Helpmij tegen spyware offensief (deel 4)

[Olav]

Geplaatst door mnb


Ik heb het opgeslagen als * log bestand want ik kon geen txt bestand aanklikken?

Graag een reactie! Heb de PC net een week, nieuwe software XP, en nu al problemen (verdwenen email postvak in, bureaublad pictogrammen zijn niet op naam te schikken)
Hopen dat je hier wat mee kan en dat dit helpt!

:thumb:

Hallo mnb,
Je log is helemaal schoon, ook geen echt overbodige zaken, dus hieraan liggen je problemen niet.
Je zou eventueel nog online een scan kunnen laten uitvoeren:
bij Symantec op virussen en trojans
of bij Housecall
Misschien dat je daar nog iets aantreft.

Succes,
Olav

 

[Carla a]

Hellup

Hoi,
Ik heb net gescand met Adaware, dus de ergste troep is er al uit. Nu heb ik dus ook met Hijackthis deze log gemaakt:

Logfile of HijackThis v1.97.7
Scan saved at 21:54:10, on 19-5-2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\System32\hkcmd.exe
C:\WINDOWS\system32\dla\tfswctrl.exe
C:\Program Files\Dell\Media Experience\PCMService.exe
C:\Program Files\Common Files\Symantec Shared\ccApp.exe
C:\Program Files\Conexant\CnxDslTb.exe
C:\Program Files\McAfee\McAfee Shared Components\Guardian\CMGrdian.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\MSN Messenger\MsnMsgr.Exe
C:\Program Files\McAfee\McAfee Shared Components\Instant Updater\RuLaunch.exe
C:\Program Files\Kodak\Kodak EasyShare software\bin\EasyShare.exe
C:\Program Files\McAfee\McAfee VirusScan\Avsynmgr.exe
C:\WINDOWS\system32\drivers\KodakCCS.exe
C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Program Files\McAfee\McAfee VirusScan\VsStat.exe
C:\Program Files\Norton AntiVirus\navapsvc.exe
C:\WINDOWS\System32\ScsiAccess.EXE
C:\Program Files\McAfee\McAfee VirusScan\Avconsol.exe
C:\Program Files\McAfee\McAfee Firewall\CPD.EXE
C:\Program Files\McAfee\McAfee Firewall\CPD.EXE
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.zonnet.nl/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.euro.dell.com/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.euro.dell.com/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.euro.dell.com/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: (no name) - {5CA3D70E-1895-11CF-8E15-001234567890} - C:\WINDOWS\system32\dla\tfswshx.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: McAfee VirusScan - {ACB1E670-3217-45C4-A021-6B829A8A27CB} - C:\Program Files\McAfee\McAfee VirusScan\VSCShellExtension.dll
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\System32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe
O4 - HKLM\..\Run: [dla] C:\WINDOWS\system32\dla\tfswctrl.exe
O4 - HKLM\..\Run: [StorageGuard] "C:\Program Files\Common Files\Sonic\Update Manager\sgtray.exe" /r
O4 - HKLM\..\Run: [PCMService] "C:\Program Files\Dell\Media Experience\PCMService.exe"
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [ccRegVfy] "C:\Program Files\Common Files\Symantec Shared\ccRegVfy.exe"
O4 - HKLM\..\Run: [CnxDslTaskBar] C:\Program Files\Conexant\CnxDslTb.exe
O4 - HKLM\..\Run: [McAfee Guardian] "C:\Program Files\McAfee\McAfee Shared Components\Guardian\CMGrdian.exe" /SU
O4 - HKLM\..\Run: [UserFaultCheck] %systemroot%\system32\dumprep 0 -u
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [McAfee.InstantUpdate.Monitor] "C:\Program Files\McAfee\McAfee Shared Components\Instant Updater\RuLaunch.exe" /STARTMONITOR
O4 - Global Startup: Ad-aware.lnk = C:\Program Files\Lavasoft\Ad-aware 6\Ad-aware.exe
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra 'Tools' menuitem: Sun Java Console (HKLM)
O9 - Extra button: Onderzoek (HKLM)
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Messenger (HKLM)
O12 - Plugin for .mpeg: C:\Program Files\Internet Explorer\PLUGINS\npqtplugin3.dll
O16 - DPF: {003FADA5-8FEE-11D6-AFB7-0004768F6183} (CryptoRSA Control) - https://www.p3.postbank.nl/sesam/CAX.cab
O16 - DPF: {841A9192-5690-11D4-A258-0040954A01BE} - http://dialxs.nl/install/dialxs.ocx
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: {DE591B16-A452-11D6-AED1-0001030A4E46} (PBGNX Control) - https://gto.postbank.nl/GTO/PBGNX.cab
O16 - DPF: {E855A2D4-987E-4F3B-A51C-64D10A7E2479} (EPSImageControl Class) - http://tools.ebayimg.com/eps/activex/EPSControl_v1-0-3-0.cab

Zou je willen kijken wat ik nog verder moet verwijderen om mijn compu weer correct te laten werken?
Thanx en groetjes Carla

 

[mnb]

Ad-aware heeft wel 1 spin ontdekt. Heb deze nu in Quarantine gezet. Verder weet ik het niet.

Geen virussen via Norton

 

[mnb]

Nadat ik deze in quarantine heb gezet, opnieuw gescand en nog 1 file found, 1 spin aanwezig.
Wat moet ik hiermee? Hoe haal ik die weg?

Tracking Cookie
File Data Minner

etc etc helaas niet te kopieeren

er zit dus wel iets in deze log?! Toch?

 

[Olav]

Re: Denk dat hier werk aan is ...

