Archief - Log: ISE32.exe

Ik heb last gehad van een Trojan op m'n USB-stick. Ik heb die via een wijze die ik vond op het internet verwijdert. Hij had ook m'n C-schijf geinfecteerd. Het ging om de trojan ISE32.EXE die een autorun op m'n USB-maakte en zichzelf in een map RECYCLER genaamd plaatste. Dit deed hij blijkbaar ook op m'n C-schijf.

Nu is de trojan weg van m'n USB-stick, maar de folder RECYCLER blijft er wel op staan. In die map staat er dan een andere map die zo is genaamd ongeveer: "S-1-5-21-57989841-796845957-682003330-1003", met het icoontje van een recycle bin. Op m'n C-schijf staat er ook zo'n RECYCLER map, met ook 'n RESTORE map die ook weer zo'n gekke map bevat met een recycle bin icoon. Daar stond de ise32.exe dus in.

Ik ervaar het volgende probleem: telkens als ik opstart, dan geeft hij de fout dat explorer.exe gecrashed is. In zo'n venster van Send or Do Not Send, ken je wel. Als ik dat wegklik, is m'n explorer even weg, en start dan weer op. Dan komt die error weer. Soms wel 5 keer achter elkaar, en dan stopt het.

Telkens als explorer.exe dus crashed, en aan het opstarten is, komt er linksboven héél snel een kadertje dat zegt: Starting Personal Settings: C:\RECYCLER\S-1-5-21-57989841-796845957-682003330-1003\ Ik kan niet exacter zeggen wat er op staat, het is té snel. Dus ik denk dat het verband houdt met die ise32.exe virus?


Hier is m'n log:




Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 19:06:47, on 6/12/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\acs.exe
C:\Program Files\CA\eTrust Antivirus\InoRpc.exe
C:\Program Files\CA\eTrust Antivirus\InoRT.exe
C:\Program Files\CA\eTrust Antivirus\InoTask.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe
C:\PROGRA~1\CA\ETRUST~1\realmon.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\Program Files\Common Files\Logitech\QCDriver\LVCOMS.EXE
C:\Program Files\SMC\SMCWPCIT-G 108Mbps Wireless PCI adapter\Monitor.exe
C:\Program Files\Lcd Smartie v5.4\LCDSmartie.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\explorer.exe
C:\HiJackThis\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Java(tm) Plug-In SSV Helper - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre6\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Realtime Monitor] C:\PROGRA~1\CA\ETRUST~1\realmon.exe -s
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [LVCOMS] C:\Program Files\Common Files\Logitech\QCDriver\LVCOMS.EXE
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: LCD Smartie.lnk = C:\Program Files\Lcd Smartie v5.4\LCDSmartie.exe
O4 - Startup: RollerCoaster Tycoon 3 Registration.lnk = C:\Documents and Settings\\Local Settings\Temp\{9BFD8154-9F47-4967-928C-D84C9619DE36}\{907B4640-266B-4A21-92FB-CD1A86CD0F63}\ATR1.exe
O4 - Global Startup: SMCWPCIT-G 108Mbps Wireless PCI adapter.lnk = C:\Program Files\SMC\SMCWPCIT-G 108Mbps Wireless PCI adapter\Monitor.exe
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O23 - Service: Atheros Configuration Service (ACS) - Unknown owner - C:\WINDOWS\system32\acs.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: eTrust Antivirus RPC Server (InoRPC) - Computer Associates International, Inc. - C:\Program Files\CA\eTrust Antivirus\InoRpc.exe
O23 - Service: eTrust Antivirus Realtime Server (InoRT) - Computer Associates International, Inc. - C:\Program Files\CA\eTrust Antivirus\InoRT.exe
O23 - Service: eTrust Antivirus Job Server (InoTask) - Computer Associates International, Inc. - C:\Program Files\CA\eTrust Antivirus\InoTask.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe

--
End of file - 4558 bytes

Download Combofix naar je Bureaublad.

OPMERKING: indien je, tijdens of na het downloaden van Combofix of tijdens het gebruik van Combofix een melding krijgt van je Antivirus- of een andere realtime scanner, schakel dan deze scanner uit en download Combofix opnieuw.
Sommige scanners zien bepaalde componenten die Combofix gebruikt als verdacht en gaan deze blokkeren of verwijderen!

