Nail.exe en Aurora probleem

[Verwijderd]

heren,

Ik heb de verschillende topics gelezen over de mogelijke problemen met aurora pop-ups.
Na het draaien van HiJackThis en HitmanPro2 leken het beter te gaan.

Bij een restart kwam de melding dat c:\windows\nail.exe niet te vinden was (is ook met zoekfunctie niet te vinden, kan dus kloppen).

Du smaar eens op het web aan het zoeken en ja hoor, daarkwamen ook de aurora pop-ups weer.

Ondanks genoemde software gedraaid te hebben heb ik nog steeds problemen.

Log van HijackThis:

Logfile of HijackThis v1.99.1
Scan saved at 11:50:31, on 2-5-2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\SYSTEM32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\SYSTEM32\rundll32.exe
C:\WINDOWS\Explorer.exe
C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe
C:\Program Files\Norton AntiVirus\navapsvc.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Common Files\Symantec Shared\Security Center\SymWSC.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe
C:\Program Files\Common Files\Symantec Shared\ccApp.exe
C:\Program Files\Messenger\msmsgs.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Adobe\Acrobat 5.0\Distillr\AcroTray.exe
C:\WINDOWS\DvzCommon\DvzMsgr.exe
C:\Program Files\Palm\HOTSYNC.EXE
C:\Program Files\Trust mouse utility\1.0\mouse32a.exe
C:\PROGRA~1\HEWLET~1\HPSHAR~1\hpgs2wnf.exe
c:\windows\system32\hjnnat.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\SpyWare\HiJack This\hijackthis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://email1.wanadoo.nl/webmail/nl_NL/login.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.tele2.nl/redirect/startpage/dial_up/dut/
F2 - REG:system.ini: Shell=Explorer.exe C:\WINDOWS\Nail.exe
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\NeroCheck.exe
O4 - HKLM\..\Run: [FLMTRUSTMOUSE] C:\Program Files\Trust mouse utility\1.0\mouse32a.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [Share-to-Web Namespace Daemon] C:\Program Files\Hewlett-Packard\HP Share-to-Web\hpgs2wnd.exe
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [ccRegVfy] "C:\Program Files\Common Files\Symantec Shared\ccRegVfy.exe"
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe /Consumer
O4 - HKLM\..\Run: [svlzak] c:\windows\system32\hjnnat.exe
O4 - HKLM\..\Run: [UserFaultCheck] %systemroot%\system32\dumprep 0 -u
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - Startup: HotSync Manager.lnk = C:\Program Files\Palm\HOTSYNC.EXE
O4 - Startup: Trust Mouse Utility.lnk = C:\Program Files\Trust mouse utility\1.0\mouse32a.exe
O4 - Global Startup: Acrobat Assistant.lnk = C:\Program Files\Adobe\Acrobat 5.0\Distillr\AcroTray.exe
O4 - Global Startup: DataViz Messenger.lnk = C:\WINDOWS\DvzCommon\DvzMsgr.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O10 - Unknown file in Winsock LSP: c:\windows\system32\winlspak.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\winlspak.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\winlspak.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\winlspak.dll
O20 - Winlogon Notify: OptimalLayout - C:\WINDOWS\system32\cSpesnpn.dll
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation Service (ccPwdSvc) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccPwdSvc.exe
O23 - Service: Norton AntiVirus Auto-Protect (navapsvc) - Symantec Corporation - C:\Program Files\Norton AntiVirus\navapsvc.exe
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\COMMON~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\SNDSrvc.exe
O23 - Service: System Startup Service (SvcProc) - Unknown owner - C:\WINDOWS\svcproc.exe
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\Security Center\SymWSC.exe


Wie kan me helpen??

Peter van Hoek

[ Voor 82% gewijzigd door Verwijderd op 02-05-2005 11:52 ]

[sanfranjake]

C:\Program Files\Messenger\msmsgs.exe
heb jij Windows messenger draaien?
C:\WINDOWS\DvzCommon\DvzMsgr.exe
c:\windows\system32\hjnnat.exe
Die ken ik niet
F2 - REG:system.ini: Shell=Explorer.exe C:\WINDOWS\Nail.exe
hierdoor krijg je de melding dat het niet gevonden kan worden
O4 - HKLM\..\Run: [svlzak] c:\windows\system32\hjnnat.exe
O4 - Global Startup: DataViz Messenger.lnk = C:\WINDOWS\DvzCommon\DvzMsgr.exe
onbekend
O10 - Unknown file in Winsock LSP: c:\windows\system32\winlspak.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\winlspak.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\winlspak.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\winlspak.dll
Reset eens je winsock: start > uitvoeren > netsh winsock reset catalog
O20 - Winlogon Notify: OptimalLayout - C:\WINDOWS\system32\cSpesnpn.dll
Vage naam, komt me niet bekend voor.
O23 - Service: System Startup Service (SvcProc) - Unknown owner - C:\WINDOWS\svcproc.exe
ken ik niet.

