. (denk ik, ik zal het even controleren voor de zekerheid, moest het ook een probleem zijn dan laat ik het weten)= als ik mijn account aan en afmeld.
als ik de tweede account gewoon aan en afmeld gebeurt er ook niets.
het is maar als ik internet of email gebruik (in de tweede account) en daarna terug wissel dat de stopscreen voorkomt.

*edit* over welke account heb je het nu?
ik kan niet echt volgen. ik heb twee account. mijn en een andere. ik start altijd op de mijne. meld mij af, de andere meld aan. ofwel crashed de pc bij het afmelden van de tweede of het heraanmelden van de eerste.
de meldingen van het herstellen van de systeem fout krijg ik op mijn account.

[Marckie]

Meld je je af, of switch je van gebruiker?

[euros]

wisselen van gebruiker. maar ook effectief afmelden geeft hetzelfde resultaat.
(bij volledig afmelden, niet altijd, maar toch nog frequent genoeg)

[Marckie]

Ga naar Start - uitvoeren en tik in: services.msc
Druk op Enter.
Zoek naar deze service: NOD32 Kernel Service
Stop de service (klik op stoppen), en zet het opstarttype van de service op uitgeschakeld.

Herstart je computer en controleer of het probleem verholpen is.

[euros]

ik heb de service gevonden maar ik kan het niet stopzetten.
alle mogelijke opties staan in het grijs en ik kan dus geen enkele optie uitvoeren zoals stoppen of onderbreken of dergelijke.

wat nu?

[Marckie]

Ik vrees dat het niet zal lukken, maar probeer eens in veilige modus.
Ik neem aan dat je NOD32 niet gebruikt, en dat deze gekomen is met de installatie van Hitmanpro?
Indien ik mis zit, laat het dan even weten.

[euros]

ja inderdaad. dat is ook megeinstalleerd via hitmanpro.
ik gebruik het inderdaad niet.

anders kan ik het mss gewoon uninstaleren. kgebruik het eigenlijk toch niet. als dat da oorzaak kan zijn ...

[Marckie]

Uninstall kan je inderdaad beter proberen dan.

[euros]

uninstall done.

afwachte of het nu opgelost is.

[euros]

nee, het is nog steeds niet opgelost.

[Marckie]

Controleer de windows update site eens of er nog updates beschikbaar zijn.
Indien dit zo is, dan download en installeer je deze.

Zijn de problemen ontstaan na installatie van bepaalde software?

[euros]

Marckie schreef:Controleer de windows update site eens of er nog updates beschikbaar zijn.
Indien dit zo is, dan download en installeer je deze.

Zijn de problemen ontstaan na installatie van bepaalde software?

ik heb alle updates. gisteren is er nog een update geinstalleerd tijdens het afsluiten van mijn pc. ik update automatish.

kzou begot niet meer weten welke software ik toen geinstalleerd heb.
het is al meer dan een maand aan de gang. Ik zal even kijken in mijn lijstje van software en al wat ik niet ken of gebruik verwijderen. Wie weet is het dan wel opgelost.

[Marckie]

Het is moeilijk te zeggen zo wat de juiste oorzaak is van dit probleem.
Hoelang gebruik je AVG al?

[euros]

mja tis inderdaad een hardnekkig probleempje.

ik heb AVG al sinds ik mijn pc geformateerd heb. (kdenk zelfs al van voor ik hem geformateerd heb)

een virus lijkt als oorzaak uitgesloten?

[Marckie]

Ik vind geen sporen meer van malware in je loges. (Dat is natuurlijk geen garantie.)

[euros]

ik heb gisteren nog wat software verwijderd die ik niet meer gebruik.
wie weet is het nu wel opgelost.

khou je op de hoogte.