Geplaatst door sephiroth
Pieter,
Wil je even checken. Dit is een publieke pc waar gratis internettoegang op is ...
Platform: Windows XP (WinNT 5.01.2600) <--- UPDATE !!!!!!!!
MSIE: Internet Explorer v6.00 (6.00.2600.0000) <--- UPDATE !!!!!!!!

C:\Program Files\SCom\Dialers\SexCams_be\SexCams_be.exe
C:\PROGRA~1\MORERE~1\IdleHelpPing.exe

C:\Documents and Settings\Steven.GAMES-5\Bureaublad\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://prosearching.com/searchbar.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://prosearching.com/searchbar.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = prosearching.com
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://start.traffer.ru
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://start.traffer.ru
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://prosearching.com/searchbar.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://prosearching.com/searchbar.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://prosearching.com/searchbar.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = res://C:\PROGRA~1\Toolbar\toolbar.dll/sa
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://prosearching.com/searchbar.html

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Startpagina = file:///C:/Program%20Files/Startportal/Portal/portal.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = C:\WINDOWS\secure.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = C:\WINDOWS\secure.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = prosearching.com

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,SearchAssistant = about :blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,CustomizeSearch = res://C:\PROGRA~1\Toolbar\toolbar.dll/sa
O2 - BHO: (no name) - {029BB53A-C312-4b09-9B4F-ED57AF027B28} - C:\WINDOWS\winhlp32.dll

O2 - BHO: (no name) - {5DAFD089-24B1-4c5e-BD42-8CA72550717B} - C:\Program Files\SurfAssistant.com\saiemod.dll

O2 - BHO: (no name) - {E31ABC6F-60D0-6F17-DF59-FD867E0C70CB} - C:\PROGRA~1\MIXJUM~1\Poke software.dll

O3 - Toolbar: (no name) - {339BB23F-A864-48C0-A59F-29EA915965EC} - (no file)

O3 - Toolbar: LIES AXIS - {419F5814-6FEB-BAC9-D7E4-019219052E9C} - C:\PROGRA~1\MIXJUM~1\Poke software.dll

O4 - HKLM\..\Run: [MSVersion] C:\WINDOWS\System32\internetfeatures.exe
O4 - HKLM\..\Run: [SexCams_be] C:\Program Files\SCom\Dialers\SexCams_be\SexCams_be.exe /dontdial
O4 - HKLM\..\Run: [admin start] C:\PROGRA~1\MORERE~1\IdleHelpPing.exe
O4 - HKLM\..\Run: [twfur] C:\WINDOWS\twfur.exe
O4 - HKLM\..\Run: [MSZTCE] C:\WINDOWS\System32\MSZTCE.EXE

O16 - DPF: {10003000-1000-0000-1000-000000000000} - ms-its:mhtml:file://c:\MAIN.MHT!http://213.159.117.236/buka.chm::/x.exe
O16 - DPF: {11111111-1111-1111-1111-111111111157} - ms-its:mhtml:file://c:\nosuch.mht!http://cashsearch.biz/legal/x.chm::/load.exe
O16 - DPF: {11311111-1111-1111-1111-111111111157} - file://C:\Program Files\Q330994.exe
O16 - DPF: {1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB} - http://ak.imgfarm.com/images/nocach...etup1.0.0.8.cab

O16 - DPF: {70BA88C8-DAE8-4CE9-92BB-979C4A75F53B} (GSDACtl Class) - http://launch.gamespyarcade.com/sof...nch/alaunch.cab
O16 - DPF: {841A9192-5690-11D4-A258-0040954A01BE} - http://dialxs.nl/install/dialxs.ocx
O16 - DPF: {98ABA9AE-699D-4966-8FDE-1F894EF22EB4} - http://www.myfreecursors.com/cursor...dog_barking.cab
O16 - DPF: {9B4AA442-9EBF-11D5-8C11-0050DA4957F5} - http://www.cavello.com/dialxs/plugins/d/15/269/be.exe
O16 - DPF: {EF86873F-04C2-4A95-A373-5703C08EFC7B} (Installer Class) - http://www.xxxtoolbar.com/ist/softwares/v3.0/0006.cab
O16 - DPF: {F57D17AE-CE37-4BC8-B232-EA57747BE5E7} - http://66.230.146.53/EPlugin_BE.cab
:thumb:

Hoi sephiroth,
sjonge jonge jonge....
Je had beter kunnen vragen wat er had kunnen blijven staan...
Ik weet niet wat al die mensen doen op die computer, maar fijn is het niet. Makkelijkste zou zijn formateren en opnieuw installeren. En daarna je geld terug vragen van Symantec en Trend Micro.

Zet eerst Hijack This in een aparte, eigen map in plaats van op je bureaublad. Hijack This maakt backups op de locatie van waar hij gedraaid word. In jouw geval dus omen die backups op je bureaublad, en dat wil je niet.

Download op de eerste plaats de volgende programma's:
Ad-aware
CWShredder
Installeer Ad-aware 6.181 en open hem, in het scherm rechts onder staat een link "Check updates now" klik daarop en laat hem zoeken naar updates.
Als die klaar is gaan we de instellingen aanpassen:
Onthoud, aan = GROEN en uit = ROOD

Klik op het radar-icoontje.
In het venster dat dan opent, (general options / Startup & safety) alleen Run at Windows startup UIT

Klik op de knop Scanning:
Alles AAN behalve Skip non executable files en Skip files larger than:... (deze 2 zijn grijs. laat ze ook zo)

Klik op de button Tweak:
Klap "Scanning engine" open.
Unload recognized processes during scan: AAN
Include Basic Ad-Aware settings in logfile :AAN
rest UIT of disabled

Klap Cleaning engine open.
Let Windows remove files in use at next reboot: AAN
Delete quarentined objects after restoring: AAN
rest UIT of disabled

Klik op proceed.
Klik nu in Ad-aware op Start.
Kies voor het rondje: "Use custom scanning options"
Zorg ervoor dat "Activate in-depth scan" AAN staat.
en klik dan op Next.
Laat Ad-aware scannen en vink alles aan wat hij vind.
Plaats dit in quarentaine en ga klik daarna verder om alles te verwijderen.

