[vista] Lege popup

[Verwijderd]

Ik heb nu sinds een kleine week windows vista, dit in combinatie met een nieuwe HP Laptop en met de originele installatie (dus waarschijnlijk nogal wat moek wat je eigenlijk niet nodig hebt).

Nu heb ik sinds een dag of 4 last van een bijzonder irritantie popup waar eigenlijk niets nuttigs in staat. Aangezien ik totaal nieuw ben met Vista heb ik ook geen idee van welk proces het afkomstig zou kunnen zijn.

De popup


En alle services (inc van andere gebruikers ?)


Verder verschijnt de popup zo om het half uur en kan ik hem alleen afsluiten met ALT + F4 of via taakbeheer. Inmiddels ben ik al zover dat ik hem niet meer wegklik maar gewoon zo ver mogelijk linksoonder buiten beeld werk. Het irritante ding klapt zich namelijk echt geheel naar de voorgrond, dus zelfs als je bezig bent met een full-screen toepassing krijg je hem om je oren.

Ik hoop dat jullie me een beetje verder kunnen helpen

[Outerspace]

Zou je toch voor de zekerheid eens een hijackthis scan kunnen doen en er een virusscanner op loslaten? Ik vermoed dat die popup spyware is.

[Verwijderd]

Ik heb het volgens mij al.. Ik zat inderdaad even door norton heen te bladeren en zag dat When.U nogwat geblokkeerd was, dat verklaart het "navigatie naar de webpagina is geannuleerd".. Als ik me niet vergis is dat When U reclamezooi die je gratis bij Deamon/ BS Player / etc. krijgt, Deamon heb ik wel geinstalleerd staan, BS Player alleen nog niet omdat er geen goede versie is voor Windows Vista.

Njah ik zal Deamon is verwijderen en kijken of ik er nog last van heb

[Verwijderd]

Gisteren dus deamon tools verwijdert, daarna was ik van plan Save te verwijderen maar dat was kennelijk al gedaan want ik kon hem niet meer vinden. Volgens Norton zou het programma zich bevinden in c:\program files\save\ maar die map bestond niet meer.

Naja ik hoopte, maar ging er eigenlijk wel vanuit dat het probleem was opgelost, totdat ik vanochtend weer de popup kreeg.

Heb nu een Hijack This scan gedaan met dit als resultaat

code:

Logfile of Trend Micro HijackThis v2.0.0 (BETA)
Scan saved at 8:51:36, on 15-3-2007
Platform: Windows Vista  (WinNT 6.00.1904)
Boot mode: Normal

