Opeens andere username bij MSN Live: gehackt? *

[Edmin]

Ik zet net mijn pc aan, nadat ik hem gisteravond uit heb gezet. Ik wil nog even mijn hotmail checken en ga naar de inlog pagina. Dan zie ik dit:



Het lijkt erop dat er iemand met het bovenstaande hotmail adres heeft ingelogd op mijn computer, maar ik ken dat adres niet. Bovendien is er niemand in mijn afwezigheid aan deze pc geweest.

Ligt dit aan mij, of is het een probleem bij hotmail?

[Edmin]

-Bump-

Net kreeg ik weer een andere variant:



Iemand?

[chromeeh]

Ok ben geen modje, maar als je de FaQ van B&V volgt had hier minstens een Hijackthis log moeten staan, een result van een virusscan en een vorm van inzit...

Edit:
En verder...
- Remote access van windows aan staan?
- Firewall geen belangrijke poorten open staan?
- VNC poorten open staan?
- Guest account disabled?
- eventueel familie / vrienden / kennis die ingelogged zou kunnen hebben?
enz enz?

Ook mijn glazen bol is stuk...

[ Voor 47% gewijzigd door chromeeh op 19-01-2008 00:54 ]

[Edmin]

chromeeh schreef op zaterdag 19 januari 2008 @ 00:52:

Edit:
En verder...
- Remote access van windows aan staan?
- Firewall geen belangrijke poorten open staan?
- VNC poorten open staan?
- Guest account disabled?
- eventueel familie / vrienden / kennis die ingelogged zou kunnen hebben?
enz enz?

Ook mijn glazen bol is stuk...

Nee, nee, nee... nog meer nee...

Heb een hitman pro runnetje gedraaid, wel wat esultaten, mar geen opmerkelijke.
Hijackthis ken ik niet, zal er eens mee beginnen.
Glazen bollen koop je op ebay.

[DeMoN]

Lijkt me toch iets van Spyware die met je cookies zit te kloten.
Draai echt ff HijackThis e.d. en post die hier, duidelijk dat er wel iets aan de hand is.

[Edmin]

