Hulp gewenst met spyware ed.

[paulus1978]

Een aantal weken geleden kreeg ik een probleempje. Waarschijnlijk door het gebruik van azureus was mijn PC gehackt, denk ik. Dit ontdekte ik doordat active security monitor aangaf dat er geen firewall aanwezig was op mijn PC. Vervolgens heb ik dit gecheckt via het configuratiescherm, maar deze gaf doodleuk aan dat de windowsfirewall gewoon z'n werk deed. Vervolgens heb ik toen toch maar zonealarm geinstalleerd en de PC zeer uitgebreidt gecheckt met Spybot S&D, Adware, AVG 7.5 (free edition), Advanced WindowsCare, Registry Help Pro, twee online virusscans (Mcaffee en Kasperrski) en tot slot heb ik ook nog even Hitman Pro geinstalleerd en een test gedaan. Tijdens deze tests bleek Spybot een host te vinden die uiteraard verwijderd is. Verder werden er geen virussen gevonden. Tevens zijn er een aantal registerproblemen opgelost, maar die vind je bijna altijd wel. Het probleem is nu dat de PC trager is geworden ook na behandeling van twee speed optimizer progamma's (speedupmypc en TuneXP) en een defragmentatie. Tevens is het zo dat op het moment dat azureus in gebruik wordt genomen de PC aanzienlijk trager wordt en inmiddels heeft zonealarm al zo'n slordige 8200 intrusions geblockt!! Dus ik vermoed dat er nog iets op de PC zwerft wat er niet thuis hoort en om dit te verwijderen zou ik graag wat hulp bij kunnen gebruiken.
Tevens zou ik ook graag willen weten hoe ik dit kan voorkomen, want ik maak gebruik van een eminent nBase 4040 wireless router die ook een firewall heeft (de PC is hier wireless op aangesloten) dus eigenlijk zouden twee firewalls toch iemand moeten tegenhouden zou je zeggen.
Tot slot kan ik nog vermelden dat ik ongeveer een jaar geleden een aantal virussen op de PC gehad heb maar deze heb ik toen met AVG kunnen verwijderen.

Alvast bedankt voor de hulp

Paul

 

[Michael4446]

Deinstalleer eerst en vooral Hitman Pro.
Hier vind je de redenen waarom.

Doe daarna:

1. Download ATF cleaner (by Atribune)

• Dubbelklik op ATF cleaner om het programma te starten.
  Op het tabblad "Main", plaats je een vinkje bij Select All.
  Klik op de knop Empty Selected.
  
  Gebruik je ook Firefox als browser:
  Klik op tabblad "Firefox", plaats een vinkje bij Select All.
  Wil je de door Firefox opgeslagen wachtwoorden behouden, dan klik je in het venster dat verschijnt op "No".
  (dit verwijdert het vinkje bij "Firefox saved passwords")
  Klik op de knop Empty Selected.
  
  Gebruik je ook Opera als browser:
  Klik op tabblad "Opera", plaats een vinkje bij Select All.
  Wil je de door Opera opgeslagen wachtwoorden behouden, dan klik je in het venster dat verschijnt op "No".
  Klik op de knop Empty Selected.
  Ga naar het tabblad "Main" en klik op de knop Exit om het programma af te sluiten

2. Defragmenteer je hardeschijf:

Ga naar Start --> Alle programma's --> Bureau-accessoires --> Systeemwerkset --> Schijfdefragementatie. Selecteer dan je hardeschijf en klik op Defragmenteren.
Let op: dit kan even duren, doe verder niks met je pc.

3. Doe een online scan bij Housecall.

 

[paulus1978]

Ok, heb de acties (eerst atf dan defrag vervolgens housecall) uitgevoerd. Was wel raar trouwens die housecall scan, in eerste instantie werden er een aantal malwares/spywares gevonden die ik vervolgens heb gecleand toen vroeg het programma voor nog een scan waarna die weer een infectie vond (iets van bk.._generic geloof ik, vergeten op te schrijven) vervolgens was housecall niet in staat om dit op te ruimen. Dus ik dacht doe nog een scan dan kan ik hem tenminste opschrijven, maar dan wordt deze niet meer gevonden, maar een andere nl TSPY_Joiner.av en toen ik deze opruimde werd de browser afgesloten. Dus nu ben ik er nog niet zeker van of alles schoon is....

