[Spyware] TFactory

[Brantje]

Ey,
Ik heb sinds vandaag erg veel last van de spyware TFactory.
Heb het al op verschillende manieren proberen te verwijderen.
- AVG anti spy ware
- MCaffee online scanner
- Spyhunter 3

Ik kan helaas niet in de taskmaneger komen, of dit door de spyware komt weer ik niet.
Ik heb ook al een HijackThis logje gemaakt.
Ik zou niet moeten weten hoe ik daar mee moet omgaan.
Het log file is hier te vinden.

En dit soort balloons zie ik regelmatig verschijnen:





Hopelijk kunnen jullie me helpen want dit word namelijk erg vervelend.

[Kixtart]

Die hijackthis logs gooi ik altijd even in www.hijackthis.de en daar dan niet blind staren op de beoordeling, maar ook wat eigen inzicht (die site is wel handig om erbij te gebruiken)

edit:
De VBPDTVDP.EXE en 444.471 files lijken me niet veilig.
Volgens de search op google is de eerste een trojan en de 2e adware.

[ Voor 43% gewijzigd door Kixtart op 03-06-2008 12:24 ]

[Brantje]

Dankje voor de site,
Heb al veel verwijderd op 1 bestand na:
O23 - Service: MsSecurity Updated (MsSecurity1.209.4) - Unknown owner - C:\WINDOWS\444.471.exe (file missing)
Kind
Nasty (2.75 / 5.00)

Deze krijg ik maar niet verwijderd.

[Kixtart]

Doe je dit alles via de veilige modus?

Had je eerder bij de online virusscanners iets kunnen verwijderen? Probeer eens via de veilige modus via http://info.prevx.com/downloadcsi.asp te scannen. Volgens de search herkent deze virusscanner iig de trojan goed. Hoe 444.471 precies verwijderd moet worden kon ik nog niet vinden.

[Brantje]

Ok ik zal nu even naar Veilige modus gaan.
Vorige keer dat ik daar kwam, werd ik ook al plat gebombadeerd.
Erg nasty spul is dit.

[Wish]

hier staat geen procedure om die 444.471 te verwijderen

... Sorry, "oplossing" niet goed gelezen...

[ Voor 59% gewijzigd door Wish op 03-06-2008 12:39 ]

[Kixtart]

SDFix wordt ook een aantal keer aangeraden op verschillende fora om 444.471 te verwijderen:
Zoals: http://forums.majorgeeks.com/showthread.php?p=869653

[Brantje]

Kixtart schreef op dinsdag 03 juni 2008 @ 12:33:
Doe je dit alles via de veilige modus?

Had je eerder bij de online virusscanners iets kunnen verwijderen? Probeer eens via de veilige modus via http://info.prevx.com/downloadcsi.asp te scannen. Volgens de search herkent deze virusscanner iig de trojan goed. Hoe 444.471 precies verwijderd moet worden kon ik nog niet vinden.

Mwah hij herkent hem wel + nog 52 broertjes en zusjes.
Helaas heb ik een complete versie nodig om de familie Adware van me PC te trappen.

[Kixtart]

Bijvoorbeeld AVG heeft wel een echte gratis versie, maar misschien is het wel beter dat je gewoon een herinstall doet als er zoveel virussen/trojans opzitten. De versie van AVG is iig hier te vinden:
http://free.grisoft.com/w...g-anti-virus-free-edition

[Brantje]

SDFix: Version 1.187
Run by Administrator on di 03-06-2008 at 12:56

Microsoft Windows XP [versie 5.1.2600]
Running From: C:\SDFix

Checking Services :

Name :
MsSecurity1.209.4

Path :
C:\WINDOWS\444.471 service

MsSecurity1.209.4 - Deleted


Restoring Windows Registry Values
Restoring Windows Default Hosts File

Rebooting


Checking Files :

Trojan Files Found:

