Process komt terug na kill (nieuwe naam) + spyware?

[Valandil]

Beste Tweakers,

Ik heb last van Spyware, Trojan of een virus, maar het is hardnekkig te verwijderen.

Symptonen:
Startpagina
Mijn default startpagina is gewijzigd naar "about: blanc". Hierdoor wordt er een search engine opgestart met als automatisch ingevuld zoekwoord Casino.

Pop-ups
Ik krijg random popups. Sowieso als ik internet op start. Het zijn pop-ups van Casino, Flowers of dat ik spyware heb en op de link moet klikken

Taskmanager:
In taskmanager verschijnt een process dat ik niet ken: uogacs.exe
Ik kill dit process en vervolgens verschijnt er een nieuw process: isumnsz.exe
Dit process kill ik ook en wederom een nieuw process verschijnt: bpzmrvi.exe
De naamgeving lijkt random, maar het feit dat ik 1 kill en er weer 1 voor terug krijg zegt al genoeg.

Ondernomen acties
Ad-aware
Ad-Aware gedraait, deze vond uiteraard bepaalde zooi. Deze file/cookies etc. verwijderd. Kon tweetal bestanden niet verwijderen, na reboot zijn deze alsnog door AdAware verwijrderd.

McAffee:
Vond Trojan, deze verwijderd

Spybot SnD
Vond 2 bestanden, deze verwijderd

Avast Antivirus
Vond 2x een Trojan, deze verwijderd

Probleem speelt nog steeds. Ik weet niet wat ik nog meer kan doen. Iemand suggesties?

[GlowMouse]

Misschien kun je kijken in welke map ze op je schijf staan, herstarten in veilige modus, die map sorteren op datum, en alle fout lijkende bestanden verwijderen. Ook kun je proberen, als het ook in veilige modus ook gestart is, met een shredder het bestand te shredden. Soms wil dat ook wel eens werken

[PcDealer]

Alles nogmaals in Safe Mode proberen en lees de FAQ Beveiliging en Virussen - Nieuw topic starten

[ Voor 50% gewijzigd door PcDealer op 31-07-2005 16:28 ]

[Verwijderd]

1 tip voor de pop-ups. Gebruik firefox.

[XyritZz]

Wat bij mij goed werkte met spyware dat automatisch terug kwam. Was eerst een scan doen met bijv. ad-aware (Een programma wat het WEL vind, maar niet helemaal kan verwijderen).

Deze laat ik altijd alle bestanden verwijderen van het spyware, soms kan dit ook via de processenlijst (Bestandsnaam opzoeken deze handmatig verwijderen).

En daarna liet ik spybot runnen en mn register checken. Ik kreeg dan soms een melding dat een registerkey naar een niet bestaand bestand verwees, die registerentry's dan verwijderen en toen was de spyware bij mij weg.

Ik weet niet of dit voor jou ook helpt, maar bij mij heeft het al wel eens wonderen gedaan

Succes!

[GlowMouse]

Verwijderd schreef op zondag 31 juli 2005 @ 16:32:
1 tip voor de pop-ups. Gebruik firefox.

Hij geeft aan dat de popups zomaar verschijnen, en niet tijdens het internetten. Kun je die tip wat toelichten?

[Rone]

• http://www.hitmanpro.nl >> Hitman Pro 2.1.4.exe (2,72 MB)

[ Voor 7% gewijzigd door Rone op 31-07-2005 16:39 ]

[DaOverclocker]

Ik heb deze trojan of wat het ook mag zijn ook op mijn laptop staan.

Ik heb al meerdere malen in veilige modus Microsoft antispyware gedraait, ad-aware en Spybot ook gedraait.

Maar dat process blijft maar terug komen.
Wel ben ik van de popups en gewijzigde startpagina's af.
Microsft a-spyware vind nog steeds wel dingen, die blijven maar gevonden worden en worden ook elke keer verwijderd.
Ik heb er nog geen andere oplossing voor gevonden.
Hert process staat trouwens, of wordt elke keer opnieuw aangemaakt in windsows\system.
Als je msconfig gebruikt, zie je dat er ook een snelkoppeling wordt aangemaakt om het process te starten bij een boot.

[gakkethijs]

probeer ook eens deze

meuktracker: Microsoft AntiSpyware 1.0.615

microsoft spyware

[et36s]

Download Microsoft Antispyware daar heb ik goede ervaringen mee. Die kan je hier vinden:

http://www.microsoft.com/...f62eda9671&displaylang=en

[GlowMouse]

gakkethijs schreef op zondag 31 juli 2005 @ 16:40:
probeer ook eens deze

meuktracker: Microsoft AntiSpyware 1.0.615

microsoft spyware

Zullen we daar Microsoft AntiSpyware van maken?