Running processes:
C:\Windows\system32\taskeng.exe
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Program Files\Windows Defender\MSASCui.exe
C:\Program Files\Common Files\Symantec Shared\ccApp.exe
C:\Program Files\HP\QuickPlay\QPService.exe
C:\Program Files\HP\HP Software Update\hpwuSchd2.exe
C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\QLBCTRL.exe
C:\Program Files\Java\jre1.6.0\bin\jusched.exe
C:\Program Files\QuickTime\qttask.exe
C:\Program Files\iTunes\iTunesHelper.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Windows\ehome\ehtray.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\Program Files\Windows Media Player\wmpnscfg.exe
C:\Windows\ehome\ehmsas.exe
C:\Windows\System32\rundll32.exe
C:\Windows\system32\taskeng.exe
C:\Program Files\Hewlett-Packard\SDP\RemEngine.exe
C:\Windows\system32\conime.exe
C:\Program Files\Hewlett-Packard\SDP\hpsdpapp.exe
C:\Windows\system32\SearchFilterHost.exe
C:\Users\Ramon\Desktop\HiJackThis_v2.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://ie.redirect.hp.com/svs/rdr?TYPE=3&tp=iehome&locale=NL_NL&c=71&bd=Pavilion&pf=laptop
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://ie.redirect.hp.com/svs/rdr?TYPE=3&tp=iehome&locale=NL_NL&c=71&bd=Pavilion&pf=laptop
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://ie.redirect.hp.com/svs/rdr?TYPE=3&tp=iehome&locale=NL_NL&c=71&bd=Pavilion&pf=laptop
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = inpro.deltion.nl:8080
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
O1 - Hosts: ::1 localhost
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {1E8A6170-7264-4D0F-BEAE-D42A53123C75} - c:\Program Files\Common Files\Symantec Shared\coShared\Browser\1.0\NppBho.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O3 - Toolbar: Norton-werkbalk weergeven - {90222687-F593-4738-B738-FBEE9C7B26DF} - c:\Program Files\Common Files\Symantec Shared\coShared\Browser\1.0\UIBHO.dll
O3 - Toolbar: Zend Studio - {95188727-288F-4581-A48D-EAB3BD027314} - C:\PROGRA~1\Zend\ZENDST~1.0\bin\ZENDIE~1.DLL
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
O4 - HKLM\..\Run: [ccApp] "c:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [osCheck] "c:\Program Files\Norton Internet Security\osCheck.exe"
O4 - HKLM\..\Run: [QPService] "C:\Program Files\HP\QuickPlay\QPService.exe"
O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\Hp\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [QlbCtrl] %ProgramFiles%\Hewlett-Packard\HP Quick Launch Buttons\QlbCtrl.exe /Start
O4 - HKLM\..\Run: [HP Health Check Scheduler] C:\Program Files\Hewlett-Packard\HP Health Check\HPHC_Scheduler.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0\bin\jusched.exe"
O4 - HKLM\..\Run: [NvSvc] RUNDLL32.EXE C:\Windows\system32\nvsvc.dll,nvsvcStart
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"
O4 - HKLM\..\RunOnce: [Launcher] %WINDIR%\SMINST\launcher.exe
O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
O4 - HKCU\..\Run: [ehTray.exe] C:\Windows\ehome\ehTray.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [WMPNSCFG] C:\Program Files\Windows Media Player\WMPNSCFG.exe
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'NETWORK SERVICE')
O4 - Startup: Adobe Gamma.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Adobe Reader Snelle start.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~3\Office12\EXCEL.EXE/3000
O8 - Extra context menu item: Zend Studio - Debug current page - res://C:\Program Files\Zend\ZendStudio-5.5.0\bin\ZendIEToolbar.dll/DebugCurrent.html
O8 - Extra context menu item: Zend Studio - Debug next page - res://C:\Program Files\Zend\ZendStudio-5.5.0\bin\ZendIEToolbar.dll/DebugNext.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0\bin\ssv.dll
O9 - Extra button: Zend Studio Toolbar - {A26ABCF0-1C8F-46e7-A67C-0489DC21B9CC} - C:\PROGRA~1\Zend\ZENDST~1.0\bin\ZENDIE~1.DLL
O9 - Extra 'Tools' menuitem: Zend Studio - {A26ABCF0-1C8F-46e7-A67C-0489DC21B9CC} - C:\PROGRA~1\Zend\ZENDST~1.0\bin\ZENDIE~1.DLL
O13 - Gopher Prefix: 
O22 - SharedTaskScheduler: Component Categories cache daemon - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\Windows\system32\browseui.dll
O23 - Service: AddFiltr - Hewlett-Packard Development Company, L.P. - C:\Program Files\Hewlett-Packard\HP Quick Launch Buttons\AddFiltr.exe
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - c:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - c:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
O23 - Service: CyberLink Background Capture Service (CBCS) (CLCapSvc) - Unknown owner - C:\Program Files\HP\QuickPlay\Kernel\TV\CLCapSvc.exe
O23 - Service: CyberLink Task Scheduler (CTS) (CLSched) - Unknown owner - C:\Program Files\HP\QuickPlay\Kernel\TV\CLSched.exe
O23 - Service: Symantec Lic NetConnect service (CLTNetCnService) - Symantec Corporation - c:\Program Files\Common Files\Symantec Shared\ccSvcHst.exe
O23 - Service: COM Host (comHost) - Symantec Corporation - c:\Program Files\Common Files\Symantec Shared\VAScanner\comHost.exe
O23 - Service: HP Health Check Service - Hewlett-Packard - C:\Program Files\Hewlett-Packard\HP Health Check\hphc_service.exe
O23 - Service: hpqwmiex - Hewlett-Packard Development Company, L.P. - C:\Program Files\Hewlett-Packard\Shared\hpqwmiex.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Roxio\Roxio MyDVD Basic v9\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: iPod-service (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: Wachtwoordvalidatie voor Symantec IS (ISPwdSvc) - Symantec Corporation - c:\Program Files\Norton Internet Security\isPwdSvc.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Common Files\LightScribe\LSSrvc.exe
O23 - Service: LiveUpdate - Symantec Corporation - C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE
O23 - Service: Planner voor Automatische LiveUpdate - Symantec Corporation - C:\Program Files\Symantec\LiveUpdate\ALUSchedulerSvc.exe
O23 - Service: RoxMediaDB9 - Sonic Solutions - C:\Program Files\Common Files\Roxio Shared\9.0\SharedCOM\RoxMediaDB9.exe
O23 - Service: stllssvr - MicroVision Development, Inc. - C:\Program Files\Common Files\SureThing Shared\stllssvr.exe
O23 - Service: Symantec Core LC - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\CCPD-LC\symlcsvc.exe
O23 - Service: Symantec AppCore Service (SymAppCore) - Symantec Corporation - c:\Program Files\Common Files\Symantec Shared\AppCore\AppSvc32.exe
O23 - Service: XAudioService - Conexant Systems, Inc. - C:\Windows\system32\DRIVERS\xaudio.exe

--
End of file - 9041 bytes

[Outerspace]

Kunnen weg:

C:\Windows\system32\conime.exe

quote: http://www.liutilities.co...ro/processlibrary/conime/

conime.exe is a process which is registered as the BFGhost 1.0 Remote administration backdoor tool. This backdoor application can allow attackers to access your computer, stealing passwords and personal data. This process is a security risk and should be removed from your system.

