Spyware - Raar probleem...

[Verwijderd]

Ik heb last van een bepaald programmatje. ik denk dat het spy ware is. Beschrijving van wat er gebeurd:

Om de 20/30 minuten verschijnt er heel kort een programmatje in de taakbalk. Het is er maar een halve seconde. Het heeft geen naam en ook geen eigen pictogram, gewoon het icoontje van een standaard .exe toepassing. Daarna verdwijnt het weer.

Erg irritant, want mijn laptop gaat dan van de scherm beveiliging af, wat natuurlijk energie kost. Maar ik ben gewoon ook heel benieuwd of mensen dit kennen en eventueel weten hoe ik er weer vanaf kom!

[Motrax]

Als je denkt dat het spyware is, waarom ga je er dan niet eerst met een paar programma's tegenaan? In de Beveiliging en Virussen - FAQ, Beveiliging en Virussen - Policy en Beveiliging en Virussen - Nieuw topic starten van dit forum staat voldoende om mee te beginnen.

Overigens kan het ook een programmaatje zijn dat synchronisatie met internet/netwerk wil.

[ Voor 29% gewijzigd door Motrax op 07-06-2005 13:36 ]

[Verwijderd]

hmm... misschien kun je eens zeggen welke acties je zelf al ondernomen hebt?

probeer hitman pro eens te draaie, dit is een verzameling van verschillende anti-spyware programma's bij elkaar. al keer virus scanner er over heen gegooit?

[LoeiOrdinair]

Heb je al een spyware scan gedaan? Gebruik bijvoorbeeld Hitman Pro oid. Kijk of je er dan nog steeds last van heb. Post anders ook even een hijackthis log.

[dailyleaf]

Zorg ook dat wanneer Hitman Pro iets gevonden heeft in het register oid dat je het daarna ook nog een keer uitvoert in veilige modus. (opstarten met F8)

[Verwijderd]

Sorry, had ik erbij moeten vermelden: ik heb Norton internet security.
Antivirus controle leverde niks op.
Ad adware gedraaid, heeft niet mogen helpen.

Ik ga nu hitman pro proberen....

---

Hitman gedraaid. heeft wel het een en ander gevonden, maar nadat het status rapport in beeld kwam zag ik na 5 minuten weer het programmatje voorbij vliegen in de taakbalk.

Wat betreft de netwerkverbinding die we werd geopperd: ik zit gewoon aan een LAN, dat draaid. WLAN heb ik hardware matig uit staan. De antenne staat uit geschakeld...

Nog iemand suggesties? Mensen die dit herkennen?

[ Voor 56% gewijzigd door Verwijderd op 07-06-2005 15:01 ]

[Verwijderd]

[quote]Verwijderd schreef op dinsdag 07 juni 2005 @ 13:38:

Hitman gedraaid. heeft wel het een en ander gevonden, maar nadat het status rapport in beeld kwam zag ik na 5 minuten weer het programmatje voorbij vliegen in de taakbalk.

quote]

Heb je ook daadwerkelijk Hitman gedraaid in veilige modus, anders kan het namelijk zijn dat ie nog niet verwijdert is.

[pasta]

Je kunt anders ook even HijackThis gebruiken of er een verdacht proces is wat iedere keer die system tray aanstuurt.

[Verwijderd]

pasta schreef op dinsdag 07 juni 2005 @ 16:48:
Je kunt anders ook even HijackThis gebruiken of er een verdacht proces is wat iedere keer die system tray aanstuurt.

en met je HijackThis log ga je naar www.hijackthis.de en http://hjt.iamnotageek.com/

[Verwijderd]

Bedankt voor de tip. Ik ga het proberen...
Ik houd jullie op de hoogte van het resultaat...

---

HijackThis - Geprobeerd, alle onbekende dingetjes waren of Nokia PC suite of HP printer dingetjes
Hitman 2.0 Safe mode - die ga ik nu proberen...

[ Voor 46% gewijzigd door Verwijderd op 07-06-2005 19:13 ]

[Sassie]

Hmm ik heb dit probleempje ook bij mijn ouders (XP SP2), heb er ook al naar lopen spitten maar niks kunnnen vinden. Hitmanpro (wordt wekelijks gedraaid) en Hijackthis leveren niks (bijzonders) op, ook de firewall (zonealarm) meldt niet dat er rare progjes toegang zoeken tot internet. Ook een installatie/scan van een andere virusscanner (AntiVir, AVG, Housecall online) leverde niks op.

