Op verschillende PC's top-antispyware-scan9.com ?

[nico_van_wijk]

Lijkt erop dat ik spyware te pakken heb. Het vreemde is dat ik het op diverse machines heb die fysiek niets met elkaar te maken heb. Ik krijg soms in mijn browser de site: top-antispyware-scan9.com
te zien wanneer ik mijn webmail wil openen. Er wordt dan verzocht om een programma te downloaden om spyware te verwijderen.

Vreemde is dat het niet vaak is maar heel soms. Heb op internet gezocht en kan alleen maar oplossingen vinden die het daadwerkelijke fake anti-spyware programma er af halen. Maar dit programma heb ik dus nog niet geinstalleerd.

Ik ben dus op zoek naar de oplossing om de webpagina niet meer te tonen. Hoe is dit mogelijk, waar moet ik zoeken in mijn windows???

[maarud]

hijackthis gebruiken? en hosts checken idd.

[ Voor 34% gewijzigd door maarud op 19-10-2009 11:13 ]

[DiedX]

hosts-file aanpassen?

[andreict]

kijk eens in je host file, waarschijnlijk is die vervuild.

Verder is malware bytes een top programma om de rotzooi van je pc te laten verwijderen.

[RedHat]

Lijkt wel of het vanuit je router of vanuit je webmailprovider zelf mis gaat. Als het op meerdere fysieke systemen mis gaat die niets met elkaar te maken hebben.

Ga eens naar een vriend/kennis en kijk of je het ook hebt

[Vanx]

Ik kan je in eerste instantie dit aanraden: http://www.malwarebytes.org/mbam.php

Gratis scannen+laten fixen.

[nico_van_wijk]

DiedX schreef op maandag 19 oktober 2009 @ 10:22:
hosts-file aanpassen?

Had inderdaad al in mijn host file gekeken, maar zag daar niets in staan. Vreemd he? Zou het inderdaad ook fout kunnen gaan bij mijn hosting provider. Ik had een aantal weken ook al contact met ze opgenomen, maar zij verwezen me gelijk door naar een site over spy-ware.

Maar ik heb eingelijk ook het idee dat het niet bij mij zelf zit...

[F_J_K]

offtopic:
Ik haal even een half dozijn ??????????????? uit de topictitel. Een vraagteken is genoeg om aan te duiden dat het een vraag is. Dan kan de rest van de ruimte worden gebrjuikt om de titel meer te laten zijn dan 'top-antispyware-scan9.com'

Ho even. Je zegt dat de machines fysiek niets met elkaar te maken hebben maar ze zitten in jouw lan, via dezelfde provider en ze worden beheerd door dezelfde persoon (waarschijnlijk met dezelfde beveiligingsinstellingen etc). Ze zijn dus wel ergt aan elkaar gerelateerd.

Wat heb je nu precies al gedaan: wat zijn de resultaten van de bekende malware-opspoor-tools; en welke verdachte processen zijn er actief / hoe ziet bijv een HJT-log er uit? <== zonder info is effectief meehelpen onmogelijk

[nico_van_wijk]

F_J_K schreef op maandag 19 oktober 2009 @ 14:13:

offtopic:
Ik haal even een half dozijn ??????????????? uit de topictitel. Een vraagteken is genoeg om aan te duiden dat het een vraag is. Dan kan de rest van de ruimte worden gebrjuikt om de titel meer te laten zijn dan 'top-antispyware-scan9.com'

Ho even. Je zegt dat de machines fysiek niets met elkaar te maken hebben maar ze zitten in jouw lan, via dezelfde provider en ze worden beheerd door dezelfde persoon (waarschijnlijk met dezelfde beveiligingsinstellingen etc). Ze zijn dus wel ergt aan elkaar gerelateerd.

