Problemen na besmetting

[Slimboy Fat]

Hallo helpers,

Ik heb last gehad van een malware die de computer "overnam" Het betrof hier een malware welke sugereerde dat het een onderdeel was van windows en de harddisk beschadigd was. Om dit te verhelpen moest ik betalen.

Ik heb zelf dit probleem verholpen door malwarebytes in safemode te draaien. Ik hield hierna nog een paar problemen over. Al mijn mappen waren verdwenen doordat deze op hide waren gezet. Ook dit heb ik opgelost. Ik heb alleen nu nog een probleem over waar ik niet vanaf kom. Alle mappen staan ook op read only. Als ik deze vinkjes weghaal zijn ze na het sluiten van eigenschappen gewoon weer terug.

Dit is vrij vervelend omdat bepaalde programma's geen toegang hebben tot mijn mappen. Ik kan bijvoorbeeld geen backup meer maken van mijn iphone.

Bij voorbaat dank

HijackThis log:

Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 11:34:56, on 10-9-2011
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\Program Files\Norman\Npm\Bin\Elogsvc.exe
C:\Program Files\Norman\Ngs\Bin\Nnf.exe
C:\Program Files\Norman\Ngs\Bin\Nprosec.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Windows Defender\MsMpEng.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Norman\Npm\Bin\zanda.exe
C:\Program Files\Norman\npm\bin\nvoy.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Norman\npf\bin\npfsvc32.exe
C:\Program Files\Norman\N-Ad-Aware\naservice.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Common Files\Apple\Mobile Device Support\AppleMobileDeviceService.exe
C:\Program Files\Bonjour\mDNSResponder.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\Program Files\Norman\Npt\Bin\Npsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\alg.exe
C:\Program Files\Norman\Npm\Bin\scheduler.exe
C:\Program Files\Norman\Npm\Bin\Njeeves.exe
C:\Program Files\Norman\nig\bin\nigsvc32.exe
C:\Program Files\Norman\nsc\bin\nassvc32.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Program Files\ASUS\Six Engine\SixEngine.exe
C:\Program Files\Brother\ControlCenter2\brctrcen.exe
C:\Program Files\Norman\Npm\Bin\ZLH.EXE
C:\Program Files\Common Files\Java\Java Update\jusched.exe
C:\Program Files\Windows Defender\MSASCui.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Program Files\Norman\nig\bin\niguser.exe
C:\Program Files\Norman\nsc\bin\noelauncher.exe
C:\Program Files\iTunes\iTunesHelper.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\iPod\bin\iPodService.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\Program Files\U.S. Robotics\Instant Update\InstUpDt.exe
C:\Program Files\Logitech\SetPoint\SetPoint.exe
C:\Program Files\Common Files\Logishrd\KHAL2\KHALMNPR.EXE
C:\Program Files\Norman\nse\bin\NSESVC.EXE
C:\Program Files\Norman\Nvc\Bin\Nip.exe
C:\Program Files\Norman\Nvc\bin\nvcoas.exe
C:\Program Files\Norman\Nvc\Bin\cclaw.exe
C:\WINDOWS\system32\ntvdm.exe
C:\WINDOWS\system32\msiexec.exe
C:\Program Files\Trend Micro\HiJackThis\HiJackThis.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://login.live.com/login.srf?wa=wsign...9&id=64855
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://windowsupdate.microsoft.com/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Java™ Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [Six Engine] "C:\Program Files\ASUS\Six Engine\SixEngine.exe" -r
O4 - HKLM\..\Run: [SetDefPrt] C:\Program Files\Brother\Brmfl04g\BrStDvPt.exe
O4 - HKLM\..\Run: [ControlCenter2.0] C:\Program Files\Brother\ControlCenter2\brctrcen.exe /autorun
O4 - HKLM\..\Run: [Norman ZANDA] "C:\Program Files\Norman\Npm\Bin\ZLH.EXE" /LOAD /SPLASH
O4 - HKLM\..\Run: [Kernel and Hardware Abstraction Layer] KHALMNPR.EXE
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Common Files\Java\Java Update\jusched.exe"
O4 - HKLM\..\Run: [Windows Defender] "C:\Program Files\Windows Defender\MSASCui.exe" -hide
O4 - HKLM\..\Run: [AppleSyncNotifier] C:\Program Files\Common Files\Apple\Mobile Device Support\AppleSyncNotifier.exe
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] C:\Program Files\NVIDIA Corporation\nView\nwiz.exe /installquiet
