[Centraal] Spyware & Adware

[Krekker]

De laatste tijd krijg ik telkens als ik de pc opstart een inbelscherm te zien. Het programmatje wat dit inbelscherm opent heb ik opgespoord en het blijkt een programma te zijn dat zichzelf SuperDialer noemt en de bestandsnaam "winsvs32.exe" draagt.

Als ik in het inbelmenu op annuleren klik krijg ik op mijn bureaublad een link naar een Turkse porno site (niet van mij, ik kom niet op Turkse porno sites, dus waarschijnlijk van mn vader).

Ik heb al geprobeerd het bestand te verwijderen, maar het kwam weer terug. Ook spybot S&D en Ad-Aware hebben niet geholpen.

Wat moet ik doen om hier vanaf te komen, want voor de rest draait de hele computer perfect.

Alvast bedankt!

PS: ik heb dat programma de toegang tot internet inmiddels ontzegt natuurlijk (met zonealarm).

Zoeken en dan bestand verwijderen.
EN zorgen dat ht niet in Startup/Opstarten in je startmenu staat

[Krekker]

Krekker schreef op 30-08-2004 @ 00:34 :
Ik heb al geprobeerd het bestand te verwijderen, maar het kwam weer terug.

Ook staat het niet in het opstarten menu of in msconfig.

[freyk]

Hey krekker,

Je hebt een beetje last van W22/Sdbot
(klik op de link om bij recovery de handmatige oplossing te vinden)
Als het niet opgelost is raad ik je aan om nog ff een hijackthis-los te posten.

[Krekker]

freyk schreef op 30-08-2004 @ 18:24 :
Hey krekker,

Je hebt een beetje last van W22/Sdbot
(klik op de link om bij recovery de handmatige oplossing te vinden)
Als het niet opgelost is raad ik je aan om nog ff een hijackthis-los te posten.

Dat is niet het geval, want die registry keys zijn in mijn register niet aanwezig.

En hieronder mn log van hijackthis. (als dit het is)

Logfile of HijackThis v1.97.7
Scan saved at 1:51:23, on 31-8-2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\alg.exe
C:\Apache2\bin\Apache.exe
C:\Apache2\bin\Apache.exe
C:\Norman\NVC\BIN\Zanda.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\NORMAN\nvc\BIN\NVCSCHED.EXE
C:\NORMAN\nvc\BIN\nvcoas.exe
C:\NORMAN\Nvc\BIN\nipsvc.exe
C:\NORMAN\Nvc\BIN\ZLH.EXE
C:\NORMAN\nvc\BIN\NJEEVES.EXE
C:\NORMAN\Nvc\BIN\NYMSE.EXE
C:\NORMAN\Nvc\BIN\NIP.EXE
C:\Program Files\Hewlett-Packard\HP Software Update\HPWuSchd.exe
C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb08.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe
C:\WINDOWS\System32\RunDll32.exe
C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\Program Files\Java\j2re1.4.2_05\bin\jusched.exe
C:\WINDOWS\System32\svcss.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\Globe Software\StatBar\StatBar.exe
C:\Apache2\bin\ApacheMonitor.exe
C:\NORMAN\Nvc\BIN\cclaw.exe
C:\Program Files\Winamp\winamp.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Documents and Settings\Ismet Abaci\Bureaublad\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.nl/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [Norman ZANDA] C:\NORMAN\Nvc\BIN\ZLH.EXE /LOAD /SPLASH
O4 - HKLM\..\Run: [SpeedTouch USB Diagnostics] "C:\Program Files\Alcatel\SpeedTouch USB\Dragdiag.exe" /icon
O4 - HKLM\..\Run: [CHotkey] mHotkey.exe
O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\Hewlett-Packard\HP Software Update\HPWuSchd.exe
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb08.exe
O4 - HKLM\..\Run: [DeviceDiscovery] C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [AtiPTA] atiptaxx.exe
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\j2re1.4.2_05\bin\jusched.exe
O4 - HKLM\..\Run: [MicrosoftOEM] C:\WINDOWS\System32\svcss.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [inetinfo.exe] C:\WINDOWS\System32\inetinfo.exe
O4 - HKCU\..\Run: [StatBar] C:\Program Files\Globe Software\StatBar\StatBar.exe
O4 - HKCU\..\Run: [MemElevator] C:\Programme\MemoryElevator\MemoryElevator.exe Autostart
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: Monitor Apache Servers.lnk = C:\Apache2\bin\ApacheMonitor.exe
O9 - Extra 'Tools' menuitem: Sun Java Console (HKLM)
O16 - DPF: {03F998B2-0E00-11D3-A498-00104B6EB52E} - https://components.viewpoint.com/MTS...40/model.html?
O16 - DPF: {0FC8B38E-9293-424C-9D0E-CE60775679CF} (SubClassEditCtrlContainer Class) - https://sube.garanti.com.tr/lib/JaguarEditControl.CAB
O16 - DPF: {3AF4DACE-36ED-42EF-9DFC-ADC34DA30CFF} (PatchInstaller.Installer) - file://K:\content\include\XPPatchInstaller.CAB
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} - http://v4.windowsupdate.microsoft.co...181.5234606481
O16 - DPF: {B0A2C7FC-8666-44D6-A990-2FCE3B933341} (ING Bank Autorisatiescherm) - http://secure.ingbank.nl/download/DigiSign.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/s...sh/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{0F75D59B-EC1F-4F3F-99FB-DB632B205251}: NameServer = 62.58.50.5 62.58.50.6
O17 - HKLM\System\CS1\Services\Tcpip\..\{0F75D59B-EC1F-4F3F-99FB-DB632B205251}: NameServer = 62.58.50.5 62.58.50.6