 

[Jozo]

Scan nog een online met kaspersky:
http://www.kaspersky.com/virusscanner

En natuurlijk;

Ad-Aware
http://www.download.com/Ad-Aware-SE-Personal-Edition/3000-8022_4-10399602.html?tag=lst-0-1

Spybot - Search & Destroy
http://www.download.com/Spybot-Search-Destroy/3000-8022_4-10401314.html?tag=lst-0-1

En AVG Anti-Spyware 7.5.0.50
http://www.download.com/AVG-Anti-Spyware/3000-8022_4-10610898.html?tag=lst-0-3

De programma's wel eerst updaten voor het scannen !!!

 

[Michael4446]

En heb je Hitman Pro al gedeinstalleerd?

En doe nog even dit, voor het geval de gevonden infecties in de Systeemherstel-map zitten:

Ga naar Start, klik met rechts op Deze Computer en kies voor Eigenschappen, ga dan naar het tabblad
Systeemherstel en zet een vinkje voor Systeemherstel uitschakelen.
Start de pc opnieuw op en doe hetzelfde maar haal het vinkje weg.

En verder de scans van Jozo.

 

[paulus1978]

Hitman Pro had ik direct gedeinstalleerd, na controle. Spybot S&D en Adware staan standaard op mijn PC en run wekelijks een controle vinden beiden niks behalve Spybot S&D vindt iets van microsoft explorer. Hieronder het rapport van kaspersky. Tevens ook critical areas gecheckt maar deze waren schoon

-------------------------------------------------------------------------------
KASPERSKY ONLINE SCANNER REPORT
Monday, January 22, 2007 4:31:38 PM
Operating System: Microsoft Windows XP Home Edition, Service Pack 2 (Build 2600)
Kaspersky Online Scanner version: 5.0.83.0
Kaspersky Anti-Virus database last update: 22/01/2007
Kaspersky Anti-Virus database records: 246180
-------------------------------------------------------------------------------

Scan Settings:
Scan using the following antivirus database: standard
Scan Archives: true
Scan Mail Bases: true

Scan Target - My Computer:
A:\
C:\
D:\
E:\

Scan Statistics:
Total number of scanned objects: 109766
Number of viruses found: 1
Number of infected objects: 0 / 0
Number of suspicious objects: 2
Duration of the scan process: 02:20:48

