url-omleidingen in IE/FF?

[The.Force]

Ik heb een vervelend (spyware?) probleem met
m'n browsers (zowel FF als IE) !

Telkens als ik iets wil zoeken op bv. Google en
vervolgens op een link klik, word ik doorverwezen
naar éen of andere spam-achtige site.

Dit is niet steeds dezelfde site (meestal
wel :knowledgestorage.net) als ik genoeg
klik (3x op dezelfde link), kom ik wel op
m'n 'gewenste' url uit...

Ik heb reeds getest op virussen met Kaspersky
& ook op spyware (hitman pro) maar die bleken
negatief. Ook HijackThis laat niets na.

Wie weet raad?

[Onbekend]

Welke Windows versie heb je ? Laatste updates al?
Firefox en IE versie?
Krijg je ook pop-ups of andere schermpjes die er niet thuis horen te zien?
Wat heb je gedaan vlak voor je dat probleem kreeg?
Heb je kabel/adsl/isdn/telefoonlijn internet?

[The.Force]

Ik denk niet dat het OS veel uitmaakt maar
hier zijn de gegevens:

XP professional (SP2) met updates
IE 6.0 met laatste updates, idem FF 2.0.0.9

Verder geen pop-ups, enkel wanneer ik
op een link druk (dat is het probleem dus)!

Ik heb niets bijzonder ervoor gedaan.

Verder heb ik een ADSL lijn...

[Onbekend]

Check je systeem eens met SpyBot en met Ad-aware SE 1.06. (Alleen Ad-aware definities updaten. Niet de software zelf.)

[The.Force]

Helaas die zitten ook in Hitman Pro (dat ik reeds geprobeerd had)...

[Onbekend]

Zelf ben ik niet blij met Hitman Pro. Deze ziet toch weleens iets over het hoofd.

[The.Force]

Wel speciaal voor jou nog eens apart gedraaid maar helaas pindakaas!

[Spider.007]

Dit past beter in BV

CSA > BV

[Fish]

wat zegt hijack this ?

zet je host file eens neer, staan daar "google" adressen in ?

[Room42]

The.Force schreef op zaterdag 10 november 2007 @ 23:10:
Ik denk niet dat het OS veel uitmaakt maar
hier zijn de gegevens:

Tuurlijk maak het OS uit! Er is een wereld van verschil tussen Windows, Mac en Linux, hoor. Zelfs tussen WinXP en Win98. Dus ja, wees zo volledig mogelijk

Als je in google zo'n link aanwijst, wat staat er voor een adres in de statusbalk dan (cq. waar linkt hij heen)?

Is je hosts-file leeg (met uitzondering van localhost)?

Draaien er vreemde processen (checken met autoruns)?

[The.Force]

@ fish:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 13:34:02, on 11/11/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\windows\System32\smss.exe
C:\windows\system32\winlogon.exe
C:\windows\system32\services.exe
C:\windows\system32\lsass.exe
C:\windows\system32\svchost.exe
C:\windows\System32\svchost.exe
C:\windows\system32\spoolsv.exe
C:\windows\System32\svchost.exe
C:\WINDOWS\system32\ZONELABS\vsmon.exe
C:\windows\Explorer.EXE
C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\windows\system32\ctfmon.exe
C:\windows\System32\svchost.exe
C:\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.tweakers.net/
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\windows\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O23 - Service: ASP.NET State Service (aspnet_state) - Unknown owner - C:\windows\Microsoft.NET\Framework\v1.1.4322\aspnet_state.exe (file missing)
O23 - Service: Kaspersky Anti-Virus 7.0 (AVP) - Kaspersky Lab - C:\Program Files\Kaspersky 7.0\avp.exe
O23 - Service: iPod-service (iPodService) - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZONELABS\vsmon.exe

--
End of file - 1911 bytes

M'n hostfile staat wel redelijk vol maar dat komt wellicht door al die adware removal progs
die bepaalde sites uit veiligheid willen blokken en wegschrijven in de hostfile (verwijzingen
naar de programma's staan erbij). Moet deze 'normaal' leeg zijn (buiten localhost)?

Het is ook niet zo dat de sites die ik via google zoek daadwerkelijk geblocked zijn
(random sites, 3x maal op dezelfde link klikken, geeft uiteindelijk wel resultaat)

@ sjaakduhuuhl :

Als ik de link aanwijs, krijg ik het werkelijke adres.
Eens geklikt, volgt de omleiding (gebeurt echter niet altijd,
soms heb ik van de eerste maal wel prijs) ...

Uitleg over hostfile: zie boven.

Geen vreemde processen te bespeuren.

--

Wat me wel een tijdje geleden opviel, was wanneer ik netstat deed
er steeds de site www.casdk.com bijstaat, verdacht?

Of is dat gewoon ergens van een banner op tweakers ?

In m'n logs van Kaspersky heb ik ook een tijdje geleden een Generic
Heuristic Trojan in m'n sys32 verwijdert namelijk kducs.exe.

Weet iemand daar iets over?

