Explorer start niet op!!!!

Bericht door **Beetlejuice** » Ma Sep 08, 2008 8:00 pm

Goedendag,

Van de week op 3 verschillende pc's mogen meemaken dat er een virus op zat.
Op alle 3 de pc's het virus verwijdert, 2 met NOD32 en 1 pc met trensmicro housecall.
Alleen na het verwijderen en rebooten geven alle 3 de pc's geen taakbalk en iconen meer weer in windows.
Het handmatig explorer.exe starten met ctrl alt del uitvoeren geeft dat explorer niet gevonden kan worden. Explorer.exe staat alleen gewoon in de windows map.
Op 1 pc heb ik een windows installatie als reparatie erover heen gegooid, alleen dat gaf bij die pc nog steeds hetzelfde beeld. Daarna internet explorer 7 erop gezet aangezien die toch wat verweven is in het OS zonder resultaat. Daarna SP3 er nog op gezet, helaas ook zonder resultaat.

Bij mij thuis had ik het ook, terwijl NOD gewoon draaide...
NOD zag het virus wel na het scannen, alleen liet het ondertussen wel gewoon zijn evil job doen...
Dus uit pure armoede bij mij thuis maar een nieuwe windows erop gezet.

En nu vandaag op mijn werk heeft mijn pc nu ook geen taakbalk etc. meer...
Afgelopen vrijdag had ik nog snel alle virus troep er van afgegooid en dat leverde me dus vandaag een slecht humeur op.

Ik heb op mijn werk pc een herstel punt van 2 weken terug genomen en die gaf geen resultaat.
Ik heb zo'n scf /scannow gedaan ofzo, hij gaf rustig aan dat alles nagekeken werd, alleen ook geen resultaat na reboot.
En er was nog zo'n tooltje die ik op internet vond om taskbar te repairen, helaas ook zonder resultaat.

Het is absoluut belangrijk dat ik windows er niet opnieuw hoef op te zetten aangezien er verschillende programma's op staan die zeer moeilijk te installeren zijn.
Verder is dit nou ook niet echt mijn pc maar die van een collega die volgende week weer terug komt.

En op de vraag waar het virus weg komt kan ik zeggen dat mijn usb stick de oorzaak was.
Bij mij thuis zou ik die even opschonen maar helaas had ik teveel vertrouwen in NOD.
En ik heb hem op mijn werk opgelopen door abusievelijk een spam mail te openen met een exe erin.
Het Braviax virus was toen onderandere 1 van de virussen die erop werd gezet.
Zover ik begreep gaat die dan andere virussen toegang geven tot het systeem.

Er is maar op 1 pc trendmicro gebruikt dus Windows explorer.exe verdwenen is niet relevant op dit topic...
Verder, zoals eerder gezegd, handmatig explorer.exe starten geeft de foutmelding dat explorer niet gevonden kan worden.. Explorer.exe staat wel gewoon in de windows map.

In ieder geval bij voorbaat dank voor uw input over dezen...

Dit topic ook op GOT gestart alleen die zeurdozen hebben hem direct dichtgegooid dat er al zo'n topic was...
Direct nog 1 er naast geopend alleen die hufterts zullen die ook wel sluiten.
Nerds weten ook gewoon niet hoe ze het aan de gang krijgen.
Hierbij richt ik mijn hoop dus op jullie BendeBeukerjeS

Bericht door **Beetlejuice** » Ma Sep 08, 2008 8:49 pm

Nog even een hijack logje van mijn eigen pc...

