[XP] Computer spamt

[Zakkenwasser]

Best mede-tweakers,

Gistereochtend was ik aan het zoeken naar torrent's bij iedere nieuwe pagina op deze torrent site kreeg ik verschillende popups, het waren er niet veel, maar toch best wel irritant.

DE laatste popup reageerde echter niet, dus ik sluit het process IExplorer af.
En krijg ineens veel dos boxen te zien... niet goed dus.

Ik instaleer eindenlijk mijn antivirus software ..
Start opnieuw op, en inloggen duurd iets van 5 minuten... waarna ik weer die zelfde dos boxen zie.

Om een lang verhaal kort te maken, heb ik uiteindenlijk naar verschillende scans deze trojaanse paard wegweten te halen, het ging om Galapoper.A.
Ik heb win.ini, sys.ini, msconfig, register nagekeken, en de entries verwijderd die ik kon vinden.

Nu start mijn systeem weer netjes op, en krijg ik geen rare meldingen van mijn antivirus.
Het enige wat wel nog gebeurd is dat ik iedere keer een melding krijg dat mijn computer emails probeerd te verzenden, maar deze geblokkeerd worden door norton...

Nu vraag ik me af wat ik over het hoofd zie, waar er nog een entrie zou kunnen staan.
Ik ben zelf al opzoek geweest via verschillende sites, maar hellaas heb ik niks kunnen vinden.

[ralpje]

Op het moment dat je systeem écht besmet is geweest (en dat lijkt me bij jou duidelijk het geval), is er eigenlijk maar één echte oplossing: format en re-install.
Ook al pikt antivirussoftware een hoop eruit, je blijft altijd het risico lopen dat er ergens een backdoor is waardoor je systeem alsnog overgenomen kan worden of gebruikt kan worden als warez-server, spam-machine, en meer van dat soort troep.

[Brede P]

Draai eens een Hitman Pro, of zet desnoods een HiJackThis log hier neer.
IK kan je er niets mee, maar er zijn genoeg mensen hier die je op basis van een Hijack This log kunnen vertellen wat je over het hoofd hebt gezien, als je inderdaad wat over het hoofd hebt gezien.

Mijn eigen suggestie:
Backuppen van belangrijke data voor zover nodig, en dan formatteren en herinstalleren. En natuurlijk dan na herinstallatie wel meteen je virusscanner en firewall etc. installeren.

[ErikRedbeard]

Ik hoop dat je weet dat Torrent sites vaak de sites zijn met het grootste risico op virussen of spyware.

Dus ja, ik vind het een beetje stom om dan zonder Virusscan naar een Torrent site te gaan.
En dan ook nog van plan om te gaan downloaden zonder virusscan.

Als je zonder Virusscan werkt moet je wel weten wat je wel en niet moet gaan doen op internet.
En daar hoort Torrents zoeken/downloaden echt niet bij.


Maar over dat e-mails zenden.
Heb je al geprobeerd om op spy-ware te zoeken.
Want zoiets ken ik ook wel (had ik ooit info over gekregen toen ad-aware daar info over gaf na een update, kan goed een ander soort iets zijn hoor).

En dan probeer een aantal verschillende Spy-ware en Virusscan programma's.

[Zakkenwasser]

ralpje schreef op zondag 20 augustus 2006 @ 12:41:
Op het moment dat je systeem écht besmet is geweest (en dat lijkt me bij jou duidelijk het geval), is er eigenlijk maar één echte oplossing: format en re-install.
Ook al pikt antivirussoftware een hoop eruit, je blijft altijd het risico lopen dat er ergens een backdoor is waardoor je systeem alsnog overgenomen kan worden of gebruikt kan worden als warez-server, spam-machine, en meer van dat soort troep.

Het probleem is dat ik echter niet op een re-install sta te wachten, aangezien dat mijn systeem op het moment goed geconfigureerd is naar mijn smaak.
Ik heb nog geen Spyware cleaner gebruikt.
Maar lijkt me wel een idee omdat te gaan gebruiken.

[Brede P]

Zoals ik al zei, probeer Hitman Pro eens.
Werkt bij over het algemeen prima. Desnoods via MSCONFIG even alles uitzetten bij opstarten, scheelt nog weer iets. En als Hitman klaar is, even in MSCONFIG hetgene dat je opgestart wilt zien weer aanvinken.

[MensionXL]

ralpje schreef op zondag 20 augustus 2006 @ 12:41:
Op het moment dat je systeem écht besmet is geweest (en dat lijkt me bij jou duidelijk het geval), is er eigenlijk maar één echte oplossing: format en re-install.
Ook al pikt antivirussoftware een hoop eruit, je blijft altijd het risico lopen dat er ergens een backdoor is waardoor je systeem alsnog overgenomen kan worden of gebruikt kan worden als warez-server, spam-machine, en meer van dat soort troep.

