Sexxx dail-up icoon dat steeds terugkomt

[Verwijderd]

Ik heb gezocht en gezocht vanmiddag, de hele middag lang, maar kon geen oplossing vinden die werkt. Ik heb een speciale versie van die TIB-dialer ofzo. Dat Sexxx icoontje komt steeds maar terug. Alles geprobeerd, met Windows XP in veilige modus opstartenen Hitman Pro.... maar allemaal geen resultaat. Wie kan mij helpen bij dit probleem? ik ben ten einde raad


Logfile of HijackThis v1.99.1
Scan saved at 18:13:28, on 20-2-2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Common Files\Symantec Shared\ccSetMgr.exe
C:\Program Files\Common Files\Symantec Shared\SNDSrvc.exe
C:\Program Files\Common Files\Symantec Shared\SPBBC\SPBBCSvc.exe
C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\QuickTime\qttask.exe
C:\WINDOWS\nvsvca32.exe
C:\Program Files\Common Files\Symantec Shared\ccApp.exe
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\MSN Messenger\MsnMsgr.Exe
C:\Program Files\Messenger\msmsgs.exe
C:\WINDOWS\system32\devldr32.exe
C:\Program Files\Norton AntiVirus\navapsvc.exe
C:\Program Files\Norton AntiVirus\IWP\NPFMntor.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\Program Files\Speed Disk\nopdb.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Common Files\Symantec Shared\CCPD-LC\symlcsvc.exe
C:\WINDOWS\system32\taskmgr.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Download\hijackthis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.nl/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: (no name) - {0F9561D0-03B2-44a3-89A6-E95E417CBA25} - C:\WINDOWS\cerbmod.dll (file missing)
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: Ipswitch.WsftpBrowserHelper - {601ED020-FB6C-11D3-87D8-0050DA59922B} - C:\Program Files\Ipswitch\WS_FTP Home\wsbho2k0.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\System32\PSDrvCheck.exe -CheckReg
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [nvsvca32] C:\WINDOWS\nvsvca32.exe
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {62475759-9E84-458E-A1AB-5D2C442ADFDE} - http://a1540.g.akamai.net...uickTimeFullInstaller.exe
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/...sengersetupdownloader.cab
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSetMgr.exe
O23 - Service: IMAPI CD-Burning COM Service (ImapiService) - Roxio Inc. - C:\WINDOWS\System32\ImapiRox.exe
O23 - Service: Norton AntiVirus Auto-Protect Service (navapsvc) - Symantec Corporation - C:\Program Files\Norton AntiVirus\navapsvc.exe
O23 - Service: Norton AntiVirus Firewall Monitor Service (NPFMntor) - Symantec Corporation - C:\Program Files\Norton AntiVirus\IWP\NPFMntor.exe
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: SAVScan - Symantec Corporation - C:\Program Files\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\COMMON~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\SNDSrvc.exe
O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\SPBBC\SPBBCSvc.exe
O23 - Service: Speed Disk service - Symantec Corporation - C:\Program Files\Speed Disk\nopdb.exe
O23 - Service: Symantec Core LC - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\CCPD-LC\symlcsvc.exe
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\Security Center\SymWSC.exe

[XWB]

start => uitvoeren => msconfig
vink het uit, reboot & delete de exe (moet je wel weten waar ie staat)

[sanfranjake]

Daar hebben we een speciaal forum voor, genaamd Beveiliging & Virussen Daarom verplaats ik je topic. Wat heb je zelf allemaal al geprobeerd, gezocht en gevonden hierover? Er is vast erg veel documentatie beschikbaar, en wij tweakers verdiepen ons altijd even in de materie alvorens hier de vraag te stellen.

Kan natuurlijk zijn dat je al van alles hebt geprobeerd, maar dat haal ik niet uit je post. Zou je deze nog even aan willen vullen? Lees ook Algemene gedragsregels (Netiquette) nog even goed door, en de BV-stickies.

Windows Operating Systems > Beveiliging & Virussen

[pasta]

code:

C:\WINDOWS\nvsvca32.exe

Deze vertrouw ik niet zo, gooi die eens door Jotti's online malware scan.

code:

O2 - BHO: (no name) - {0F9561D0-03B2-44a3-89A6-E95E417CBA25} - C:\WINDOWS\cerbmod.dll (file missing)
O4 - HKLM\..\Run: [nvsvca32] C:\WINDOWS\nvsvca32.exe

Deze 2 items kunnen ook nog weg.

