Hijackthis Log. Heb maar 24 uur!

[inositol]

Help!

Ik heb een internetverbinding via Telfort, en ik kreeg de volgende mail (te lang stuk , maar vet gedrukte delen zijn belangrijk):

Geachte heer/mevrouw,

LET OP : Deze e-mail bevat belangrijke informatie over een beveiligingsprobleem wat op uw Internetverbinding is aangetroffen. Leest u deze e-mail alstublieft aandachtig door.

Het Telfort Abuseteam heeft klachten ontvangen over een beveiligingsprobleem wat zich voordoet op uw computer/internetverbinding. Het betreft hier een vrij ernstig beveiligingsprobleem welke op grote schaal gebruikt wordt om grote hoeveelheden ongewenste e-mail (spam) te verzenden. Een enorm bijkomend nadeel voor u is dat deze 'misbruikers' ook in staat zullen zijn uw computer geheel binnen te dringen, en ook hetgeen wat u op uw computer doet kunnen volgen.

- Oorzaak van het probleem

De oorzaak van dit probleem is in praktisch alle gevallen een bot welke zich genesteld heeft in het besturingssysteem van uw computer. Deze bot is een proces welke op de achtergrond van uw systeem draait, welke van tijd tot tijd grote hoeveelheden spam-email zal verzenden, zonder dat u daar als gebruiker zijnde iets van merkt. Een dergelijke bot komt op het systeem door menselijke interactie. Veel voorkomende oorzaken van de laatste tijd zijn virussen welke zich via populaire messengerprogramma's zoals msn messenger, Windows Live messenger, AOL etc. verspreiden, of het gebruik van gedownloade software via peer2peer (limewire, bearshare etc), torrentnetwerken of usenet. Wij gaan er natuurlijk vanuit dat er geen sprake is van opzet aan uw kant, maar het is uiteraard wel zaak om verdere overlast voor andere internetgebruikers te voorkomen.

- Oplossing van het probleem

Doordat dit probleem geen virus is maar een totaal ander (schadelijker) beveiligingsprobleem, is het probleem helaas niet te verwijderen door een virusscanner. Wij raden u aan in dit geval de harde schijf van uw computer te formatteren om er zodoende zeker van te zijn dat dit probleem opgelost is. Uiteraard is het ons bekend dat dit een vrij ingrijpende stap is, maar helaas de enige manier om absolute zekerheid te hebben in het verwijderen van dit probleem.

Zodra uw harde schijf geformatteerd is, is het uiteraard wel aan te raden uw computer uit te rusten met antivirussoftware en software tegen antispyware. Tevens is het altijd erg aan te raden om er voor te zorgen dat uw Windowsinstallatie volledig up to date is, met de Windowsupdate-functie. Voorbeelden van beveiligingssoftware vindt u onderaan dit mailbericht.

Mocht het modem welke u gebruikt op uw verbinding een Zyxel2602 of Zyxel D1A zijn, dan kunt u de firewall van de router dusdanig instellen, zodat uitgaand emailverkeer enkel nog via smtp.telfort.nl verzonden kan worden. Hiermee voorkomt u dat er spam via uw computer verzonden wordt, doordat de router dit blokkeert. Dit profiel kunt u downloaden op http://home.telfort.nl/abuse/ZyxeL/diy/diy.htm . Meer informatie vindt u op deze website. Let op dat deze methode enkel is bedoeld om de computer in kwestie te kunnen opsporen, en dat dit geen oplossing is van het probleem. Telfort kan niet zien welke computer in uw netwerk de spam verstuurt, wij kunnen slechts vaststellen dat er spam verzonden wordt vanaf uw aansluiting.

- Vervolg na de oplossing van het probleem

Zodra u alle stappen gezet heeft om het probleem op te lossen is het helaas niet mogelijk voor ons om te kunnen testen of het probleem dan ook daadwerkelijk opgelost is. Het geconstateerde beveiligingsprobleem is een proces op uw computer welke niet altijd actief hoeft te zijn op het moment dat u uw pc aan heeft staan. Telfort baseert incidenten op basis van klachten en daarbij behorende logbestanden om te kunnen vast stellen of dergelijk misbruik op een datum in het verleden daadwerkelijk heeft plaatsgevonden.

Indien u geen gehoor geeft aan dit bericht bestaat de kans dat wij opnieuw klachten zullen ontvangen. Indien wij 48 uur na verzending nog klachten binnen krijgen over dit probleem zal dit ook voor Telfort als provider zijnde gevolgen gaan hebben, en zijn wij helaas genoodzaakt uw internetverbinding tijdelijk te blokkeren tot het probleem is opgelost. U zult hier niet verder vooraf over bericht worden.