• Dubbelklik op Combofix.exe om het te starten.
• Indien je Combofix al eerder hebt gebruikt, kan je een waarschuwing krijgen dat een update beschikbaar is. Sta toe dat ComboFix wordt geupdate.
• Klik op OK in het "NirCmd" venstertje.
• Indien de Recovery Console niet geïnstalleerd is, wordt je gevraagd om dit alsnog te doen door op JA te klikken in het "Query - Recovery Console" venster.
• Klik op OK en Ja om automatisch de Recovery Console te laten installeren.
• Klik na afloop terug op Ja om het scannen op malware te starten.
• Tijdens het runnen van de fix, NIET in het venster klikken, want dit zal je pc doen vasthangen.
• Wanneer de fix voltooid is en na herstart, zal de log Combofix.txt openen.

Post dit logje in je volgende antwoord.

ComboFix 08-12-07.04 - 2008-12-09 21:08:57.1 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.2.1252.1.1033.18.588 [GMT 1:00]
Gestart vanuit: c:\documents and settings\\Desktop\ComboFix.exe
* Nieuw herstelpunt werd aangemaakt
.

(((((((((((((((((((((((((((((((((( Andere Verwijderingen )))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\restore\S-1-5-21-1482476501-1644491937-682003330-1013
c:\restore\S-1-5-21-1482476501-1644491937-682003330-1013\Desktop.ini
c:\restore\S-1-5-21-1482476501-1644491937-682003330-1013\ise32.exe

.
(((((((((((((((((((( Bestanden Gemaakt van 2008-11-09 to 2008-12-09 ))))))))))))))))))))))))))))))
.

2008-12-06 19:05 . 2008-12-06 19:06 <DIR> d-------- C:\HiJackThis
2008-12-05 18:36 . 2008-12-08 19:52 5 --a------ c:\windows\system32\SndDrv32_g.dlx
2008-12-05 18:36 . 2008-12-05 18:36 5 --ahs---- c:\windows\system32\AuxDrv32_g.dlx
2008-12-05 18:35 . 2008-12-05 18:36 <DIR> d-------- c:\program files\RegSupreme
2008-11-26 17:36 . 2008-11-26 17:38 <DIR> d-------- c:\program files\SystemRequirementsLab
2008-11-26 17:36 . 2008-11-26 17:36 <DIR> d-------- c:\documents and settings\\Application Data\SystemRequirementsLab
2008-11-22 17:55 . 2008-11-22 17:55 410,976 --a------ c:\windows\system32\deploytk.dll
2008-11-22 15:35 . 2008-11-22 16:50 <DIR> d-------- c:\program files\HD Tune Pro
2008-11-22 14:17 . 2008-12-09 21:08 <DIR> dr-hs---- C:\RESTORE
2008-11-16 12:36 . 2008-11-16 12:36 249,856 --------- c:\windows\Setup1.exe
2008-11-16 12:36 . 2008-11-16 12:36 73,216 --a------ c:\windows\ST6UNST.EXE
2008-11-12 19:18 . 2008-11-12 19:18 <DIR> d-------- c:\program files\Teamspeak2
2008-11-12 19:18 . 2008-11-12 19:18 <DIR> d-------- c:\documents and settings\\Application Data\teamspeak2
2008-11-12 19:18 . 2008-11-12 19:18 34,064 --a------ c:\windows\system32\lhacm.acm
2008-11-12 18:25 . 2008-11-12 18:25 <DIR> d-------- c:\program files\Common Files\Logitech
2008-11-12 18:25 . 2002-06-10 14:20 414,720 --a------ c:\windows\system32\drivers\lvcodek2.dll
2008-11-12 18:25 . 2002-06-10 14:22 167,936 --a------ c:\windows\system32\lvcodec2.dll
2008-11-12 18:25 . 2002-06-10 14:23 110,592 --a------ c:\windows\system32\LVUI2.dll
2008-11-12 18:25 . 2002-06-10 14:21 102,400 --a------ c:\windows\system32\LVComS.exe
2008-11-12 18:25 . 2002-06-10 14:23 73,728 --a------ c:\windows\system32\LVUI2RC.dll
2008-11-12 18:25 . 2002-06-10 14:25 69,632 --a------ c:\windows\system32\lvcoinst.dll
2008-11-12 18:25 . 2002-06-10 14:20 66,560 --a------ c:\windows\system32\drivers\lvcam2.dll
2008-11-12 18:25 . 2002-06-10 14:21 57,344 --a------ c:\windows\system32\LVComC.dll
2008-11-12 18:25 . 2002-06-10 14:21 37,888 --a------ c:\windows\system32\drivers\lvcm.sys
2008-11-12 18:25 . 2002-06-10 14:20 12,112 --a------ c:\windows\system32\drivers\LVUSBSta.sys
2008-11-12 18:25 . 2002-06-10 14:16 5,187 --a------ c:\windows\system32\lvcoinst.ini
2008-11-12 18:24 . 1998-11-13 13:08 308,224 --a------ c:\windows\IsUn0413.exe
2008-11-12 18:24 . 2008-11-12 18:24 272 --a------ c:\windows\_delis32.ini
2008-11-11 20:45 . 2008-11-11 20:46 21,840 --a----t- c:\windows\system32\SIntfNT.dll
2008-11-11 20:45 . 2008-11-11 20:46 17,212 --a----t- c:\windows\system32\SIntf32.dll
2008-11-11 20:45 . 2008-11-11 20:46 12,067 --a----t- c:\windows\system32\SIntf16.dll
2008-11-11 20:26 . 2008-11-11 20:26 94,208 --a------ c:\windows\DIIUnin.exe
2008-11-11 20:26 . 2008-11-11 20:48 30,757 --a------ c:\windows\DIIUnin.dat
2008-11-11 20:26 . 2008-11-11 20:26 2,829 --a------ c:\windows\DIIUnin.pif
2008-11-11 20:16 . 2008-11-11 20:16 <DIR> d-------- c:\program files\Hamachi
2008-11-11 20:11 . 2008-11-23 22:18 <DIR> d-------- c:\documents and settings\\Application Data\Hamachi
2008-11-11 20:10 . 2008-11-11 20:16 25,280 --a------ c:\windows\system32\drivers\hamachi.sys

