[XP] muis beweegt zomaar op 2 PC's, vscanner vond niets *

[mux]

Op mn netwerk is nu *iets* aan de hand dat af en toe gezellig m'n muiscursor aan het bedienen is.

Virusscanner en firewall/spyware killer vinden niks en het lijkt er ook op dat hij actief is als er geen internetverbinding is (als in: draadje eruit getrokken). Hij lijkt ook timed te werken, gezien er nu een hele tijd niks is gebeurd, en hij daarnet weer gezellig rond zat te bewegen&klikken. Nu niks meer.

Ik draai XP Home & pro op twee verschillende computers die het probleem min of meer tegelijk kregen. De pro is net nieuw geinstalleerd, beiden zijn vrij goed geupdate. Beiden draaien zonealarm en nod32 om de grootste gaten af te dekken. Een derde computer op het netwerk is een zeer brak beveiligde, continu met een onbeveiligde vpn-verbinding met de buitenwereld in verbinding staande workstation. Ja, daar kan ik ook niks aan doen, het is de werkcomputer van m'n ma die met remote desktop verbinding op een computer bij haar werk loopt. Het is een workstation, dus geen admin rights, dus vandaar dat daar nooit een vscanner/fwall op is gezet.

Maar goed, nu zit ik dus af en toe met een muis die programma's opstart die ik niet echt nodig heb en mn muziek uitzet enzo. Erg grappig, maar het zou wel eens mn productiviteit kunnen tegenwerken. En nee, het ligt niet aan lege batterijen in een optische muis, die klikken lang niet zo gericht :-)

Iemand ervaring mee/oplossing/analysemethode?

[LieveNiels]

Misschien een grapjas die wat remote software op je computer(s) geinstalleerd heeft, die uiteraard dan ook niet gezien wordt door virusscanners? Of anders een of ander programmaatje dat op voorgeprogrammeerde tijdstippen handelingen uitvoerd?

[DataGhost]

Er draait met 99% zekerheid een programma in de achtergrond dat (al dan niet gescript/getimed) die acties met je muis uitvoert. De eerste logische stap is scannen met hijackthis en kijken wat daaruit komt, het verbaast me een beetje dat dat nog niet gebeurd is. Met deze informatie is niks te beginnen.

[GeniusJennis]

LieveNiels schreef op zondag 03 juni 2007 @ 14:09:
Misschien een grapjas die wat remote software op je computer(s) geinstalleerd heeft,

ssj3gohan schreef op zondag 03 juni 2007 @ 14:04:
Virusscanner en firewall/spyware killer vinden niks en het lijkt er ook op dat hij actief is als er geen internetverbinding is (als in: draadje eruit getrokken).

[ Voor 68% gewijzigd door GeniusJennis op 03-06-2007 14:12 ]

[PcDealer]

Welke processen draaien er op dat moment en haal ze eens door zoekmachine.

[LieveNiels]

Okay, dan blijft inderdaad gescripte muiscommando's over (tenminste iets anders zou ik niet kunnen bedenken).

[Anoniem: 107248]

Je gebruikt een draadloze muis, kan het niet zijn dat je buurman/vrouw ook precies dezefde set heeft en dat deze stoort ?

(Ik weet niet of het kan, het is maar een gedachte)
Om mijn draadloze ramplank + knager kan ik een andere Frequentie oid instellen.

Kan ook zijn dat je op een andere pc een bedrade muis heb, Dan heb ik niks gezegd.

[mux]

goed, ik ga hijackthis maar eens bekijken. Maar eigenlijk ben ik nu terug aan het komen op één van die laatste opmerkingen. Die verdomde muis (aldi, €7.50, lasermuis) zat wel te indiceren dat hij acties ontving tijdens dat de muis aan het rondzwerven was. M'n vader (die bezig was en het zag gebeuren) zei dat ie dat niet deed.

Oftewel hijackthis maar even runnen maar er is toch kans op loos alarm, indien dat het geval is wordt dit het grote 'Koop geen aldi 'ZOLID' lasermuis'-topic.

[tm030614]

Anoniem: 107248 schreef op zondag 03 juni 2007 @ 14:14:
Je gebruikt een draadloze muis, kan het niet zijn dat je buurman/vrouw ook precies dezefde set heeft en dat deze stoort ?

(Ik weet niet of het kan, het is maar een gedachte)
Om mijn draadloze ramplank + knager kan ik een andere Frequentie oid instellen.

Kan ook zijn dat je op een andere pc een bedrade muis heb, Dan heb ik niks gezegd.

Ja kan, op het werk ook ooit gehad.

Gebruiker klaagde dat zijn PC gehackt was, de muis bewoog uit zich zelf, alsof er echt iemand anders de muis bestuurde.
5 meter verderop (in een andere kamer) zat een gebruiker ook met een draadloze muis te werken. Keer opnieuw gepaird, probleem verholpen.

