[malware] Explorer werkt niet meer*

[Verwijderd]

Ik ben mijn Internet Explorer, mijn windows Verkenner, Configuratie scherm, Zoeken scherm, etc. kwijt!!!

Als ik deze functies wil opstarten krijg ik na 5 seconden pas een scherm, dat weer meteen weg valt. Alle icoontjes op de desktop en taskbar zijn dan ook even weg die echter na 1 seconde weer terugkomen.

Als ik de internet explorer opstart zie ik nog heel even dat in de url about:blank staat. En wat geskriebel op de pagina zelf over viagra en zo. Dus het is 'gekaapt' door spyware of zo. Echter ik heb alle anti spyware programma's gedraait die ik heb, 4! Dus pc zou schoon moeten zijn.

Kan iemand mij AUB helpen!

Eric

[elevator]

Je zal heel wat meer informatie moeten geven dan dit.
Welke Windows?
Welke anti-spyware programma's?
Wat waren de resultaten?
Welke anti-virusscanners?

Verder - dit topic lijkt me meer iets voor Beveiliging & Virussen

Windows Operating Systems >> Beveiliging & Virussen

[DrivinUCrazy]

Systeemherstel al eens geprobeerd?

Jammer genoeg bestaat er nog wel meer dan alleen spyware, dus scan ook eens (met een up-to-date virusscanner!!) op virussen.

En het kan nog steeds spyware zijn hoor, als de scanners niet up-to-date zijn. Gebruik anders Hitman Pro eens.

[Verwijderd]

Uhm ok sorry:

Welke Windows? XP Pro
Welke anti-spyware programma's? Adaware, Microsoft, Xoftspy, Spybot S&D, ... laatste updates
Wat waren de resultaten? Uhm toch wel heel wat echter alles gedelete
Welke anti-virusscanners? Norton Antivirus 2004 - laatste definities (vandaag)

[Frigolamptje]

Start pc op in veilige modus en kijk wat rond; ik bedoel: kijk welke programma's geïnstalleerd zijn en meestal kun je er meteen enkele uit halen die er niet horen in te zitten. Scan dan ook in veilige modus omdat je veel meer kans hebt dat alles er ook effectief af gaat.

[Verwijderd]

Laatste update:

Als ik windows nu opstart krijg ik automatisch internet explorer browser met about:blank pagina. Hierop is een zoek scherm van CoolWebSearch.

HitmanPro diverse keren gedraaid (normal en veilige modus). Adaware gaf aan CWS te hebben verwijderd maar ik blijf dus deze pagina idere keer krijgen.

Hoe kan het dat IE automatisch opstart bij een reboot?
Staat ergens op mijn systeem die 'blank' pagina?

Eric

[pasta]

Controleer eens met HijackThis of er verdachte processen rondhangen die dit aansturen. Als je niet zeker bent wat je moet verwijderen, post dan de log hier (tussen [code] tags, aub). Geef ook even aan wat je zelf al verdacht vindt.

[Verwijderd]

