Shift key virus ??

[Verwijderd]

Dag allen !!

I heb al enkele weken last van een vreemd verschijnsel op mijn laptop:
Windows XP geeft steeds via het programma Stickykeys aan dat mijn SHIFT toets herhaaldelijk wordt ingedrukt. Hierdoor is normaal werken niet meer mogelijk, maar ook scrollen wordt inzoomen en uitzoomen en tijdens het online surfen worden scrollen BACK en FORWARD in de history van sites, enkel en alleen omdat mij SHIFT toets vreemd doet.

Echter:
* Ik heb 1 hele week in het buitenland offline gewerkt en zelfs een presentatie met het aparaat gegeven en geen enkel probleem gehad. Dit gaf mij het vermoeden dat het probleem alleen optrad als ik ONLINE ben en dit blijkt inderdaad zo te zijn. Zodra ik offline ben is er geen vuiltje aan de lucht.
* Om zeker te zijn van de zaak heb ik beide SHIFT toetsen van het toetsenbord verwijderd en helemaal zuiver gemaakt.
* Verschillende spy-ware programmas (zoals Microsoft AntiSpyware en Adaware) en verschillende virusscanners (Norton antivirus 2003 en Panda (online)antivirus) kunnen het probleem niet oplossen.
* Op internet zijn er enkele mensen te vinden die hetzelfde probleem hebben ondervonden (http://groups-beta.google...s&rnum=2#2138245c865f3e07) maar geen enkele definitie van een virus met dergelijke symptomen.

Omdat windows opnieuw installeren erg omslachtig is, wilde ik de mensen op GOT eerst een raadplegen. Hopelijk kunnen jullie mij helpen !! Bedankt alvast !

Met vriendelijke groet,
Brey

[Outerspace]

kan je die stickykeys niet uitschakelen
druk gewoon in windows eens op 5 x shift en pas daar de instellingen aan

Kan je ook vinden bij configuratiescherm -> Toegankelijkheid

[ Voor 22% gewijzigd door Outerspace op 08-06-2005 11:34 ]

[Verwijderd]

Thnx voor je reply, maar:

ik kan die melding wel uitschakelen echter:
* typen geeft dan nog steeds hoofd en kleine letters door elkaar en cijfers worden @#$%^&
* scrollen in een fotoprogramma wordt inzoomen
* scrollen op een website wordt navigeren door de history
* bovendien selecteren van files die je wilt verwijderen wordt er gevaarlijk met de shift toets ingedrukt; je hebt snel een "multiple selection" te pakken die je gaat verwijderen:(

Kortom: hopeloos !!
Maar met die melding ben je wel gewaarschuwd dat het aparaat vreemd doet !!

Groetjes
Brey

[Outerspace]

Plaats dan eens een hijackthis log.
Ik vertrouw het namelijk ook niet echt.

En doe eens een externe virusscan, bij Trend Micro oid

[Welleweerd]

staan je toetsenbord instellingen wel op VS internationaal?

doe dat eens

draai hitman pro een keer (uitgebreide scan, ook de virusscans activeren)

[Verwijderd]

Owh dit gaat me nu al te snel........

* Wat is een hijackthis log ??
* Een externe virusscan (Trend Micro) is wel een goed idee, maar dat is toch hetzelfde als de Panda software die ik online gedraaid heb ??
* hitman pro ken ik niet maar ga ik uitzoeken !

Thnx again

[-Mous-]

Ik weet dat het een laptop is, maar misschien kan je toch een ander toetsenbord proberen. Je zal dan denk ik het "interne" toetsenbord in je apparaatbeheer uit moeten schakelen en een extern toetsenbord aan moeten sluiten. Dan kan je in ieder geval een defect toetsenbord uitsluiten.

[Outerspace]

Hijackthis
Hitman Pro

en check inderdaad je tobo-instellingen.