C:\WINDOWS\x.exe - Deleted
C:\WINDOWS\y.exe - Deleted
C:\WINDOWS\accesss.exe - Deleted
C:\WINDOWS\astctl32.ocx - Deleted
C:\WINDOWS\avpcc.dll - Deleted
C:\WINDOWS\clrssn.exe - Deleted
C:\WINDOWS\cpan.dll - Deleted
C:\WINDOWS\ctfmon32.exe - Deleted
C:\WINDOWS\ctrlpan.dll - Deleted
C:\WINDOWS\default.htm - Deleted
C:\WINDOWS\directx32.exe - Deleted
C:\WINDOWS\dnsrelay.dll - Deleted
C:\WINDOWS\editpad.exe - Deleted
C:\WINDOWS\explore.exe - Deleted
C:\WINDOWS\explorer32.exe - Deleted
C:\WINDOWS\funniest.exe - Deleted
C:\WINDOWS\funny.exe - Deleted
C:\WINDOWS\gfmnaaa.dll - Deleted
C:\WINDOWS\helpcvs.exe - Deleted
C:\WINDOWS\iedll.exe - Deleted
C:\WINDOWS\iexplorer.exe - Deleted
C:\WINDOWS\inetinf.exe - Deleted
C:\WINDOWS\internet.exe - Deleted
C:\WINDOWS\loader.exe - Deleted
C:\WINDOWS\megavid.cdt - Deleted
C:\WINDOWS\msconfd.dll - Deleted
C:\WINDOWS\msspi.dll - Deleted
C:\WINDOWS\mssys.exe - Deleted
C:\WINDOWS\msupdate.exe - Deleted
C:\WINDOWS\mswsc10.dll - Deleted
C:\WINDOWS\mswsc20.dll - Deleted
C:\WINDOWS\mtwirl32.dll - Deleted
C:\WINDOWS\muotr.so - Deleted
C:\WINDOWS\notepad32.exe - Deleted
C:\WINDOWS\olehelp.exe - Deleted
C:\WINDOWS\qttasks.exe - Deleted
C:\WINDOWS\quicken.exe - Deleted
C:\WINDOWS\rundll16.exe - Deleted
C:\WINDOWS\rundll32.vbe - Deleted
C:\WINDOWS\searchword.dll - Deleted
C:\WINDOWS\sistem.exe - Deleted
C:\WINDOWS\svchost32.exe - Deleted
C:\WINDOWS\svcinit.exe - Deleted
C:\WINDOWS\systeem.exe - Deleted
C:\WINDOWS\systemcritical.exe - Deleted
C:\WINDOWS\system32\hljwugsf.bin - Deleted
C:\WINDOWS\time.exe - Deleted
C:\WINDOWS\users32.exe - Deleted
C:\WINDOWS\waol.exe - Deleted
C:\WINDOWS\win32e.exe - Deleted
C:\WINDOWS\win64.exe - Deleted
C:\WINDOWS\winajbm.dll - Deleted
C:\WINDOWS\window.exe - Deleted
C:\WINDOWS\winmgnt.exe - Deleted
C:\WINDOWS\xplugin.dll - Deleted
C:\WINDOWS\xxxvideo.hta - Deleted


Removing Temp Files

ADS Check :


Final Check :

catchme 0.3.1361.2 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-06-03 13:08:03
Windows 5.1.2600 Service Pack 2 NTFS

scanning hidden processes ...

scanning hidden services & system hive ...

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg]
"s1"=dword:2df9c43f
"s2"=dword:110480d0
"h0"=dword:00000001

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4]
"p0"="C:\Program Files\DAEMON Tools Lite\"
"h0"=dword:00000000
"khjeh"=hex:2d,f5,ba,ad,67,e0,ef,18,a1,bb,8c,0f,83,0e,b3,c4,f4,55,7c,5f,c7,..

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001]
"a0"=hex:20,01,00,00,43,bd,d1,5f,09,c7,b5,c4,f7,c1,96,1b,35,48,6b,15,e5,..
"khjeh"=hex:1c,40,de,98,ab,5c,38,5f,b6,bc,62,e9,97,4e,22,a7,b5,c9,0e,3f,98,..

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40]
"khjeh"=hex:3d,d7,dd,b7,56,a5,86,d6,d6,4b,cb,dc,29,ed,6f,a6,38,04,7d,1e,f0,..
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4]
"p0"="C:\Program Files\DAEMON Tools Lite\"
"h0"=dword:00000000
"khjeh"=hex:2d,f5,ba,ad,67,e0,ef,18,a1,bb,8c,0f,83,0e,b3,c4,f4,55,7c,5f,c7,..

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001]
"a0"=hex:20,01,00,00,43,bd,d1,5f,09,c7,b5,c4,f7,c1,96,1b,35,48,6b,15,e5,..
"khjeh"=hex:1c,40,de,98,ab,5c,38,5f,b6,bc,62,e9,97,4e,22,a7,b5,c9,0e,3f,98,..

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40]
"khjeh"=hex:3d,d7,dd,b7,56,a5,86,d6,d6,4b,cb,dc,29,ed,6f,a6,38,04,7d,1e,f0,..

scanning hidden registry entries ...

scanning hidden files ...

scan completed successfully
hidden processes: 0
hidden services: 0
hidden files: 0


Remaining Services :


Authorized Application Key Export:

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]
"%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"C:\\Program Files\\Microsoft Office\\Office12\\OUTLOOK.EXE"="C:\\Program Files\\Microsoft Office\\Office12\\OUTLOOK.EXE:*:Enabled:Microsoft Office Outlook"
"C:\\WINDOWS\\system32\\usmt\\migwiz.exe"="C:\\WINDOWS\\system32\\usmt\\migwiz.exe:*:Enabled:Wizard Bestanden en instellingen overzetten"
"C:\\Program Files\\YourHosting\\YourCall\\YourCall.exe"="C:\\Program Files\\YourHosting\\YourCall\\YourCall.exe:*:Enabled:YourCall"
"C:\\Program Files\\Trillian\\trillian.exe"="C:\\Program Files\\Trillian\\trillian.exe:*:Enabled:Trillian"
"C:\\Program Files\\uTorrent\\uTorrent.exe"="C:\\Program Files\\uTorrent\\uTorrent.exe:*:Enabled:æTorrent"
"C:\\Program Files\\Bonjour\\mDNSResponder.exe"="C:\\Program Files\\Bonjour\\mDNSResponder.exe:*:Enabled:Bonjour"
"C:\\Program Files\\Common Files\\Adobe\\Adobe Version Cue CS3\\Server\\bin\\VersionCueCS3.exe"="C:\\Program Files\\Common Files\\Adobe\\Adobe Version Cue CS3\\Server\\bin\\VersionCueCS3.exe:*:Enabled:Adobe Version Cue CS3 Server"
"C:\\Program Files\\Microsoft ActiveSync\\rapimgr.exe"="C:\\Program Files\\Microsoft ActiveSync\\rapimgr.exe:169.254.2.0/255.255.255.0:Enabled:ActiveSync RAPI Manager"
"C:\\Program Files\\Microsoft ActiveSync\\wcescomm.exe"="C:\\Program Files\\Microsoft ActiveSync\\wcescomm.exe:169.254.2.0/255.255.255.0:Enabled:ActiveSync Connection Manager"
"C:\\Program Files\\Microsoft ActiveSync\\WCESMgr.exe"="C:\\Program Files\\Microsoft ActiveSync\\WCESMgr.exe:169.254.2.0/255.255.255.0:Enabled:ActiveSync Application"

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]
"%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"C:\\Program Files\\Microsoft ActiveSync\\rapimgr.exe"="C:\\Program Files\\Microsoft ActiveSync\\rapimgr.exe:169.254.2.0/255.255.255.0:Enabled:ActiveSync RAPI Manager"
"C:\\Program Files\\Microsoft ActiveSync\\wcescomm.exe"="C:\\Program Files\\Microsoft ActiveSync\\wcescomm.exe:169.254.2.0/255.255.255.0:Enabled:ActiveSync Connection Manager"
"C:\\Program Files\\Microsoft ActiveSync\\WCESMgr.exe"="C:\\Program Files\\Microsoft ActiveSync\\WCESMgr.exe:169.254.2.0/255.255.255.0:Enabled:ActiveSync Application"

Remaining Files :


File Backups: - C:\SDFix\backups\backups.zip

Files with Hidden Attributes :

Wed 4 Aug 2004 60,416 A.SH. --- "C:\i386\msimn.exe"
Wed 13 Oct 2004 1,694,208 ..SH. --- "C:\Program Files\Messenger\msmsgs.exe"
Wed 4 Aug 2004 60,416 A.SH. --- "C:\Program Files\Outlook Express\msimn.exe"
Sat 5 Jan 2008 4,378,338 A.SH. --- "C:\Program Files\vixy.net\conv.exe"
Wed 7 May 2008 0 A.SH. --- "C:\Documents and Settings\All Users\DRM\Cache\Indiv01.tmp"
Wed 27 Feb 2008 0 A..H. --- "C:\WINDOWS\SoftwareDistribution\Download\033c49797bae2f9e47ca61a150498390\BIT3.tmp"
Wed 7 May 2008 0 A..H. --- "C:\WINDOWS\SoftwareDistribution\Download\a282fd7b00204b775909f4664bd74484\BIT1B.tmp"
Wed 27 Feb 2008 0 A..H. --- "C:\WINDOWS\SoftwareDistribution\Download\a4549a36281c8d8a29d6fee22024498a\BIT5.tmp"
Wed 27 Feb 2008 0 A..H. --- "C:\WINDOWS\SoftwareDistribution\Download\f949f9c2a7cfb3f12a10953e418fcb2c\BIT4.tmp"
Tue 23 Oct 2007 3,350,528 A..H. --- "C:\Documents and Settings\stage\Application Data\U3\temp\Launchpad Removal.exe"

Finished!

Ff tool gedraaid ik lijk er geen last meer van te hebben.

[Petervanakelyen]

Nee, dat is logisch, hij heeft een hele boel spullen verwijderd...
Maar ik zou toch een herinstallatie doen, dan ben je tenminste zeker dat je geen extra zooi er nog op hebt staan...

[TaraWij]

Blijkbaar ben je ook met CoolWebSearch geinfecteerd geweest, probeer eens te kijken of je het met deze tool kan oplossen: (Alleen sleutels verwijderen is niet voldoende denk ik)
http://www.intermute.com/products/cwshredder.html

Verder raad ik je aan Service Pack 3, Internet Explorer 7 en een Firewall te installeren...

Post eens een nieuw logje wanneer je hiermee klaar bent.

[ Voor 9% gewijzigd door TaraWij op 07-06-2008 00:11 ]