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 15:20:36, on 6-9-2008
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.20627)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\ESET\ESET Smart Security\ekrn.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Program Files\Cyberlink\Shared files\RichVideo.exe
C:\Program Files\Spyware Doctor\pctsAuxs.exe
C:\Program Files\Spyware Doctor\pctsSvc.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Spyware Doctor\pctsTray.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\ehome\mcrdsvc.exe
C:\WINDOWS\system32\taskmgr.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.kaspersky.nl/scanner
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - D:\Program Files\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: Contribute Toolbar - {517BDDE4-E3A7-4570-B21E-2B52B6139FC7} - D:\Program Files\Adobe\/Adobe Contribute CS3/contributeieplugin.dll
O4 - HKLM\..\Run: [SoundMAXPnP] C:\Program Files\Analog Devices\Core\smax4pnp.exe
O4 - HKLM\..\Run: [SoundMAX] "C:\Program Files\Analog Devices\SoundMAX\Smax4.exe" /tray
O4 - HKLM\..\Run: [egui] "C:\Program Files\ESET\ESET Smart Security\egui.exe" /hide /waitservice
O4 - HKLM\..\Run: [NodLogin] C:\Program Files\ESET\ESET Smart Security\nodlogin.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [Kernel and Hardware Abstraction Layer] KHALMNPR.EXE
O4 - HKLM\..\Run: [ISTray] "C:\Program Files\Spyware Doctor\pctsTray.exe"
O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\system32\msconfig.exe /auto
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [RocketDock] "C:\WINDOWS\BricoPacks\Vista Inspirat 2\RocketDock\RocketDock.exe"
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Netwerkservice')
O4 - HKUS\S-1-5-20\..\RunOnce: [SetDefaultMIDI] MIDIDEF.EXE /s:'Creative SoundFont Synthesizer' /w:'SB Audigy' (User 'Netwerkservice')
O4 - HKUS\S-1-5-20\..\RunOnce: [nltide_3] rundll32 advpack.dll,LaunchINFSectionEx nLite.inf,C,,4,N (User 'Netwerkservice')
O4 - HKUS\S-1-5-20\..\RunOnce: [ShowDeskFix] regsvr32 /s /n /i:u shell32 (User 'Netwerkservice')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [SetDefaultMIDI] MIDIDEF.EXE /s:'Creative SoundFont Synthesizer' /w:'SB Audigy' (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [SetDefaultMIDI] MIDIDEF.EXE /s:'Creative SoundFont Synthesizer' /w:'SB Audigy' (User 'Default user')
O4 - Global Startup: Logitech SetPoint.lnk = D:\Program Files\Logitech\SetPoint\SetPoint.exe
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: Subscribe in Desktop Sidebar - {09FE188B-6E85-479e-9411-51FB2220DF80} - C:\Program Files\Desktop Sidebar\sbhelp.dll
O9 - Extra 'Tools' menuitem: Subscribe in Desktop Sidebar - {09FE188B-6E85-479e-9411-51FB2220DF80} - C:\Program Files\Desktop Sidebar\sbhelp.dll
O9 - Extra button: Verzenden naar OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~1\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: Verz&enden naar OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~1\Office12\ONBttnIE.dll
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~1\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.nl/scanforvirus-en ... nicode.cab
O16 - DPF: {5C051655-FCD5-4969-9182-770EA5AA5565} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/So ... b56986.cab
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://download.bitdefender.com/resourc ... oscan8.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/windows ... 7855086390
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/Me ... b56907.cab
O16 - DPF: {F5A7706B-B9C0-4C89-A715-7A0C6B05DD48} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/Mi ... b56986.cab
O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\PROGRA~1\MICROS~1\Office12\GR99D3~1.DLL
O20 - AppInit_DLLs: karina.dat
O23 - Service: Adobe Version Cue CS3 - Adobe Systems Incorporated - C:\Program Files\Common Files\Adobe\Adobe Version Cue CS3\Server\bin\VersionCueCS3.exe
O23 - Service: Eset HTTP Server (EhttpSrv) - ESET - C:\Program Files\ESET\ESET Smart Security\EHttpSrv.exe
O23 - Service: Eset Service (ekrn) - ESET - C:\Program Files\ESET\ESET Smart Security\ekrn.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: NBService - Nero AG - D:\Program Files\nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Program Files\Cyberlink\Shared files\RichVideo.exe
O23 - Service: PC Tools Auxiliary Service (sdAuxService) - PC Tools - C:\Program Files\Spyware Doctor\pctsAuxs.exe
O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - C:\Program Files\Spyware Doctor\pctsSvc.exe

--
End of file - 7462 bytes

madbone · Bericht door **madbone** » Ma Sep 08, 2008 9:15 pm

Afgelopen week opeens ook op een dag 20 virusmeldingen, tegen 0 in de afgelopen 6 maand. Maar was allemaal oude zooi in nieuw jasje.

O20 - AppInit_DLLs: karina.dat oplossing? >> http://www.exterminate-it.com/malpedia/file/karina.dat

En: C:\Program Files\Internet Explorer\IEXPLORE.EXE
Had je die open staan of niet?

Zou verder wat add-ons uit je IE slopen en Office wat minder grettig maken. Zolang je thuis geen Sharepoint of Groove gebruikt zijn die meeste add-on's vrij onnodig.
En na de laatste patchronde van MS is Office 2007 ook zo traag als dikke stront door een rietje.

Bericht door **Beetlejuice** » Di Sep 09, 2008 7:47 pm

Betreft Karina.dat is het inderdaad zo dat dat nog een verwijzing was naar het virus, de karina.dat was op dat moment wel al uit de system32 map verdwenen.
Het groove verhaal is een vervelende, die komt automatisch met het office pakket mee en nestelt zich her en der...
laat zich ook niet makkelijk uitschakelen wat ik tot nu toe gezien heb, alleen is dat nu niet de kern van ons probleem dus dat is voor later.

iexplore had ik waarschijnlijk op dat moment wel open staan, niks verontrustends daar.

Probleem is ook niet zozeer wat er wel geladen is, het probleem zit er meer in wat er allemaal niet geladen word.
Oftewel Explorer.exe die niet aan laden toe komt omdat of lsass.exe zijn proces niet helemaal afrond, of omdat ondersteunende dll bestanden van explorer afwezig zijn of beschadigd.

madbone · Bericht door **madbone** » Di Sep 09, 2008 8:43 pm

Ik zie ook dat je wat Logitech Software geinstalleerd hebt...
Hier met een versie van setpoint ongelovelijk veel probs gehad.
Denk dat herinstall enige gooie optie is.

Bericht door **Beetlejuice** » Di Sep 09, 2008 9:24 pm

http://gathering.tweakers.net/forum/lis ... 1#30711491

En op mijn eigen pc had ik al een herinstall gedaan, type nu weer vanuit mijn oude voorheen kapotte window.

Kan voor nu echt iedereen Systernals Suite aanraden!!!
het programma autoruns daarin is zeer gedetaileerd in wat er allemaal word opgestart.
Geen gerotzooi met de juiste mappen in het register vinden.
Morgen op het werk zal ik zien of ik daar net zoveel succes heb.

zinloos · Bericht door **zinloos** » Ma Sep 15, 2008 1:55 pm

Is het al opgelost en hoe ?

Bericht door **Beetlejuice** » Ma Sep 15, 2008 9:30 pm

Met het programma "Autoruns", onderdeel van sysinternals krijg je te zien wat er allemaal opstart samen met windows.
Zoals Alpha op tweakers had aangegeven, is er een sleutel die verwijst naar het virus.
Alhoewel het virus weg is blijft windows toch hangen daarop ipv het dan over te slaan.
Waardoor Explorer en de rest van de bups niet opgestart wordt.
Met "Autoruns" verwijder je netjes alle shit die je niet nodig hebt en na de reboot werkt alles weer netjes.