Krijg stuk spyware maar niet weg

[Snowwie]

Ik heb een stuk spyware opgelopen dat bij ongeldige pagina's me een advertentie pagina toont:
Hieronder zie je dat : http://www.google.nl/sdfds.avi (= een niet bestaande onzin link)


Vervolgens ben ik met SuperAntiSpyware bezig gegaan, welke vervolgens 4 stukken spyware verwijderde. Echter, na het herstarten kreeg ik een korte BSOD waarbij de computer opnieuw opstartte. Nadat ik safe-mode geprobeerd had, en daarna weer opnieuw normaal opstartte kreeg ik de volgende melding:



Dus nog niet alles weg.
Zoektocht op google leverde mij een aantal resultaten op, die aangaven dat ik het "Ad-Rotator" op mijn pc staan had. De 1e link toont een onderwerp waarin wordt uitgelegt hoe met HijackThis dit stuk spyware verwijderd kan worden. Echter geen van die regels daar genoemd komt voor in mijn HijackThis scan.

Dan maar met de gebruikelijke anti-spyware programma's scannen:
- Ad-Aware 2007 - Vind niets
- SpyBot 1.52 - Vind niets
- AVG Anti Spyware 7.5 - Vind niets (behalve de gebruikelijke verdachte cookies)
- PrevxCSI, vind wel wat, maar dit programma is scannen enkel, voor de betaalde versie moet je 20 euro dokken, en dat heb ik dit moment even niet..(serieus)

PrevxCSI scan:


Hieronder staat mijn HijackThis logfile, ik heb zoveel mogelijk programma's uitgezet om het zo kort mogelijk te houden:

code:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 11:17:38 PM, on 2/2/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
D:\Tools\AVG\avgcc.exe
C:\Program Files\Symantec\LiveUpdate\ALUSchedulerSvc.exe
D:\Tools\Avg-AntiSpyware\guard.exe
D:\Tools\AVG\avgamsvr.exe
D:\Tools\AVG\avgupsvc.exe
D:\Tools\AVG\avgemc.exe
C:\Program Files\Intel\Intel Matrix Storage Manager\Iaantmon.exe
D:\Tools\Norton_Ghost12\Agent\VProSvc.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\svchost.exe
D:\Tools\AdAware2007\aawservice.exe
C:\Program Files\Windows Live\Messenger\usnsvc.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.nl/
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {5AEC3C8A-F09B-45EF-BDBC-58526B2C7755} - C:\WINDOWS\system32\bitsprx.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [Ad Muncher] D:\Tools\Ad-Muncher\AdMunch.exe /bt
O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\UpdReg.EXE
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [AVG7_CC] D:\Tools\AVG\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [spa_start] C:\WINDOWS\System32\Rundll32.exe "C:\WINDOWS\system32\sprt_ads.dll" DllStart
O4 - HKUS\S-1-5-19\..\Run: [AVG7_Run] D:\Tools\AVG\avgw.exe /RUNONCE (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [AVG7_Run] D:\Tools\AVG\avgw.exe /RUNONCE (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\Run: [AVG7_Run] D:\Tools\AVG\avgw.exe /RUNONCE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [AVG7_Run] D:\Tools\AVG\avgw.exe /RUNONCE (User 'Default user')
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://D:\Tools\OFFICE~1\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\Tools\OFFICE~1\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O16 - DPF: {0E5F0222-96B9-11D3-8997-00104BD12D94} (PCPitstop Utility) - http://www.pcpitstop.com/pcpitstop/PCPitStop.CAB
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1199222804671
O17 - HKLM\System\CCS\Services\Tcpip\..\{78DDC16B-20A7-4F4B-B68B-4DCCEB500894}: NameServer = 192.168.1.1
O20 - Winlogon Notify: !SASWinLogon - D:\Tools\SUPERAntiSpyware\SASWINLO.dll
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft - D:\Tools\AdAware2007\aawservice.exe
O23 - Service: Automatic LiveUpdate Scheduler - Symantec Corporation - C:\Program Files\Symantec\LiveUpdate\ALUSchedulerSvc.exe
O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - D:\Tools\Avg-AntiSpyware\guard.exe
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - D:\Tools\AVG\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - D:\Tools\AVG\avgupsvc.exe
O23 - Service: AVG E-mail Scanner (AVGEMS) - GRISOFT, s.r.o. - D:\Tools\AVG\avgemc.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Intel(R) Matrix Storage Event Monitor (IAANTMON) - Intel Corporation - C:\Program Files\Intel\Intel Matrix Storage Manager\Iaantmon.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: LiveUpdate - Symantec Corporation - C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE
O23 - Service: Norton Ghost - Symantec Corporation - D:\Tools\Norton_Ghost12\Agent\VProSvc.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

