Krijg zo'n (spyware)balk in Explorer niet verwijderd

[Verwijderd]

Je kent het wel ... 'opeens' zit er een extra balk in je Explorer. Meestal krijg ik ze na enig speurwerk wel weer verwijderd, maar nu heb ik er één die krijg ik niet weg.

Er zit (heel handig) een un-instal functie bij ... ff een programma-tje downloaden en klaar. D.w.z. totdat je de computer weer opnieuw opgestart hebt. Na hier op Tweakers het één-en-ander gelezen te hebben DACHT ik het te weten .... in het register moet ik ervoor gaan zorgen dat die kl#te-balk niet weer opstart. Zoeken, zoeken, zoeken, maar uiteindelijk heb ik de register-keys gevonden die voor het opstarten verantwoordelijk zouden moeten zijn. Effe verwijderen en voila .... DACHT IK DUS!!!

Maar als ik een key verwijder .... effe het 'mapje' verlaat en dan weer terugkeer .... staat de net verwijderde key er doodleuk weer tussen!!!

Wie kan mij vertellen hoe ik te werk moet gaan in dit soort gevallen????

[_the_crow_]

Er zijn inderdaad best wel hardnekkige bij ja. Je zou voor de duidelijkheid een screenshot kunnen maken en die bijv. bij ImageShack hosten. Daardoor weten we over welke spyware-balk het gaat.

[ZandBak]

hitman pro al gedraaid??

[Verwijderd]

Dit is 'm dan!!!

En wat anti-spyware programma's betreft ..... heb er al tig geprobeerd. Hitman, Spybot, Ad-aware, enz.

[pasta]

Daarbij kan je ook met HijackThis regel voor regel kijken icm Google of een file verdacht is of niet. Als je niet veel duidelijks kunt vinden op Google, probeer dan de file eens te submitten bij Jotti's online malware scan.

[Verwijderd]

post eens een hijackthis log?

[Sassie]

Verwijderd schreef op zaterdag 12 november 2005 @ 12:21:
En wat anti-spyware programma's betreft ..... heb er al tig geprobeerd. Hitman, Spybot, Ad-aware, enz.

Wat gaven die programma's dan aan (namen, typering van de spyware)?

Maak anders een een hijackthislog en post die hier tussen code-tags.
Zie ook: [rml][ Howto] Spyware scannen en opruimen[/rml]

[Verwijderd]

Een HijackThis-log tussen code-tags

Op deze manier bedoel je???