[ Voor 18% gewijzigd door Outerspace op 08-06-2005 11:45 ]

[Verwijderd]

Hoihoi

Hitman Pro is bezig maar Hijackthis geeft deze log:

Logfile of HijackThis v1.99.1
Scan saved at 11:50:00 AM, on 6/8/2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\AGRSMMSG.exe
C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\Program Files\Launch Manager\CplBBQ12.EXE
C:\Program Files\Acer\Notebook Manager\almxptray.exe
C:\Program Files\Common Files\Symantec Shared\ccApp.exe
C:\Program Files\Microsoft IntelliType Pro\type32.exe
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\Program Files\Common Files\Nokia\NCLTools\NclTray.exe
C:\Program Files\Microsoft AntiSpyware\gcasServ.exe
C:\Program Files\Common Files\ACD Systems\EN\DevDetect.exe
C:\PROGRA~1\COMMON~1\Nokia\Services\SERVIC~1.EXE
C:\Program Files\Microsoft AntiSpyware\gcasDtServ.exe
C:\Program Files\Adobe\Acrobat 5.0\Distillr\AcroTray.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\drivers\KodakCCS.exe
C:\Program Files\Norton AntiVirus\navapsvc.exe
C:\WINDOWS\System32\svchost.exe
C:\Documents and Settings\Ivo Bleylevens\Desktop\ftpserver_dutch\FTPServer.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\WINDOWS\system32\r_server.exe
C:\Documents and Settings\Ivo Bleylevens\Desktop\HijackThis.exe
C:\WINDOWS\system32\sethc.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.acer.com
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.acer.com/
R3 - URLSearchHook: (no name) - _{1C78AB3F-A857-482e-80C0-3A1E5238A565} - (no file)
O2 - BHO: DAPHelper Class - {0000CC75-ACF3-4cac-A0A9-DD3868E06852} - C:\Program Files\DAP\DAPBHO.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Acrobat\ActiveX\AcroIEHelper.ocx
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll (file missing)
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: (no name) - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - (no file)
O4 - HKLM\..\Run: [LaunchApp] Alaunch
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [LManager] C:\Program Files\Launch Manager\CplBBQ12.EXE
O4 - HKLM\..\Run: [AcerNotebookManager] C:\Program Files\Acer\Notebook Manager\almxptray.exe
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [ccRegVfy] "C:\Program Files\Common Files\Symantec Shared\ccRegVfy.exe"
O4 - HKLM\..\Run: [type32] "C:\Program Files\Microsoft IntelliType Pro\type32.exe"
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe /Consumer
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [Nokia Tray Application] C:\Program Files\Common Files\Nokia\NCLTools\NclTray.exe
O4 - HKLM\..\Run: [gcasServ] "C:\Program Files\Microsoft AntiSpyware\gcasServ.exe"
O4 - HKLM\..\Run: [FinePrint Dispatcher v5] "C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\fpdisp5a.exe" /runonce
O4 - HKLM\..\Run: [Device Detector] DevDetect.exe -autorun
O4 - Global Startup: Acrobat Assistant.lnk = C:\Program Files\Adobe\Acrobat 5.0\Distillr\AcroTray.exe
O8 - Extra context menu item: &Download with &DAP - C:\PROGRA~1\DAP\dapextie.htm
O8 - Extra context menu item: &Google Search - res://c:\program files\google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: Backward Links - res://c:\program files\google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Cached Snapshot of Page - res://c:\program files\google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: Download &all with DAP - C:\PROGRA~1\DAP\dapextie2.htm
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Similar Pages - res://c:\program files\google\GoogleToolbar1.dll/cmsimilar.html
O8 - Extra context menu item: Translate into English - res://c:\program files\google\GoogleToolbar1.dll/cmtrans.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra button: Run DAP - {669695BC-A811-4A9D-8CDF-BA8C795F261C} - C:\PROGRA~1\DAP\DAP.EXE
O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation Service (ccPwdSvc) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccPwdSvc.exe
O23 - Service: Kodak Camera Connection Software (KodakCCS) - Eastman Kodak Company - C:\WINDOWS\system32\drivers\KodakCCS.exe
O23 - Service: MATLAB License Server - GLOBEtrotter Software Inc. - C:\MATLAB6p5p1\flexlm\lmgrd.exe
O23 - Service: Norton AntiVirus Auto Protect Service (navapsvc) - Symantec Corporation - C:\Program Files\Norton AntiVirus\navapsvc.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\COMMON~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\SNDSrvc.exe

Maar kan ik er wat mee ???
Ik zie een boel bekende dingen maar ook onbekende applicaties draaien.........

