[firefox+gmail] account gelocked nadat gmail blijft hangen

[HelloIamAldo]

Sinds gisterenochtend is mijn account tot 3 keer toe gelocked door Gmail omdat ze "unusual usage" hebben ontdekt en mijn account op slot hebben gezet uit voorzorg. Ik heb al veel gegoogled op zoek naar een oplossing, maar kom geen zinnige informatie tegen.

Vóór het geheel op slot wordt gezet blijft Gmail steeds hangen bij het laden of verzenden van een bericht (geen grote berichten of dingen met gekke .exe). Wanneer ik het tabblad sluit na een halve minuut en opnieuw Gmail open krijg ik de melding dat mijn account is gelocked en kan ik niets meer doen. Eerste 2 keer heb ik het rustig afgewacht, maar ik ben er nu van overtuigd dat er een probleem is aan mijn kant.

Probleem is dan als volgt: ik weet niet hoe ik dit kan tackelen.

Tot nu toe gedaan:

• Malware Bytes heeft één rootkit gevonden, die ik er per ommegaande vanaf heb gegooid en de PC opnieuw heb opgestart;
• Spybot S&D heeft meerdere dingen gevonden die ik nu heb verwijderd;
• Ik heb Firefox opnieuw geïnstalleerd en Java van mijn PC gegooid (wegens de vele berichten over ongezonde updates meen ik dat een verse installatie geen kwaad kan);
• Ik heb HijackThis gedraaid, maar kom er niet uit of er iets slechts is gevonden.

Helaas kan ik niet experimenteren met mijn probleem, omdat elke keer dat het gebeurt Google mijn account blocked voor een paar uur (these people don't fool around!).

Volgende keer dat ik weer in mijn account kan zal ik dit via internet explorer doen, zodat ik in ieder geval wat belangrijke e-mails kan versturen, maar daarna zal ik toch weer in Firefox moeten kijken of het probleem is opgelost. Het liefst wil ik voor dat moment advies inwinnen van jullie wat ik nog meer kan doen. Hieronder is daarom ook mijn HijackThis log, ik heb met asterisken aangegeven waar ik niet weet wat het is. Zijn er daarnaast nog andere zaken die ik moet tackelen? Alvast bedankt dat je tot zo ver hebt doorgelezen, ik wou dat ik het probleem iets bondiger kon omschrijven, maar ik heb nog nooit eerder zo iets vreemds meegemaakt.

Ik zit op Windows 7 (64bit), Firefox up to date.

HijackThis log

code:

Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 12:14:21, on 19-3-2013
Platform: Windows 7 SP1 (WinNT 6.00.3505)
MSIE: Internet Explorer v10.0 (10.00.9200.16521)
Boot mode: Normal