elke keer alsk mijn pc scan met spybot, vind ie dso exploit. Kan iemand mij vertellen wat dat psies inhoud? kheb verder geen last (meer) avn mijn pc, kwas gewoon nieuwsgierig

[freyk]

Kenjirro schreef op 01-09-2004 @ 02:12 :
elke keer alsk mijn pc scan met spybot, vind ie dso exploit. Kan iemand mij vertellen wat dat psies inhoud? kheb verder geen last (meer) avn mijn pc, kwas gewoon nieuwsgierig

Beste Kenjirro,

Het is een klein standaard foutje in internet explorer, die je ff handmatig moet verwijderen.
In iedergeval heb ik het eerder beschreven in deze topic.

freyk schreef op 01-09-2004 @ 08:10 :
Beste Kenjirro,

Het is een klein standaard foutje in internet explorer, die je ff handmatig moet verwijderen.
In iedergeval heb ik het eerder beschreven in deze topic.

danku zeer, edele heer

[Dinalfos]

Is die exporteren-optie in je register hetzelfde als een back up maken?

[freyk]

Dinalfos schreef op 01-09-2004 @ 15:08 :
Is die exporteren-optie in je register hetzelfde als een back up maken?

Ja en nee
Ja -> je kan dan een gedeelte of een complete backup maken van je register.

Nee -> export-optie is alleen voor je register.
Als je je bestanden wilt gaan backuppen zijn daar andere programma's voor.

[Dinalfos]

freyk schreef op 01-09-2004 @ 19:28 :
Ja en nee
Ja -> je kan dan een gedeelte of een complete backup maken van je register.

Nee -> export-optie is alleen voor je register.
Als je je bestanden wilt gaan backuppen zijn daar andere programma's voor.

Maar de export-optie is wel adequaat als je even in het register moet rommelen om iets te verwijderen?

[freyk]

Ja, dat is zéér verstandig!

[Dinalfos]

Aha.

Ik heb even een register back up gemaakt en Spybot laten scannen. Dit zijn de resultaten.

Wat ik niet begrijp is wat het allerlaatste gedeelte van iedere omschrijving betekent. Door alle aanwijzingen op te volgen kan ik wel bij 1004 aankomen, maar ik weet niet wat "!=W=3 " betekent. Dat zie ik namelijk nergens staan.


DSO Exploit: Data source object exploit (Register-verandering., nothing done)
HKEY_USERS\S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0\1004!=W=3

DSO Exploit: Data source object exploit (Register-verandering., nothing done)
HKEY_USERS\S-1-5-21-2052111302-1060284298-682003330-1003\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0\1004!=W=3

DSO Exploit: Data source object exploit (Register-verandering., nothing done)
HKEY_USERS\S-1-5-20\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0\1004!=W=3

DSO Exploit: Data source object exploit (Register-verandering., nothing done)
HKEY_USERS\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0\1004!=W=3

DSO Exploit: Data source object exploit (Register-verandering., nothing done)
HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0\1004!=W=3


Het gaat dus om de zwartgemaakte gedeeltes op het eind.

