Helpmij tegen spyware offensief

[Kleinkramer]

Geplaatst door margaNo

maar goed dat je mij nog hebt dan he

Dat kun je wel zeggen, ja...

 

[Kleinkramer]

Doe een Ctrl-Alt-Delete, vind dat Qttask proces, en kies "beëindigen".

Vervolgens zoek je het bestand C:\Program Files\QuickTime\qttask.exe op, en hernoem het naar Qttask.bak.

Tenslotten draai je Hijack This, en laat het dat O4 - HKLM\..\Run: [QuickTime Task] item fixen.

Groetjes,

 

[Edwin30]

Ton, als ik me niet vergis staat er ook in Windows/System een bestandje QTTask.ocx, die zorgt (dacht ik) ervoor dat telkens weer de opstart erbij zit. Quicktime wordt steeds opdringeriger.........

 

[Kleinkramer]

Ik moet je eerlijk zeggen dat Qttask.exe na het fixen van de startup door Hijack This bij mij nog nooit is "teruggekomen".
En wanneer je het bestand bovendien ook nog hernoemt kan het uiteraard al helemaal niet, met of zonder Qttask.ocx.

Maar wanneer het toch problem blijft geven kun je de ocx natuurlijk óók hernoemen.

 

[jippiejajee]

gelukt, bedankt.

bytheway: ik heb niks met het ocx bestand gedaan.

 

[streamtec]

Beste Pieter,
Ik heb mn pc "uitgeleend" niet moeten doen dus. Ergens klopt er iets niet.
Krijg bij opstarten telkens en melding dat norton 2004
download.magicon file verwijdert heeft betreft iedere keer: C:\WINDOWS\simcss\2_simcss.dll
Ik zie in "software" ook simcss staan. wat is dit?
Tevens hier dus mijn hijachthis log
zou je zo vriendelijk willen zijn om er nog eens naar te kijken?