- Extra tips en oplossingen

Zoals gezegd is het formatteren de veiligste optie om het probleem op te lossen. Indien u gebruik maakt van Windows XP is het verstandig om hierna met een gebruikersaccount te werken met beperkte rechten. Standaard doet Windows XP dit niet, terwijl deze maatregel een erg groot aantal beveiligingsproblemen voorkomt. Zie voor meer informatie de pagina van Microsoft hierover waarom dit belangrijk is: http://www.microsoft.com/..._trucs_windowsxp_8.aspx#5

Ook surfen en e-mailen via alternatieve oplossingen draagt bij aan de veiligheid. Doordat Internet Explorer en Outlook (express) vaak slachtoffer zijn van veiligheidslekken, is een alternatieve oplossing wenselijk. Op http://www.mozilla.com/en-US/ kunt u Firefox en Thunderbird downloaden in de Nederlandse taal. Beide programma's zijn in staat favorieten en adressen over te nemen.

- Voorbeelden van beveiligingssoftware

Enkele voorbeelden van beveiligingssoftware zijn de pakketten van Symantec ( http://www.symantec.com/nl/nl/index.jsp ) en McAfee ( http://www.mcafee.com/nl/ ). Ook Telfort biedt haar klanten de mogelijkheid gebruik te maken van Pc-beveiliging Totaal. Zie hiervoor http://internet.telfort.n...pc-beveiligingtotaal.html .

Mocht u na het lezen van dit e-mailbericht nog verdere vragen hebben, of extra informatie willen hebben in de vorm van e-mailheaders, dan kunt u dit per kerende mail kenbaar maken. Ook als u acties heeft ondernomen om dit probleem op te lossen, vernemen wij dit graag van u.

Mijn internet verbinding is vanmorgen stopgezet, maar na mail via mijn werk heb ik geregeld dat ik weer online ben:

Geachte abonnee,

Op dit moment hebben wij uw verbinding weer geactiveerd. Graag wijzen wij u erop dat u dit probleem wel binnen 24 uur vanaf nu op dient te lossen, anders zal er wederom een blokkade plaatsvinden. Wij raden u met name aan om de modeminstellingen zoals vernoemd in de waarschuwing toe te passen, en uiteindelijk tevens het formatteren van uw harde schijf om er zeker van te zijn dat het probleem echt weg is.

Ik heb nu dus 24 uur op dit probleem op te lossen. Ik heb dat modem gebeuren ingesteld, dus dat ik al het uitgaand emailverkeer enkel nog via smtp.telfort.nl verzonden kan worden.

Ik hang thuis (wireless) met twee laptops aan de internet verbinding en formateren is geen optie!
Ik heb een vermoeden dat mijn Acer laptop de boosdoener is, want daarop geeft AVG steeds trojan meldings, welke ik ook niet kan verwijderen of healen. Dus ik heb even een hijackthis log gemaakt, please help mij
En svp in jip-en-janneke taal uitleggen. Mijn dank is groot!!