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Adobe ARM] "C:\Program Files\Common Files\Adobe\ARM\1.0\AdobeARM.exe"
O4 - HKLM\..\Run: [NOELauncher] C:\Program Files\Norman\nsc\bin\noelauncher.exe /load
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Device Detection] C:\Program Files\HEMA Fotoservice\dd.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Lokale service')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Netwerkservice')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Adobe Gamma Loader.lnk = ?
O4 - Global Startup: Instant Update.lnk = C:\Program Files\U.S. Robotics\Instant Update\InstUpDt.exe
O4 - Global Startup: Logitech SetPoint.lnk = C:\Program Files\Logitech\SetPoint\SetPoint.exe
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O10 - Unknown file in Winsock LSP: c:\program files\norman\ngs\bin\nlf.dll
O10 - Unknown file in Winsock LSP: c:\program files\norman\ngs\bin\nlf.dll
O10 - Unknown file in Winsock LSP: c:\program files\norman\ngs\bin\nlf.dll
O10 - Unknown file in Winsock LSP: c:\program files\norman\ngs\bin\nlf.dll
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/sh...wflash.cab
O16 - DPF: {E6F480FC-BD44-4CBA-B74A-89AF7842937D} (SysInfo Class) - http://content.systemrequirementslab.com....3.1.0.cab
O22 - SharedTaskScheduler: Preloader van browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Cache-daemon voor onderdeelcategorieën - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O23 - Service: Mobiel Apple apparaat (Apple Mobile Device) - Apple Inc. - C:\Program Files\Common Files\Apple\Mobile Device Support\AppleMobileDeviceService.exe
O23 - Service: Bonjour-service (Bonjour Service) - Apple Inc. - C:\Program Files\Bonjour\mDNSResponder.exe
O23 - Service: Norman eLogger Service (eLoggerSvc6) - Norman ASA - C:\Program Files\Norman\Npm\Bin\Elogsvc.exe
O23 - Service: Google Updateservice (gupdate) (gupdate) - Google Inc. - C:\Program Files\Google\Update\GoogleUpdate.exe
O23 - Service: Google Update-service (gupdatem) (gupdatem) - Google Inc. - C:\Program Files\Google\Update\GoogleUpdate.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: iPod-service (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: Logitech Bluetooth Service (LBTServ) - Logitech, Inc. - C:\Program Files\Common Files\Logishrd\Bluetooth\LBTServ.exe
O23 - Service: Norman N-Ad-Aware Service (naservice) - Norman - C:\Program Files\Norman\N-Ad-Aware\naservice.exe
O23 - Service: Norman Anti Spam Service (NASS) - Norman ASA - C:\Program Files\Norman\nsc\bin\nassvc32.exe
O23 - Service: Norman Intrusion Guard (NIG) - Norman ASA - C:\Program Files\Norman\nig\bin\nigsvc32.exe
O23 - Service: Norman Network Filtering service (NNFSVC) - Norman ASA - C:\Program Files\Norman\Ngs\Bin\Nnf.exe
O23 - Service: Norman NJeeves - Unknown owner - C:\Program Files\Norman\Npm\Bin\Njeeves.exe
O23 - Service: Norman ZANDA - Norman ASA - C:\Program Files\Norman\Npm\Bin\zanda.exe
O23 - Service: Norman Personal Firewall Service (NPFSvc32) - Norman ASA - C:\Program Files\Norman\npf\bin\npfsvc32.exe
O23 - Service: Norman Security service (NPROSECSVC) - Norman ASA - C:\Program Files\Norman\Ngs\Bin\Nprosec.exe
O23 - Service: Norman Privacy Service (npsvc32) - Norman ASA - C:\Program Files\Norman\Npt\Bin\Npsvc32.exe
O23 - Service: Norman Scanner Engine Service (nsesvc) - Norman ASA - C:\Program Files\Norman\nse\bin\NSESVC.EXE
O23 - Service: Norman Virus Control on-access component (nvcoas) - Norman ASA - C:\Program Files\Norman\Nvc\bin\nvcoas.exe
O23 - Service: Norman Virus Control Scheduler (NVCScheduler) - Unknown owner - C:\Program Files\Norman\Npm\Bin\Nvcsched.exe (file missing)
O23 - Service: Norman Resource Provider (NVOY) - Norman ASA - C:\Program Files\Norman\npm\bin\nvoy.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - CACE Technologies - C:\Program Files\WinPcap\rpcapd.exe
O23 - Service: Norman Scheduler Service (Scheduler) - Norman ASA - C:\Program Files\Norman\Npm\Bin\scheduler.exe

