Na inloggen XP start er een 'search window' op...

[Martin?81]

Iedere keer na het inloggen start er een ´search windows´ op. Ik snap er niks van. Ik draai XP trouwens. Ik heb al via msconfig en sysedit gekeken. Zelf in het register, services.msc. Allemaal niks. Advanced Startup Manager gebruikt, ook niks.

De mappen heb ik gereset, en dat stukje van ´previous state´ had ik aan staan, die heb ik ook uitgezet.

Nog krijg ik iedere keer die windows. Weet iemand nog iets??? TNX.

[Borromini]

Wschl spyware. Heb je al spyware removal tools gedraaid? Ad-Aware? Spybot S&D? Spywareblaster?

Die kunnen wel es helpen.

[Martin?81]

Had ik ook al op gezocht, geen spyware, geen virus... TNX.

[BtM909]

Is het de windows search zelf?

[418O2]

misschien is het handig als je een screenie post

[Martin?81]

418O2 schreef op maandag 14 februari 2005 @ 13:08:
misschien is het handig als je een screenie post

Ga ik doen.

Hier bij de screenie...

[ Voor 21% gewijzigd door Martin?81 op 14-02-2005 13:27 ]

[Verwijderd]

martinweb.nl schreef op maandag 14 februari 2005 @ 13:05:
Had ik ook al op gezocht, geen spyware, geen virus... TNX.

Waarom ben je daar zo zeker van?
En of 180Solutions AdWare is.

Toch maar eens met wat anders scannen dus.

[CH4OS]

Kan je anders ook een log posten, van Hyjackthis? Zet dat log dan aub tussen de code tags als je wil...

[Martin?81]

Verwijderd schreef op maandag 14 februari 2005 @ 13:10:
[...]

Waarom ben je daar zo zeker van?
En of 180Solutions AdWare is.

Toch maar eens met wat anders scannen dus.

Dat is zo, maar ik heb Adaware en Spyblaster gebruikt, en voor antivirus Norton en van Trend Micro... Als het dan nog niet gevonden wordt weet ik het ook niet meer.

[418O2]

ook alle proggies geupdate?

[roelio]

Microsoft Antispyware beta installeren

[Martin?81]

418O2 schreef op maandag 14 februari 2005 @ 13:15:
ook alle proggies geupdate?

Heb nu even alles programma´s gestopt die normaal opstarten tijdens het inloggen, maakt niks uit...

[FlipFluitketel]

Zoals GJ-tje al zei, post je HijackThis log eens.

[418O2]

staat dit niet gewoon in je Start > Programma's > Opstarten (of de engelse variant?) Dit is namelijk gewoon een windows venster

[Martin?81]

FlipFluitketel schreef op maandag 14 februari 2005 @ 13:29:
Zoals GJ-tje al zei, post je HijackThis log eens.

Heeft dat zin in dit geval? Het is geen popup van Internet, het is gewoon een de normale search windows van Windows...

Zelfs als ik ctrl-alt-del doet, dan krijg je dat lijstje van:

Lock Computer / Log Off / Shut Down
Change Password / Task Manager / Cancel

Als ik dan cancel krijg ik de windows ook... Echt vaag.

[ Voor 27% gewijzigd door Martin?81 op 14-02-2005 13:36 ]

[BtM909]

HijackThis heeft wel degelijk zin, want dit is iets wat in de Run-key in de registry staat

Ik heb 2x eerder een leeg item in de Run-key gehad: 1 keer krijg ik standaard de windows-folder, die andere was een search-scherm.

[Martin?81]

BtM909 schreef op maandag 14 februari 2005 @ 13:35:
HijackThis heeft wel degelijk zin, want dit is iets wat in de Run-key in de registry staat

Ik heb 2x eerder een leeg item in de Run-key gehad: 1 keer krijg ik standaard de windows-folder, die andere was een search-scherm.