---
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 18:43:43, on 4-11-2009
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\LEXPPS.EXE
C:\Acer\eManager\anbmServ.exe
C:\Program Files\Common Files\Autodesk Shared\Service\AdskScSrv.exe
C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe
C:\Program Files\Bonjour\mDNSResponder.exe
C:\Program Files\Hotspot Shield\bin\openvpnas.exe
C:\Program Files\Hotspot Shield\HssWPR\hsssrv.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe
D:\Program Files\Autodesk\3ds Max 9\mentalray\satellite\raysat_3dsmax9_32server.exe
C:\Program Files\Autodesk\VIZ2008\mentalray\satellite\raysat_VIZ2008_32server.exe
D:\Program Files\MozyHome\mozybackup.exe
C:\PROGRA~1\AVG\AVG8\avgrsx.exe
C:\PROGRA~1\AVG\AVG8\avgnsx.exe
C:\WINDOWS\system32\PnkBstrA.exe
C:\WINDOWS\system32\PnkBstrB.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\UAService7.exe
C:\WINDOWS\Explorer.exe
C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\system32\rundll32.exe
C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\acer\epm\epm-dm.exe
C:\Program Files\Launch Manager\QtZgAcer.EXE
C:\WINDOWS\system32\gsicon.exe
C:\WINDOWS\system32\dslagent.exe
C:\WINDOWS\system32\carpserv.exe
C:\Program Files\VIAudioi\SBADeck\ADeck.exe
C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe
C:\PROGRA~1\AVG\AVG8\avgtray.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\Program Files\QuickTime\qttask.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\restorer32_a.exe
C:\WINDOWS\System32\svchost.exe
C:\Documents and Settings\002.ACER-A330E728DB\Local Settings\Application Data\Google\Update\GoogleUpdate.exe
C:\Documents and Settings\002.ACER-A330E728DB\restorer32_a.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe
C:\Program Files\AVG\AVG8\avgcsrvx.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://search.orbitdownloader.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
R3 - URLSearchHook: Hotspot Shield Toolbar - {c95a4e8e-816d-4655-8c79-d736da1adb6d} - C:\Program Files\Hotspot_Shield\tbHot1.dll
F2 - REG:system.ini: Shell=Explorer.exe rundll32.exe pqrs.tmo printer
O2 - BHO: btorbit.com - {000123B4-9B42-4900-B3F7-F4B073EFC214} - C:\Program Files\Orbitdownloader\orbitcth.dll
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\Program Files\Real\RealPlayer\rpbrowserrecordplugin.dll
O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - C:\Program Files\AVG\AVG8\avgssie.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\Program Files\Microsoft Office\Office12\GrooveShellExtensions.dll
O2 - BHO: Windows Live Aanmelden - Help - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\5.1.1309.3572\swg.dll
O2 - BHO: PDFCreator Toolbar Helper - {C451C08A-EC37-45DF-AAAD-18B51AB5E837} - C:\Program Files\PDFCreator Toolbar\v3.0.0.0\PDFCreator_Toolbar.dll
O2 - BHO: Hotspot Shield Toolbar - {c95a4e8e-816d-4655-8c79-d736da1adb6d} - C:\Program Files\Hotspot_Shield\tbHot1.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Program Files\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O2 - BHO: Hotspot Shield Class - {F9E4A054-E9B1-4BC3-83A3-76A1AE736170} - C:\Program Files\Hotspot Shield\hssie\HssIE.dll
O3 - Toolbar: PDFCreator Toolbar - {31CF9EBE-5755-4A1D-AC25-2834D952D9B4} - C:\Program Files\PDFCreator Toolbar\v3.0.0.0\PDFCreator_Toolbar.dll
O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Program Files\Canon\Easy-WebPrint\Toolband.dll
O3 - Toolbar: Hotspot Shield Toolbar - {c95a4e8e-816d-4655-8c79-d736da1adb6d} - C:\Program Files\Hotspot_Shield\tbHot1.dll
O3 - Toolbar: Grab Pro - {C55BBCD6-41AD-48AD-9953-3609C48EACC7} - C:\Program Files\Orbitdownloader\GrabPro.dll
O4 - HKLM\..\Run: [SynTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [EPM-DM] c:\acer\epm\epm-dm.exe
O4 - HKLM\..\Run: [ePowerManagement] C:\Acer\ePM\ePM.exe boot
O4 - HKLM\..\Run: [LManager] C:\Program Files\Launch Manager\QtZgAcer.EXE
O4 - HKLM\..\Run: [GSICONEXE] gsicon.exe
O4 - HKLM\..\Run: [DSLAGENTEXE] dslagent.exe USB
O4 - HKLM\..\Run: [CARPService] carpserv.exe
O4 - HKLM\..\Run: [AudioDeck] C:\Program Files\VIAudioi\SBADeck\ADeck.exe 1
O4 - HKLM\..\Run: [mnu] C:\Program Files\Orange\GLOBAL\Mnu\igomnu.exe /S:T
O4 - HKLM\..\Run: [LaunchApp] Alaunch
O4 - HKLM\..\Run: [GrooveMonitor] "C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe"
O4 - HKLM\..\Run: [CloneCDTray] "C:\Program Files\SlySoft\CloneCD\CloneCDTray.exe" /s
O4 - HKLM\..\Run: [AVG8_TRAY] C:\PROGRA~1\AVG\AVG8\avgtray.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [Malwarebytes Anti-Malware (reboot)] "C:\Program Files\Malwarebytes' Anti-Malware\mbam.exe" /runcleanupscript