Hacku schreef op zondag 20 februari 2005 @ 18:22:
start => uitvoeren => msconfig
vink het uit, reboot & delete de exe (moet je wel weten waar ie staat)

Als je niet weet welke .exe het is dan gaat dat nogal lastig.

[ Voor 30% gewijzigd door pasta op 20-02-2005 19:04 ]

[Verwijderd]

"Wat heb je zelf allemaal al geprobeerd, gezocht en gevonden hierover? Er is vast erg veel documentatie beschikbaar, en wij tweakers verdiepen ons altijd even in de materie alvorens hier de vraag te stellen.

Kan natuurlijk zijn dat je al van alles hebt geprobeerd, maar dat haal ik niet uit je post. Zou je deze nog even aan willen vullen"

ik heb het niet precies bijgehouden wat ik allemaal heb gedaan, maar wel veel verschillende dingen. Eerst met adaware geprobeerd het probleem te verhelpen wat niet lukte. Toen maar op google gezocht, waarbij ik op inderdaad verschillende fora kwam met vermeende oplossingen. Die "oplossingen" heb ik geprobeerd maar zonder resultaat. De meeste oplossingen bestonden uit simpel wat regeltjes uit je register halen en dan de bestanden en icoontjes van de sex-dailup verwijderen. Maar dat werkte dus niet, keer op keer kwam het terug. Toen heb ik nog een keer een hele instructie-pagina gevolgd waarbij ik in de veilige-modus allerlei dingen moest doen. Verschillende bestanden die verwijderd moesten worden, maar die helemaal niet aanwezig waren op m'n computer(tibs3.exe, open32.exe snim.dll en drtc16.dll kon ik alle 4 niet vinden). Ook deze methode, ondanks alle moeite met veilige modus enz., hielp ook niet. Toen heb ik nog geprobeerd met Hitman Pro alles te scannen. De programma's (adware, winsweeper, enz.) vonden wel het probleem (onder het mom "TIBS dialer") wel, zeiden dat ze het had verwijderd, maar na de volgende keer opstarten kwam het vrolijk weer terug. Ik vrees dus dat ik te maken heb met een nieuwere versie ofzo.

Het programmatje doet z'n werk via "127036.dlr" bij mij. Dat programmatje installeert steeds die dailup-icoontjes en page. Ik heb hierop gezocht bij google, maar geen resultaat. Het betreffende bestand verwijderen helpt ook niet want het komt steeds weer terug. Ik heb ook nog het windows-register doorgezocht op "127036", keys gevonden, gedelete, maar het kwam toch weer terug.

Ik ben benieuwd of iemand mij hier mee kan helpen want ik ben ten einde raad. Excuses dat ik het in eerste instantie in het verkeerde forum had gepost, maar dat kwam omdat ik ook hier nog had gezocht op die "sexxx dailup" en toen bij een topic uitkwam wat in het forum windows operating systems stond.

[Jeroennl]

Nog iemand die dat gezellige icoontje heeft.

Me vader heeft het ook op zijn PC:D Maar weg krijgen ho maar. Ben nu al 3 uur bezig.

Msconfig nog niet geprobeerd. Alle andere opties die google al biedt geprobeerd.

[magnifor]

Misschien kan je Microsoft Antispyware proberen. Voor het scannen wel updaten natuurlijk.

Verschillende bestanden die verwijderd moesten worden, maar die helemaal niet aanwezig waren op m'n computer(tibs3.exe, open32.exe snim.dll en drtc16.dll kon ik alle 4 niet vinden).

Worden verborgen bestanden wel weergegeven?

[ Voor 15% gewijzigd door magnifor op 20-02-2005 20:34 . Reden: Effe een link in mijn post plaatsen ]

[CyberThijs]

http://hijackthis.de/logf...f3cc732bd0074dfb03b7.html

Daaruit blijkt dat O16 - DPF: {62475759-9E84-458E-A1AB-5D2C442ADFDE} - http://a1540.g.akamai.net...uickTimeFullInstaller.exe zeker weg moet...

Er staan voor hijackthis ook nog een paar onbekende apps tussen, controleer die log 'ns en overloop de onbekende progjes 'ns ..

[pasta]

CyberThijs schreef op zondag 20 februari 2005 @ 20:36:
http://hijackthis.de/logf...f3cc732bd0074dfb03b7.html

Daaruit blijkt dat O16 - DPF: {62475759-9E84-458E-A1AB-5D2C442ADFDE} - http://a1540.g.akamai.net...uickTimeFullInstaller.exe zeker weg moet...

