Helpmij tegen spyware offensief (deel 5)

Olav · 30 mei 2004

Geplaatst door Chris10e

Hai Olav,
misschien heb ik te snel geroepen ;-)
Ik heb mijn computer nu echt uitgezet en daarna weer aan en ben 'm nu niet tegengekomen.
Dusssss.

Maar inderdaad, als ik 'm nog een keer zie weet ik je te vinden.
Nogmaals hartstikke bedankt, en zeker dat je zo snel reageert.

Groeten
Chris

Hallo Chris,
voor je inderdaad te hard roept, wil je voor de zekerheid nog eens met CWShredder scannen?
Ik vertrouw die "ifdkup.dll" namelijk niet helemaal.

Succes,
Olav

Pieter Arntz · 30 mei 2004

Re: Logfile

Geplaatst door Delilah

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://prosearching.com/searchbar.html

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://prosearching.com/passthrough...Program Files/Onlinedirect/Portal/portal.html[/url]

R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://prosearching.com/searchbar.html

R1 - HKLM\Software\Microsoft\Internet Explorer,SearchURL = http://awebfind.biz/sp.htm

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://prosearching.com/searchbar.html

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://awebfind.biz/

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://prosearching.com/searchbar.html

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Startpagina = file:///C:/Program%20Files/Onlinedirect/Portal/portal.html

F2 - REG:system.ini: UserInit=C:\WINDOWS\System32\userinit.exe,C:\WINDOWS\System32\svcinit.exe
O2 - BHO: (no name) - {2A98D11A-AAAD-EE92-93AA-C1173A94AC9F} - C:\PROGRA~1\REGSAB~1\thatmp3.dll

O2 - BHO: (no name) - {5DAFD089-24B1-4c5e-BD42-8CA72550717B} - C:\Program Files\SurfAssistant.com\saiemod.dll
O2 - BHO: (no name) - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\WINDOWS\DOWNLOADED PROGRAM FILES\YCOMP4,0,2,3.DLL (file missing)

O3 - Toolbar: DartGrey - {10565602-E0A1-F5C0-C636-B08FFCC4B1CA} - C:\PROGRA~1\REGSAB~1\thatmp3.dll

O4 - HKLM\..\Run: [Soundmx] \soundmx.exe
O4 - HKLM\..\Run: [Pile web] C:\PROGRA~1\MPEGAC~1\binplay.exe
O4 - HKLM\..\Run: [winactive] C:\Program Files\Window Active\winactive.exe

O15 - Trusted Zone: *.flingstone.com
O15 - Trusted Zone: *.offshoreclicks.com
O15 - Trusted Zone: *.waitsex.com
O16 - DPF: Win32 Classes -

O16 - DPF: {841A9192-5690-11D4-A258-0040954A01BE} (DialXSCtl Object) - http://dialxs.nl/install/dialxs.ocx

O16 - DPF: {AD7FAFB0-16D6-40C3-AF27-585D6E6453FD} -

Hoi Delilah,

Vink de bovenstaande aan, sluit alle vensters behalve HijackThis en klik op Fix checked.

Download en run CWShredder
Gebruiik de Fix knop en let goed op de aanwijzingen.

Start daarna opnieuw op in veilige modus en verwijder:
C:\Program Files\Onlinedirect <= de hele map
C:\Program Files\SurfAssistant.com <= de hele map
C:\Program Files\Window Active <= de hele map

Groetjes,

Pieter

Olav · 30 mei 2004

Geplaatst door T._de_vries

Jeuh, ze zijn weg hoor!

Ik kon ze gewoon handmatig verwijderen..

Bedankt voor jullie hulp!

Greetz,
Timothy

Graag gedaan

Olav

Olav · 30 mei 2004

Geplaatst door win39
Beste ,

En nu van mijn desktop , waarmee ik eigenlijk geen problemen heb.

Ook hier heeft spybot eerst wat rommel verwijderd.

Interessant is misschien te vergelijken met de log van mijn laptop ( zie hiervoor ) die duidelijk wel geïnfecteerd is , o.m. met incredifind.

Alvast bedankt !!

C:\Program Files\Support.com\bin\tgcmd.exe

O4 - HKLM\..\Run: [tgcmd] "C:\Program Files\Support.com\bin\tgcmd.exe" /server /startmonitor

Hallo Win39,
In principe schoon, alleen de bovenste 2 heb je niet echt nodig.
Het is een tool die wel vaker mee geleverd wordt met installaties voor bepaalde hardware of sommige Providers om data te vergaren voor support voor als je problemen o.i.d. zou hebben.
Zodoende wordt het ook gezien als "spyware" omdat het data verzamelt over wat er op je PC draait en dit door kan sturen.

Als je ze kwijt wilt, kan je ze in Hijack This aanvinken, alle schermen sluiten en dan op "Fix Checked" klikken.
Herstart daarna de PC.

Succes,
Olav

Tuup · 30 mei 2004

Bedankt Pieter,

voor uw hulp bij het oplossen van mijn probleem. Ben blij dat m'n pc weer schoon is. Alleen nog één opmerking; de ''link'' naar het schoonhouden van de pc werkt (bij mij) niet. Ligt het aan mij of is deze niet meer beschikbaar? Met vriendelijke groeten en hartelijke dank;

Olav · 30 mei 2004

Re: Bedankt Pieter,

Geplaatst door Tuup
voor uw hulp bij het oplossen van mijn probleem. Ben blij dat m'n pc weer schoon is. Alleen nog één opmerking; de ''link'' naar het schoonhouden van de pc werkt (bij mij) niet. Ligt het aan mij of is deze niet meer beschikbaar? Met vriendelijke groeten en hartelijke dank;

bedoel je deze in het eerste bericht van Mario?
Hier doet hij het gewoon.