[Krekker]

Heeft er trouwens niemand een oplossing voor mijn probleem?

[freyk]

Dinalfos schreef op 01-09-2004 @ 21:31 :
Ik heb even een register back up gemaakt en Spybot laten scannen. Dit zijn de resultaten.
DSO Exploit: Data source object exploit (Register-verandering., nothing done)

Zeg gewoon dat je last hebt van een dso exploit.
Je moet een paar wijzigingen maken in je register.
Hoe en wat, vind je in deze topic.

Of wat nog handiger is, gebruik de zoekfunctie.

[Miles]

'Switch' staat bij mij in de software lijst, Switch was toch een dialer?

[freyk]

Miles schreef op 05-09-2004 @ 11:25 :
'Switch' staat bij mij in de software lijst, Switch was toch een dialer?

Ja, dat is een dialer.

[SubbehQ]

Krekker schreef op 01-09-2004 @ 22:10 :
Heeft er trouwens niemand een oplossing voor mijn probleem?

Tja... ik zie eigelijk niks. Geen procces dat kwijt zou kunnen.

ga eens naar Start -> Uitvoeren of Run -> typ in msconfig -> Klik op tabblad opstarten helemaal rechts. Kijk in dat rijtje of je iets verdachts ziet. Zoja: vink af en sla op

<B>Niks wat je hier weghaald kan je systeem in de war sturen! Dit zijn alleen programma's die je zelf de opdracht hebt gegeven te starten wanneer windows start </B>

[Krekker]

Dat is het em nou juist. Daar zie ik ook al geen proces dat ik kan uitschakelen. Ik ken ze allemaal zo'n beetje en diegene die ik niet ken zijn van windows zelf.

hoi, ik krijg ineens www.easywebsearch.com als startpagina. het bestand waar het 'vandaan komt' heet newdotnet, staat in mijn program files maar ik kan het daar niet uit verwijderen. wat nu?

[freyk]

Hermione schreef op 05-09-2004 @ 17:27 :
hoi, ik krijg ineens www.easywebsearch.com als startpagina.

Dat is altijd klote, maar het is makkelijk te repareren.

Hermione schreef op 05-09-2004 @ 17:27 :
het bestand waar het 'vandaan komt' heet newdotnet, staat in mijn program files maar ik kan het daar niet uit verwijderen. wat nu?

Deze kan je makkelijk verwijderen in je software lijst.

Beste hermione,

Wil je het volgende voor mij doen?

1. Ga naar start -> configuratiescherm -> software
2. En verwijder daar newdot net
3. Download daarna Hijackthis, pak deze uit.
4. Start hijackthis, klik op scan -> save log en sla het ergens op.
5. Na het ergens opgeslagen te hebben, word meteen het log geopent, klik nu op bewerken -> alles selecteren -> bewerken -> kopieren.
6. Ga nu weer naar deze topic, klik op beantwoorden en klik nu met de rechtermuisknop op het invoer veld en dan op plakken -> verstuur replay, zodat je log hier komt te staan.
7. en wacht op ons antwoord

Ook raad ik je aan om deze gehele topic eens door te lezen, want hier vind je véél tips om je tegen dit gespuis te beschermen.

[reuffneck32]

hej, ik heb 2 balken (zie screenshot)


en via software krijg ik ze niet weg, en spybot en ad-aware kunnen ze niet vinden...
de onderste kan ik wel op kruisje drukken, dan is hij weg, maar alsik dan weer een IE open, dan komt ie weer gezellig terug
die bovenste is helemaal niet weg te krijgen (staat ookniet bij beeld ---> werkbalken)
weet iemand hoe ik ze weg kan krijgen?

edit: nu zijn ze in eens weg?, nou, ze zijn er dus niet meer, toch bedankt

[freyk]

reuffneck32 schreef op 06-09-2004 @ 15:24 :
en via software krijg ik ze niet weg, en spybot en ad-aware kunnen ze niet vinden...
weet iemand hoe ik ze weg kan krijgen?

Na het scannen en verwijderen van zooi met spybot/adware is het altijd verstandig om je pc te herstarten.

reuffneck32 schreef op 06-09-2004 @ 15:24 :
edit: nu zijn ze in eens weg?, nou, ze zijn er dus niet meer, toch bedankt

Je hebt je pc zeker hestart, maar je moet nooit te vroeg juigen.
In iedergeval raad ik je nogmaals een scan met spybot/adware.