Groetjes Brey

[aZuL2001]

Je draait iig een ftpserver en het server deel van remote administrator (r_server) wat me zo snel opviel.
En AGRSMMSG vertrouw ik ook niet. (vals alarm, zie http://www.processlibrary.com/directory/files/agrsmmsg/)

En laat die groeten maar achterwege, we gaan daar standaard vanuit, net zoals je oneindige dankbaarheid voor onze hulp

[ Voor 60% gewijzigd door aZuL2001 op 08-06-2005 12:09 ]

[Verwijderd]

Wat je ook kan doen: paar keer rammen op BEIDE shift keys. Kan ook gewoon een rot contactje zijn nl.

[Verwijderd]

Nou de FTP server en remote administrator gebruik ik nu even om mijn laptop vanaf mijn kantoor te bedienen. Ik doe dit idd onder werktijd Maar voordat ik die 2 gebruikte, had ik het probleem ook al dus dat kan het niet zijn.

SHIFT keys heeft mijn laptop inmiddels niet meer. Die zijn ervanaf gehaald en schoongemaakt en eronder kan ook niks mis zijn. Overigens als ik offline ben heb ik het probleem niet !!

Spybot en HitmanPro zijn bezig....ik ben benieuwd !!

[Verwijderd]

Vreemd, Spybot vinde de volgende zaken:

Avenue A, Inc
BackWeb lite
Blazefind.SearchEnhancer.ISTbar
Download Accelereator Plus
DyFuCa
Haxdoor-H
ISearchTech.Powerscan
ISearchTech.Sidefind

Waar adaware, microsoft antispyware en Norton Antivirus helemaal niks vonden !?!?

[Arunia]

En?

Dat hoeft helemaal niet vreemd te zijn.

Het ene programma vind iets en een ander programma vind weer iets heel anders.

Hitmanpro laat een groot aantal programma's draaien waardoor je meer van dit soort zooi vind.

[Bor]

Zet de radmin eens uit dan. Doet het probleem zich ook voor in veilige modus?

[mabarto]

Start inderdaad eens op in veilige modus maar ik zou dan met netwerkondersteuning kiezen. Heb je toch internet, maar worden programma's niet opgestart bij het opstarten&inloggen.

[Verwijderd]

Oke goed idee, ik zal het doen zodra ik thuisben, anders start hij remote admin niet meer op en kan ik niks meer.

Ik hou jullie op de hoogte

[qrazi]

en zet systeem herstel ook eens uit wanneer je scanned....

[sjongenelen]

je zegt: offine en online werkt.

Is het niet alleen in de internet explorer?

zoja, spyware of een vage instelling, maar dat lijkt me sterk

[Verwijderd]

C:\Program Files\Microsoft IntelliType Pro\type32.exe eens even uitschakelen?

[Verwijderd]

Nee het probleem doet zich alleen voor als ik online bent en niet als ik offline ben.
En in alle programmas en niet alleen in internet explorer.
Zelfs als ik niks doe en alleen het buroblad zie dan nog krijg ik de meldingen te zien :S:S

En C:\Program Files\Microsoft IntelliType Pro\type32.exe uitschakelen werkt ook niet !!

Arghhh

[ Voor 16% gewijzigd door Verwijderd op 08-06-2005 15:10 ]

[frickY]

Merkwaardig

Het lijkt me in ieder geval geen hardware-matig probleem, maar een softwarematig zijnde adware, of annoyingware zullen we maar zeggen.

Waar zie jij het verschil in online en offline zijn?
Gebruik je een firewall en heb je ooit meldingen gehad over vreemde software?
Ga op het moment dat je er last van hebt eens naar de DOS prompt en geef het commando;

code:

netstat -o

Je krijgt een lijst met uitgaande verbinden, en welk proces deze verbinding heeft. Zoek bij verdachte verbindingen in de Taskmanager even de desbetreffende PID op.