Win-Spy uninstall

[Verwijderd]

Hallo, ik heb sinds kort een icoon in m'n taskbalk staan.

Op de website van dit programma wordt al aangegeven dat het alleen mogelijk is dit programma te verwijderen met de juiste username en pass. Ook is het volgens de website mogelijk dit programma zonder medeweten van de eigenaar van de PC het programma te installeren.
'When the user clicks on the file it would install WinSpy. If a picture is included then the user would see the picture and not WinSpy."
Op deze spyware-site staat dat, omdat het programma commercieel verkocht wordt, het niet veel wordt gedetecteerd door anti-spyware programma's. Zo vindt Hitman-Pro hem niet. 2 programma's staan vermeld die Win-Spy wel zouden kunnen verwijderen: X-Cleaner en Regblock, maar dit zijn allebei betaal programma's.

Is er een manier om dit programma te uninstallen zonder user/pass met een freeware programma, of zijn er ergens shareware versies van X-cleaner of regblock te vinden. Alvast bedankt.

[Verwijderd]

ik heb dit nu ook. Weet iemand hoe je dit nu kan weghalen/uninstallen. Vind het een beetje verdacht. Ik heb al meerdere anti-spyware programma's gedraaid.

[pasta]

Controleer eens met HijackThis of je de entries die WinSpy aanmaakt niet handmatig kan verwijderen. Als je niet zeker weet wat je moet verwijderen, dan kan je de log hier posten. Doe dit wel tussen [code] tags aub.

[Verwijderd]

Ik heb hier dus echt helemaal gaan ervaring mee...Ik hoop dan ook dat ik het goede post

code:

Logfile of HijackThis v1.99.1
Scan saved at 15:33:29, on 13-5-2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\AVPersonal\AVGUARD.EXE
C:\Program Files\AVPersonal\AVWUPSRV.EXE
C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\Program Files\iPod\bin\iPodService.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\MMTray.exe
C:\WINDOWS\system32\MMTray2k.exe
C:\WINDOWS\system32\MMTrayLSI.exe
C:\PROGRA~1\COMMON~1\Nokia\Services\SERVIC~1.EXE
C:\Program Files\QuickTime\qttask.exe
C:\WINDOWS\img32\csrss.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Messenger\msmsgs.exe
C:\WINDOWS\img32\services.exe
C:\Program Files\MSN Messenger\MsnMsgr.Exe
F:\StationRipper\StationRipper.exe
F:\StationRipper\StationRipperConsole.exe
C:\Program Files\iTunes\iTunes.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\taskmgr.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\PROGRA~1\WINZIP\winzip32.exe
C:\Documents and Settings\Arnout\Local Settings\Temp\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.nu.nl/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
R3 - Default URLSearchHook is missing
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll
O2 - BHO: (no name) - {B2C4446F-021B-4D07-9A65-E4D58A9BFF66} - C:\WINDOWS\system32\ljco.dll (file missing)
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
O4 - HKLM\..\Run: [AtiPTA] atiptaxx.exe
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [MMTray] MMTray.exe
O4 - HKLM\..\Run: [MMTray2K] MMTray2k.exe
O4 - HKLM\..\Run: [MMTrayLSI] MMTrayLSI.exe
O4 - HKLM\..\Run: [Nokia Tray Application] C:\Program Files\Common Files\Nokia\NCLTools\NclTray.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [AdTools Service] C:\Program Files\AdTools Service\AdTools.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] C:\Program Files\iTunes\iTunesHelper.exe
O4 - HKLM\..\Run: [Time Sync] C:\Program Files\Time Sync\time.exe
O4 - HKLM\..\Run: [AVGCtrl] C:\Program Files\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [Mail] C:\WINDOWS\img32\csrss.exe
O4 - HKLM\..\RunOnce: [SpybotSnD] "C:\Program Files\Spybot - Search & Destroy\SpybotSD.exe" /autocheck
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [areslite] "D:\Ares Lite Edition\AresLite.exe" -h
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [ares] "F:\Ares\Ares.exe" -h
O4 - HKCU\..\Run: [uoii] C:\PROGRA~1\COMMON~1\uoii\uoiim.exe
O4 - Startup: OpenOffice.org 1.1.2.lnk = C:\Program Files\OpenOffice.org1.1.2\program\quickstart.exe
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Program Files\WinZip\WZQKPICK.EXE
O8 - Extra context menu item: &Google Search - res://c:\program files\google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Onderzoek - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O12 - Plugin for .mp4: C:\Program Files\Internet Explorer\PLUGINS\npqtplugin4.dll
O16 - DPF: {03F998B2-0E00-11D3-A498-00104B6EB52E} - https://components.viewpoint.com/MTSInstallers/MetaStream3.cab?url=file:///J:/Sony%20PSP.htm
O16 - DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) - http://www.cult3d.com/download/cult.cab
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://spaces.msn.com//PhotoUpload/MsnPUpld.cab
O16 - DPF: {70BA88C8-DAE8-4CE9-92BB-979C4A75F53B} (GSDACtl Class) - http://launch.gamespyarcade.com/software/launch/alaunch.cab
O16 - DPF: {B0A2C7FC-8666-44D6-A990-2FCE3B933341} (ING Bank Autorisatiescherm) - https://secure.ingbank.nl/download/DigiSign.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cab
O16 - DPF: {C4925E65-7A1E-11D2-8BB4-00A0C9CC72C3} (Virtools WebPlayer Class) - http://a532.g.akamai.net/7/532/6712/6c5b0a1ae398e3/player.virtools.com/downloads/player/Install2.5/Installer.exe
O16 - DPF: {DF780F87-FF2B-4DF8-92D0-73DB16A1543A} (PopCapLoader Object) - http://www.popcap.com/games/popcaploader_v6.cab
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Program Files\AVPersonal\AVGUARD.EXE
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXE
O23 - Service: iPod Service (iPodService) - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe

[pasta]

code:

C:\WINDOWS\img32\csrss.exe
C:\WINDOWS\img32\services.exe

Deze 2 running processes vind ik een beetje verdacht. Scan ze eens op Jotti's online malware scan.

code:

O2 - BHO: (no name) - {B2C4446F-021B-4D07-9A65-E4D58A9BFF66} - C:\WINDOWS\system32\ljco.dll (file missing)

Deze kan zonder problemen verwijderd worden.

code:

O4 - HKLM\..\Run: [AdTools Service] C:\Program Files\AdTools Service\AdTools.exe

Dit lijkt me niet helemaal Kosjer, scan het eens op Jotti's online malware scan.

code:

O4 - HKLM\..\Run: [Mail] C:\WINDOWS\img32\csrss.exe

Als blijkt dat dit bestand malware-gerelateerd is, dan kan je deze entry ook verwijderen.

code:

O4 - HKCU\..\Run: [uoii] C:\PROGRA~1\COMMON~1\uoii\uoiim.exe

Google vindt helemaal niets over deze .exe, scan deze ook maar eens op Jotti's online malware scan.

[Verwijderd]

je zegt entry verwijderen? Bedoel je hiermee dat ik dit bestandje kan verwijderen? Of moet ik dat op een speciale manier doen?

Welke niet helemaal 100% zijn:
- csrss.exe deze kan ik niet zomaar verwijderen omdat het een essentieel systeem proces is.
- services.exe is the same

[Verwijderd]

Verwijderd schreef op vrijdag 13 mei 2005 @ 15:55:
je zegt entry verwijderen? Bedoel je hiermee dat ik dit bestandje kan verwijderen? Of moet ik dat op een speciale manier doen?

Welke niet helemaal 100% zijn:
- csrss.exe deze kan ik niet zomaar verwijderen omdat het een essentieel systeem proces is.
- services.exe is the same

Ik heb het al denk ik. In dat hijack ding aangevinkt en verwijderd ie em. Iig alvast bedankt!

[leuk_he]

Je zult zelf ook effe aan de gang moeten... want de log is wel heel groot. Het is handig zo veel mogelijk te sluiten voordat je hijack draait.