Ik heb al meerdere malen in veilige modus Microsoft antispyware gedraait, ad-aware en Spybot ook gedraait.

En als je in veilige modus de bestanden in c:\windows\sytem verwijdert die een recente aangemaakt-datum hebben?

[Verwijderd]

Je kan ook even proberen de verdachte processen te 'suspenden' en dan te killen, zodoende kunnen ze (elkaar) niet opnieuw starten.
Zie ook: [rml]Remark in "[ Tip] Virussen verwijderen zonder safe m..."[/rml]

[0siris]

GlowMouse schreef op zondag 31 juli 2005 @ 16:37:
[...]Hij geeft aan dat de popups zomaar verschijnen, en niet tijdens het internetten. Kun je die tip wat toelichten?

Dat kan ik wel even toelichten: de kans dat je besmet raakt met spyware als je Firefox gebruikt is best wel veel kleiner dan wanneer je Internet Explorer gebruikt.

[GlowMouse]

0siris schreef op zondag 31 juli 2005 @ 16:51:
[...]
Dat kan ik wel even toelichten: de kans dat je besmet raakt met spyware als je Firefox gebruikt is best wel veel kleiner dan wanneer je Internet Explorer gebruikt.

Met andere woorden: op dit moment heeft hij er niks aan, want de popups die hij nu krijgt verdwijnen er niet door.

[Sassie]

Je zou ook even een log kunnen maken met HijackThis, dan zie je oa de lopende processen en kun je ook kijken naar wat er allemaal in je opstart-entries staat (en hijackthis loopt nog wel wat meer zaken langs, zie ook: [rml][ Howto] Spyware scannen en opruimen[/rml]).

Draai eerst wel nog een keer hitmanpro (of adaware, spybot s&d en spyware doctor los) en ms antispyware in de veilige modus. Maak voor je zekerheid ook je tijdelijke bestanden en tijdelijke internet bestanden leeg, daarin willen soms ook wel wat aan spyware gerelateerde exes verstoppen.

[ Voor 4% gewijzigd door Sassie op 31-07-2005 18:56 ]

[Valandil]

Ik draai nu Microsoft AntiSpyware.
Zal kijken wat de resultaten worden.

Edit:
3 results:

- SearchExtender: 1 keer in temp file en 3 reg.settings
- Transponder.Abetterinternet.DrPmon:bestand in C:\windows\system32\drpmon.dll
- Transponder.Abetterinetner.Aurora: heel veel reg.bestanden.

Zal ze cleanen en kijken of het werkt.

Edit II
De bestanden werden verwijderd en ik heb gereboot.

Voordat ik internet opstarten heb ik eerst mijn default pagina gewijzigd naar www.google.nl
Ik start IExplorer op: helemaal niets... Nog een keer: gebeurt nog niets. In de taskbar wordt wel 2x IExplorer als process opgestart.

Ik sluti Antivirus programma's en internet start weer op met startpagina www.google.nl

Ik log uit en log weer aan... probleem is weer terug. Ik start Anitspyware van MS weer op en weer 2 hits!!!... ga nu weer cleanen en rebooten...

Edit III
Na deze clean wederom een reboot en dit keer start wederom Internet niet op. Uitgelogd opnieuw aanlogd en Internet starten op met nu netjes MSN als homepage.

Wederom in en uitgelogd... probleem is weer terug......

iemand nog suggesties, want dit ZUIGT!

[ Voor 126% gewijzigd door Valandil op 31-07-2005 18:00 ]

[Verwijderd]

Zosas schreef op zondag 31 juli 2005 @ 17:34:
...knip...

iemand nog suggesties, want dit ZUIGT!

Post je HJT log eens?

[Sassie]

En zie ook de post boven Zosas in "Process komt terug na kill (nieuwe naam)..." voor wat meer tips.

[Rone]

Zosas schreef op zondag 31 juli 2005 @ 17:34:
[...]

iemand nog suggesties, want dit ZUIGT!