Logfile of HijackThis v1.97.3
Scan saved at 13:13:33, on 27-10-03
Platform: Windows 98 Gold (Win9x 4.10.1998)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\PROGRAM FILES\COMMON FILES\SYMANTEC SHARED\CCEVTMGR.EXE
C:\PROGRAM FILES\COMMON FILES\SYMANTEC SHARED\CCSETMGR.EXE
C:\WINDOWS\SYSTEM\MSTASK.EXE
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\LOADQM.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\WINDOWS\ESSOLO.EXE
C:\IBMTOOLS\APTEZBTN\APTEZBP.EXE
C:\PROGRAM FILES\TRUST\AMI MOUSE 250S CORDLESS\AMOUMAIN.EXE
C:\WINDOWS\SYSTEM\STIMON.EXE
C:\WINDOWS\TASKMON.EXE
C:\PROGRAM FILES\COMMON FILES\SYMANTEC SHARED\CCPD-LC\SYMLCSVC.EXE
C:\PROGRAM FILES\COMMON FILES\SYMANTEC SHARED\CCAPP.EXE
C:\PROGRAM FILES\COMMON FILES\REAL\UPDATE_OB\REALSCHED.EXE
C:\WINDOWS\RunDLL.exe
C:\PROGRAM FILES\MSN MESSENGER\MSNMSGR.EXE
C:\PROGRAM FILES\INTERNET EXPLORER\IEXPLORE.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\PROGRAM FILES\COMMON FILES\SYMANTEC SHARED\CCLGVIEW.EXE
C:\UNZIPPED\HIJACKTHIS\HIJACKTHIS.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.msn.nl/Default.asp
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = proxy.brunssum.net:80
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O4 - HKLM\..\Run: [LoadQM] loadqm.exe
O4 - HKLM\..\Run: [ScanRegistry] c:\windows\scanregw.exe /autorun
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [ESSOLO] ESSOLO.EXE
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [AEZBProc] c:\ibmtools\aptezbtn\aptezbp.exe
O4 - HKLM\..\Run: [WheelMouse] Amoumain.exe
O4 - HKLM\..\Run: [StillImageMonitor] C:\WINDOWS\SYSTEM\STIMON.EXE
O4 - HKLM\..\Run: [Taakcontrole] c:\windows\taskmon.exe
O4 - HKLM\..\Run: [Symantec Core LC] C:\Program Files\Common Files\Symantec Shared\CCPD-LC\symlcsvc.exe start
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\WINDOWS\SYSTEM\QTTASK.EXE" -atboottime
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [ScriptBlocking] "C:\Program Files\Common Files\Symantec Shared\Script Blocking\SBServ.exe" -reg
O4 - HKLM\..\RunServices: [ccEvtMgr] "C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe"
O4 - HKLM\..\RunServices: [ccSetMgr] "C:\Program Files\Common Files\Symantec Shared\ccSetMgr.exe"
O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
O4 - HKCU\..\Run: [cpntmgc] C:\WINDOWS\simcss\SIMCSS.EXE
O4 - HKCU\..\Run: [Taskbar Display Controls] RunDLL deskcp16.dll,QUICKRES_RUNDLLENTRY
O4 - HKCU\..\Run: [msnmsgr] "C:\PROGRAM FILES\MSN MESSENGER\MSNMSGR.EXE" /background
O8 - Extra context menu item: Yahoo! Search - file:///C:\Program Files\Yahoo!\Common/ycsrch.htm
O8 - Extra context menu item: Yahoo! Dictionary - file:///C:\Program Files\Yahoo!\Common/ycdict.htm
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Yahoo! Messenger (HKLM)
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/shockwave/cabs/director/sw.cab
O16 - DPF: {F58E1CEF-A068-4C15-BA5E-587CAF3EE8C6} (MSN Chat Control 4.5) - http://fdl.msn.com/public/chat/msnchat45.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/ansi/iuctl.CAB?37865.5178356481
O16 - DPF: {C3DFA998-A486-11D4-AA25-00C04F72DAEB} (MSN Photo Upload Tool) - http://sc.groups.msn.com/controls/PhotoUC/MsnPUpld.cab
O16 - DPF: {74FFE28D-2378-11D5-990C-006094235084} (IBM Access Support) - https://www-3.ibm.com/pc/support/access/sdccommon/download/IbmEgath.cab
O16 - DPF: Yahoo! Chat - http://us.chat1.yimg.com/us.yimg.com/i/chat/applet/c381/chat.cab
O16 - DPF: {2B323CD9-50E3-11D3-9466-00A0C9700498} (Yahoo! Audio Conferencing) - http://us.chat1.yimg.com/us.yimg.com/i/chat/applet/v45/yacscom.cab
O16 - DPF: {30528230-99F7-4BB4-88D8-FA1D4F56A2AB} (YInstStarter Class) - http://download.yahoo.com/dl/installs/yinst0309.cab
O16 - DPF: {A17E30C4-A9BA-11D4-8673-60DB54C10000} (YahooYMailTo Class) - http://us.dl1.yimg.com/download.yahoo.com/dl/installs/yse/ymmapi_416.dll
O16 - DPF: {8714912E-380D-11D5-B8AA-00D0B78F3D48} (Yahoo! Webcam Upload Wrapper) - http://chat.yahoo.com/cab/yuplapp.cab
O16 - DPF: {E504EE6E-47C6-11D5-B8AB-00D0B78F3D48} (Yahoo! Webcam Viewer Wrapper) - http://chat.yahoo.com/cab/yvwrctl.cab
O16 - DPF: {9A54032D-31F7-400D-B184-83B33BDE65FA} (MSN File Upload Control) - http://sc.groups.msn.com/controls/FileUC/MsnUpld.cab
O16 - DPF: {33564D57-0000-0010-8000-00AA00389B71} - http://download.microsoft.com/download/F/6/E/F6E491A6-77E1-4E20-9F5F-94901338C922/wmv9VCM.CAB
O16 - DPF: {DE591B16-A452-11D6-AED1-0001030A4E46} (PBGNX Control) - https://gto.postbank.nl/GTO/PBGNX.cab
O16 - DPF: {E77C0D62-882A-456F-AD8F-7C6C9569B8C7} (ActiveDataObj Class) - https://www-secure.symantec.com/techsupp/activedata/ActiveData.cab
O16 - DPF: {CE28D5D2-60CF-4C7D-9FE8-0F47A3308078} (ActiveDataInfo Class) - https://www-secure.symantec.com/techsupp/activedata/SymAData.dll
O16 - DPF: {4BEE3896-4820-48D1-85EA-5A9A9ECD3D95} (OPUCatalog Class) - http://office.microsoft.com/productupdates/content/opuc/opuc.cab
O16 - DPF: {3E68E405-C6DE-49FF-83AE-41EE9F4C36CE} (Office Update Installation Engine) - http://office.microsoft.com/officeupdate/content/opuc.cab
O16 - DPF: {C2FCEF52-ACE9-11D3-BEBD-00105AA9B6AE} (Symantec RuFSI Registry Information Class) - http://security.symantec.com/SSC/SharedContent/common/bin/cabsa.cab
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab
O16 - DPF: {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B} (QuickTime Object) - http://www.apple.com/qtactivex/qtplugin.cab

