Rare homepage na spyware aanval

[SjorsVN]

Hoi,
Aangezien m'n eerdere topic deze ochtend gesloten was kopieer ik m'n eerste post maar weer ff.

Ik heb laatst een beste spyware aanval gehad, dat was de lek die nu gedicht is door microsoft. Ik heb alles verwijdert maar als homepage gaat ie elke keer naar C:/Windows/system32/search.... Ik verwijder dat bestand, maar het blijft telkens terug komen, en de homepage dus ook. Ik krijg dan ook een melding dat er een ActiveX bestand gedownload kan worden en ik krijg een melding: For instant acces please click yes. Ik ben er al een dag mee bezig en op het internet zelf kan je er niks over vinden! Help me alst jullie blieft!

Wat ik geprobeerd heb is Ad-Aware 1.06 pro eroverheen gegooid, wel wat gevonden, maar niet hetgene wat ik kwijt wil. Ik heb Pc-Cillin 2006 geprobeerd, en ik ben momenteel Spybot S&D aan het downloaden. Het bestandje staat in C:\Windows\system32\search en het is een html bestand. Het komt weer terug als ik het verwijder en zo komt dus ook de homepage terug die naar dat bestand toe linkt.

Wat info over mijn pc:

Windows XP Home
Asus K8V-Deluxe
amd64 3000+
1 gig
gainward 6800ultra

Sorry nog dat ik het in het verkeerde stuk postte.

Ík hoop dat jullie iets meer weten dan ik.

[DeMoN]

Download HijackThis eens en dump die logfile eens hier neer

[Killertjuh]

gebruik hitman pro dan hoef je niet alles handmatig te downloaden

[SjorsVN]

DeMoN schreef op donderdag 15 december 2005 @ 13:41:
Download HijackThis eens en dump die logfile eens hier neer

Ok komt in orde

[SjorsVN]

Ok ik snap er niks van maar hier is ie

Logfile of HijackThis v1.99.1
Scan saved at 13:53:52, on 15-12-2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Executive Software\Diskeeper\DkService.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\VIA\RAID\raid_tool.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Program Files\D-Tools\daemon.exe
C:\WINDOWS\system32\efsdfgxg.exe
C:\WINDOWS\inet20099\socks.exe
C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe
C:\PROGRA~1\Sony\SONICS~1\SsAAD.exe
C:\WINDOWS\system32\ctfmon.exe
D:\FRAPS\FRAPS.EXE
C:\WINDOWS\system32\sywsvcs.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\wpabaln.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
D:\Spybot\spybotsd14.exe
C:\DOCUME~1\SJORSV~1.000\LOCALS~1\Temp\is-9LKUK.tmp\is-CUOGS.tmp
C:\Program Files\Internet Explorer\iexplore.exe
D:\Spybot\hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = C:\WINDOWS\system32\search.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = C:\WINDOWS\system32\search.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = C:\WINDOWS\system32\search.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = C:\WINDOWS\system32\search.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = C:\WINDOWS\system32\search.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = C:\WINDOWS\system32\search.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = C:\WINDOWS\system32\search.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = C:\WINDOWS\system32\search.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = C:\WINDOWS\system32\search.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O4 - HKLM\..\Run: [RaidTool] C:\Program Files\VIA\RAID\raid_tool.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [DiskeeperSystray] "C:\Program Files\Executive Software\Diskeeper\DkIcon.exe"
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Program Files\D-Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [Explorer32] C:\WINDOWS\system32\efsdfgxg.exe
O4 - HKLM\..\Run: [Microsoft standard protector] C:\WINDOWS\inet20099\socks.exe 20099
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [SsAAD.exe] C:\PROGRA~1\Sony\SONICS~1\SsAAD.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Fraps] D:\FRAPS\FRAPS.EXE
O4 - HKCU\..\Run: [Windows installer] C:\winstall.exe
O4 - HKCU\..\Run: [aupd] C:\WINDOWS\system32\sywsvcs.exe
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Onderzoek - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O12 - Plugin for .pdf: C:\Program Files\Internet Explorer\PLUGINS\nppdf32.dll
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.c...eb_site.cab?1133814659858
O23 - Service: Diskeeper - Executive Software International, Inc. - C:\Program Files\Executive Software\Diskeeper\DkService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: License Management Service ESD - element5 - C:\Program Files\Common Files\element5 Shared\Service\Licence Manager ESD.exe
O23 - Service: MSCSPTISRV - Sony Corporation - C:\Program Files\Common Files\Sony Shared\AVLib\MSCSPTISRV.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: PACSPTISVR - Sony Corporation - C:\Program Files\Common Files\Sony Shared\AVLib\PACSPTISVR.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
O23 - Service: Sony SPTI Service (SPTISRV) - Sony Corporation - C:\Program Files\Common Files\Sony Shared\AVLib\SPTISRV.exe
O23 - Service: SonicStage SCSI Service (SSScsiSV) - Sony Corporation - C:\Program Files\Common Files\Sony Shared\AVLib\SSScsiSV.exe

