Geïnfecteerd met troj.paard Clicker.AEIO

[Anoniem2]

Hallo,\r\n\r\nik hoop dat iemand me kan helpen.:(\r\nAVG waarschuwt steeds tegen een trojaans paard Clicker.AEIO. de bedreigingen komen vanuit de Windowd Temp map die ik heb geleegd.\r\nVerder heb ik Malwarebytes laten lopen die e.e.a. heeft verwijderd. Die vindt nu niets meer maar toch komen er nog nieuwe meldingen.\r\nMet Hijackthis durf ik niets te doen. Anyone?\r\n\r\nGroetjes,\r\n\r\nAnja\r\n\r\nEdit: het probleem is opgelost. Combofix did the job.

[Anoniem2]

Ik heb hetzelfde probleem.\r\nBij mij lukt het echer niet met combofix.\r\nHeb ook geprobeerd met norton, avg, avast en spyhunter.\r\nheb ook een aantal online scans gedaan en er is \'niks\' te vinden.\r\nNiettegenstaande geeft Norton om de enkele minuten een popup om te laten weten dat het een trojaans paard clicker heeft geblokkeerd.\r\n\r\nKan iemand mij hiermee helpen?\r\n\r\nAlvast bedankt.

[Anoniem2]

MBAM al geprobeerd ([url]http://www.virushelp.nl/mbam.htm[/url])?\nPlaats eventueel een hijack log: [url]http://forum.computeridee.nl/showthread.php?t=49575[/url]

[Anoniem2]

