Willekeurige url's in textarea's

[mees]

Ok, een lekker vaag virus of spyware op m'n pc.

Bij een html formulier worden bij textarea's waarvan de naam "url" bevat, een willekeurige url meegezonden. Zo had ik bij flabber.nl ineens als homepage een pagina van [een-vol-met-harde-porno-zittende-url].

Ik heb hier al draaiend: Avast! Antivirus, Microsoft Anti-Spyware.

Ik heb al geprobeerd:
Ad-aware, Hijackthis, Spybot S&D, allemaal zonder resultaat..

Klinkt dit iemand enigzins bekend in de oren?

[ Voor 14% gewijzigd door mees op 07-07-2005 16:10 ]

[Sassie]

Hijackthis leverde niks op? Plaats je log anders even hier, misschien dat je wat over het hoofd hebt gezien.
Heb je trouwens ook al in de veilige modus geprobeerd te scannen?

Edit: Ik ken het verschijnsel van ongewenste porno-links die zich in url-textvakken plaatsen wel, heb het gezien op andere fora. Echter ik kan zo niet in mijn glazen bol turen wat de veroozaker is.

[ Voor 38% gewijzigd door Sassie op 07-07-2005 22:00 ]

[littledreamer]

Geen gekke dingen in je msconfig / regedit run(once) folder(s)?

[mees]

Logfile of HijackThis v1.99.1
Scan saved at 9:32:30, on 8-7-2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

code:

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe
C:\Program Files\Alwil Software\Avast4\ashWebSv.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\rundll32.exe
C:\Program Files\D-Tools\daemon.exe
C:\Program Files\QuickTime\qttask.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Program Files\Microsoft AntiSpyware\gcasServ.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Microsoft AntiSpyware\gcasDtServ.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\DOCUME~1\Bart.PCC\LOCALS~1\Temp\Rar$EX01.984\HijackThis.exe

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.tweakers.net/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: FlashFXP Helper for Internet Explorer - {E5A1691B-D188-4419-AD02-90002030B8EE} - C:\PROGRA~1\FlashFXP\IEFlash.dll
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [Virtual PDF Printer] d:\Program Files\Virtual PDF Printer\VirtualPDFPrinter.exe
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Program Files\D-Tools\daemon.exe"  -lang 1033
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [gcasServ] "C:\Program Files\Microsoft AntiSpyware\gcasServ.exe"
O4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_02\bin\npjpi150_02.dll
O9 - Extra button: Onderzoek - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {003FADA5-8FEE-11D6-AFB7-0004768F6183} (CryptoRSA Control) - https://www.p3.postbank.nl/sesam/CAX.cab
O16 - DPF: {AED98630-0251-4E83-917D-43A23D66D507} (WebHandler Class) - http://activex.microgaming.com/DLhelper/version7/dlhelper.cab
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = pcc.local
O17 - HKLM\Software\..\Telephony: DomainName = pcc.local
O17 - HKLM\System\CCS\Services\Tcpip\..\{19C5BF5F-5953-46B1-AA76-BB75638D0E95}: NameServer = 192.168.1.2
O17 - HKLM\System\CCS\Services\Tcpip\..\{5FA595F2-D2D5-49B0-9A29-193A7AA696BA}: NameServer = 192.168.1.1
O17 - HKLM\System\CCS\Services\Tcpip\..\{D79FD8D3-35B7-43E4-BC2C-256539FC4066}: NameServer = 192.168.1.2
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = pcc.local
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = pcc.local
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\system32\CTsvcCDA.exe
O23 - Service: Macromedia Licensing Service - Macromedia - C:\Program Files\Common Files\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Virtual PDF Printer (Service1) - Unknown owner - d:\Program Files\Virtual PDF Printer\VirtualPrinting.exe
O23 - Service: VNC Server Version 4 (WinVNC4) - Unknown owner - C:\Program Files\RealVNC\VNC4\WinVNC4.exe" -service (file missing)

[JoostMartijn]

Misschien kun je hitmanpro proberen. Dit draait alle spyware en virus programma's achter elkaar. Zo is de kans meestal groter dat alles weg is. HitmanPro is te downloaden bij www.hitmanpro.nl

Wel belangrijk is dat hitmanpro alleen draait. Dus geen browser of spellen open.

[frickY]

mees schreef op donderdag 07 juli 2005 @ 16:03:
Ik heb al geprobeerd:
Ad-aware, Hijackthis, Spybot S&D, allemaal zonder resultaat..

Je weety dat HijackThis zelf weinig doet? En het de bedoeling is dat je zelf met de logfile op zonderzoek gaat?

[littledreamer]

Hier kan je online je logfile laten analiseren

[mees]

Tuurlijk weet ik dat..
Maar zie jij iets vaags dan?

[Impry]

Ik kan niets bijzonders ontdekken. Maar heb je al wat geprobeerd/gescanned in veilige modus?

[littledreamer]

Heb je -zoals ik een paar posts hierboven zei- al naar je msconfig / regedit run(once) folder(s) gekeken?

[pasta]

littledreamer schreef op vrijdag 08 juli 2005 @ 19:39:
Heb je -zoals ik een paar posts hierboven zei- al naar je msconfig / regedit run(once) folder(s) gekeken?

Die worden meegenomen in de log van HijackThis.

@TS: Controleer anders eens met een tool als Blacklight of er verborgen bestanden zijn. Let wel goed op voor je ze laat renamen. Niet alle bestanden zijn per definitie malware.

[littledreamer]

Is de TS al iets verder gekomen?