hijack logje

[Verwijderd]

ik heb last van dit -> Wanna be a MSN-hacker? So you can mess with al your friends? Go to Doe maar niet (je kan op de link klikken maar download de file niet!!!!!!!)
ben niet verantwoordelijk voor de gevolgen als je dit wel doet/gedaan hebt.

ik heb dit dus gedownload om een vriend te helpen die dit ook heeft omdat ik het meestal wel allemaal weg kan krijgen maja ik dus gedownload en neej hoor ik krijg het niet weg nu heb ik een logje van hijack this zou iemand voor mij willen kijken welke het mogelijk zou kunnen zijn?


Logfile of HijackThis v1.99.1
Scan saved at 19:07:41, on 11-3-2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Common Files\Symantec Shared\ccSetMgr.exe
C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Java\jre1.5.0_01\bin\jusched.exe
C:\Program Files\Common Files\Symantec Shared\ccApp.exe
C:\Program Files\UltraMon\UltraMon.exe
C:\Program Files\Norton AntiVirus\navapsvc.exe
C:\Program Files\Norton AntiVirus\AdvTools\NPROTECT.EXE
C:\WINDOWS\system32\nvsvc32.exe
C:\Program Files\Norton AntiVirus\SAVScan.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\wdfmgr.exe
C:\Program Files\Common Files\Symantec Shared\Security Center\SymWSC.exe
C:\WINDOWS\System32\alg.exe
C:\Program Files\QuickTime\qttask.exe
C:\WINDOWS\explorer.exe
C:\Program Files\UltraMon\UltraMonTaskbar.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\svchost.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\Program Files\TuneUp Utilities 2004\Integrator.exe
C:\Program Files\WinRAR\WinRAR.exe
C:\DOCUME~1\marco\LOCALS~1\Temp\Rar$EX00.578\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [SiSUSBRG] C:\WINDOWS\SiSUSBrg.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_01\bin\jusched.exe
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [Advanced Tools Check] C:\PROGRA~1\NORTON~2\AdvTools\ADVCHK.EXE
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [System] C:\WINDOWS\svchost.exe
O4 - HKLM\..\RunOnce: [DeleteYourSiteBar] rundll32.exe advpack.dll,DelNodeRunDLL32 "C:\Program Files\YourSiteBar\ysb.dll"
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: UltraMon.lnk = C:\Program Files\UltraMon\UltraMon.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_01\bin\npjpi150_01.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_01\bin\npjpi150_01.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O23 - Service: Adobe LM Service - Unknown owner - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSetMgr.exe
O23 - Service: Norton AntiVirus Auto-Protect (navapsvc) - Symantec Corporation - C:\Program Files\Norton AntiVirus\navapsvc.exe
O23 - Service: Norton Unerase Protection (NProtectService) - Symantec Corporation - C:\Program Files\Norton AntiVirus\AdvTools\NPROTECT.EXE
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: SAVScan - Symantec Corporation - C:\Program Files\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\COMMON~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\SNDSrvc.exe
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\Security Center\SymWSC.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - Unknown owner - C:\Program Files\TuneUp WinStyler\WinStylerThemeSvc.exe (file missing)

bvd

[ Voor 2% gewijzigd door pasta op 12-03-2005 02:29 ]

[Hurricane]

Wat is dit:
O4 - HKLM\..\RunOnce: [DeleteYourSiteBar] rundll32.exe advpack.dll,DelNodeRunDLL32 "C:\Program Files\YourSiteBar\ysb.dll"

[ Voor 21% gewijzigd door Hurricane op 11-03-2005 19:28 ]

[Greenstick]

Als je hem op www.hijackthis.de gooit, dan zie je dat één van de SVCHOST.exe's niet op de juist plek staat (hij hoort nl in je System32 map) Dus misschien dat daar je probleem aan te danken is

edit: die sitebar hoort inderdaad ook niet imho

[ Voor 13% gewijzigd door Greenstick op 11-03-2005 19:29 ]

[Arno]

Die C:\WINDOWS\svchost.exe klopt niet. Die hoort in system32 te staan. Gooi deze file eens bij Jotti door de scanner, kans is vrij groot dat die de boosdoener is

[NMe]

Ik zie een hoop zooi. Pleur het eens in http://hijackthis.de en zie wat die ervan maakt.