Dit is het resultaat van de log van HijackThis:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system32\hlpaw.dll/sp.html#93256
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\hlpaw.dll/sp.html#93256
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\system32\hlpaw.dll/sp.html#93256
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system32\hlpaw.dll/sp.html#93256
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\hlpaw.dll/sp.html#93256
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system32\hlpaw.dll/sp.html#93256
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system32\hlpaw.dll/sp.html#93256
R3 - Default URLSearchHook is missing
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Class - {27DA8E89-35E8-CB93-C196-AEA15F3DBE14} - C:\WINDOWS\appes.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [zBrowser Launcher] C:\Program Files\Logitech\iTouch\iTouch.exe
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_02\bin\jusched.exe
O4 - HKLM\..\Run: [gcasServ] "C:\Program Files\Microsoft AntiSpyware\gcasServ.exe"
O4 - HKLM\..\Run: [BCWipeTM Startup] "C:\Program Files\Jetico\BestCrypt\BCWipeTM.exe" startup
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe /Consumer
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [iexplore.exe] C:\Program Files\Internet Explorer\iexplore.exe
O4 - HKLM\..\Run: [appny32.exe] C:\WINDOWS\system32\appny32.exe
O4 - HKLM\..\Run: [winnq32.exe] C:\WINDOWS\system32\winnq32.exe
O4 - HKLM\..\RunOnce: [ntoe32.exe] C:\WINDOWS\ntoe32.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Active Desktop Calendar] C:\PROGRA~1\XEMICO~1\ACTIVE~1\ADC.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_02\bin\npjpi150_02.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_02\bin\npjpi150_02.dll
O9 - Extra button: AIM - {AC9E2541-2814-11d5-BC6D-00B0D0A1DE45} - C:\Program Files\AIM\aim.exe
O9 - Extra button: Sothink SWF Catcher - {E19ADC6E-3909-43E4-9A89-B7B676377EE3} - C:\Program Files\Common Files\SourceTec\SWF Catcher\InternetExplorer.htm
O9 - Extra 'Tools' menuitem: Sothink SWF Catcher - {E19ADC6E-3909-43E4-9A89-B7B676377EE3} - C:\Program Files\Common Files\SourceTec\SWF Catcher\InternetExplorer.htm
O9 - Extra button: (no name) - {6685509E-B47B-4f47-8E16-9A5F3A62F683} - file://C:\Program Files\Ebates_MoeMoneyMaker\Sy350\Tp350\scri350a.htm (file missing) (HKCU)
O16 - DPF: {1D185838-009D-47C8-824B-B65B4854430E} (Installer Class) - http://quickfix2.chello.nl/quickfix2/asp/chelloInstall.CAB
O16 - DPF: {3AF4DACE-36ED-42EF-9DFC-ADC34DA30CFF} (PatchInstaller.Installer) - file://D:\content\include\XPPatchInstaller.CAB
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://groups.msn.com/controls/PhotoUC/MsnPUpld.cab
O16 - DPF: {637BB540-6ABA-11D4-901D-00D0090CB3BC} (FMClass Class) - http://www.flashants.com/codebase/fmplayer.cab
O16 - DPF: {75D1F3B2-2A21-11D7-97B9-0010DC2A6243} (SecureLogin.SecureControl) - http://secure2.comned.com/signuptemplates/ActiveSecurity.cab
O16 - DPF: {C3DFA998-A486-11D4-AA25-00C04F72DAEB} (MSN Photo Upload Tool) - http://sc.groups.msn.com/controls/PhotoUC/MsnPUpld.cab
O16 - DPF: {C58EFA10-2CC0-4C50-8C77-B326555EC1B7} (clsDefault Class) - http://quickfix2.chello.nl/quickfix2/asp/LaunchApp.CAB
O16 - DPF: {D719897A-B07A-4C0C-AEA9-9B663A28DFCB} (iTunesDetector Class) - http://ax.phobos.apple.co.../detection/ITDetector.cab
O16 - DPF: {F58E1CEF-A068-4C15-BA5E-587CAF3EE8C6} (MSN Chat Control 4.5) - http://chat.msn.com/bin/msnchat45.cab
O21 - SSODL: SHvdBhTuyxm - {906DB015-3AC7-1ABF-7EA8-9B3A91CCDADC} - C:\WINDOWS\System32\jeb.dll
O23 - Service: Network Security Service (NSS) ( 11Fßä#·ºÄÖ`I) - Unknown owner - C:\WINDOWS\system32\crpp32.exe" /s (file missing)
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSetMgr.exe
O23 - Service: Macromedia Licensing Service - Macromedia - C:\Program Files\Common Files\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - Service: Norton AntiVirus Auto Protect Service (navapsvc) - Symantec Corporation - C:\Program Files\Norton AntiVirus\navapsvc.exe
O23 - Service: SAVScan - Symantec Corporation - C:\Program Files\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\COMMON~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\SNDSrvc.exe
O23 - Service: Symantec Core LC - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\CCPD-LC\symlcsvc.exe
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\Security Center\SymWSC.exe

Vraag me niet wat 'vreemd' is. Echter de bovenste vermeldingen R1 R3 en R0 heb ik liever niet!

Eric

[Frigolamptje]

Draai het progje cws eens. Deze kan je van alle coolwebsearch varianten verhelpen.

Tip: Neem wel een ouderen versie, daar deze naar mijn inziens veel beter presteerden, zelf gebruik ik nog v1.59.01.

[Verwijderd]

Hitmanpro en daarna MS AntiSpyware?