De verbeterde, hoop ik?

code:

Logfile of HijackThis v1.99.0
Scan saved at 13:49:46, on 14-02-2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\pctspk.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\Linksts.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\Program Files\eMule\emule.exe
C:\Program Files\TightVNC\WinVNC.exe
C:\Program Files\RealVNC\VNC\WinVNC4.exe
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\Temporary Directory 2 for hijackthis.zip\HijackThis.exe

O4 - HKLM\..\Run: [ISDN Monitor] "Linksts.exe " W 1024
O4 - HKLM\..\Run: [WinVNC] "C:\Program Files\TightVNC\WinVNC.exe" -servicehelper
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [eMuleAutoStart] C:\Program Files\eMule\emule.exe -AutoStart
O23 - Service: PCTEL Speaker Phone - PCtel, Inc. - C:\WINDOWS\system32\pctspk.exe
O23 - Service: VNC Server - Constantin Kaplinsky - C:\Program Files\TightVNC\WinVNC.exe
O23 - Service: VNC Server Version 4 - RealVNC Ltd. - C:\Program Files\RealVNC\VNC\WinVNC4.exe

[ Voor 167% gewijzigd door Martin?81 op 14-02-2005 13:50 ]

[FlipFluitketel]

martinweb.nl schreef op maandag 14 februari 2005 @ 13:42:
[...]


Deze? Ik heb HijackThis nog nooit gebruikt, vandaar... En het is niet een beetje lang... Als het niet goed is haal ik het snel weer weg...

Dat is de verkeerde.. HijackThis (de nieuwste versie), uitpakken, opstarten en dan scan and save log doen, dan slaat ie de log file op en de inhoud daarvan moet je even hier plaatsen.

[Martin?81]

FlipFluitketel schreef op maandag 14 februari 2005 @ 13:46:
[...]


Dat is de verkeerde.. HijackThis (de nieuwste versie), uitpakken, opstarten en dan scan and save log doen, dan slaat ie de log file op en de inhoud daarvan moet je even hier plaatsen.

Hierboven staat ie... De nieuwe bedoel ik.

[DriesA]

Hey,
Ik weet niet of je met regedit kan werken maar verander alle sleutels waar C:\Program Files\... staat eens door "C:\Program Files\..." (dus aanhalingstekens toevoegen)

[elevator]

Kans op iets van spyware of iets dergelijks is inderdaad wel erg groot - ik ga eventjes jouw topic verplaatsen van Windows Operating Systems naar Beveiliging & Virussen.

Verder - als mensen vragen om iets te doen (bv. een hijackthis logfile te plaatsen) - probeer dan een beetje een iets uitgebreider antwoord te geven dan enkel iets als 'spyware kan het niet zijn - ik heb gescanned' - juist die extra informatie waar dan weer om gevraagd moet worden (welke programma's, e.d.) is vaak zinvol

Windows Operating Systems >> Beveiliging & Virussen

[Martin?81]

elevator schreef op maandag 14 februari 2005 @ 14:38:
Kans op iets van spyware of iets dergelijks is inderdaad wel erg groot - ik ga eventjes jouw topic verplaatsen van Windows Operating Systems naar Beveiliging & Virussen.

Verder - als mensen vragen om iets te doen (bv. een hijackthis logfile te plaatsen) - probeer dan een beetje een iets uitgebreider antwoord te geven dan enkel iets als 'spyware kan het niet zijn - ik heb gescanned' - juist die extra informatie waar dan weer om gevraagd moet worden (welke programma's, e.d.) is vaak zinvol

Windows Operating Systems >> Beveiliging & Virussen

Bedankt. Ik zal d´r rekening mee houden.

Dries_Aendekerk schreef op maandag 14 februari 2005 @ 14:36:
Hey,
Ik weet niet of je met regedit kan werken maar verander alle sleutels waar C:\Program Files\... staat eens door "C:\Program Files\..." (dus aanhalingstekens toevoegen)

Ik kan met regedit werken inderdaad, maar wat heeft dit voor zin? Zal het eens proberen. Gedaan, maar er zijn geen sleutels/keys met C:\Program Files\...