Succes,
Olav

Tuup · 30 mei 2004

Dag Olav,

die ''link'' bedoel ik inderdaad. Als ik er op klik krijg ik '' deze pagina kan niet worden weergegeven''. De rest van de ''links '' ,waarnaar wordt verwezen, werken allemaal perfect.

mvg;

Olav · 30 mei 2004

Re: Dag Olav,

Geplaatst door Tuup
die ''link'' bedoel ik inderdaad. Als ik er op klik krijg ik '' deze pagina kan niet worden weergegeven''. De rest van de ''links '' ,waarnaar wordt verwezen, werken allemaal perfect.

mvg;

Ik voeg de tekst die er staat als bijlage toe in deze post.
Ik heb de links er hier en daar tussen haakjes achter gezet als de link niet in de tekst zelf staat.

Succes,
Olav

Tuup · 30 mei 2004

Olav,

Hartelijk bedankt voor de moeite. Heb het gedownload en zal het doornemen. Goed weekend verder. mvg;

Olav · 30 mei 2004

Re: Olav,

Geplaatst door Tuup
Hartelijk bedankt voor de moeite. Heb het gedownload en zal het doornemen. Goed weekend verder. mvg;

Graag gedaan Tuup, jij ook nog een prettig weekend :thumb:

win39 · 30 mei 2004

Beste ,

vooreerst hartelijk dank voor uw bliksemsnelle reactie !!!

Opdracht volbracht ...

Hallo Win39,
Op de eerste plaats kom ik hier 3 programma's tegen waarvan ik flauw idee heb wat ze zijn:
- C:\WINDOWS\System32\powerman.exe
- C:\WINDOWS\System32\PRISMSTA.EXE
- C:\WINDOWS\System32\Utility.exe
Ze kunnen alle zowel goed als slecht zijn.
Misschien ken jij ze wel of zegt het jou iets?
(of misschien iemand anders?)

powerman = heeft te maken met status batterij laptop
Prism = draadloze netwerkkaart
utility = mij ook onbekend : schuine gele "u" op blauwe achtergrond

Vink in ieder geval de bovenstaande items(zie quote) aan in Hijack This, sluit alle schermen behalve Hijack This zelf en klik op "Fix Checked"

Herstart daarna de PC in veilige modus en verwijder (mits aanwezig):
C:\PROGRAM FILES\INCREDIFIND\ <--- hele map
C:\Program Files\Support.com\ <--- hele map
C:\Program Files\Common files\updater\ <--- hele map

C:\WINDOWS\System32\wbfhqwby.exe <--- bestand
C:\WINDOWS\System32\SahAgent.exe <--- bestand
C:\WINDOWS\alchem.exe <--- bestand

Wat ik niet heb verwijderd is =
C:\Program Files\Support.com\

en 04- HKLM .......Support.Com\bin\tgcmd.exe

Als ik mij niet vergis komt dit van de ADSL - internet provider , zie trouwens ook uw bericht bij de log van mijn desktop.

Ik stel wel vast dat nog steeds in system 32 van windows de volgende bestanden zitten :

SAHagent1019.exe en SAHTML.exe : moeten deze ook niet verwijderd worden ?

Hartelijk dank !!

Herstart daarna de PC weer normaal op.

Succes,

win39 · 31 mei 2004

Olav,

Excuus voor het vorige wat slordige bericht , ben ook nog maar een " junior member "...

Ik vond ook nog het volgende rare bestandje :

Updater Install_112.exe

Mag ook dat verwijderd worden ?

Thanks !!!!

keano · 31 mei 2004

Ik heb we; een paar specifieke klachten, maar i.p.v een nieuwe topic openen, d8 ik dan maa rhier zetten, als je het neit weet dan open ik wel een nieuwe topic.
Klacht1: sommige webpagina's kan ik niet openen, zoals, canisius.nl, simplemp3s.com....ik zie dan wel de website mar nar 0,5-1 seconde gaat ie weer weg

Klacht2: ik heb de heel tijd een programma op de achtergrond aan, "sp" ik ken het niet:S:S