Zal er as weekend ook nog weer eens goed naar kijken, want ik wil idd ook wel weten wat het is. Hoewel de pc verder geen kuren vertoont blijf ik wel wantrouwig en nieuwsgierig wat dat 'progje' betreft.

[Motrax]

Verwijderd schreef op dinsdag 07 juni 2005 @ 19:00:
Bedankt voor de tip. Ik ga het proberen...
Ik houd jullie op de hoogte van het resultaat...

---

HijackThis - Geprobeerd, alle onbekende dingetjes waren of Nokia PC suite of HP printer dingetjes
Hitman 2.0 Safe mode - die ga ik nu proberen...

Hmm. Ik weet niet wat voor firewall je draait, maar Zonealarm bijvoorbeeld laat zien welke programma's toegang vragen tot het internet. Misschien een idee?

Overigens meen ik me te herinneren dat HP-drivers wel eens om een update vragen via internet.

[Verwijderd]

Sassie schreef op dinsdag 07 juni 2005 @ 22:26:
Hmm ik heb dit probleempje ook bij mijn ouders (XP SP2), heb er ook al naar lopen spitten maar niks kunnnen vinden. Hitmanpro (wordt wekelijks gedraaid) en Hijackthis leveren niks (bijzonders) op, ook de firewall (zonealarm) meldt niet dat er rare progjes toegang zoeken tot internet. Ook een installatie/scan van een andere virusscanner (AntiVir, AVG, Housecall online) leverde niks op.

Zal er as weekend ook nog weer eens goed naar kijken, want ik wil idd ook wel weten wat het is. Hoewel de pc verder geen kuren vertoont blijf ik wel wantrouwig en nieuwsgierig wat dat 'progje' betreft.

Klinkt inderdaad precies hetzelfde als dat ik heb. Heb nu alle geprobeerd en het gaat maar niet weg. Het is bij mij ook meer de irritatie dan echte problemen die het oplevert. ik heb geen zin om voor zoiets lulligs mijn pc weer te formateren en te herinstalleren...

Tips blijven dus welkom!

[Digihelp ®]

Verwijderd schreef op dinsdag 14 juni 2005 @ 14:02:
[...]
Tips blijven dus welkom!

Heb je al naar rootkits gezocht ?

Systinternals Rootkitrevealer

[F_J_K]

Geef ons dat hjt log ook even (tussen [code] [/code] tags, leest makkelijker), kunnen we meedenken
(Zie ook dus [rml][ Howto] Spyware scannen en opruimen[/rml] voor meer over de output).

[low_n_slow]

Misschien een screenshotje ervan? wel zo handig

[Verwijderd]

Leeg al je temp files even en je Temporaly internet files ook ffies legen. Dit bij alle users!!!
daarna even met hijackthis eroverheen en hier even posten.

[Sassie]

Heb net nog maar even hitmanpro, ms antispyware, spywaredoctor en spybot s&d laten draaien
Het is dus mijn ouders' pc: Sassie in "Spyware - Raar probleem..."
Er is een hp psc 1315 aangesloten (stond overigens op moment van hjt log niet ingeschakeld).

Hier is de hjt-log:

code:

Logfile of HijackThis v1.99.1
Scan saved at 12:12:09, on 17-6-2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\AVPersonal\AVGUARD.EXE
C:\Program Files\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\system32\bcmwltry.exe
C:\WINDOWS\system32\CTsvcCDA.EXE
C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\WINDOWS\system32\VTTimer.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\HP\hpcoretech\hpcmpmgr.exe
C:\Program Files\AVPersonal\AVGNT.EXE
C:\Program Files\Java\jre1.5.0_02\bin\jusched.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\Program Files\MSN Messenger\MsnMsgr.Exe
C:\Program Files\RealPopup\RealPopup.exe
C:\Program Files\Hitman Pro\srhelper.exe
C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
C:\Documents and Settings\Noteboom\Mijn documenten\Saskia\hijackthis-1.99.1\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://google.com/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://google.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = 
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: PCTools Site Guard - {5C8B2A36-3DB1-42A4-A3CB-D426709BBFEB} - C:\PROGRA~1\SPYWAR~1\tools\iesdsg.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
O2 - BHO: PCTools Browser Monitor - {B56A7D7D-6927-48C8-A975-17DF180C71AC} - C:\PROGRA~1\SPYWAR~1\tools\iesdpb.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
O4 - HKLM\..\Run: [bcmwltry] bcmwltry.exe
O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [Zone Labs Client] C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
O4 - HKLM\..\Run: [VTTimer] VTTimer.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [HP Component Manager] "C:\Program Files\HP\hpcoretech\hpcmpmgr.exe"
O4 - HKLM\..\Run: [AVGCtrl] C:\Program Files\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_02\bin\jusched.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [Hitman Pro SurfRight Helper] "C:\Program Files\Hitman Pro\srhelper.exe"
O4 - HKCU\..\Run: [RealPopup] "C:\Program Files\RealPopup\RealPopup.exe" BOOT
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_02\bin\npjpi150_02.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_02\bin\npjpi150_02.dll
O9 - Extra button: Spyware Doctor - {2D663D1A-8670-49D9-A1A5-4C56B4E14E84} - C:\PROGRA~1\SPYWAR~1\tools\iesdpb.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab
O16 - DPF: {05D44720-58E3-49E6-BDF6-D00330E511D3} (StagingUI Object) - http://zone.msn.com/binFrameWork/v10/StagingUI.cab34120.cab
O16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab31267.cab
O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab31267.cab
O16 - DPF: {3BB54395-5982-4788-8AF4-B5388FFDD0D8} (ZoneBuddy Class) - http://zone.msn.com/BinFrameWork/v10/ZBuddy.cab32846.cab
O16 - DPF: {5736C456-EA94-4AAC-BB08-917ABDD035B3} (ZonePAChat Object) - http://zone.msn.com/binframework/v10/ZPAChat.cab32846.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1096658699656
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Besturing) - http://a840.g.akamai.net/7/840/537/2004061001/housecall.trendmicro.com/housecall/xscan53.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cab
O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://zone.msn.com/binFramework/v10/ZIntro.cab34246.cab
O16 - DPF: {BCF9A64D-1440-4404-863C-F5DF2B99F798} (Catan Online Game) - http://zone.msn.com/bingame/zpagames/zpa_catan.cab36572.cab
O16 - DPF: {D719897A-B07A-4C0C-AEA9-9B663A28DFCB} (iTunesDetector Class) - http://ax.phobos.apple.com.edgesuite.net/detection/ITDetector.cab
O16 - DPF: {DA2AA6CF-5C7A-4B71-BC3B-C771BB369937} (StadiumProxy Class) - http://zone.msn.com/binframework/v10/StProxy.cab35645.cab
O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab31267.cab
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Program Files\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Program Files\AVPersonal\AVWUPSRV.EXE
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\system32\CTsvcCDA.EXE
O23 - Service: iPod Service (iPodService) - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

Volgens mij zit er niks verdachts tussen.

Trouwens net kwam onder het typen van dit bericht het schermpje weer even langszetten in de taakbalk...
Ik heb nu ook ff met activeports gekeken of er nog bijzondere dingen naar buiten openstaan, maar die geeft ook niks raars.

Al die O16's komen van zusjes die hier spelletjes spelen via msn of kolonisten v catan online..

[Verwijderd]

Motrax schreef op woensdag 08 juni 2005 @ 09:27:
[...]

Hmm. Ik weet niet wat voor firewall je draait, maar Zonealarm bijvoorbeeld laat zien welke programma's toegang vragen tot het internet. Misschien een idee?

Overigens meen ik me te herinneren dat HP-drivers wel eens om een update vragen via internet.

Geen ZoneAlarm. ik heb Norton Internet Security. Draaide ook al voor dat dit probleem zich voor deed...

Ik heb inderdaad een HP printer. Maar of ik die nu aan of uit heb. Het programma blijft voorbij komen in de taakbalk... Zoals nu!!!!

[dailyleaf]

Verwijderd schreef op vrijdag 17 juni 2005 @ 13:06:
[...]