Running processes:
C:\Program Files (x86)\WizMouse\WizMouse.exe
C:\Program Files\AVAST Software\Avast\AvastUI.exe
C:\Users\Beheerder\AppData\Roaming\Dropbox\bin\Dropbox.exe
C:\Program Files (x86)\Google\Gmail Notifier\gnotify.exe
C:\Program Files\Motorola\Bluetooth\btplayerctrl.exe
C:\Program Files (x86)\Mozilla Firefox\firefox.exe
C:\Program Files (x86)\Mozilla Firefox\plugin-container.exe
C:\Windows\SysWOW64\Macromed\Flash\FlashPlayerPlugin_11_6_602_180.exe
C:\Windows\SysWOW64\Macromed\Flash\FlashPlayerPlugin_11_6_602_180.exe
C:\Program Files (x86)\Trend Micro\HiJackThis\HiJackThis.exe
C:\Windows\SysWOW64\DllHost.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.nl/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/p/?LinkId=255141
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/p/?LinkId=255141
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = C:\Windows\SysWOW64\blank.htm
O1 - Hosts: ::1 localhost #[IPv6]
*  O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\PROGRA~2\MICROS~1\Office14\GROOVEEX.DLL
O2 - BHO: avast! WebRep - {8E5E2654-AD2D-48bf-AC2D-D17F00898D06} - C:\Program Files\AVAST Software\Avast\aswWebRepIE.dll
O2 - BHO: Aanmeldhulp voor Windows Live ID - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files (x86)\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: URLRedirectionBHO - {B4F3A835-0E21-4959-BA22-42B3008E02FF} - C:\PROGRA~2\MICROS~1\Office14\URLREDIR.DLL
O3 - Toolbar: avast! WebRep - {8E5E2654-AD2D-48bf-AC2D-D17F00898D06} - C:\Program Files\AVAST Software\Avast\aswWebRepIE.dll
O4 - HKLM\..\Run: [avast] "C:\Program Files\AVAST Software\Avast\avastUI.exe" /nogui
O4 - HKLM\..\Run: [{0228e555-4f9c-4e35-a3ec-b109a192b4c2}] C:\Program Files (x86)\Google\Gmail Notifier\gnotify.exe
O4 - HKLM\..\Run: [BCSSync] "C:\Program Files (x86)\Microsoft Office\Office14\BCSSync.exe" /DelayServices
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files (x86)\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [amd_dc_opt] C:\Program Files (x86)\AMD\Dual-Core Optimizer\amd_dc_opt.exe
O4 - Startup: Dropbox.lnk = Beheerder\AppData\Roaming\Dropbox\bin\Dropbox.exe
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~2\MICROS~1\Office14\EXCEL.EXE/3000
O8 - Extra context menu item: Se&nd to OneNote - res://C:\PROGRA~2\MICROS~1\Office14\ONBttnIE.dll/105
O9 - Extra button: Send to OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\Program Files (x86)\Microsoft Office\Office14\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: Se&nd to OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\Program Files (x86)\Microsoft Office\Office14\ONBttnIE.dll
O9 - Extra button: OneNote Lin&ked Notes - {789FE86F-6FC4-46A1-9849-EDE0DB0C95CA} - C:\Program Files (x86)\Microsoft Office\Office14\ONBttnIELinkedNotes.dll
O9 - Extra 'Tools' menuitem: OneNote Lin&ked Notes - {789FE86F-6FC4-46A1-9849-EDE0DB0C95CA} - C:\Program Files (x86)\Microsoft Office\Office14\ONBttnIELinkedNotes.dll
O9 - Extra button: @C:\Program Files\Motorola\Bluetooth\btmshell.dll,-247 - {bd707fe6-39f6-4bda-9265-86a76719bdc5} - C:\Program Files\Motorola\Bluetooth\btmiesend.htm
O9 - Extra 'Tools' menuitem: @C:\Program Files\Motorola\Bluetooth\btmshell.dll,-247 - {bd707fe6-39f6-4bda-9265-86a76719bdc5} - C:\Program Files\Motorola\Bluetooth\btmiesend.htm
O10 - Unknown file in Winsock LSP: c:\program files (x86)\common files\microsoft shared\windows live\wlidnsp.dll
*  O10 - Unknown file in Winsock LSP: c:\program files (x86)\common files\microsoft shared\windows live\wlidnsp.dll
O11 - Options group: [ACCELERATED_GRAPHICS] Accelerated graphics
O15 - Trusted Zone: *.clonewarsadventures.com
O15 - Trusted Zone: *.freerealms.com
O15 - Trusted Zone: http://www.samsungsetup.com
O15 - Trusted Zone: *.soe.com
O15 - Trusted Zone: *.sony.com
O17 - HKLM\System\CCS\Services\Tcpip\..\{7F7BE613-873B-4042-A09C-0A0FA62F69CF}: NameServer = 192.168.1.1
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~2\COMMON~1\Skype\SKYPE4~1.DLL
O18 - Protocol: wlpg - {E43EF6CD-A37A-4A9B-9E6F-83F89B8E6324} - C:\Program Files (x86)\Windows Live\Photo Gallery\AlbumDownloadProtocolHandler.dll
O18 - Filter hijack: text/xml - {807573E5-5146-11D5-A672-00B0D022E945} - C:\Program Files (x86)\Common Files\Microsoft Shared\OFFICE14\MSOXMLMF.DLL