Dat is nou de reden dat ik geen virusscanner gebruik als er wat mis mee is, dan format ik gelijk dan weet ik zeker dat ie weer schoon is.
(Ik draai 1x per maand een online virusscanner)
En die troep vertraagt alleen maar en je krijgt er gare meldingen van dus eigenlijk zie ik er het nut niet van in

[Rhannie]

ErikRedbeard schreef op zondag 20 augustus 2006 @ 12:45:
Ik hoop dat je weet dat Torrent sites vaak de sites zijn met het grootste risico op virussen of spyware.

Dus ja, ik vind het een beetje stom om dan zonder Virusscan naar een Torrent site te gaan.
En dan ook nog van plan om te gaan downloaden zonder virusscan.

Als je zonder Virusscan werkt moet je wel weten wat je wel en niet moet gaan doen op internet.
En daar hoort Torrents zoeken/downloaden echt niet bij.

Je kan makkelijk cracks/warez/torrentsites bezoeken zonder firewall en virusscanner. Dat doe ik ook al tijden. Je moet alleen geen Internet Explorer of een andere IE-based browser gebruiken, want dan gaat het inderdaad behoorlijk fout als je een minder vriendelijke pop-up/ad tegen komt.

@ TS: Post even een HijackThislogje of backup alles en doe een format + reinstall.

[Zakkenwasser]

Hitman pro probeer ik dus te downloaden, maar het lijkt erop dat mijn browser vrij traag is, en geen werkende link naar de download kan vinden.

[ralpje]

Jey1982 schreef op zondag 20 augustus 2006 @ 12:48:
[...]


Het probleem is dat ik echter niet op een re-install sta te wachten, aangezien dat mijn systeem op het moment goed geconfigureerd is naar mijn smaak.

Maar blijkbaar niet goed beveiligd is. Wel geconfigureerd naar jouw smaak, maar niet naar de smaak van alle mensen die via jouw PC spam gaan ontvangen straks.

[Zakkenwasser]

ralpje schreef op zondag 20 augustus 2006 @ 13:15:
[...]


Maar blijkbaar niet goed beveiligd is. Wel geconfigureerd naar jouw smaak, maar niet naar de smaak van alle mensen die via jouw PC spam gaan ontvangen straks.

Spam wordt nog wel tegen gehouden door norton AV

[Klaus_1250]

ErikRedbeard schreef op zondag 20 augustus 2006 @ 12:45:
Ik hoop dat je weet dat Torrent sites vaak de sites zijn met het grootste risico op virussen of spyware.

Dus ja, ik vind het een beetje stom om dan zonder Virusscan naar een Torrent site te gaan.
En dan ook nog van plan om te gaan downloaden zonder virusscan.

Dan bezoek je de verkeerde torrent-sites. Ik heb er nooit last van. Sowieso, zonder virusscan naar een torrent-site gaan kan makkelijk. Het is bij downloaden dat je er 1 nodig kan hebben.

Jey1982 schreef op zondag 20 augustus 2006 @ 12:48:
[...]


Het probleem is dat ik echter niet op een re-install sta te wachten, aangezien dat mijn systeem op het moment goed geconfigureerd is naar mijn smaak.
Ik heb nog geen Spyware cleaner gebruikt.
Maar lijkt me wel een idee omdat te gaan gebruiken.

Niemand zit op een reinstall te wachten, maar soms moet het gewoon. Op het moment dat je gaat internetten zonder virusscan/spywarescan, dan is dat het risico dat je neemt.

[ Voor 32% gewijzigd door Klaus_1250 op 20-08-2006 13:24 ]

[Zakkenwasser]

