NetStat -a 100+ Verbindingen

[Verwijderd]

Goedeavond mede-tweakers,

Ik zit sinds gister avond met een probleem waarvan ik niet weet waar het vandaan komt en wat het doet,

zodra ik in de command line "netstat -a" tik dan krijg ik de volgende lijst te zien:

Actieve verbindingen

Proto Lokaal adres Extern adres Status
TCP achilles:1047 downloads.aaa1screensavers.com:1051 ESTABLISHED
TCP achilles:1047 downloads.aaa1screensavers.com:1058 ESTABLISHED
TCP achilles:1049 downloads.aaa1screensavers.com:1410 ESTABLISHED
TCP achilles:1049 downloads.aaa1screensavers.com:1476 ESTABLISHED
TCP achilles:1049 downloads.aaa1screensavers.com:1477 ESTABLISHED
TCP achilles:1049 downloads.aaa1screensavers.com:1478 ESTABLISHED
TCP achilles:1049 downloads.aaa1screensavers.com:1979 ESTABLISHED
TCP achilles:1049 downloads.aaa1screensavers.com:1980 ESTABLISHED
TCP achilles:1049 downloads.aaa1screensavers.com:1981 ESTABLISHED
TCP achilles:1049 downloads.aaa1screensavers.com:1982 ESTABLISHED
TCP achilles:1049 downloads.aaa1screensavers.com:1983 ESTABLISHED
TCP achilles:1049 downloads.aaa1screensavers.com:2011 ESTABLISHED


maar dan nog 5x zo een lange lijst allemaal op andere poorten.
Ik heb Norton antivirus geinstalleerd en heb niks gevonden, ook draaien ad aware en microsoft anti spyware al altijd mee, en die hebben niks gezien, en vinden ook niets.

Ik ben ten einde raad, wie helpt mij ?

Hijack this LOG :


Logfile of HijackThis v1.99.0
Scan saved at 21:24:44, on 15-2-2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Common Files\Symantec Shared\ccSetMgr.exe
C:\Program Files\Common Files\Symantec Shared\SNDSrvc.exe
C:\Program Files\Common Files\Symantec Shared\SPBBC\SPBBCSvc.exe
C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\CTsvcCDA.exe
C:\Program Files\Norton AntiVirus\navapsvc.exe
C:\Program Files\Norton AntiVirus\IWP\NPFMntor.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Common Files\Symantec Shared\CCPD-LC\symlcsvc.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Creative\SBAudigy2ZS\Surround Mixer\CTSysVol.exe
C:\Program Files\Creative\SBAudigy2ZS\DVDAudio\CTDVDDet.EXE
C:\WINDOWS\system32\CTHELPER.EXE
C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe
C:\Program Files\Java\j2re1.4.2_06\bin\jusched.exe
C:\Program Files\Logitech\iTouch\iTouch.exe
C:\Program Files\WinFast\WFTVFM\WFWIZ.exe
C:\Program Files\NVIDIA Corporation\NvMixer\NVMixerTray.exe
C:\Program Files\ATI Technologies\ATI.ACE\cli.exe
C:\Program Files\Common Files\Symantec Shared\ccApp.exe
C:\Program Files\Messenger\msmsgs.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\ATI Technologies\ATI.ACE\CLI.exe
C:\Program Files\UltraMon\UltraMon.exe
C:\Program Files\UltraMon\UltraMonTaskbar.exe
C:\Program Files\Microsoft AntiSpyware\gcasDtServ.exe
C:\Program Files\Ventrilo\Ventrilo.exe
E:\mIRC\mirc.exe
C:\Program Files\Cheating-Death\cdeath.exe
D:\Steam\Steam.exe
C:\Program Files\WinFast\WFTVFM\WFTV.exe
C:\PROGRA~1\MOZILL~1\FIREFOX.EXE
D:\HLSW\hlsw.exe
C:\WINDOWS\system32\cmd.exe
C:\Program Files\WinRAR\WinRAR.exe
C:\DOCUME~1\Sander\LOCALS~1\Temp\Rar$EX00.515\HijackThis.exe