En als tóch die balken weer terug komen, een hijackthis-log hier posten. (voor meer info zie de gehele topic)

[reuffneck32]

freyk schreef op 06-09-2004 @ 17:52 :
Na het scannen en verwijderen van zooi met spybot/adware is het altijd verstandig om je pc te herstarten.


Je hebt je pc zeker hestart, maar je moet nooit te vroeg juigen.
In iedergeval raad ik je nogmaals een scan met spybot/adware.

En als tóch die balken weer terug komen, een hijackthis-log hier posten. (voor meer info zie de gehele topic)

mjah ik heb me pc uit gehad en later weer aan, maar ik ga nog wel een keer scannen

[Earphone]

Hi,

Ik heb last van http://best-search.cc/index.php?v=6&aff=5698003 dat steeds als mijn startpagina verschijnt. Ik heb geen zin om adaware/spybot en nog verschillende programma's te installeren (enkel indien het echt noodzakelijk is). Kent iemand dit probleem? En weet iemand hoe ik dit moet oplossen? Ik heb al gezocht op google.com maar ik vind geen duidelijke uitleg. Normaal is dit de enige spyware/adware die ik heb dus ik zou gewoon graag een oplossing kennen voor dit enkel probleem. Thx a lot.

[freyk]

Earphone schreef op 07-09-2004 @ 17:16 :
Ik heb last van http://best-search.cc/index.php?v=6&aff=5698003 dat steeds als mijn startpagina verschijnt.

Je hebt last van Ncase

Earphone schreef op 07-09-2004 @ 17:16 :
Ik heb al gezocht op google.com maar ik vind geen duidelijke uitleg. Normaal is dit de enige spyware/adware die ik heb dus ik zou gewoon graag een oplossing kennen voor dit enkel probleem. Thx a lot.

Vind hier een engelse beschrijving en een oplossing:

1. Ga naar start -> configuratiescherm -> software
   en verwijder daar 180Search Assistant
2. (Doe het volgende op eigen risico)
   Ga naar start -> uitvoeren -> regedit
3. Maak een backup van je register:
   Zorg er eerst voor dat alles is ingeklapt word, door op de - tekentje te klikken. klik dan op bestand -> exporteren en sla het dan op een veilige plek op. Bijvoorbeeld op je c-schijf (maar dan niet in een map)
4. Klik nu op de + jes naast "deze computer", HKEY_CLASSES_ROOT, en verwijder daar 180SAInstaller.180SAInstaller door erop te klikken met de rechtermuis knop en dan verwijderen selecteren.
5. klik nu op de + je naast CLSID en verwijder daar de map {B10031B2-F184-4803-9A88-D239C0641D70}
6. klik nu op het - naast CLSID en dan op de + naast Interface en verwijder daar de map {DDEA2E1D-8555-45E5-AF09-EC9AA4EA27AD}
7. klik nu op het - naast interface en klik dan op het + naast TypeLib en verwijder daar de map {F2BF4713-E933-4B66-8694-22ED243709C7}
8. klik nu op het - je naast HKEY_CLASSES_ROOT en dan op het + jes naast HKEY_CURRENT_USER, Software, en verwijder daar 180solutions, msbb
9. Klik nu op de - naast HKEY_CLASSES_ROOT, en dan op de + naast HKEY_LOCAL_MACHINE, Software en verwijder daar de map 180solutions
10. Ga nu naar HKEY_LOCAL_MACHINE, Software, Classes en verwijder daar 180SAInstaller.180SAInstaller
11. Ga nu naar HKEY_LOCAL_MACHINE, Software, Classes, CLSID, en verwijder daar {B10031B2-F184-4803-9A88-D239C0641D70}
12. ga nu naar HKEY_LOCAL_MACHINE, Software, Classes, TypeLib, en verwijder daar {F2BF4713-E933-4B66-8694-22ED243709C7}
13. Ga nu naar HKEY_LOCAL_MACHINE, Software, Microsoft, Code Store Database, Distribution Units en verwijder daar {B10031B2-F184-4803-9A88-D239C0641D70}
14. Ga nu naar HKEY_LOCAL_MACHINE, Software, Microsoft, Windows, CurrentVersion, ModuleUsage, %WindowsRoot%, Downloaded Program Files en verwijder daar 180SAInstaller.dll
15. Ga naar HKEY_LOCAL_MACHINE, Software, Microsoft, Windows, CurrentVersion, ModuleUsage, %WindowsRoot%, Downloaded Program Files, en verwijder daar 180SALib.dll
16. Ga naar HKEY_LOCAL_MACHINE, Software, Microsoft, Windows, CurrentVersion, Uninstall en verwijder daar msbb
17. Ga naar HKEY_LOCAL_MACHINE, Software, Microsoft, Windows, CurrentVersion, SharedDLLs %WindowsRoot%, Downloaded Program Files en verwijder daar 180SAInstaller.dll
18. Ga nu naar HKEY_LOCAL_MACHINE, Software, Microsoft, Windows, CurrentVersion, SharedDLLs %WindowsRoot%, Downloaded Program Files en verwijder daar 180SALib.dll.
19. Herstart je pc