Wat heb je nu precies al gedaan: wat zijn de resultaten van de bekende malware-opspoor-tools; en welke verdachte processen zijn er actief / hoe ziet bijv een HJT-log er uit? <== zonder info is effectief meehelpen onmogelijk

Ik heb het op verschillende computers gehad die niet in het zelfde lan zitten. Dus thuis prive, op het werk en bij de hobby vereniging. Ik heb nog niets gedaan met anti-spyware programma's omdat ik volgens mij nog geen spyware heb, ik heb tenslotte dat programma nog niet geinstalleerd wat ze aanraden. Misschien is mijn eerste zin dus niet helemaal correct. Ik heb zelf het idee dat het bij mijn webmail provider niet helemaal lekker gaat en dat ik soms naar dit adres wordt doorgestuurd. Maar misschien heb ik het mis...

[F_J_K]

Ah

Als het idd alleen bij je webmail gebeurd zou dat best kunnen, dan begreep ik je niet helemaal goed. Kan je de link van de webmail geven? (Natuurlijk zonder inloggegevens etc). <== of is het pas na inloggen, kan je dan evt geanonomiseerde html- en javascriptcode laten zien?

[Verwijderd]

Ziet er naar uit dat het een simpele advertentie is. Kaapt heel je browser scherm en je kan er alleen vanaf als je erop klikt.

Welke webmail gebruik je?
Heb je de pagina al geladen met javascript uitgeschakeld?

Ik ken genoeg voorbeelden van dit soort advertenties, vaak zie je ook in je adresbalk dat dit soort advertenties eraan komen.

[nico_van_wijk]

Verwijderd schreef op maandag 19 oktober 2009 @ 14:51:
Ziet er naar uit dat het een simpele advertentie is. Kaapt heel je browser scherm en je kan er alleen vanaf als je erop klikt.

Welke webmail gebruik je?
Heb je de pagina al geladen met javascript uitgeschakeld?

Ik ken genoeg voorbeelden van dit soort advertenties, vaak zie je ook in je adresbalk dat dit soort advertenties eraan komen.

Ik gebruik de webmail van 10euroHost genaamd Horde. Ik begin nu even te twijfelen wanneer ik de melding krijg, of het nu voor of na het inloggen is. Het is te zien in de hele browser.

Ik hou het even in de gaten zodra ik het weer heb meld ik me weer met wat meer info.

[alt-92]

nico_van_wijk schreef op maandag 19 oktober 2009 @ 15:16:
[...]
Ik gebruik de webmail van 10euroHost genaamd Horde.

Dan is waarschijnlijk je hoster compromised.

[nico_van_wijk]

alt-92 schreef op maandag 19 oktober 2009 @ 20:28:
[...]

Dan is waarschijnlijk je hoster compromised.

Wat kan er bij mijn hoster fout gaan. Ik heb al gecontrolleerd met NSlookup of er toevallig een 2e dns actief is, maar dit is niet het geval.

[nico_van_wijk]

F_J_K schreef op maandag 19 oktober 2009 @ 14:50:
Ah

Als het idd alleen bij je webmail gebeurd zou dat best kunnen, dan begreep ik je niet helemaal goed. Kan je de link van de webmail geven? (Natuurlijk zonder inloggegevens etc). <== of is het pas na inloggen, kan je dan evt geanonomiseerde html- en javascriptcode laten zien?

Heb het gisteren weer gezien, het gebeurd voordat ik inlog.

[F_J_K]

nico_van_wijk schreef op dinsdag 20 oktober 2009 @ 11:17:
Wat kan er bij mijn hoster fout gaan. Ik heb al gecontrolleerd met NSlookup of er toevallig een 2e dns actief is, maar dit is niet het geval.

De server zelf kan geinfecteerd zijn, zonder dat jij daar wat mee kunt. Vraag de hoster er eens naar te kijken. Liefst met een logje van het dataverkeer erbij.

[nico_van_wijk]

Het lag inderdaad bij de provider zelf. Alles is nu opgelost.