Geen ZoneAlarm. ik heb Norton Internet Security. Draaide ook al voor dat dit probleem zich voor deed...

Ik heb inderdaad een HP printer. Maar of ik die nu aan of uit heb. Het programma blijft voorbij komen in de taakbalk... Zoals nu!!!!

Ik heb nog steeds nks gezien dat je je virusscanner en hitmanpro in veilige modus hebt gedraaid.

Doe dat eens en post je bevindingen daarna hier eens

[Ernie98]

Mijn eerste reply en waarschijnlijk nog nuttig ook. (Ik word helemaal warm van binnen).

Mijn pc had hetzelfde probleem.
Mijn oplossing: Wachten tot de applicatie voorbijkomt. Screenshot maken.
Wat blijkt, een nieuw process "hptskmgr.exe"

info: http://www.liutilities.co.../processlibrary/hptskmgr/

Als je het process "hpcmpmgr.exe" killed, dan is het probleem opgelost (in mijn geval)

[Masselink]

Sommige Hp printers werken tegenwoordig ook met VBS scripts. Wellicht worden die geblocked door het systeem en dan probeerd Hp ze continu te starten ?

[Sassie]

Hmm ik zal het eens even uitproberen door beide processen die dan ws gelieerd zijn aan de hp printer hier (HPWuSchd2.exe en hpcmpmgr.exe) eens te killen (wel ff apart natuurlijk om te weten te komen welke het nu precies is die die schermpjes veroorzaakt ).
Maar goed als het idd het de HP printer te maken heeft is het iig niet iets om heel erg ongerust van te worden.

/edit: net HPWuSchd2.exe gekilled en zo-even kwam het schermpje dus langs, die is het dus niet, nu nog ff de andere killen en afwachten...

[magnifor]

Verwijderd schreef op dinsdag 07 juni 2005 @ 18:12:
[...]

en met je HijackThis log ga je naar www.hijackthis.de en http://hjt.iamnotageek.com/

Zulke sites zijn niet betrouwbaar.

Het beste is om zelf je log door te nemen. Als je dat niet zelf kan, laat het dan door iemand anders doen die er wel verstand van heeft.

[Digihelp ®]

Check onderstaande zaken eens even. Vaak nestelt spyware zich in de system32 directory, zodat je denkt dat het bij windows hoort. Het kunnen ook programma's zijn die je zelf hebt geinstalleerd (tooltjes), maar ik neem aan dat je dat dan wel weet.

RealPopup ken ik niet, kan of spyware zijn of een popup blocker, maar dat weet je ook vast zelf wel of kan je vinden met google.

code:

C:\WINDOWS\system32\bcmwltry.exe
C:\WINDOWS\system32\CTsvcCDA.EXE
C:\WINDOWS\system32\VTTimer.exe
C:\Program Files\RealPopup\RealPopup.exe

[Verwijderd]

log is schoon

[Sassie]

los_joost schreef op zaterdag 18 juni 2005 @ 12:26:
Check onderstaande zaken eens even. Vaak nestelt spyware zich in de system32 directory, zodat je denkt dat het bij windows hoort. Het kunnen ook programma's zijn die je zelf hebt geinstalleerd (tooltjes), maar ik neem aan dat je dat dan wel weet.

RealPopup ken ik niet, kan of spyware zijn of een popup blocker, maar dat weet je ook vast zelf wel of kan je vinden met google.

code:

C:\WINDOWS\system32\bcmwltry.exe
C:\WINDOWS\system32\CTsvcCDA.EXE
C:\WINDOWS\system32\VTTimer.exe
C:\Program Files\RealPopup\RealPopup.exe

Realpopup is dit: http://www.realpopup.it/ (om berichten te sturen naar de andere pc op zolder )
Verder:
bcmwlrtry.exe is van onze netwerkkaart (we hebben draadloos netwerk hier)http://www.liutilities.com/products/wintaskspro/processlibrary/bcmwltry/
http://www.hijackfree.com/en/processdetails/?id=517
CTsvcCDA.EXE: http://www.processlibrary.com/directory/files/ctsvccda/ (hmm ws dus wel overbodig op dit systeem hier)
VTTimer.exe: http://www.liutilities.co...o/processlibrary/VTTimer/