CWShredder doen we nog niets mee, dat doen we in Save Modus, later.

Ga naar deze pagina en print de verwijder instructies uit voor die trojan.

Ga naar:
deze site en lees hoe je MSZTCE.EXE moet verwijderen. (print ook uit, maar nog niet uitvoeren, doen we straks in save modus.

Vink in Hijack This de items aan die in de quote staan, sluit alle vensters en klik op Fix Checked.

Herstart gelijk daarna je PC in veilige modus.
Verwijder daar:
C:\PROGRA~1\Toolbar\ <-- hele map
C:/Program%20Files/Startportal/ <-- hele map
C:\Program Files\SurfAssistant.com\ <-- hele mapC:\PROGRA~1\MIXJUM~1\ <-- hele map

Start nu CWShredder op en klik op de button Fix.
Voer hierna de opdrachten uit van die 2 websites die ik je heb gegeven.
Het kan gebeuren dat die over MSZTCE.EXE niet uit te voeren is. Dan heeft mogelijk CWShredder hem al verwijderd.
Herstart daarna je PC weer in normale modus en scan nogmaals met Hijack This. Ik ben benieuwd.

En last but not least... het aller belangrijkste:
UPDATE die Windows en Internet Explorer eens. SP2 voor WinXP komt al bijna uit en deze computer heeft zelf nog niet eens SP1

Succes :thumb:
Olav

 

[Olav]

Geplaatst door mnb
Nadat ik deze in quarantine heb gezet, opnieuw gescand en nog 1 file found, 1 spin aanwezig.
Wat moet ik hiermee? Hoe haal ik die weg?

Tracking Cookie
File Data Minner

etc etc helaas niet te kopieeren

er zit dus wel iets in deze log?! Toch?

Een tracking cookie is geen ad-aware zoals Hijack this die zal vinden. Tracking cookies, kan je gewoon verwijderen door je verzameling cookies weg te gooien. Internet explorer --> Menu extra --> Internet Opties --> Tabblad Algemeen ==> Cookies verwijderen.

Olav

 

[Berend Jan]

Hoi Pieter,

ik heb t probleem dat mijn startpagina steeds verandert. de map verwijderen werkt niet dus heb jou aanpak maar eens geprobeerd.

hier heb je mijn logs:

Logfile of HijackThis v1.97.7
Scan saved at 22:24:40, on 19-5-2004
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\Grisoft\AVG6\avgserv.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Messenger Plus! 2\MsgPlus.exe
C:\PROGRA~1\Grisoft\AVG6\avgcc32.exe
C:\SCANJET\PrecisionScanLT\hppwrsav.exe
C:\Program Files\D-Tools\daemon.exe
C:\Program Files\Java\j2re1.4.2_04\bin\jusched.exe
C:\WINDOWS\System32\msgplus.exe
C:\WINDOWS\System32\ctfmon.exe
C:\WINDOWS\System32\rundll32.exe
C:\Program Files\Kazaa Lite K++\KazaaLite.kpp
C:\Program Files\Logitech\MouseWare\system\em_exec.exe
C:\WINDOWS\System32\javaw.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Documents and Settings\BK Bratox\Bureaublad\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = file:///C:/Program%20Files/Onlinedirect/Portal/portal.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Startpagina = file:///C:/Program%20Files/Onlinedirect/Portal/portal.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0 CE\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [zBrowser Launcher] C:\Program Files\Logitech\iTouch\iTouch.exe
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\\NeroCheck.exe
O4 - HKLM\..\Run: [MessengerPlus2] "C:\Program Files\Messenger Plus! 2\MsgPlus.exe"
O4 - HKLM\..\Run: [AVG_CC] C:\PROGRA~1\Grisoft\AVG6\avgcc32.exe /STARTUP
O4 - HKLM\..\Run: [hppwrsav] C:\SCANJET\PrecisionScanLT\hppwrsav.exe
O4 - HKLM\..\Run: [BIL] C:\WINDOWS\BIL.exe
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Program Files\D-Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [KAZAA] "C:\Program Files\Kazaa Lite K++\kpp.exe" "C:\Program Files\Kazaa Lite K++\KazaaLite.kpp" /SYSTRAY
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\j2re1.4.2_04\bin\jusched.exe
O4 - HKLM\..\Run: [CLSID] C:\WINDOWS\System32\msgplus.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MessengerPlus2] "C:\Program Files\Messenger Plus! 2\MsgPlus.exe" /WinStart
O4 - HKCU\..\Run: [Red Swoosh EDN Client] C:\Program Files\RSNet\RSEDNClient.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - Startup: Azureus.lnk = C:\Program Files\Azureus\Azureus.exe
O4 - Startup: PowerReg Scheduler.exe
O4 - Global Startup: Logitech Desktop Messenger.lnk = C:\Program Files\Logitech\Desktop Messenger\8876480\Program\LDMConf.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O9 - Extra 'Tools' menuitem: Sun Java Console (HKLM)
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Windows Messenger (HKLM)
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab
O16 - DPF: {02BCC737-B171-4746-94C9-0D8A0B2C0089} (Microsoft Office Template and Media Control) - http://office.microsoft.com/templates/ieawsdc.cab
O16 - DPF: {03F998B2-0E00-11D3-A498-00104B6EB52E} (MetaStreamCtl Class) - https://components.viewpoint.com/MT...&http://volvoxc90.volvocars.nl/explore/3d.asp
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/shockwave/cabs/director/sw.cab
O16 - DPF: {1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB} - http://ak.imgfarm.com/images/nocache/funwebproducts/ei/SmileyCentralInitialSetup1.0.0.8.cab
O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab
O16 - DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) - http://www.cult3d.com/download/cult.cab
O16 - DPF: {54B52E52-8000-4413-BD67-FC7FE24B59F2} (EARTPatchX Class) - http://files.ea.com/downloads/rtpatch/v2/EARTPX.cab
O16 - DPF: {70BA88C8-DAE8-4CE9-92BB-979C4A75F53B} (GSDACtl Class) - http://launch.gamespyarcade.com/software/launch/alaunch.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?38029.6228587963
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: {F04A8AE2-A59D-11D2-8792-00C04F8EF29D} (Hotmail Attachments Control) - http://by8fd.bay8.hotmail.msn.com/activex/HMAtchmt.ocx
O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab



Groeten,

Berend Jan

 

[jpalotz]

reactie op bericht van Pieter

allereerst bedankt voor de snelle en volgens mij bruikbare reactie.
ik heb eerst spyware gebruikt en daarna om zeker te zijn ook nog adaware bijde hebben veel zo rond de honderd verschillende items gevonden en opgeruimd. hopende hiermee vodoende info te hebben gegeven . zeg ik alvast bedankt groeten Joop Palotz


Scan saved at 22:34:04, on 19-5-2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Common Files\EPSON\EBAPI\SAgent2.exe
C:\WINDOWS\system32\gearsec.exe
C:\Program Files\CA\eTrust Antivirus\InoRpc.exe
C:\Program Files\CA\eTrust Antivirus\InoRT.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\CA\eTrust Antivirus\InoTask.exe
C:\Program Files\CA\SharedComponents\CA_LIC\LogWatNT.exe
C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe
C:\Program Files\Norton SystemWorks\Norton Utilities\NPROTECT.EXE
C:\PROGRA~1\NORTON~1\SPEEDD~1\nopdb.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\WINDOWS\System32\RunDll32.exe
C:\WINDOWS\mHotkey.exe
C:\WINDOWS\CNYHKey.exe
C:\WINDOWS\Dit.exe
C:\PROGRA~1\CA\ETRUST~1\realmon.exe
C:\Program Files\Medion Home Cinema XL II\PowerCinema\PCMService.exe
C:\WINDOWS\System32\PRISMSTA.EXE
C:\PROGRA~1\ZONELA~1\ZONEAL~1\zlclient.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S10IC2.EXE
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\PROGRA~1\DAP\DAP.EXE
D:\Program Files\SlySoft\CloneCD\CloneCDTray.exe
D:\temptoolbox_trial.exe
C:\Program Files\HistoryKill\histkill.exe
C:\Program Files\Microsoft Office\Office\FINDFAST.EXE
C:\WINDOWS\DitExp.exe
C:\Program Files\Microsoft Office\Office\OSA.EXE
C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe
C:\Program Files\HistoryKill\hkPopupKiller.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://search-world.net/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.alltheweb.com/
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.zonnet.nl/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = http://search-world.net/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = http://www.alltheweb.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
R3 - URLSearchHook: (no name) - _{5D60FF48-95BE-4956-B4C6-6BB168A70310} - (no file)
O1 - Hosts: 12.129.205.209 search.netscape.com12.129.205.209 sitefinder.verisign.com
O2 - BHO: (no name) - {0000CC75-ACF3-4cac-A0A9-DD3868E06852} - C:\Program Files\DAP\DAPBHO.dll
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - (no file)
O3 - Toolbar: DAP Bar - {62999427-33FC-4baf-9C9C-BCE6BD127F08} - C:\Program Files\DAP\DAPIEBar.dll
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [CHotkey] mHotkey.exe
O4 - HKLM\..\Run: [ledpointer] CNYHKey.exe
O4 - HKLM\..\Run: [Dit] Dit.exe
O4 - HKLM\..\Run: [Realtime Monitor] C:\PROGRA~1\CA\ETRUST~1\realmon.exe -s
O4 - HKLM\..\Run: [PCMService] "C:\Program Files\Medion Home Cinema XL II\PowerCinema\PCMService.exe"
O4 - HKLM\..\Run: [AntivirusRegistration] C:\Program Files\Excid.com Aps\eTrust Antivirus Registration\EzAntivirusRegistrationCheck.exe
O4 - HKLM\..\Run: [PRISMSTA.EXE] PRISMSTA.EXE START
O4 - HKLM\..\Run: [Zone Labs Client] C:\PROGRA~1\ZONELA~1\ZONEAL~1\zlclient.exe
O4 - HKLM\..\Run: [EPSON Stylus C44 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S10IC2.EXE /P23 "EPSON Stylus C44 Series" /O6 "USB001" /M "Stylus C44"
O4 - HKLM\..\Run: [Epson Herinnering betreffende registratie] "C:\WINDOWS\temp\NavBrowser.exe" /r /i "C:\WINDOWS\temp\NavLoad.ini"
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [NAV CfgWiz] C:\PROGRA~1\NORTON~1\NORTON~1\Cfgwiz.exe /R
O4 - HKLM\..\Run: [DownloadAccelerator] C:\PROGRA~1\DAP\DAP.EXE /STARTUP
O4 - HKLM\..\Run: [CloneCDTray] "D:\Program Files\SlySoft\CloneCD\CloneCDTray.exe" /s
O4 - HKLM\..\Run: [MSNSysRestore] C:\WINDOWS\System32\pc32.exe bg
O4 - HKLM\..\Run: [Sex] IEXPLORE.EXE http://search-world.net/
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\RunServices: [Sex] IEXPLORE.EXE http://search-world.net/
O4 - HKCU\..\Run: [SPSTEALT] "D:\temptoolbox_trial.exe" /stealt
O4 - HKCU\..\Run: [HistoryKill] C:\Program Files\HistoryKill\histkill.exe /startup
O4 - Startup: Microsoft Office Snelzoeken.lnk = C:\Program Files\Microsoft Office\Office\FINDFAST.EXE
O4 - Startup: Office Opstarten.lnk = C:\Program Files\Microsoft Office\Office\OSA.EXE
O8 - Extra context menu item: &Download with &DAP - C:\PROGRA~1\DAP\dapextie.htm
O8 - Extra context menu item: Download &all with DAP - C:\PROGRA~1\DAP\dapextie2.htm
O9 - Extra button: Run DAP (HKLM)
O9 - Extra button: Real.com (HKLM)
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Messenger (HKLM)
O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll
O14 - IERESET.INF: START_PAGE_URL=http://www.zonnet.nl/
O16 - DPF: {11111111-1111-1111-1111-111111111123} - ms-its:mhtml:file://C:\ss.MHT!http://64.237.47.178//chm.chm::/1/e.exe
O16 - DPF: {19E28AFC-EAE3-4CE5-AC83-2407B42F57C9} (MSSecurityAdvisor Class) - http://download.microsoft.com/downl...-a3de-373c3e5552fc/msSecAdv.cab?1084200413093
O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab
O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://207.188.7.150/06515a6300000e48c405/netzip/RdxIE601.cab
O16 - DPF: {841A9192-5690-11D4-A258-0040954A01BE} - http://dialxs.nl/install/dialxs.ocx
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?37899.1631597222
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab

 

[Olav]

Geplaatst door MisterretsiM
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://server224.smartbotpro.net/7search/?new-hkcu

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://default-homepage-network.com/start.cgi?new-hklm
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://server224.smartbotpro.net/7search/?new-hklm

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.seekseek.com/quicksearch...4&version_id=18

O2 - BHO: DefaultSearch.SeekSeek - {5074851C-F67A-488E-A9C9-C244573F4068} - C:\WINDOWS\ieasst.dll

O4 - HKLM\..\Run: [slmss] C:\Program Files\Common Files\slmss\slmss.exe

O4 - HKLM\..\Run: [RunDLL] rundll32.exe "C:\WINDOWS\System32\bridge.dll",Load

O4 - HKLM\..\Run: [lkl] C:\WINDOWS\lkl.exe
O4 - HKLM\..\Run: [wjmtmt] C:\WINDOWS\wjmtmt.exe
O4 - HKLM\..\Run: [fash] C:\WINDOWS\fash.exe


O4 - Global Startup: Adobe Gamma Loader.lnk = ?
O4 - Global Startup: PCSuiteForNokia6600 Detect.lnk = ?
O4 - Global Startup: PCSuiteForNokia6600 TS.lnk = ?

Hallo MisterretsiM,
Verplaats eerst Hijack This naar een eigen, aparte map en scan dan nog eens. Hijack This maakt namelijk backups in de map waarin hij wordt gedraaid. In jouw geval gaat dat niet.

Op de eerste plaats download CWShredder, maar run hem nog niet.

Vink de bovenstaande items aan in Hijack This en sluit alle vensters behalve Hijack This zelf.
Druk nu op de knop "Fix Checked"

Herstart de pc in veilige modus en verwijder (mits ze nog bestaan)
C:\WINDOWS\lkl.exe
C:\WINDOWS\wjmtmt.exe
C:\WINDOWS\fash.exe
C:\WINDOWS\System32\bridge.dll
C:\Program Files\Common Files\slmss\ <-- hele map
Start nu CWShredder op (nog steeds in veilige modus) en klik op "Fix"
Volg verder de aanwijzingen.

Herstart daarna de PC weer normaal op en scan nog maals met Hijack This en doe een online virusscan bij housecall.

Succes,
Olav

 

[Olav]

Geplaatst door smallcat
Hallo Olav,

Ik kon het bestand "PSP1RESX.exe niet vinden, ook niet in de systeem- en verborgen bestanden.

V.w.b. de CWS.Smartsearch.2. Ik heb het leesvoer wat je opgegeven had doorgelezen. Moet ik daar nog wat mee? Er staat nl. "CWShredder has been updated to circumvent this", dus als ik CWShredder weer run (als ik 'm geupdated heb), moet het goed zijn, toch?

Onderstaand nogmaals de log ter controle.

Uitkijkend naar je bericht,
groetjes,
Ineke

Hallo Ineke,
Je log lijkt schoon, op 2 items na...

C:\WINDOWS\System32\CARDDLGS.exe
O4 - HKLM\..\Run: [CARDDLGS] C:\WINDOWS\System32\CARDDLGS.exe

ik durf te wedden dat je die ook niet kan vinden op je PC net zoals PSP1RESX.exe. Ik denk dat ze beide de zelfde oorzaak hebben, een CWS variant.

In principe zal je als je met CWShredder draait (bijvoorkeur in veilige modus) voor de meeste gevallen "genezen" zijn, maar zoals aan alles, zit hier ook een grote "maar" aan....
Als jij een variant hebt die CWShredder nog niet kent, of nog niet mee uit de voeten kan, dan kan CWShredder nog zo'n goed programma zijn, maar helpen kan die je dan niet op dat moment.