Infected Object Name / Virus Name / Last Action
C:\Documents and Settings\All Users\Application Data\Grisoft\Avg7Data\avg7log.log Object is locked skipped
C:\Documents and Settings\All Users\Application Data\Grisoft\Avg7Data\avg7log.log.lck Object is locked skipped
C:\Documents and Settings\All Users\Application Data\Spybot - Search & Destroy\Recovery\RegistryCleaner2.zip/soproc.exe Suspicious: Password-protected-EXE skipped
C:\Documents and Settings\All Users\Application Data\Spybot - Search & Destroy\Recovery\RegistryCleaner2.zip ZIP: suspicious - 1 skipped
C:\Documents and Settings\Karen\Cookies\index.dat Object is locked skipped
C:\Documents and Settings\Karen\Local Settings\Application Data\Microsoft\Feeds Cache\index.dat Object is locked skipped
C:\Documents and Settings\Karen\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat Object is locked skipped
C:\Documents and Settings\Karen\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG Object is locked skipped
C:\Documents and Settings\Karen\Local Settings\Geschiedenis\History.IE5\index.dat Object is locked skipped
C:\Documents and Settings\Karen\Local Settings\Geschiedenis\History.IE5\MSHist012007012220070123\index.dat Object is locked skipped
C:\Documents and Settings\Karen\Local Settings\Temp\Perflib_Perfdata_dc4.dat Object is locked skipped
C:\Documents and Settings\Karen\Local Settings\Temporary Internet Files\AntiPhishing\B3BB5BBA-E7D5-40AB-A041-A5B1C0B26C8F.dat Object is locked skipped
C:\Documents and Settings\Karen\Local Settings\Temporary Internet Files\Content.IE5\index.dat Object is locked skipped
C:\Documents and Settings\Karen\ntuser.dat Object is locked skipped
C:\Documents and Settings\Karen\ntuser.dat.LOG Object is locked skipped
C:\Documents and Settings\LocalService\Cookies\index.dat Object is locked skipped
C:\Documents and Settings\LocalService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat Object is locked skipped
C:\Documents and Settings\LocalService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG Object is locked skipped
C:\Documents and Settings\LocalService\Local Settings\Geschiedenis\History.IE5\index.dat Object is locked skipped
C:\Documents and Settings\LocalService\Local Settings\Temp\Cookies\index.dat Object is locked skipped
C:\Documents and Settings\LocalService\Local Settings\Temp\History\History.IE5\index.dat Object is locked skipped
C:\Documents and Settings\LocalService\Local Settings\Temp\Temporary Internet Files\Content.IE5\index.dat Object is locked skipped
C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\index.dat Object is locked skipped
C:\Documents and Settings\LocalService\NTUSER.DAT Object is locked skipped
C:\Documents and Settings\LocalService\ntuser.dat.LOG Object is locked skipped
C:\Documents and Settings\NetworkService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat Object is locked skipped
C:\Documents and Settings\NetworkService\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat.LOG Object is locked skipped
C:\Documents and Settings\NetworkService\NTUSER.DAT Object is locked skipped
C:\Documents and Settings\NetworkService\ntuser.dat.LOG Object is locked skipped
C:\System Volume Information\catalog.wci\00000002.ps1 Object is locked skipped
C:\System Volume Information\catalog.wci\00000002.ps2 Object is locked skipped
C:\System Volume Information\catalog.wci\00010010.ci Object is locked skipped
C:\System Volume Information\catalog.wci\cicat.fid Object is locked skipped
C:\System Volume Information\catalog.wci\cicat.hsh Object is locked skipped
C:\System Volume Information\catalog.wci\CiCL0001.000 Object is locked skipped
C:\System Volume Information\catalog.wci\CiP10000.000 Object is locked skipped
C:\System Volume Information\catalog.wci\CiP20000.000 Object is locked skipped
C:\System Volume Information\catalog.wci\CiPT0000.000 Object is locked skipped
C:\System Volume Information\catalog.wci\CiSL0001.000 Object is locked skipped
C:\System Volume Information\catalog.wci\CiSP0000.000 Object is locked skipped
C:\System Volume Information\catalog.wci\CiST0000.000 Object is locked skipped
C:\System Volume Information\catalog.wci\CiVP0000.000 Object is locked skipped
C:\System Volume Information\catalog.wci\INDEX.000 Object is locked skipped
C:\System Volume Information\catalog.wci\propstor.bk1 Object is locked skipped
C:\System Volume Information\catalog.wci\propstor.bk2 Object is locked skipped
C:\System Volume Information\_restore{E27FB052-D001-4A55-9732-FC492DF1C81C}\RP732\change.log Object is locked skipped
C:\WINDOWS\Debug\PASSWD.LOG Object is locked skipped
C:\WINDOWS\Internet Logs\fwdbglog.txt Object is locked skipped
C:\WINDOWS\Internet Logs\fwpktlog.txt Object is locked skipped
C:\WINDOWS\Internet Logs\IAMDB.RDB Object is locked skipped
C:\WINDOWS\Internet Logs\tvDebug.log Object is locked skipped
C:\WINDOWS\Internet Logs\WILLIWORTEL.ldb Object is locked skipped
C:\WINDOWS\SchedLgU.Txt Object is locked skipped
C:\WINDOWS\SoftwareDistribution\EventCache\{B7F6DABC-15FD-4302-8879-0B848F752C8A}.bin Object is locked skipped
C:\WINDOWS\SoftwareDistribution\ReportingEvents.log Object is locked skipped
C:\WINDOWS\Sti_Trace.log Object is locked skipped
C:\WINDOWS\system32\CatRoot2\edb.log Object is locked skipped
C:\WINDOWS\system32\CatRoot2\tmp.edb Object is locked skipped
C:\WINDOWS\system32\config\AppEvent.Evt Object is locked skipped
C:\WINDOWS\system32\config\default Object is locked skipped
C:\WINDOWS\system32\config\default.LOG Object is locked skipped
C:\WINDOWS\system32\config\Internet.evt Object is locked skipped
C:\WINDOWS\system32\config\SAM Object is locked skipped
C:\WINDOWS\system32\config\SAM.LOG Object is locked skipped
C:\WINDOWS\system32\config\SecEvent.Evt Object is locked skipped
C:\WINDOWS\system32\config\SECURITY Object is locked skipped
C:\WINDOWS\system32\config\SECURITY.LOG Object is locked skipped
C:\WINDOWS\system32\config\software Object is locked skipped
C:\WINDOWS\system32\config\software.LOG Object is locked skipped
C:\WINDOWS\system32\config\SysEvent.Evt Object is locked skipped
C:\WINDOWS\system32\config\system Object is locked skipped
C:\WINDOWS\system32\config\system.LOG Object is locked skipped
C:\WINDOWS\system32\drivers\sptd.sys Object is locked skipped
C:\WINDOWS\system32\h323log.txt Object is locked skipped
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR Object is locked skipped
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP Object is locked skipped
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER Object is locked skipped
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MAP Object is locked skipped
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MAP Object is locked skipped
C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA Object is locked skipped
C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP Object is locked skipped
C:\WINDOWS\Temp\Perflib_Perfdata_2ac.dat Object is locked skipped
C:\WINDOWS\Temp\ZLT079e2.TMP Object is locked skipped
C:\WINDOWS\Temp\ZLT079e5.TMP Object is locked skipped
C:\WINDOWS\wiadebug.log Object is locked skipped
C:\WINDOWS\wiaservc.log Object is locked skipped
C:\WINDOWS\WindowsUpdate.log Object is locked skipped

Scan process completed.

