[MSN] link naar fotovirus

[dip]

De laatste dagen wordt ik weer regelmatig lastig gevallen door bepaalde mensen in mijn msn lijst.

Van hen krijg ik continue devolgende link:
Als mensen geen link hebben, klikken ze er ook niet op hoor. Laat dat in het vervolg dus achterwege een dos applicatie wordt gedownload en uitgevoerd wanneer je deze link in Internet Explorer opent.
Zijn er mensen die dit ook al tegengekomen zijn, en zo ja weet iemand hoe er vanaf te komen?

Greetz, dipje

[ Voor 21% gewijzigd door pasta op 21-09-2006 14:12 ]

[Rone]

Dat bestaat al zo lang...

• Google - MSN .pif
• GoT Search - MSN .pif

Iedereen zou moeten weten dat PIF voor Program Information File staat en dat je er gewoon niet op moet klikken als het je via Messenger wordt toegezonden...

[ Voor 67% gewijzigd door Rone op 21-09-2006 13:46 ]

[dip]

Ja dat weet ik natuurlijk ook wel, het gaat erom dat deze versie weer een andere structuur heeft en op een andere manier je systeem vervuilt. Mijn vraag is of mensen hier al een fix voor hebben.

[michaelvt]

Mij zusje heeft m beneden op de computer ook al aangeklikt, ik heb m kunnen verwijderen met norton antivirus 2006, in windows veilige modus. Daarna ook nog Hitman Pro laten runnen. Zorg dat je eerst met norton begint, want dit fijne progje sluit bijvoorbeeld lavasoft ad-aware vriendelijk af . Succes ermee

[DrivinUCrazy]

Deze had ik maandag op de pc staan, wel met een andere link geloof ik. Het "Lol check :P" was wel exact hetzelfde. En nee, ik was niet zo stom om daar op te klikken, ik had opeens mijn zus naast me staan, met de melding dat de computer raar deed.

Houd de taskmanager eens in de gaten, er worden continu programma's gestart. Deze bestanden worden bij het verwijderen ook steeds teruggeplaatst, ongeveer om de 10 minuten.
De snelkoppeling in het startmenu naar msn messenger wordt ook aangepast naar een geïnfecteerde .exe in de installatiedirectory van MSN messenger.
Ik geloof dat er in msconfig ook een regel wordt bij geplaatst, maar daar heb je in de veilige modus geen last van.

Bij mij kreeg AVG free het helemaal weg. (ik had alleen de verkeerde .exe in MSN messenger aangegeven als virusscanner, zodat het gedownloade bestand niet eerst werd gescand. )Windows Defender heb ik er nog achteraan laten lopen, maar die vond niks meer van malware.

[Verwijderd]

Ik heb hier zelf ook last van, mn broertje heeft op een link geklikt in zn msn scherm (ben ik hem erg dankbaar voor...not)
Ik heb al overal gezocht, maar ik kan nergens vinden hoe ik dit kan verwijderen. Heb nu wel een aantal keer project1 en xinstall.exe, maar het blijft terugkomen. Wie o wie weet hoe ik dit kan oplossen? alvast bedankt!

[Facer]

Me zusje had van de week ook iets via een auto bericht van MSN geopend en uitgevoert. Hierna AVG eroverheen + SpyBot
Spybot gaf steeds een melding dat er iets niet goed was in het register. Ik opzoek bleek er een sleutel te zijn aangemaakt met een tekenwaarde die verwees naar c:\windows\ {hier stond iets} \command.exe
Deze tekenwaarde + Sleutel mocht ik niet verwijderen van windows. Ik naar c:\windows gaan bestaat de desbetreffende map niet. Totdat ik c:\windows\{De desbetreffende map naam}\ intypte toen kwam ik wel in die map terecht.

Normaal scan ik de PC grondig maar door de sleutel die ik niet kon verwijderen en de "geheime map" (Was geen verborgen folder) heb ik maar die laptop een format gegeven want dit leek wel erg op het gedrag van een rootkit.

(Laptop wordt gebruikt voor administratie van een bedrijf, daarom maar de format zekerheid gedaan)

[ Voor 15% gewijzigd door Facer op 21-09-2006 20:05 . Reden: Typo + Aanvulling ]

[Snake]

mmm msn blokkeert toch standaard .pif?

als ik hallo.pif TYP (dus niet stuur, echt typ), komt dit niet aan!

[Verwijderd]

ik zit ook te denken aan een format, maar ja heb liever toch een wat gemakkelijkere oplossing.