b.v.d
Logfile of HijackThis v1.97.7
Scan saved at 0:11:58, on 31-5-2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\CA\eTrust Antivirus\InoRpc.exe
C:\Program Files\CA\eTrust Antivirus\InoRT.exe
C:\Program Files\CA\eTrust Antivirus\InoTask.exe
C:\Program Files\CA\SharedComponents\CA_LIC\LogWatNT.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\Explorer.EXE
C:\PROGRA~1\CA\ETRUST~1\realmon.exe
C:\WINDOWS\Dit.exe
C:\WINDOWS\CNYHKey.exe
C:\Program Files\Home Cinema\PowerCinema\PCMService.exe
C:\Program Files\Messenger Plus! 2\MsgPlus1.exe
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\WINDOWS\System32\P2P Networking\P2P Networking.exe
C:\Program Files\Common Files\Microsoft Shared\Works Shared\WkUFind.exe
C:\WINDOWS\wt\updater\wcmdmgr.exe
C:\WINDOWS\nugnnbz.exe
C:\WINDOWS\DitExp.exe
C:\Program Files\Internet Optimizer\optimize.exe
C:\Program Files\ISTsvc\istsvc.exe
C:\Program Files\Messenger\Msmsgs.exe
C:\sp.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Documents and Settings\Robert\Mijn documenten\hijackthis\hg\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.couldnotfind.com/search_page.html?&account_id=146156
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.couldnotfind.com/search_page.html?&account_id=146156
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.couldnotfind.com/search_page.html?&account_id=146156
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
R3 - URLSearchHook: (no name) - _{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file)
O2 - BHO: (no name) - {000020DD-C72E-4113-AF77-DD56626C6C42} - C:\WINDOWS\twaintec.dll
O2 - BHO: (no name) - {0000CC75-ACF3-4cac-A0A9-DD3868E06852} - C:\Program Files\DAP\DAPBHO.dll
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {3566BE5A-CF67-47A5-AB16-265FC04E588F} - C:\WINDOWS\knjic.dll
O2 - BHO: (no name) - {44AF5221-A43E-224E-56BA-ABCD43C344D1} - C:\PROGRA~1\MAGELL~1\DOWNLO~1\dboostie.dll
O2 - BHO: (no name) - {6AF531B0-6EAF-46EF-B711-5FBD1A8D9819} - C:\WINDOWS\jgone.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Program Files\Canon\Easy-WebPrint\Toolband.dll
O3 - Toolbar: ISTbar - {5F1ABCDB-A875-46c1-8345-B72A4567E486} - C:\Program Files\ISTbar\istbar.dll
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [Realtime Monitor] C:\PROGRA~1\CA\ETRUST~1\realmon.exe -s
O4 - HKLM\..\Run: [SiSUSBRG] C:\WINDOWS\SiSUSBrg.exe
O4 - HKLM\..\Run: [Dit] Dit.exe
O4 - HKLM\..\Run: [CHotkey] mHotkey.exe
O4 - HKLM\..\Run: [ledpointer] CNYHKey.exe
O4 - HKLM\..\Run: [PCMService] "C:\Program Files\Home Cinema\PowerCinema\PCMService.exe"
O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\System32\PSDrvCheck.exe
O4 - HKLM\..\Run: [MessengerPlus2] "C:\Program Files\Messenger Plus! 2\MsgPlus1.exe"
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [P2P Networking] C:\WINDOWS\System32\P2P Networking\P2P Networking.exe /AUTOSTART
O4 - HKLM\..\Run: [wcmdmgr] C:\WINDOWS\wt\updater\wcmdmgrl.exe -launch
O4 - HKLM\..\Run: [CloneCDElbyCDFL] "C:\Program Files\Elaborate Bytes\CloneCD\ElbyCheck.exe" /L ElbyCDFL
O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Program Files\Common Files\Microsoft Shared\Works Shared\WkUFind.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [jbrtvg] C:\WINDOWS\nugnnbz.exe
O4 - HKLM\..\Run: [webHancer Survey Companion] "C:\Program Files\webHancer\Programs\whSurvey.exe"
O4 - HKLM\..\Run: [Internet Optimizer] "C:\Program Files\Internet Optimizer\optimize.exe"
O4 - HKLM\..\Run: [IST Service] C:\Program Files\ISTsvc\istsvc.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\Msmsgs.exe" /background
O4 - HKCU\..\Run: [sp] C:\sp.exe
O8 - Extra context menu item: &Download with &DAP - C:\PROGRA~1\DAP\dapextie.htm
O8 - Extra context menu item: Download &all with DAP - C:\PROGRA~1\DAP\dapextie2.htm
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MI1933~1\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Easy-WebPrint Add To Print List - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_AddToList.html
O8 - Extra context menu item: Easy-WebPrint High Speed Print - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_HSPrint.html
O8 - Extra context menu item: Easy-WebPrint Preview - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_Preview.html
O8 - Extra context menu item: Easy-WebPrint Print - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_Print.html
O9 - Extra button: Run DAP (HKLM)
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Windows Messenger (HKLM)
O10 - Hijacked Internet access by WebHancer
O10 - Hijacked Internet access by WebHancer
O10 - Hijacked Internet access by WebHancer
O14 - IERESET.INF: START_PAGE_URL=http://www.makro.nl/
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab
O16 - DPF: {10000000-1000-0000-1000-000000000000} - ms-its:mhtml:file://C:\foo.mht!http://www.ntsearch.com/popengine/POP.CHM::/sp.exe
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/shockwave/cabs/director/swdir.cab
O16 - DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) - http://www.cult3d.com/download/cult.cab
O16 - DPF: {3E68E405-C6DE-49FF-83AE-41EE9F4C36CE} (Office Update Installation Engine) - http://office.microsoft.com/officeupdate/content/opuc.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?37914.4382407407
O16 - DPF: {AB29A544-D6B4-4E36-A1F8-D3E34FC7B00A} (WTHoster Class) - http://install.wildtangent.com/bgn/partners/nike/nikefz4/install.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: {E0CE16CB-741C-4B24-8D04-A817856E07F4} (IObjSafety.DemoCtl) - http://cabs.roings.com/cabs/mp3.cab
O16 - DPF: {F04A8AE2-A59D-11D2-8792-00C04F8EF29D} (Hotmail Attachments Control) - http://by1fd.bay1.hotmail.msn.com/activex/HMAtchmt.ocx
O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab

Olav · 31 mei 2004

Geplaatst door win39
Olav,

Ik stel wel vast dat nog steeds in system 32 van windows de volgende bestanden zitten :

SAHagent1019.exe en SAHTML.exe : moeten deze ook niet verwijderd worden ?

Klik om te vergroten...

Excuus voor het vorige wat slordige bericht , ben ook nog maar een " junior member "...

Ik vond ook nog het volgende rare bestandje :

Updater Install_112.exe

Mag ook dat verwijderd worden ?

Thanks !!!!

Hallo Win39,
Geen probleem, we vissen er uit wat we nodig hebben

Deze twee: SAHagent1019.exe en SAHTML.exe die mag je zeker weggooien.