O4 - HKLM\..\Run: [restorer32_a] C:\WINDOWS\system32\restorer32_a.exe
O4 - HKLM\..\Run: [sysgif32] C:\WINDOWS\Temp\wpv861255703227.exe
O4 - HKLM\..\Run: [Regedit32] C:\WINDOWS\system32\regedit.exe
O4 - HKLM\..\Run: [RegistryMonitor1] C:\WINDOWS\system32\qtplugin.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [mnu] C:\Program Files\Orange\GLOBAL\Mnu\igomnu.exe /S:T
O4 - HKCU\..\Run: [restorer32_a] C:\Documents and Settings\002.ACER-A330E728DB\restorer32_a.exe
O4 - HKCU\..\Run: [RegistryMonitor1] "C:\DOCUME~1\002~1.ACE\LOCALS~1\Temp\8.tmp"
O4 - HKCU\..\Run: [Google Update] "C:\Documents and Settings\002.ACER-A330E728DB\Local Settings\Application Data\Google\Update\GoogleUpdate.exe" /c
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Lokale service')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Netwerkservice')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: zavupd32.exe
O8 - Extra context menu item: &Download by Orbit - res://C:\Program Files\Orbitdownloader\orbitmxt.dll/201
O8 - Extra context menu item: &Grab video by Orbit - res://C:\Program Files\Orbitdownloader\orbitmxt.dll/204
O8 - Extra context menu item: Add to AD Black List - C:\Program Files\Avant Browser\AddToADBlackList.htm
O8 - Extra context menu item: Add to AMV Convert Tool... - C:\Program Files\MP3 Player Utilities 4.00\AMVConverter\grab.html
O8 - Extra context menu item: Add to Google Photos Screensa&ver - res://C:\WINDOWS\system32\GPhotos.scr/200
O8 - Extra context menu item: Alle links in deze pagina openen... - C:\Program Files\Avant Browser\OpenAllLinks.htm
O8 - Extra context menu item: Block All Images from the Same Server - C:\Program Files\Avant Browser\AddAllToADBlackList.htm
O8 - Extra context menu item: Blokkeer alle plaatjes afkomstig van dezelfde server - C:\Program Files\Avant Browser\AddAllToADBlackList.htm
O8 - Extra context menu item: Do&wnload selected by Orbit - res://C:\Program Files\Orbitdownloader\orbitmxt.dll/203
O8 - Extra context menu item: Down&load all by Orbit - res://C:\Program Files\Orbitdownloader\orbitmxt.dll/202
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~3\Office12\EXCEL.EXE/3000
O8 - Extra context menu item: Easy-WebPrint Add To Print List - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_AddToList.html
O8 - Extra context menu item: Easy-WebPrint High Speed Print - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_HSPrint.html
O8 - Extra context menu item: Easy-WebPrint Preview - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_Preview.html
O8 - Extra context menu item: Easy-WebPrint Print - res://C:\Program Files\Canon\Easy-WebPrint\Resource.dll/RC_Print.html
O8 - Extra context menu item: Highlight - C:\Program Files\Avant Browser\Highlight.htm
O8 - Extra context menu item: Markeren - C:\Program Files\Avant Browser\Highlight.htm
O8 - Extra context menu item: MediaManager tool grab multimedia file - C:\Program Files\MP3 Player Utilities 4.00\MediaManager\grab.html
O8 - Extra context menu item: Open All Links in This Page... - C:\Program Files\Avant Browser\OpenAllLinks.htm
O8 - Extra context menu item: Open In New Avant Browser - C:\Program Files\Avant Browser\OpenInNewBrowser.htm
O8 - Extra context menu item: Open In Nieuwe Avant Browser - C:\Program Files\Avant Browser\OpenInNewBrowser.htm
O8 - Extra context menu item: Search - C:\Program Files\Avant Browser\Search.htm
O8 - Extra context menu item: Toevoegen aan Reclame Black List - C:\Program Files\Avant Browser\AddToADBlackList.htm
O8 - Extra context menu item: Zoeken - C:\Program Files\Avant Browser\Search.htm
O9 - Extra button: Verzenden naar OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~3\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: Verz&enden naar OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~3\Office12\ONBttnIE.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\Office12\REFIEBAR.DLL
O9 - Extra button: eBay - Homepage - {EF79EAC5-3452-4E02-B8BD-BA4C89F1AC7A} - C:\Program Files\IrfanView\Ebay\Ebay.htm
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=about:blank
O16 - DPF: {02AA9E0F-B4EB-4BE9-A769-FD09543FEEC2} (UniInstaller Class) - http://www.sesliturk.com/sesli/voice-installer.cab
O16 - DPF: {11260943-421B-11D0-8EAC-0000C07D88CF} (iPIX ActiveX Control) - http://www.ipix.com/download/ipixx.cab
O16 - DPF: {20A60F0D-9AFA-4515-A0FD-83BD84642501} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab56986.cab
O16 - DPF: {27527D31-447B-11D5-A46E-0001023B4289} (CoGSManager Class) - http://gamingzone.ubisoft.com/dev/packages/GSManager.cab