[F_J_K]

SjorsVN schreef op donderdag 15 december 2005 @ 13:51:
Ok komt in orde

Hey, datzelfde werd je in dat andere topic ook al gevraagd

Verwijderd schreef op donderdag 15 december 2005 @ 09:30:
Spybot Search & Destroy geprobeerd? Sowieso moet dit in /73 (bev/viri). En daar staat ook een FAQ, waar het verwijderen van spyware word uitgelegd.

Zie ook de BEV FAQ: [rml][ Howto] Spyware scannen en opruimen[/rml]

Lees die link dus nu wel even door

Anyhow, in ieder geval efsdfgxg.exe klinkt niet goed. Gooi die even door wat scanners heen (bijv. met Jotti's virusscan: zie Google).

Kijk wat het is, lees dan wat het doet en hoe het te verwijderen

[ Voor 5% gewijzigd door F_J_K op 15-12-2005 14:06 ]

[Alex)]

O4 - HKLM\..\Run: [Microsoft standard protector] C:\WINDOWS\inet20099\socks.exe 20099
O4 - HKCU\..\Run: [Windows installer] C:\winstall.exe
O4 - HKCU\..\Run: [aupd] C:\WINDOWS\system32\sywsvcs.exe
Bevallen me niet... MS heeft niet zoiets als een standard protector, en Windows installer gebruikt msiexec.exe, geen winstall.exe...

[DeMoN]

Alex schreef op donderdag 15 december 2005 @ 14:10:
O4 - HKLM\..\Run: [Microsoft standard protector] C:\WINDOWS\inet20099\socks.exe 20099
O4 - HKCU\..\Run: [Windows installer] C:\winstall.exe
O4 - HKCU\..\Run: [aupd] C:\WINDOWS\system32\sywsvcs.exe
Bevallen me niet... MS heeft niet zoiets als een standard protector, en Windows installer gebruikt msiexec.exe, geen winstall.exe...

En die derde:

%sysdir%\sywsvcs.exe
sywsvcs.exe is a Trojan.Orse-M.
sywsvcs.exe downloads code from the internet.
Related files:
%System%\sywsvcs.exe
%System%\zlbw.dll
More info: http://www.sophos.com/virusinfo/analyses...
Removal:
Kill sywsvcs.exe process and remove sywsvcs.exe from Windows startup using RegRun Startup Optimizer.

Dat van die RegRun Startup Optimizer moet je gewoon zelf met de hand doen (regedit.exe) of anders met de Autorun tools van www.sysinternals.com
http://www.sysinternals.com/Files/Autoruns.zip

edit: HijackThis kan dit waarschijnlijk ook wel voor je.. maar pas er mee op! Zeker als je al niet goed snapt wat het laat zien! Je kan je systeem wel verklooien anders met HijackThis.

[ Voor 13% gewijzigd door DeMoN op 15-12-2005 14:28 ]

[SjorsVN]

Ik heb net Spybot S&D eroverheen gegooid en die rare homepage is nu weg. Moet ik nog ff een keer Hijack log posten? Zo ja: hier is ie En zo nee, iig al bedankt voor de info reacties!