Succes,
Olav

 

[Olav]

Geplaatst door dekiev
Hallo Pieter
Ik heb hier een log van een vriend die mij gevraagd heeft zijn log hier op het forum te plaatsen.
Hij heeft al gescand met adaware, maar blijft toch last houden van spyware, zou je er naar kunnen kijken.
alvast bedankt.

C:\WINDOWS\sysupd.exe <--- Supova worm

R3 - URLSearchHook: FiltURL Class - {5038FED1-CEFE-11D2-9E74-00A0C945A948} - C:\PROGRA~1\netex\URLSEA~1.DLL (file missing)

O2 - BHO: (no name) - {9CEAD7B2-1074-5BFF-7E64-F2F97E16067D} - (no file)

O4 - HKLM\..\Run: [SysUpd] C:\WINDOWS\sysupd.exe <--- Supova worm
O9 - Extra button: Searchalot (HKCU)
O14 - IERESET.INF: START_PAGE_URL=http://www.searchalot.com


O16 - DPF: {77E32299-629F-43C6-AB77-6A1E6D7663F6} - http://www.3dgroove.com/download/GrooveAX.cab

Hallo dekiev,
Er zitten een iets raars in die log:--->
C:\Documents and Settings\Etay Herz\Desktop\Internet explorer.EXE <---- Dit vind ik heel vreemd volgens mij hoort Internet Explorer.exe niet op je desktop thuis. Scan dit bestand eens hier

Vink de bovenstaande items (in de quote) aan in Hijack This, sluit alle vensters behalve Hjack This en klik op Fix Checked.

Ga daarna naar hier voor de verwijder instructies van die Supova worm en verwijder die worm

Succes,
Olav

 

[Olav]

Re: Hellup

Geplaatst door Carla a
O16 - DPF: {841A9192-5690-11D4-A258-0040954A01BE} - http://dialxs.nl/install/dialxs.ocx

Hoi Carla,
Mits ik niets over het hoofd zie, dan is je log schoon op dat 1e dingetje na.
Vink die aan in Hijack This, sluit alle vensters behalve Hijack This en klik op "Fix Checked"
Herstart de PC en die dailer mag dan niet meer voorkomen in je Hijack This log.

Welke problemen heb je verder nog, waardoor je computer niet meer werkt zoals hij hoort?

Succes,
Olav

 

[SpeedyOnline]

Hallo allemaal,

Ik zat daarnet mn system32 map beetje te doorlopen en zag toen een bestandje staan wat voor het laatst gewijzigd was op een moment dat mn pc uit stond: CmdLineExt03.dll ... misschien kent iemand het van naam. Ik heb het in een andere map gezet (uit de windows map iig).

Ik heb toen een spyware en een adaware scan gedaan zonder resultaten, is mijn hijack log ook schoon ??
ogfile of HijackThis v1.97.5
Scan saved at 0:17:18, on 20-5-2004
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\Program Files\ISS\BlackICE\blackd.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\nvsvc32.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\mspmspsv.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\Explorer.EXE
C:\Program Files\Messenger Plus! 2\MsgPlus.exe
C:\Program Files\Common Files\Logitech\QCDriver3\LVCOMS.EXE
C:\WINNT\system32\spool\drivers\w32x86\3\hpztsb04.exe
C:\Program Files\ISS\BlackICE\blackice.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\Program Files\mIRC\mirc.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Winamp\winamp.exe
C:\Program Files\Lavasoft\Ad-aware 6\Ad-aware.exe
C:\Program Files\Spybot - Search & Destroy\SpybotSD.exe
C:\Ruud\Zipbestanden\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://shop.informatique.nl/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\system32\msdxm.ocx
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [MessengerPlus2] "C:\Program Files\Messenger Plus! 2\MsgPlus.exe"
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINNT\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [LVCOMS] C:\Program Files\Common Files\Logitech\QCDriver3\LVCOMS.EXE
O4 - HKLM\..\Run: [LogitechGalleryRepair] C:\Program Files\Logitech\ImageStudio\ISStart.exe
O4 - HKLM\..\Run: [LogitechImageStudioTray] C:\Program Files\Logitech\ImageStudio\LogiTray.exe
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINNT\system32\spool\drivers\w32x86\3\hpztsb04.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINNT\system32\NeroCheck.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKCU\..\Run: [MessengerPlus2] "C:\Program Files\Messenger Plus! 2\MsgPlus.exe" /WinStart
O4 - HKCU\..\Run: [LDM] \Program\BackWeb-8876480.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
O4 - Global Startup: BlackICE Utility.lnk = C:\Program Files\ISS\BlackICE\blackice.exe
O4 - Global Startup: Logitech Desktop Messenger.lnk = C:\Program Files\Logitech\Desktop Messenger\8876480\Program\LDMConf.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: Poort voor Symantec Fax Starter Edition.lnk = C:\Program Files\Microsoft Office\Office\1043\OLFSNT40.EXE
O16 - DPF: FreedomAudio - http://daniel.white11.users.btopenworld.com/freedominstaller.cab
O16 - DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) - http://www.cult3d.com/download/cult.cab
O16 - DPF: {62475759-9E84-458E-A1AB-5D2C442ADFDE} - http://a1540.g.akamai.net/7/1540/52....com/mickey/nl/win/QuickTimeFullInstaller.exe
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?37992.3952083333
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab
O16 - DPF: {FE8287E9-5F43-11D3-ABCA-00105A5C1F46} (HouseCall Control) - http://www.housecall.nl/housecall/xscan4.cab

 

[Olav]