[QUOTE=Obelix71;507485]MBAM al geprobeerd ([url]http://www.virushelp.nl/mbam.htm[/url])?\r\nPlaats eventueel een hijack log: [url]http://forum.computeridee.nl/showthread.php?t=49575[/url][/QUOTE]\r\n\r\nMBAM evenmin.\r\nVlak na de scan kreeg ik de melding via avg: trojaans paard clicker.AEIO gedetecteerd bij het openen van bestand c\\windows\\temp\\ulmi.tmp\\svchost.exe\r\nen om de paar minuten opnieuw, de letters ulmi zijn dan wel vervangen door andere.\r\n\r\n\r\n\r\nHet Hijackthis logje\r\n\r\nLogfile of Trend Micro HijackThis v2.0.3 (BETA)\r\nScan saved at 14:56:15, on 15/01/2010\r\nPlatform: Windows Vista SP2 (WinNT 6.00.1906)\r\nMSIE: Internet Explorer v8.00 (8.00.6001.18865)\r\nBoot mode: Normal\r\n\r\nRunning processes:\r\nC:\\Windows\\system32\\taskeng.exe\r\nC:\\Windows\\system32\\Dwm.exe\r\nC:\\Windows\\Explorer.EXE\r\nC:\\Program Files\\NewTech Infosystems\\Packard Bell MyBackup\\BackupManagerTray.exe\r\nC:\\Program Files\\Google\\Google Desktop Search\\GoogleDesktop.exe\r\nC:\\Windows\\System32\\igfxtray.exe\r\nC:\\Windows\\System32\\hkcmd.exe\r\nC:\\Windows\\System32\\igfxpers.exe\r\nC:\\Program Files\\Realtek\\Audio\\HDA\\RtHDVCpl.exe\r\nC:\\Program Files\\VideoWebCamera\\VideoWebCamera.exe\r\nC:\\Program Files\\Synaptics\\SynTP\\SynTPEnh.exe\r\nC:\\Program Files\\PACKARD BELL\\Packard Bell PowerSave Solution\\ePowerTray.exe\r\nC:\\Program Files\\CyberLink\\PowerDVD8\\PDVD8Serv.exe\r\nC:\\Program Files\\Java\\jre6\\bin\\jusched.exe\r\nC:\\Program Files\\AVG\\AVG9\\avgtray.exe\r\nC:\\Program Files\\PACKARD BELL\\SetupMyPC\\SmpSys.exe\r\nC:\\Program Files\\Google\\GoogleToolbarNotifier\\GoogleToolbarNotifier.exe\r\nC:\\Program Files\\Common Files\\Nero\\Lib\\NMIndexStoreSvr.exe\r\nC:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe\r\nC:\\Windows\\system32\\wbem\\unsecapp.exe\r\nC:\\Users\\laptop\\AppData\\Local\\Temp\\RtkBtMnt.exe\r\nC:\\Windows\\system32\\igfxsrvc.exe\r\nC:\\Windows\\system32\\igfxext.exe\r\nC:\\Program Files\\Internet Explorer\\iexplore.exe\r\nC:\\Program Files\\Internet Explorer\\iexplore.exe\r\nC:\\Program Files\\Google\\Google Toolbar\\GoogleToolbarUser_32.exe\r\nC:\\Windows\\system32\\Macromed\\Flash\\FlashUtil10d.exe\r\nC:\\Program Files\\Windows Live\\Contacts\\wlcomm.exe\r\nC:\\Users\\laptop\\Desktop\\NAV09EN.exe\r\nC:\\Windows\\system32\\conime.exe\r\nC:\\Program Files\\Internet Explorer\\iexplore.exe\r\nC:\\Program Files\\TrendMicro\\HiJackThis\\HiJackThis.exe\r\n\r\nR1 - HKLM\\Software\\Microsoft\\Internet Explorer\\Main,Default_Page_URL = [url]http://homepage.packardbell.com/rdr.aspx?b=ACPW&l=0813&s=2&o=vb32&d=1109&m=easynote_lj65[/url]\r\nR1 - HKLM\\Software\\Microsoft\\Internet Explorer\\Main,Default_Search_URL = [url]http://go.microsoft.com/fwlink/?LinkId=54896[/url]\r\nR1 - HKLM\\Software\\Microsoft\\Internet Explorer\\Main,Search Page = [url]http://go.microsoft.com/fwlink/?LinkId=54896[/url]\r\nR0 - HKLM\\Software\\Microsoft\\Internet Explorer\\Main,Start Page = [url]http://homepage.packardbell.com/rdr.aspx?b=ACPW&l=0813&s=2&o=vb32&d=1109&m=easynote_lj65[/url]\r\nR0 - HKCU\\Software\\Microsoft\\Internet Explorer\\Toolbar,LinksFolderName = \r\nO1 - Hosts: ::1 localhost\r\nO2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\\Program Files\\Common Files\\Adobe\\Acrobat\\ActiveX\\AcroIEHelperShim.dll\r\nO2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - C:\\Program