Ik ben dus al een tijdje bezig om m'n pc weer spyware vrij te krijgen, maar het wil nog niet vlotten. Het laatste wat ik nu probeer is te googlen op "remove AdRotator", maar het vervelende hiervan is dat ze vaak verwijzen naar gratis anti-spyware software die enkel scant, maar niet opruimt.

De volgende waarden kan ik niet terugvinden in mijn register..

AdRotator Removal Instructions
Delete these registry entries

code:

HKEY_CLASSES_ROOT\adrotator.application
HKEY_CLASSES_ROOT\clsid\{34ef5b1c-52cb-400b-8b7c-f787018b3826}
HKEY_CLASSES_ROOT\clsid\{3e7145b1-ea07-42ce-9299-11df39ff54bd}
HKEY_CLASSES_ROOT\interface\{e9d8697e-bea9-4170-84f3-509ad2a11951}
HKEY_CLASSES_ROOT\typelib\{3cd9d85e-1ff2-4bf7-a113-6669b8d1e676}
HKEY_CURRENT_USER\software\microsoft\internet explorer\urlsearchhooks\{1ffed2cb-fc98-49f8-b3d0-678d03350f1e}
HKEY_CURRENT_USER\software\microsoft\internet explorer\urlsearchhooks\{965a592f-8efa-4250-8630-7960230792f1}
HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\slmss
HKEY_LOCAL_MACHINE\software\mwsvm
HKEY_LOCAL_MACHINE\software\slmss

Wie o wie heeft nog suggesties?

[Verwijderd]

code:

O4 - HKLM\..\Run: [spa_start] C:\WINDOWS\System32\Rundll32.exe "C:\WINDOWS\system32\sprt_ads.dll" DllStart

Deze aanvinken en laten verwijderen door HijackThis

Deze mogen ook wel weg:

code:

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

[ Voor 34% gewijzigd door Verwijderd op 02-02-2008 23:44 ]

[Snowwie]

Ik heb die regels verwijderd, computer herstart maar de reclameblok komt nog steeds zichtbaar als ik een niet bestaande link invoer...

[Kuhlie]

Misschien heeft dat programma zich vrij diep in de winsock stack genesteld. Ik heb zelf wel eens lspfix hiervoor gebruikt, hiermee kan je dingen zelf aan en uit zetten. Wel goed de documentatie en/of website lezen voordat je daarmee aan de slag gaat.

[ Voor 3% gewijzigd door Kuhlie op 02-02-2008 23:59 ]

[Verwijderd]

Snowwie schreef op zaterdag 02 februari 2008 @ 23:51:
Ik heb die regels verwijderd, computer herstart maar de reclameblok komt nog steeds zichtbaar als ik een niet bestaande link invoer...

Die 2 bestanden die Prevx CSI gevonden heeft zou je in veilige modus vermoedelijk wel weg kunnen gooien, maar lees voor de zekerheid eerst dit door i.v.m. bitsprx.dll.

