Helpmij tegen spyware offensief (deel 4)

[Pieter Arntz]

Geplaatst door fredbull
mediafiles kunnen opeens niet meer geopend worden, geeft een interne fout aan.

Is Windows volledig geupdate?
Wat is de exacte foutmelding?

Groetjes,

Pieter

 

[Pieter Arntz]

Geplaatst door Drankbak

O2 - BHO: (no name) - {8722603D-6BC7-9B45-5C7B-E58195550B33} - E:\PROGRA~1\GREATM~1\Grid data.dll

O3 - Toolbar: Proc Wave - {981AF24E-75AD-0EF8-6060-6E452506D254} - E:\PROGRA~1\GREATM~1\Grid data.dll

O4 - HKLM\..\Run: [RDRSPAM] E:\PROGRA~1\Skip List Curb\Byte Hole Noun.exe

Hoi Drankbak,

Vink de bovenstaande aan, sluit alle vensters behalve HijackThis en klik op Fix checked.

Start dan opnieuw op in veilige modus en verwijder:
E:\Program Files\Skip List Curb <= de hele map
E:\Program Files\GREATM~1 <= de hele map waar Grid data.dll in zit
E:\Program Files\C2Media <= de hele map

Dat hele zooitje is lop.com, spyware die gebundeld met MessengerPlus geinstalleerd wordt (hetgeen overigens geen MicroSoft programma is)

Groetjes,

Pieter

 

[Pieter Arntz]

Geplaatst door argos50

O4 - HKLM\..\RunOnce: [WMC_RebootCheck] D:\WINDOWS\inf\unregmp2.exe /FixUps
O4 - HKCU\..\RunOnce: [MPlayer2_FixUp] D:\WINDOWS\inf\unregmp2.exe /Fixups

Hoi argos50,

Afgezien van je Windows en IE versie ziet het er netjes uit.
Kijk even of de bovenstaande twee verdwenen zijn als je opnieuw opgestart hebt.

Groetjes,

Pieter

 

[Pieter Arntz]

Geplaatst door pbollerman
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = searchexe.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank

R3 - Default URLSearchHook is missing
O1 - Hosts: 12.129.205.209 search.netscape.com12.129.205.209 sitefinder.verisign.com
O2 - BHO: MyWebSearch Search Assistant BHO - {00A6FAF1-072E-44cf-8957-5838F569A31D} - C:\Program Files\MyWebSearch\SrchAstt\1.bin\MWSSRCAS.DLL
O2 - BHO: mwsBar BHO - {07B18EA1-A523-4961-B6BB-170DE4475CCA} - C:\Program Files\MyWebSearch\bar\1.bin\MWSBAR.DLL

O4 - HKLM\..\Run: [okay debug] C:\PROGRA~1\SENDAX~1\Intra Regs.exe
O4 - HKLM\..\Run: [AutoUpdater] "C:\Program Files\AutoUpdate\AutoUpdate.exe"

O4 - HKLM\..\Run: [Glass2k] C:\Documents and Settings\Paul Bollerman\Local Settings\Temporary Internet Files\Content.IE5\I381VZTL\Glass2k[1].exe
O4 - HKLM\..\Run: [MyWebSearch Email Plugin] C:\PROGRA~1\MYWEBS~1\bar\1.bin\mwsoemon.exe
O4 - HKLM\..\Run: [RunDLL] rundll32.exe "C:\WINDOWS\Downloaded Program Files\bridge.dll",Load

O4 - HKCU\..\Run: [MyWebSearch Email Plugin] C:\PROGRA~1\MYWEBS~1\bar\1.bin\mwsoemon.exe
O4 - HKCU\..\Run: [DynSite] "C:\Program Files\NoelD\DynSite for Windows\DynSite.exe"

O4 - Global Startup: MyWebSearch Email Plugin.lnk = C:\Program Files\MyWebSearch\bar\1.bin\MWSOEMON.EXE
O8 - Extra context menu item: &Search - http://bar.mywebsearch.com/menusearch.html?p=ZSzeb029

O16 - DPF: {00000EF1-0786-4633-87C6-1AA7A44296DA} - http://www.addictivetechnologies.net/DM0/cab/bvao34.cab

O16 - DPF: {1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB} - http://ak.imgfarm.com/images/nocache/funwebproducts/ei/SmileyCentralInitialSetup1.0.0.8.cab

Hoi pbollerman,

Vink de bovenstaande aan, sluit alle vensters behalve HijackThis en klik op Fix checked.