O4 - HKLM\..\RunOnce: [Launcher] %WINDIR%\SMINST\launcher.exe

Ik vertrouw:

O2 - BHO: (no name) - {1E8A6170-7264-4D0F-BEAE-D42A53123C75} - c:\Program Files\Common Files\Symantec Shared\coShared\Browser\1.0\NppBho.dll

Niet helemaal. Heb wat op internet gelezen, maar hou deze iig in je acherhoofd.

---

Kan je toevallig ook in de bron kijken van de webpagina?

[ Voor 5% gewijzigd door Outerspace op 15-03-2007 09:07 ]

[Verwijderd]

Nee rechtermuisknop reageert niet. Is er een toetsencombinatie om de bron te bekijken in IE 7?


Edit: Als ik in taakbeheer bij toepassingen klik op de popup en dan met de rechtermuisknop kies voor Ga naar proces, dan geeft hij HPSdpApp.exe weer, de beschrijving hiervan is "HP SDP Application Module".

Dus heb ik op de website van HP gezocht en gevonden dat het te maken heeft met een of andere registratie onzin. Ze hebben ook uitgelegt hoe het te verwijderen (taakplanner -> Registration en InternetServiceOffer beide verwijderen en je hoort van het probleem af te zijn.

Hopen dat het nu dus werkt, nog wel even een vraag. Hoe verwijder ik dat conime.exe? Ik heb het geprobeert gewoon uit de system32 map te verwijderen, maar dan zegt hij dat ik "niet gemachtigt ben", het te verwijderen.

[ Voor 78% gewijzigd door Verwijderd op 15-03-2007 09:50 ]

[Outerspace]

Zou het niet weten.

Maar er knippert een lampje bij mij: schakel Norton eens uit, misschien dat hij wel bepaalde content blokt. Zo kan je waarschijnlijk zien wat voor popup het is en waar het van komt

[Vaudtje]

Verwijderd schreef op donderdag 15 maart 2007 @ 09:21:
Nee rechtermuisknop reageert niet. Is er een toetsencombinatie om de bron te bekijken in IE 7?

Met Ctrl-N krijg je vaak een nieuw venster met dezelfde pagina, maar dan met menubalk
Dan hoef je Norton niet uit te zetten, en dat lijkt me op dit moment veiliger

[Verwijderd]

Lees m'n edit even, was ik langer mee bezig dan aanvankelijk gepland

[Outerspace]

Verwijderd schreef op donderdag 15 maart 2007 @ 09:21:
Hopen dat het nu dus werkt, nog wel even een vraag. Hoe verwijder ik dat conime.exe? Ik heb het geprobeert gewoon uit de system32 map te verwijderen, maar dan zegt hij dat ik "niet gemachtigt ben", het te verwijderen.

Eerst moet je de entry weghalen uit hijackthis. Dan is hij niet te vinden bij de volgende herstart (of hij moet via msconfig opstarten). Dus kijk ook even bij msconfig om het een en ander uit te schakelen.

Daarna moet je even kijken als je deze stappen kan volgen:

quote: http://www.spywaredb.com/remove-bfghost-1-0/

BFGhost 1.0 Removal Instructions
Kill the following processes
bfghost.exe, editmm.exe, conime.exe
Unregister the following DLLs and reboot
service.dll in Windows\system
Remove the following files
bfghost.exe, editmm.exe, read it.txt.
conime.exe in Windows
regsys.vxd, service.dll in Windows\system

Er zijn iig genoeg hits met conime.exe op Google te vinden

[Verwijderd]

Ok bedankt, blijkt dat het in mijn geval geen schadelijk iets is. Pas wanneer BFGHost.exe en editmm.exe ook op je computer aanwezig is kan het schadelijk zijn. Ik las iets dat het er te maken mee kan hebben als je Office 2007 hebt. In ieder geval, niet schadelijk. Ik zal het zowiezo in de gaten houden samen met dat NppBho.dll. Bedankt voor je hulp in ieder geval

Edit: De popup lijkt verleden tijd te zijn, dus missie geslaagd

[ Voor 8% gewijzigd door Verwijderd op 15-03-2007 10:26 ]

[TF]

ik heb die rot pop-up ook de hele tijd. Erg vervelend, kan geen vreemde processen zien... iemand enig idee?

[alt-92]

Je zou natuurlijk ook zelf kunnen besluiten iets meer informatie te geven dan alleen 'ik ook' als je een topic omhoog trapt

In dit geval denk ik dat je er verstandig aan doet om zelf met de bovenstaande tips je research te doen en dat aan te geven in een eigen topic.
Let daarbij wel op wáár je je topic plaatst. Als je een infectie vermoed, dan is WOS in ieder geval niet de juiste plek voor je topic.
Zie verder de Windows Clients - Policy waar je op moet letten