Updater Install_112.exe:
Zou je mij dat bestand toe kunnen sturen? Ik stuur je wel een mailtje met mijn email adres.
Daarna mag je hem hernoemen naar Updater Install_112.exe.old, dus gooi hem nog even niet weg. Ik laat je nog wel weten wat je er mee moet doen.

Succes,
Olav

Heero · 31 mei 2004

PC2..

ik heb 2 computers...en deze staat ook weer us vol met spam!

...dus hier nog een log van mij...bedankt van vorige

//**edit; wat doet die p2p installer eik? en heb al paar processes uitgezet lockmeow ofzo en die irritante point manager...maar nog niet met hijack

**\\

log:

Logfile of HijackThis v1.97.7
Scan saved at 0:53:29, on 31-5-2004
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
D:\WINDOWS\System32\smss.exe
D:\WINDOWS\system32\winlogon.exe
D:\WINDOWS\system32\services.exe
D:\WINDOWS\system32\lsass.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\system32\spoolsv.exe
D:\Program Files\McAfee\McAfee VirusScan\Avsynmgr.exe
D:\WINDOWS\System32\nvsvc32.exe
D:\WINDOWS\System32\svchost.exe
D:\Program Files\McAfee\McAfee VirusScan\VsStat.exe
D:\Program Files\McAfee\McAfee VirusScan\Vshwin32.exe
D:\Program Files\Common Files\Network Associates\McShield\Mcshield.exe
D:\WINDOWS\system32\winlogon.exe
D:\WINDOWS\Explorer.EXE
D:\Program Files\McAfee\McAfee VirusScan\VsStat.exe
D:\Program Files\McAfee\McAfee VirusScan\Vshwin32.exe
D:\WINDOWS\Mixer.exe
D:\WINDOWS\System32\RUNDLL32.EXE
C:\PROGRA~1\Altnet\DOWNLO~1\asm.exe
D:\WINDOWS\System32\ctfmon.exe
D:\Program Files\MSN Messenger\msnmsgr.exe
D:\program files\steam\steam.exe
D:\Program Files\Winamp\winamp.exe
C:\Program Files\mIRC\mirc.exe
D:\Program Files\Internet Explorer\IEXPLORE.EXE
D:\Program Files\Outlook Express\msimn.exe
D:\PROGRA~1\Lavasoft\AD-AWA~1\Ad-aware.exe
D:\hijack\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://searchexe.com/searchbar.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://searchexe.com/searchbar.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = searchexe.com
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://searchexe.com/searchbar.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://searchexe.com/searchbar.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://searchexe.com/searchbar.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://searchexe.com/searchbar.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Startpagina = file:///D:/Program%20Files/QuickPage/Portal/portal.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
R3 - URLSearchHook: (no name) - {0428FFC7-1931-45b7-95CB-3CBB919777E1} - (no file)
O2 - BHO: NavErrRedir Class - {00D6A7E7-4A97-456f-848A-3B75BF7554D7} - D:\PROGRA~1\PERFEC~1\BHO\PERFEC~2.DLL
O2 - BHO: myBar BHO - {0494D0D1-F8E0-41ad-92A3-14154ECE70AC} - D:\Program Files\MyWay\myBar\2.bin\MYBAR.DLL
O2 - BHO: (no name) - {C75256CD-3F99-3CEB-BF80-50D8CA07022B} - D:\PROGRA~1\README~1\Flaw bone.dll
O3 - Toolbar: McAfee VirusScan - {ACB1E670-3217-45C4-A021-6B829A8A27CB} - D:\Program Files\McAfee\McAfee VirusScan\VSCShellExtension.dll
O3 - Toolbar: My &Search Bar - {0494D0D9-F8E0-41ad-92A3-14154ECE70AC} - D:\Program Files\MyWay\myBar\2.bin\MYBAR.DLL
O3 - Toolbar: LOVE WARN - {3EAD0CD7-FE9D-2750-AABD-9FDBEF09A644} - D:\PROGRA~1\README~1\Flaw bone.dll
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup
O4 - HKLM\..\Run: [QuickTime Task] "D:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE D:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [updmgr] D:\Program Files\Common files\updmgr\updmgr.exe
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE D:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [P2P Networking] D:\WINDOWS\System32\P2P Networking\P2P Networking.exe /AUTOSTART
O4 - HKLM\..\Run: [AltnetPointsManager] c:\program files\altnet\points manager\points manager.exe -s
O4 - HKLM\..\Run: [BOOB HOPE] D:\PROGRA~1\INFODO~1\LocksMeow.exe
O4 - HKCU\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [msnmsgr] "D:\Program Files\MSN Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [Steam] "d:\program files\steam\steam.exe" -silent
O4 - Global Startup: GStartup.lnk = D:\Program Files\Common Files\GMT\GMT.exe
O8 - Extra context menu item: Download with NetPumper - D:\Program Files\NetPumper\AddUrl.htm
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Windows Messenger (HKLM)
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab
O16 - DPF: {02BCC737-B171-4746-94C9-0D8A0B2C0089} (Microsoft Office Template and Media Control) - http://office.microsoft.com/templates/ieawsdc.cab
O16 - DPF: {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B} (QuickTime Object) - http://www.apple.com/qtactivex/qtplugin.cab
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/shockwave/cabs/director/sw.cab
O16 - DPF: {1D6711C8-7154-40BB-8380-3DEA45B69CBF} (Web P2P Installer) -
O16 - DPF: {1EB17D1C-141D-4D9D-91CB-24D99215851D} - http://akamai.downloadv3.com/binaries/IA/netia32_EN_XP.cab
O16 - DPF: {33564D57-0000-0010-8000-00AA00389B71} - http://download.microsoft.com/download/F/6/E/F6E491A6-77E1-4E20-9F5F-94901338C922/wmv9VCM.CAB
O16 - DPF: {5D9E4B6D-CD17-4D85-99D4-6A52B394EC3B} (WSDownloader Control) - http://www.webshots.com/samplers/WSDownloader.ocx
O16 - DPF: {841A9192-5690-11D4-A258-0040954A01BE} - http://dialxs.nl/install/dialxs.ocx
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab
O16 - DPF: {C4925E65-7A1E-11D2-8BB4-00A0C9CC72C3} (Virtools WebPlayer Class) - http://a532.g.akamai.net/7/532/6712...com/downloads/player/Install2.5/Installer.exe
O16 - DPF: {CEFB7B49-9652-464F-8AFD-A577C0500F39} (EGP2ECOM Class) - http://akamai.downloadv3.com/binaries/P2EClient/EGAUTH_1009_1035_pack_XP.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: {F5192746-22D6-41BD-9D2D-1E75D14FBD3C} - http://download.rfwnad.com/cab/dlaccell.CAB
O16 - DPF: {F630A6F3-F89E-4374-99CC-28A8AA003208} - http://sls.switchpoint.com/Connect/switchpoint/5.1/Starter.cab
O16 - DPF: {FE8287E9-5F43-11D3-ABCA-00105A5C1F46} (HouseCall Control) - http://www.housecall.nl/housecall/xscan4.cab