Eindelijk tijd gehad om HijackThis een veeg te geven:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 15:55:36, on 28-1-2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16574)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Common Files\Logitech\LCD Manager\lcdmon.exe
C:\Program Files\Common Files\Logitech\G-series Software\LGDCore.exe
C:\Program Files\Razer\Copperhead\razerhid.exe
C:\PROGRA~1\AVG7\avgcc.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Program Files\iTunes\iTunesHelper.exe
C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe
C:\Program Files\Common Files\Logitech\LCD Manager\Applets\LCDCountdown.exe
C:\Program Files\Common Files\Logitech\LCD Manager\Applets\LCDPOP3.exe
C:\WINDOWS\system32\rundll32.exe
C:\Program Files\Common Files\Logitech\LCD Manager\Applets\LCDClock.exe
C:\Program Files\Common Files\Logitech\LCD Manager\Applets\LCDMedia.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\WINDOWS\system32\svchost.exe
C:\PROGRA~1\AVG7\avgamsvr.exe
C:\WINDOWS\system32\ctfmon.exe
C:\PROGRA~1\AVG7\avgupsvc.exe
C:\PROGRA~1\AVG7\avgemc.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\PnkBstrA.exe
C:\WINDOWS\system32\PnkBstrB.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Webroot\Spy Sweeper\SpySweeper.exe
C:\Program Files\Linksys Wireless-G PCI Wireless Network Monitor\WLService.exe
C:\Program Files\Linksys Wireless-G PCI Wireless Network Monitor\WMP54Gv4.exe
C:\Program Files\iPod\bin\iPodService.exe
C:\WINDOWS\System32\alg.exe
C:\Program Files\Razer\Copperhead\razertra.exe
C:\Program Files\Razer\Copperhead\razerofa.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\Microsoft.NET\Framework\v3.0\Windows Communication Foundation\infocard.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://tweakers.net/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: Adobe PDF Reader Help bij koppelingen - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O4 - HKLM\..\Run: [amd_dc_opt] "C:\Program Files\AMD\Dual-Core Optimizer\amd_dc_opt.exe"
O4 - HKLM\..\Run: [Launch LCDMon] "C:\Program Files\Common Files\Logitech\LCD Manager\lcdmon.exe"
O4 - HKLM\..\Run: [Launch LGDCore] "C:\Program Files\Common Files\Logitech\G-series Software\LGDCore.exe" /SHOWHIDE
O4 - HKLM\..\Run: [Copperhead] "C:\Program Files\Razer\Copperhead\razerhid.exe"
O4 - HKLM\..\Run: [AVG7_CC] "C:\PROGRA~1\AVG7\avgcc.exe" /STARTUP
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_03\bin\jusched.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] "rundll32.exe" bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [AdVantage Setup] C:\Program Files\DAEMON Tools\AdVantageSetup.exe
O4 - HKLM\..\Run: [NvCplDaemon] "RUNDLL32.EXE" C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] "nwiz.exe" /install
O4 - HKLM\..\Run: [NvMediaCenter] "RUNDLL32.EXE" C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [devenv] "C:\WINDOWS\system\smvss.exe" /w
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [DAEMON Tools] "C:\Program Files\DAEMON Tools\daemon.exe" -lang 1033
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Lokale service')
O4 - HKUS\S-1-5-19\..\Run: [AVG7_Run] C:\PROGRA~1\AVG7\avgw.exe /RUNONCE (User 'Lokale service')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Netwerkservice')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~3\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: (no name) - {2D663D1A-8670-49D9-A1A5-4C56B4E14E84} - (no file)
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B} (QuickTime Object) - http://a1540.g.akamai.net...om/qtactivex/qtplugin.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.c...eb_site.cab?1177368492285
O16 - DPF: {67A5F8DC-1A4B-4D66-9F24-A704AD929EEE} (System Requirements Lab) - http://www.systemrequirementslab.com/sysreqlab2.cab
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.c...eb_site.cab?1177410480781
O17 - HKLM\System\CCS\Services\Tcpip\..\{B3B002BA-4760-415F-BA40-E2D8CD90DCD1}: NameServer = 62.58.50.5,62.58.50.6
O17 - HKLM\System\CCS\Services\Tcpip\..\{DC18C2D6-6892-4C66-A79D-BBC9C4125B03}: NameServer = 192.168.1.1
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\AVG7\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\AVG7\avgupsvc.exe
O23 - Service: AVG E-mail Scanner (AVGEMS) - GRISOFT, s.r.o. - C:\PROGRA~1\AVG7\avgemc.exe
O23 - Service: iPod-service (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe
O23 - Service: PnkBstrB - Unknown owner - C:\WINDOWS\system32\PnkBstrB.exe
O23 - Service: PC Tools Auxiliary Service (sdAuxService) - PC Tools - C:\Program Files\Spyware Doctor\pctsAuxs.exe
O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - C:\Program Files\Spyware Doctor\pctsSvc.exe
O23 - Service: Webroot Spy Sweeper Engine (WebrootSpySweeperService) - Webroot Software, Inc. - C:\Program Files\Webroot\Spy Sweeper\SpySweeper.exe
O23 - Service: WMP54Gv4SVC - GEMTEKS - C:\Program Files\Linksys Wireless-G PCI Wireless Network Monitor\WLService.exe

--
End of file - 8472 bytes

Ik denk niet dat er vreemde zaken tussen staan, of ben ik nu kippig?

[Petervanakelyen]

Nee, inderdaad, je HijackThis log lijkt redelijk proper.
Schoon alle tijdelijke bestanden eens op (Temp map & Temporary Internet Files)

[RobertJ]

Nog ff een mogelijkheid, heb je een broertje/zusje/nieuwsgierige ouders die dit doen?

Altijd rekening houden met non-computer-mogelijkheden he.

[Edmin]

Nee, ik ben de enige gebruiker. Dinnetje blijft met haar tengeltjes overal vanaf, zij mag op de laptop (als ze het lief vraagt). Ondertussen blijf ik regelmatig scannen met AVG en Hitman pro 2.6, ook heb ik alle opschoon-acties uitgevoerd known to man (deze man dan, iig)...

snap er niets meer van.