Start dan opnieuw op in veilige modus en verwijder:
C:\Program Files\MyWebSearch <= de hele map
C:\Program Files\AutoUpdate <= de hele map
C:\Program Files\SENDAX~1 <= de hele map waar Intra Regs.exe in zit
C:\WINDOWS\Downloaded Program Files\bridge.dll

In IE klik je op Extra > Internet-opties > tabblad Algemeen > Bestanden verwijderen. Zet een vinkje in de "Ook alle off line items verwijderen" box.

Doe dan nog even een online virusscan bv hier www.housecall.nl

Groetjes,

Pieter

 

[Pieter Arntz]

Geplaatst door ToneFactory

C:\PROGRA~1\dvd mfcd\eq trust deaf.exe
C:\Program Files\AutoUpdate\AutoUpdate.exe


R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = +s
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = +s
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = mysearchnow.com
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = +s

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = +s
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = +s

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = +s
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = http://www.the-exit.com

O2 - BHO: (no name) - {01C5BF6C-E699-4CD7-BEA1-786FA05C83AB} - C:\Program Files\SysAI\AproposPlugin.dll
O2 - BHO: (no name) - {3f64d344-ab4f-4cb9-83b0-e6e70a3eabe9} - (no file)

O3 - Toolbar: oqoiejlyshp - {6b8ea13b-31a2-494d-b814-f5b0e9e1e23a} - (no file)

O3 - Toolbar: (no name) - {62999427-33FC-4baf-9C9C-BCE6BD127F08} - (no file)
O3 - Toolbar: (no name) - {07E77B1E-1EAD-244F-9CBA-7DCD460ECC45} - (no file)

O4 - HKLM\..\Run: [modeping] C:\PROGRA~1\dvd mfcd\eq trust deaf.exe
O4 - HKLM\..\Run: [AutoUpdater] "C:\Program Files\AutoUpdate\AutoUpdate.exe"

O4 - HKCU\..\Run: [MSMSGS] C:\WINDOWS\ServicePackFiles\i386\MSMSGS.EXE

O16 - DPF: {1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB} - http://imgfarm.com/images/nocache/funwebproducts/SmileyCentralInitialSetup1.0.0.6.cab

Hoi ToneFactory,

Vink de bovenstaande aan, sluit alle vensters behalve HijackThis en klik op Fix checked.

Start dan opnieuw op in veilige modus en verwijder:
C:\Program Files\SysAI <= de hele map
C:\Program Files\AutoUpdate <= de hele map
C:\Program Files\dvd mfcd <= de hele map
C:\Program Files\C2Media <= de hele map

Groetjes,

Pieter

 

[ardger9]

Ik heb gescant met spybot maar het is nog niet goed
Ook graag de onodige startups

