Internet Explorer blijft draaien

[Sa7z]

Na een tijd lang gezocht te hebben, vele mogelijk opties en zogenaamde oplossingen kom ik er echt niet meer uit. Probleem :

Iexplore.exe blijft draaien nadat Internet Explorer af is gesloten. Elke keer dat je hem start maakt hij een nieuwe iexplore.exe aan die weer geheugen vreet, totdat de pc vastloopt.

Ik heb al van alles geprobeerd, virus scans, mal/spyware scans, reinstall van IE7, met en zonder updates omdat het misschien een update kon zijn, maar niks werkt. Alleen als het ECHT niet anders kan kan ik een andere browser op de pc zetten en proberen, maar het liefst houd de gebruiker IE7 (ik heb genoeg geprobeerd om gebruiker te overtuigen om Firefox te nemen, wil er echt niet aan.) en het liefst geen reinstall gezien het gestoord hoge aantal aan geinstalleerde programma's

iemand die een oplossing hiervoor weet?

*edit het is dus niet de standaard google hit van een malware programmatje, hele pc is schoon

[ Voor 5% gewijzigd door Sa7z op 06-12-2007 16:23 ]

[JohnD]

de PC is niet schoon... dat is spyware.

heb je ook al eens met hijackthis gekeken?

[Jester-NL]

Heb exact hetzelfde probleem, en uitgebreidt scannen op virussen/trojans/malware heeft een en ander niet verholpen. (Geen vuiligheid gevonden).
Ook na een herinstall is die rogue-explorer weer terug...

[MAX3400]

Kan het zijn dat je binnen Windows gebruikt maakt van (bijvoorbeeld) Active Desktop of andere applicaties die leunen op Internet Explorer? Dat zou in ieder geval het proces verklaren maar niet het geheugenlek.

Start iexplore.exe ook als je de PC opnieuw hebt opgestart en geen programma's aanklikt ofzo?

[In Search of Sunrise]

Jester.NL schreef op vrijdag 07 december 2007 @ 16:52:
Heb exact hetzelfde probleem, en uitgebreidt scannen op virussen/trojans/malware heeft een en ander niet verholpen. (Geen vuiligheid gevonden).
Ook na een herinstall is die rogue-explorer weer terug...

Is een virus en heet W32/Kibik.a
Er is ook nog een kibik.dr
http://vil.nai.com/vil/content/v_140866.htm
http://vil.nai.com/vil/content/v_140867.htm

Gebruik Stinger eens en voer hijack this ook eens uit.

[Jester-NL]

In eerste instantie wilde ik niet te veel informatie geven om dit topic niet te kapen
Ga ik toch maar verandering in brengen:
Enige tijd geleden ontdekte ik dat, ondanks geen actief draaiende browsers, in mijn taskmanager iexplore.exe bezig bleef. Het killen van het process, of de process-tree had seconden effect. Daarna werd iexplore.exe opnieuw gestart.
Mijn up-to-date Symantec AntiVirus (10.1.6) vond niets verdachts. Aangezien de installatie al wat aan de oude kant was, en ik toch een her-installatie overwoog, heb ik de machine opnieuw geinstalleerd. Probleem is terug...
Ik heb ondertussen het volgende gedaan:• Complete virus-scan met Symantec AntiVirus - geen resultaten• Complete scan met Kaspersky on-line scanner - geen resultaten• Complete scan met A² - wat cookies, maar niets spannends• Complete scan met Ad-aware - geen resultaten (cookies waren door A² al verwijderd )• Handmatig -met behulp van Google- mijn MSCONFIG-opstart tab doorgelopen• HiJackThis-log gemaakt en tegen alle on-linetools aangehouden - misschien dat er hier iemand iets ziet dat ik, en die tools, over het hoofd hebben gezien. Mijn HJT-skills zijn niet echt goed

Daarna ben ik gaan zoeken op Tweakers. Ik kwam dit topic tegen, verder niet echt heel veel nuttigs.
Naar aanleiding van de post van 'In Search of Sunrise' heb ik ook maar even Stinger losgelaten, en handmatig naar alle ongerechtigheden (files, reg-keys) van het W32/kibik-virus gezocht. Helaas, ook ditmaal, geen succes.