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://spaces.msn.com//PhotoUpload/MsnPUpld.cab
O16 - DPF: {56762DEC-6B0D-4AB4-A8AD-989993B5D08B} (OnlineScanner Control) - http://www.eset.eu/buxus/docs/OnlineScanner.cab
O16 - DPF: {58EF1388-AF07-4D13-A069-D107671B8819} - http://www.gamegarden.net/game/ggsecure.cab
O16 - DPF: {67DABFBF-D0AB-41FA-9C46-CC0F21721616} (DivXBrowserPlugin Object) - http://go.divx.com/plugin/DivXBrowserPlugin.cab
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microso...eb_site.cab?1190106362054
O16 - DPF: {745395C8-D0E1-4227-8586-624CA9A10A8D} (AxisMediaControl Class) - http://82.151.35.244:1024//activex/AMC.cab
O16 - DPF: {78ABDC59-D8E7-44D3-9A76-9A0918C52B4A} (DLoader Class) - http://dl.uc.sina.com/cab/downloader.cab
O16 - DPF: {78AF2F24-A9C3-11D3-BF8C-0060B0FCC122} (AcDcToday Control) - file://C:\Program Files\AutoCAD 2002\AcDcToday.ocx
O16 - DPF: {B2BE75F3-9197-11CF-ABF4-08000996E931} (Autodesk WHIP! Control) - ftp://ftp.autodesk.com/pub/whip/english/whip.cab
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/...sengerSetupDownloader.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn...tatsPAClient.cab56907.cab
O16 - DPF: {C5E28B9D-0A68-4B50-94E9-E8F6B4697516} (NsvPlayX Control) - http://www.yayindayiz.biz/codec/nsvplayx_vp6_mp3.cab
O16 - DPF: {D83C1BD1-DCBB-11D4-9425-0050BF33FA6E} (CycloScopeLite Control) - http://www.cyclomedia.nl/...onents/CycloScopeLite.cab
O16 - DPF: {E55FD215-A32E-43FE-A777-A7E8F165F551} (Flatcast Viewer 4.15) - http://www.flatcast.com/de/download/NpFv415.dll
O16 - DPF: {F281A59C-7B65-11D3-8617-0010830243BD} (AcPreview Control) - file://C:\Program Files\AutoCAD 2002\AcPreview.ocx
O16 - DPF: {FE0BD779-44EE-4A4B-AA2E-743C63F2E5E6} (IWinAmpActiveX Class) - http://pdl.stream.aol.com/downloads/aol/unagi/ampx_en_dl.cab
O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\Program Files\Microsoft Office\Office12\GrooveSystemServices.dll
O18 - Protocol: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - C:\Program Files\AVG\AVG8\avgpp.dll
O20 - Winlogon Notify: avgrsstarter - C:\WINDOWS\SYSTEM32\avgrsstx.dll
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Notebook Manager Service (anbmService) - OSA Technologies Inc. - C:\Acer\eManager\anbmServ.exe
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: Autodesk Licensing Service - Autodesk - C:\Program Files\Common Files\Autodesk Shared\Service\AdskScSrv.exe
O23 - Service: Avant Service (AvantService) - Unknown owner - C:\Program Files\Avant Browser\asvc.exe (file missing)
O23 - Service: AVG Free8 WatchDog (avg8wd) - AVG Technologies CZ, s.r.o. - C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe
O23 - Service: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762## (Bonjour Service) - Apple Computer, Inc. - C:\Program Files\Bonjour\mDNSResponder.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: Google Software Updater (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Hotspot Shield Service (HotspotShieldService) - Unknown owner - C:\Program Files\Hotspot Shield\bin\openvpnas.exe
O23 - Service: Hotspot Shield Helper Service (HssSrv) - AnchorFree Inc. - C:\Program Files\Hotspot Shield\HssWPR\hsssrv.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: iPodService - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE
O23 - Service: License Management Service ESD - Unknown owner - C:\Program Files\Common Files\element5 Shared\Service\Licence Manager ESD.exe
O23 - Service: mental ray 3.5 Satellite (32-bit) (mi-raysat_3dsmax9_32) - Unknown owner - D:\Program Files\Autodesk\3ds Max 9\mentalray\satellite\raysat_3dsmax9_32server.exe
O23 - Service: mental ray 3.5 Satellite for Autodesk VIZ 2008 (mi-raysat_VIZ2008_32) - Unknown owner - C:\Program Files\Autodesk\VIZ2008\mentalray\satellite\raysat_VIZ2008_32server.exe
O23 - Service: MozyHome Backup Service (mozybackup) - Mozy, Inc. - D:\Program Files\MozyHome\mozybackup.exe
O23 - Service: nProtect GameGuard Service (npggsvc) - Unknown owner - C:\WINDOWS\system32\GameMon.des.exe (file missing)
O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe
O23 - Service: PnkBstrB - Unknown owner - C:\WINDOWS\system32\PnkBstrB.exe
O23 - Service: PC Tools Auxiliary Service (sdAuxService) - PC Tools - C:\Program Files\Spyware Doctor\pctsAuxs.exe
O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - C:\Program Files\Spyware Doctor\pctsSvc.exe
O23 - Service: SecuROM User Access Service (V7) (UserAccess7) - Unknown owner - C:\WINDOWS\system32\UAService7.exe

