Handmatig virussen verwijderen – deel 3/4

We zijn al goed van start gegaan in deel 1 en 2 van deze 4-delige tutorial. Het moeilijkste en meest tijdrovende stuk komt echter pas in dit hoofdstuk aan bod. Services, processen en het Windows register.

Ga er goed voor zitten! Laten we starten.

Services en processen nakijken

Nu gaan we de huidige services nakijken. Services zijn processen die door Windows gebruikt wanneer deze nodig zijn (als ze op “automatisch” staan).

Let op: noteer van alle services en processen die u sluit / verwijderd de naam. Deze hebben we nodig in de volgende stappen.

• Klik op de sneltoets “Windows + R” om het uitvoeren scherm naar voren te halen.
• Vul in “compmgmt.msc” en druk op OK.
• Het computer management venster komt nu naar voren. Klik aan de linkerzijde op “Services en toepassingen” en vervolgens op “Services”.

  

• Sorteer nu de services op “opstarttype” door op de “opstarttype” kolom te klikken.

  

• Nu staan alle processen onder elkaar welke automatisch opstarten. Kijk na welke processen er automatisch opstarten. Als u hier vreemde processen tussen ziet staan doe dan het volgende.

  > Dubbelklik het proces
  > Zet het opstarttype op “Handmatig”
  > Noteer de exacte servicenaam (hoofdlettergevoelig)

  

  *optioneel:
  Klik op de sneltoets “Windows + R” om het uitvoeren scherm naar voren te halen. Voer het volgende commando in “sc delete “%procesnaam%”” om het proces te verwijderen.

  

Vervolgens gaan we de huidige processen bekijken.

• Klik op de sneltoets “Windows + R” om het uitvoeren scherm naar voren te halen.
• Vul in “taskmgr” en druk op OK.
• Het taakbeheer venster komt nu naar voren. Op het tabblad processen ziet u alle zaken die op dat moment lopen / draaien.

  

• Bekijk al deze processen. Als u een proces ziet welke u niet bekend voorkomt of welke niet legitiem lijkt dan doet u het volgende:

  > Klik rechts op het proces
  > Kies voor “Bestandslocatie openen”
  > De Windows verkenner opent nu op de locatie waar het .exe bestand van dit proces zich bevindt.
  > Klik nogmaals op het proces in taakbeheer en beëindig het proces.

  

  >Ga terug naar de Windows verkenner en verwijder het .exe bestand (proces) als deze in een algemene directory staat als %windir%/System32. Verwijder echter de hele directory als het een dedicated programma directory voor dat proces lijkt te zijn.

Windows Register bewerken

Nu gaan we in het Windows register zoeken naar verwijzingen van het virus.

• Klik op de sneltoets “Windows + R” om het uitvoeren scherm naar voren te halen.
• Vul in “regedit” en druk op OK.
• Het register wordt nu geopend.
• Druk op de sneltoets “CTRL + F” om het zoeken venster naar voren te krijgen.
• Vul in het zoekvenster de naam in van het virus (als deze bekend is) en klik op zoeken. Als er iets is gevonden verwijderd u deze verwijzing door hier rechts op te klikken en te kiezen voor verwijderen.
• Vervolgens gaat u verder met het doorzoeken van het register door op F3 te klikken. Doe dit tot alle verwijzingen zijn gevonden. Daarna klikt u in het linker scherm weer bovenaan op de bovenste sleutel (container) (HKEY_CLASSES_ROOT).

  

• Vervolgens drukt u weer op CTRL+F en gaat u zoeken naar de processen en services die u in de vorige stap heeft verwijderd. Herhaal dit proces tot u het register heeft opgeschoond van alle verwijzingen (in het register zoekt u van boven naar beneden, daarom moet u na ieder commando terug op de bovenste sleutel klikken om opnieuw te gaan zoeken).
• Als u 100% zeker wilt zijn kunt u de volgende locaties extra aandacht geven. Virussen nestelen zich graag in onderstaande sleutels. Als u twijfelt aan een proces kunt u ook een “:” plaatsen voor de waarde van een sleutel. Door een : te plaatsen wordt de waarde niet uitgevoerd.
  
  > HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
  > HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
  > HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx
  > HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
  > HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServicesOnce
  > HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
  > HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
  > HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Runonce
  > HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServices
  > HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce
  > HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run