Misschien dat er iemand mee wil kijken

code:

Logfile of Trend Micro HijackThis v2.0.0 (BETA)
Scan saved at 12:31:04, on 8-12-2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
E:\Program Files\Windows Defender\MsMpEng.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\Program Files\Common Files\Symantec Shared\ccSetMgr.exe
C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
C:\Program Files\Common Files\Symantec Shared\SPBBC\SPBBCSvc.exe
C:\WINDOWS\system32\spoolsv.exe
E:\Program Files\a-squared Free\a2service.exe
C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Program Files\Bonjour\mDNSResponder.exe
E:\Program Files\Symantec AntiVirus\DefWatch.exe
C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\mdm.exe
C:\WINDOWS\system32\oodag.exe
E:\Program Files\Symantec AntiVirus\Rtvscan.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\ALCWZRD.EXE
C:\Program Files\Common Files\Symantec Shared\ccApp.exe
E:\PROGRA~1\SYMANT~1\VPTray.exe
C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe
E:\Program Files\Unlocker\UnlockerAssistant.exe
E:\Program Files\iTunes\iTunesHelper.exe
C:\WINDOWS\system32\oodtray.exe
E:\Program Files\Windows Defender\MSASCui.exe
E:\Program Files\DAEMON Tools\daemon.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\uTorrent\uTorrent.exe
E:\Program Files\UltraMon\UltraMon.exe
E:\Program Files\Globe Software\StatBar\StatBar.exe
E:\Program Files\UltraMon\UltraMonTaskbar.exe
E:\Program Files\Microsoft ActiveSync\Wcescomm.exe
E:\PROGRA~1\MICROS~3\rapimgr.exe
E:\Program Files\BOINC\boincmgr.exe
C:\WINDOWS\boinctray.exe
C:\Program Files\Common Files\Ahead\Lib\NMIndexStoreSvr.exe
C:\Program Files\Common Files\Ahead\Lib\NMIndexingService.exe
C:\Program Files\iPod\bin\iPodService.exe
E:\Program Files\Microsoft ActiveSync\WCESMgr.exe
C:\Program Files\Common Files\Ahead\Lib\NMBgMonitor.exe
E:\Program Files\Microsoft Office\Office12\OUTLOOK.EXE
E:\Program Files\HydraIRC\HydraIRC.exe
E:\Program Files\Soulseek\slsk.exe
E:\Program Files\Last.fm\LastFM.exe
E:\Program Files\Last.fm\LastFmHelper.exe
C:\WINDOWS\System32\svchost.exe
E:\Program Files\Winamp\winamp.exe
E:\Program Files\BOINC\projects\boinc.gorlaeus.net\classical_5.49_windows_intelx86.exe
C:\WINDOWS\system32\DllHost.exe
C:\Program Files\Internet Explorer\iexplore.exe
E:\Program Files\IDM Computer Solutions\UltraEdit-32\uedit32.exe
C:\Documents and Settings\Joost van Krimpen\Desktop\stinger.exe
E:\Program Files\BOINC\projects\boinc.gorlaeus.net\classical_5.49_windows_intelx86.exe
E:\Program Files\HiJackThis\HiJackThis_v2.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.last.fm/user/Jester-NL
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [High Definition Audio Property Page Shortcut] HDAudPropShortcut.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [AlcWzrd] ALCWZRD.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [vptray] E:\PROGRA~1\SYMANT~1\VPTray.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe"
O4 - HKLM\..\Run: [UnlockerAssistant] "E:\Program Files\Unlocker\UnlockerAssistant.exe" -H
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Program Files\Common Files\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "E:\Program Files\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [OODefragTray] C:\WINDOWS\system32\oodtray.exe
O4 - HKLM\..\Run: [Windows Defender] "E:\Program Files\Windows Defender\MSASCui.exe" -hide
O4 - HKCU\..\Run: [DAEMON Tools] "E:\Program Files\DAEMON Tools\daemon.exe" -lang 1033
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [uTorrent] "C:\Program Files\uTorrent\uTorrent.exe"
O4 - HKCU\..\Run: [UltraMon] "E:\Program Files\UltraMon\UltraMon.exe" /auto
O4 - HKCU\..\Run: [StatBar] E:\Program Files\Globe Software\StatBar\StatBar.exe
O4 - HKCU\..\Run: [H/PC Connection Agent] "E:\Program Files\Microsoft ActiveSync\Wcescomm.exe"
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Program Files\Common Files\Ahead\Lib\NMBgMonitor.exe"
O4 - Startup: Adobe Gamma Loader.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Startup: Last.fm Helper.lnk = E:\Program Files\Last.fm\LastFMHelper.exe
O4 - Global Startup: BOINC Manager.lnk = E:\Program Files\BOINC\boincmgr.exe
O4 - Global Startup: BOINC System Tray.lnk = C:\WINDOWS\boinctray.exe
O8 - Extra context menu item: E&xport to Microsoft Excel - res://E:\PROGRA~1\MICROS~1\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: Send to OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - E:\PROGRA~1\MICROS~1\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: S&end to OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - E:\PROGRA~1\MICROS~1\Office12\ONBttnIE.dll
O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - E:\PROGRA~1\MICROS~3\INetRepl.dll
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - E:\PROGRA~1\MICROS~3\INetRepl.dll
O9 - Extra 'Tools' menuitem: Create Mobile Favorite... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - E:\PROGRA~1\MICROS~3\INetRepl.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - E:\PROGRA~1\MICROS~1\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O15 - Trusted Zone: http://*.last.fm
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/eng/partner/default/kavwebscan_unicode.cab
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1196871174921
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} (Java Runtime Environment 1.6.0) - http://javadl-esd.sun.com/update/1.6.0/jinstall-6u3-windows-i586-jc.cab
O22 - SharedTaskScheduler: Browseui preloader - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Component Categories cache daemon - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O23 - Service: a-squared Free Service (a2free) - Emsi Software GmbH - E:\Program Files\a-squared Free\a2service.exe
O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: BOINC - Space Sciences Laboratory - E:\Program Files\BOINC\boinc.exe
O23 - Service: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762## (Bonjour Service) - Apple Computer, Inc. - C:\Program Files\Bonjour\mDNSResponder.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSetMgr.exe
O23 - Service: Symantec AntiVirus Definition Watcher (DefWatch) - Symantec Corporation - E:\Program Files\Symantec AntiVirus\DefWatch.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: iPod-service (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: LiveUpdate - Symantec Corporation - C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE
O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Common Files\Ahead\Lib\NMIndexingService.exe
O23 - Service: O&O Defrag - O&O Software GmbH - C:\WINDOWS\system32\oodag.exe
O23 - Service: SAVRoam (SavRoam) - symantec - E:\Program Files\Symantec AntiVirus\SavRoam.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\SNDSrvc.exe
O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\SPBBC\SPBBCSvc.exe
O23 - Service: Symantec AntiVirus - Symantec Corporation - E:\Program Files\Symantec AntiVirus\Rtvscan.exe