Kunnen jullie hier eens naar kijken
Logfile of HijackThis v1.97.7
Scan saved at 10:54:22, on 2-5-2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Common Files\Symantec Shared\ccSetMgr.exe
C:\Program Files\Norton Personal Firewall\NISUM.EXE
C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\ahead\InCD\InCD.exe
C:\Program Files\Norton Personal Firewall\ccPxySvc.exe
C:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe
C:\Program Files\Norton AntiVirus\navapsvc.exe
C:\Program Files\Norton AntiVirus\AdvTools\NPROTECT.EXE
C:\Program Files\Messenger Plus! 2\MsgPlus.exe
C:\PROGRA~1\HEWLET~1\HPSHAR~1\hpgs2wnf.exe
C:\Program Files\Free Surfer\fs20.exe
C:\Program Files\Common Files\Symantec Shared\ccApp.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\Program Files\Norton AntiVirus\SAVScan.exe
C:\WINDOWS\System32\svchost.exe
C:\PROGRA~1\AnteAxisMeow\OnlineProxySend.exe
C:\WINDOWS\System32\upnthk32.exe
C:\Program Files\AutoUpdate\AutoUpdate.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\Program Files\Warez P2P Client\Warez.exe
C:\Program Files\SpywareGuard\sgmain.exe
C:\WINDOWS\System32\devldr32.exe
C:\Program Files\SpywareGuard\sgbhp.exe
C:\Program Files\Internet Explorer\iexplore.exe
D:\hijakthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://mysearchnow.com/searchbar.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.startpagina.nl/
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://mysearchnow.com/searchbar.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://minisearch.startnow.com
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://mysearchnow.com/searchbar.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: (no name) - {0096CC0A-623C-4829-AD9C-19AF0DC9D8FE} - C:\Program Files\DAP\DAPIEBar.dll
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: SpywareGuard Download Protection - {4A368E80-174F-4872-96B5-0B27DDD11DB2} - C:\Program Files\SpywareGuard\dlprotect.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: (no name) - {62999427-33FC-4baf-9C9C-BCE6BD127F08} - (no file)
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Startnow - {1BC1FC4B-B0D2-4D8D-9307-2E40E2A8C257} - C:\Program Files\Common Files\Hyperbar\Hyperbar.dll
O3 - Toolbar: MSN Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Toolbar\01.01.1601.0\nl\msntb.dll
O3 - Toolbar: option iso - {4AEEA5D3-2B41-5F2B-D531-17E4B19F08A2} - C:\PROGRA~1\4GRAM~1\Web Name.dll
O4 - HKLM\..\Run: [InCD] C:\Program Files\ahead\InCD\InCD.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [Share-to-Web Namespace Daemon] C:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe
O4 - HKLM\..\Run: [DownloadAccelerator] C:\PROGRA~1\DAP\DAP.EXE /STARTUP
O4 - HKLM\..\Run: [CloneCDElbyCDFL] "C:\Program Files\Elaborate Bytes\CloneCD\ElbyCheck.exe" /L ElbyCDFL
O4 - HKLM\..\Run: [MessengerPlus2] "C:\Program Files\Messenger Plus! 2\MsgPlus.exe"
O4 - HKLM\..\Run: [FLMMEDIONMOUSE] C:\Program Files\Browser mouse\1.3\mouse32a.exe
O4 - HKLM\..\Run: [FLMK08KB] C:\Program Files\Medionkeyboard\1.3\MMKEYBD.EXE
O4 - HKLM\..\Run: [freesurfer] C:\Program Files\Free Surfer\fs20.exe
O4 - HKLM\..\Run: [ccApp] C:\Program Files\Common Files\Symantec Shared\ccApp.exe
O4 - HKLM\..\Run: [Advanced Tools Check] C:\PROGRA~1\NORTON~1\AdvTools\ADVCHK.EXE
O4 - HKLM\..\Run: [ccRegVfy] C:\Program Files\Common Files\Symantec Shared\ccRegVfy.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [ooze title] C:\PROGRA~1\AnteAxisMeow\OnlineProxySend.exe
O4 - HKLM\..\Run: [xstP34Q] C:\WINDOWS\System32\upnthk32.exe
O4 - HKLM\..\Run: [AutoUpdater] "C:\Program Files\AutoUpdate\AutoUpdate.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MessengerPlus2] "C:\Program Files\Messenger Plus! 2\MsgPlus.exe" /WinStart
O4 - HKCU\..\Run: [Shareaza] "C:\Program Files\Shareaza\Shareaza.exe" -tray
O4 - HKCU\..\Run: [warez] "C:\Program Files\Warez P2P Client\Warez.exe" -h
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
O4 - Startup: SpywareGuard.lnk = C:\Program Files\SpywareGuard\sgmain.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: &Download with &DAP - C:\PROGRA~1\DAP\dapextie.htm
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Free Surfer (HKLM)
O9 - Extra 'Tools' menuitem: Free Surfer (HKLM)
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Messenger (HKLM)
O16 - DPF: {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B} (QuickTime Object) - http://www.apple.com/qtactivex/qtplugin.cab
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/shockwave/cabs/director/sw.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?37620.3480324074
O16 - DPF: {C2FCEF52-ACE9-11D3-BEBD-00105AA9B6AE} (Symantec RuFSI Registry Information Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O16 - DPF: {C4925E65-7A1E-11D2-8BB4-00A0C9CC72C3} (Virtools WebPlayer Class) - http://a532.g.akamai.net/7/532/6712...com/downloads/player/Install2.5/Installer.exe
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: {F58E1CEF-A068-4C15-BA5E-587CAF3EE8C6} (MSN Chat Control 4.5) - http://fdl.msn.com/public/chat/msnchat45.cab
Mvg ard

