spontaan last van ziekelijk veel popups!!

[Verwijderd]

Ik surf bewust en let op al die spyware shit, maar hier snap echt geen reet van. Ik heb ineens last van ziekelijk veel popups. Heb hitman gedraaid, ms anti spyware, pestpatrol, etc. Maar ik BLIJF iedere minuut popups krijgen, terwijl er niets gedetecteerd wordt.

hier wat urls van de popups die ik krijg:
*knip*

Voordat iemand anders dezelfde infectie oploopt

Iemand een idee wat ik in hemelsnaam kan doen?? TIA!

[ Voor 46% gewijzigd door pasta op 01-11-2005 16:01 ]

[Verwijderd]

popup blocker installeren cq aanzetten.
Of firefox gebruiken...............dan heb je er zeker minder last van!
Weet je zeker dat je geen last hebt van spyware?? vaak is dit de boosdoener!

[ Voor 26% gewijzigd door Verwijderd op 31-10-2005 13:43 ]

[M.I.G.]

ook adaware en spybot search and destroy geprobeerd.

staan er wazige programma's geinstalleerd onder configuratiescherm?

[Sassie]

De laatste tijd zijn er veel mensen die last hebben van pop-ups
Kijk eens wat je aan deze topics hebt (herken je de problemen/urls):
[rml][ Spyware] Popups niet weg te krijgen*[/rml]
paypopup.com popunders .. om gek van te worden
[rml][ spyware]sites worden automatisch geopend[/rml], PC besmet met Spyware
[rml][ malware] Look2Me Infectie*[/rml]
Zie dan ook [rml]Schouw in "[ Spyware] Popups niet weg te krijgen*"[/rml] en [rml]IS123 in "[ malware] Browser surft naar adsites zon..."[/rml]

Maak ook eens een hijackthis-log en post die hier eens (tussen [code]-tags).

[Verwijderd]

@mig, die staan al in hitmanpro

hier een dump van hijack log:

code:

Logfile of HijackThis v1.99.1
Scan saved at 13:51:14, on 31-10-2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Intel\Wireless\Bin\EvtEng.exe
C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe
C:\WINDOWS\system32\rundll32.exe
C:\Program Files\Common Files\Symantec Shared\ccSetMgr.exe
C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Intel\Wireless\Bin\ZcfgSvc.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Intel\Wireless\Bin\ifrmewrk.exe
C:\Program Files\Intel\Wireless\Bin\EOUWiz.exe
C:\Program Files\Common Files\Symantec Shared\ccApp.exe
C:\PROGRA~1\SYMANT~1\VPTray.exe
C:\PROGRA~1\PESTPA~1\PPControl.exe
C:\PROGRA~1\PESTPA~1\PPMemCheck.exe
C:\PROGRA~1\PESTPA~1\CookiePatrol.exe
C:\Program Files\Messenger\msmsgs.exe
C:\PROGRA~1\Intel\Wireless\Bin\1XConfig.exe
C:\Program Files\Symantec AntiVirus\DefWatch.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Program Files\Intel\Wireless\Bin\OProtSvc.exe
C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe
C:\Program Files\Symantec AntiVirus\Rtvscan.exe
C:\Program Files\Sony\VAIO Event Service\VESMgr.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\PROGRAM FILES\INTERNET EXPLORER\IEXPLORE.EXE
C:\Documents and Settings\skoft\Desktop\HijackThis.exe