Geplaatst door Berend Jan
Hoi Pieter,

ik heb t probleem dat mijn startpagina steeds verandert. de map verwijderen werkt niet dus heb jou aanpak maar eens geprobeerd.

hier heb je mijn logs:

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = file:///C:/Program%20Files/Onlinedirect/Portal/portal.html

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Startpagina = file:///C:/Program%20Files/Onlinedirect/Portal/portal.html

O4 - HKLM\..\Run: [BIL] C:\WINDOWS\BIL.exe

O4 - HKCU\..\Run: [Red Swoosh EDN Client] C:\Program Files\RSNet\RSEDNClient.exe

O16 - DPF: {03F998B2-0E00-11D3-A498-00104B6EB52E} (MetaStreamCtl Class) - https://components.viewpoint.com/MT.../explore/3d.asp
O16 - DPF: {1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB} - http://ak.imgfarm.com/images/nocach...etup1.0.0.8.cab
O16 - DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) - http://www.cult3d.com/download/cult.cab

Hallo Berend Jan
Ook aan jou de vraag, wanneer ga je je Windows en Internet Explorer eens updaten? Dat scheelt al de helft van de problemen.

Zet ook je Hijack This in een andere, aparte, eigen map. Hijack This maakt backupd van de objecten die hij verwijderd en die komen op jouw manier dus op je desktop, dat wil je niet.

Download CWShredder hier maar run hem nog niet.
Vink de bovenstaande items aan in Hijack This, sluit alle vensters behalve Hijack This en klik op Fix Checked.

Herstart daarna je pc in veilige modus en verwijder:
C:\Program Files\RSNet\ <-- Hele map
C:/Program Files/Onlinedirect/ <-- Hele map
Herstart de PC nog NIET, maar start CWShredder op en klik op de knop FIX en volg de aanwijzingen.

Herstart daarna de PC weer normaal op en update onmiddelijk Windows en Internet explorer via de link die ik hierboven gaf.
Scan na de update en heropstarten nog eens met Hijack This.

Succes,
Olav

 

[MisterretsiM]

Geplaatst door Olav


Hallo MisterretsiM,
Verplaats eerst Hijack This naar een eigen, aparte map en scan dan nog eens. Hijack This maakt namelijk backups in de map waarin hij wordt gedraaid. In jouw geval gaat dat niet.

Op de eerste plaats download CWShredder, maar run hem nog niet.

Vink de bovenstaande items aan in Hijack This en sluit alle vensters behalve Hijack This zelf.
Druk nu op de knop "Fix Checked"

Herstart de pc in veilige modus en verwijder (mits ze nog bestaan)
C:\WINDOWS\lkl.exe
C:\WINDOWS\wjmtmt.exe
C:\WINDOWS\fash.exe
C:\WINDOWS\System32\bridge.dll
C:\Program Files\Common Files\slmss\ <-- hele map
Start nu CWShredder op (nog steeds in veilige modus) en klik op "Fix"
Volg verder de aanwijzingen.

Herstart daarna de PC weer normaal op en scan nog maals met Hijack This en doe een online virusscan bij housecall.

Succes,
Olav

Mag ik je hartelijk danken Olav? Het werkt weer praktisch naar behoren. Ik heb nog 1 vraagje (ik weet niet of ik die hier moet plaatsen of ergens anders): als ik mijn computer opstart wordt de c:\program files\common-map geopend. Hoe kom ik hier vanaf?

 

[Olav]

Re: reactie op bericht van Pieter

Geplaatst door jpalotz
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://search-world.net/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.alltheweb.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = http://search-world.net/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = http://www.alltheweb.com/

R3 - URLSearchHook: (no name) - _{5D60FF48-95BE-4956-B4C6-6BB168A70310} - (no file)

O4 - HKLM\..\Run: [Sex] IEXPLORE.EXE http://search-world.net/
O4 - HKLM\..\RunServices: [Sex] IEXPLORE.EXE http://search-world.net/
O16 - DPF: {11111111-1111-1111-1111-111111111123} - ms-its:mhtml:file://C:\ss.MHT!http://64.237.47.178//chm.chm::/1/e.exe
O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://207.188.7.150/06515a6300000e...ip/RdxIE601.cab
O16 - DPF: {841A9192-5690-11D4-A258-0040954A01BE} - http://dialxs.nl/install/dialxs.ocx

Hallo jpaloz,
Je bent nog niet helemaal schoon.
Download de laatste CWShredder (direct download link), maar start hem nog niet.

Klik de bovenstaande zaken aan in Hijaxck This en sluit alle schermen, behalve Hijack This zelf. (dus ook alle internet explorer schermen, MSN uitschakelen, etc etc)
Klik daar op Fix Checked.

Herstart daarna de pc in veilige modus en verwijder dan:
C:\ss.MHT
Nu in de veilige modus, open dan CWShredder, klik op de knop Fix en volg de aanwijzingen.
Daarna opstarten in normale modus en scan nog eens met Hijack This.

Succes,
Olav

 

[Olav]

Geplaatst door MisterretsiM


Mag ik je hartelijk danken Olav? Het werkt weer praktisch naar behoren. Ik heb nog 1 vraagje (ik weet niet of ik die hier moet plaatsen of ergens anders): als ik mijn computer opstart wordt de c:\program files\common-map geopend. Hoe kom ik hier vanaf?

Daar zou ik zo 1 2 3 geen antwoord op weten, misschien kan je die vraag beter stellen in 1 van de Windows XP secties.