O23 - Service: @%SystemRoot%\system32\Alg.exe,-112 (ALG) - Unknown owner - C:\Windows\System32\alg.exe (file missing)
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Program Files (x86)\Common Files\Apple\Mobile Device Support\AppleMobileDeviceService.exe
O23 - Service: avast! Antivirus - AVAST Software - C:\Program Files\AVAST Software\Avast\AvastSvc.exe
O23 - Service: Bluetooth Device Manager - Motorola, Inc. - C:\Program Files\Motorola\Bluetooth\devmgrsrv.exe
O23 - Service: Bluetooth Media Service - Motorola, Inc. - C:\Program Files\Motorola\Bluetooth\audiosrv.exe
O23 - Service: Bluetooth OBEX Service - Motorola, Inc. - C:\Program Files\Motorola\Bluetooth\obexsrv.exe
O23 - Service: Bonjour-service (Bonjour Service) - Apple Inc. - C:\Program Files\Bonjour\mDNSResponder.exe
O23 - Service: @%SystemRoot%\system32\efssvc.dll,-100 (EFS) - Unknown owner - C:\Windows\System32\lsass.exe (file missing)
O23 - Service: @%systemroot%\system32\fxsresm.dll,-118 (Fax) - Unknown owner - C:\Windows\system32\fxssvc.exe (file missing)
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files (x86)\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: FLEXnet Licensing Service 64 - Macrovision Europe Ltd. - C:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService64.exe
O23 - Service: iPod-service (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: @keyiso.dll,-100 (KeyIso) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: Mozilla Maintenance Service (MozillaMaintenance) - Mozilla Foundation - C:\Program Files (x86)\Mozilla Maintenance Service\maintenanceservice.exe
O23 - Service: @comres.dll,-2797 (MSDTC) - Unknown owner - C:\Windows\System32\msdtc.exe (file missing)
O23 - Service: @%SystemRoot%\System32\netlogon.dll,-102 (Netlogon) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: nProtect GameGuard Service (npggsvc) - Unknown owner - C:\Windows\system32\GameMon.des.exe (file missing)
O23 - Service: NVIDIA Display Driver Service (nvsvc) - Unknown owner - C:\Windows\system32\nvvsvc.exe (file missing)
O23 - Service: NVIDIA Update Service Daemon (nvUpdatusService) - NVIDIA Corporation - C:\Program Files (x86)\NVIDIA Corporation\NVIDIA Update Core\daemonu.exe
O23 - Service: Overwolf Updater Service (OverwolfUpdaterService) - Overwolf Ltd - C:\Program Files (x86)\Overwolf\OverwolfUpdater.exe
O23 - Service: @%systemroot%\system32\psbase.dll,-300 (ProtectedStorage) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%systemroot%\system32\Locator.exe,-2 (RpcLocator) - Unknown owner - C:\Windows\system32\locator.exe (file missing)
O23 - Service: @%SystemRoot%\system32\samsrv.dll,-1 (SamSs) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: Skype Updater (SkypeUpdate) - Skype Technologies - C:\Program Files (x86)\Skype\Updater\Updater.exe
*  O23 - Service: @%SystemRoot%\system32\snmptrap.exe,-3 (SNMPTRAP) - Unknown owner - C:\Windows\System32\snmptrap.exe (file missing)
O23 - Service: @%systemroot%\system32\spoolsv.exe,-1 (Spooler) - Unknown owner - C:\Windows\System32\spoolsv.exe (file missing)
O23 - Service: @%SystemRoot%\system32\sppsvc.exe,-101 (sppsvc) - Unknown owner - C:\Windows\system32\sppsvc.exe (file missing)
O23 - Service: @%SystemRoot%\system32\ui0detect.exe,-101 (UI0Detect) - Unknown owner - C:\Windows\system32\UI0Detect.exe (file missing)
O23 - Service: @%SystemRoot%\system32\vaultsvc.dll,-1003 (VaultSvc) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%SystemRoot%\system32\vds.exe,-100 (vds) - Unknown owner - C:\Windows\System32\vds.exe (file missing)
O23 - Service: @%systemroot%\system32\vssvc.exe,-102 (VSS) - Unknown owner - C:\Windows\system32\vssvc.exe (file missing)
O23 - Service: @%SystemRoot%\system32\Wat\WatUX.exe,-601 (WatAdminSvc) - Unknown owner - C:\Windows\system32\Wat\WatAdminSvc.exe (file missing)
*  O23 - Service: @%systemroot%\system32\wbengine.exe,-104 (wbengine) - Unknown owner - C:\Windows\system32\wbengine.exe (file missing)
O23 - Service: @%Systemroot%\system32\wbem\wmiapsrv.exe,-110 (wmiApSrv) - Unknown owner - C:\Windows\system32\wbem\WmiApSrv.exe (file missing)
O23 - Service: @%PROGRAMFILES%\Windows Media Player\wmpnetwk.exe,-101 (WMPNetworkSvc) - Unknown owner - C:\Program Files (x86)\Windows Media Player\wmpnetwk.exe (file missing)
*  O23 - Service: xsherlock - Wellbia.com Co., Ltd. - C:\Windows\system32\xsherlock.xem