Files\\AVG\\AVG9\\avgssie.dll\r\nO2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)\r\nO2 - BHO: Windows Live Aanmelden - Help - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\\Program Files\\Common Files\\Microsoft Shared\\Windows Live\\WindowsLiveLogin.dll\r\nO2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - C:\\Program Files\\Google\\Google Toolbar\\GoogleToolbar_32.dll\r\nO2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\\Program Files\\Google\\GoogleToolbarNotifier\\5.4.4525.1752\\swg.dll\r\nO2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\\Program Files\\Java\\jre6\\bin\\jp2ssv.dll\r\nO3 - Toolbar: Google Toolbar - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\\Program Files\\Google\\Google Toolbar\\GoogleToolbar_32.dll\r\nO4 - HKLM\\..\\Run: [Windows Defender] %ProgramFiles%\\Windows Defender\\MSASCui.exe -hide\r\nO4 - HKLM\\..\\Run: [BackupManagerTray] \"C:\\Program Files\\NewTech Infosystems\\Packard Bell MyBackup\\BackupManagerTray.exe\" -k\r\nO4 - HKLM\\..\\Run: [Google Desktop Search] \"C:\\Program Files\\Google\\Google Desktop Search\\GoogleDesktop.exe\" /startup\r\nO4 - HKLM\\..\\Run: [Acer ePower Management] C:\\Program Files\\Packard Bell\\Packard Bell PowerSave Solution\\ePowerTrayLauncher.exe\r\nO4 - HKLM\\..\\Run: [IgfxTray] C:\\Windows\\system32\\igfxtray.exe\r\nO4 - HKLM\\..\\Run: [HotKeysCmds] C:\\Windows\\system32\\hkcmd.exe\r\nO4 - HKLM\\..\\Run: [Persistence] C:\\Windows\\system32\\igfxpers.exe\r\nO4 - HKLM\\..\\Run: [RtHDVCpl] C:\\Program Files\\Realtek\\Audio\\HDA\\RtHDVCpl.exe\r\nO4 - HKLM\\..\\Run: [Skytel] C:\\Program Files\\Realtek\\Audio\\HDA\\Skytel.exe\r\nO4 - HKLM\\..\\Run: [VideoWebCamera] \"C:\\Program Files\\VideoWebCamera\\VideoWebCamera.exe\" -a\r\nO4 - HKLM\\..\\Run: [PLFSetI] C:\\Program Files\\PLFSetI.exe\r\nO4 - HKLM\\..\\Run: [SynTPEnh] C:\\Program Files\\Synaptics\\SynTP\\SynTPEnh.exe\r\nO4 - HKLM\\..\\Run: [LManager] C:\\PROGRA~1\\LAUNCH~1\\LManager.exe\r\nO4 - HKLM\\..\\Run: [RemoteControl8] \"C:\\Program Files\\CyberLink\\PowerDVD8\\PDVD8Serv.exe\"\r\nO4 - HKLM\\..\\Run: [PDVD8LanguageShortcut] \"C:\\Program Files\\CyberLink\\PowerDVD8\\Language\\Language.exe\"\r\nO4 - HKLM\\..\\Run: [SunJavaUpdateSched] \"C:\\Program Files\\Java\\jre6\\bin\\jusched.exe\"\r\nO4 - HKLM\\..\\Run: [QuickTime Task] \"C:\\Program Files\\QuickTime\\QTTask.exe\" -atboottime\r\nO4 - HKLM\\..\\Run: [AVG9_TRAY] C:\\PROGRA~1\\AVG\\AVG9\\avgtray.exe\r\nO4 - HKLM\\..\\Run: [Adobe Reader Speed Launcher] \"C:\\Program Files\\Adobe\\Reader 9.0\\Reader\\Reader_sl.exe\"\r\nO4 - HKLM\\..\\Run: [Adobe ARM] \"C:\\Program Files\\Common Files\\Adobe\\ARM\\1.0\\AdobeARM.exe\"\r\nO4 - HKLM\\..\\RunOnce: [NAV] \"C:\\Program Files\\NortonInstaller\\{0C55C096-0F1D-4F28-AAA2-85EF591126E7}\\NAV\\562C4DD5\\16.5.0.134\\InstStub.exe\" /RELAUNCH /RUNONCE /PRODID NAV\r\nO4 - HKLM\\..\\RunOnce: [Malwarebytes\' Anti-Malware] C:\\Program Files\\Malwarebytes\' Anti-Malware\\mbamgui.exe /install /silent\r\nO4 - HKCU\\..\\Run: [SmpcSys] C:\\Program Files\\PACKARD BELL\\SetupMyPC\\SmpSys.exe\r\nO4 - HKCU\\..\\Run: [swg] \"C:\\Program Files\\Google\\GoogleToolbarNotifier\\GoogleToolbarNotifier.exe\"\r\nO4 - HKCU\\..\\Run: [IndxStoreSvr_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] \"C:\\Program Files\\Common Files\\Nero\\Lib\\NMIndexStoreSvr.exe\" ASO-616B5711-6DAE-4795-A05F-39A1E5104020\r\nO4 - HKCU\\..