[Fish]

ok dan geen hosts file, jij je zin

[Room42]

The.Force schreef op zondag 11 november 2007 @ 13:46:
M'n hostfile staat wel redelijk vol maar dat komt wellicht door al die adware removal progs
die bepaalde sites uit veiligheid willen blokken en wegschrijven in de hostfile (verwijzingen
naar de programma's staan erbij). Moet deze 'normaal' leeg zijn (buiten localhost)?

Verwijzen al die domeinen naar 0.0.0.0 of naar 127.0.0.1? In dat laatste geval zou ik ze alsnog een keer weghalen.

[The.Force]

@ fish : relax man, er valt toch niet veel meer te bezien, lees hieronder...

@ sjaakduhuuhl: Ik heb uit veiligheid toch maar alles weggehaald buiten
de localhost dan.

Het probleem blijft echter nog bestaan!

Misschien dan toch meer in de richting van die casdk of kducs al
schuldige aanwijzen?

[Room42]

The.Force schreef op zondag 11 november 2007 @ 14:04:
Misschien dan toch meer in de richting van die casdk of kducs al
schuldige aanwijzen?

Ja, dat moet jij doen! Wat heb je gevonden op die twee? Zijn ze verdacht, of zijn het normale sites? Maak ons gek.

Overigens, als je al troyans en virussen hebt moeten verwijderen zou ik eerder tot een format geneigd zijn en voortaan wat beter opletten.

[ Voor 18% gewijzigd door Room42 op 11-11-2007 14:37 ]

[The.Force]

Ik surf steeds naar dezelfde sites en daar
zitten geen dubieuze tussen hoor...

Echter ben ik niet de enige die op deze pc
zit dus tegenhouden kan ik het niet volledig!

Ik denk dat ik het zo maar laat aangezien ik
binnen een paar maand toch SP3 erop zet.

[CH4OS]

The.Force schreef op zondag 11 november 2007 @ 14:43:
Echter ben ik niet de enige die op deze pc
zit dus tegenhouden kan ik het niet volledig!

Je kan allicht voor een volgende keer misschien dan beter 1 algemeen admin account aanmaken... En de andere gebruikers (plus jijzelf!) een gebruikersaccount aanmaken met beperkte rechten... Dan hou je al wel veel troep binnen namelijk...

Maar hoe staan jouw DNS instellingen dan? Kan me voorstellen dat het dáár al fout gaat...

Ik denk dat ik het zo maar laat aangezien ik
binnen een paar maand toch SP3 erop zet.

Alsof SP3 heilig is en al jouw problemen verhelpt: lijkt mij althans zéér onwaarschijnlijk...

[ Voor 25% gewijzigd door CH4OS op 11-11-2007 14:57 ]

[The.Force]

Ik ben admin en heb de andere gebruikers al gerestricteerd!
DNS wordt trouwens automatisch verkregen.

Daarbij zeg ik niet dat SP3 heilig is maar als ik toch van plan ben te
formateren, kan ik beter daarop wachten hé...

[Room42]

DNS wordt trouwens automatisch verkregen.

Fijn, controleer die eens dan of dat wel echt de servers van je provider zijn.

Daarbij zeg ik niet dat SP3 heilig is maar als ik toch van plan ben te
formateren, kan ik beter daarop wachten hé...

Dus jij gaat nog "een paar" maanden risico lopen (want je weet niet wat het is) omdat je dan toch moet formatteren... Je moet gewoon zorgen dat je systeem op orde is. Voor hetzelfde geld draai je ook fijn mee in een botnet of is/wordt je pc een spam-bot.
Beetje vreemde redenatie.

Hebben de andere users er trouwens ook last van?

offtopic:
Hou es op met die handmatige enters... De word-wrap feature van de browsers doet het prima.

[ Voor 22% gewijzigd door Room42 op 11-11-2007 15:58 ]

[djiwie]

The.Force schreef op zaterdag 10 november 2007 @ 22:57:
Telkens als ik iets wil zoeken op bv. Google en
vervolgens op een link klik, word ik doorverwezen
naar éen of andere spam-achtige site.

Wat staat er in de broncode van de zoekresultaten? Staat de dubieuze site daar al in of niet?

[The.Force]

Room42 schreef op zondag 11 november 2007 @ 15:56:

[...]

Dus jij gaat nog "een paar" maanden risico lopen (want je weet niet wat het is) omdat je dan toch moet formatteren... Je moet gewoon zorgen dat je systeem op orde is. Voor hetzelfde geld draai je ook fijn mee in een botnet of is/wordt je pc een spam-bot.
Beetje vreemde redenatie.

Waarom een vreemde redenatie? Ik heb wel wat beters te doen
en deze pc heeft geen prioriteit. Mocht op de pc nu bedrijfsgevoelige
info staan dan kan ik punt wel verstaan maar het is puur een
vrijetijdspc...

Het hangt dus situatie per situatie af. In mijn geval kan ik best nog
wel even wachten, surfen is niet het enige wat je op een pc kan doen.

_{Gelieve het topic dus niet langer te kicken.}

[ Voor 3% gewijzigd door The.Force op 11-11-2007 21:41 ]