[Dutch2007]

met msn8 is dit mogelijk...

[Verwijderd]

ik heb ff een hijacklog, misschien dat er iemand dan wat wijzer wordt

Logfile of HijackThis v1.99.1
Scan saved at 20:05:41, on 21-9-2006
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
J:\program files\quicktime\qttask.exe
C:\Program Files\Java\jre1.5.0_04\bin\jusched.exe
C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb10.exe
C:\Program Files\Hewlett-Packard\HP Software Update\HPWuSchd2.exe
C:\Program Files\McAfee.com\VSO\mcvsshld.exe
C:\Program Files\McAfee.com\VSO\oasclnt.exe
c:\program files\mcafee.com\agent\mcagent.exe
c:\progra~1\mcafee.com\vso\mcvsescn.exe
C:\PROGRA~1\McAfee.com\PERSON~1\MpfTray.exe
C:\PROGRA~1\mcafee.com\mps\mscifapp.exe
C:\PROGRA~1\McAfee\SPAMKI~1\MskAgent.exe
C:\Program Files\Common Files\PCSuite\DataLayer\DataLayer.exe
C:\Program Files\HP\hpcoretech\hpcmpmgr.exe
J:\iTunes\iTunesHelper.exe
J:\Program Files\Skype\[e-mail]
C:\WINDOWS\System32\ctfmon.exe
c:\program files\mcafee.com\agent\mcdetect.exe
c:\PROGRA~1\mcafee.com\vso\mcshield.exe
c:\PROGRA~1\mcafee.com\agent\mctskshd.exe
C:\PROGRA~1\COMMON~1\PCSuite\Services\SERVIC~1.EXE
C:\PROGRA~1\McAfee.com\PERSON~1\MpfService.exe
C:\PROGRA~1\McAfee\SPAMKI~1\MSKSrvr.exe
c:\progra~1\mcafee.com\vso\mcvsftsn.exe
C:\Program Files\Messenger\msmsgs.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\iPod\bin\iPodService.exe
C:\PROGRA~1\McAfee.com\PERSON~1\MpfAgent.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
J:\Program Files\Winamp\winamp.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\Documents and Settings\Fam. Doppenberg\Bureaublad\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.vi.nl/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.games-fusion.net
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = http://www.vi.nl/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
R3 - URLSearchHook: (no name) - _{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file)
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: McBrwHelper Class - {227B8AA8-DAF2-4892-BD1D-73F568BCB24E} - c:\program files\mcafee.com\mps\mcbrhlpr.dll
O2 - BHO: McAfee PopupKiller - {3EC8255F-E043-4cae-8B3B-B191550C2A22} - c:\program files\mcafee.com\mps\popupkiller.dll
O2 - BHO: McAfee AntiPhishing Filter - {41D68ED8-4CFF-4115-88A6-6EBB8AF19000} - c:\PROGRA~1\mcafee\SPAMKI~1\mcapfbho.dll
O3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file)
O3 - Toolbar: McAfee VirusScan - {BA52B914-B692-46c4-B683-905236F6F655} - c:\progra~1\mcafee.com\vso\mcvsshl.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [QuickTime Task] "J:\program files\quicktime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [AtiPTA] atiptaxx.exe
O4 - HKLM\..\Run: [AdTools Service] C:\Program Files\AdTools Service\AdTools.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\jre1.5.0_04\bin\jusched.exe
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb10.exe
O4 - HKLM\..\Run: [HP Software Update] "C:\Program Files\Hewlett-Packard\HP Software Update\HPWuSchd2.exe"
O4 - HKLM\..\Run: [VSOCheckTask] "C:\PROGRA~1\McAfee.com\VSO\mcmnhdlr.exe" /checktask
O4 - HKLM\..\Run: [VirusScan Online] C:\Program Files\McAfee.com\VSO\mcvsshld.exe
O4 - HKLM\..\Run: [OASClnt] C:\Program Files\McAfee.com\VSO\oasclnt.exe
O4 - HKLM\..\Run: [MCAgentExe] c:\PROGRA~1\mcafee.com\agent\mcagent.exe
O4 - HKLM\..\Run: [MCUpdateExe] C:\PROGRA~1\mcafee.com\agent\mcupdate.exe
O4 - HKLM\..\Run: [MPFExe] C:\PROGRA~1\McAfee.com\PERSON~1\MpfTray.exe
O4 - HKLM\..\Run: [MPSExe] c:\PROGRA~1\mcafee.com\mps\mscifapp.exe /embedding