O4 - HKLM\..\Run: [IntelWireless] C:\Program Files\Intel\Wireless\Bin\ifrmewrk.exe /tf Intel PROSet/Wireless
O4 - HKLM\..\Run: [EOUApp] C:\Program Files\Intel\Wireless\Bin\EOUWiz.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [vptray] C:\PROGRA~1\SYMANT~1\VPTray.exe
O4 - HKLM\..\Run: [PestPatrol Control Center] C:\PROGRA~1\PESTPA~1\PPControl.exe
O4 - HKLM\..\Run: [PPMemCheck] C:\PROGRA~1\PESTPA~1\PPMemCheck.exe
O4 - HKLM\..\Run: [CookiePatrol] C:\PROGRA~1\PESTPA~1\CookiePatrol.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - Startup: Adobe Gamma.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Adobe Reader Snelle start.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {2D663D1A-8670-49D9-A1A5-4C56B4E14E84} - (no file)
O9 - Extra button: Onderzoek - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O20 - Winlogon Notify: IntelWireless - C:\Program Files\Intel\Wireless\Bin\LgNotify.dll
O20 - Winlogon Notify: NavLogon - C:\WINDOWS\system32\NavLogon.dll
O20 - Winlogon Notify: Unimodem - C:\WINDOWS\system32\t08ulal91dq.dll
O20 - Winlogon Notify: VESWinlogon - C:\WINDOWS\SYSTEM32\VESWinlogon.dll
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSetMgr.exe
O23 - Service: Symantec AntiVirus Definition Watcher (DefWatch) - Symantec Corporation - C:\Program Files\Symantec AntiVirus\DefWatch.exe
O23 - Service: EvtEng - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\EvtEng.exe
O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Program Files\Common Files\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: OwnershipProtocol - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\OProtSvc.exe
O23 - Service: RegSrvc - Intel Corporation - C:\Program Files\Intel\Wireless\Bin\RegSrvc.exe
O23 - Service: Spectrum24 Event Monitor (S24EventMonitor) - Intel Corporation  - C:\Program Files\Intel\Wireless\Bin\S24EvMon.exe
O23 - Service: SAVRoam (SavRoam) - symantec - C:\Program Files\Symantec AntiVirus\SavRoam.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\SNDSrvc.exe
O23 - Service: Webroot Spy Sweeper Engine (svcWRSSSDK) - Webroot Software, Inc. - C:\Program Files\Webroot\Spy Sweeper\WRSSSDK.exe
O23 - Service: Symantec AntiVirus - Symantec Corporation - C:\Program Files\Symantec AntiVirus\Rtvscan.exe
O23 - Service: VAIO Event Service - Sony Corporation - C:\Program Files\Sony\VAIO Event Service\VESMgr.exe

[Sassie]

In je hijackthis-log geeft deze O20-entry een aanwijzing:

code:

O20 - Winlogon Notify: Unimodem - C:\WINDOWS\system32\t08ulal91dq.dll

De laatste tijd duiken hier veel logs op met een 'rare' dll (vaak met een random naam) in de O20-entry en klachten zoals popups en surfen naar reclame websites.
Kijk eens (met verborgen bestanden weergeven aan) in je system32 folder of je die .dll file dan wel kunt vinden (of andere 'rare' dll files). Als je hem kunt vinden probeer hem dan eens up te loaden @ http://virusscan.jotti.org
Zie ook: http://www.spywareinfo.com/~merijn/htlogtutorial.html#o20, http://www.hijackthis.nl/hjthandleiding.html#H34 en http://castlecops.com/o20-all.html en [rml]Sassie in "[ spyware]sites worden automatisch geopen..."[/rml]

[ Voor 9% gewijzigd door Sassie op 31-10-2005 13:59 ]

[Luxx]

oh.. om ze weg te krijgen, mijn methode, misschien heb je er wat aan... Eerst spoor je ze even op, de 'beruchte' dll's van 230/229 kb in je windows/system32 dir, ze zijn alleen niet te verwijderen..., zelfs niet met tools als unlocker enzo. Opstarten met een bootable ERD Commander (cd dus) bleek de truuc wel te doen. kijk anders eens in dit topic

Ohja, als een extra symtoom van deze malware zou ik het copy/paste gedrag in mijn browser willen noemen, dat werkte nml niet meer (goed), misschien was het toeval, maar nu werkt het weer als vanouds.