[Earphone]

freyk schreef op 07-09-2004 @ 18:41 :
[*] Ga naar start -> configuratiescherm -> software
en verwijder daar 180Search Assistant

Staat er niet tussen maar ik zal eens kijken of ik iets vind in het register (met uiteraard eerst een backup te maken). Thx!

[freyk]

En als het niet lukt kan je ook hier een hijackthis-log posten.

[Earphone]

freyk schreef op 07-09-2004 @ 19:16 :
En als het niet lukt kan je ook hier een hijackthis-log posten.

Omdat er niets van wat je had getypt in mijn register stond, althans, de eerste 2 dingen toch niet, daarna heb ik niet meer gecheckt, heb ik gezocht in het register op "search.cc" en heb ik deze 2 dingen verwijderd.

HKEY_CURRENT_USER\ Software\ Microsoft\ Internet Explorer\ Main "Search Bar" http://best-search.cc/search.php*
HKEY_CURRENT_USER\ Software\ Microsoft\ Internet Explorer\ Main "Search Page" http://best-search.cc/search.php*

Ik heb mijn computer terug opgestart en hij wijzigt mijn startpagina niet meer dus ik hoop dat het nu weg is. Thx voor de oplossing en de verwijzing naar de Engelse tutorial! Zou het nu volledig weg zijn?

[freyk]

Earphone schreef op 07-09-2004 @ 19:30 :
Omdat er niets van wat je had getypt in mijn register stond, althans, de eerste 2 dingen toch niet, daarna heb ik niet meer gecheckt, heb ik gezocht in het register op "search.cc" en heb ik deze 2 dingen verwijderd.

Via de naam zoeken is nóóit verstandig omdat er ook sleutels zijn die niet dezelfde naam hebben en verwijzen naar andere bestanden.
Sommige mensen die dom zoeken en dan verwijderen krijgen soms allemaal foutmeldingen dat windows sommige bestanden niet kan vinden.

Earphone schreef op 07-09-2004 @ 19:30 :
HKEY_CURRENT_USER\ Software\ Microsoft\ Internet Explorer\ Main "Search Bar" http://best-search.cc/search.php*
HKEY_CURRENT_USER\ Software\ Microsoft\ Internet Explorer\ Main "Search Page" http://best-search.cc/search.php*

Ik heb mijn computer terug opgestart en hij wijzigt mijn startpagina niet meer dus ik hoop dat het nu weg is. Thx voor de oplossing en de verwijzing naar de Engelse tutorial! Zou het nu volledig weg zijn?

Nee, je hebt alleen een verwijzing van je start- en zoekpagina gewijzigd.
Nu moet je geluk hebben dat ncase geen script heeft die deze pagina's weer terug zet naar zijn eigen zoek- en startpagina.

Zoals je leest in de engelse en mijn handleiding moet je ook handmatig een paar bestanden gaan verwijderen.
Maar dit zal je niet lukken omdat het beveiligd is door je register (hoewel ze misschien nog kan verwijderen/wijzigen in safe mode)
Daarom raad ik eerst aan om de verwijzingen uit je register te halen om daarna de bestanden handmatig te kunnen verwijderen.

Ik raad je nogmaals aan om de verwijzingen op te zoeken die in de handleiding staan (sommige kunnen ook nog andere namen hebben) en hier nog ff een hijackthis-log te plaatsen.