O4 - HKLM\..\Run: [MSKAGENTEXE] C:\PROGRA~1\McAfee\SPAMKI~1\MskAgent.exe
O4 - HKLM\..\Run: [MSKDetectorExe] C:\PROGRA~1\McAfee\SPAMKI~1\MSKDetct.exe /startup
O4 - HKLM\..\Run: [DataLayer] C:\Program Files\Common Files\PCSuite\DataLayer\DataLayer.exe
O4 - HKLM\..\Run: [HP Component Manager] "C:\Program Files\HP\hpcoretech\hpcmpmgr.exe"
O4 - HKLM\..\Run: [iTunesHelper] J:\iTunes\iTunesHelper.exe
O4 - HKLM\..\Run: [Skype@phone] J:\Program Files\Skype\[e-mail]
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - Global Startup: Adobe Reader Snelle start.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Microsoft Office.lnk = J:\Office\Office\OSA9.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_04\bin\npjpi150_04.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_04\bin\npjpi150_04.dll
O9 - Extra button: (no name) - {39FD89BF-D3F1-45b6-BB56-3582CCF489E1} - c:\PROGRA~1\mcafee\SPAMKI~1\mcapfbho.dll
O9 - Extra 'Tools' menuitem: McAfee AntiPhishing Filter - {39FD89BF-D3F1-45b6-BB56-3582CCF489E1} - c:\PROGRA~1\mcafee\SPAMKI~1\mcapfbho.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab28578.cab
O16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) - http://messenger.zone.msn...tatsPAClient.cab31267.cab
O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.../MineSweeper.cab31267.cab
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://spaces.msn.com/PhotoUpload/MsnPUpld.cab?10,0,910,0
O16 - DPF: {54B52E52-8000-4413-BD67-FC7FE24B59F2} (EARTPatchX Class) - http://files.ea.com/downloads/rtpatch/v2/EARTPX.cab
O16 - DPF: {62475759-9E84-458E-A1AB-5D2C442ADFDE} - http://a1540.g.akamai.net...uickTimeFullInstaller.exe
O16 - DPF: {665585FD-2068-4C5E-A6D3-53AC3270ECD4} (FileSharingCtrl Class) - http://appdirectory.messe...ng/en/filesharingctrl.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn...rStatsClient.cab28578.cab
O16 - DPF: {917623D1-D8E5-11D2-BE8B-00104B06BDE3} (CamImage Class) - http://webcam.asf.fr/AxisCamControl.ocx
O16 - DPF: {9FC5238F-12C4-454F-B1B5-74599A21DE47} (Webshots Photo Uploader) - http://community.webshots.com/html/WSPhotoUploader.CAB
O16 - DPF: {AD8D3C68-0C60-4B53-8A9E-BC654BBB36FE} (download_35mb_com.applet) - http://www.35mb.com/downloadapplet.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/...sengersetupdownloader.cab
O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://messenger.zone.msn.com/binary/ZIntro.cab32846.cab
O16 - DPF: {BE833F39-1E0C-468C-BA70-25AAEE55775E} (System Requirements Lab) - http://www.systemrequirementslab.com/sysreqlab.cab
O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn...aireShowdown.cab31267.cab
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: iPod-service (iPodService) - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: McAfee WSC Integration (McDetect.exe) - McAfee, Inc - c:\program files\mcafee.com\agent\mcdetect.exe
O23 - Service: McAfee.com McShield (McShield) - McAfee Inc. - c:\PROGRA~1\mcafee.com\vso\mcshield.exe
O23 - Service: McAfee Task Scheduler (McTskshd.exe) - McAfee, Inc - c:\PROGRA~1\mcafee.com\agent\mctskshd.exe
O23 - Service: McAfee SecurityCenter Update Manager (mcupdmgr.exe) - McAfee, Inc - C:\PROGRA~1\McAfee.com\Agent\mcupdmgr.exe
O23 - Service: McAfee Personal Firewall Service (MpfService) - McAfee Corporation - C:\PROGRA~1\McAfee.com\PERSON~1\MpfService.exe
O23 - Service: McAfee SpamKiller Server (MskService) - McAfee Inc. - C:\PROGRA~1\McAfee\SPAMKI~1\MSKSrvr.exe
O23 - Service: RadClock - Unknown owner - C:\WINDOWS\system32\RadClock.exe