--
End of file - 17975 bytes

[Atlas]

Waarom is formatteren geen optie?

[MadMarky]

Wat sowieso een goed begin zou zijn is je verouderde AVG 8 vervangen door AVG 9.
Op het moment dat je je hijackthis log maakt is het ook wel handig om zo min mogelijk processen te hebben draaien, dus de volgende keer mogen autodesk en firefox ook uit.

[Onbekend]

Stap 1 is natuurlijk je verkeer filteren. Zet die Windows firewall maar op alles blokkeren en kijk eens of er nog data wordt verzonden.
Heb je een draadloos netwerk?
Heb je een router met standaard wachtwoord erop?
Heb je meer computers aan je verbinding hangen?

[Brilsmurfffje]

Dit soort complexe bots kan je niet even verwijderen, ik zou zeggen format C en dan opnieuw instaleren. En daarna geen software exe van je oude pc op je nieuwe instalatie uitvoeren. Ook zou ik proberen om de router helemaal dicht te gooien.

probeer ook avast!
http://www.avast.com/eng/download-avast-home.html

is ook gratis

Gooi ook hotspotshield eraf, daar heb ik ook problemen mee gehad.
Foute software, zeer gevoelig voor hackers

[ Voor 29% gewijzigd door Brilsmurfffje op 04-11-2009 20:51 . Reden: virus scanner toegevoegd ]

[Trouble]

Atlas schreef op woensdag 04 november 2009 @ 20:43:
Waarom is formatteren geen optie?

Dat vraag ik mij ook af? Zet al je belangrijke bestanden op een externe harde schijf en ga formatteren Als het zo snel moet lijkt me dat de enige optie.

[My-life]

MadMarky schreef op woensdag 04 november 2009 @ 20:45:
Wat sowieso een goed begin zou zijn is je verouderde AVG 8 vervangen door AVG 9.
Op het moment dat je je hijackthis log maakt is het ook wel handig om zo min mogelijk processen te hebben draaien, dus de volgende keer mogen autodesk en firefox ook uit.

offtopic:
Verouderde AVG8? Hoe lang is 9 al uit, 3 weken?

[Pim.]

Je moet je nu echt gaan afvragen of je de moeite van het herinstalleren niet wil doen. De volgende keer dat je provider je afsluit zullen ze waarschijnlijk niet zo makkelijk zijn met het aansluiten.

Als je de tijd niet hebt om opnieuw in te spoelen zou ik de laptops niet meer aan het net hangen en wachten dat je w'el tijd hebt

Ik denk niet dat je hier de magische silver bullet gaat vinden anders als opnieuw inspoelen

[inositol]

Wat een snelle reacties, thanks allen

@Atlas en Trouble, formatteren is geen optie omdat ik geen windows XP installatie cd heb. Het was namelijk al voorgeïnstalleerd, en ik heb nooit een 'herinstalleer cd' of hoe het ook mag heten gemaakt. Kan dat nu ook worden gemaakt?

@MadMarky, de laptop is al een aantal jaren oud. AVG 8 draait er al moeilijk op, dus AVG 9 zou het veel trager maken Maar AVG8 is up to date, is dat niet voldoende? Ja, Firefox had ik open maar autodesk (autocad oid) niet.

@Onbekend, ik heb een wireless Internet verbinding met een eigen ingestelde wachtwoord. Alleen twee laptops hangen er aan, beide vaak wireless, soms met een kabeltje (als wireless niet goed mee wil werken).

@brilsmurfffje, thanks voor de tips!

heb ik iedereen gehad

[Verwijderd]

Heb je de desbetreffende laptop ook al eens gescanned met andere avs? En als blijkt dat er inderdaad veel troep aanwezig is, wil je dan nog steeds niet herinstalleren? Lijkt me toch het verstandigst, kan sowieso geen kwaad om dit eens in de zoveel tijd te doen.
Je hebt wel gewoon een legale licentiecode? Want dan zou je kunnen overwegen een xp iso te downloaden en die te gebruiken icm je licentiecode.

[ Voor 21% gewijzigd door Verwijderd op 04-11-2009 21:08 ]

[driedees]

Zoals al verschillende keren geopperd: backuppen, formatteren en opnieuw beginnen is de enige manier om zekerheid te hebben.

Soms vragen mensen om me te helpen met hun pc, als ie "raar doet". Meestal begin ik dan met de McAfee Stinger, een standalone programmatje dat scant op de 45 meest recente virussen, trojans en hardnekkige malware. Wel in veilige modus uitvoeren. Het is zeker geen permanente oplossing, maar wel een manier om te beginnen. Meestal komt het er toch op neer dat het systeem echt te vernaggeld is en opnieuw beginnen veiliger, sneller en het meest efficiënt is.

[Hooglander1]

Kan je niet van iemand anders een cd/dvd lenen. Je kan dan gewoon je eigen code gebruiken. Misschien eens vragen bij buren bijvoorbeeld?

[Atlas]

inositol schreef op woensdag 04 november 2009 @ 21:05:
Wat een snelle reacties, thanks allen

@Atlas en Trouble, formatteren is geen optie omdat ik geen windows XP installatie cd heb. Het was namelijk al voorgeïnstalleerd, en ik heb nooit een 'herinstalleer cd' of hoe het ook mag heten gemaakt. Kan dat nu ook worden gemaakt?