[magnifor]

-NMe- schreef op vrijdag 11 maart 2005 @ 19:28:
Ik zie een hoop zooi. Pleur het eens in http://hijackthis.de en zie wat die ervan maakt.

Die site is niet betrouwbaar. Het beste is om je hele log zelf door te nemen.

[NMe]

magnifor schreef op vrijdag 11 maart 2005 @ 20:35:
Die site is niet betrouwbaar. Het beste is om je hele log zelf door te nemen.

Die site is betrouwbaar genoeg. Zelf gebruik ik hijackthis.de ook niet echt, hooguit als leidraad om te kijken of ik niets over het hoofd heb gezien. Maar in dit geval wijst hijackthis.de toch echt wel de goeie keys aan.
Waarop baseer je eigenlijk dat die site niet betrouwbaar is? Na het parsen van bovenstaande logfile zie ik niets wat men in dit topic niet al eerder gezegd heeft, en er staan zelfs nog wat extra keys bij die niet in orde zijn.

[Jazzy]

magnifor schreef op vrijdag 11 maart 2005 @ 20:35:
[...]


Die site is niet betrouwbaar. Het beste is om je hele log zelf door te nemen.

Inderdaad, en als je dat maar vaak genoeg doet dan leer je er veel meer van. Dingen waarvan je op het eerste gezicht al ziet dat het veilig is kun je skippen, alles wat je niet kent voer je aan Google. Tricky zijn 'normale' bestandsnamen die op een verkeerde lokatie staan zoals jij nu hebt.

Verder is het zaak om goed te lezen, naast het legitieme lsass is er bijvoorbeeld ook een Isass die malware bevat.

[Jazzy]

-NMe- schreef op vrijdag 11 maart 2005 @ 20:39:
[...]

Waarop baseer je eigenlijk dat die site niet betrouwbaar is?

Omdat hij regelmatig een steekje laat vallen. Wat heb je aan een site die veel maar niet alles uit je logfile vist?

[Verwijderd]

Hier kan je log van hijack this laten onderzoeken. erg handig
http://www.hijackthis.de

[NMe]

Jazzy schreef op vrijdag 11 maart 2005 @ 20:42:
Omdat hij regelmatig een steekje laat vallen. Wat heb je aan een site die veel maar niet alles uit je logfile vist?

Een extra controle die misschien foutjes van jezelf aan het licht kan brengen? Er is ook geen enkel anti-spyware programma dat in staat is alle spyware die bestaat te verwijderen. Is het programma daarom nutteloos? Oh, en Windows kan niet alle DOS-spelletjes afspelen. Is het daarom nutteloos? See my point?

[Jazzy]

-NMe- schreef op vrijdag 11 maart 2005 @ 20:47:
[...]

Een extra controle die misschien foutjes van jezelf aan het licht kan brengen? Er is ook geen enkel anti-spyware programma dat in staat is alle spyware die bestaat te verwijderen. Is het programma daarom nutteloos? Oh, en Windows kan niet alle DOS-spelletjes afspelen. Is het daarom nutteloos? See my point?

Er werd ook niet gezegd dat hij nutteloos is maar dat hij niet betrouwbaar is.

[kamerplant]

Is het wel betrouwbaar door zelf in de logfile te gaan spitten?

[Greenstick]

Je moet www.Hijackthis.de daar dus ook niet voor gebruiken... Het lezen van de standaard-log is nogal lastig, dus dan kun je die website allereerst al eens gebruiken er een mooi overzichtje van te maken. Voor de rest heb je er niet zoveel aan.