 

[Michael4446]

Veel staat op locked en dit is normaal bij de meeste gevallen.

Doe nog wel even deze 2 dingen:

1) Ga naar Start, klik met rechts op Deze Computer en kies voor Eigenschappen, ga dan naar het tabblad
Systeemherstel en zet een vinkje voor Systeemherstel uitschakelen.
Start de pc opnieuw op en doe hetzelfde maar haal het vinkje weg.

2). Download ATF cleaner (by Atribune)

• Dubbelklik op ATF cleaner om het programma te starten.
  Op het tabblad "Main", plaats je een vinkje bij Select All.
  Klik op de knop Empty Selected.
  
  Gebruik je ook Firefox als browser:
  Klik op tabblad "Firefox", plaats een vinkje bij Select All.
  Wil je de door Firefox opgeslagen wachtwoorden behouden, dan klik je in het venster dat verschijnt op "No".
  (dit verwijdert het vinkje bij "Firefox saved passwords")
  Klik op de knop Empty Selected.
  
  Gebruik je ook Opera als browser:
  Klik op tabblad "Opera", plaats een vinkje bij Select All.
  Wil je de door Opera opgeslagen wachtwoorden behouden, dan klik je in het venster dat verschijnt op "No".
  Klik op de knop Empty Selected.
  Ga naar het tabblad "Main" en klik op de knop Exit om het programma af te sluiten

 

[paulus1978]

Ok. Punt met systeem herstel uitgevoerd. ATF-cleaner uitgevoerd. Gescand met housecall (hiervoor omschreven), kaspersky (hiervoor logje bijgevoegd), AVG anti-virus free edition (vindt niks), AVG-anti-spyware (niks gevonden), Spybot S&D (vindt telkens iets van microsoft explorer, zal wel een conflict zijn), Adware (vindt niks). Dus de PC zal nu wel redelijk schoon zijn neem ik aan.
Maar de vraag blijft nog steeds hoe is mogelijk dat met gebruik van Azureus (en natuurlijk moet hiervoor wel een poort open gezet worden, staat nu dicht!) de PC zo aanzienlijk veel trager wordt. Tevens zijn er dus 8200 intrusions geblokt door zonealarm en dat terwijl de router ook nog een firewall heeft!! Hoe kan ik wel veilig met Azureus werken, want het lijkt erop dat men gewoon door de firewall van de router heen fietst en dat terwijl hij WPA Pre shared-key geconfigureerd is!!

 

[Michael4446]

De pc is nu wel schoon ja, maar als iets langzaam gaat heeft dat niet altijd spyware of virussen als oorzaak.

Azureus is een vrij zwaar programma, dwz dat het veel systeembronnen verbruikt, veel geheugen enz. Dit komt ook door een deel omdat het Java nodig heeft.

Een veel lichtere BitTorrent-client is bijvoorbeeld uTorrent, dat zou je eens kunnen gebruiken.


- En hoeveel internet geheugen ( aantal MB RAM ) heb je en welke processor? Hier in deze handleiding staat uitgelegd hoe je hier achter kan komen.

 

[Jozo]

Processor is CPU Type Intel Pentium 4, 1600 MHz en er zit 512MB ramgeheugen in.

Voor deze informatie had je geen programma hoeven te installeren je had ook gewoon op deze computer kunnen rechtklikken en kiezen voor eigenschappen.

 

[paulus1978]

Dit wist ik maar ik werd verwezen naar een handleiding waarin dit programma stond vermeldt of bij uitvoeren 'msinfo32' intypen. Dit laatste werkte echter niet en ik was er niet zeker van hoeveel info jullie nodig hadden vandaar....

 

[Michael4446]

Het kan ook binnen Windows, dat staat ook in de handleiding.
Maar zo kan het ook. We hebben niet zoveel informatie nodig, hoeveelheid intern geheugen, welke processor en moederbord.