 

[Pieter Arntz]

Geplaatst door foxhound

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = file:///C:/Program%20Files/Onlinedirect/Portal/portal.html

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Startpagina = file:///C:/Program%20Files/Onlinedirect/Portal/portal.html

O4 - HKLM\..\Run: [CLSID] C:\WINDOWS\SYSTEM\SED.EXE

O16 - DPF: {841A9192-5690-11D4-A258-0040954A01BE} - http://dialxs.nl/install/dialxs.ocx

Hoi foxhound,

Vink de bovenstaande aan, sluit alle vensters behalve HijackThis en klik op Fix checked.

Start dan opnieuw op in veilige modus en verwijder:
C:\WINDOWS\SYSTEM\SED.EXE
C:\Program Files\Onlinedirect <= de hele map

Groetjes,

Pieter

 

[merak]

Ik heb weer een vreemde starpagina op internet, dus ik denk dat er weer wat rotzooi op de computer staat. Wil iemand het hijackthis.log even voor me nakijken.

Groeten, Jozien

Logfile of HijackThis v1.97.7
Scan saved at 13.16.10 uur, on 2-5-2004
Platform: Windows ME (Win9x 4.90.3000)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\SYSTEM\PTUDFAPP.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\MSTASK.EXE
C:\WINDOWS\SYSTEM\STIMON.EXE
C:\PROGRAM FILES\COMMON FILES\SYMANTEC SHARED\CCEVTMGR.EXE
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\RESTORE\STMGR.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\PROGRAM FILES\CREATIVE\SHAREDLL\CTNOTIFY.EXE
C:\WINDOWS\LOADQM.EXE
C:\PROGRAM FILES\CREATIVE\SHAREDLL\MEDIADET.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\PROGRAM FILES\COMMON FILES\SYMANTEC SHARED\CCAPP.EXE
C:\WINDOWS\SYSTEM\SED.EXE
C:\WINDOWS\SYSTEM\WBEM\WINMGMT.EXE
C:\WINDOWS\SYSTEM\SPOOL32.EXE
C:\PROGRAM FILES\WINZIP\WINZIP32.EXE
C:\WINDOWS\TEMP\HIJACKTHIS.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = file:///C:/Program%20Files/Onlinedirect/Portal/portal.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Startpagina = file:///C:/Program%20Files/Onlinedirect/Portal/portal.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [PCHealth] C:\WINDOWS\PCHealth\Support\PCHSchd.exe -s
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [Disc Detector] C:\Program Files\Creative\ShareDLL\CtNotify.exe
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [LoadQM] loadqm.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [Realtime Audio Engine] mmrtkrnl.exe
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [ccRegVfy] "C:\Program Files\Common Files\Symantec Shared\ccRegVfy.exe"
O4 - HKLM\..\Run: [CLSID] C:\WINDOWS\SYSTEM\SED.EXE
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
O4 - HKLM\..\RunServices: [*StateMgr] C:\WINDOWS\System\Restore\StateMgr.exe
O4 - HKLM\..\RunServices: [StillImageMonitor] C:\WINDOWS\SYSTEM\STIMON.EXE
O4 - HKLM\..\RunServices: [ccEvtMgr] "C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe"
O4 - HKLM\..\RunServices: [ScriptBlocking] "C:\Program Files\Common Files\Symantec Shared\Script Blocking\SBServ.exe" -reg
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O16 - DPF: {39B0684F-D7BF-4743-B050-FDC3F48F7E3B} (FilePlanet Download Control Class) - http://www.fileplanet.com/fpdlmgr/cabs/FPDC_1_0_0_41.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: {70BA88C8-DAE8-4CE9-92BB-979C4A75F53B} (GSDACtl Class) - http://launch.gamespyarcade.com/software/launch/alaunch.cab
O16 - DPF: {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B} (QuickTime Object) - http://www.apple.com/qtactivex/qtplugin.cab
O16 - DPF: {841A9192-5690-11D4-A258-0040954A01BE} - http://dialxs.nl/install/dialxs.ocx