[Earphone]

Oeps. Nuja, ik denk niet dat ik foute dingen heb verwijderd. Maar de eerste 2 verwijzingen vond ik al niet. Dat programma staat ook niet bij mijn Software. Die zogezegde bestanden zijn al helemaal niet te vinden. Wat moet ik nu doen? Wel, ik zal eens zo'n log maken.

Logfile of HijackThis v1.97.7
Scan saved at 20:42:55, on 7/09/2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Common Files\Symantec Shared\ccSetMgr.exe
C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Common Files\Symantec Shared\ccProxy.exe
C:\Program Files\Norton Internet Security\Norton AntiVirus\navapsvc.exe
C:\Program Files\Norton Internet Security\Norton AntiVirus\SAVScan.exe
C:\Program Files\Common Files\Symantec Shared\SNDSrvc.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\WINDOWS\System32\ICO.EXE
C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\System32\ezSP_Px.exe
C:\Program Files\Sony\HotKey Utility\HKserv.exe
C:\Program Files\sony\vaio power management\SPMgr.exe
C:\Program Files\Common Files\Symantec Shared\ccApp.exe
C:\Program Files\Sony\HotKey Utility\HKWnd.exe
C:\Program Files\Winamp\winampa.exe
C:\Program Files\MSN Messenger\MsnMsgr.Exe
C:\Program Files\Adobe\Acrobat 6.0\Distillr\acrotray.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Program Files\Internet Explorer\IEXPLORE.EXE
D:\HijackThis.exe
C:\Program Files\Messenger\msmsgs.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.be/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.club-vaio.sony-europe.com
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *hot-searches.com*;*lender-search.com*
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O1 - Hosts file is located at: C:\WINDOWS\nsdb\hosts
O1 - Hosts: 81.211.105.69 lender-search.com
O1 - Hosts: 81.211.105.68 hot-searches.com
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: Web assistant - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Program Files\Common Files\Symantec Shared\AdBlocking\NISShExt.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Web assistant - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Program Files\Common Files\Symantec Shared\AdBlocking\NISShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [Mouse Suite 98 Daemon] ICO.EXE
O4 - HKLM\..\Run: [SynTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [ezShieldProtector for Px] C:\WINDOWS\System32\ezSP_Px.exe
O4 - HKLM\..\Run: [HKSERV.EXE] C:\Program Files\Sony\HotKey Utility\HKserv.exe
O4 - HKLM\..\Run: [SonyPowerCfg] C:\Program Files\sony\vaio power management\SPMgr.exe
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [URLLSTCK.exe] C:\Program Files\Norton Internet Security\UrlLstCk.exe
O4 - HKLM\..\Run: [ISP] C:\Program Files\sony\ISPselector\ISPselector.exe /SCHEDULER
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe
O4 - Global Startup: Acrobat Assistant.lnk = C:\Program Files\Adobe\Acrobat 6.0\Distillr\acrotray.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O9 - Extra 'Tools' menuitem: Sun Java Console (HKLM)
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Windows Messenger (HKLM)
O14 - IERESET.INF: START_PAGE_URL=http://www.club-vaio.sony-europe.com
O15 - Trusted Zone: *.sony-europe.com
O15 - Trusted Zone: *.sonystyle-europe.com
O15 - Trusted Zone: *.vaio-link.com
O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary...r.cab28578.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary...t.cab28578.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload.macromedia.com/get...sh/swflash.cab
O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary...n.cab28578.cab

En nu dan?

[freyk]

Kijk, hier hebben we ietjes meer aan.

Vink de volgende dingen aan in hijackthis

• R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *hot-searches.com*;*lender-search.com*
• O1 - Hosts: 81.211.105.69 lender-search.com
• O1 - Hosts: 81.211.105.68 hot-searches.com

Klik op fix en herstart dan je pc.

Earphone schreef op 07-09-2004 @ 20:40 :
En nu dan?

Tijd voor een scan met een geupdate spybot en Adaware SE - Personal

Earphone schreef op 07-09-2004 @ 17:16 :
Ik heb geen zin om adaware/spybot en nog verschillende programma's te installeren (enkel indien het echt noodzakelijk is).

Een scan met een geupdate spybot en adaware is
altijd noodzakelijk als je last hebt van spyware/adware!
(Eigenlijk had ik je moeten dwingen om dit éérst te doen.)

