Helpmij tegen spyware offensief

[Kleinkramer]

Ugh, nu zie ik het. Gisteren deed hij het nog.

Dit staat er in (wel Engels... )

Open a Command Prompt window and leave it open. Close all open programs.

Click Start, Run, enter taskmgr and press OK in order to bring up Task Manager.
Go to the Processes tab and End Process on Explorer.exe.

Leave Task Manager open. Go back to the Command Prompt window and change to the directory the file is located in.
At the command prompt type DEL *filename*, where *filename* is the file you wish to delete.
Go back to Task Manager, click File, New Task and enter EXPLORER.EXE to restart the GUI shell. Close Task Manager.

 

[chicko]

Kleinkramer
Open a Command Prompt ,
MAAR HOE Open je a Command Prompt !
Engels is leuk, maar als je uitleg wil geven in het NL, Heel graag

bedankt
Steven

 

[Kleinkramer]

Start > Uitvoeren , type Cmd en druk op enter.

 

[Kleinkramer]

Als je moeite hebt met "navigeren" in dat Command prompt venster (je moet een beetje DOS kennen), roep je maar.

 

[chicko]

Pieter dat lukt ook niet!
Er staat in DOS,
"Program Cannot acces or delete the file is used by another user or program"


????????????????????????


Steven

 

[Pieter Arntz]

Probeer het eens met het programma in het eerste bericht van deze thread:
http://www.dslreports.com/forum/remark,7374516~root=winme~mode=flat

Groetjes,

Pieter

 

[Mariska34]

Logfile hier?

Mijn hemel..waar plaats ik die log?
Volgens mij heb ik hem net weer verkeerd geplaatst

Bestaat er hier ook een soort van zwarte lijst waar je op komt als het 3 keer fout doet?

Groet,
Mariska

 

[vaat]

Re: Logfile hier?

Geplaatst door Mariska34
Mijn hemel..waar plaats ik die log?
Volgens mij heb ik hem net weer verkeerd geplaatst

Bestaat er hier ook een soort van zwarte lijst waar je op komt als het 3 keer fout doet?

Groet,
Mariska

start hijackthis op en druk onderaan in het programma op scan. De knop verandert daarna in "save log". Druk daarop en sla het ergens op. Start daarna kladblok op en open de log via bestand > openen.
Ga ergens met je cursor in kladblok staan en druk op ctrl + a !! Druk in deze thread op "reageer op bericht" en ga met je cursor in het "jouw bericht" textbox gedeelte staan. Druk op ctrl + v ! Druk tenslotte op plaats bericht !!

 

[Mariska34]

Alex, je bent een engel, of heeft iemand je dat vandaag al verteld?