--
End of file - 11412 bytes

[miekiemoes]

Hoi,

Ik zou eerst en vooral je Teatimer uitschakelen, want deze kan veranderingen terug ongedaan maken.

Daarna, download & gebruik volgende tool:
http://download.bleepingcomputer.com/grinler/unhide.exe

[Slimboy Fat]

Bedankt voor je reactie.

Ik heb teatimer uitgeschakelt en unhide gebruikt.

Helaas staan nog steed al mijn mappen op alleen lezen en kan ik dit niet veranderen.

mvg Jan

[miekiemoes]

Ja, maar, staat er een vierkantje of een vinkje voor deze mappen, want dit is heel belangrijk. Een vierkantje is geheel normaal en zo moet het ook staan. Indien het een vierkantje is, dan kan je dit idd niet wijzigen, want zo is dit standaard.

Indien bepaalde programma's geen toegang hebben tot bestanden, kijk dan eerst even wat de eigenschappen zijn van het bestand zelf, of deze op alleen lezen staan (dus een vinkje!)
Dus, hier moet je de bestanden zelf, die de programma's niet kunnen benaderen zelf aanpassen en de read only van die bestanden uitvinken.
Indien dit niet lukt, dan kan het zijn dat er permissies op deze bestanden zelf aanwezig zijn.
Om dit op te lossen, gebruik volgend tooltje en plaats het op je bureaublad: http://download.bleepingcomputer.com/sUB...nherit.exe
Daarna, voor ieder bestand waar je geen toegang tot hebt, sleep deze in de Inherit.exe
Inherit.exe zorgt ervoor dat de permissies van de bestanden terug gezet worden naar de eigenaar. Nota, dit is alleen van toepassing op bestanden, niet op mappen. De attributes van de mappen mag je volledig negeren, want dit is hier het probleem niet.

[Slimboy Fat]

Mmmm er staat idd een vierkantje voor.

Misschien staat het iphone backup probleem los van het malware probleem. De bestanden van de backup staan namelijk niet op alleen lezen. De foutmelding van itunes is dat hij geen toegang heeft tot de harddisk.

Is mijn hijack this log verder ok?

[miekiemoes]

Je log ziet er OK uit.

Welke exacte foutmelding krijg je bij itunes?

[swake]

Beste Slimboy Fat,

Citaat:Misschien staat het iphone backup probleem los van het malware probleem. De bestanden van de backup staan namelijk niet op alleen lezen. De foutmelding van itunes is dat hij geen toegang heeft tot de harddisk.

Inderdaad, het backup probleem staat los van het malware probleem. Bij een computer met windows zijn de instellingen wat anders dan bij een Mac. Itunes is een Mac programma maar kan ook op een windows computer gebruikt worden.
Hier vind je de nodige uitleg van de instellingen Itunes bij een windows computer.

http://docs.info.apple.com/article.html?...=301748-nl

http://support.apple.com/kb/TS1717?viewlocale=nl_NL

Groetjes
swake

[Slimboy Fat]

Beste Miekiemoes,

De exacte foutmelding kan ik nu even niet reproduceren omdat ik hier even geen kabel meer heb. Ik zal morgen de kabel halen.

Foutmelding is iets in de trand van:

Itunes kan geen reservekopiemaken van iphone "naam" , omdat itunes geen toegang heeft tot de harde schijf
.

