Gathering of Tweakers

Zoals de titel al doet vermoeden heb ik last van Spyware. Dat komt niet vaak voor, maar nadat ik iemand even een dagje op mn computer heb gelaten (onder admin account ) heb ik erg last van spyware, deze is vrij agressief kan zelfs geen taskmanager meer openen. Nu heb ik dit simpel in de registry weer enabled, maar goed binnen de browsers heb ik last van zogenaamde "infolinks" + dat google search resultaten naar een andere site worden gelinkt. En met geen mogelijkheid krijg ik die eruit gesloopt.

Eerst maar even wat ik al geprobeerd heb:

- Kaspersky Antivirus 6.nog wat, nieuwste defs, full scan = geen resultaat (0 virus)
- AVG antivirus, nieuwste defs, full scan = geen resultaat (0 virus)
- Spybot 1.6, nieuwste defs, imunize + full scan = geen resultaat (4 tracking cookies, verwijderd)
- Hitman Pro 2.6, nieuwste defs voor alles, full scan = geen resultaat
- Host file handmatig bekeken, staat niets in.
- MSConfig, een paar tools uitgeschakeld, verder start er niets bijzonders op.
- Opgestart in veilige modus en spybot laten scannen voor de startup = geen resultaat.

Ik blijf die troep maar zien zowel in Firefox 3 als in IE7.

Dus ik dacht nou dan maar een volledige herinstallatie van Windows Vista, schijf geformatteerd, Vista erop, schone lei, schoon registry. Ik open de browsers en weer hetzelfde probleem..

Dus nogmaals de stappen zoals hierboven uitgevoerd, maar zonder resultaat. Taskmanager laat ook geen vreemde processen zien verder.. dus waar het vandaan komt is me een raadsel.

Heeft iemand nog wat tips voor, i'm running out of options..

Omstandigheden:
- Windows Vista Ultimate SP1, incl alle updates, ook voor defender etc.
- 1 Harddisk met Vista, deze is geformatteerd etc.
- 1 Harddisk met alle crap, films, programma's etc, wel gescant maar niet geformatteerd.

Lingod wijzigde dit bericht 23-07-2008 00:50 (18%)
Reden: vergeten..

Post eens een Hijackthis (TrendMicro) log van je PC.

http://www.trendsecure.co...security_tools/hijackthis

quote:

Lingod schreef op woensdag 23 juli 2008 @ 00:42:
- 1 Harddisk met alle crap, films, programma's etc, wel gescant maar niet geformatteerd.

Dan moet die malware wel op deze schijf staan.
Doe eens een schone install met deze harddisk niet aangesloten op je PC.

quote:

bitshape schreef op woensdag 23 juli 2008 @ 00:54:
Post eens een Hijackthis (TrendMicro) log van je PC.

http://www.trendsecure.co...security_tools/hijackthis

Niks speciaals:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 1:21:10, on 23-7-2008
Platform: Windows Vista SP1 (WinNT 6.00.1905)
MSIE: Internet Explorer v7.00 (7.00.6001.18000)
Boot mode: Normal

Running processes:
C:\Windows\system32\taskeng.exe
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Program Files\Windows Defender\MSASCui.exe
C:\Program Files\ANTEC\VFD\VFD.exe
C:\Program Files\AVG\AVG8\avgtray.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Windows\ehome\ehtray.exe
C:\Windows\ehome\ehmsas.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\Program Files\DAEMON Tools Lite\daemon.exe
C:\Windows\system32\wuauclt.exe
C:\Program Files\Internet Explorer\ieuser.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Windows\system32\Macromed\Flash\FlashUtil9f.exe
C:\Users\me\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\RUUASVWI\HiJackThis[1].exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =

O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
O4 - HKLM\..\Run: [VFD] C:\Program Files\ANTEC\VFD\VFD.exe
O4 - HKLM\..\Run: [AVG8_TRAY] C:\PROGRA~1\AVG\AVG8\avgtray.exe
O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
O4 - HKCU\..\Run: [ehTray.exe] C:\Windows\ehome\ehTray.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [DAEMON Tools Lite] "C:\Program Files\DAEMON Tools Lite\daemon.exe" -autorun
O9 - Extra button: (no name) - {2D663D1A-8670-49D9-A1A5-4C56B4E14E84} - (no file)
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O13 - Gopher Prefix:
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macrom...ve/cabs/flash/swflash.cab
O20 - AppInit_DLLs: avgrsstx.dll
O23 - Service: AVG8 WatchDog (avg8wd) - AVG Technologies CZ, s.r.o. - C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe
O23 - Service: PC Tools Auxiliary Service (sdAuxService) - PC Tools - C:\Program Files\Spyware Doctor\pctsAuxs.exe
O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - C:\Program Files\Spyware Doctor\pctsSvc.exe

--
End of file - 3399 bytes

quote:

O9 - Extra button: (no name) - {2D663D1A-8670-49D9-A1A5-4C56B4E14E84} - (no file)

kan er al uit, net als de o13 gopher...

verder je hostfile eens nakijken (heb je al gedaan), ev. dns-settings van je router effe checken (zijn het wel die van je provider ?), kan zijn dat alle google-zoekresultaten niet van google afkomen maar van ergens anders

verklaart ook de cross-browser problemen. (mocht je router gehackt zijn en de dns naar 'niet isp' plots staan, en ja dit kan via exploits in je browser of javascript en dergelijken, laatst nog nieuws over geweest op t.net en/of sans/cert)

soulrider wijzigde dit bericht 23-07-2008 02:33 (22%)

Vraagje kan iemand: http://www.daemon-tools.cc/dtcc/announcements.php
even checken, zien jullie daar ook infolinks. Mogelijk heb ik mezelf misleidt, ik zie op die site steeds infolinks staan. Ik heb dit getest op een andere machine en daar zie ik geen infolinks.

Maar nu op mijn werkstations (op mn werk) zie ik ook infolinks staan..

PS: dit zijn infolinks:

Lingod wijzigde dit bericht 23-07-2008 09:13 (12%)

Daar staan zekers wel infolinks, mogelijk heb je *.infolinks.com geblocked op je andere pc.

Ok, deze kan dicht.
Geen Spyware na herinstallatie dus..