Pieter Arntz
Spywareslayer
- Lid geworden
- 12 aug 2001
- Berichten
- 15.621
Opmerking: dit gedeelte werkt alleen voor Windows 2000 en XP
Als je %Windir% map WINNT heet in plaats van Windows (Win2k en upgrades daarvan, moet je dat aanpassen)
Deze variant is te herkennen aan dit soort regels in het HijackThis log:
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = file://C:\DOCUME~1\[gebruiker]\LOCALS~1\Temp\sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = file://C:\DOCUME~1\[gebruiker]\LOCALS~1\Temp\sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = file://C:\DOCUME~1\[gebruiker]\LOCALS~1\Temp\sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = file://C:\DOCUME~1\[gebruiker]\LOCALS~1\Temp\sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = file://C:\DOCUME~1\[gebruiker]\LOCALS~1\Temp\sp.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = file://C:\DOCUME~1\[gebruiker]\LOCALS~1\Temp\sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
O2 - BHO: (no name) - {FD90346B-9BF1-4018-A409-6F86439A7333} - C:\WINDOWS\System32\jbpoe.dll
Verder heb je nog nodig de uitkomst van:
Start - Uitvoeren - plak de volgende regel in het venster
regedit /e c:\txtprtcl.txt "HKEY_CLASSES_ROOT\PROTOCOLS\Filter\text/plain"
De uitkomst ziet er ongeveer zo uit:
[HKEY_CLASSES_ROOT\PROTOCOLS\Filter\text/html]
"CLSID"="{9147C052-2984-4A7E-8FA8-F8B223A609F3}"
Met deze gegevens gaan we de volgende bestanden maken:
cwsreg.reg
REGEDIT4
[-HKEY_CLASSES_ROOT\PROTOCOLS\Filter\text/html]
[-HKEY_CLASSES_ROOT\PROTOCOLS\Filter\text/plain]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{BLAUW}]
[-HKEY_CLASSES_ROOT\CLSID\{ROOD}\InProcServer32]
Kopieer het schuingedrukte gedeelte in kladblok.
Nadat je de juiste waardes hebt overgenomen uit de uitkomsten en ingevuld op de plaats van de bijbehorende kleur sla je het bestand op als cwsreg.reg in C:\Windows
cwstemp.bat
@echo off
regedit /s cwsreg.reg
cwsuni.exe
del /q C:\DOCUME~1\[gebruiker]\LOCALS~1\Temp\sp.html
del /q C:\WINDOWS\SYSTEM32\GROEN.dll
Kopieer het schuingedrukte gedeelte in kladblok en nadat je de juiste naam van de BHO bij GROEN hebt ingevuld en [gebruiker] hebt vervangen door hetgeen in het HijackThis log staat, sla je het bestand op als cwstemp.bat in C:\Windows
Dan download je http://users.pandora.be/marcvn/spyware/cwsuni.exe en slaat dat ook op in C:\Windows
Sluit alle programma's en start een opdrachtprompt.
Doe Ctrl-Alt-Del en stop explorer.exe
Niet schrikken want je taakbalk etc verdwijnen allemaal
In de opdrachtprompt klik je deze commando's, ENTER na elke regel:
cd ..
cd ..
cd windows
cwstemp.bat
explorer.exe
Mocht je ergens onderweg problemen tegenkomen doe dan opnieuw
Ctrl-Alt-Del. In taakbeheer kies je op tabblad toepassingen voor
nieuwe taak en met Bladeren ga je naar C:\Windows\explorer.exe
Als je klaar bent fix je de regels in HijackThis en start je computer opnieuw op.
Met dank aan degenen die het getest hebben, waaronder DutchBull van Helpmij. :thumb:
Mocht je vragen hebben over deze procedure stel ze dan in dit topic. Plaats hier geen logs svp.
Groetjes,
Pieter
Als je %Windir% map WINNT heet in plaats van Windows (Win2k en upgrades daarvan, moet je dat aanpassen)
Deze variant is te herkennen aan dit soort regels in het HijackThis log:
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = file://C:\DOCUME~1\[gebruiker]\LOCALS~1\Temp\sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = file://C:\DOCUME~1\[gebruiker]\LOCALS~1\Temp\sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = file://C:\DOCUME~1\[gebruiker]\LOCALS~1\Temp\sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = file://C:\DOCUME~1\[gebruiker]\LOCALS~1\Temp\sp.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = file://C:\DOCUME~1\[gebruiker]\LOCALS~1\Temp\sp.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = file://C:\DOCUME~1\[gebruiker]\LOCALS~1\Temp\sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
O2 - BHO: (no name) - {FD90346B-9BF1-4018-A409-6F86439A7333} - C:\WINDOWS\System32\jbpoe.dll
Verder heb je nog nodig de uitkomst van:
Start - Uitvoeren - plak de volgende regel in het venster
regedit /e c:\txtprtcl.txt "HKEY_CLASSES_ROOT\PROTOCOLS\Filter\text/plain"
De uitkomst ziet er ongeveer zo uit:
[HKEY_CLASSES_ROOT\PROTOCOLS\Filter\text/html]
"CLSID"="{9147C052-2984-4A7E-8FA8-F8B223A609F3}"
Met deze gegevens gaan we de volgende bestanden maken:
cwsreg.reg
REGEDIT4
[-HKEY_CLASSES_ROOT\PROTOCOLS\Filter\text/html]
[-HKEY_CLASSES_ROOT\PROTOCOLS\Filter\text/plain]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{BLAUW}]
[-HKEY_CLASSES_ROOT\CLSID\{ROOD}\InProcServer32]
Kopieer het schuingedrukte gedeelte in kladblok.
Nadat je de juiste waardes hebt overgenomen uit de uitkomsten en ingevuld op de plaats van de bijbehorende kleur sla je het bestand op als cwsreg.reg in C:\Windows
cwstemp.bat
@echo off
regedit /s cwsreg.reg
cwsuni.exe
del /q C:\DOCUME~1\[gebruiker]\LOCALS~1\Temp\sp.html
del /q C:\WINDOWS\SYSTEM32\GROEN.dll
Kopieer het schuingedrukte gedeelte in kladblok en nadat je de juiste naam van de BHO bij GROEN hebt ingevuld en [gebruiker] hebt vervangen door hetgeen in het HijackThis log staat, sla je het bestand op als cwstemp.bat in C:\Windows
Dan download je http://users.pandora.be/marcvn/spyware/cwsuni.exe en slaat dat ook op in C:\Windows
Sluit alle programma's en start een opdrachtprompt.
Doe Ctrl-Alt-Del en stop explorer.exe
Niet schrikken want je taakbalk etc verdwijnen allemaal
In de opdrachtprompt klik je deze commando's, ENTER na elke regel:
cd ..
cd ..
cd windows
cwstemp.bat
explorer.exe
Mocht je ergens onderweg problemen tegenkomen doe dan opnieuw
Ctrl-Alt-Del. In taakbeheer kies je op tabblad toepassingen voor
nieuwe taak en met Bladeren ga je naar C:\Windows\explorer.exe
Als je klaar bent fix je de regels in HijackThis en start je computer opnieuw op.
Met dank aan degenen die het getest hebben, waaronder DutchBull van Helpmij. :thumb:
Mocht je vragen hebben over deze procedure stel ze dan in dit topic. Plaats hier geen logs svp.
Groetjes,
Pieter
Laatst bewerkt door een moderator:
O2 - BHO: (no name) - {765F9443-A67E-416C-8BD1-7511EC5476FA} - C:\WINDOWS\System32\mkldf.dll)
OIT
ne