Denk dat wat hierboven is aangegeven alles wel ongeveer dekt. Ik geef het topic even een schopje naar Beveiliging & Virussen. Lees daar even goed de stickytopics bovenaan de topiclistings, en ga met deze info op zoek naar verwijderingsmethoden

Software Algemeen > Beveiliging & Virussen

[Verwijderd]

Je zou ook nog even voor de zekerheid je log door http://www.hijackthis.de kunnen halen.

[pasta]

Verwijderd schreef op maandag 02 mei 2005 @ 13:14:
Je zou ook nog even voor de zekerheid je log door http://www.hijackthis.de kunnen halen.

Je kan beter voor de zekerheid even zelf alle entries langs lopen, en die entries scannen indien ze verdacht zijn.

Sowieso valt er denk ik wel ook wat te vinden in de search, dat en naast de tips die sanfranjake gaf, zou genoeg moeten zijn

[Verwijderd]

Ik heb ook die nail shit op me comp binnengekregen

ik heb em handmatig verwijderd zonder tools.

de volgende troep heb ik gevonden.

in eerste instantie vind je een actief bestandje ksdfjl.exe of iets dergelijks (check in je taakbeheer)
die kun je dus niet verwijderen door het proces te beeindigen. het etterbestandje renamed zich weer.

daarnaast heb je bolger.dll wat die doet weet ik niet maar het sucks en hoort bij de nail shit.

en dan heb je nog het bestandje nail.exe die opstart als explorer.exe wordt gestart

het volgende heb ik ongeveer gedaan:

ik start op in veilige modus
beeindig explorer.exe

via taakbeheer - bestand - nieuwe taak uitvoeren
start je regedit

zoek naar askfj.exe (heb je ff onthouden natuurlijk )
en bolger
en aurora

dat kan je dus allemaal verwijderen

ff zoeken op nail.exe
je vind dan ( shell explorer.exe c:\windows\nail.exe
klik op wijzigen en haal c:\windows\nail.exe weg


nu zou je moeten rebooten zonder die spam troep te starten

via zoeken ff naar nail kl;jj;.exe bolger en aurora vinden en wissen

keb 't niet meer teruggezien.

suc6

[Verwijderd]

de volgende file moet je ook wissen

svcproc.exe

[daaan]

Ik heb dit probleem ook, alle mogelijke manieren, inclusief de bovengenoemde geprobeerd. Helaas werkte geen van de oplossingen.

Ik heb nu de bestanden nail.exe en de asdasdn.exe leeggehaald, en read only gemaakt. Ge-reboot, en de verwijzing in het register verwijderd. Nu geen last meer.

[Verwijderd]

Thanks, geeft een mooi beeld van welke files er verdacht zijn. Maar nu moeten ze nog blijvend verwijderd zien te worden..

Peter

Verwijderd schreef op maandag 02 mei 2005 @ 13:14:
Je zou ook nog even voor de zekerheid je log door http://www.hijackthis.de kunnen halen.

Hai SjanFranke, Bedankt voor je reactie,
- Messenger heb ik niet draaien (tenminste ben nooit aangemeld).

- Je zegt dat je c:\windows\system32\hjnnat.exe niet kent. Betekend dat dat ik die eenvoudig kan deleten??
- Idem voor C:\WINDOWS\DvzCommon\DvzMsgr.exe
- C:\WINDOWS\system32\cSpesnpn.dll: ook deleten??
- idem voor C:\WINDOWS\svcproc.exe??

Wat te doen??
Peter

sanfranjake schreef op maandag 02 mei 2005 @ 12:45:
C:\Program Files\Messenger\msmsgs.exe
heb jij Windows messenger draaien?
C:\WINDOWS\DvzCommon\DvzMsgr.exe
c:\windows\system32\hjnnat.exe
Die ken ik niet
F2 - REG:system.ini: Shell=Explorer.exe C:\WINDOWS\Nail.exe
hierdoor krijg je de melding dat het niet gevonden kan worden
O4 - HKLM\..\Run: [svlzak] c:\windows\system32\hjnnat.exe
O4 - Global Startup: DataViz Messenger.lnk = C:\WINDOWS\DvzCommon\DvzMsgr.exe
onbekend
O10 - Unknown file in Winsock LSP: c:\windows\system32\winlspak.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\winlspak.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\winlspak.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\winlspak.dll
Reset eens je winsock: start > uitvoeren > netsh winsock reset catalog
O20 - Winlogon Notify: OptimalLayout - C:\WINDOWS\system32\cSpesnpn.dll
Vage naam, komt me niet bekend voor.
O23 - Service: System Startup Service (SvcProc) - Unknown owner - C:\WINDOWS\svcproc.exe
ken ik niet.