Hitman Pro draaien, zoals ik in mijn vorige post al voorstelde...
Het zal misschien niet al je problemen oplossen (misschien ook wel), maar het zal zeker een heleboel opruimen.
Bovendien is het maar een kleine moeite

[ Voor 3% gewijzigd door Rone op 31-07-2005 19:39 ]

[Valandil]

zoiets?

code:

Logfile of HijackThis v1.99.1
Scan saved at 7:39:14 PM, on 7/31/2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\S24EvMon.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\Program Files\WIDCOMM\Bluetooth Software\bin\btwdins.exe
C:\WINDOWS\System32\RegSrvc.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZCfgSvc.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.exe
C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\Program Files\Intel\PROSetWireless\NCS\PROSet\PRONoMgr.exe
C:\Program Files\QuickTime\qttask.exe
C:\Program Files\Java\jre1.5.0_01\bin\jusched.exe
c:\windows\system32\hvsutt.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\MSN Messenger\MsnMsgr.Exe
C:\Program Files\WIDCOMM\Bluetooth Software\BTTray.exe
C:\WINDOWS\System32\1XConfig.exe
c:\progra~1\mcafee.com\vso\mcvsftsn.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\System32\rundll32.exe
C:\WINDOWS\System32\taskmgr.exe
D:\--SOFTWARE--\spyware remover\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOCUME~1\Jappie\LOCALS~1\Temp\se.dll/space.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOCUME~1\Jappie\LOCALS~1\Temp\se.dll/space.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
F2 - REG:system.ini: Shell=Explorer.exe C:\WINDOWS\Nail.exe
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: (no name) - {5C8B2A36-3DB1-42A4-A3CB-D426709BBFEB} - (no file)
O2 - BHO: (no name) - {DA75672F-8215-45C0-B5AD-EBB2BE0BCF5D} - C:\WINDOWS\System32\bfbh.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: McAfee VirusScan - {BA52B914-B692-46c4-B683-905236F6F655} - c:\progra~1\mcafee.com\vso\mcvsshl.dll
O4 - HKLM\..\Run: [SynTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [PRONoMgr.exe] C:\Program Files\Intel\PROSetWireless\NCS\PROSet\PRONoMgr.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_01\bin\jusched.exe
O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\System32\PSDrvCheck.exe -CheckReg
O4 - HKLM\..\Run: [otuzdxg] C:\WINDOWS\System32\otuzdxg.exe
O4 - HKLM\..\Run: [McRegWiz] C:\PROGRA~1\mcafee.com\agent\mcregwiz.exe /autorun
O4 - HKLM\..\Run: [VSOCheckTask] "c:\PROGRA~1\mcafee.com\vso\mcmnhdlr.exe" /checktask
O4 - HKLM\..\Run: [VirusScan Online] "c:\PROGRA~1\mcafee.com\vso\mcvsshld.exe"
O4 - HKLM\..\Run: [MCAgentExe] c:\PROGRA~1\mcafee.com\agent\mcagent.exe
O4 - HKLM\..\Run: [MCUpdateExe] c:\PROGRA~1\mcafee.com\agent\mcupdate.exe
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [gcasServ] "C:\Program Files\Microsoft AntiSpyware\gcasServ.exe"
O4 - HKLM\..\Run: [twixux] c:\windows\system32\hvsutt.exe r
O4 - HKLM\..\Run: [sp] rundll32 C:\DOCUME~1\Jappie\LOCALS~1\Temp\se.dll,DllInstall
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [qfrq] C:\PROGRA~1\COMMON~1\qfrq\qfrqm.exe
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: BTTray.lnk = ?
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Send To &Bluetooth - C:\Program Files\WIDCOMM\Bluetooth Software\btsendto_ie_ctx.htm
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: @btrez.dll,-4015 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Program Files\WIDCOMM\Bluetooth Software\btsendto_ie.htm
O9 - Extra 'Tools' menuitem: @btrez.dll,-4017 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Program Files\WIDCOMM\Bluetooth Software\btsendto_ie.htm
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O15 - Trusted Zone: http://www.neededware.com
O18 - Filter: text/html - {3E7B93B3-F81D-4F9A-B289-39D620430953} - C:\WINDOWS\System32\bfbh.dll
O18 - Filter: text/plain - {3E7B93B3-F81D-4F9A-B289-39D620430953} - C:\WINDOWS\System32\bfbh.dll
O20 - Winlogon Notify: Sebring - C:\WINDOWS\System32\LgNotify.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: Bluetooth Service (btwdins) - WIDCOMM, Inc. - C:\Program Files\WIDCOMM\Bluetooth Software\bin\btwdins.exe
O23 - Service: McAfee.com McShield (McShield) - Unknown owner - c:\PROGRA~1\mcafee.com\vso\mcshield.exe
O23 - Service: McAfee SecurityCenter Update Manager (mcupdmgr.exe) - McAfee, Inc - C:\PROGRA~1\McAfee.com\Agent\mcupdmgr.exe
O23 - Service: McAfee.com VirusScan Online Realtime Engine (MCVSRte) - Networks Associates Technology, Inc - c:\PROGRA~1\mcafee.com\vso\mcvsrte.exe
O23 - Service: RegSrvc - Intel Corporation - C:\WINDOWS\System32\RegSrvc.exe
O23 - Service: Spectrum24 Event Monitor (S24EventMonitor) - Intel Corporation  - C:\WINDOWS\System32\S24EvMon.exe
O23 - Service: System Startup Service  (SvcProc) - Unknown owner - c:\windows\SvcProc.exe