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://www.go2realsearch.com/sp2.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.go2realsearch.com/sp2.php
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://windowsupdate.microsoft.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O4 - HKLM\..\Run: [NVIDIA nForce APU1 Utilities] NVATray.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [MCUpdateExe] C:\PROGRA~1\mcafee.com\agent\McUpdate.exe
O4 - HKLM\..\Run: [MSKAGENTEXE] C:\PROGRA~1\McAfee\SPAMKI~1\MskAgent.exe
O4 - HKLM\..\Run: [MCAgentExe] c:\PROGRA~1\mcafee.com\agent\mcagent.exe
O4 - HKLM\..\Run: [MSKDetectorExe] C:\PROGRA~1\McAfee\SPAMKI~1\MSKDetct.exe /startup
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [FLMOFFICE4DMOUSE] C:\Program Files\Browser Mouse\mouse32a.exe
O4 - HKLM\..\Run: [FLMK08KB] C:\Program Files\Muiltmedia keyboard Utility\2.0\KbdAp32A.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\Hp\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [DataLayer] C:\Program Files\Common Files\PCSuite\DataLayer\DataLayer.exe
O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\Program Files\Nokia\Nokia PC Suite 6\LaunchApplication.exe -onlytray
O4 - HKLM\..\Run: [AWMON] "C:\Program Files\Lavasoft\Ad-Aware SE Professional\Ad-Watch.exe"
O4 - HKLM\..\Run: [Microsoft Windows Update] C:\WINDOWS\system32\msupdate.exe
O4 - HKLM\..\Run: [checkrun] C:\windows\system32\elitemuo32.exe
O4 - HKLM\..\Run: [System service79] C:\WINDOWS\etb\pokapoka79.exe
O4 - Global Startup: Adobe Reader Snelle start.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O8 - Extra context menu item: &Download with &DAP - C:\Program Files\DAP\dapextie.htm
O8 - Extra context menu item: Download &all with DAP - C:\Program Files\DAP\dapextie2.htm
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Send To &Bluetooth - C:\Program Files\WIDCOMM\Bluetooth Software\btsendto_ie_ctx.htm
O9 - Extra button: Onderzoek - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: @btrez.dll,-4015 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Program Files\WIDCOMM\Bluetooth Software\btsendto_ie.htm (file missing)
O9 - Extra 'Tools' menuitem: @btrez.dll,-4017 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Program Files\WIDCOMM\Bluetooth Software\btsendto_ie.htm (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://spaces.msn.com//PhotoUpload/MsnPUpld.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.c...eb_site.cab?1119665924593
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.c...eb_site.cab?1129342386281
O16 - DPF: {6F750200-1362-4815-A476-88533DE61D0C} (Ofoto Upload Manager Class) - http://adobe.kodakgallery...BUM_WIN_IE_1/axofupld.cab
O16 - DPF: {71CBDCD9-0830-4470-A890-35D364DA352C} - http://scripts.downloadv3...ent/EGAUTH_1047_EN_XP.cab
O16 - DPF: {861FDA2A-2B57-4BDA-8B8B-305C9D5D8604} (_Multimedia Player) - http://stream.pussyharem.com/stream/mmp.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/...sengerSetupDownloader.cab
O16 - DPF: {BD3653E4-884B-43C4-970B-670802501B7F} - http://akamai.downloadv3....ent/EGAUTH_1043_EN_XP.cab
O16 - DPF: {BE5A7132-329F-4319-B781-2A83BFE51534} - http://akamai.downloadv3....ent/EGAUTH_1045_EN_XP.cab
O16 - DPF: {BFF1950D-B1B4-4AE8-B842-B2CCF06D9A1B} (Zylom Games Player) - http://game08.zylom.com/activex/zylomgamesplayer.cab
O16 - DPF: {EB387D2F-E27B-4D36-979E-847D1036C65D} (QDiagHUpdateObj Class) - http://h30043.www3.hp.com/hpdj/en/check/qdiagh.cab?326
O17 - HKLM\System\CCS\Services\Tcpip\..\{0EEBC3D7-8BD6-4583-8740-4D442E56C4E1}: NameServer = 212.142.28.66,212.142.28.130
O17 - HKLM\System\CS1\Services\Tcpip\..\{0EEBC3D7-8BD6-4583-8740-4D442E56C4E1}: NameServer = 212.142.28.66,212.142.28.130
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O23 - Service: Bluetooth Service (btwdins) - Unknown owner - C:\Program Files\WIDCOMM\Bluetooth Software\bin\btwdins.exe (file missing)
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: InstallShield Licensing Service - Macrovision - C:\Program Files\Common Files\InstallShield Shared\Service\InstallShield Licensing Service.exe
O23 - Service: McAfee SecurityCenter Update Manager (mcupdmgr.exe) - McAfee, Inc - C:\PROGRA~1\McAfee.com\Agent\mcupdmgr.exe
O23 - Service: McAfee SpamKiller Server (MskService) - Networks Associates Technology. Inc. - C:\PROGRA~1\McAfee\SPAMKI~1\MSKSrvr.exe
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: Print Spooler (Spooler) - Unknown owner - C:\WINDOWS\system32\spoolsv.exe (file missing)
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Program Files\TuneUp Utilities 2004\WinStylerThemeSvc.exe

[pasta]

code:

O4 - HKLM\..\Run: [Microsoft Windows Update] C:\WINDOWS\system32\msupdate.exe
O4 - HKLM\..\Run: [checkrun] C:\windows\system32\elitemuo32.exe
O4 - HKLM\..\Run: [System service79] C:\WINDOWS\etb\pokapoka79.exe

Die 3 files vertrouw ik niet, scan 1 ervan (of alle 3) eens op Jotti's online malware scan.

code:

O16 - DPF: {861FDA2A-2B57-4BDA-8B8B-305C9D5D8604} (_Multimedia Player) - http://stream.pussyharem.com/stream/mmp.cab

Is redelijk overbodig, kan dus weg.

code:

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://www.go2realsearch.com/sp2.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.go2realsearch.com/sp2.php
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =

Die zijn ook nutteloos, en kunnen dus weg.

offtopic:
De code tags zijn [code][/code]

[ Voor 4% gewijzigd door pasta op 12-11-2005 12:48 ]

[---RRR---]

Ik doe ook nog eventjes dit als ik spyware ontdek:

Map opstarten in startmenu controleren
Via uitvoeren msconfig, tabblad opstarten controlleren
Program Files op vreemde mappen controleren
Prefetch map leegmaken in windowsdirectory
Alle temp bestanden wissen
Regsupreme (of ander soortgelijk prog) uitvoeren

[XyritZz]

Hijackthis logs kun je ook heel handig op www.hijackthis.de invullen en laten analyseren. Dat maakt het gebruik van dit programma al een stuk makkelijker!

De spyware die daar aangegeven word (op hijackthis.de: Nasty):

code:

O16 - DPF: {71CBDCD9-0830-4470-A890-35D364DA352C} - http://scripts.downloadv3...ent/EGAUTH_1047_EN_XP.cab
O16 - DPF: {BD3653E4-884B-43C4-970B-670802501B7F} - http://akamai.downloadv3....ent/EGAUTH_1043_EN_XP.cab
O16 - DPF: {BE5A7132-329F-4319-B781-2A83BFE51534} - http://akamai.downloadv3....ent/EGAUTH_1045_EN_XP.cab

Possibly Nasty:

code:

O16 - DPF: {861FDA2A-2B57-4BDA-8B8B-305C9D5D8604} (_Multimedia Player) - http://stream.pussyharem.com/stream/mmp.cab