\\Run: [msnmsgr] \"C:\\Program Files\\Windows Live\\Messenger\\msnmsgr.exe\" /background\r\nO4 - Startup: LimeWire On Startup.lnk = C:\\Program Files\\LimeWire\\LimeWire.exe\r\nO8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\\PROGRA~1\\MICROS~2\\Office12\\EXCEL.EXE/3000\r\nO8 - Extra context menu item: Google Sidewiki... - res://C:\\Program Files\\Google\\Google Toolbar\\Component\\GoogleToolbarDynamic_mui_en_60D6097707281E79.dll/cmsidewiki.html\r\nO9 - Extra button: In weblog opnemen - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\\Program Files\\Windows Live\\Writer\\WriterBrowserExtension.dll\r\nO9 - Extra \'Tools\' menuitem: &In weblog opnemen met Windows Live Writer - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\\Program Files\\Windows Live\\Writer\\WriterBrowserExtension.dll\r\nO9 - Extra button: Verzenden naar OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\\PROGRA~1\\MICROS~2\\Office12\\ONBttnIE.dll\r\nO9 - Extra \'Tools\' menuitem: Verz&enden naar OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\\PROGRA~1\\MICROS~2\\Office12\\ONBttnIE.dll\r\nO9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\\PROGRA~1\\MICROS~2\\Office12\\REFIEBAR.DLL\r\nO16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} - [url]http://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab[/url]\r\nO18 - Protocol: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - C:\\Program Files\\AVG\\AVG9\\avgpp.dll\r\nO20 - AppInit_DLLs: C:\\PROGRA~1\\Google\\GOOGLE~1\\GoogleDesktopNetwork3.dll C:\\Windows\\System32\\avgrsstx.dll C:\\PROGRA~1\\Google\\GOOGLE~1\\GoogleDesktopNetwork3.dll\r\nO22 - SharedTaskScheduler: Component Categories cache daemon - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\\Windows\\system32\\browseui.dll\r\nO23 - Service: Adobe Active File Monitor V6 (AdobeActiveFileMonitor6.0) - Unknown owner - C:\\Program Files\\Adobe\\Photoshop Elements 6.0\\PhotoshopElementsFileAgent.exe\r\nO23 - Service: AVG Free E-mail Scanner (avg9emc) - AVG Technologies CZ, s.r.o. - C:\\Program Files\\AVG\\AVG9\\avgemc.exe\r\nO23 - Service: AVG Free WatchDog (avg9wd) - AVG Technologies CZ, s.r.o. - C:\\Program Files\\AVG\\AVG9\\avgwdsvc.exe\r\nO23 - Service: Acer ePower Service (ePowerSvc) - Acer Incorporated - C:\\Program Files\\PACKARD BELL\\Packard Bell PowerSave Solution\\ePowerSvc.exe\r\nO23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\\Program Files\\Common Files\\Macrovision Shared\\FLEXnet Publisher\\FNPLicensingService.exe\r\nO23 - Service: Google Desktop Manager 5.9.911.3589 (GoogleDesktopManager-110309-193829) - Google - C:\\Program Files\\Google\\Google Desktop Search\\GoogleDesktop.exe\r\nO23 - Service: Google Software Updater (gusvc) - Google - C:\\Program Files\\Google\\Common\\Google Updater\\GoogleUpdaterService.exe\r\nO23 - Service: Nero BackItUp Scheduler 3 - Nero AG - C:\\Program Files\\Nero\\Nero8\\Nero BackItUp\\NBService.exe\r\nO23 - Service: NMIndexingService - Nero AG - C:\\Program Files\\Common Files\\Nero\\Lib\\NMIndexingService.exe\r\nO23 - Service: Norton Internet Security - Unknown owner - C:\\Program Files\\Norton Internet Security\\Engine\\16.0.0.125\\ccSvcHst.exe (file missing)\r\nO23 - Service: NTI IScheduleSvc - NewTech Infosystems, Inc. - C:\\Program Files\\NewTech Infosystems\\Packard Bell MyBackup\\IScheduleSvc.exe\r\nO23 - Service: PLFlash DeviceIoControl Service - Prolific Technology Inc. - C:\\Windows\\system32\\IoctlSvc.exe\r\n\r\n--\r\nEnd of file - 9166 bytes