Denk dat wat hierboven is aangegeven alles wel ongeveer dekt. Ik geef het topic even een schopje naar Beveiliging & Virussen. Lees daar even goed de stickytopics bovenaan de topiclistings, en ga met deze info op zoek naar verwijderingsmethoden

Software Algemeen > Beveiliging & Virussen

Thanks Pasta,

Ik neem aan dat je met scannen bedoeld via Jotti??
Peter

pasta schreef op maandag 02 mei 2005 @ 14:30:
[...]

Je kan beter voor de zekerheid even zelf alle entries langs lopen, en die entries scannen indien ze verdacht zijn.

Sowieso valt er denk ik wel ook wat te vinden in de search, dat en naast de tips die sanfranjake gaf, zou genoeg moeten zijn

[ Voor 78% gewijzigd door pasta op 03-05-2005 23:46 ]

[pasta]

offtopic:
Peter111,

Zou je in het vervolg de -knop gebruik kunnen maken als je de laatste reply binnen 24 uur hebt gemaakt? Verder is continue je naam onder je posts zetten ook niet nodig, wij Tweakers groeten elkaar permanent.

[Verwijderd]

OKE, als ik op tijd ben met mijn reactie zal ik dat doen.

Maar in antwoord op mijn vraag: alle files scannen met jotti??
En wat met de opmerking van Sjanfranke over hem onbekende files. Deze allemaal wissen??

Ben benieuwd, wat de ongewenst pop-ups zitten er nog steeds in.
Ciao.

pasta schreef op dinsdag 03 mei 2005 @ 23:49:

offtopic:
Peter111,

Zou je in het vervolg de [afbeelding]-knop gebruik kunnen maken als je de laatste reply binnen 24 uur hebt gemaakt? Verder is continue je naam onder je posts zetten ook niet nodig, wij Tweakers groeten elkaar permanent.

[ Voor 8% gewijzigd door Verwijderd op 04-05-2005 08:57 ]

[Verwijderd]

pasta schreef op maandag 02 mei 2005 @ 14:30:
[...]

Je kan beter voor de zekerheid even zelf alle entries langs lopen, en die entries scannen indien ze verdacht zijn.

Sowieso valt er denk ik wel ook wat te vinden in de search, dat en naast de tips die sanfranjake gaf, zou genoeg moeten zijn

Ik bedoel het niet als alternatief, maar als extra. Ik verwijder de entries ook op basis van mijn ervaringen, maar voor de zekerheid haal ik hem toch door hijackthis.de.

[Verwijderd]

Hijackthis.de is goed om en beeld te krijgen van de status van de verschillende files. Maar wat ik dan met de meldingen moet weet ik, als simpele PC-gebruiker, niet.

Verwijderd schreef op woensdag 04 mei 2005 @ 09:03:
[...]


Ik bedoel het niet als alternatief, maar als extra. Ik verwijder de entries ook op basis van mijn ervaringen, maar voor de zekerheid haal ik hem toch door hijackthis.de.

[Verwijderd]

Verwijderd schreef op woensdag 04 mei 2005 @ 09:09:
Hijackthis.de is goed om en beeld te krijgen van de status van de verschillende files. Maar wat ik dan met de meldingen moet weet ik, als simpele PC-gebruiker, niet.
[...]

Daar staan opmerkingen achter met risico factors. Staat er enkele tussen met een hoog risico dan zou je toch moeten afvragen of je dat programma kent zoniet gewoon verwijderen. Als het je eigen pc is dan zou dat geen probleem moeten zijn. Het ergste wat je kan gebeuren is dat je programma opnieuw moet installeren.

Alhoewel hijackthis maakt ook back-ups dus je zit nog redelijk save.

[pasta]

Sorry Peter111,

Dit begint eerder op gewoon aan het handje houden te worden, dan dat je zelf enige inzet toont. Lees Algemene gedragsregels (Netiquette) en Policy: Alle regels die op het forum gelden nog maar eens door (als je het gedaan had), want ondertussen zijn de vragen toch wel van een basic-niveau te worden.