[Earphone]

Heb alles gedaan wat je hebt gezegd. Spybot, Adaware en die Hijhackthis. Ze vonden wel nog allerlei andere spyware maar of nu alles weg is, ik betwijfel het. Bij Spybot was er iets dat Spybot niet wegkreeg en Adaware is nu voor 2de keer aant scannen. Thx voor de links, tips en uitleg en moeite enzo

[freyk]

Earphone schreef op 07-09-2004 @ 23:30 :
Ze vonden wel nog allerlei andere spyware maar of nu alles weg is, ik betwijfel het.

Gewoon herstarten en nogmaal scannen.
Je kan me ook nog ff voor de zekerheid weer een hijackthis-log pm'men.
(want teveel hijackthis-logs van dezelfde gebruikers maakt de topic niet schoner op)

Earphone schreef op 07-09-2004 @ 23:30 :
Bij Spybot was er iets dat Spybot niet wegkreeg

Wat kreeg spybot niet weg? een dso exploit?
Als het dat is, heb ik in deze topic een handleiding geschreven om deze te verwijderen.

Earphone schreef op 07-09-2004 @ 23:30 :
Thx voor de links, tips en uitleg en moeite enzo

Graag gedaan.

[Earphone]

freyk schreef op 08-09-2004 @ 09:30 :

Wat kreeg spybot niet weg? een dso exploit?
Als het dat is, heb ik in deze topic een handleiding geschreven om deze te verwijderen.

Jups, een DSO exploit, dat was het (was de naam al vergeten). Ik zal een kijken in dit topic. Ik wist niet dat ik toch zoveel spyware had. Dit is mijn laptop en ik ben altijd voorzichtig bij het installeren van software (nooit zomaar wat uitproberen, zeker geen p2p software, etc) en ook bij het surfen. Maar helaas, precies toch wel wat spyware en adaware. Ik zal je straks die Hijhackthis log misschien eens PM'en.

Edit: Ik heb mijn Internet Explorer geupdate maar hij blijft die DSO Exploit vinden.. Ik scande vanmorgen terug met Spybot, vond hij terug al 2 nieuwe spyware dingens

Edit2: Met Ad-Aware vindt hij niets meer nu. Spybot vindt ook niets meer. Dat updaten van Internet Explorer bracht niets op, maar ik heb het gefixt via de DSO_fix en uitleg van http://forums.breekpunt.nl/forums/to...ID=9860&#48755 en nu vindt hij geen DSO Exploit meer. Nog even Hijhackthis uitvoeren en dan ben ik voorlopig spy en adaware vrij hoop ik. Ik PM me mijn Hijhackthis log, freyk. Dankjewel. Je moet wel wat moeite doen precies om van al die spyware vanaf te geraken, damn zeg.

[freyk]

Earphone schreef op 08-09-2004 @ 10:28 :
Nog even Hijhackthis uitvoeren en dan ben ik voorlopig spy en adaware vrij hoop ik. Ik PM me mijn Hijhackthis log, freyk.

Dankje voor je log.
Ik heb hem bekeken en kon geen verdachten dingen meer vinden.

Earphone schreef op 08-09-2004 @ 10:28 :
Dankjewel. Je moet wel wat moeite doen precies om van al die spyware vanaf te geraken, damn zeg.

Graag gedaan!
Maar Je moet nog één ding voor me doen.
Lees al mijn de tips die ik in deze topic heb geplaasts, om de veel spyware/adware tegen te houden!

[Dinalfos]

Heeft iemand de nieuwe versie van Ad-Aware(SE) al gedownload?

[freyk]

Dinalfos schreef op 10-09-2004 @ 18:59 :
Heeft iemand de nieuwe versie van Ad-Aware(SE) al gedownload?

Ja?

[SimplyABoy19]

Hoi,

een tijdje terug heb ik adaware ofzoiets laten installeren op mijn laptop en nu wil ik ook iets dat mn spyware checkt of iets dergelijks

Alleen ben ik niet echt technisch in dit soort dingen en snap er de ballen van!

Kan ik ook een link krijgen die regelrecht naar een download linkt zodat ik het alst ware met een druk op de knop kan installeren zonder hele sites af te werken op zoek naar de download?

Zou het zeer op prijs stellen

Groeten!