[Verwijderd]

"Hack?"

Kon je geen betere topic-titel kunnen verzinnen?

[Verwijderd]

Zulke problemen heb ik de laatste tijd ook.

Plus heb ik nog een probleem met de mail, soms komt er zo'n venster omhoog dat je een email ontvangen hebt dus dan klik ik erop maar nadat de pagina geladen is zegt hij dat de email niet bestaat.
Ook zijn het allemaal van die rare emails waar eigenlijk niet echt een naam in staat.

[F_J_K]

Verwijderd schreef op maandag 28 januari 2008 @ 17:16:
"Hack?"

Kon je geen betere topic-titel kunnen verzinnen?

Geen topicreport?

Kon je geen betere reply verzinnen?
Titel aangepast.

[Zsub]

Zou iets fout kunnen zitten in de cookies oid. Ik zou alle tempfiles, cookies, cache, whatnot leegmaken.

[dumbledore]

met ccleaner !

[ Voor 52% gewijzigd door dumbledore op 30-01-2008 14:32 ]

[Edmin]

F_J_K schreef op maandag 28 januari 2008 @ 17:29:
[...]

Titel aangepast.

Dank, was idd wat inspiratieloos.
Ik dacht al iemand met hetzelfde proleem te hebben gezien...

dumbledore schreef op woensdag 30 januari 2008 @ 14:31:
met ccleaner !

Dit heeft gewerkt! ik had handmatig al zo veel mogelijk meggemikt en zo ongeveer elke gratis anti-spyware tool gebruikt, maar dit deed het hem!

[Edmin]

Gek genoeg komt het euvel telkens weer terug. Ik ga net naar de inlogpagina van hotmail en er staat weer een vreemd email adres in beeld. Dus ccleaner even draaien, druk op f5 en voila, er staat weer een blanco invulveld. Vervolgens even de mail gecheckt (1 stuks, geen spam) en beneden koffie gaan drinken. Kom een uurtje later weer bij mijn pc om mijn andere hotmail adres te checken, dus ik log uit. Opniew naar de aanmeldpagina...staat er weer een vreemd mailadres!

Ik heb dus in de tussentijd niets gedaan, behalve hotmail zelf geopend... iemand een idee?

[Petervanakelyen]

Wel overal de correcte instellingen ? Remote Desktop uitgeschakeld enzo ?

[DeMoN]

Heb je geen eigen netwerk met roaming profiles die niet goed staan en dat je elke keer je oude profiel terug krijgt of zo?
Draai ook eens WireShark, als er niks raars met je profiel bezig is moet iets anders dit wel veroorzaken, check je netwerkverkeer dus.
Geef anders deny rechten op iexplore.exe nadat je hebt geschoond, kijk nu 2 uur later weer naar je PC, staat die adres er nu weer in weet je iig dat het niet via de browser is ingevuld maar dat het op bestandsniveau op je PC terecht komt.

[Edmin]

Heb wel een eigen netwerk (zonder server direct op de wireles router), maar de andere computers hebben in de tussentijd niet aangestaan. Remote desktop staat idd uit.

Ik zal WireShark eens proberen en deny ->IE.

[Duroth]

Nog een hint... Download de Web Developer Toolbar extensie eens voor FF, log in met FF en laat je gebruikersnaam opslaan (geen wachtwoord op laten slaan of automatisch inloggen). Meld je af, ga terug naar de login site, en check met de developer toolbar eens welke cookies er actief zijn.

Mocht het probleem zich ook in FF voordoen, kan je kijken of het inderdaad aan de cookies ligt.

code:

Name    MSPPre
Value   (KNIP: MIJN EMAIL)
Host    .login.live.com
Path    /
Secure  No
Expires Wed, 30 Dec 2037 15:59:59 GMT

Deze code heeft aan dat hij mijn e-mail adres onthoudt. Misschien eens even kijken of die cookie bij jou aan het irriteren is?