Logfile of HijackThis v1.99.1
Scan saved at 14:34:59, on 15-12-2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\VIA\RAID\raid_tool.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Program Files\D-Tools\daemon.exe
C:\WINDOWS\inet20099\socks.exe
C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe
C:\PROGRA~1\Sony\SONICS~1\SsAAD.exe
C:\WINDOWS\system32\ctfmon.exe
D:\FRAPS\FRAPS.EXE
C:\Program Files\Executive Software\Diskeeper\DkService.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\wuauclt.exe
D:\Spybot\hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.nl/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O4 - HKLM\..\Run: [RaidTool] C:\Program Files\VIA\RAID\raid_tool.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [DiskeeperSystray] "C:\Program Files\Executive Software\Diskeeper\DkIcon.exe"
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Program Files\D-Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [Microsoft standard protector] C:\WINDOWS\inet20099\socks.exe 20099
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [SsAAD.exe] C:\PROGRA~1\Sony\SONICS~1\SsAAD.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Fraps] D:\FRAPS\FRAPS.EXE
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Onderzoek - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O12 - Plugin for .pdf: C:\Program Files\Internet Explorer\PLUGINS\nppdf32.dll
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.c...eb_site.cab?1133814659858
O23 - Service: Diskeeper - Executive Software International, Inc. - C:\Program Files\Executive Software\Diskeeper\DkService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: License Management Service ESD - element5 - C:\Program Files\Common Files\element5 Shared\Service\Licence Manager ESD.exe
O23 - Service: MSCSPTISRV - Sony Corporation - C:\Program Files\Common Files\Sony Shared\AVLib\MSCSPTISRV.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: PACSPTISVR - Sony Corporation - C:\Program Files\Common Files\Sony Shared\AVLib\PACSPTISVR.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
O23 - Service: Sony SPTI Service (SPTISRV) - Sony Corporation - C:\Program Files\Common Files\Sony Shared\AVLib\SPTISRV.exe
O23 - Service: SonicStage SCSI Service (SSScsiSV) - Sony Corporation - C:\Program Files\Common Files\Sony Shared\AVLib\SSScsiSV.exe

[Sassie]

code:

C:\WINDOWS\inet20099\socks.exe
O4 - HKLM\..\Run: [Microsoft standard protector] C:\WINDOWS\inet20099\socks.exe 20099

Deze vertrouw ik niet, laat die socks.exe eens analyseren @ http://virusscan.jotti.org


Overigens, draai je een virusscanner en een firewall? Ik zie er iig niks van in je log. Het is wel verstandig om dat wel te doen omdat je computer dan beter beveiligd wordt tegen 'aanvallen' van buiten af en visussen/malware.

[ Voor 3% gewijzigd door Sassie op 15-12-2005 15:40 ]

[SjorsVN]

Ik gebruik de windows firewall en af en toe zet ik er eens een virusscanner op, dan scan ik alles en verwijder ik em weer. Het gaat allemaal zo sloom met een virusscanner die zoveel controleerd.

*Die socks.exe blijkt een trojan te zijn. Ik heb em nu verwijderd.
** De helemap inet20099 zit vol met trojans, is deze map echt een standaard map van windows of kan hij gewoon weg? Namen van de bestanden die er in staan zijn: killer,mm2,services,winlogon allemaal.exe.

[ Voor 44% gewijzigd door SjorsVN op 15-12-2005 16:31 ]

[DeMoN]

SjorsVN schreef op donderdag 15 december 2005 @ 16:19:
Ik gebruik de windows firewall en af en toe zet ik er eens een virusscanner op, dan scan ik alles en verwijder ik em weer. Het gaat allemaal zo sloom met een virusscanner die zoveel controleerd.

*Die socks.exe blijkt een trojan te zijn. Ik heb em nu verwijderd.
** De helemap inet20099 zit vol met trojans, is deze map echt een standaard map van windows of kan hij gewoon weg? Namen van de bestanden die er in staan zijn: killer,mm2,services,winlogon allemaal.exe.

Absoluut niet aanklikken (opstarten) en die hele map SHIFT+DELETEN

[F_J_K]

Nee inet20099 is geen standaard Windows dir. [google=20099] maakt dit ook erg duidelijk.

edit:
Zegt spuit 11. Weg er mee ja.

Overigens maakt dit heel erg duidelijk dat je zelf echt een virusscanner nodig hebt. Continu.

Als je dat niet doet je jezelf besmet en zo af en toe data kwijt raakt is dat tot daar aan toe. Maar je berokkent op deze manier ook mij en de rest van de wereld schade toe omdat jij nu spam, virussen, DoSsen en andere troep de wereld helpt sturen. En dat is op zijn minst niet netjes en aangezien het bewust gebeurt zelfs wat imho asociaal als je niet voortaan permanent een goede virusscanner draait op een PC die aan het internet hangt...

[ Voor 4% gewijzigd door F_J_K op 15-12-2005 16:39 ]

[SjorsVN]

Hehe ok, gedaan!

Ik denk dat dat het em wel was, allemaal harstikke bedankt!

@fjk ik zal er eens over nadenken om zelf eens een goede virus scan te kopen.

[ Voor 33% gewijzigd door SjorsVN op 15-12-2005 16:43 ]