|
|
|||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
Bube.d |
|
||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
|
s.Win32.Bube (aka Win32.Beavis)
Een vrij nieuwe en bijzonder moeilijk te verwijderen infectie is Bube.d. (aka Win32.Beavis).
Deze infectie download verschillende soorten malware naar je computer: Elitetoolbar, HomeSearch,…
De ene infectie wordt gefixt en na een herstart heb je weer een andere infectie wanneer je connectie maat met het internet. Oorzaak is dat explorer.exe geïnfecteerd is. Explorer.exe wordt uiteraard opgestart elke keer dat je windows start.
Wat zie je in een Hijackthislog:
R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = "searchmiracle.com/sp.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = "searchmiracle.com/sp.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = "searchmiracle.com/sp.php
O2 - BHO: IE Update Class - {5B4AB8E2-6DC5-477A-B637-BF3C1A2E5993} - C:\WINDOWS\isrvs\sysupd.dll
O2 - BHO: (no name) - {B75F75B8-93F3-429D-FF34-660B206D897A} - C:\WINDOWS\System32\boln.dll
O2 - BHO: &EliteBar - {28CAEFF3-0F18-4036-B504-51D73BD81ABC} - C:\WINDOWS\EliteToolBar\EliteToolBar version 59.dll
O2 - BHO: (no name) - {2B5E7117-24E7-5914-3794-A3D089E4A773} - (no file)
O2 - BHO: (no name) - {57798B92-1E52-BB11-3BF1-51F50C193253} - (no file)
O2 - BHO: &EliteSideBar - {ED103D9F-3070-4580-AB1E-E5C179C1AE41} - C:\WINDOWS\EliteSideBar\EliteSideBar 08.dll
O3 - Toolbar: &EliteBar - {825CF5BD-8862-4430-B771-0C15C5CA8DEF} - C:\WINDOWS\EliteToolBar\EliteToolBar version 59.dll
O4 - HKLM\..\Run: [tibs5] C:\WINNT\system32\tibs5.exe
O4 - HKLM\..\Run: [12C.tmp] C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\12C.tmp.exe 0 10001
O4 - HKLM\..\Run: [Web Service] C:\WINNT\system32\sm.exe
O4 - HKLM\..\Run: [12C.tmp.exe] C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\12C.tmp.exe 0 10001
O4 - HKLM\..\Run: [version] C:\WINNT\system32\Mthnzl.exe
O4 - HKLM\..\Run: [secure] C:\WINNT\system32\Yfkadl.exe
O4 - HKLM\..\Run: [Desktop Search] C:\WINNT\isrvs\desktop.exe
O4 - HKLM\..\Run: [ffis] C:\WINNT\isrvs\ffisearch.exe
O4 - HKLM\..\Run: [15E.tmp] C:\WINNT\TEMP\15E.tmp.exe 3 10001
O4 - HKLM\..\Run: [15E.tmp.exe] C:\WINNT\TEMP\15E.tmp.exe 3 10001
O4 - HKLM\..\Run: [4.tmp] C:\WINNT\TEMP\4.tmp.exe 0 10001
O4 - HKLM\..\Run: [4.tmp.exe] C:\WINNT\TEMP\4.tmp.exe 0 10001
O4 - HKLM\..\Run: [rE4W37i] jdbtil.exe
O4 - HKLM\..\Run: [kalvsys] C:\windows\system32\kalvayb32.exe
O4 - HKLM\..\Run: [Security iGuard] C:\Program Files\Security iGuard\Security iGuard.exe
O15 - Trusted Zone: *.05p.com
O15 - Trusted Zone: *.addictivetechnologies.com
O15 - Trusted Zone: *.addictivetechnologies.net
O15 - Trusted Zone: *.admin2cash.biz
O15 - Trusted Zone: *.awmdabest.com
O15 - Trusted Zone: *.bettersearch.biz
O15 - Trusted Zone: *.blazefind.com
O15 - Trusted Zone: *.c4tdownload.com
O15 - Trusted Zone: *.clickspring.net
O15 - Trusted Zone: *.f1organizer.com
O15 - Trusted Zone: *.finefind.nettraffic2cash.biz
O15 - Trusted Zone: *.flingstone.com
O15 - Trusted Zone: *.iframe.biz
O15 - Trusted Zone: *.megapornix.com
O15 - Trusted Zone: *.mt-download.com
O15 - Trusted Zone: *.my-internet.info
O15 - Trusted Zone: *.newiframe.biz
O15 - Trusted Zone: *.overpro.com
O15 - Trusted Zone: *.pizdato.biz
O15 - Trusted Zone: *.private-dialer.biz
O15 - Trusted Zone: *.private-iframe.biz
O15 - Trusted Zone: *.scoobidoo.com
O15 - Trusted Zone: *.searchbarcash.com
O15 - Trusted Zone: *.searchmiracle.com
O15 - Trusted Zone: *.slotch.com
O15 - Trusted Zone: *.sp2admin.biz
O15 - Trusted Zone: *.sp2fucked.biz
O15 - Trusted Zone: *.vse-moe.biz
O15 - Trusted Zone: *.windupdates.com
O15 - Trusted Zone: *.xxxtoolbar.com
O15 - Trusted Zone: *.ysbweb.com
O18 - Filter: text/html - {950238FB-C706-4791-8674-4D429F85897E} - C:\WINDOWS\isrvs\mfiltis.dll
O18 - Filter: text/html - {B72F75B8-93F3-429D-B13E-660B206D897A} - C:\WINDOWS\System32\wnim.dll
O18 - Filter: text/plain - {B72F75B8-93F3-429D-B13E-660B206D897A} - C:\WINDOWS\System32\wnim.dll
Hoe verwijderen:
Kaspersky is momenteel de enige die deze infectie in de mate van het mogelijke proper verwijdert. Anderen verwijderen de geïnfecteerde explorer.exe en dat is niet de bedoeling. De trialversie van Kaspersky kan je 30 dagen gratis gebruiken.