[SubbehQ]

volgensmij staan er in dit topic genoeg van die links.... maar ad-aware is net zo goed voor adware als spyware (Mits je hem wel steeds zijn defenities laten updaten. Dat is in het hoofdscherm search for updates o.i.d. klikken)

[freyk]

Daar gaan we weer!

• spybot
• Ad-Aware SE personal
• spywareblaster
• Hijackthis

[Krekker]

freyk schreef op 30-08-2004 @ 18:24 :
Hey krekker,

Je hebt een beetje last van W22/Sdbot
(klik op de link om bij recovery de handmatige oplossing te vinden)
Als het niet opgelost is raad ik je aan om nog ff een hijackthis-los te posten.

Freyk, je zat in de buurt. Het probleem was idd een virus ben ik vandaag achtergekomen, maar niet degene die jij noemde. Het was W32.Dedler.Worm. Die heb ik gevonden met de symantec online virusscanner, die ik normaal eigenlijk nooit gebruik, omdat ik norman virus control gebruikte.

De oplossing voor het probleem was (voor degenen die het willen weten) om AntiVir te installeren (gratis). Deze kan het genoemde virus vinden en verwijderen namelijk (wel even je harde schijven scannen dus).

[Miles]

Window Searching staat in m'n Software lijst; spyware?

[freyk]

Miles schreef op 20-09-2004 @ 19:56 :
Window Searching staat in m'n Software lijst; spyware?

Wat dacht je dan?

[SubbehQ]

Als jij het neit wil hebben zal ik het maar weggooien ja. Nee: het is geen windows proces, dus ongevaarlijk om weg te gooien.

Ik had gistren msn-plus maar ff weer ge-update.
Voor zover ik weet stond er nergens een knop MSn instaleren ZONDER sponsor, of ik moet opeens erg kippig zijn.
Anyway, toen ik een uurtje geleden me pc opstartte had ik opeens wat nieuwe zooi op me bureaublad staan, stond er wat troep bij me favorieten en ging ik automatisch naar 1 of andere zoeksite.
Ad-aware gedraaid en al dat spul eraf geflikked, meteen msn-plus eraf gebonjourd.
Helaas zit ik nu nog met 2 toolbars opgescheept. De bovenste is op zich wel geinig met hotlink naar links die op de pagina staan, maar de tweede staat onderin, is gelukkig wel voor 1 keer weg te klikken en is alleen maar rclame.
Ad-aware pakte ze helaas niet mee.
Ook heb ik in de programfiles een directory genaamd ''Body Else Remote'' staan, waar eerst 3 files in stonden. 2 konden weg, maar de 3e genaamd ''tons 1.exe'' niet. Iemand enig idee hoe ik genoemde zooi dan wel van me computer kan gooien?

[freyk]

Morridin schreef op 26-09-2004 @ 10:53 :
Ook heb ik in de programfiles een directory genaamd ''Body Else Remote'' staan, waar eerst 3 files in stonden. 2 konden weg, maar de 3e genaamd ''tons 1.exe'' niet. Iemand enig idee hoe ik genoemde zooi dan wel van me computer kan gooien?

Je gooit de verwijzing naar "tons1.exe" in je register weg.
En verwijdert hem alsnog.
Daarna scan je voor de zekerheid weer met adaware en spybot.
En om echt zeker te zijn, post je hier nog een hijackthislog neer.

Helaas stond die nergens in de reg te vinden
Kheb wel ff Sp2 al geïnstaleerd. Daarna kon ik hem vreemd genoeg wel deleten
Ik ga zo ff proberen met die andere programma's, want de bovenste toolbar kan ik uitzetten, de onderste moet ik telkens wegklikken.

EDIT: helaas doen de pagina's van spybot en Hijackthis het bij mij op dit moment niet. Dat wordt dan volgende week vrijdag als ik weer thuis ben

[freyk]

Morridin schreef op 26-09-2004 @ 16:20 :
EDIT: helaas doen de pagina's van spybot en Hijackthis het bij mij op dit moment niet. Dat wordt dan volgende week vrijdag als ik weer thuis ben

Maar post aub toch ff een hijackthis-log.

[SubbehQ]

freyk schreef op 26-09-2004 @ 17:07 :
Maar post aub toch ff een hijackthis-log.

lol hij zegt toch dat tie hijack this niet gedownload krijgt