Er staan voor hijackthis ook nog een paar onbekende apps tussen, controleer die log 'ns en overloop de onbekende progjes 'ns ..

Daar kan je meestal niet op vertrouwen, die O16 die HJT aangeeft is de Quicktime installer.

quote: http://hijackthis.de/logf...f3cc732bd0074dfb03b7.html

code:

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize

Nvidia systemtray icon.

[ Voor 16% gewijzigd door pasta op 20-02-2005 20:57 ]

[EricJH]

Wat wel helpt is de betreffende files buiten Windows om te wissen. Via het Herstelconsole of booten onder DOS.

Zo heb ik ook een keer een stuk ellende onder handen moeten nemen. Dan pas kun je de register waarden wissen.

Bij het stuk Trojan ellende dat ik had werden ook de run sleutels beschermd maar werden ook Windows Taakbeheer en Regedit afgeschoten.

Bovenstaande zou moeten werken als je alle bestanden goed in kaart hebt gebracht.

[Verwijderd]

microsoft antispyware krijgt em er ook niet af. Ik heb net ook nog geprobeerd om in de veilige modus een full system scan te doen met Norton Antivirus, maar het mocht niet baten.

Wie een oplossing heeft, post em dan alsjeblieft, JeroenNL, als je een oplossing hebt vertel dan

Ik zat aan een tussen oplossing te denken aangezien 127036.dlr/exe steeds het probleem veroorzaakt zou ik dan er niet voor kunnen zorgen dat ik instel dat Windows dat proces niet mag uitvoeren (van te voren)? zou een goede tussenoplossing zijn

[Verwijderd]

Verwijderd schreef op zondag 20 februari 2005 @ 22:18:
Ik zat aan een tussen oplossing te denken aangezien 127036.dlr/exe steeds het probleem veroorzaakt zou ik dan er niet voor kunnen zorgen dat ik instel dat Windows dat proces niet mag uitvoeren (van te voren)? zou een goede tussenoplossing zijn

1) download, installeer en run hitman pro (www.hitmanpro.nl)
2) doorzoek je register op '127036.dlr' of 127037.exe, verwijder alle sleutels
3) start op in veilige modes, doorzoek je HD op 127..etc en verwijder alle bestanden

[Jeroennl]

Zou dat het hem moeten doen want ik denk dat we zowat alles al geprobeerd hebben. Hitmanpro vind wel een hoop en verwijderd het ook zover ik weet. Maar het blijft terug komen.

[ Voor 3% gewijzigd door Jeroennl op 20-02-2005 22:35 ]

[hjoost]

Ik mag aannemen dat je "systeemherstel" hebt uitgeschakkeld voordat je ging verwijderen. Systeemherstel doet anders jouw werk teniet.

[EricJH]

Jeroennl schreef op zondag 20 februari 2005 @ 22:34:
Zou dat het hem moeten doen want ik denk dat we zowat alles al geprobeerd hebben. Hitmanpro vind wel een hoop en verwijderd het ook zover ik weet. Maar het blijft terug komen.

@ TS. Wis de beide bestanden buiten Windows om vanuit het Herstelconsole of vanuit BIOS (booten vanaf een BIOS diskette). Dat heb je nog niet geprobeerd.

[Verwijderd]

"Ik mag aannemen dat je "systeemherstel" hebt uitgeschakkeld voordat je ging verwijderen. Systeemherstel doet anders jouw werk teniet."

ja heb ik gedaan

[Verwijderd]

"@ TS. Wis de beide bestanden buiten Windows om vanuit het Herstelconsole of vanuit BIOS (booten vanaf een BIOS diskette). Dat heb je nog niet geprobeerd."

bedoel je met de Herstelconsole de veilige modus? ik heb geen BIOS diskette, kan je die zo zelf maken? Ik vrees dat dit overigens ook niet gaat helpen, maar je weet maar nooit

[EricJH]

Verwijderd schreef op maandag 21 februari 2005 @ 00:57:
"@ TS. Wis de beide bestanden buiten Windows om vanuit het Herstelconsole of vanuit BIOS (booten vanaf een BIOS diskette). Dat heb je nog niet geprobeerd."

bedoel je met de Herstelconsole de veilige modus? ik heb geen BIOS diskette, kan je die zo zelf maken? Ik vrees dat dit overigens ook niet gaat helpen, maar je weet maar nooit

Ik had laatst binnen een week toevallig en een vervelende trojan en een vervelende spyware die ik zo de nek heb omgedraaid. Één van beiden beschermde zowel runsleutels als de file. Als die bestanden weg zijn dan kunnen ze ook niet meer via het register opgestart worden natuurlijk en kan de één de ander niet meer beschermen. Om deze redenen vragen spyware programma's soms om bij de eerstvolgende reboot uitgevoerd te worden.