C:\WINDOWS\img32\csrss.exe : staat in verkeerde dir: wegklikken
C:\WINDOWS\img32\services.exe: IDEM
F:\StationRipper\StationRipper.exe:???
O2 - BHO: (no name) - {B2C4446F-021B-4D07-9A65-E4D58A9BFF66} - C:\WINDOWS\system32\ljco.dll (file missing) -> ?????
[AdTools Service] C:\Program Files\AdTools Service\AdTools.exe --> ?????
[Time Sync] C:\Program Files\Time Sync\time.exe --> zelf geinstalleerd?
[areslite] "D:\Ares Lite Edition\AresLite.exe" -h --> " the Greek god of war"? draai je ares?
O4 - HKCU\..\Run: [uoii] C:\PROGRA~1\COMMON~1\uoii\uoiim.exe --> met zo'n naam zeer verdacht: uitklikken!
(Alle O16 zeer kritisch bekijken en wegklikken maar de volgende is wel heel verdacht: (ik zou niet internet bankeieren met winspy erbij )
O16 - DPF: {C4925E65-7A1E-11D2-8BB4-00A0C9CC72C3} (Virtools WebPlayer Class) - http://a532.g.akamai.net/.../Install2.5/Installer.exe

Gemeen spul zeg....

What is the purpose of Seek and Destroy Anti-Spyware?Spy Software
Win Spy seek and destroy will prevent users from installing or running any Anti-Spy software. The purpose of this is so that users will not be able to remove Win-Spy. After all, what is the point of having a monitoring system if your child can easily install an Anti-Spy software and remove Win-Spy.

[ Voor 3% gewijzigd door leuk_he op 13-05-2005 15:57 ]

[pasta]

csrss.exe en services.exe horen normaliter in C:\Windows\System32 te staan. Niet in C:\Windows\img32

[Verwijderd]

Nou ik ben van Win-spy af, of beter: het icoontje is weg. Maar het bestand CSRSS.exe waarmee hij inverband werd gebracht bestaat nog steeds in de dir: \windows\img32. Ook als ik hem aan vink en verwijder komt hij automatisch terug.

code:

O4 - HKLM\..\Run: [Mail] C:\WINDOWS\img32\csrss.exe

Deze is weg:

code:

O4 - HKCU\..\Run: [uoii] C:\PROGRA~1\COMMON~1\uoii\uoiim.exe

Leuk_he:

code:

O16 - DPF: {C4925E65-7A1E-11D2-8BB4-00A0C9CC72C3} (Virtools WebPlayer Class)

: verwijderd.

Overigens dat Ares is een soort van kazaa...en StationRipper om winamp-radio te rippen.

Nu moet ik alleen nog CSRSS.exe in de goeie dir krijgen.

[Verwijderd]

De CSRSS.exe in \windows\img32 is 80kb en ik heb er nu ook eentje in \windows\system32 en die 6kb

[leuk_he]

Verwijderd schreef op vrijdag 13 mei 2005 @ 16:08:
Nou ik ben van Win-spy af, of beter: het icoontje is weg. Maar het bestand CSRSS.exe waarmee hij inverband werd gebracht bestaat nog steeds in de dir: \windows\img32. Ook als ik hem aan vink en verwijder komt hij automatisch terug.

en:
[Time Sync] C:\Program Files\Time Sync\time.exe --> zelf geinstalleerd?

/edit:als je het niet kent: verwijderen. voor 80% zeker spyware enzo die de andere dingen weer installeerd

De CSRSS.exe uit de foute dir moet je gewoon kapot proberen te maken, niet in de goede dir proberen te krijgen. (voor het geval het geen grapje was). e.t. door in save mode ze te verwijderen en/of de dir read-only te maken. (staat vast in faq hier)

Probeer ook nog eens de spyware scanners, wellicht werken ze weer goed. (staan vast in de faq van B&V)

[ Voor 9% gewijzigd door leuk_he op 13-05-2005 20:07 ]

[Verwijderd]

Die Time-dinges heb ik niet zelf geinstalled...denk ik?! ik weet er niks vanaf iig.

Ik heb de allochtone CSRSS.exe verwijderd. Zal de comp zo even opnieuw opstarten.

op win-spy