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 148.244.150.58:80
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
R3 - Default URLSearchHook is missing
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [CTSysVol] C:\Program Files\Creative\SBAudigy2ZS\Surround Mixer\CTSysVol.exe /r
O4 - HKLM\..\Run: [CTDVDDET] C:\Program Files\Creative\SBAudigy2ZS\DVDAudio\CTDVDDet.EXE
O4 - HKLM\..\Run: [CTHelper] CTHELPER.EXE
O4 - HKLM\..\Run: [SBDrvDet] C:\Program Files\Creative\SB Drive Det\SBDrvDet.exe /r
O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\UpdReg.EXE
O4 - HKLM\..\Run: [RemoteControl] "C:\Program Files\CyberLink\PowerDVD\PDVDServ.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\j2re1.4.2_06\bin\jusched.exe
O4 - HKLM\..\Run: [zBrowser Launcher] C:\Program Files\Logitech\iTouch\iTouch.exe
O4 - HKLM\..\Run: [WinFast Schedule] C:\Program Files\WinFast\WFTVFM\WFWIZ.exe
O4 - HKLM\..\Run: [NVMixerTray] "C:\Program Files\NVIDIA Corporation\NvMixer\NVMixerTray.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [gcasServ] "C:\Program Files\Microsoft AntiSpyware\gcasServ.exe"
O4 - HKLM\..\Run: [ATICCC] "C:\Program Files\ATI Technologies\ATI.ACE\cli.exe" runtime
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe
O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: ATI CATALYST System Tray.lnk = C:\Program Files\ATI Technologies\ATI.ACE\CLI.exe
O4 - Global Startup: UltraMon.lnk = C:\Program Files\UltraMon\UltraMon.exe
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_06\bin\npjpi142_06.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\j2re1.4.2_06\bin\npjpi142_06.dll
O9 - Extra button: Onderzoek - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {003FADA5-8FEE-11D6-AFB7-0004768F6183} (CryptoRSA Control) - https://www.p3.postbank.nl/sesam/CAX.cab
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab
O16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) - http://messenger.zone.msn...tatsPAClient.cab31267.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.m...eb_site.cab?1103975535814
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn...rStatsClient.cab31267.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/...sengersetupdownloader.cab
O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://messenger.zone.msn.com/binary/ZIntro.cab32846.cab
O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn...aireShowdown.cab31267.cab
O23 - Service: Adobe LM Service - Unknown - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Symantec Event Manager - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSetMgr.exe
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\system32\CTsvcCDA.exe
O23 - Service: Norton AntiVirus Auto-Protect Service - Symantec Corporation - C:\Program Files\Norton AntiVirus\navapsvc.exe
O23 - Service: Norton AntiVirus Firewall Monitor Service - Symantec Corporation - C:\Program Files\Norton AntiVirus\IWP\NPFMntor.exe
O23 - Service: SAVScan - Symantec Corporation - C:\Program Files\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service - Symantec Corporation - C:\PROGRA~1\COMMON~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\SNDSrvc.exe
O23 - Service: Symantec SPBBCSvc - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\SPBBC\SPBBCSvc.exe
O23 - Service: Symantec Core LC - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\CCPD-LC\symlcsvc.exe

[Br@m]

screensavers.com Gratis screensaver gedownload zeker?

Ga die zooi eerst er maar eens afgooien en snel.

[Verwijderd]

Nee, serieus dat is dus niet het geval 100% Zeker... maar ga toch even kijken..

edit:
Nee geen rare screensavers gevonden

[ Voor 27% gewijzigd door Verwijderd op 15-02-2005 21:37 ]

[Shuisman]

Hitman pro al geprobeerd, die schijnt enorm veel spyware te kunnen identificeren en destroyen

Heb je toevallig een screensaver geinstalleerd ?!

[Thralas]

Probeer dit eens:

code:

netstat -b

Misschien rolt er nog een executable uit

[Verwijderd]

Verrek,

CLI.EXE

dat is toch van het Ati Catalyst Control Center ?

[Thralas]

Verwijderd schreef op dinsdag 15 februari 2005 @ 21:44:
Verrek,

CLI.EXE

dat is toch van het Ati Catalyst Control Center ?

Dat klopt, alleen ik snap de relatie tussen ATI en screensavers niet

[Verwijderd]

Het zat ook in firefox.exe en cli.ex .....
vermoed dat het een soort spyware is maar niks pakt het aan

zelfs hitman niet met 10 ingebouwde programma's.

Iemand nog een idee ?

(behalve formatten )

[jota]

Negeer deze post,Microsoft Antispyware heeft TS al gebruikt.

[ Voor 149% gewijzigd door jota op 15-02-2005 23:23 ]

[Thralas]

Al een keer gereboot? Alles in je HiJackThis log lijkt me clean. De Hijackthis.de log analyzer geeft ook geen problemen aan, behalve

R3 - Default URLSearchHook is missing
Should be fixed if you do not know the application or if no application is mentioned

Maar dat heeft er niet veel mee te maken.