Is het een Acer: zo ja: Start => run => Erecovery
Alleen geen idee of hij al die virussen ook meeneemt dan, maar dat lijkt me niet.

[inositol]

is het aan de hand van die hijack log niet te redden?

als ik jullie reacties zo lees, dan wordt het toch formatteren??

/edit

ja, het is een acer. Zal dat even proberen

[ Voor 18% gewijzigd door inositol op 04-11-2009 21:12 ]

[Trouble]

inositol schreef op woensdag 04 november 2009 @ 21:05:
Wat een snelle reacties, thanks allen

@Atlas en Trouble, formatteren is geen optie omdat ik geen windows XP installatie cd heb. Het was namelijk al voorgeïnstalleerd, en ik heb nooit een 'herinstalleer cd' of hoe het ook mag heten gemaakt. Kan dat nu ook worden gemaakt?

Er is vast wel íemand in je omgeving die een windows xp cd voor je heeft, al dan niet legaal. Op dit moment zou ik ervoor kiezen om die te regelen, en later kun je eventueel een nieuwe officiele XP aanschaffen als dat nodig is voor je werk bijvoorbeeld

Edit: ik heb geen ervaring whatsoever met recovery partities, dus daar kan ik niks over zeggen

[ Voor 7% gewijzigd door Trouble op 04-11-2009 21:12 ]

[Icyzer]

inositol schreef op woensdag 04 november 2009 @ 21:05:
Wat een snelle reacties, thanks allen

@Atlas en Trouble, formatteren is geen optie omdat ik geen windows XP installatie cd heb. Het was namelijk al voorgeïnstalleerd, en ik heb nooit een 'herinstalleer cd' of hoe het ook mag heten gemaakt. Kan dat nu ook worden gemaakt?

Ook geen recovery cd gekregen? Of kan je bij boot niet met F4 ofzo een recovery installatie doen?

[Aragnut]

voor een acer heb je een herinstallatie partitie op de harde schijf staan. Je moet dan ook geen 3rd party tool gebruiken voor het leeggooien van de schijf want dan is deze partitie ook weg (je kan dan bij acer een cd krijgen, kost je wel zo'n 40 eu geloof ik). De herstel partitie roep je aan door bij het opstarten op alt+F10 te drukken (gewoon doorrammelen op het toetsenbord werkt het best)(ik geloof dat het ook in de handleiding staat mocht alt+F10 niet werken). Acer geeft ook de mogelijkheid om een recovery DVD te branden, is aan te raden deze te maken nadat je de herinstallatie hebt uitgevoerd.

en aan de mensen die over cd's lenen beginnen, de code op de sticker onderop zal niet werken om een oem te activeren en ik geloof dat het op het forum niet echt netjes (of toegestaan) is om mensen te adviseren een illigale versie van windows te installeren....

[ Voor 17% gewijzigd door Aragnut op 04-11-2009 21:15 . Reden: oem mythes ]

[fsfikke]

-Trouble- schreef op woensdag 04 november 2009 @ 21:11:
[...]
Er is vast wel íemand in je omgeving die een windows xp cd voor je heeft, al dan niet legaal. Op dit moment zou ik ervoor kiezen om die te regelen, en later kun je eventueel een nieuwe officiele XP aanschaffen als dat nodig is voor je werk bijvoorbeeld

Edit: ik heb geen ervaring whatsoever met recovery partities, dus daar kan ik niks over zeggen

Als de XP voorgeïnstalleerd was zat er waarschijnlijk een OEM licentie bij. Dan hoef je dus geen nieuwe te kopen en alleen maar een CD'tje zien te regelen van een OEM XP. Een lokale computerboer kan hierin misschien ook behulpzaam zijn.

[Brilsmurfffje]

Heb je veel illegale software gedownload? Want dat moet je niet meer doen. Zo installeer je gemakkelijk virussen en bots. Ook moet je op xp een account met beperkte rechten maken, niet standaard op een administrator account. Bij windows xp worden er soms dingen op de achtergrond geïnstalleerd die je niet wilt. Dit voorkom je door op een account met beperkte rechten te werken. Als je iets wilt instaleren kan je een .exe uitvoeren als Administrator.

[Trouble]

fsfikke schreef op woensdag 04 november 2009 @ 21:15:
[...]

Als de XP voorgeïnstalleerd was zat er waarschijnlijk een OEM licentie bij. Dan hoef je dus geen nieuwe te kopen en alleen maar een CD'tje zien te regelen van een OEM XP. Een lokale computerboer kan hierin misschien ook behulpzaam zijn.

Je hebt gelijk, had ik even niet aan gedacht. En zoals ik al zei: er moet vast wel iemand een cd hebben met XP erop

[Verwijderd]

Ik zie zo 1,2,3 ook niet iets in de log staan wat er uitspringt als oorzaak. Draai anders eerst eens een ander avs programma, en kijk eens naar het resultaat. Herinstallatie kan dan altijd nog.