[mux]

HijackThis log,
Alles wat ik niet direct herken is boldface, de rest ken ik wel.

code:

Logfile of Trend Micro HijackThis v2.0.0 (BETA)
Scan saved at 14:17:19, on 3-6-2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\netdde.exe
D:\Apache\Apache2\bin\Apache.exe
C:\Program Files\Common Files\Autodesk Shared\Service\AdskScSrv.exe
C:\Program Files\DCPFLICS\DCPFLICS.exe
C:\Program Files\MySQL\MySQL Server 4.1\bin\mysqld-nt.exe
C:\Program Files\Eset\nod32krn.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
D:\Apache\Apache2\bin\Apache.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Launch Manager\OSD.exe
C:\Program Files\Eset\nod32kui.exe
C:\Program Files\Launch Manager\HotkeyApp.exe
C:\Program Files\Launch Manager\LaunchAp.exe
C:\Program Files\Launch Manager\WButton.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\Program Files\Google\Google Talk\googletalk.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe
D:\Apache\Apache2\bin\ApacheMonitor.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\PROGRA~1\ZONELA~1\ZONEAL~1\MAILFR~1\mantispm.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Winamp\winamp.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Documents and Settings\[mijn naam]\Local Settings\Temporary Internet Files\Content.IE5\GHI12UD5\HiJackThis_v2[1].exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.aldi.com
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar4.dll
O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Program Files\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Program Files\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar4.dll
O4 - HKLM\..\Run: [LMgrOSD] C:\Program Files\Launch Manager\OSD.exe
O4 - HKLM\..\Run: [CtrlVol] C:\Program Files\Launch Manager\CtrlVol.exe
O4 - HKLM\..\Run: [nod32kui] "C:\Program Files\Eset\nod32kui.exe" /WAITSERVICE
O4 - HKLM\..\Run: [GhostWall] "C:\Program Files\GhostWall\ghostwall.exe" -minimize
O4 - HKLM\..\Run: [HotkeyApp] C:\Program Files\Launch Manager\HotkeyApp.exe
O4 - HKLM\..\Run: [LaunchAp] C:\Program Files\Launch Manager\LaunchAp.exe
O4 - HKLM\..\Run: [Wbutton] C:\Program Files\Launch Manager\WButton.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\System32\PSDrvCheck.exe
[b]O4 - HKLM\..\Run: [DSS] C:\WINDOWS\HostDosMS.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k[/b]
O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKCU\..\Run: [googletalk] "C:\Program Files\Google\Google Talk\googletalk.exe" /autostart
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [swg] C:\Program Files\Google\GoogleToolbarNotifier\1.2.1128.5462\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [i9kfangui] C:\Documents and Settings\[mijn naam]\Bureaublad\I9kfanGUI.exe /startup
[b]O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Lokale service')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Netwerkservice')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')[/b][i]weet dat dit normaal is, maar wat doet het?[/i]
O4 - Global Startup: Monitor Apache Servers.lnk = D:\Apache\Apache2\bin\ApacheMonitor.exe
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~4\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_10\bin\ssv.dll
[b]O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file)[/b]
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=http://www.aldi.com
[b]O16 - DPF: {266B9238-31A5-4B53-9039-272FE846DF9D} (DiameterTransfer Control) - http://www.sis.com/download/SISTransfer.cab[/b]
O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab31267.cab
[b]O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1152114144062[/b]
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
[b]O16 - DPF: {CE8267C2-D41A-4A50-A69D-F32B5C289F14} (FileOpenInstaller) - http://www.cramster.com/drm/client/FileOpen.CAB[/b]
O16 - DPF: {F5A7706B-B9C0-4C89-A715-7A0C6B05DD48} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab56986.cab
O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab31267.cab
[b]O22 - SharedTaskScheduler: Preloader van browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\System32\browseui.dll
O22 - SharedTaskScheduler: Cache-daemon voor onderdeelcategorieën - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\System32\browseui.dll[/b]
O23 - Service: Apache2 - Apache Software Foundation - D:\Apache\Apache2\bin\Apache.exe
O23 - Service: Autodesk Licensing Service - Unknown owner - C:\Program Files\Common Files\Autodesk Shared\Service\AdskScSrv.exe
O23 - Service: CA License Client (CA_LIC_CLNT) - Unknown owner - C:\Program Files\CA\SharedComponents\CA_LIC\lic98rmt.exe (file missing)
O23 - Service: CA License Server (CA_LIC_SRVR) - Unknown owner - C:\Program Files\CA\SharedComponents\CA_LIC\lic98rmtd.exe (file missing)
O23 - Service: DCPFLICS - Unknown owner - C:\Program Files\DCPFLICS\DCPFLICS.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: Event Log Watch (LogWatch) - Unknown owner - C:\Program Files\CA\SharedComponents\CA_LIC\LogWatNT.exe (file missing)
O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Program Files\Common Files\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - Service: MySQL - Unknown owner - C:\Program.exe (file missing)
O23 - Service: NOD32 Kernel Service (NOD32krn) - Eset  - C:\Program Files\Eset\nod32krn.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

--
End of file - 8395 bytes

Let niet op de missing files, dat is van CATIA, een CAD-programma.