Kan je de site van Kaspersky niet bereiken, dan is er waarschijnlijk geknoeid met het Hosts bestand.
Download
The Hoster.
Unzip het programma, run het, klik op Restore Original Hosts, klik op OK en sluit het programma af.
Probeer of je nu de site van Kaspersky wel kan bereiken.
Download
Kaspersky Anti-Virus Personal 5.0.
Kies één van de downloadlocaties en sla het bestand op.
Dubbelklik op "kav5.0trial_personalen.exe" en installeer het in de standaard voorgestelde map.
Gebruik je meer dan één anti-virusprogramma op je computer, dan gaan deze elkaar in de weg zitten. Kaspersky zal hier melding van maken en vragen om het huidige anti-virusprogramma te deïnstalleren.
Als je dit gedaan hebt kan je verder gaan met de installatie.
Een wizard zal je door de installatieprocedure begeleiden.
Klik op "Next".
Aanvaard de Gebruikersovereenkomst, klik op "I agree".
In het venster "Customer Information", vul je je naam in en klik dan op "Next" om verder te gaan.
Nu kom je in het venster 'Important Information'
Haal links onder in dit scherm het vinkje weg bij "Operate according to recommended settings".
Klik op "Next".
In het scherm "Kaspersky Anti-Virus Settings" haal je het vinkje weg bij "Use real-time protection against network attacks".
Het vinkje bij "Use the iStreams technology" laat je staan. (Ga je na verwijdering van de infectie Kasperksy deïnstalleren, dan haal je best het vinkje weg).
Klik op "Next".
Nu kom je in het scherm "Choose Destination Folder". Aanvaardt de standaardmap of kies een andere installatiemap.
Klik op "Next".
Nu start de installatie van Kasperksy anti-virus.
Als de installatie klaar is, krijg je het scherm dat de installatie beëindigd is.
Klik op "Finish".
Als je een firewall gebruikt zorg je dat het anti-virusprogramma toegang heeft tot het internet. De nieuwste updates worden binnengehaald en geïnstalleerd.
Nu moet je de extended database downloaden en installeren. De extended database verwijdert alle Adware die door het Virus.Win32.Bube op je computer gedropt is.
Ga naar het tabblad "Settings".
In het linkse gedeelte klik je op "Configure Updater".
By "Update type" kies je voor "from internet, Extended Database"
Klik op "OK".
Klik op het tabblad "Protection".
Klik nu op de knop "Update Now".
Nu zal een kleinere database geïnstalleerd worden.
Ga terug naar het scherm "Settings".
Klik in het linkse scherm op "Configure-On-Demand Scan".
In het scherm "On-demand Scan settings" plaats je het "Scan level" op "Maximum protection".
Selecteer "Perform recommended action".
Klik op "OK".
Sluit alle open vensters.
Start de computer in veilige modus en zorg dat er geen connectie met het internet mogelijk is. Verbreek fysiek de internetverbinding: kabel van de modem uittrekken.
Lees
hier hoe je de computer in veilige modus kan opstarten.
Eens je in veilige modus bent, start je Kaspersky Anti-virus. Start de systeemscan nog niet.
Nu moet je eerst het proces Explorer.exe beeïndigen.
Druk op CTRL+ALT+DEL om "Windows Taakbeheer" te openen. Ga naar het tabblad "Processen" en selecteer het proces "explorer.exe".
Als je het proces geselecteerd hebt klik je op de knop "Proces beëindigen". (of rechtsklik en kies proces beëindigen)
Alle iconen op je bureaublad zullen verdwijnen, ook het startmenu. Enkel het venster van Windows taakbeheer en het venster van Kaspersky Anti-virus zal je nog zien. Laat deze staan, sluit ze niet!
In het Kaspersky venster klik je op de tab "Protection".
Klik op "Scan My Computer".
Kaspersky zal nu alle bestanden die geïnfecteerd zijn met het Virus.Win32.Bube desinfecteren. Dit kan enkele uren in beslag nemen, dus wees geduldig.
Wanneer de scan klaar is ga je terug naar Windows Taakbeheer (die staat nog steeds open).
Ga in het menu "Bestand" naar "Nieuwe taak (uitvoeren)".
Tik in: explorer.exe
Druk op "OK"
De desktop zal nu weer verschijnen.
Sluit Kaspersky Anti-virus en Windows Taakbeheer en start de computer terug in normale modus.
Als je dit alles gedaan hebt, zal je waarschijnlijk nog verder moeten puin ruimen. Vraag hulp hiervoor op een gespecialiseerd forum. (vb.:
http://www.bluemedicine.be/forum/ )
Controleer ook de instellingen van het windows beveiligingscentrum.
In het protection scherm van Kapsersky anti-virus heb je de mogelijkheid om een rapport op te vragen.
In het linker scherm klik je op "View reports".
Selecteer en rechtsklik op het rapport van "full scan completed". Kies voor "Export detailled report to a file".
Sla het bestand op als bube.txt
|
|||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
|
|
|||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