[DrivinUCrazy]

@ Facer, bedankt voor de tip. Spybot had ik nog niet geprobeerd, dus die is nu op zoek naar rotzooi. Ik hoop dat ie niks vind, aan de andere kant ben je er nooit zeker van natuurlijk. Voorlopig houd ik het dus even bij schadebeperking, en zsm een clean install eroverheen. Ik heb wel al zelf een back-up van het register terug gezet, ik heb toevallig zaterdag nog aan het register zitten prutsen en een backup gemaakt, dus met wat geluk valt de besmetting mee.

@ hierboven; de voor mij verdachte sleutels:
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background (waarschijnlijk onschuldig, maar scan die exe gewoon even voor de zekerheid)

Onder zware verdenking:
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE

Let op: ik zeg niet dat die per definitie slecht zijn, maar ik vertrouw ze in ieder geval niet. Controleer ook de directory waar je msn in hebt geïnstalleerd, daar staat msmsgs.exe. 10 tegen 1 dat die vandaag is aangemaakt; de virusscanner vond die bij mij ook niet lief: dat is een trojan.

[ Voor 45% gewijzigd door DrivinUCrazy op 21-09-2006 20:14 ]

[DrivinUCrazy]

Updateje, maar in een nieuwe post.

Spybot vond inderdaad wat registersleutels, maar de bijbehorende bestanden had ik ofwel handmatig ofwel mbv de virusscanner al verwijderd. Die konden dus niet al te veel schade meer aanrichten. Daarnaast stonden er dus ook nog 2 .dll bestanden bij die Spybot vond. Die zijn nu ook allebei weg, en nu heb ik Windows Defender aan het werk gezet, om eens te kijken of die nog wat vind.

Stom genoeg heb ik de namen van de bestanden niet opgeschreven, dan zou iedereen ook handmatig kunnen zoeken. Waarom bedenk ik me dat nu pas.

[Verwijderd]

maargoed dit virus is bij de meeste best een probleem geworden, ik zie geen duidelijke oplossing voor dit virus in dit topic.

iemand al volledig van dit virus af?

mijn pc draait nu normaal omdat hij alles blokkeert met sygate. het virus is er nog niet uit, ook avg doet weinig, xsoftspy haalt wel alle toolbars weg. voor de rest hou ik nu de berg pop-ups dus nog over en het virus e10.exe

heeft iemand een duidelijk moraal en oplossing?

[Verwijderd]

ik had het verwijderd, halve dag nergens last van en nu opeens komt het bestand weer terug..ik word er gek van

[killercow]

En jullie browsen nog steeds via IE? of opent die pif expliciet een IE prompt?

wat je zou kunnen doen is:
overstappen op firefox of opera, en dan in IE, de security settings allemaal op maximaal zetten.
Dan moet hij iig netjes dingen gaan vragen.

Wellicht maakt dit ook gebruik van het nieuwe IE lek?

[Verwijderd]

heb er de afgelopen dagen ook al 2 gehad en een anderheeft z'n naam maar voorzien van een waarschuwing geen bestanden van hem aan te nemen. Gewoon domme mensen . Je ziet tif.. en dan DUUUUH:P

maar wat doe je er aan?

[ Voor 6% gewijzigd door Verwijderd op 22-09-2006 15:27 ]

[Verwijderd]

heeft niks met domheid te maken, als je het niet weet je het niet.
het is ook een samenloop van omstandigheden voor de meeste.
Normaal gesproken neem ik dit ook niet aan, het komt van de mensen waarvan je het niet van verwacht...dus het zal wel goed zitten denk je dan.

To the punt, nog steeds geen oplossing. behalve herinstalleren van windows.
Waar zijn de computerdudes die helemaal into the pc zijn?

groetjes

[DrivinUCrazy]

Ik lijk met AVG, Spybot en Windows Defender ervan af te zijn (lees: voor zover ik weet), maar dat weet ik uiteraard niet 100% zeker als het zich zo goed kan schuilhouden.

De tip die ik nog kan meegeven is: gebruik in vredesnaam een firewall. Bij mij heeft ZoneAlarm het proces van de downloaders behoorlijk vertraagd, of zelfs tegengehouden. Msn messenger vroeg opeens toestemming, en dat betekende dat er iets was veranderd aan het programma: direct het internet blokkeren dus. Maar ik denk dat de meesten dit niet hebben tegengehouden, en zo ergere troep hebben binnengekregen.

Overigens, ik gebruik zelf Firefox, maar mijn zusje en pa niet. Ik heb ook direct mijn in mijn msn naam (messenger op mijn eigen, schone computer) een waarschuwing gezet om vooral géén .pif bestanden te openen, van wie ze dan ook afkomstig mogen zijn. Zegt het voort, zegt het voort...