[IE]startpagina is veranderd en deze kan ik niet wijzigen?

[ruftman]

Als ik Internet Explorer wil opstarten, krijg ik een startpagina welke een MPV warning vermeldt en dat een Privacy Vulnebarility is detected. Volgens de pagina moet ik software downloaden om het eea te beveiligen.

Dit is natuurlijk reclamerotzooi die ik wil verwijderen. Bij mijn Interneropties staat de volgende URL vermeldt als startpagina: res://C:\WINDOWS\system32\shdocpl.dll/security.htm#subID=MPV;401
Deze kan ik met geen mogelijkheid wijzigen!

Ik heb al diverse anti-spyware programma's gedraaid: HitmanPro, Ad-aware, CW Shredder, Spybot, enz. Geen van allen kunnen het probleem oplossen.


Met Hijackthis krijg ik de volgende logfile:

Logfile of HijackThis v1.99.1
Scan saved at 15:32:24, on 10-4-2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Analog Devices\SoundMAX\SMTray.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
C:\Program Files\ASUS\Probe\AsusProb.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
C:\WINDOWS\System32\RUNDLL32.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZONELABS\vsmon.exe
C:\Program Files\WinOverBoost\wob2.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe
C:\Program Files\Real\RealPlayer\RealPlay.exe
C:\WINDOWS\system32\svcnut.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\Hitman Pro\srhelper.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Trash\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = res://C:\WINDOWS\system32\shdocpl.dll/security.htm#subID=MPV;401
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://shdocpl.dll/asst.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [SiSUSBRG] C:\WINDOWS\SiSUSBrg.exe
O4 - HKLM\..\Run: [Smapp] C:\Program Files\Analog Devices\SoundMAX\SMTray.exe
O4 - HKLM\..\Run: [ASUS Probe] C:\Program Files\ASUS\Probe\AsusProb.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [WinOverBoost] C:\Program Files\WinOverBoost\wob2.exe
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [DXM6Patch_981116] C:\WINDOWS\p_981116.exe /Q:A
O4 - HKLM\..\Run: [RealTray] C:\Program Files\Real\RealPlayer\RealPlay.exe SYSTEMBOOTHIDEPLAYER
O4 - HKLM\..\Run: [FastStart] C:\WINDOWS\system32\svcnut.exe home
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [Hitman Pro SurfRight Helper] "C:\Program Files\Hitman Pro\srhelper.exe"
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: Adobe Reader Snelle start.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs LLC - C:\WINDOWS\system32\ZONELABS\vsmon.exe


Ik denk dat hier de boosdoener zit:
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = res://C:\WINDOWS\system32\shdocpl.dll/security.htm#subID=MPV;401
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://shdocpl.dll/asst.htm

Maar deze kan ik ook niet met Hijackthis verwijderen.

Wat kan ik nu nog doen?

[Sassie]

Verdacht proces:

code:

C:\WINDOWS\system32\svcnut.exe

Dit zou er best wel voor kunnen zorgen dat je die 2 registry-entries niet weg krijgt.
Je zou hem kunnen proberen te killen (via de processmanager bij de misc tools in hijackthis bijv) of anders proberen te omzeilen door in de veilige modus op te starten voordat je met verwijderen gaat beginnen.

En dit kan idd weg:

code:

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = res://C:\WINDOWS\system32\shdocpl.dll/security.htm#subID=MPV;40
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://shdocpl.dll/asst.htm

Deze kan ook weg:

code:

  O4 - HKLM\..\Run: [FastStart] C:\WINDOWS\system32\svcnut.exe home

[ruftman]

Hee, dit heeft geholpen, thanx!

Topic kan bij deze op slot?

[pasta]

offtopic:
Topics hoeven niet op slot omdat het probleem is opgelost, zie ook Algemene gedragsregels (Netiquette), en dan met name

Opgelost betekent niet dat het topic daarna op slot moet.

[r0b]

Nog even een aanvulling: mocht je in het vervolg weer spy/ad-ware problemen hebben, dan kan je het beste even HijackThis draaien en een HiJackthis log door de analyzer op http://www.hijackthis.de/ halen.
Daar had je ook gezien dat deze "This should be fixed!" bij de Internet Explorer reg settings weergeeft.

[ Voor 21% gewijzigd door r0b op 11-04-2005 01:29 ]

[pasta]

Mja, dat ding flagt malware verkeerd (verkeerde beschrijvingen), mist sommige dingen en geeft valid dingen als verdacht aan. In hoeverre dat 'handig' is heb ik zo m'n twijfels bij.

[r0b]

pasta schreef op maandag 11 april 2005 @ 01:30:
Mja, dat ding flagt malware verkeerd (verkeerde beschrijvingen), mist sommige dingen en geeft valid dingen als verdacht aan. In hoeverre dat 'handig' is heb ik zo m'n twijfels bij.

Vandaar "redelijk".

Dat de beschrijving verkeerd is stoort mij opzich weinig, maar de belangrijkste pikt hij toch wel op.
Tuurlijk, mocht je twijvelen over iets dan dien je het *niet* te verwijderen en kan je het beste even een ander vragen, dat is waar.

C:\Program Files\Hitman Pro\srhelper.exe Unknown
Unknown running process. (srhelper.exe)
This is a unknown process.

Dit soort dingen kunnen ook zó makkelijk opgelost worden, als ze het alleen maar even deden ..

[ Voor 3% gewijzigd door r0b op 11-04-2005 01:33 ]

[Sassie]

r0b schreef op maandag 11 april 2005 @ 01:33:
[...]

Vandaar "redelijk".

Dat de beschrijving verkeerd is stoort mij opzich weinig, maar de belangrijkste pikt hij toch wel op.
Tuurlijk, mocht je twijvelen over iets dan dien je het *niet* te verwijderen en kan je het beste even een ander vragen, dat is waar.

Of google gebruiken natuurlijk.