[XP] nxhbiy.exe - wat is het?

[Blue-eagle]

Ik vindt er niks mee op Google Dit proces staat in mijn "processen" lijst in Windows Taskmanager, en ook in mijn "opstarten" tab bij msconfig.

Iemand enig idee? Als het hem uitvink komt 'ie net zo hard weer terug bij een reboot.

Hij staat in c:\windows\system32\

[icecoolsniper]

Probeer eens te scannen op spyware en op virussen. Misschien dat je em er mee kan wegkrijgen als het een virus of spyware is.

[Verwijderd]

normaal zou ik zeggen zoek naar de naam op google, maar die geeft geen enkele hit op die procesnaam...
zeker vaag, doe eens een spyware en virusscan inderdaad?
misschien uit het register te verwijderen?

[ Voor 13% gewijzigd door Verwijderd op 27-01-2005 19:10 ]

[Outerspace]

Blue-eagle schreef op donderdag 27 januari 2005 @ 19:04:
Ik vindt er niks mee op Google Dit proces staat in mijn "processen" lijst in Windows Taskmanager, en ook in mijn "opstarten" tab bij msconfig.

Iemand enig idee? Als het hem uitvink komt 'ie net zo hard weer terug bij een reboot.

Hij staat in c:\windows\system32\

Waarschijnlijk een virus / spyware thingy:

Haal hem eens door de Jotti-scan
en gebruik Hijackthis en post daarvan eventueel een log.

Het automatisch opstarten kan je eventuuel stoppen door:
Start -> uitvoeren -> msconfig -> Opstarten, en dan het vinkje weghalen

[ Voor 13% gewijzigd door Outerspace op 27-01-2005 19:13 ]

[MelvinvdC]

Gewoon ff Ada-ware SE downloaden en laten scannen, hier kan je hem vinden
http://www.download.com/3...74&subj=dlpage&tag=button

[Blue-eagle]

Alles al gedaan, Spybot doet er niks mee, Ad-aware ook niet, de nieuwste NAV geeft ook geen melding (en ik kan niks vinden op hun website hierover).

Dit draait niet toevallig bij iemand anders? Als het vreemde spyware is vraag ik me af waar het vandaan kan komen... Die-hard Mozillaër hiero, en absoluut niet onverantwoordelijk met m'n PC

[Spider.007]

Voor de zekerheid maar even een move naar BV

WOS > BV

[Greenstick]

Ik zou inderdaad eerst even het proces killen, en daarna de map opstarten + de "run" sleutels in het register checken op verwijzingen. En dan gooi je dat bestandje natuurlijk ff weg

[Blue-eagle]

'k Heb inmiddels wat gevonden.

Executable description: "Installation utility for www.callinghome.biz".
Copyright: "callinghome.biz © 2004".
Original filename: "caller.exe".
Productname: "Calling Home".

Whois gegevens van callinghome.biz:

code:

[whois.melbourneit.com]
Domain Name:                                 CALLINGHOME.BIZ
Domain ID:                                   D6862185-BIZ
Sponsoring Registrar:                        TUCOWS INC.
Sponsoring Registrar IANA ID:                69
Domain Status:                               clientTransferProhibited
Domain Status:                               clientUpdateProhibited
Registrant ID:                               TUAFHAXCVZETMQGE
Registrant Name:                             Thinking Media LP
Registrant Organization:                     Thinking Media LP
Registrant Address1:                         275 Madison Avenue
Registrant City:                             New York
Registrant State/Province:                   NY
Registrant Postal Code:                      10016
Registrant Country:                          United States
Registrant Country Code:                     US
Registrant Phone Number:                     +1.8668396164
Registrant Email:                            [e-mail]
Administrative Contact ID:                   TUVQG8WFRZZWW9SH
Administrative Contact Name:                 Reg. Services
Administrative Contact Organization:         Thinking Media LP
Administrative Contact Address1:             275 Madison Avenue
Administrative Contact City:                 New York
Administrative Contact State/Province:       NY
Administrative Contact Postal Code:          10016
Administrative Contact Country:              United States
Administrative Contact Country Code:         US
Administrative Contact Phone Number:         +1.8668396164
Administrative Contact Email:                [e-mail]
Billing Contact ID:                          TU60WNIHUTNKEMJM
Billing Contact Name:                        DBMS Billing
Billing Contact Organization:                VeriSign, Inc.
Billing Contact Address1:                    487 E. Middlefield Rd.
Billing Contact Address2:                    Mailstop MV 3-1-2
Billing Contact City:                        Mountain View
Billing Contact State/Province:              CA
Billing Contact Postal Code:                 94043
Billing Contact Country:                     United States
Billing Contact Country Code:                US
Billing Contact Phone Number:                +1.8005792848
Billing Contact Facsimile Number:            +1.6502378883
Billing Contact Email:                       [e-mail]
Technical Contact ID:                        TU6MYXPOBPNG7R3L
Technical Contact Name:                      Reg. Services
Technical Contact Organization:              Thinking Media LP
Technical Contact Address1:                  275 Madison Avenue
Technical Contact City:                      New York
Technical Contact State/Province:            NY
Technical Contact Postal Code:               10016
Technical Contact Country:                   United States
Technical Contact Country Code:              US
Technical Contact Phone Number:              +1.8668396164
Technical Contact Email:                     [e-mail]
Name Server:                                 NS01.A.FGREP.NET
Name Server:                                 NS02.I.FGREP.NET
Created by Registrar:                        GO DADDY SOFTWARE, INC.
Last Updated by Registrar:                   TUCOWS INC.
Last Transferred Date:                       Tue Nov 23 16:01:56 GMT 2004
Domain Registration Date:                    Tue May 04 18:52:25 GMT 2004
Domain Expiration Date:                      Thu May 03 23:59:59 GMT 2007
Domain Last Updated Date:                    Wed Nov 24 21:12:42 GMT 2004