.
((((((((((((((((((((((((((((((((((((((( Find3M Rapport ))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-12-09 20:06 --------- d-----w c:\program files\Mozilla Thunderbird
2008-11-22 16:55 --------- d-----w c:\program files\Java
2008-10-12 20:05 --------- d-----w c:\program files\Free YouTube Download
2008-10-12 20:05 --------- d-----w c:\program files\Common Files\DVDVideoSoft
2008-10-12 12:21 --------- d-----w c:\program files\Audacity
2008-10-11 15:15 --------- d-----w c:\program files\Sierra On-Line
2008-10-11 14:19 --------- d-----w c:\program files\Overhoor
2008-09-23 17:09 98,304 ----a-w c:\windows\system32\CmdLineExt.dll
.

((((((((((((((((((((((((((((((((((((( Reg Opstartpunten )))))))))))))))))))))))))))))))))))))))))))))))))))
.
.
*Nota* lege verwijzingen & legitieme standaard verwijzingen worden niet getoond
REGEDIT4

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2008-06-12 34672]
"Realtime Monitor"="c:\progra~1\CA\ETRUST~1\realmon.exe" [2004-04-06 504080]
"SunJavaUpdateSched"="c:\program files\Java\jre6\bin\jusched.exe" [2008-11-22 136600]
"LVCOMS"="c:\program files\Common Files\Logitech\QCDriver\LVCOMS.EXE" [2002-06-10 102400]
"SoundMan"="SOUNDMAN.EXE" [2006-08-02 c:\windows\SOUNDMAN.EXE]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2004-08-04 15360]

c:\documents and settings\\Start Menu\Programs\Startup\
LCD Smartie.lnk - c:\program files\Lcd Smartie v5.4\LCDSmartie.exe [2008-09-06 1655808]

c:\documents and settings\All Users\Start Menu\Programs\Startup\
SMCWPCIT-G 108Mbps Wireless PCI adapter.lnk - c:\program files\SMC\SMCWPCIT-G 108Mbps Wireless PCI adapter\Monitor.exe [2005-06-07 430080]

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusOverride"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe"=
"c:\\Program Files\\Windows Live\\Messenger\\livecall.exe"=
"c:\\Program Files\\uTorrent\\uTorrent.exe"=
"c:\\Program Files\\CA\\eTrust Antivirus\\InoRpc.exe"=
"c:\\Program Files\\CA\\eTrust Antivirus\\InocIT.exe"=
"c:\\Program Files\\CA\\eTrust Antivirus\\Realmon.exe"=
"c:\\Program Files\\CA\\eTrust Antivirus\\InoNmSrv.exe"=
"c:\\Program Files\\Mozilla Firefox\\firefox.exe"=
"c:\\Program Files\\CA\\eTrust Antivirus\\Shellscn.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\IcmpSettings]
"AllowInboundEchoRequest"= 1 (0x1)