Olav · 31 mei 2004

Geplaatst door keano
Ik heb we; een paar specifieke klachten, maar i.p.v een nieuwe topic openen, d8 ik dan maa rhier zetten, als je het neit weet dan open ik wel een nieuwe topic.
Klacht1: sommige webpagina's kan ik niet openen, zoals, canisius.nl, simplemp3s.com....ik zie dan wel de website mar nar 0,5-1 seconde gaat ie weer weg

Klacht2: ik heb de heel tijd een programma op de achtergrond aan, "sp" ik ken het niet:S:S

b.v.d
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.couldnotfind.com/search_...count_id=146156
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.couldnotfind.com/search_...count_id=146156
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.couldnotfind.com/search_...count_id=146156
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = about :blank

R3 - URLSearchHook: (no name) - _{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file)
O2 - BHO: (no name) - {000020DD-C72E-4113-AF77-DD56626C6C42} - C:\WINDOWS\twaintec.dll

O2 - BHO: (no name) - {3566BE5A-CF67-47A5-AB16-265FC04E588F} - C:\WINDOWS\knjic.dll

O2 - BHO: (no name) - {6AF531B0-6EAF-46EF-B711-5FBD1A8D9819} - C:\WINDOWS\jgone.dll

O3 - Toolbar: ISTbar - {5F1ABCDB-A875-46c1-8345-B72A4567E486} - C:\Program Files\ISTbar\istbar.dll

O4 - HKLM\..\Run: [wcmdmgr] C:\WINDOWS\wt\updater\wcmdmgrl.exe -launch

O4 - HKLM\..\Run: [jbrtvg] C:\WINDOWS\nugnnbz.exe

O4 - HKLM\..\Run: [Internet Optimizer] "C:\Program Files\Internet Optimizer\optimize.exe"
O4 - HKLM\..\Run: [IST Service] C:\Program Files\ISTsvc\istsvc.exe

O4 - HKCU\..\Run: [sp] C:\sp.exe

O16 - DPF: {10000000-1000-0000-1000-000000000000} - ms-its:mhtml:file://C:\foo.mht!http://www.ntsearch.com/popengine/POP.CHM::/sp.exe

O16 - DPF: {AB29A544-D6B4-4E36-A1F8-D3E34FC7B00A} (WTHoster Class) - http://install.wildtangent.com/bgn/...fz4/install.cab

O16 - DPF: {E0CE16CB-741C-4B24-8D04-A817856E07F4} (IObjSafety.DemoCtl) - http://cabs.roings.com/cabs/mp3.cab

Hallo Keano,
was een goed idee om je log hier neer te zetten, je zit onder de spyware.

Jouw vraag over wat SP.exe is.... dat is een keylogger die probeert passwoorden te capturen.
Die gaan we zo ook verwijderen.

Op de eerste plaats wil ik dat je ad-aware download.
Installeer hem en open hem. Klik rechts onderin op de regel "Check for updates now". Laat hem dan de update binnen halen en installeren.

Sluit hem daarna weer af. Die hebben we zometeen weer nodig.

Vink in Hijack This de bovenstaande items (zie quote) aan en sluit alle schermen behalve Hijack This zelf.
Klik dan op "Fix Checked".

Herstart dan in veilige modus en verwijder:
C:\Program Files\Internet Optimizer\ <-- hele map
C:\Program Files\ISTbar\ <-- hele map
C:\WINDOWS\wt\ <-- hele map
C:\sp.exe <-- bestand
C:\WINDOWS\nugnnbz.exe <-- bestand
C:\WINDOWS\jgone.dll <-- bestand

Nog steeds in veilige modus, start Ad-aware op en laat die runnen. Verwijder alles wat die vindt. Zeker Webhancer!

Start nu de PC op weer in normale modus. Je zal merken dat alles veel soepeler loopt nu.

Achtergrond informatie.
Lees hier én hier meer over wat WebHancer doet met je systeem en je internet connectie.

Een aantal oorzaken van de besmettingen:
simplemp3s.com:
Dit is 1 grote bron van ad- en spy-ware. De tools die je MOET downloaden en installeren om een MP3 of een album te downloaden zitten barstens vol met die troep. Blijf daar dus liever weg.

Messenger Plus: (C:\Program Files\Messenger Plus! 2\MsgPlus1.exe) --> lees hier wat voor troep daar in zit.