Hoe ik hem moet plaatsen is me wel duidelijk, waar het moest werd een probleem

Logfile of HijackThis v1.97.2
Scan saved at 20:12:29, on 22-9-03
Platform: Windows 98 SE (Win9x 4.10.2222A)
MSIE: Internet Explorer v5.50 (5.50.4134.0600)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\PROGRAM FILES\TREND PC-CILLIN 98\IOMON98.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\SYSTEM\MSTASK.EXE
C:\WINDOWS\SYSTEM\ZONELABS\VSMON.EXE
C:\WINDOWS\SYSTEM\ZONELABS\MINILOG.EXE
C:\PROGRAM FILES\NETWORK ICE\BLACKICE\BLACKD.EXE
C:\PROGRAM FILES\TREND PC-CILLIN 98\WEBTRAP.EXE
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\PROGRAM FILES\ACER INC\INDICATOR V1.4\INDICATOR.EXE
C:\PROGRAM FILES\ACER INC\POWERKEY\POWERKEY.EXE
C:\PROGRAM FILES\SAFEOFF\SAFEOFF.EXE
C:\PROGRAM FILES\SLEEP MANAGER\SLEEPMGR.EXE
C:\WINDOWS\ACER\SNAPSHOT\ACERTMB.EXE
C:\PROGRAM FILES\SYNAPTICS\SYNTP\SYNTPLPR.EXE
C:\PROGRAM FILES\SYNAPTICS\SYNTP\SYNTPENH.EXE
C:\PROGRAM FILES\DAP\DAP.EXE
C:\WINDOWS\LOADQM.EXE
C:\PROGRAM FILES\MESSENGER\MSMSGS.EXE
C:\PROGRAM FILES\MICROSOFT OFFICE\OFFICE\OSA.EXE
C:\PROGRAM FILES\NUKENABBER\NUKENABBER.EXE
C:\PALM\HOTSYNC.EXE
C:\PROGRAM FILES\NETWORK ICE\BLACKICE\BLACKICE.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\WINDOWS\SYSTEM\RNAAPP.EXE
C:\WINDOWS\SYSTEM\TAPISRV.EXE
C:\WINDOWS\SYSTEM\SPOOL32.EXE
C:\PROGRAM FILES\INTERNET EXPLORER\IEXPLORE.EXE
C:\UNZIPPED\HIJACKTHIS\HIJACKTHIS.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = C:\Program Files\Copernic 2000\Search Bar.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.startpagina.nl/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = C:\Program Files\Copernic 2000\Search Bar.htm
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.worldonline.nl
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
R3 - URLSearchHook: (no name) - {C12B4EC1-1F65-11D3-91CA-00104B9C4765} - C:\Program Files\Copernic 2000\CopernicFind.dll
F1 - win.ini: run=hpfsched
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAM FILES\ADOBE\ACROBAT 5.0\READER\ACTIVEX\ACROIEHELPER.OCX
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\Run: [Taakcontrole] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [Notebook Manager] C:\Program Files\Notebook Manager\nbm.exe -1
O4 - HKLM\..\Run: [Indicator] C:\Program Files\Acer Inc\Indicator v1.4\indicator.exe
O4 - HKLM\..\Run: [IOMON98.EXE] "C:\Program Files\Trend PC-cillin 98\IOMON98.EXE"
O4 - HKLM\..\Run: [AcerPowerkey] C:\Program Files\Acer Inc\Powerkey\Powerkey.exe
O4 - HKLM\..\Run: [SafeOFF] C:\Program Files\SafeOFF\SafeOff.exe
O4 - HKLM\..\Run: [SleepManager] C:\Program Files\Sleep Manager\SleepMgr.exe
O4 - HKLM\..\Run: [AspireTimeMachine] c:\windows\acer\snapshot\acertmb.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [DownloadAccelerator] C:\PROGRA~1\DAP\DAP.EXE /STARTUP
O4 - HKLM\..\Run: [LoadQM] loadqm.exe
O4 - HKLM\..\RunServices: [IOMON98.EXE] "C:\Program Files\Trend PC-cillin 98\IOMON98.EXE"
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
O4 - HKLM\..\RunServices: [TrueVector] C:\WINDOWS\SYSTEM\ZONELABS\VSMON.EXE -service
O4 - HKLM\..\RunServices: [MiniLog] C:\WINDOWS\SYSTEM\ZONELABS\MINILOG.EXE -service
O4 - HKLM\..\RunServices: [LoadBlackD] C:\PROGRAM FILES\NETWORK ICE\BLACKICE\BLACKD.EXE
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - Startup: Office Opstarten.lnk = C:\Program Files\Microsoft Office\Office\OSA.EXE
O4 - Startup: nukenabber.lnk = C:\Program Files\NukeNabber\nukenabber.exe
O4 - Startup: HotSync Manager.lnk = C:\Palm\HOTSYNC.EXE
O4 - Startup: BlackICE Utility.lnk = C:\Program Files\Network ICE\BlackICE\blackice.exe
O8 - Extra context menu item: Search Using Copernic - file://C:\Program Files\Copernic 2000\Search Extension.htm
O8 - Extra context menu item: &Download with &DAP - C:\PROGRA~1\DAP\dapextie.htm
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O9 - Extra 'Tools' menuitem: Launch Copernic (HKLM)
O9 - Extra button: Copernic (HKLM)
O9 - Extra button: Translate (HKLM)
O9 - Extra 'Tools' menuitem: &Translate Using Gist-In-Time (HKLM)
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Messenger (HKLM)
O12 - Plugin for .spop: C:\PROGRA~1\Intern~1\Plugins\NPDocBox.dll
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/...ash/swflash.cab


Ok, dat moet hem dan zijn.
Thanks

 

[Pieter Arntz]

Hoi Mariska34,

Geen spyware in je log. Ik vraag me alleen af of het draaien van ZoneAlarm, BlackIce en NukeNabber geen conflicten oplevert?

Groetjes,

Pieter

 

[vaat]

zie niks geks. je mag wel je opstartprogies opschonen.

Kijk naar de O4 items. Kopieer alles wat tussen de [] staan en vul het in op deze site:
http://www.pacs-portal.co.uk/startup_pages/startup_all.php in de Search Query box.