Beste Swake,

bedankt voor je reactie. Helaas denk ik niet dat het probleem in de instellingen zit. Ik heb het programma en het reservekopie maken een jaar lang probleemloos gebruikt. Pas na de infectie is dit probleem tot stand gekomen.

Mvg Slim

[miekiemoes]

Hoi,

Lees hier even:
http://support.apple.com/kb/TS2529?viewl...cale=nl_NL

[Slimboy Fat]

Hallo,

Het verwijderen van de oude kopie heb ik al geprobeerd en werkt niet. Ook een andere gebruiker aanmaken helpt niet. En ik heb ook al itunes gedeinstalleerd en opnieuw geinstalleerd.

[miekiemoes]

Citaat:Het verwijderen van de oude kopie heb ik al geprobeerd en werkt niet.

Wat werkt er precies niet? Het verwijderen van die oude kopie? Krijg je een bepaalde foutmelding?

Heb je al een reservekopie geprobeerd aan te maken via de nieuwe gebruikersaccount? Dus, inloggen op de nieuwe gebruikersaccount, Itunes starten en kiezen om een nieuwe reservekopie te maken. Dan zal er een reservekopie moeten aangemaakt worden onder de nieuwe gebruikersaccount in plaats. Deze zou dan wel toegankelijk moeten zijn.
Nota, de reservekopie onder het oud gebruikersaccount, deze is gewoon corrupt geraakt, dus die mag je verwijderen:

Documents and Settings\[oude gebruikersaccount]\Application Data\Apple Computer <== deze map mag je verwijderen.

[Slimboy Fat]

Sorry voor de late reactie. Het was een druk weekje hier.

Het verwijderen van de oude kopie is geen probleem. Maar daarna een nieuwe maken lukt nog steeds niet.

Ook het aanmaken van een reservekopie onder een andere gebruikers account lukt niet. Zelfde foutmelding.

Ik heb alleen de backup verwijderd moet ik de hele map apple computer verwijderen met alle mappen die daar in staan??

ps. Ik heb ondertussen wel een reservekopie kunnen maken op mijn prive computer. Maar ik wil het toch graag op mijn kantoorcomputer kunnen vanwege het synchroniseren van de agenda's en dergelijke

[miekiemoes]

Ja, die map moest je volledig verwijderen zoals eerder al aangegeven. Dit moest je doen na het verwijderen van itunes.
Pas daarna, wanneer je die map hebt verwijderd, moet je itunes opnieuw installeren.

[Slimboy Fat]

Ok duidelijk ga ik proberen bedankt. Sorry voor het misverstand

[Slimboy Fat]

Helaas geen succes.

Itunes gedeinstalleerd, apllecomputer verwijderd daarna computer herstart. Itunes opnieuw gedownload en geinstalleerd.

Nu krijg ik geen foutmelding meer, maar blijft het maken van de reservekopie hangen zonder vordering.

[miekiemoes]

Ik denk dat je beter even met je probleem op het iTunes forum zelf post aangezien ze deze dagelijks meemaken: https://discussions.apple.com/community/...or_windows

[swake]

Slimboy Fat, ik heb voor jou ook nog iets gevonden.

http://www.iphoneforum.nl/iphone-en-itunes.html

http://www.iphoneforum.nl/

[Slimboy Fat]

Bedankt voor alle hulp en links. Ik ga verder op de iphone forums . Nog maals bedankt en keep up the good work.

Groet Jan

[miekiemoes]

Graag gedaan

[miekiemoes]

Aangezien het probleem opgelost is, wordt deze thread verplaatst naar het "Opgeloste/Inactieve HijackThislogs" forum, waar je niet meer kan posten, enkel lezen.

Indien je terug problemen ondervindt in de eerstvolgende dagen, gelieve een PM te sturen naar één van de Moderators of Administrators om deze thread terug te zetten zodat je verder kan geholpen worden.

Bij problemen die opduiken na enkele weken is het beter om een nieuwe thread te starten met een nieuwe log.
Indien er problemen zijn die niks met malware te maken hebben, gelieve een nieuwe thread te starten in het juist forumonderdeel.