WildTangent (C:\WINDOWS\wt\updater\wcmdmgr.exe):
Lees hier Met name het kopje : "Risks / Privacy Issues"

Succes,
Olav

Olav · 31 mei 2004

Re: PC2..

Geplaatst door Heero
ik heb 2 computers...en deze staat ook weer us vol met spam! ...dus hier nog een log van mij...bedankt van vorige

//**edit; wat doet die p2p installer eik? en heb al paar processes uitgezet lockmeow ofzo en die irritante point manager...maar nog niet met hijack **\\

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://searchexe.com/searchbar.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://searchexe.com/searchbar.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = searchexe.com
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://searchexe.com/searchbar.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://searchexe.com/searchbar.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://searchexe.com/searchbar.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://searchexe.com/searchbar.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Startpagina = file:///D:/Program%20Files/QuickPage/Portal/portal.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
R3 - URLSearchHook: (no name) - {0428FFC7-1931-45b7-95CB-3CBB919777E1} - (no file)
O2 - BHO: NavErrRedir Class - {00D6A7E7-4A97-456f-848A-3B75BF7554D7} - D:\PROGRA~1\PERFEC~1\BHO\PERFEC~2.DLL
O2 - BHO: myBar BHO - {0494D0D1-F8E0-41ad-92A3-14154ECE70AC} - D:\Program Files\MyWay\myBar\2.bin\MYBAR.DLL
O2 - BHO: (no name) - {C75256CD-3F99-3CEB-BF80-50D8CA07022B} - D:\PROGRA~1\README~1\Flaw bone.dll

O3 - Toolbar: My &Search Bar - {0494D0D9-F8E0-41ad-92A3-14154ECE70AC} - D:\Program Files\MyWay\myBar\2.bin\MYBAR.DLL
O3 - Toolbar: LOVE WARN - {3EAD0CD7-FE9D-2750-AABD-9FDBEF09A644} - D:\PROGRA~1\README~1\Flaw bone.dll

O4 - HKLM\..\Run: [updmgr] D:\Program Files\Common files\updmgr\updmgr.exe

O4 - HKLM\..\Run: [P2P Networking] D:\WINDOWS\System32\P2P Networking\P2P Networking.exe /AUTOSTART
O4 - HKLM\..\Run: [AltnetPointsManager] c:\program files\altnet\points manager\points manager.exe -s
O4 - HKLM\..\Run: [BOOB HOPE] D:\PROGRA~1\INFODO~1\LocksMeow.exe

O4 - Global Startup: GStartup.lnk = D:\Program Files\Common Files\GMT\GMT.exe

O16 - DPF: {1D6711C8-7154-40BB-8380-3DEA45B69CBF} (Web P2P Installer) -
O16 - DPF: {1EB17D1C-141D-4D9D-91CB-24D99215851D} - http://akamai.downloadv3.com/binaries/IA/netia32_EN_XP.cab

O16 - DPF: {841A9192-5690-11D4-A258-0040954A01BE} - http://dialxs.nl/install/dialxs.ocx

O16 - DPF: {C4925E65-7A1E-11D2-8BB4-00A0C9CC72C3} (Virtools WebPlayer Class) - http://a532.g.akamai.net/7/532/6712...com/downloads/player/Install2.5/Installer.exe
O16 - DPF: {CEFB7B49-9652-464F-8AFD-A577C0500F39} (EGP2ECOM Class) - http://akamai.downloadv3.com/binaries/P2EClient/EGAUTH_1009_1035_pack_XP.cab

O16 - DPF: {F5192746-22D6-41BD-9D2D-1E75D14FBD3C} - http://download.rfwnad.com/cab/dlaccell.CAB
O16 - DPF: {F630A6F3-F89E-4374-99CC-28A8AA003208} - http://sls.switchpoint.com/Connect/switchpoint/5.1/Starter.cab

zucht ....

Hallo Heroo
Download eerst CWShredder, maar start hem nog niet op.

Vink in Hijack This alle bovenstaande items aan en sluit vervolgens alle schermen behalve Hijack This zelf.
Klik vervolgens op "Fix Checked"

Herstart dan de computer in veilige modus en verwijder:
D:\Program Files\Common Files\GMT\ <-- hele map
D:\PROGRA~1\INFODO~1\ <-- hele map
D:\Program Files\Common files\updmgr\ <-- hele map
D:\Program Files\MyWay\ <-- hele map
D:\PROGRA~1\PERFEC~1\ <-- hele map
D:/Program%20Files/QuickPage/ <-- hele map
c:\program files\altnet\ <-- hele map
D:\WINDOWS\System32\P2P Networking\ <-- hele map

D:\Program Files\Common files\updmgr\updmgr.exe <-- bestand
D:\PROGRA~1\INFODO~1\LocksMeow.exe <-- bestand

Leeg je prullenbak.

Let op:
c:\program files\altnet\ EN D:\WINDOWS\System32\P2P Networking\ zijn beide onderdeel van kazaa
Als je van Kazaa gebruik maakt, dan gaat ie hierna niet meer werken. Deinstalleer Kazaa daarom en stap over op Kazaa Lite++

Blijf in veilige modus en start nu CWShredder op. Klik op de knop "Fix" en volg de aanwijzingen.

Herstart de PC daarna weer gewoon op en
UPDATE je windows en Internet explorer!

Controleer nogmaals met Hijack This of alles echt weg is.