Dit kan je het beste zelf beslissen namelijk

 

[oossie]

De log van mijn server:


Logfile of HijackThis v1.97.2
Scan saved at 11:51:00 PM, on 9/22/2003
Platform: Windows 2000 SP3 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\System32\termsrv.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\spoolsv.exe
C:\WINNT\System32\msdtc.exe
C:\Program Files\Symantec\pcAnywhere\awhost32.exe
C:\WINNT\system32\Dfssvc.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\System32\ismserv.exe
C:\WINNT\System32\llssrv.exe
C:\WINNT\system32\ntfrs.exe
C:\Program Files\RaidenFTPD\Rftpdservice.exe
C:\Program Files\RaidenFTPD\RaidenFTPD.exe
C:\WINNT\system32\regsvc.exe
C:\WINNT\System32\locator.exe
C:\WINNT\system32\MSTask.exe
C:\WINNT\System32\snmp.exe
C:\WINNT\system32\ZoneLabs\vsmon.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\System32\dns.exe
C:\WINNT\System32\inetsrv\inetinfo.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\Explorer.EXE
C:\Program Files\WinZip\WZQKPICK.EXE
C:\Program Files\Zone Labs\ZoneAlarm\zonealarm.exe
C:\Program Files\Spybot - Search & Destroy\SpybotSD.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\PROGRA~1\WINZIP\winzip32.exe
C:\Documents and Settings\Administrator\Local Settings\Temp\HijackThis.exe

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Program Files\WinZip\WZQKPICK.EXE
O4 - Global Startup: ZoneAlarm.lnk = C:\Program Files\Zone Labs\ZoneAlarm\zonealarm.exe
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?37886.5261458333
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = hobbykamer.nl
O17 - HKLM\System\CCS\Services\Tcpip\..\{36632B91-1249-45F3-AFC6-DF008E9D29E5}: NameServer = 192.168.1.199,192.168.1.254
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = hobbykamer.nl
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = hobbykamer.nl

hopenlijk issie schoon, gescand met spybot S&D


Groeten Oossie

 

[Kleinkramer]

Dat is zo 'n kort logje dat ie wel schoon MOET zijn, LOL!

Geen antivirus?

 

[oossie]

ik heb hier norton 2003 liggen maar die laat zich niet instaleren op mijn 2000 server, en ik mweet ook niet welk pakket ik wel geinstaleerd krijg
norman lukte ook al niet
en dat zijn de enige die ik legaal heb

aangezien ik niet te b=veel aan deze server mag besteden, ben ik nog op zoek naar een goede en goedkope oplossing

Groeten Oossie

 

[oossie]

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx

is deze wel vertrouwd, kan er niets over terug vinden

Groeten Oossie

 

[Kleinkramer]

Het is de Internet Explorer Radio toolbar, en die maakt gewoon deel uit van IE.

http://www.windows-help.net/windows98/ie50-12.shtml

 

[oossie]

Hoort hier wel niet thuis maar als leek vraag ik het toch maar aan de specialisten, welk antivirus pakket is geschikt voor mijn windows 2000 server?

Het is een PIII 733 MHZ

512 MB intern geheugen

Groet Oossie

 

[falconetti]

Je kan de nieuwste (2004) uitzoeken bij Symantec, hangt van je budget af:
http://www.symantecstore.com/dr/sat...N=28&xid=27674&DSP=&CUR=840&PGRP=0&CACHE_ID=0

Of de goedkope oplossing: zoek een uit op deze pagina, ze zijn GRATIZ:
http://www.wilders.org/anti_viruses.htm

grtz
Falco

 

[plotter]

Goedemorgen.

Ik heb gescand met adaware.
Winlodr.scr probeert steeds verbinding te maken met het internet. Ik heb dit progje geblokkeerd, volgens mij is het een trojan (via google).
Kunnen jullie mijn log eens nazien hoe en wat.