 

[merak]

Nog even als toevoeging, ik heb Ad-aware en Spybot gedraaid.

Jozien

 

[Pieter Arntz]

Geplaatst door wimderon


R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://server224.smartbotpro.net/7search/?si-001
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://server224.smartbotpro.net/7search/?002

R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://server224.smartbotpro.net/7search/?003
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://default-homepage-network.com/start.cgi?si-001
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://server224.smartbotpro.net/7search/?si-001

O2 - BHO: (no name) - {000000DA-0786-4633-87C6-1AA7A4429EF1} - C:\WINDOWS\System32\emesx.dll
O2 - BHO: (no name) - {00A0A40C-F432-4C59-BA11-B25D142C7AB7} - C:\WINDOWS\System32\mskceo.dll

O2 - BHO: (no name) - {0982868C-47F0-4EFB-A664-C7B0B1015808} - C:\WINDOWS\System32\mskhhe.dll
O2 - BHO: (no name) - {0BA1C6EB-D062-4E37-9DB5-B07743276324} - C:\WINDOWS\System32\msdaim.dll
O2 - BHO: (no name) - {25F7FA20-3FC3-11D7-B487-00D05990014C} - C:\WINDOWS\System32\mskpkc.dll
O2 - BHO: (no name) - {447160CD-ECF5-4EA2-8A8A-1F70CA363F85} - C:\WINDOWS\System32\msibkd.dll

O2 - BHO: (no name) - {94927A13-4AAA-476A-989D-392456427688} - C:\WINDOWS\System32\msjfbl.dll

O2 - BHO: (no name) - {CC916B4B-BE44-4026-A19D-8C74BBD23361} - C:\WINDOWS\System32\msedah.dll
O2 - BHO: (no name) - {FCADDC14-BD46-408A-9842-CDBE1C6D37EB} - C:\WINDOWS\System32\msnkmi.dll

O3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file)

O4 - HKLM\..\Run: [TaskReg] C:\Program Files\KaZaA Lite\My Shared Folder\Super Mario Bros 2 (1).exe
O4 - HKLM\..\Run: [Folder Service ] C:\Program Files\Common Files\Services\wssdtu.exe
O4 - HKLM\..\Run: [Enumeration Service ] C:\Program Files\Common Files\Services\wsys.exe

O4 - HKLM\..\Run: [SAHBundle] C:\DOCUME~1\VANKEM~1\LOCALS~1\Temp\bundle.exe
O4 - HKLM\..\Run: [ClrSchLoader] C:\Program Files\ClearSearch\Loader.exe