[DataGhost]

http://www.hijackthis.de en paste daar je log maar eens

[pasta]

code:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system32\hlpaw.dll/sp.html#93256
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\hlpaw.dll/sp.html#93256
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\system32\hlpaw.dll/sp.html#93256
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system32\hlpaw.dll/sp.html#93256
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\hlpaw.dll/sp.html#93256
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system32\hlpaw.dll/sp.html#93256
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system32\hlpaw.dll/sp.html#93256

Deze kunnen zo weg.

code:

O4 - HKLM\..\Run: [iexplore.exe] C:\Program Files\Internet Explorer\iexplore.exe

Deze kan weggehaald worden.

code:

O4 - HKLM\..\Run: [appny32.exe] C:\WINDOWS\system32\appny32.exe
O4 - HKLM\..\Run: [winnq32.exe] C:\WINDOWS\system32\winnq32.exe
O4 - HKLM\..\RunOnce: [ntoe32.exe] C:\WINDOWS\ntoe32.exe

Deze files vertrouw ik niet zo, scan ze eens op Jotti's online malware scan

code:

O9 - Extra button: (no name) - {6685509E-B47B-4f47-8E16-9A5F3A62F683} - file://C:\Program Files\Ebates_MoeMoneyMaker\Sy350\Tp350\scri350a.htm (file missing) (HKCU)

Deze kan weg.

code:

O21 - SSODL: SHvdBhTuyxm - {906DB015-3AC7-1ABF-7EA8-9B3A91CCDADC} - C:\WINDOWS\System32\jeb.dll
O23 - Service: Network Security Service (NSS) ( 11Fßä#·ºÄÖ`I) - Unknown owner - C:\WINDOWS\system32\crpp32.exe" /s (file missing)

Scan sowieso de eerste, jeb.dll eens. Als je de andere kunt vinden kan je deze ook scannen.

Ik mis overigens de running items in je log. Wellicht dat 1 van de bestanden die ik net noemde daar ook nog tussen stond. Ook mis ik de versie van HijackThis, en de versie van je OS.

DataGhost schreef op zondag 08 mei 2005 @ 13:38:
http://www.hijackthis.de en paste daar je log maar eens

Hijackthis.de flagt dingen verkeerd, wijst verkeerde dingen aan als malware en laat sommige malware-entries zitten. Dus dat is niet zo'n goed idee.

[Verwijderd]

Ik heb HijackThis geprobeerd en de problems laten fixen echter als je dan weer scanned krijg je dezelfde resultaten. Krijg je die shit überhaupt wel van je systeem af?

XP pro en HijackThis versie van vandaag!

[ Voor 12% gewijzigd door Verwijderd op 08-05-2005 14:40 ]

[Wildfire]

Verwijderd schreef op zondag 08 mei 2005 @ 14:36:
Ik heb HijackThis geprobeerd en de problems laten fixen echter als je dan weer scanned krijg je dezelfde resultaten. Krijg je die shit überhaupt wel van je systeem af?

XP pro en HijackThis versie van vandaag!

Je hebt HiJack This toch wel gedraaid onder de Veilige Modus van Windows XP? Anders worden alle entries gewoon door een resident programma weer teruggezet.

[Verwijderd]

Wildfire schreef op zondag 08 mei 2005 @ 16:59:
[...]
Je hebt HiJack This toch wel gedraaid onder de Veilige Modus van Windows XP? Anders worden alle entries gewoon door een resident programma weer teruggezet.

Ahaaa! Uhm nee dus.

Maar goed ik ben er inmiddels wel uit. Eén van die vervelende spyware zaken die ik niet van mijn systeem af kreeg was de Home Search en nog twee andere Shopping nog iets en een derde item. Ze stonden zelfs officieel in de Software lijst (geïnstalleerde programma's in configuratie scherm). Officieel un-installen werkte echter (natuurlijk) niet.

Via Google toch vrij gemakkelijk bij http://www.hsremove.com/ terecht gekomen. Dit heeft bovenstaand Hijack probleem opgelost.

Verder heb ik via msconfig enkele zaken uitgezet die automatisch gestart werden:
- javarv32.exe
- apicb32.exe

Ik heb nu in ieder geval weer controle over mijn eigen systeem.

Bedankt voor alle moeite hier,

Eric

[ Voor 4% gewijzigd door Verwijderd op 10-05-2005 11:24 ]

[Verwijderd]

Heeft Norton of een ander programma die files verwijdert van de hardeschijf? Anders moet je er even naar zoeken en zelf weghalen.

[Verwijderd]

Ik heb ze idd zelf weggehaald.