Unknown:

code:

O4 - HKLM\..\Run: [FLMOFFICE4DMOUSE] C:\Program Files\Browser Mouse\mouse32a.exe
O4 - HKLM\..\Run: [FLMK08KB] C:\Program Files\Muiltmedia keyboard Utility\2.0\KbdAp32A.exe
O4 - HKLM\..\Run: [Microsoft Windows Update] C:\WINDOWS\system32\msupdate.exe
O4 - HKLM\..\Run: [checkrun] C:\windows\system32\elitemuo32.exe
O4 - HKLM\..\Run: [System service79] C:\WINDOWS\etb\pokapoka79.exe
O23 - Service: InstallShield Licensing Service - Macrovision - C:\Program Files\Common Files\InstallShield Shared\Service\InstallShield Licensing Service.exe

Unnecessarily:

code:

O9 - Extra button: @btrez.dll,-4015 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Program Files\WIDCOMM\Bluetooth Software\btsendto_ie.htm (file missing)
O9 - Extra 'Tools' menuitem: @btrez.dll,-4017 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Program Files\WIDCOMM\Bluetooth Software\btsendto_ie.htm (file missing)
O23 - Service: Bluetooth Service (btwdins) - Unknown owner - C:\Program Files\WIDCOMM\Bluetooth Software\bin\btwdins.exe (file missing)
O23 - Service: Print Spooler (Spooler) - Unknown owner - C:\WINDOWS\system32\spoolsv.exe (file missing)

Succes er mee!

offtopic:
Edit: Code tags beter toegepast

@pasta, nog nooit eerder van gehoord dat hijackthis.de verkeerde resultaten geeft Is er ergens een online scanner die z'n werk wel goed doet?

[ Voor 7% gewijzigd door XyritZz op 12-11-2005 13:14 ]

[pasta]

offtopic:
Je weet dat www.hijackthis.de vaak verkeerde resultaten geeft? Legit files die verkeerd geflagged worden, files die worden overgeslagen enz.

[Verwijderd]

Het zijn ook precies die 3 bestanden die de ellende veroorzaken!!!

elitemuo32.exe zorgt voor die balk en wat die andere 2 doen weet ik nog niet, maar het zal weinig goeds zijn vrees ik.

Maar hoe krijg ik ze definitief verwijderd????
Waar ik ze ook delete .... ze staan er sneller weer als dat ik met mijn ogen knipper.

[Sassie]

Probeer het anders eens in de veilige modus.
Overigens, er mist nog een deel van je hijackthis-log. Wat staat er bijv bij 'running processes'?

En als dat ook nog niet meteen iets oplevert, probeer dan eerst dit nog

---rrr--- schreef op zaterdag 12 november 2005 @ 12:56:
Prefetch map leegmaken in windowsdirectory
Alle temp bestanden wissen

Het programma ccleaner kan dat bijvoorbeeld.

offtopic:
En idd hijackthis.de moet je niet klakkeloos navolgen Je kunt het gebruiken om het kaf van het koren te scheiden, maar je eigen verstand en google zijn ernaast wel handig. Hijackthis.de kent ook niet alles.

[BHQ]

pokapoka79.exe is idd. een virus en zou je virusscanner er gewoon uit moeten pikken..

-edit- geen virus maar spyware schijnbaar; ach het doet toch hetzelfde

Wel vaag overigens, ik heb bij m'n bovenburen die bar ook gehad (incl. pokapoka79.exe en een shitload aan andere virussen ) en ik heb in veilige modus gewoon met AntiVir en een up-to-date Ad-ware gescanned en alles was zo goed als weg. Uiteraard heb ik ook Firefox geinstalleerd zodat er niet nodeloos op 'ja' gedrukt kan worden bij spyware...

[ Voor 11% gewijzigd door BHQ op 13-11-2005 16:36 ]

[Verwijderd]

Downloaden:
- HijackThis
- Microsoft AntiSpyware
- Hitman Pro
- RKDetector

Installeer:
- Hitman Pro
- Microsoft AntiSpyware

- Laat Hitman Pro (inclusief alle virusscanners) een keer z'n gang gaan.
- Laat Microsoft AntiSpyware de updates binnenhalen.
- Kijk in Microsoft AntiSpyware bij Advanced Tools of je de toolbar daar niet toevallig wegkrijgt.
- Start de computer opnieuw op in veilige modus.
- Laat Hitman Pro nog een keer draaien.
- Laat Microsoft AntiSpyware draaien.
- Kijk in HijackThis of er nog verdachte regels instaan en verwijder deze dan.
- Laat RKDetector z'n gang gaan.
- Start de computer weer opnieuw op.

Volgens mij moet hij dat wel weg zijn. Kan het me niet anders voorstellen.

(wat misschien ook nog wel wil helpen is scannen in de veilige modus met Kaspersky Antivirus en dan de Extended database selecteren in Settings->Threats and Exclusions.)

Veel Succes!

[Verwijderd]

is het nouw al eens gelukt of niet?