@hieronder:
Magic Jelly Bean?

[ Voor 8% gewijzigd door Verwijderd op 04-11-2009 21:20 ]

[Brilsmurfffje]

Moet wel de cd-key op de licentie aan de onderkant van de notebook nog leesbaar zijn. Deze hebben namelijk de eigenschap om zeer snel te vervagen als je hem vaak op schoot gebruikt.

[Verwijderd]

Eerst maar eens de netwerk kaart uitschakelen op je laptop(s). Dan hoef je je iniedergeval niet meer zorgen te maken over het stop zetten van je internet verbinding.

[Brilsmurfffje]

Verwijderd schreef op woensdag 04 november 2009 @ 21:19:
Eerst maar eens de netwerk kaart uitschakelen op je laptop(s). Dan hoef je je iniedergeval niet meer zorgen te maken over het stop zetten van je internet verbinding.

Dan kan je de tips op Tweakers.net ook niet meer lezen

[Verwijderd]

linux live cd draaien op 1 van de andere machines om deze pagina open te houden?

[FireWood]

Deze is sowieso al niet goed: restorer32_a-exe

http://htlogs.com/what-is...-remove-restorer32_a-exe/

Verder adviseer ik je te formateren, je weet nooit zeker als er iets achter blijft.

[martijnberk]

probeer eerst een combofix:

http://www.bleepingcomput...mbofix-gebruikt-te-worden

dit zal je al gelijk uit de penarie helpen....

[Verwijderd]

Probeer eens de LIVE-CD van DrWeb. Werkt fijn. Kan je ook meteen je PC gebruiken zonder dat het virus uitgevoerd wordt.
http://www.drweb.com/

Superantispyware of malwarebytes anti-malware zijn ook wel sterk in het verwijderen. Misschien werkt het. Ook proberen in veilige modus.


(Uiteraard blijven formateren eigenlijk must, maar je kan het proberen!)

[inositol]

Netwerkkaart van die laptop is uitgeschakeld, zodat ik daar een tijdje geen last mee heb. Ik ben alleen voor de updates van avg, adaware etc. kort op internet gegaan.

Ik zal jullie tips volgen, bedankt allen!

[schaduw]

Als je nog gaat proberen de installatie te redden, (welke manier je ook gebruikt) doe dit dan in de veilige modus!

[Brilsmurfffje]

en met beperkte rechten zodat er geen troep bij wordt geïnstaleerd. Virus scanner moet je dan runnen als admin.

[CAPSLOCK2000]

Doe iedereen een lol en formatteer dat ding. Trojans weghalen is een complex iets en je zal nooit zeker weten of het goed is gegaan. Eenmaal besmet gaat het vaak snel van kwaad naar erger.

Als er nog data op die laptop staat die je wil redden zou ik je adviseren om een Ubuntu CD te gebruiken om de machine te booten en dan vanuit Ubuntu de data naar een andere computer of een USB key te kopieren. Dit minimaliseert de kans dat je je besmetting mee verhuisd.

Als je zo snel geen XP CD kan vinden dan zou je nog kunnen overwegen om voorlopig Ubuntu te draaien. Dan kun je je laptop in ieder geval gewoon gebruiken om te internetten enzo en Telfort kan je vertellen dat de boel is opgeruimd.

[Rockvee2]

En is het gelukt?

[Majapro]

heb hier hetzelfde probleem, wel prima verwijdert maar dan komt er een pop up bij booten dat die pqrs.tmo mist (aldus rundll)

[CdD]

Ook ik heb Telfort en ook ik heb dezelfde mail als TS ontvangen vorige week!

In die mail staat een link naar een uitleg om je modem te beveiligen dacht ik. 192.168.1.254 is volgens mij de setup van 't modem (hoewel ik er nu raar genoeg niet in kom ) en vervolgens heb ik er een wachtwoord op gezet. So far so good, want ik heb nog steeds internet.

Ik moet er wel bij zeggen dat er in ons netwerk een laptop draadloos verbonden was, die nu überhaupt niet meer wil opstarten. Misschien was dat de boosdoener, maar zeker weten doe ik het niet..

[Lancer]

Gezien de ervaring van de TS zou ik beide PC's maar eens formatteren, of in ieder geval de 2e PC maar eens heel goed doorlichten. Het feit dat de ene PC loopt te jammeren over trojans kan best wel eens komen doordat de andere hem probeert te infecteren.

[Onbekend]

Volgens mij is de TS inmiddels afgesloten, want na 4 november heeft hij niets meer gepost....

[Fish]

zal idd wel. toch even het vernoemen waard,

sandboxie, scheelt je een hoop rommel (voorkomen is beter dan genezen)
http://www.sandboxie.com/

[ Voor 12% gewijzigd door Fish op 14-11-2009 16:51 ]