--
End of file - 10590 bytes

[Jester-NL]

Bescheiden schopje

[Sa7z]

Zoals ik al had gezegd is de PC uitgebreid gescand, daar kwam niks uit. Ook is het probleem niet dat er slechts 1 iexplore.exe blijft lopen, maar dat elke keer als ik er een opstart en hem daarna sluit, hij blijft draaien, het blijft dus niet bij 1 proces, maar er komen er net zoveel totdat de hele pc vastloopt omdat er 10 iexplore.exe`s lopen die al het geheugen opeten. Ik heb Internet Explorer opnieuw geinstalleerd wat niet werkt, de pc gescand met Norton 360, Hitman Pro erover etc etc noem t maar op.

[Arnout]

Heb dit nu ook. Ik kwam erachter doordat het actieve window (in dit geval Firefox) de focus verloor, wat opvalt. Daarna kreeg ik een Internet Explorer venster te zien met daarin reklame (phoneshop.nl). Bij taakbeheer zag ik iexplore.exe staan, terwijl ik dat proces al een jaar ofzo niet meer gestart heb.
Killen van het proces zorgt ervoor dat het na 1-2 seconden weer terug is.

Edit: even met filemon gekeken waarom het proces ook I/O verkeer genereert, het schrijft steeds naar een cookie genaamd ad.yieldmanager.com en download daarbij advertenties en bijbehorende assets.

Ik gebruik Firefox 3.0. Na wat verder onderzoek zag ik een random procesnaam in taakbeheer staan. Deze exe stond in systemroot/system32. Als ik deze start, instantieert dit proces Internet Explorer processen. Wanneer ik dit proces kill, eindigt ook het iexplore.exe proces wat hij gestart had.

Hoe ik hier nu aan gekomen ben?

[ Voor 42% gewijzigd door Arnout op 09-07-2008 21:39 ]

[Outerspace]

Spyware?

En die spyware start geen FF op, maar Internet Explorer aangezien dat nog op je PC staat.

[Rockvee2]

Doe een virusscan met je Antivirus of een Spyware scan

[MegaTronics]

Klinkt als hetzelfde als wat ik gisteren had. Ik had ook telkens een iexplore.exe draaien en een proces myahe.exe. Het killen van iexplore.exe had geen zin, kwam steeds terug. Het probleem met deze was dat myahe als ADS was gekoppeld aan de windows\system32 directory. Uiteindelijk wel weggekregen met ADSSpy, maar ik vertrouw het nu allemaal niet meer (soms ineens andere labels in de schermen), dus een restore van de backup gaat vanavond gebeuren.

edit linkjes toegevoegd.

[ Voor 19% gewijzigd door MegaTronics op 10-07-2008 13:07 ]

[Arnout]

Het lijkt via advertenties binnen te komen. Deze link geeft een uitgebreide analyse met daarin de url genoemd waar ik ook last van had.
't Zou hierbij gaan om het volgende virus: Trojan-Downloader.Win32.Firu.bp

http://www.bluetack.co.uk...ion/index.php/t18306.html

Nog een vraag, hoe maak ik zo'n "File Details" rapport? Kan je dat online doen ergens? Lijkt me sterk dat ze al die 33 virusscanners geinstalleerd hebben?

Edit: ah, dat kan via deze site.

Edit: en dit is het rapport: http://www.virustotal.com...1c418fc58338de9de93197fb6

[ Voor 26% gewijzigd door Arnout op 10-07-2008 18:46 ]