[Verwijderd]

Ja , had ik al aangegeven
Reboot helpt niet, als ik cli.exe aflsuit en firefox.exe afsluit dan verdwijnen de vermeldingen , zet ik het weer aan komt het terug.

Erg raar

[Sir_Killalot]

CLI.exe is heel normaal, als het goed is komt er ooit nog is een webupdate optie in het CCC

(netstat zuigt trouwens, gebruik TCPview: http://www.sysinternals.com/ntw2k/source/tcpview.shtml)

[ Voor 35% gewijzigd door Sir_Killalot op 16-02-2005 00:02 ]

[[Jules]]

Bekijk die processen eens met process explorer... zet dan de onderste view-pane dll-view aan (ctrl+d) en kijk of er vreemde dll's in zo'n proces meedraaien.
en als je dan toch bij sysinternals bent voor process explorer haal dan ook even autoruns op en bekijk eens wat er allemaal opgestart wordt bij windows.

[ Voor 36% gewijzigd door [Jules] op 16-02-2005 00:32 ]

[Verwijderd]

ik zit met hetzelfde probleem. alleen binden de connecties zich bij mij aan me firewall (kerio). als ik mijn firewall uit heb dan zijn ze weg start ik hem weer dan staat het weer.



is er niemand die hiervoor een oplossing heeft?

[ Voor 10% gewijzigd door Verwijderd op 02-03-2005 23:16 ]

[pasta]

Probeer eens die Kerio bestanden (kpf4gui.exe bijv.) te scannen op Jotti's online malware scan. (Ik neem iig aan dat die bestanden Kerio gerelateerd horen te zijn )

[Verwijderd]

heeeeel mischien hier iets mee te maken ?

http://www.security.nl/article/10250/1

[Verwijderd]

die files bevatten geen virussen en het lijkt me niet dat dit iets met die actie van lycos te maken heeft. want die screensaver heb ik niet op mijn pc gehad of iets.

aa1.screensavers.com staat ook in m'n hostfile. ik weet alleen niet precies of dit juis goed of fout is.

[the_stickie]

Verwijderd schreef op donderdag 03 maart 2005 @ 15:32:
die files bevatten geen virussen en het lijkt me niet dat dit iets met die actie van lycos te maken heeft. want die screensaver heb ik niet op mijn pc gehad of iets.

aa1.screensavers.com staat ook in m'n hostfile. ik weet alleen niet precies of dit juis goed of fout is.

Staat die url naar je localhost 127.0.0.1 in je hosts? indien neen, dan kan ie zeker weg. Indien ja is hij er waarschijnlijk ingeplaatst door een of ander tooltje om je te "beschermen" tegen reclame ofzo..

[Verwijderd]

jah hij verwijst naar 127.0.0.1

ik wil weten waar de connecties vandaan komen en hoe ik ze kan blokkeren. want volgens mij draaien er geen foute programma's mee ofzo en de connectie duikt overal op.

^{R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://google.com/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://google.com/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://google.com/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://google.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O4 - HKLM\..\Run: [SpeedTouch USB Diagnostics] "C:\Program Files\Alcatel\SpeedTouch USB\Dragdiag.exe" /icon
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [diagent] "C:\Program Files\Creative\SBLive\Diagnostics\diagent.exe" startup
O4 - HKLM\..\Run: [gcasServ] "C:\Program Files\Microsoft AntiSpyware\gcasServ.exe"
O4 - HKLM\..\Run: [BCWipeTM Startup] "C:\Program Files\Jetico\BCWipe\BCWipeTM.exe" startup
O4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [KAVPersonal50] "C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kav.exe" /minimize
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O8 - Extra context menu item: Alle links in deze pagina openen... - C:\Program Files\Avant Browser\OpenAllLinks.htm
O8 - Extra context menu item: Blokkeer alle plaatjes afkomstig van dezelfde server - C:\Program Files\Avant Browser\AddAllToADBlackList.htm
O8 - Extra context menu item: Download with GetRight - C:\Program Files\GetRight\GRdownload.htm
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Markeren - C:\Program Files\Avant Browser\Highlight.htm
O8 - Extra context menu item: Open with GetRight Browser - C:\Program Files\GetRight\GRbrowse.htm
O8 - Extra context menu item: Toevoegen aan Reclame Black List - C:\Program Files\Avant Browser\AddToADBlackList.htm
O8 - Extra context menu item: Zoeken - C:\Program Files\Avant Browser\Search.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_01\bin\npjpi150_01.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_01\bin\npjpi150_01.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe (file missing)
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe (file missing)
O16 - DPF: {CC0FC8B5-F895-11D2-BCDC-00105A68DFF3} (CIDSETTER Class) - http://ob.gouda.nl/Components/CIDSET.dll
O17 - HKLM\System\CCS\Services\Tcpip\..\{44EEBCA8-56D7-4E51-9C5A-466CB237DAF4}: NameServer = 195.121.1.34 195.121.1.66
O23 - Service: kavsvc - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kavsvc.exe
O23 - Service: Kerio Personal Firewall 4 (KPF4) - Kerio Technologies - C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe}