R0 xfilt;VIA SATA IDE Hot-plug Driver;c:\windows\system32\DRIVERS\xfilt.sys [2008-08-13 11264]
R1 hwinterface;hwinterface;c:\windows\system32\Drivers\hwinterface.sys [2008-09-06 3026]
R3 SMCWPCIT;SMCWPCIT-G 108Mbps Wireless PCI adapter Service;c:\windows\system32\DRIVERS\SMCWPCIT.sys [2008-08-13 458208]
R3 wlanndi5;wlanndi5 NDIS Protocol Driver;\??\c:\windows\system32\wlanndi5.SYS [2004-04-21 16384]

*Newly Created Service* - PROCEXP90
.
.
------- Bijkomende Scan -------
.
uStart Page = about:blank
IE: E&xport to Microsoft Excel - c:\progra~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
FireFox -: Profile - c:\documents and settings\Application Data\Mozilla\Firefox\Profiles\rsdn434r.default\
FF -: plugin - c:\program files\Java\jre6\bin\new_plugin\npdeploytk.dll
FF -: plugin - c:\program files\Java\jre6\bin\new_plugin\npjp2.dll
FF -: plugin - c:\program files\Mozilla Firefox\plugins\npdeploytk.dll
.

**************************************************************************

catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-12-09 21:09:34
Windows 5.1.2600 Service Pack 2 NTFS

scannen van verborgen processen ...

scannen van verborgen autostart items ...

scannen van verborgen bestanden ...

Scan succesvol afgerond
verborgen bestanden: 0

**************************************************************************
.
--------------------- DLLs Geladen Onder Lopende Processen ---------------------

- - - - - - - > 'winlogon.exe'(608)
c:\windows\system32\Ati2evxx.dll
.
Voltooingstijd: 2008-12-09 21:10:13
ComboFix-quarantined-files.txt 2008-12-09 20:09:51

Pre-Run: 15.753.216.000 bytes free
Post-Run: 15,797,891,072 bytes free

WindowsXP-KB310994-SP2-Pro-BootDisk-NLD.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /noexecute=optin /fastdetect

136 --- E O F --- 2008-08-16 12:57:00



Dank u wel!

Ik heb na die check m'n PC eens gerestart. En buiten een paar gekke dingen (IE icoon op m'n desktop?) is het precies opgelost! Geen crashende explorer.exe meer of gek venstertje wanneer ik opstart.

Als dit nu gefixed is, hoe krijg ik die combofix dan weg? Hij heeft precies wat folders op m'n C-schijf gemaakt. (Qoobox?)

EDIT: zou het nu ook nuttig zijn om combofix nog eens te draaien wanneer m'n geinfecteerde USB-stick in m'n PC zit? Of verwijdert Combofix geen trojans van andere schijven dan de C?

Heeft U geinfecteerde usb sticks dan ?

Deïnstalleer combofix:
- Ga naar start > uitvoeren en typ ComboFix /u
- Klik vervolgens op 2. en klik enter

en weg is combofix

Ja, zo is de trojan tenslotte ook op mijn PC geraakt. Ik heb m'n USB-stick gebruikt op school op een PC waar de USB-hardeschijf van een klasgenoot ook in zat. En ik ben er bijna zeker van dat ik daarvan de trojan op m'n USB-stick heb gekregen. De trojan ISE32.exe maakt namelijk ook een autorun bestandje aan waardoor elke PC waarin je je geïnfecteerde USB-stick steekt, de trojan ook krijgt. Andersom ook, elke USB-stick die je in een geïnfecteerde PC steekt krijgt de trojan door de autorun.

Nu is mijn PC dus vrij van de trojan, maar mijn USB-stick heeft hem waarschijnlijk nog. Ik heb sinds Combofix m'n USB-stick nog niet in m'n PC gestoken.

Wat denk je, zou Combofix de trojan van m'n USB-stick ook verwijderen als ik hem er gewoon insteek en het programma laat draaien?

Bedankt,
Jonas

Nee,



* Download volgende tool naar je bureaublad:
http://www.techsupportforum.com/sectools/sUBs/Flash_Disinfector.exe

Vooraleer de Flash_Disinfector.exe uit te voeren moet je ook de geïnfecteerde USB stick insteken, zodat het de malware componenten ook daar kan verwijderen.
Daarna dubbelklik de Flash_Disinfector.exe om de tool te starten.
Je bureaublad en icoontjes zullen even verdwijnen. Dit is normaal.
Nadat de tool zijn werk heeft uitgevoerd, herstart de pc.

Het is weg. Hartelijk dank!

super