 

[Pieter Arntz]

Hoi streamtec,

Dat lijkt mij een nieuwe variant van http://www.doxdesk.com/parasite/MagicControl.html

De onderstaande aanvinken en dan op Fix checked klikken:

O4 - HKCU\..\Run: [cpntmgc] C:\WINDOWS\simcss\SIMCSS.EXE

Start dan opnieuw op en mail me het bestandje:

C:\WINDOWS\simcss\SIMCSS.EXE
(Zie eerste bericht in dit topic voor het adres)
Of als hij niet te groot is, mag je ook wel de map
C:\WINDOWS\simcss zippen en helemaal mailen.

Groetjes,

Pieter

 

[Kleinkramer]

Het volgende ziet er uit als een remote control trojan:

O4 - HKCU\..\Run: [cpntmgc] C:\WINDOWS\simcss\SIMCSS.EXE

Zou je zo vriendelijk willen zijn de inhoud van die map C:\WINDOWS\simcss te zenden naar dit adres ?'

Dank!

En uiteraard Hijack This deze laten fixen, en even opnieuw opstarten.

 

[Kleinkramer]

Oops, Hoi Pieter!

Streamtec, je mag de bestanden ook alleen naar Pieter zenden. Dan krijg ik het uiteindelijk ook wel te zien...

 

[Pieter Arntz]

Geplaatst door Kleinkramer
Oops, Hoi Pieter!

Streamtec, je mag de bestanden ook alleen naar Pieter zenden. Dan krijg ik het uiteindelijk ook wel te zien...

Hoi Ton,

Tuurlijk krijg jij dan ook een kopie.

Groetjes,

Pieter

 

[Kleinkramer]

Yippee!

 

[streamtec]

hoi heren
geen ruzie maken
bestandje is verstuurd
heb opnieuw opgestart alles ok nu, dwz er verschijnt geen melding van norton meer
alvast bedankt

 

[deb's]

laatste logje

Hallo allemaal,

Even op aanraden van Gezina nog een keer mijn logje.
Willen jullie er nog even aub naar kijken?



Logfile of HijackThis v1.97.3
Scan saved at 20:29:00, on 27-10-2003
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\avast antivirus\ashDisp.exe
C:\AVASTA~1\ashmaisv.exe
C:\avast antivirus\aswUpdSv.exe
C:\avast antivirus\ashserv.exe
C:\zone alarm\ZoneAlarm\zonealarm.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\Program Files\Outlook Express\msimn.exe
C:\WINDOWS\System32\DllHost.exe
C:\hijack\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.planet.nl/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: (no name) - {7559B76E-0222-4d77-9499-CCE9EB4EDC2F} - c:\adshield\AdShield.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [avast!] C:\avast antivirus\ashDisp.exe
O4 - HKLM\..\Run: [ashMaiSv] C:\AVASTA~1\ashmaisv.exe
O4 - Global Startup: ZoneAlarm.lnk = C:\zone alarm\ZoneAlarm\zonealarm.exe
O8 - Extra context menu item: &Maintain Block List... - c:\adshield\maintain.htm
O8 - Extra context menu item: Add to &Block List... - c:\adshield\suppress.htm
O8 - Extra context menu item: AdShield Option &Settings... - c:\adshield\settings.htm
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Messenger (HKLM)
O9 - Extra button: AdShield (HKCU)
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/shockwave/cabs/director/sw.cab
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Besturing) - http://a840.g.akamai.net/7/840/537/76808a0e7ae82f/housecall.antivirus.com/housecall/xscan53.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?37913.619837963
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: {DE591B16-A452-11D6-AED1-0001030A4E46} (PBGNX Control) - https://gto.postbank.nl/GTO/PBGNX.cab

 

[Pieter Arntz]

Hartstikke schoon, deb´s.

Pieter

 

[bouk]

Hoi,

Ik hoop dat ik nu aan de beurt ben
heb nl zo'n ellendige balk in IE en misschien ook nog wel meer
Willen jullie zo lief zijn ff te kijken???