[ Voor 91% gewijzigd door Verwijderd op 03-03-2005 17:21 ]

[the_stickie]

als die url in hosts verwijst naar 127.0.0.1 zijn het dus connecties met je eigen pc

[Verwijderd]

maar dan is het nog steeds niet goed. ik wil er vanaf en weten waar het vandaan komt.

[Verwijderd]

Post hier je hostfile eens. Als 127.0.0.1 een alias heeft naar je genoemde url dan is dat je probleem.

In plaatst van het weergeven van 127.0.0.1 resolved hij de naam.

[Verwijderd]

hier is mijn hostfile:

http://members.lycos.nl/leukedames/hosts.txt

hij komt hier vandaan en is anders aardig vol.
C:\WINDOWS\SYSTEM32\DRIVERS\ETC

me pc begint er nu ook langzamer door te lopen volgens mij

[ Voor 27% gewijzigd door Verwijderd op 03-03-2005 21:44 ]

[BoGhi]

Met netstat -ano kun je het processID opzoeken van degene achter de poorten die verdacht zijn. Via de taakmanager kun je die weer terugzoeken naar de procesnaam.
<<KNIP>>
Het komt ongetwijfeld van spy/adware dat meedraait, bijzonder dat MS en AdAware dat niet kunnen vinden.. wel ge-update?

[Edit]: aangezien je zo te lezen al het een en ander gedraaid hebt aan anti-spyware tools (including hitman) zou het kunnen zijn dat de situatie nu het gevolg is van een mislukte verwijdering van een stuk spy/adware. <KNIP>.. doorspit je registry met een goede zoekstring (zoals screensavers.com). En staat er nog wat van dien aard bij je configuratiescherm-software dat je kunt un-installen?

[ Voor 49% gewijzigd door BoGhi op 04-03-2005 12:51 . Reden: hosts file lijkt ok ]

[Verwijderd]

die hosts file is in orde (die van mij is bv >2.5MB) - ze kan immers ook gebruikt worden om een hele reeks verdachte sites af te blokken zoals in dit geval (eventueel in combinatie met een miniwebservertje om de omleiding nog vlotter te laten lopen). waarschijn voorkomt de entry downloads.aaa1screensavers.com die zich erin bevindt erger. ik zou toch nog eens een grondige ronde spaaiweirswiepen doen als ik jou was.

[Verwijderd]

Negeer de post van BoGhi hierboven even......

1 van de beschermingen die antispyware software je biedt is het doorverwijzen van bekende adware/banner sites naar je localhost (127.0.0.1).
Deze doet dit door je host file aan te passen met deze site's.
Ze worden doorverwezen naar het localhost adres.
Je eigen pc dus.

Omdat netstat naar je hostfile kijkt om een naam bij het ip te krijgen zie jij downloads.aaa1screensavers.com #[Bargin Buddy] staan ipv 127.0.0.1.

De verbindingen die jij beschijft zijn dus eigelijk verbinding niet naar het internet maar naar je eigen machine (localhost, 127.0.0.1 of loopback).

Ik kan je niet vertellen waarom dit is of welk programma het is maar het heeft in ieder geval niks te maken met downloads.aaa1screensavers.com.

Maak van downloads.aaa1screensavers.com in de host file maar eens eigenpc.localhost.local
Nu geeft netstat -a een heel ander resultaat.

Probeer eens een active firewall te installeren om te bepalen welk programma die verbindingen maakt.

[BoGhi]

[...]
De zin over de hosts-file klopt inderdaad niet, ik zal 'm edit-en.
De rest mag best gelezen worden lijkt me, bedankt voor het opbouwende commentaar..