[--Niels--]

Waarschijnlijk heeft iets je zoekmachine aangepast die gebruikt wordt als je een niet bestaande url invoert.
Dit pas je in firefox als volgt aan:

• Ga naar "about:config" (gewoon in je adresbalk, netzoals je naar bijv. www.google.com gaat);
• Zet achter filter "keyword";
• Nu staat achter "keyword.URL" waarschijnlijk wat anders dan "http://www.google.com/search?ie=UTF-8&oe=UTF-8&sourceid=navclient&gfns=1&q=" (dat staat er namelijk bij mij). Wijzig dit;
• Je kunt "keyword.enabled" ook op "false" zetten als je helemaal niet meer wilt dat firefox gaat zoeken wanneer je een niet bestaande url hebt ingevoerd.

[Snowwie]

--Niels-- schreef op zondag 03 februari 2008 @ 00:07:
Waarschijnlijk heeft iets je zoekmachine aangepast die gebruikt wordt als je een niet bestaande url invoert.
Dit pas je in firefox als volgt aan:

• Ga naar "about:config" (gewoon in je adresbalk, netzoals je naar bijv. www.google.com gaat);
• Zet achter filter "keyword";
• Nu staat achter "keyword.URL" waarschijnlijk wat anders dan "http://www.google.com/search?ie=UTF-8&oe=UTF-8&sourceid=navclient&gfns=1&q=" (dat staat er namelijk bij mij). Wijzig dit;
• Je kunt "keyword.enabled" ook op "false" zetten als je helemaal niet meer wilt dat firefox gaat zoeken wanneer je een niet bestaande url hebt ingevoerd.

Bij mij stond er hetzelfde, ik heb de waarde aangepast naar simpelweg "www.google.nl"
Echter blijft de advertentie tekst terug komen....

Verwijderd schreef op zondag 03 februari 2008 @ 00:01:
Die 2 bestanden die Prevx CSI gevonden heeft zou je in veilige modus vermoedelijk wel weg kunnen gooien, maar lees voor de zekerheid eerst dit door i.v.m. bitsprx.dll.

Die 2 bestanden zijn in safe mode niet meer vindbaar. Ik heb tussendoor nog wel het programma ComboFix gebruikt.

Echter de advertenties blijven nog altijd terug komen bij een verkeerde link.

Wat ik ook nog kan overwegen is het terughalen van Windows met Norton Ghost. Een maand geleden heb ik met Norton Ghost een backup gemaakt van geheel Windows. Maar is dit aan te raden? Ik heb dit nog nooit eerder gedaan. Windows herinstalleren is op zich niet zoveel werk, maar al die programma's weer installeren word ik niet goed van...

[ Voor 33% gewijzigd door Snowwie op 03-02-2008 00:28 ]

[Pendaco]

Snowwie schreef op zaterdag 02 februari 2008 @ 23:36:
PrevxCSI scan:
[afbeelding]

Heb je deze al handmatig verwijdert dan?
Die uit je Temp/ folder kun je zowiezo zonder problemen verwijderen.

Die bitsprx.dll zou je even door Jotti kunnen halen en kijken wat ie doet.

Via Spybot zou je eventueel je Winsock nog even kunnen nalopen (en browser pages).

Edit:

code:

O2 - BHO: (no name) - {5AEC3C8A-F09B-45EF-BDBC-58526B2C7755} - C:\WINDOWS\system32\bitsprx.dll

Die zou ik dan vervolgens ook even via HijackThis verwijderen (mocht Jotti vuiligheid aangeven ).

[ Voor 17% gewijzigd door Pendaco op 03-02-2008 00:46 ]

[Snowwie]

Pendaco schreef op zondag 03 februari 2008 @ 00:41:
[...]
Heb je deze al handmatig verwijdert dan?
Die uit je Temp/ folder kun je zowiezo zonder problemen verwijderen.

Niet handmatig verwijderd, maar zojuist nog gekeken onder safe mode, de bestanden waren er niet meer, waarschijnlijk verwijderd door ComboFix. Echter de advertentie troep blijft nog bestaan.

