[XP] tooltje dat activiteit logt ?

[Nick39]

Elk ongeveer kwartier zie ik op de taskbar een blokje komen van een programma dat zichzelf opstart.
Het is in 5 tellen weer weg.
Het is geen herkenbaar ikoontje maar gewoon een algemeen windows blokje.
Er draait dus iets op de achtergrond mee dat elk kwartier iets doet voor een paar seconden.

Ik weet voor 99% zeker wat het is (dit begon na de update van de HP printer software) maar ik wil het helemaal zeker weten.
De firewall blokkeert het niet,en mc afee zegt dat er geen virus is.
Bestaat er een tooltje wat een soort van log opmaakt van alle processen die opgestart worden in,zeg maar,een uur ?

Het ellendige is nu namelijk dat de pc niet op standby gaat,de harddisks niet standby gezet worden en de screensaver niet aan gaat, omdat er activiteit is.

[F_J_K]

Zie het hele Beveiliging & Virussen en dan vooral de sticky topics aldaar

Kernwoorden: services, hijackthis, filemon.

[Nick39]

F_J_K schreef op donderdag 18 augustus 2005 @ 17:55:
Zie het hele Beveiliging & Virussen en dan vooral de sticky topics aldaar

Kernwoorden: services, hijackthis, filemon.

Hartelijk bedankt, hijackthis ken ik wel.. maar ik weet niet of het file iedere 15 minuten wordt opgestart,of dat het een service is die gewoon al runt,maar elke15 minuten iets doet.... in een virus zelf geloof ik niet zo..av software is up to date en ook online scanners vinden niets,geen rare uitgaande mailtjes of zo.. maar ik wroet verder

[F_J_K]

Als het elke 15 minuten draait, is er een proces dat het elke 15 minuten start en dus zou je het als service of in een van de opstartgroepen te vinden via hijackthis moeten kunnen vinden. Het hoeft trouwens inderdaad helemaal geen malware te zijn maar de aanroepende applicatie zou je in het hjt log moeten zien. Geef die dus even (tussen [ code ] tags zodat het makkelijk leest )

Als je Windows XP hebt, zal het icoontje trouwens in je "inactive" notification area lijstje staan: misschien herken je het. (Eigenschappen taakbalk -> customize of hoe het ook in het NL heet).

[Nick39]

F_J_K schreef op donderdag 18 augustus 2005 @ 19:03:
Als het elke 15 minuten draait, is er een proces dat het elke 15 minuten start en dus zou je het als service of in een van de opstartgroepen te vinden via hijackthis moeten kunnen vinden. Het hoeft trouwens inderdaad helemaal geen malware te zijn maar de aanroepende applicatie zou je in het hjt log moeten zien. Geef die dus even (tussen [ code ] tags zodat het makkelijk leest )

Als je Windows XP hebt, zal het icoontje trouwens in je "inactive" notification area lijstje staan: misschien herken je het. (Eigenschappen taakbalk -> customize of hoe het ook in het NL heet).

Ik ga eerst aan de slag met hijackdinges.. de meeste services ken ik al,ik hou me uiteraard aan het stappenplan.. maar het zal moeilijk worden want het is echt maar een popupje van 1 a 2 seconden..
Het ikoontje zelf is dat van windows..gewoon een standaard blauw ruitje dat ie bij elk 16 of 32 bits applicatie zonder eigen ikoon geeft.

code:

Logfile of HijackThis v1.99.1
Scan saved at 00:16:50, on 19-08-05
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Trust\Ami Mouse 300 Dual Scroll\Amoumain.exe
C:\Program Files\HP\hpcoretech\hpcmpmgr.exe
C:\Program Files\Messenger Plus! 3\MsgPlus.exe
C:\WINDOWS\System32\imapi.exe
c:\PROGRA~1\mcafee.com\vso\mcvsrte.exe
C:\WINDOWS\System32\HPZipm12.exe
C:\PROGRA~1\mcafee.com\vso\mcvsshld.exe
c:\progra~1\mcafee.com\vso\mcvsescn.exe
C:\WINDOWS\System32\svchost.exe
c:\program files\mcafee.com\agent\mcagent.exe
C:\WINDOWS\system32\rundll32.exe
C:\PROGRA~1\CLIPBO~1\CLIPBO~1.EXE
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\AutoSizer\AutoSizer.exe
C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
C:\Program Files\MailWasher\MailWasher.exe
c:\progra~1\mcafee.com\vso\mcvsftsn.exe
c:\PROGRA~1\mcafee.com\vso\mcshield.exe
C:\Program Files\HP\Digital Imaging\bin\hpqgalry.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\wincmd\TOTALCMD.EXE
e:\EVEN\HijackThis.exe
C:\Program Files\Internet Explorer\iexplore.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = 
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer.
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = wwwproxy.xs4all.nl:8080
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = 192.168.1.1;10.0.0.150;192.168.1.12;10.0.0.138;;localhost;<local>
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: AdPurger - {56796C51-A689-4360-B813-18A47C9D05C2} - C:\Program Files\AdPurger\2.51\AdPurger.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - (no file)
O3 - Toolbar: McAfee VirusScan - {BA52B914-B692-46c4-B683-905236F6F655} - c:\progra~1\mcafee.com\vso\mcvsshl.dll
O4 - HKLM\..\Run: [Tweak UI] RUNDLL32.EXE TWEAKUI.CPL,TweakMeUp
O4 - HKLM\..\Run: [WheelMouse] Amoumain.exe
O4 - HKLM\..\Run: [AtomTime] "C:\Program Files\AtomTime Pro\AtomTime.EXE"
O4 - HKLM\..\Run: [HP Component Manager] "C:\Program Files\HP\hpcoretech\hpcmpmgr.exe"
O4 - HKLM\..\Run: [MessengerPlus3] "C:\Program Files\Messenger Plus! 3\MsgPlus.exe"
O4 - HKLM\..\Run: [anvshell] anvshell.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [VSOCheckTask] "c:\PROGRA~1\mcafee.com\vso\mcmnhdlr.exe" /checktask
O4 - HKLM\..\Run: [VirusScan Online] "c:\PROGRA~1\mcafee.com\vso\mcvsshld.exe"
O4 - HKLM\..\Run: [MCAgentExe] c:\PROGRA~1\mcafee.com\agent\mcagent.exe
O4 - HKLM\..\Run: [MCUpdateExe] C:\PROGRA~1\mcafee.com\agent\mcupdate.exe
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [LogitechVideoRepair] C:\Program Files\Logitech\Video\ISStart.exe
O4 - HKLM\..\Run: [LogitechVideoTray] C:\Program Files\Logitech\Video\LogiTray.exe
O4 - HKCU\..\Run: [Clipboard Buddy] C:\PROGRA~1\CLIPBO~1\CLIPBO~1.EXE
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [AutoSizer] "C:\Program Files\AutoSizer\AutoSizer.exe"
O4 - Startup: MailWasherPro.lnk = C:\Program Files\MailWasher\MailWasher.exe
O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
O4 - Global Startup: Snelstart HP Image Zone.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqthb08.exe
O8 - Extra context menu item: Filtering options - res://C:\Program Files\AdPurger\2.51\AdPurger.dll /242
O8 - Extra context menu item: View EXIF - C:\ViewEXIF\EXIF.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra button: On/Off - {521C05E8-D5C3-42c2-B4CB-11B959140aaa} - C:\Program Files\AdPurger\2.51\AdPurger.dll
O9 - Extra button: (no name) - {521C05E8-D5C3-42c2-B4CB-72B959140E95} - C:\Program Files\AdPurger\2.51\AdPurger.dll
O9 - Extra 'Tools' menuitem: AdPurger... - {521C05E8-D5C3-42c2-B4CB-72B959140E95} - C:\Program Files\AdPurger\2.51\AdPurger.dll
O9 - Extra button: Web Entry - {B4E30F61-16D9-11D3-85D1-005004229569} - C:\LOTUS\ORGANIZE\BANDOBJS.DLL
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\system32\SHDOCVW.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra button: Pictures - {C7486E80-B111-4768-995E-23CF307346FC} - C:\Program Files\UnH Solutions\Flash and Pics Control\FPCButton.dll (HKCU)
O16 - DPF: {003FADA5-8FEE-11D6-AFB7-0004768F6183} (CryptoRSA Control) - https://www.p3.postbank.nl/sesam/CAX.cab
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab
O16 - DPF: {0C568603-D79D-11D2-87A7-00C04FF158BB} (BrowseFolderPopup Class) - http://download.mcafee.com/molbin/Shared/MGBrwFld.cab
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} - 
O16 - DPF: {41F17733-B041-4099-A042-B518BB6A408C} - http://a224.g.akamai.net/7/224/52/20010620/qtinstall.info.apple.com/qt502/us/win/QuickTimeInstaller.exe
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://spaces.msn.com//PhotoUpload/MsnPUpld.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1124358644047
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab
O16 - DPF: {917623D1-D8E5-11D2-BE8B-00104B06BDE3} (CamImage Class) - http://www.axis.com/products/camera_servers/AxisCamControl.ocx
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/msnmessengersetupdownloader.cab
O16 - DPF: {C2FCEF52-ACE9-11D3-BEBD-00105AA9B6AE} - 
O16 - DPF: {C3DFA998-A486-11D4-AA25-00C04F72DAEB} (MSN Photo Upload Tool) - http://sc.groups.msn.com/controls/PhotoUC/MsnPUpld.cab
O16 - DPF: {DA28C54E-D95C-11D3-9A01-005004677EF4} (McAfee.com Component Download Manager Class) - http://download.mcafee.com/molbin/clinic/CDM/McCDM.cab
O16 - DPF: {DE591B16-A452-11D6-AED1-0001030A4E46} (PBGNX Control) - https://gto.postbank.nl/GTO/PBGNX.cab
O16 - DPF: {EB387D2F-E27B-4D36-979E-847D1036C65D} (QDiagHUpdateObj Class) - http://h30043.www3.hp.com/aio/nl/check/qdiagh.cab?326
O23 - Service: BcLogOff - Unknown owner - C:\Program Files\Jetico\BestCrypt\bclogoff.exe
O23 - Service: McAfee.com McShield (McShield) - Unknown owner - c:\PROGRA~1\mcafee.com\vso\mcshield.exe
O23 - Service: McAfee SecurityCenter Update Manager (mcupdmgr.exe) - McAfee, Inc - C:\PROGRA~1\McAfee.com\Agent\mcupdmgr.exe
O23 - Service: McAfee.com VirusScan Online Realtime Engine (MCVSRte) - McAfee, Inc - c:\PROGRA~1\mcafee.com\vso\mcvsrte.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\System32\HPZipm12.exe