--
End of file - 9585 bytes

[ebia]

HelloIamAldo schreef op dinsdag 19 maart 2013 @ 12:54:
Sinds gisterenochtend is mijn account tot 3 keer toe gelocked door Gmail omdat ze "unusual usage" hebben ontdekt en mijn account op slot hebben gezet uit voorzorg. Ik heb al veel gegoogled op zoek naar een oplossing, maar kom geen zinnige informatie tegen.

Kans is inderdaad dat e.e.a. je browser hijacked en dat wordt gezien door Google die jou uit voorzorg afsluit.

Een eenmaal gecompromitteerde computer zou ik niet zo snel meer vertrouwen, plus dat het vaak veel werk is om alles schoon te krijgen (als dat al helemaal mogelijk is). Ofwel: Windows opnieuw installeren, en dit keer iets van een virusscanner draaien, en inderdaad Java niet installeren als je het niet nodig hebt, en zo veel mogelijk plug-ins per default uitschakelen (of no-script add-on draaien ofzo).

[HelloIamAldo]

ebia schreef op dinsdag 19 maart 2013 @ 13:54:
[...]


Kans is inderdaad dat e.e.a. je browser hijacked en dat wordt gezien door Google die jou uit voorzorg afsluit.

Een eenmaal gecompromitteerde computer zou ik niet zo snel meer vertrouwen, plus dat het vaak veel werk is om alles schoon te krijgen (als dat al helemaal mogelijk is). Ofwel: Windows opnieuw installeren, en dit keer iets van een virusscanner draaien, en inderdaad Java niet installeren als je het niet nodig hebt, en zo veel mogelijk plug-ins per default uitschakelen (of no-script add-on draaien ofzo).

Oh wow, dat is wel gelijk drastisch dan. Ik hoopte een beetje op een leukere oplossing.

Ik draai Avast! en heb Windows Firewall aan, dus t is niet alsof ik zonder voorbehoedsmiddelen het internet afstruin.

[arie_papa]

Probeer eerst in ieder geval je wachtwoord te wijzigen. Wellicht wordt er vanuit CN via jouw account bergen spam verzonden, dit in ieder geval van een pc die je vertrouwt en anders gewoon even een live CD van bijv Ubuntu downloaden.

Daarnaast sluit ik me aan bij het antwoord van Ebia. Je kunt nooit 100% zeker weten of de boel echt schoon is zonder de hele boel weer vers te installeren. Volgende keer zou ik iig maar eens regelmatig(er) backups trekken, dan is het in ieder geval niet zo'n penswerk om van scratch te beginnen.

[LnC]

O23 - Service: nProtect GameGuard Service (npggsvc) - Unknown owner - C:\Windows\system32\GameMon.des.exe (file missing)

Die lijkt mij niet helemaal kosher. Zie virustotal

[HelloIamAldo]

Bedankt voor al het advies, Windows opnieuw geïnstalleerd en gekeken of Gmail nog boos op me was. Probleem lijkt te zijn opgelost.

Enige rottige van een re-install blijft dat je veel software opnieuw moet installeren, maar ook dat was snel gepiept omdat ik een mapje met installers bijhoud.

Thread kan lockje op.