Maar is een backup van Norton Ghost aan te raden? Inmiddels wel al 30 dagen oud?

[ Voor 9% gewijzigd door Snowwie op 03-02-2008 00:57 ]

[Petervanakelyen]

Snowwie schreef op zondag 03 februari 2008 @ 00:43:
[...]

Niet handmatig verwijderd, maar zojuist nog gekeken onder safe mode, de bestanden waren er niet meer, waarschijnlijk verwijderd door ComboFix. Echter de advertentie troep blijft nog bestaan.

Maar is een backup van Norton Ghost aan te raden? Inmiddels wel al 30 dagen oud?

Ja, een Norton Ghost is handig, maar je moet wel een image maken met een schone configuratie, en die heb je op het moment niet.

En alles op een rijtje, deze HijackThis entries verwijderen:

code:

O2 - BHO: (no name) - {5AEC3C8A-F09B-45EF-BDBC-58526B2C7755} - C:\WINDOWS\system32\bitsprx.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

O4 - HKLM\..\Run: [spa_start] C:\WINDOWS\System32\Rundll32.exe "C:\WINDOWS\system32\sprt_ads.dll" DllStart

Verder, gooi je Temp map eens leeg (C:\Documents and Settings\Demonfreak\Local Settings\Temp)
En laat CCleaner zijn werk doen (vergeet niet de Yahoo! Toolbar te deactiveren)

[Verwijderd]

Je zou ook nog eens kunnen kijken wat The Cleaner vindt en weg kan halen... (is dus nog wat anders dan Ccleaner )

[MaikelG]

Als je de adware niet wegkrijgt met bovenstaande suggesties kan het natuurlijk zijn dat er bepaalde 'rootkit'-achtige technieken zijn gebruikt, dan wordt het waarschijnlijk erg lastig idd.

Snowwie schreef op zondag 03 februari 2008 @ 00:19:
[...]

Wat ik ook nog kan overwegen is het terughalen van Windows met Norton Ghost. Een maand geleden heb ik met Norton Ghost een backup gemaakt van geheel Windows. Maar is dit aan te raden? Ik heb dit nog nooit eerder gedaan. Windows herinstalleren is op zich niet zoveel werk, maar al die programma's weer installeren word ik niet goed van...

Petervanakelyen schreef op zondag 03 februari 2008 @ 08:16:
[...]
Ja, een Norton Ghost is handig, maar je moet wel een image maken met een schone configuratie, en die heb je op het moment niet.
[...]

Die heeft hij juist wel en het lijkt me zeker het overwege waard om dat image terug te zetten juist omdat die nog zo 'vers' is, mits je natuurlijk zeker weet dat je deze ad-/spyware toen nog niet had...

Dat Ghost image terugzetten is op zich niet zo moeilijk, en mocht het misgaan kan je altijd nog windows opnieuw installeren
Als je meerdere partities hebt, pas wel op dat je niet je image over de verkeerde partitie heenzet, je zou de eerste niet zijn

.

Mijn 1000e post sinds ik registreerde op GoT, op 16-01-2001

Iemand taart?

[Snowwie]

Lekker taart

Inderdaad ik heb een maand geleden een backup gemaakt van een verse installatie, echter toen ik deze wilde terugzetten vroeg het programma om een recovery disc, welke ik vergeten was te maken. Op het zelfde moment kreeg ik ook weer Dcad popups.....Arghhhh (that does it!), ik ben gewoon fout bezig geweest, en verkeerd gebruik van Limewire was weer de oorzaak. Was op zoek naar een oud spelletje en ik downloade het verkeerde bestand in Limewire. Dat is nu 2x en nooit weer. In elk geval bedankt voor alle tips en suggesties maar voor dit soort spyware moet je zo diep graven dat je het bijna nooit compleet wegkrijgt. Daarom heb ik maar gekozen voor een verse installatie. Uurtje werk en alles stond weer op z'n plek

[ Voor 4% gewijzigd door Snowwie op 03-02-2008 17:28 ]