Ik zie er in elk geval niets bijzonders aan..

[ Voor 90% gewijzigd door Nick39 op 19-08-2005 00:20 ]

[F_J_K]

De meeste programma's draai ik niet dus kan niet zeggen welke het zou kunnen veroorzaken.

Ik verplaats je topic even naar B&V. Niet omdat ik malware verwacht maar omdat de technieken etc hetzelfde zijn: zoeken wat het doet

Trouwens zie ik dat je een adblocker draait: ik neem aan dat je de servers waar GoT/T.net gebruik van maakt niet blokkeert? Zo wel: doe ajb niet

[Sassie]

Klinkt verdacht veel als hetgeen ik zag op mijn ouders' pc (met een hp psc 1315 aangesloten):
Spyware - Raar probleem...

[Nulnulnix]

Wat zegt de Eventviewer?

(Start - Run (of uitvoeren) - eventvwr)

[Nick39]

F_J_K schreef op vrijdag 19 augustus 2005 @ 09:02:
De meeste programma's draai ik niet dus kan niet zeggen welke het zou kunnen veroorzaken.

Ik verplaats je topic even naar B&V. Niet omdat ik malware verwacht maar omdat de technieken etc hetzelfde zijn: zoeken wat het doet

Trouwens zie ik dat je een adblocker draait: ik neem aan dat je de servers waar GoT/T.net gebruik van maakt niet blokkeert? Zo wel: doe ajb niet

Ik zou niet durven
@sassie was het weg bij jou nadat hptskmgr.exe was gekilled ?

[ Voor 7% gewijzigd door Nick39 op 19-08-2005 12:17 ]

[[Jules]]

Dit programmaatje houdt bij wat er allemaal gestart wordt en voor hoelang het draait...
Misschien helpt het in je speurtocht...

[Nick39]

[Jules] schreef op vrijdag 19 augustus 2005 @ 19:37:
Dit programmaatje houdt bij wat er allemaal gestart wordt en voor hoelang het draait...
Misschien helpt het in je speurtocht...

Dat programma is uitgevonden voor windows 95 en zegt niets op de momenten dat het programma runt.

Via de gebruikersgroep ben ik er achter dat het het programma HPCMPMGR.exe is dat dit doet.
Het is een deel van framework dat geladen wordt en,ja ongelofelijk,elk half uur controleert op een upgrade.
Proces gekilled,en het probleem is weg.
Iedereen bedankt.
Nick.