Succes,
Olav

phos · 31 mei 2004

Logfile of HijackThis v1.97.7
Scan saved at 2:19:41, on 18-5-2004
Platform: Windows ME (Win9x 4.90.3000)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\MSTASK.EXE
C:\PROGRAM FILES\MESSENGER PLUS! 2\MSGPLUS.EXE
C:\WINDOWS\SYSTEM\RESTORE\STMGR.EXE
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\SYSTEM\RPCSS.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\PROGRAM FILES\COMPAQ\EASY ACCESS BUTTON SUPPORT\CPQEADM.EXE
C:\COMPAQ\CPQINET\CPQINET.EXE
C:\WINDOWS\SYSTEM\HIDSERV.EXE
C:\PROGRAM FILES\COMPAQ\DIGITAL DASHBOARD\DEVGULP.EXE
C:\WINDOWS\LOADQM.EXE
C:\PROGRAM FILES\COMPAQ\EASY ACCESS BUTTON SUPPORT\BTTNSERV.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\WINDOWS\APPLICATION DATA\OECM.EXE
C:\PROGRAM FILES\COMMON FILES\MICROSOFT SHARED\WORKS SHARED\WKCALREM.EXE
C:\PROGRAM FILES\MSN MESSENGER\MSNMSGR.EXE
C:\WINDOWS\SYSTEM\SPOOL32.EXE
C:\PROGRAM FILES\COMPAQ\EASY ACCESS BUTTON SUPPORT\EAUSBKBD.EXE
C:\WINDOWS\SYSTEM\STIMON.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\MIJN DOCUMENTEN\HIJACKTHIS\HIJACKTHIS.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer aangeboden door chello broadband n.v.
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\Run: [TaskMonitor] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [PCHealth] C:\WINDOWS\PCHealth\Support\PCHSchd.exe -s
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [Hidserv] Hidserv.exe run
O4 - HKLM\..\Run: [CPQEASYACC] C:\Program Files\Compaq\Easy Access Button Support\cpqeadm.exe
O4 - HKLM\..\Run: [EACLEAN] C:\Program Files\Compaq\Easy Access Button Support\eaclean.exe
O4 - HKLM\..\Run: [CPQInet] c:\compaq\CPQInet\CpqInet.exe
O4 - HKLM\..\Run: [Digital Dashboard] C:\Program Files\Compaq\Digital Dashboard\DevGulp.exe
O4 - HKLM\..\Run: [Service Connection] c:\cpqs\bwtools\sccenter.exe
O4 - HKLM\..\Run: [Click2Share] C:\Program Files\Sitecom\C2SLoad.exe
O4 - HKLM\..\Run: [LoadQM] loadqm.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\WINDOWS\SYSTEM\QTTASK.EXE" -atboottime
O4 - HKLM\..\Run: [RealTray] C:\Program Files\Real\RealPlayer\realplay.exe SYSTEMBOOTHIDEPLAYER
O4 - HKLM\..\Run: [RealJukeboxSystray] "C:\PROGRAM FILES\REAL\REALJUKEBOX\tsystray.exe"
O4 - HKLM\..\Run: [OmgStartup] C:\Program Files\Common Files\Sony Shared\OpenMG\OmgStartup.exe
O4 - HKLM\..\Run: [P_28593C] C:\WINDOWS\SYSTEM\P_28593C.exe
O4 - HKLM\..\Run: [VcSlow] C:\PROGRA~1\MPEGBI~1\Bin Bait.exe
O4 - HKLM\..\Run: [ICQ Lite] C:\Program Files\ICQLite\ICQLite.exe -minimize
O4 - HKLM\..\Run: [WhenUSearch] "C:\Program Files\WhenUSearch\Search.exe"
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
O4 - HKLM\..\RunServices: [*StateMgr] C:\WINDOWS\System\Restore\StateMgr.exe
O4 - HKLM\..\RunServices: [MessengerPlus2] "C:\Program Files\Messenger Plus! 2\MsgPlus.exe"
O4 - HKCU\..\Run: [MessengerPlus2] "C:\Program Files\Messenger Plus! 2\MsgPlus.exe" /WinStart
O4 - HKCU\..\Run: [Yahoo! Pager] C:\Program Files\Yahoo!\Messenger\ypager.exe -quiet
O4 - HKCU\..\Run: [Evidence Eliminator] C:\PROGRAM FILES\EVIDENCE ELIMINATOR\ee.exe /m
O4 - HKCU\..\Run: [Reoe] C:\WINDOWS\Application Data\oecm.exe
O4 - HKCU\..\Run: [WTSS] C:\WINDOWS\SYSTEM\wapitr.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\PROGRAM FILES\MSN MESSENGER\MSNMSGR.EXE" /background
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\PROGRAM FILES\ICQLITE\ICQLITE.EXE -trayboot
O4 - Startup: Microsoft Works Agenda-herinneringen.lnk = C:\Program Files\Common Files\Microsoft Shared\Works Shared\wkcalrem.exe
O9 - Extra button: Messenger Addon (HKLM)
O9 - Extra 'Tools' menuitem: &Messenger Addon (HKLM)
O9 - Extra 'Tools' menuitem: Sun Java Console (HKLM)
O9 - Extra button: ICQ Lite (HKLM)
O9 - Extra 'Tools' menuitem: ICQ Lite (HKLM)
O9 - Extra button: Microsoft® JavaScript® Console (HKLM)
O9 - Extra 'Tools' menuitem: JavaScript Console (HKLM)
O9 - Extra button: Microsoft® JavaScript® Console (HKCU)
O9 - Extra 'Tools' menuitem: JavaScript Console (HKCU)
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/shockwave/cabs/director/sw.cab
O16 - DPF: {C58EFA10-2CC0-4C50-8C77-B326555EC1B7} (LaunchApp.clsDefault) - http://quickfix2.chello.nl/quickfix2/asp/LaunchApp.CAB
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab27571.cab
O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab27571.cab
O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab
O16 - DPF: {30528230-99F7-4BB4-88D8-FA1D4F56A2AB} (YInstStarter Class) - http://download.yahoo.com/dl/installs/yinst0401.cab
O16 - DPF: {023A3744-EA13-4C8A-8B23-ABF98974A9F5} (JoyOnPack Control) - http://gunbound.joyon.com/joyonpack.cab
O16 - DPF: {C4925E65-7A1E-11D2-8BB4-00A0C9CC72C3} (Virtools WebPlayer Class) - http://a532.g.akamai.net/f/532/6712/1d/player.virtools.com/downloads/player/Install2.1/Installer.exe
O16 - DPF: {225CDD95-6F20-4DE4-8680-4F8F14882229} (NDiamonds Class) - http://wallie.gamepoint.net/diamonds/028/diamonds.cab
O16 - DPF: DigiChat Applet - http://host2.digichat.com/DigiChat/DigiClasses/SignedClient.cab
O16 - DPF: {A8658086-E6AC-4957-BC8E-7D54A7E8A78E} (SassCln Object) - http://www.microsoft.com/security/controls/SassCln.CAB
O16 - DPF: {9EB320CE-BE1D-4304-A081-4B4665414BEF} (MediaTicketsInstaller Control) - http://www.mt-download.com/MediaTicketsInstaller.cab
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Besturing) - http://a840.g.akamai.net/7/840/537/2004033001/housecall.antivirus.com/housecall/xscan53.cab