O4 - HKLM\..\Run: [susp] C:\WINDOWS\susp.exe

O4 - HKLM\..\Run: [easywww] C:\windows\easywww2.exe

O4 - HKCU\..\Run: [msmc] C:\WINDOWS\System32\msgked.exe
O4 - HKCU\..\Run: [DealHelperDown] "C:\Documents and Settings\Van Kempen\Local Settings\Temp\ms7.tmp"

Hoi winderon,

Had iemand je al eens verteld dat je ok regelmatig op virussen moet scannen? :8-0:

Vink de bovenstaande aan, sluit alle vensters behalve HijackThis en klik op Fix checked.

Download en run http://www.spywareinfo.com/~merijn/files/CWShredder.exe
Gebruik de Fuix knop en let goed op de aanwijzingen die het programma je geeft.

Start dan opnieuw op in veilige modus en verwijder:
C:\WINDOWS\System32\mskceo.dll
C:\WINDOWS\System32\mskhhe.dll
C:\WINDOWS\System32\msdaim.dll
C:\WINDOWS\System32\mskpkc.dll
C:\WINDOWS\System32\msibkd.dll
C:\WINDOWS\System32\msjfbl.dll
C:\WINDOWS\System32\msedah.dll
C:\WINDOWS\System32\msnkmi.dll
C:\Program Files\KaZaA Lite\My Shared Folder\Super Mario Bros 2 (1).exe
C:\Program Files\Common Files\Services\wssdtu.exe
C:\Program Files\Common Files\Services\wsys.exe
C:\WINDOWS\susp.exe
C:\windows\easywww2.exe
C:\WINDOWS\System32\msgked.exe

In IE klik je op Extra > Internet-opties > tabblad Algemeen > Bestanden verwijderen. Zet een vinkje in de "Ook alle off line items verwijderen" box.

Klik dan op Start > Programma's > Bureau-accessoires > Systeemwerkset > Schijfopruiming en laat ook alle andere tijdelijke bestanden opruimen.

Doe dan nog even een online virusscan bv hier www.housecall.nl

Plaats nog een nieuw log als je klaar bent en welke problemen er nog over zijn.

Groetjes,

Pieter

 

[Pieter Arntz]

Re: log file

Geplaatst door outlaw36

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe ***

Hoi outlaw36,

Dat is de enige overbodige eigenlijk.

Groetjes,

Pieter

 

[Pieter Arntz]

Re: hijack log

Geplaatst door stimpy-NL


R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\System32\acba.dll/sp.html (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\System32\acba.dll/sp.html (obfuscated)
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about :blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\System32\acba.dll/sp.html (obfuscated)
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about :blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\System32\acba.dll/sp.html (obfuscated)
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\System32\acba.dll/sp.html (obfuscated)
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\System32\acba.dll/sp.html (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about :blank

O2 - BHO: (no name) - {3E73DB17-4BE8-4ADD-BC3B-536A69AFCE50} - C:\WINDOWS\System32\acba.dll

O4 - HKLM\..\Run: [alchem] C:\WINDOWS\alchem.exe

O4 - HKLM\..\Run: [asi] C:\WINDOWS\System32\asi.exe

O16 - DPF: {841A9192-5690-11D4-A258-0040954A01BE} - http://dialxs.nl/install/dialxs.ocx

Hoi stimpy-NL,

Ik wil proberen je hier vanaf te helpen, maar ik beloof niks en als er niets belangrijks op je computer staat is het gegarandeerd veel sneller om te formatteren.

Als je het wil proberen open dan een nieuw topic nadat je de bovenstaande hebt gefixed mjet HijackThis.

Download dan XFind.zip van http://www10.brinkster.com/expl0iter/freeatlast/PVtool.htm
Unzip en run het 'find.bat' bestand dat erin zit. Als het klaar is zul je een 'log.txt' bestand in die map vinden met een dll naam en een error.
Die dll naam heb ik nodig.