Thinkingmedia.net is "under construction" op het moment. Maar ze worden blijkbaar door Tucows gesponsord of gehost.

Dit voor mensen die de search gebruiken in de toekomst. Ik heb geen idee hoe ik hier aan kom - ik gebruik nooit Tucows en die andere sites zeggen me nog minder.

[simon]

Nee tucows is de registrar, via tucows hebben ze het domein...

[Blue-eagle]

Ik zie het ja, iets te snel gelezen Ik ga nu even kijken wat "Created by Registrar: GO DADDY SOFTWARE, INC." precies is. Wat ik tot nu toe heb gevonden lijkt allemaal een beetje "underground" hier en daar..

[pasta]

outerspace schreef op donderdag 27 januari 2005 @ 19:12:
[...]

Waarschijnlijk een virus / spyware thingy:

Haal hem eens door de Jotti-scan
en gebruik Hijackthis en post daarvan eventueel een log.

Het automatisch opstarten kan je eventuuel stoppen door:
Start -> uitvoeren -> msconfig -> Opstarten, en dan het vinkje weghalen

Dit zou ik nog even willen benadrukken. Geef eventueel ook bij je log aan wat je naast dat proces ook nog vreemd vind.

[Blue-eagle]

outerspace schreef op donderdag 27 januari 2005 @ 19:12:
Het automatisch opstarten kan je eventuuel stoppen door:
Start -> uitvoeren -> msconfig -> Opstarten, en dan het vinkje weghalen

Helaas kwam hij weer terug na een reboot

pasta schreef op donderdag 27 januari 2005 @ 22:45:
[...]

Dit zou ik nog even willen benadrukken. Geef eventueel ook bij je log aan wat je naast dat proces ook nog vreemd vind.

code:

File: nxhbiy.exe
Status: INFECTED/MALWARE
Packers detected: None
AntiVir: TR/Dldr.IstBar.FJ.3 (0.34 seconds taken)
Avast: Win32:Trojano-490 (3.06 seconds taken)
BitDefender: Trojan.Downloader.Agent.AE (0.36 seconds taken)
ClamAV: Trojan.Downloader.Agent.AE-3 (0.39 seconds taken)
Dr.Web: Trojan.DownLoader.560 (0.55 seconds taken)
F-Prot Antivirus: W32/Agent.I@dl (0.07 seconds taken)
Kaspersky Anti-Virus: TrojanDownloader.Win32.Agent.ae (0.66 seconds taken)
mks_vir: Trojan.Downloader.Agent.Ae (0.21 seconds taken)
NOD32: Win32/TrojanDownloader.Agent.AE (0.40 seconds taken)
Norman Virus Control: W32/DLoader.BF (0.15 seconds taken)

Die andere site doet het niet atm.

[ Voor 28% gewijzigd door Blue-eagle op 27-01-2005 23:46 ]

[Greenstick]

Blue-eagle schreef op donderdag 27 januari 2005 @ 23:44:
[...]
Helaas kwam hij weer terug na een reboot

Daarom raadde ik al aan eerst het proces te killen, en dan pas de sleutel te verwijderen

Ik heb al vaak genoeg meegemaakt dat de sleutel doodleuk word teruggezet als het proces wordt afgesloten... En dan is het logisch dat ie ook weer start

[pasta]

Blue-eagle schreef op donderdag 27 januari 2005 @ 23:44:
Die andere site doet het niet atm.

Controleer dan even je hosts file voor verdachte entries. Als het goed is hoort er alleen

code:

127.0.0.1 localhost

te staan. Verder moet je toch wel met een simpele zoekquery HiJack-this kunnen vinden.

[Blue-eagle]

pasta schreef op vrijdag 28 januari 2005 @ 15:00:
[...]

Controleer dan even je hosts file voor verdachte entries. Als het goed is hoort er alleen

code:

127.0.0.1 localhost

te staan. Verder moet je toch wel met een simpele zoekquery HiJack-this kunnen vinden.

Ik wist niet dat 't een programma was, ik dacht aan een site

Ik zal het even doen als ik weer thuis ben