alvast bedankt.

Lerosa · 31 mei 2004

Geplaatst door Pieter Arntz

Hoi Lerosa,

Vink de bovenstaande aan, sluit alle vensters behalve HijackThis en klik op Fix checked.

Start daarna opnieuw op in veilige modus en verwijder:
C:\Program Files\BIKELE~1 <= de hele map met het bestand findhecksite.exe er in.
C:\Program Files\ONCEBO~1 <= de hele map met het bestand chic bows.dll er in.
C:\DOCUMENTS AND SETTINGS\Dirk\LOCAL SETTINGS\Temp <= Maak deze map helemaal leeg, Local Settings is een verborgen map, dus die moet je zichtbaar maken

Groetjes,

Pieter

:thumb: Bedankt Pieter, het is weer gelukt!

stoof · 31 mei 2004

alvast bedankt

wat moet ik nu doen dan ?

Logfile of HijackThis v1.97.7
Scan saved at 8:34:01, on 31-5-2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
c:\WINDOWS\System32\wltrysvc.exe
C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
c:\WINDOWS\System32\bcmwltry.exe
C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\Program Files\Launch Manager\LaunchAp.exe
C:\Program Files\Launch Manager\PowerKey.exe
C:\Program Files\Launch Manager\HotkeyApp.exe
C:\Program Files\Launch Manager\CtrlVol.exe
C:\Program Files\Launch Manager\OSD.exe
C:\Program Files\Launch Manager\Wbutton.exe
C:\Sysinfo\CyberLink\PowerDVD\PDVDServ.exe
C:\WINDOWS\System32\zdablpu.exe
C:\WINDOWS\AGRSMMSG.exe
C:\WINDOWS\System32\ctfmon.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Documents and Settings\steve n veenv\Local Settings\Temp\Tijdelijke map 2 voor hijackthis.zip\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\System32\gngb.dll/sp.html (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\System32\gngb.dll/sp.html (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\System32\gngb.dll/sp.html (obfuscated)
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\System32\gngb.dll/sp.html (obfuscated)
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\System32\gngb.dll/sp.html (obfuscated)
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\System32\gngb.dll/sp.html (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: (no name) - {889F1B45-4D29-464D-9472-3AF93DB939FD} - C:\WINDOWS\System32\gngb.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: KewlBar 5.0 - {92F02779-6D88-4958-8AD3-83C12D86ADC7} - C:\Program Files\KewlBar 5.0\toolbar.dll
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [LaunchAp] C:\Program Files\Launch Manager\LaunchAp.exe
O4 - HKLM\..\Run: [PowerKey] "C:\Program Files\Launch Manager\PowerKey.exe"
O4 - HKLM\..\Run: [LManager] C:\Program Files\Launch Manager\HotkeyApp.exe
O4 - HKLM\..\Run: [CtrlVol] C:\Program Files\Launch Manager\CtrlVol.exe
O4 - HKLM\..\Run: [LMgrOSD] C:\Program Files\Launch Manager\OSD.exe
O4 - HKLM\..\Run: [Wbutton] "C:\Program Files\Launch Manager\Wbutton.exe"
O4 - HKLM\..\Run: [RemoteControl] C:\Sysinfo\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [cwzgyasjwnpib] C:\WINDOWS\System32\zdablpu.exe
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [ChkMail] h=Œ
O8 - Extra context menu item: &KewlBar Search - res://C:\Program Files\KewlBar 5.0\toolbar.dll/SEARCH.HTML
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: KewlBar 5.0 (HKLM)
O9 - Extra 'Tools' menuitem: KewlBar 5.0 (HKLM)
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?38137.4803472222
O16 - DPF: {DE591B16-A452-11D6-AED1-0001030A4E46} (PBGNX Control) - https://gto.postbank.nl/GTO/PBGNX.cab

Helpmij tegen spyware offensief (deel 5)

Terugkerende gebruiker

Spywareslayer

Terugkerende gebruiker

Terugkerende gebruiker

Gebruiker

Terugkerende gebruiker

Gebruiker

Terugkerende gebruiker

Bijlagen

Gebruiker

Terugkerende gebruiker

Gebruiker

Gebruiker

Gebruiker

Terugkerende gebruiker

Gebruiker

Terugkerende gebruiker

Terugkerende gebruiker

Gebruiker

Meubilair

Gebruiker

Wij waarderen jouw privacy