Er zijn DOS versies die ook NTFS ondersteunen. Check bv eens www.bootdisk.com en http://masterbootrecord.de/docs/bootdisketten.php .

Om succesvol gebruik te kunnen maken van je herstelconsole had ik nog een paar tips die ik nu net niet kan vinden. Standaard kun je met het herstelconsole eigenlijk alleen binnen c:\windows ofzo navigeren. Daarvoor moet je vantevoren een paar dingen met de Group Policy Editor aanpassen.

Mocht ik ze vandaag nog vinden dan laat ik het nog wel even weten.

[Verwijderd]

group policy editor is alleen voor windows XP proffesional, ik heb home edition.


die bootdisk shit werkt ook niet

[pasta]

Verwijderd schreef op maandag 21 februari 2005 @ 17:39:
group policy editor is alleen voor windows XP proffesional, ik heb home edition.


die bootdisk shit werkt ook niet

Wat bedoel je precies met 'die bootdisk shit werkt niet'? Welke foutmelding krijg je als je het probeert, en met wat voor bootdisk? Verder, die bestandjes die ik aangaf in pasta in "Sexxx dail-up icoon dat steeds terugkomt" al gescant met Jotti's online malware scan?. Was het infected? Zo ja, waarmee? Ik stel deze vragen omdat we anders 100'en ja/nee vragen aan jou moeten stellen, terwijl je deze vragen in 1 post al had kunnen beantwoorden.

[Verwijderd]

"Wat bedoel je precies met 'die bootdisk shit werkt niet'? Welke foutmelding krijg je als je het probeert, en met wat voor bootdisk?"

Sorry beetje kort door de bocht van mij. Nou ik heb dus eerst via de windows XP CD de herstelconsole opgestart. Leuk en aardig, maar je komt dus niet in de C:\program files directory waar je moet zijn (access denied, krijg je dan), zoals iemand al zei (dit kan ik niet veranderen aangezien ik XP home heb). Toen een MS-Dos diskette gemaakt gewoon onder windowsverkenner>A:>formatteren. Opgestart met die diskette, en je raadt het al dan komt je dus niet op C: om dat dat NTFS is. Daarna heb ik van die Duitse bootdisk website een bootdisk gedownload waarmee je NTFS kan lezen. Maar dat programma'tje readntfs.exe ofzo was redelijk nutteloos omdat je daar alleen bestanden mee kon recoveren die gedelete waren (mijn doel is juist om bestanden te deleten). Dus dat werkte ook niet.


"Verder, die bestandjes die ik aangaf in pasta in "Sexxx dail-up icoon dat steeds terugkomt" al gescant met Jotti's online malware scan?. Was het infected? Zo ja, waarmee? "

NVSVCA32.exe heb ik er doorheen gehaald:

Service load: 0% 100%

File: nvsvca32.exe
Status: INFECTED/MALWARE
Packers detected: UPX

AntiVir TR/Dldr.Agent.IG.3 (0.37 seconds taken)
Avast No viruses found (3.08 seconds taken)
AVG Antivirus Downloader.Agent.8.AD (1.19 seconds taken)
BitDefender Trojan.Downloader.Agent.IS (1.47 seconds taken)
ClamAV Trojan.Downloader.Agent-62 (1.83 seconds taken)
Dr.Web Trojan.DownLoader.1614 (0.95 seconds taken)
F-Prot Antivirus No viruses found (0.14 seconds taken)
Fortinet No viruses found (0.61 seconds taken)
Kaspersky Anti-Virus Trojan-Downloader.Win32.Agent.is (4.01 seconds taken)
mks_vir Trojan.Downloader.Agent.Is (0.84 seconds taken)
NOD32 Win32/TrojanDownloader.Agent.IS (1.79 seconds taken)
Norman Virus Control W32/Agent.AIX (0.70 seconds taken

Ziet er nasty uit, maar ik heb em allang uit m'n msconfig gehaald, dus ik weet niet of ie nu dan echt weg is. CERBMOD.DLL kon ik niet vinden op m'n computer dus die kon ik niet door de scan halen.