Logfile of HijackThis v1.95.0
Scan saved at 10:36:23, on 23-9-03
Platform: Windows 98 SE (Win9x 4.10.2222A)
MSIE: Internet Explorer v5.50 (5.50.4134.0600)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\SYSTEM\THOTKEY.EXE
C:\PROGRAM FILES\COMMON FILES\SYMANTEC SHARED\CCEVTMGR.EXE
C:\PROGRAM FILES\NORTON INTERNET SECURITY\NISUM.EXE
C:\PROGRAM FILES\NORTON INTERNET SECURITY\CCPXYSVC.EXE
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\WINDOWS\SYSTEM\TPWRTRAY.EXE
C:\PROGRAM FILES\COMMON FILES\SYMANTEC SHARED\CCAPP.EXE
C:\WINDOWS\SYSTEM\WINLODR.SCR
C:\WINDOWS\RunDLL.exe
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\WINDOWS\SYSTEM\RNAAPP.EXE
C:\WINDOWS\SYSTEM\TAPISRV.EXE
C:\PROGRAM FILES\INTERNET EXPLORER\IEXPLORE.EXE
C:\WINDOWS\SYSTEM\DLLHOST.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\WINDOWS\SYSTEM\PSTORES.EXE
C:\WALL STREET\WS.EXE
C:\WALL STREET\DATAFEEDS\TBM\TBMFEED.EXE
C:\WALL STREET\DATAFEEDS\WEBTEXT\WEBTEXTFEED.EXE
C:\WINDOWS\DESKTOP\HIJACKTHIS.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page=http://www.wanadoo.nl
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL=http://www.wanadoo.nl
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page=
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page=c:\windows\SYSTEM\blank.htm
O2 - BHO: (no name) - {7559B76E-0222-4d77-9499-CCE9EB4EDC2F} - C:\PROGRA~1\ADSHIELD\ADSHIELD\ADSHIELD.DLL
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - c:\Program Files\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - c:\Program Files\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: @msdxmLC.dll,-1@1043,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O4 - HKLM\..\Run: [ScanRegistry] c:\windows\scanregw.exe /autorun
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [IrMon] IrMon.exe
O4 - HKLM\..\Run: [Tpwrtray] TPWRTRAY.EXE
O4 - HKLM\..\Run: [ccApp] "c:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [ccRegVfy] "c:\Program Files\Common Files\Symantec Shared\ccRegVfy.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\WINDOWS\SYSTEM\QTTASK.EXE" -atboottime
O4 - HKLM\..\Run: [Winsock2 driver] WINLODR.SCR
O4 - HKLM\..\RunServices: [THotkey] C:\WINDOWS\SYSTEM\THotkey.exe
O4 - HKLM\..\RunServices: [ccEvtMgr] "c:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe"
O4 - HKLM\..\RunServices: [Nisum] c:\Program Files\Norton Internet Security\NISUM.EXE
O4 - HKLM\..\RunServices: [ccPxySvc] c:\PROGRA~1\NORTON~2\CCPXYSVC.EXE
O4 - HKCU\..\Run: [Taskbar Display Controls] RunDLL deskcp16.dll,QUICKRES_RUNDLLENTRY
O8 - Extra context menu item: Add to &Block List... - C:\PROGRA~1\ADSHIELD\ADSHIELD\suppress.htm
O8 - Extra context menu item: &Maintain Block List... - C:\PROGRA~1\ADSHIELD\ADSHIELD\maintain.htm
O8 - Extra context menu item: AdShield Option &Settings... - C:\PROGRA~1\ADSHIELD\ADSHIELD\settings.htm
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O9 - Extra button: AdShield (HKCU)
O16 - DPF: {27527D31-447B-11D5-A46E-0001023B4289} (CoGSManager Class) - http://gamingzone.ubisoft.com/dev/packages/GSManager.cab
O16 - DPF: {C2FCEF52-ACE9-11D3-BEBD-00105AA9B6AE} (Symantec RuFSI Registry Information Class) - http://security.symantec.com/SSC/SharedContent/common/bin/cabsa.cab
O16 - DPF: {FE8287E9-5F43-11D3-ABCA-00105A5C1F46} (HouseCall Control) - http://www.housecall.nl/housecall/xscan4.cab
O16 - DPF: {0E5F0222-96B9-11D3-8997-00104BD12D94} (PCPitstop Utility) - http://www.pcpitstop.com/pcpitstop/PCPitStop.CAB
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/shockwave/cabs/director/swdir.cab

Alvast bedankt voor jullie hulp.

Groetjes,

 

[Pieter Arntz]

Hoi plotter,

Download de laatste versie van HijackThis, doe daarmee een nieuwe scan

Fix onderstaande zaken, zorg dat alle vensters behalve HijackThis gesloten zijn al je op Fix checked klikt:

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page=

O4 - HKLM\..\Run: [Winsock2 driver] WINLODR.SCR
Deze regel komt dan nog eens tevoorschijn voor RunOnce (ook fixen)

Start daarna opnieuw op in veilige modus en verwijder WINLODR.SCR
Doe daarna start > zoeken en laat zoeken naar tftp*.*
Verwijder alle bestanden die gevonden worden en 0 bytes groot zijn.

Hoe oud zijn jouw laatste virusdefinities?
Dit lijkt mij de SpybotWorm en die wordt al enkele maanden door NAV herkend.

Groetjes,

Pieter