[Freakertje]

code:

O9 - Extra button: (no name) - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - (no file)
O23 - Service: CA License Client (CA_LIC_CLNT) - Unknown owner - C:\Program Files\CA\SharedComponents\CA_LIC\lic98rmt.exe (file missing)
O23 - Service: CA License Server (CA_LIC_SRVR) - Unknown owner - C:\Program Files\CA\SharedComponents\CA_LIC\lic98rmtd.exe (file missing)
O23 - Service: Event Log Watch (LogWatch) - Unknown owner - C:\Program Files\CA\SharedComponents\CA_LIC\LogWatNT.exe (file missing)
O23 - Service: Event Log Watch (LogWatch) - Unknown owner - C:\Program Files\CA\SharedComponents\CA_LIC\LogWatNT.exe (file missing)
O23 - Service: MySQL - Unknown owner - C:\Program.exe (file missing)

Die mag je dus al weggooien. Waarom? Omdat dit restjes zijn van programma's die je hebt weggegooid / verplaatst. Het is dus pure vervuiling van je logbestand

Voor de rest heb je zelf al een aantal aandachtspunten aangegeven. Ik zou zeggen, google de bestanden even, kijk wat je zelf uit kunt vinden en wat je niet zeker weet, kun je altijd hier nog weer even vragen

Zoeken naar de Dumprep-entry (O4) levert bijvoorbeeld deze pagina al op
Beetje zelfredzaamheid is wel gewenst

Wel één advies: trek

code:

O4 - HKLM\..\Run: [DSS] C:\WINDOWS\HostDosMS.exe

goed na. Ik kwam prevx als enige google hit tegen. Zegt dat je echt niks, dan zou ik hem weggooien.... Maar dus wel op eigen risico

P.s. Zet net zoals mij je Hijack This logfile even tussen [code][/code] tags, dat leest prettiger

[ Voor 20% gewijzigd door Freakertje op 03-06-2007 18:19 ]

[spone]

Zo te zien niks bijzonders in je Hijackthis logile.

[DarthPlastic]

Trek je muis er nu eens uit?

[Anoniem: 194828]

HostDosMS.exe slechts 1 resultaat in Google, en dan ook nog op prevx.com.

Staat NOD32 ook ingesteld op detectie van Mogelijke ongewenste en Mogelijk gevaarlijke applicaties? Dan worden "de geintjes" ook uit je systeem gefli.....

Omdat ik slechts 1 resultaat met Google vind en dan op de prevx site, raad ik je aan om het hele systeem eens te scannen met Prevx2.
Het programma is net uit de Beta, en op dit moment alleen nog in het Engels beschikbaar.

http://www.prevx.com/ voor de download, NL uitleg complete systeemscan met prevx2 staat hier.

Ik draai zelf ook het programma Prevx2 en er zijn geen problemen met NOD32, ZaPro en andere beveiligingssoftware hier.

[mux]

Oke, bedankt voor de hulp maar ik denk dat het uiteindelijk toch *gedeeltelijk* loos alarm was.

Iemand anders zat te muizen op mijn frequentie

Maar er was ook wel een stukje spyware te vinden dat ik eruit heb kunnen gooien. Wat mij betreft mag dit topic gesloten worden.

[Anoniem: 63975]

ik ken HostDosMS.exe niet plaatsen, google heeft er ook bar weinig hits mee.

gooi dat bestand eens door virusscan.jotti.org heen

[_AvA_]

Haha, heel herkenbaar.

Probeer een gesprek te krijgen via kladblok, lol.

Klikt je muis ook gewoon echt of is het alleen dat hij verspringt enz. anders even een andere muismat proberen.

[mux]

Hij klikt ook, en het werd duidelijk doordat de andere persoon ging zeuren dat zn muis raar deed...

Overigens, als de batterij leeg gaat klikt hij ook en doet hij dingen als backbutton

Ik heb wel eens een keer een hacker gehad, daar heb ik een goed gesprek mee gehad waarna ik op mijn WLAN OFF button drukte. Ach, het is zo'n zinloze bezigheid... Admin, close this topic please

[F_J_K]

Grappig maar irritant ;-)

Een topictitel die grappig maar niet nuttig is Die pas ik dus even aan voor als anderen hetzelfde hebben. Als je een draadloze muis hebt, lag daar naar kijken inderdaad wek heel erg voor de hand

Topic zakt nu wel weg. Als je nu een andere frequentie hebt genomen dan

[Rainmaker]

Laatst op het Gentoo forum bijna exact hetzelfde topic (maar dan "iemand neemt mijn toetsenbord over").

Bleek uiteindelijk een draadloos toetsenbord te zijn, de buurman had hetzelfde toetsenbord