Maar ja, we gaan zo wel offtopic

DataBeest schreef op vrijdag 11 maart 2005 @ 20:53:
Is het wel betrouwbaar door zelf in de logfile te gaan spitten?

Waarom denk je dat TS dit topic opent?

[ Voor 33% gewijzigd door Greenstick op 11-03-2005 21:05 ]

[Jazzy]

DataBeest schreef op vrijdag 11 maart 2005 @ 20:53:
Is het wel betrouwbaar door zelf in de logfile te gaan spitten?

Lijkt me wel, je controleert dan zelf ieder item totdat je zeker weet of het in orde is. Er zijn genoeg mogelijkheden om informatie te vinden over een proces of registersleutel waarvan de beste nog wel is om hem te koppie-en-peesten in Google.

Maar draai je de zaak nu niet om?

[leuk_he]

Ik heb hem in een vmware box windows 2000 ook even gedraaid (hij klaagt over een dll bij het starten)

de volgende regels zijn extra NA het draaien bij mij:
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINNT\svchost.exe
C:\Program Files\Preview AdService\PrevAdServ.exe
C:\Program Files\Preview AdService\PrevAdKeep.exe

O4 - HKLM\..\Run: [System] C:\WINNT\svchost.exe
O4 - HKLM\..\Run: [Preview AdService] C:\Program Files\Preview AdService\PrevAdServ.exe

internet explorer omdat ik iets moetst opstarten om hem te downloaden

En het mooie van vmware is dat je naderhand gewoon "revert to savepoint kunt doen en weg is je besmetting

[ Voor 7% gewijzigd door leuk_he op 11-03-2005 21:20 ]

[magnifor]

-NMe- schreef op vrijdag 11 maart 2005 @ 20:39:
[...]
Waarop baseer je eigenlijk dat die site niet betrouwbaar is?

Sommige dingen worden gewoon niet herkend of verkeerd herkend.

[NMe]

magnifor schreef op vrijdag 11 maart 2005 @ 22:36:
Sommige dingen worden gewoon niet herkend of verkeerd herkend.

Ja, en dat doet elke virusscanner, spywaretool en system optimizer precies hetzelfde. Het is onmogelijk om alles te herkennen, als bestrijder van malware loop je altijd achter de feiten aan. En natuurlijk moet je die site niet als enige leidraad gebruiken, maar het biedt wel degelijk een richtlijn, en een controle om te kijken of je niets vergeten bent. Ik zie daar geen kwaad in hoor.

[magnifor]

-NMe- schreef op vrijdag 11 maart 2005 @ 22:40:
[...]

Ja, en dat doet elke virusscanner, spywaretool en system optimizer precies hetzelfde. Het is onmogelijk om alles te herkennen, als bestrijder van malware loop je altijd achter de feiten aan. En natuurlijk moet je die site niet als enige leidraad gebruiken, maar het biedt wel degelijk een richtlijn, en een controle om te kijken of je niets vergeten bent. Ik zie daar geen kwaad in hoor.

Het beste is gewoon de hele log zelf te doorlopen en daarna e.v.t google te gebruiken voor de keys die je niet kent.

[pasta]

Mjah, Beveiliging & Virussen is niet een forum waar je zomaar even makkelijk je log kunt dumpen en vervolgens krijgt aangewezen wat je moet verwijderen en waarom. Daar zijn tig andere forums voor op internet.

Verder post je ook nog een link naar een MSN-Hack tool, ook niet echt iets wat we waarderen. Al is het maar omdat het gedeelte voor jezelf ook een trojan bevat.

Daarbij nog even voor alle mensen die Hijackthis.de aanbeveelde, niet doen. Hijackthis.de geeft redelijk vaak verkeerde resultaten aan in je log-file. Naast dat mist het af en toe ook wel eens dingen, of geeft de verkeerde malware-beschrijvingen aan.

Al met al, zijn er sowieso genoeg tips gegeven om je vooruit te helpen, en sluit ik je topic, omdat er ook nog laatst een ontsmettings methode voorbij is gekomen.