[ Voor 5% gewijzigd door Martin?81 op 14-02-2005 14:49 ]

[DriesA]

Ik kreeg ook ooit een venster met een bepaalde Windows-verkenner map bij het opstarten. Na een search op internet bleek dit de oplossing te zijn.

Als je de keys niet vindt, heb je er waarschijnlijk overheen gekeken. Op regel 27 van je Hijack-log lees ik:
O4 - HKCU\..\Run: [eMuleAutoStart] C:\Program Files\eMule\emule.exe -AutoStart
Als je msconfig opstarten en naar het laatste tabblad gaat, kun je ook zien of er aanhalingstekens gebruikt zijn.

Heb je zeker hier gekeken?
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

@elevator: Ik vrees dat je verplaatsing voorbarig is. Ik denk niet dat een virus aan de basis ligt.
@martinweb.nl: Je zegt "geen virussen" => welke virusscanner gebruik je? Up-to-date? Probeer ook eens een online virusscanner voor een second opinion.

[ Voor 78% gewijzigd door DriesA op 14-02-2005 14:57 ]

[Martin?81]

Ik heb met msconfig bijna alles uitgezet, en inderdaad, dan werkt het wel normaal... Dus het zit ergens in helaas.

Ik heb ook een online antivirus gebruikt nu, ook niets... http://www.antivirus.com/

[ Voor 28% gewijzigd door Martin?81 op 14-02-2005 15:36 ]

[pasta]

martinweb.nl schreef op maandag 14 februari 2005 @ 15:36:
Ik heb met msconfig bijna alles uitgezet, en inderdaad, dan werkt het wel normaal... Dus het zit ergens in helaas.

Ik heb ook een online antivirus gebruikt nu, ook niets... http://www.antivirus.com/

Je zou nu iedere keer 1 proces weer extra moeten aanzetten om te kijken wat het triggert.

[Martin?81]

pasta schreef op maandag 14 februari 2005 @ 15:37:
[...]

Je zou nu iedere keer 1 proces weer extra moeten aanzetten om te kijken wat het triggert.

Ben ik nu ook aan het doen. Leuk is dat hoor...

[Martin?81]

Jammer, ik had het mis. Ding komt nog steeds. Lijkt bijna wel willekeurig. Zelfs als bijna alles uit staat.

code:

Logfile of HijackThis v1.99.0
Scan saved at 20:07:20, on 14-02-2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\RealVNC\VNC\WinVNC4.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\HijackThis\HijackThis.exe

O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2\bin\npjpi142.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2\bin\npjpi142.dll
O23 - Service: VNC Server Version 4 - RealVNC Ltd. - C:\Program Files\RealVNC\VNC\WinVNC4.exe

[elevator]

Je zou oolk eens met 'AutoRuns' kunnen kijken van SysInternals
Verder - heb je dit ook als je inlogged met een andere user account?

[Martin?81]

elevator schreef op maandag 14 februari 2005 @ 20:11:
Je zou oolk eens met 'AutoRuns' kunnen kijken van SysInternals
Verder - heb je dit ook als je inlogged met een andere user account?

Wat is dat precies?

Ik heb Guest even gebruikt, zelfde idee... Ik geef het op. Hij opent maar search windows, installeer het wel een keer opnieuw.

Het lijkt door verschillende dingen getriggerd te worden, maar als ik hem een paar uur laat staan zijn er weer twee geopend... Heel vaag.

Nu staat dit venster er bij, dit wordt ook geopend naast de search window:



En geen Spyware te vinden volgens Spybot en Adaware. En ik zie inderdaad ook niets verdachts... Ik heb via Taskmanager alle processen gestopt wat kon, en nog blijft het komen.

edit: Vandaag start ik em weer es opnieuw op. Alles weer normaal... Raar... Bedankt voor de hulp zover. De oplossing weet ik alleen niet.

[ Voor 34% gewijzigd door Martin?81 op 15-02-2005 16:47 ]