Groetjes,

Pieter

 

[Pieter Arntz]

Geplaatst door Roekee
Hallo, ik heb last van een webpagina die de hele tijd blijft veranderen als ik een browser window afsluit. Ik had eerst de CWshredder maar die blijkt dus niet meer

Kun en wil je Windows updaten?

Zoniet, kan ik je alleen maar aanraden om te formatteren en op mijn site te kijken voor wat tips om het de volgende keer beter te doen.
http://home.planet.nl/~kleyn080/Spywareinfonl.html

Groetjes,

Pieter

 

[Pieter Arntz]

Geplaatst door Pretender


O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\UpdReg.EXE

O4 - HKLM\..\Run: [RunDLL] rundll32.exe "C:\WINDOWS\Downloaded Program Files\bridge.dll",Load

Hoi Pretender,

Vink de bovenstaande aan, sluit alle vensters behalve HijackThis en klik op Fix checked.

Groetjes,

Pieter

 

[Pieter Arntz]

Geplaatst door KAL EL Limited.
Hoi Pieter, Bedankt voor de hulp ten eerste. Ik wilde graag wat meer over jouw commentaar weten die jij me gaf.
Kazaa is hier verboden, maar mijn broertje kan erg koppig zijn, misschien moet ik het dan maar harder eruitslaan, Kazaa is nergens voor nodig, bittorrent is veel beter.
Mijn windows XP is niet geupdate met Service Pack 1, bedoel je dat, ik wacht tot ik de CD met alle updates van Microsoft in de brievenbus krijg in enkele dagen. Waar kun je dat eigenlijk aan zien
Maar wat ik echt niet snap is waarom je zegt dat ik geen antivirus heb, Ik heb Norton Antivrirus met de allerlaatste gedpate virusdefenities draaien op mijn PC. Wat bedoel je er dus eigenlijk mee. Dat waren mijn vragen. Nog bedankt en Groetjes.

Dat Windows niet up-to-date is kan ik hieraan zien:
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

De versie nummers van SP1 zijn anders.

Je had een paar spyware/trojans die NAV zou hebben moeten herkennen volgens mij. Ik weet niet welke programmaversie je hebt (2002 ?) en of het daaraan ligt dat ze niet gevonden werden, maar ik ging ervan uit dat het een verlopen versie was die standaard op je computer zat. Mijn excuses als dat mis was.

Groetjes,

Pieter

 

[Pieter Arntz]

Re: startpagina veranderd

Geplaatst door A.Riepma


R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\mrhop.dll/sp.html (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\mrhop.dll/sp.html (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\mrhop.dll/sp.html (obfuscated)
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\mrhop.dll/sp.html (obfuscated)
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\mrhop.dll/sp.html (obfuscated)

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\mrhop.dll/sp.html (obfuscated)

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about :blank

O2 - BHO: (no name) - {78EDB7BF-1F45-4F59-BBCD-AE43A77D3D62} - C:\WINDOWS\mrhop.dll

O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://207.188.7.150/06515a6300000e...ip/RdxIE601.cab

Hoi A.Riepma,

Voor jou geldt hetzelfde als voor stimpy-NL:

Ik wil proberen je hier vanaf te helpen, maar ik beloof niks en als er niets belangrijks op je computer staat is het gegarandeerd veel sneller om te formatteren.

Als je het wil proberen open dan een nieuw topic nadat je de bovenstaande hebt gefixed mjet HijackThis.

Download dan XFind.zip van http://www10.brinkster.com/expl0iter/freeatlast/PVtool.htm
Unzip en run het 'find.bat' bestand dat erin zit. Als het klaar is zul je een 'log.txt' bestand in die map vinden met een dll naam en een error.
Die dll naam heb ik nodig.

Groetjes,

Pieter

 

[Pieter Arntz]

Geplaatst door khk464

Nu heb ik hem terug een beetje in orde maar krijg van mijn firewall om de 5 minuten de melding dat hij " ntoskml exe " blokt omdat die op het net wil.
Gescant met adaware en s&d.