[PcDealer]

Zosas schreef op zondag 31 juli 2005 @ 17:34:

iemand nog suggesties, want dit ZUIGT!

Ja, in Safe Mode de programma's draaien zoals meerdere malen verzocht.

[ Voor 10% gewijzigd door PcDealer op 31-07-2005 20:08 ]

[Rone]

Wat er op het eerste oog verdacht uitziet:

c:\windows\system32\hvsutt.exe
O4 - HKLM\..\Run: [twixux] c:\windows\system32\hvsutt.exe r

Zo kan bijvoorbeeld Google er ook geen wijs uit. Aanvinken en weg ermee.

---

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\DOCUME~1\Jappie\LOCALS~1\Temp\se.dll/space.html

O4 - HKLM\..\Run: [sp] rundll32 C:\DOCUME~1\Jappie\LOCALS~1\Temp\se.dll,DllInstall

quote: http://www.spyany.com/files/se_dll.html

Description
Se.dll is a IE Browser Helper Object of adware SCBar/SearchExe variant. It adds a toolbar to Internet Explorer and generates popup ads while online.

Security Issues
Hijacks browser searches. Can download and execute arbitrary code from its controlling server (search-exe.com).

Ook weg.

---

F2 - REG:system.ini: Shell=Explorer.exe C:\WINDOWS\Nail.exe

Nail.exe is ook spyware volgens deze site en bovendien moeilijk te verwijderen.
Om ervan af te komen zou je bijvoorbeeld hier kunnen kijken.

---

O2 - BHO: (no name) - {DA75672F-8215-45C0-B5AD-EBB2BE0BCF5D} - C:\WINDOWS\System32\bfbh.dll

O18 - Filter: text/html - {3E7B93B3-F81D-4F9A-B289-39D620430953} - C:\WINDOWS\System32\bfbh.dll

O18 - Filter: text/plain - {3E7B93B3-F81D-4F9A-B289-39D620430953} - C:\WINDOWS\System32\bfbh.dll

Ook verdacht aangezien Google niets vindt. Verwijderen dus.

---

O4 - HKLM\..\Run: [otuzdxg] C:\WINDOWS\System32\otuzdxg.exe

Google vindt niets. Verwijderen.

---

O4 - HKCU\..\Run: [qfrq] C:\PROGRA~1\COMMON~1\qfrq\qfrqm.exe

Zelfde verhaal. Op delete beuqen.

---

O15 - Trusted Zone: http://www.neededware.com

Lijkt me niet echt trustworthy, wel? Weg ermee dus

---

O20 - Winlogon Notify: Sebring - C:\WINDOWS\System32\LgNotify.dll

quote: http://castlecops.com/o20list-20.html

AlienWare Desktop Skins

Optiefen tenzij je er gebruik van maakt.

---

En tot slot:

O23 - Service: System Startup Service (SvcProc) - Unknown owner - c:\windows\SvcProc.exe

Volgens deze site een trojan (W32.Stervis.B). Meteen eraf fietsen.

Dit alles in HijackThis aanvinken en op Fix duwen.
Hierna (nu vier maal vermeld) Hitman Pro draaien

[ Voor 20% gewijzigd door Rone op 31-07-2005 20:19 ]

[Valandil]

Hitman Pro gedraaid gisterenavond!
Daarmee lijkt het probleem verholpen, ik zal nog nader moeten onderzoek, maar daar had ik geen tijd meer voor.

Bovenstaande bestanden zal ik nog even bekijken of deze er nog opstaan.

Kleine kanttekening:
Bij het downloaden van hijackthis en het willen uitpakken daarvan, komt mcaffee met de melding deze dit pakket een worm/trojan bevat!

[Sassie]

Zosas schreef op maandag 01 augustus 2005 @ 08:53:
Kleine kanttekening:
Bij het downloaden van hijackthis en het willen uitpakken daarvan, komt mcaffee met de melding deze dit pakket een worm/trojan bevat!

Ja is een bekend probleem, zie http://www.spywareinfo.com/~merijn/.