Succes,
Olav

 

[Marie1]

al enige maanden heb ik last van het volgende:
regelmatig start DAP automatisch op en vraagt me of ie het volgende mag downloaden: ftp\breakingoffellowship.mp3

Ik kan de bron niet vinden.
Diverse spywarezoekers traceren het niet.
ook bij Bitdefender niets

Daarom graag jullie hulp.


ogfile of HijackThis v1.97.7
Scan saved at 1:34:09, on 20-5-2004
Platform: Windows ME (Win9x 4.90.3000)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\PROGRAM FILES\NETWORK ASSOCIATES\VIRUSSCAN\AVSYNMGR.EXE
C:\PROGRAM FILES\NETWORK ASSOCIATES\VIRUSSCAN\VSSTAT.EXE
C:\WINDOWS\EXPLORER.EXE
C:\PROGRAM FILES\NETWORK ASSOCIATES\VIRUSSCAN\VSHWIN32.EXE
C:\PROGRAM FILES\NETWORK ASSOCIATES\VIRUSSCAN\AVCONSOL.EXE
C:\WINDOWS\SYSTEM\STIMON.EXE
C:\WINDOWS\SYSTEM\PSTORES.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\PROGRAM FILES\INTERNET EXPLORER\IEXPLORE.EXE
C:\PROGRAM FILES\MSN MESSENGER\MSNMSGR.EXE
D:\HT\HIJACKTHIS.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.nl
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.nl
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: (no name) - {0000CC75-ACF3-4cac-A0A9-DD3868E06852} - C:\PROGRAM FILES\DAP\DAPBHO.DLL
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAM FILES\ADOBE\ACROBAT 5.0\READER\ACTIVEX\ACROIEHELPER.OCX
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O3 - Toolbar: DAP Bar - {62999427-33FC-4baf-9C9C-BCE6BD127F08} - C:\PROGRAM FILES\DAP\DAPIEBAR.DLL
O4 - HKLM\..\RunServices: [McAfeeVirusScanService] C:\Program Files\Network Associates\VirusScan\AVSYNMGR.EXE
O8 - Extra context menu item: &Download with &DAP - C:\PROGRA~1\DAP\dapextie.htm
O8 - Extra context menu item: Download &all with DAP - C:\PROGRA~1\DAP\dapextie2.htm
O9 - Extra button: Real.com (HKLM)
O9 - Extra button: Run DAP (HKLM)
O12 - Plugin for .spop: C:\PROGRA~1\INTERN~1\Plugins\NPDocBox.dll
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/ansi/iuctl.CAB?37944.0847685185
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: {3E68E405-C6DE-49FF-83AE-41EE9F4C36CE} (Office Update Installation Engine) - http://office.microsoft.com/officeupdate/content/opuc.cab
O16 - DPF: {90C9629E-CD32-11D3-BBFB-00105A1F0D68} (InstallShield International Setup Player) - http://www.installengine.com/engine/isetup.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab
O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab
O16 - DPF: {80DD2229-B8E4-4C77-B72F-F22972D723EA} (AvxScanOnline Control) - http://www.bitdefender.com/scan/Msie/bitdefender.cab
O16 - DPF: {C3DFA998-A486-11D4-AA25-00C04F72DAEB} (MSN Photo Upload Tool) - http://sc.groups.msn.com/controls/PhotoUC/MsnPUpld.cab
O16 - DPF: {DF780F87-FF2B-4DF8-92D0-73DB16A1543A} (PopCapLoader Object) - http://zone.msn.com/bingame/zuma/default/popcaploader_v5.cab
O16 - DPF: {9AA73F41-EC64-489E-9A73-9CD52E528BC4} (ZoneAxRcMgr Class) - http://zone.msn.com/binGame/ZAxRcMgr.cab


Bijvoorbaat hartelijk dank

 

[Olav]

Geplaatst door SpeedyOnline
Hallo allemaal,

Ik zat daarnet mn system32 map beetje te doorlopen en zag toen een bestandje staan wat voor het laatst gewijzigd was op een moment dat mn pc uit stond: CmdLineExt03.dll ... misschien kent iemand het van naam. Ik heb het in een andere map gezet (uit de windows map iig).

Ik heb toen een spyware en een adaware scan gedaan zonder resultaten, is mijn hijack log ook schoon ??

Hoi SpeedyOnline,
je log ziet er inderdaad schoon uit, geen gekke dingen.
die dll waar je het over hebt... als je op Google zoekt naar die dll kom je een hoop dingen uit nieuwsgroepen tegen met een waarschuwing. Niets van aantrekken, die zijn allemaal nep.
Het enige beetje zinnige wat ik er over vond was een Duitser die het dll-etje kreeg na het installeren van het spel Max Payne 2.
Misschien heb je die zelf ook?
Succes,
Olav

 

[Olav]

Geplaatst door Marie1
al enige maanden heb ik last van het volgende:
regelmatig start DAP automatisch op en vraagt me of ie het volgende mag downloaden: ftp\breakingoffellowship.mp3

Ik kan de bron niet vinden.
Diverse spywarezoekers traceren het niet.
ook bij Bitdefender niets

Daarom graag jullie hulp.

Bijvoorbaat hartelijk dank

De oorzaak hiervan zit je in de verkeerde hoek te zoeken. Die download zit in DAP zelf vast, lees: "blijft hangen".
ik denk als je DAP eens goed na kijkt, dat die mp3 ergens in de overzichten staat van niet afgemaakte downloads. DAP probeert hem dan te downloaden op het moment dat hij weer opstart.
DAP zit bij jou in je opstart, dus op het moment dat je opstart, zal hij er ook om vragen te mogen downloaden.

Als je het in DAP niet kan vinden, dan denk ik dat als je DAP de-installeert en opnieuw installeert je ook van het probleem verlost bent.

Succes,
Olav