[Anoniem2]

ik begin nu ook meldingen te krijgen van het volgende: trojaans paard generic 16.adcc\r\nEr valt niks te vinden met gelijk welke scanner, ik begin me af te vragen of mijn systeem wel nog te redden is.

[Anoniem2]

laat je virusscanner is los op dit: C:\\windows\\temp\\ulmi.tmp\\svchost.exe\r\n\r\nof beter op die hele map, verwijder het niet als hij niks vind!

[Anoniem2]

Zou dat helpen, gezien: \r\n[QUOTE=rossewes;507489]de letters ulmi zijn dan wel vervangen door andere.[/QUOTE]

[Anoniem2]

de trojan gebruikt een wisselende bron, maar bevind zich nog steeds in die map, als de virusscanner alert slaat bij die map weet je dat hij nog steeds in die map zit,

[Anoniem2]

SIMba zou jij misschien ook zo\'n scan willen maken net als rossewes?

[Anoniem2]

Zijn dit soms de bestanden die AVG herkent als virus?\r\nC:\\Windows\\temp\\exst.tmp\\svhost.exe \r\nC:\\Windows\\temp\\icpd.tmp\\svhost.exe \r\n\r\nKennelijk is deze trojan in een onzichtbare map geplaatst \r\nwis iig nog niks

[Anoniem2]

[QUOTE=Plaintiff;507603]Zijn dit soms de bestanden die AVG herkent als virus?\r\nC:\\Windows\\temp\\exst.tmp\\svhost.exe \r\nC:\\Windows\\temp\\icpd.tmp\\svhost.exe \r\n\r\nKennelijk is deze trojan in een onzichtbare map geplaatst \r\nwis iig nog niks[/QUOTE]\r\n\r\nop dit moment zijn het volgende mappen:\r\n\r\nc:\\windows\\temp\\ukhb.tmp\\shchost.exe infectie: trojaans paard generic16.ADCC\r\nc:\\windows\\temp\\ojhc.tmp\\shchost.exe infectie: trojaans paard clicker.AEIO\r\nc:\\windows\\temp\\kdar.tmp\\shchost.exe infectie: trojaans paard generic16.ADCC\r\nc:\\windows\\temp\\wpyn.tmp\\shchost.exe infectie: trojaans paard clicker.AEIO

[Anoniem2]

[URL=\"http://www.bitdefender.com/scanner/online/free.html\"]http://www.bitdefender.com/scanner/online/free.html[/URL]

[Anoniem2]

Hi,\r\n\r\nIk heb net hetzelfde probleem, niets helpt, héél hardnekkig!!!\r\nHet is gewoonweg blijkbaar niet te vernietigen daar het deel uitmaakt van het windows bestand svchost.exe?!\r\nNa het verwijderen van de Temp files komt het gewoon terug en aan een redelijk hoog tempo, ongeveer een melding van infectie per 2 minuten met AVG, het blijkt wel niet buiten de map C:\\WINDOWS\\Temp\\... te gaan.\r\nAlle hulp is welkom!\r\n\r\nRuben

[Anoniem2]

Dit is wat AVG toont ...\r\n\r\n\"C:\\WINDOWS\\Temp\\bvme.tmp\\svchost.exe\";\"Trojaans paard Clicker.AEIO\";\"Verplaatst naar de quarantaine\"\r\n\"C:\\WINDOWS\\Temp\\nvwy.tmp\\svchost.exe\";\"Trojaans paard Clicker.AEIO\";\"Verplaatst naar de quarantaine\"\r\n\"C:\\WINDOWS\\Temp\\iocr.tmp\\svchost.exe\";\"Trojaans paard Clicker.AEIO\";\"Verplaatst naar de quarantaine\"\r\n\"C:\\WINDOWS\\Temp\\ttar.tmp\\svchost.exe\";\"Trojaans paard Clicker.AEIO\";\"Verplaatst naar de quarantaine\"\r\n\"C:\\WINDOWS\\Temp\\pqjt.tmp\\svchost.exe\";\"Trojaans paard Clicker.AEIO\";\"Verplaatst naar de quarantaine\"\r\n\"C:\\WINDOWS\\Temp\\tqib.tmp\\svchost.exe\";\"Trojaans paard Clicker.AEIO\";\"Verplaatst naar de quarantaine\"\r\n\"C:\\WINDOWS\\Temp\\guis.tmp\\svchost.exe\";\"Trojaans paard Clicker.AEIO\";\"Verplaatst naar de quarantaine\"\r\n\"C:\\WINDOWS\\Temp\\vbwt.tmp\\svchost.exe\";\"Trojaans paard Clicker.AEIO\";\"Verplaatst naar de quarantaine\"\r\n\"C:\\WINDOWS\\Temp\\dmpm.tmp\\svchost.exe\";\"Trojaans paard Clicker.AEIO\";\"Verplaatst naar de quarantaine\"\r\n\"C:\\WINDOWS\\Temp\\xuvs.tmp\\svchost.exe\";\"Trojaans paard Clicker.AEIO\";\"Geïnfecteerd\"\r\n\"C:\\WINDOWS\\Temp\\ruwt.tmp\\svchost.exe\";\"Trojaans paard Clicker.AEIO\";\"Geïnfecteerd\"

[Anoniem2]

Hier mensen met zelfde probleem: [url]http://www.nucia.eu/forum/showthread.php?t=54973[/url]. Misschien volgen daar nog wat trucs (afgezien van de tips die er al staan).