Hoe staat het met je probleem?

- Tip: installeer als lichtere BitTorrent-client uTorrent ( gratis ).

ZoneAlarm is een betere firewall dan de standaard Windows Firewall die bij veel mensen jammer genoeg soms niet goed werkt.

 

[paulus1978]

Ja dat binnen windows dat werkte niet (door msinfo32 in te typen bij uitvoeren wordt bedoeld neem ik aan), ik kreeg geen scherm waarop ik iets kon zien in ieder geval. Tot voor kort was er geen probleem met de windows firewall echter twee weken geleden kreeg een melding van Active Security Monitor dat de firewall niet aan stond cq aanwezig was, terwijl windows vond van wel. Daardoor heb ik zonealarm geinstalleerd en deze heeft inmiddels een enorme hoeveelheid indringers geblokkeerd (8216 om precies te zien) maar dat is toch niet echt normaal of wel? Hierdoor vermoede ik dat er iets mis was, wat ook bleek uit de scans, maar graag zou ik te weten komen of de PC nu echt schoon is. Tevens zal uTorrent proberen en kijken of dit beter gaat.

 

[Jozo]

Als je op aanpassen klikt kan je berichten ook verwijderen.
Verwijder zo dat Everest gebeuren even, dan wordt dit topic weer leesbaar.

 

[paulus1978]

Dat is inderdaad wat makkelijker

 

[Michael4446]

De hoeveelheid indringers is vrij veel ja, maar let op het verschil:

- Dat komt van buitenaf, en heeft dus vaak niks te maken met hoe schoon je pc is van malware / virussen.

Ga eens naar Shields Up en doe daar eens een test op All Service Ports en kijk of er poorten open staan. Dit voor de zekerheid.

 

[paulus1978]

Hier het logje. Ik moet wel vermelden dat toen ik azureus gebruikte ik wel een poort geforward heb en deze stond toen wel open. Tevens, omdat er zoveel geblokt werd heb ik een aantal keren het nummer gewijzigd in de range van 49000 tot 65000. Sinds ik de poort heb dicht gezet is het aantal geblokte ook gelijk gebleven. Dus het heeft hier inderdaad mee te maken. Maar hoe kan ik veilig met een Bittorrent-client omgaan, immers hiervoor is het altijd noodzakelijk om een poort te openen.

----------------------------------------------------------------------

GRC Port Authority Report created on UTC: 2007-01-27 at 13:17:58

Results from scan of ports: 0-1055

0 Ports Open
0 Ports Closed
1056 Ports Stealth
---------------------
1056 Ports Tested

ALL PORTS tested were found to be: STEALTH.

TruStealth: PASSED - ALL tested ports were STEALTH,
- NO unsolicited packets were received,
- NO Ping reply (ICMP Echo) was received.

----------------------------------------------------------------------

 

[Michael4446]

Het logje ziet er goed uit, alle poorten zijn Stealth.
Deinstalleer Auzreus eens en installeer uTorrent daarna eens.

 

[Jozo]

Malware heb je niet, je hebt zo een beetje met alles gescand.

Zonealarm houdt zo te zien de boel keurig dicht.

PC zou met utorrent in plaats van azureus iets sneller kunnen worden, omdat utorrent een zeer klein en licht programma is.

En verders, een pc wordt nou eenmaal met de tijd wat trager, hier kan je buiten formatteren en windows opnieuw installeren weinig aan doen.

Computer beetje schoonhouden (ccleaner) en af en toe defragmenteren helpt natuurlijk wel iets.

Programma's die alles zogenaamd versnellen maken meestal weinig waar.
Hier een test van Speedupmypc:
http://www.pcmweb.nl/software_review.jsp?productid=1457

En teveel programma's met windows laten opstarten kan de boel natuurlijk ook vertragen.
http://www.helpmij.nl/forum/showthread.php?t=226555

Succes verders.

 

[Michael4446]

Ja, vooral de cleaners kunnen erg handig zijn voor je pc.
En defragementeren is ook handig, bij voorkeur in de Veilige Modus.

En hier vind je nog meer tips om je pc te versnellen, en hier een link voor onderhoud van je pc. En verder, controleer of de temperaturen niet te hoog worden, of de fans goed draaien. En verder: mee leren leven.

Als je last hebt van langzaam afsluiten kan je het volgende proberen:

-. En je kan hier PageDefrag downloaden. Laat dit tooltje een aantal bestanden van je pc defragmenteren. Start het en druk op het bolletje voor Defragment at next boot en daarna op OK. Je pc moet nu opnieuw opstarten.