Ook de overbodige mogen weg, ik veronderstel hp share to web enzo ook? En wat is die 017?


O4 - HKLM\..\Run: [Share-to-Web Namespace Daemon] C:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe

O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\NeroCheck.exe

Hoi khk464,

De twee bovenstaande zijn overbodig.

Weet je zeker dat je het goed gespeld hebt?
ntoskml <= Funlove virus
ntoskrnl <= Windows bestand

Groetjes,

Pieter

 

[Pieter Arntz]

Geplaatst door ardger9


R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://mysearchnow.com/searchbar.html

R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://mysearchnow.com/searchbar.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://minisearch.startnow.com
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://mysearchnow.com/searchbar.html

O3 - Toolbar: (no name) - {62999427-33FC-4baf-9C9C-BCE6BD127F08} - (no file)

O3 - Toolbar: Startnow - {1BC1FC4B-B0D2-4D8D-9307-2E40E2A8C257} - C:\Program Files\Common Files\Hyperbar\Hyperbar.dll

O3 - Toolbar: option iso - {4AEEA5D3-2B41-5F2B-D531-17E4B19F08A2} - C:\PROGRA~1\4GRAM~1\Web Name.dll

O4 - HKLM\..\Run: [ooze title] C:\PROGRA~1\AnteAxisMeow\OnlineProxySend.exe
O4 - HKLM\..\Run: [xstP34Q] C:\WINDOWS\System32\upnthk32.exe
O4 - HKLM\..\Run: [AutoUpdater] "C:\Program Files\AutoUpdate\AutoUpdate.exe"

O4 - HKCU\..\Run: [Shareaza] "C:\Program Files\Shareaza\Shareaza.exe" -tray
O4 - HKCU\..\Run: [warez] "C:\Program Files\Warez P2P Client\Warez.exe" -h

Hoi ardger9,

Vink de bovenstaande aan, sluit alle vensters behalve HijackThis en klik op Fix checked.

Start dan opnieuw op in veilige modus en verwijder:
C:\Program Files\Common Files\Hyperbar <= de hele map
C:\Program Files\AutoUpdate <= de hele map
C:\Program Files\AnteAxisMeow <= de hele map
C:\Program Files\C2Media <= de hele map
C:\Program Files\4GRAM~1 <= de hele map met het bestand Web Name.dll erin

Start dan normaal op en surf naar http://www.kaspersky.com/scanforvirus.html en upload daar C:\WINDOWS\System32\upnthk32.exe
Laat het resultaat even weten.

Groetjes,

Pieter

 

[Pieter Arntz]

Geplaatst door merak

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = file:///C:/Program%20Files/Onlinedirect/Portal/portal.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Startpagina = file:///C:/Program%20Files/Onlinedirect/Portal/portal.html

O4 - HKLM\..\Run: [CLSID] C:\WINDOWS\SYSTEM\SED.EXE

O16 - DPF: {841A9192-5690-11D4-A258-0040954A01BE} - http://dialxs.nl/install/dialxs.ocx

Hoi merak,

Vink de bovenstaande aan, sluit alle vensters behalve HijackThis en klik op Fix checked.

Start dan opnieuw op in veilige modus en verwijder:
C:\WINDOWS\SYSTEM\SED.EXE
C:\Program Files\Onlinedirect <= de hele map

Ben jij de vriendin van foxhound?

Groetjes,

Pieter

 

[khk464]

Hoi Pieter,

een geluk dat jij er bent, het is inderdaad ntoskrnl, ik ga een nieuwe bril halen, ik zag het verschil niet.

Volgens sygate heeft het met sp2 te maken. Het rare is dat er geen toestemming gevraagt wordt, en dat ongeveer een vierde van het inkomend en uitgaand verkeer geblockt wordt.

Dus zo maar laten staan zeker?

Nogmaals bedankt.