Logfile of HijackThis v1.99.1
Scan saved at 13:21:07, on 20-8-2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\TGTSoft\StyleXP\StyleXPService.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\nvraidservice.exe
D:\Program Files\Google\Gmail Notifier\gnotify.exe
C:\WINDOWS\CTHELPER.EXE
D:\PROGRA~1\SYMANT~1\VPTray.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\WINDOWS\eHome\ehRecvr.exe
C:\WINDOWS\eHome\ehSched.exe
D:\Program Files\Symantec AntiVirus\Rtvscan.exe
C:\WINDOWS\system32\dllhost.exe
C:\WINDOWS\system32\taskmgr.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Documents and Settings\Administrator\Menu Start\Internet\utorrent.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Windows Media Player\wmplayer.exe
C:\Documents and Settings\Administrator\Bureaublad\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: Acrobat IE Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE083} - C:\WINDOWS\system\ctldlg32.dll
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O4 - HKLM\..\Run: [NVRaidService] C:\WINDOWS\system32\nvraidservice.exe
O4 - HKLM\..\Run: [{0228e555-4f9c-4e35-a3ec-b109a192b4c2}] d:\Program Files\Google\Gmail Notifier\gnotify.exe
O4 - HKLM\..\Run: [CTHelper] CTHELPER.EXE
O4 - HKLM\..\Run: [vptray] D:\PROGRA~1\SYMANT~1\VPTray.exe
O4 - HKCU\..\Run: [STYLEXP] C:\Program Files\TGTSoft\StyleXP\StyleXP.exe -Hide
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://D:\PROGRA~1\MICROS~1\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Onderzoek - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\PROGRA~1\MICROS~1\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O20 - Winlogon Notify: NavLogon - C:\WINDOWS\system32\NavLogon.dll
O20 - Winlogon Notify: SensSrv - senssrv.dll (file missing)
O21 - SSODL: SysTray.Exgl - {636821FC-6F5C-2f1b-B164-E67214F678E2} - (no file)
O21 - SSODL: DCOM Server 2236 - {2C1CD3D7-86AC-4068-93BC-A02304BB2236} - (no file)
O21 - SSODL: TkCgTA - {FD2E3DE1-5784-974B-7740-8492C82D21C2} - (no file)
O23 - Service: StyleXPService - Unknown owner - C:\Program Files\TGTSoft\StyleXP\StyleXPService.exe
O23 - Service: Symantec AntiVirus - Symantec Corporation - D:\Program Files\Symantec AntiVirus\Rtvscan.exe

[Klaus_1250]

Jey1982 schreef op zondag 20 augustus 2006 @ 12:38:
Het enige wat wel nog gebeurd is dat ik iedere keer een melding krijg dat mijn computer emails probeerd te verzenden, maar deze geblokkeerd worden door norton...

Krijg je die meldingen toevallig alleen als uTorrent draait? (ik zie dat die automatisch opstart). In dat geval. www.utorrent.com --> FAQ

Verder zie ik niks echt vreemds in je log staan. Paar leftovers van iets.

[ Voor 18% gewijzigd door Klaus_1250 op 20-08-2006 13:33 ]

[cryforhelp]

Jey1982 schreef op zondag 20 augustus 2006 @ 13:22:
Logfile of HijackThis v1.99.1
Scan saved at 13:21:07, on 20-8-2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:

C:\WINDOWS\CTHELPER.EXE
C:\WINDOWS\eHome\ehRecvr.exe
C:\WINDOWS\eHome\ehSched.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe

O4 - HKLM\..\Run: [CTHelper] CTHELPER.EXE
O20 - Winlogon Notify: SensSrv - senssrv.dll (file missing)
O21 - SSODL: SysTray.Exgl - {636821FC-6F5C-2f1b-B164-E67214F678E2} - (no file)
O21 - SSODL: DCOM Server 2236 - {2C1CD3D7-86AC-4068-93BC-A02304BB2236} - (no file)
O21 - SSODL: TkCgTA - {FD2E3DE1-5784-974B-7740-8492C82D21C2} - (no file)

3x Iexplorer is verdacht, verder zou ik eens nader onderzoeken waar de rest dat hier nog is blijven staan vandaan komt.

Ik weet dat het een kutklus is, een reinstall, maar in dit geval is het wel het snelste. Ik ben ook een keer na een stomme move 3 dagen aan het trojan jagen geweest. Uiteindelijk resultaat was ook een nieuw image erop. Gaf me nog wel de kans om wat veilig te stellen, maar het is de enige grondige manier en het snelst ook nog.

Kill sowieso utorrent even, dat maakt het overzichtelijker en voer vervolgens in een cmd venster netstat -b uit.
Die geeft aan welk programma welke verbinding laat maken.

[ Voor 6% gewijzigd door cryforhelp op 20-08-2006 13:38 ]

[Kixtart]

Hijackthis.de geeft ook aan dat de 1e O2 nasty is:
06.06.2006 - Processes :CTLDLG32.DLL A called troyano Trojan.CTLDlg32.BHO is installed in the folder of the system of Windows and although its exact threat or is not defined, the troyano hides in the processes of the file ctldlg32.dll. a great segment of the programs of the troyano one unloads other components of malware to our PC and this use is unloaded and installed generally by another use that considers to be adware or spyware. It is necessary to elude the entrance of these parasites that use functions normal to avoid the attempts of limpiesa.