Groetje Boukje

 

[streamtec]

hoi pieter
ik heb je vanmiddag een bestandje toegestuurd zoals je gevraagd hebt. later nog een bestandje, omdat dat het zelfde probleem veroorzaakte.
heb je er nog naar gekeken?
wilde graag weten of ik deze moet behouden (als ze voor mij nut hebben) of verwijderen

 

[Bennie]

Boukje,

Laat de volgende items door HijackThis fixen:

R3 - URLSearchHook: CleverHook Class - {707E6F76-9FFB-4920-A976-EA101271BC25} - C:\WINDOWS\JEIRED.DLL
O2 - BHO: mwsBar BHO - {07B18EA1-A523-4961-B6BB-170DE4475CCA} - C:\PROGRAM FILES\MYWEBSEARCH\BAR\1.BIN\MWSBAR.DLL
O2 - BHO: MyWebSearch Search Assistant BHO - {00A6FAF1-072E-44cf-8957-5838F569A31D} - C:\PROGRAM FILES\MYWEBSEARCH\SRCHASTT\1.BIN\MWSSRCAS.DLL
O2 - BHO: (no name) - {707E6F76-9FFB-4920-A976-EA101271BC25} - C:\WINDOWS\JEIRED.DLL
O3 - Toolbar: My &Web Search - {07B18EA9-A523-4961-B6BB-170DE4475CCA} - C:\PROGRAM FILES\MYWEBSEARCH\BAR\1.BIN\MWSBAR.DLL
O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\Updreg.exe
O4 - HKLM\..\Run: [TimeUp] C:\PROGRAM FILES\TIMEUP\TimeUp.exe /T

Start PC daarna opnieuw op.

Groetjes,
Bennie

 

[deb's]

Geplaatst door Pieter Arntz
Hartstikke schoon, deb´s.

Pieter

Oke, thanxx
:thumb:

 

[Pieter Arntz]

Geplaatst door streamtec
hoi pieter
ik heb je vanmiddag een bestandje toegestuurd zoals je gevraagd hebt. later nog een bestandje, omdat dat het zelfde probleem veroorzaakte.
heb je er nog naar gekeken?
wilde graag weten of ik deze moet behouden (als ze voor mij nut hebben) of verwijderen

Je kan ze allebei verwijderen. Ze zijn in ieder geval van dezelfde maker en als ze enig nut hadden, zou er wel in staan wie dat is.
Nog niet echt goed kunnen kijken, maar ik denk dat Ton en mijn eerste instinct goed waren.

Groetjes,

Pieter

 

[Pieter Arntz]

Geplaatst door Bennie
Boukje,

Laat de volgende items door HijackThis fixen:

R3 - URLSearchHook: CleverHook Class - {707E6F76-9FFB-4920-A976-EA101271BC25} - C:\WINDOWS\JEIRED.DLL
O2 - BHO: mwsBar BHO - {07B18EA1-A523-4961-B6BB-170DE4475CCA} - C:\PROGRAM FILES\MYWEBSEARCH\BAR\1.BIN\MWSBAR.DLL
O2 - BHO: MyWebSearch Search Assistant BHO - {00A6FAF1-072E-44cf-8957-5838F569A31D} - C:\PROGRAM FILES\MYWEBSEARCH\SRCHASTT\1.BIN\MWSSRCAS.DLL
O2 - BHO: (no name) - {707E6F76-9FFB-4920-A976-EA101271BC25} - C:\WINDOWS\JEIRED.DLL
O3 - Toolbar: My &Web Search - {07B18EA9-A523-4961-B6BB-170DE4475CCA} - C:\PROGRAM FILES\MYWEBSEARCH\BAR\1.BIN\MWSBAR.DLL
O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\Updreg.exe
O4 - HKLM\..\Run: [TimeUp] C:\PROGRAM FILES\TIMEUP\TimeUp.exe /T

Start PC daarna opnieuw op.

Groetjes,
Bennie

Plus deze:
O4 - HKLM\..\Run: [MyWebSearch Email Plugin] C:\PROGRA~1\MYWEBS~1\BAR\1.BIN\MWSOEMON.EXE

en verwijder na het opnieuw opstarten:
C:\PROGRAM FILES\MYWEBSEARCH <= de hele map

Groetjes,

Pieter