Dot Com Toolbar niet weg te krijgen *

[geertb]

Argh Der heeft hier iemand op de pc gezeten en die heeft perongeluk (het schijnt via cu2 website maar of het klopt weet ik niet) de dot com toolbar geinstalleerd . Linkje naar die website

Probleem is nu meer, hij is wel te uninstallen via control panel, en via adaware haaltie er ookwel wat uit, maar zodra je nu windows media player start, of een file die verwijst naar de WMA player, installeert ie dat kreng weer.

Iemand enig idee hoe ik er vanaf kom? ik ben al naar registryitems gaan zoeken maar nog weinig resultaat

[Solstice]

Misschien proberen om mediaplayer 9 opniew te installeren?

[JER00N]

Ik had dat pas ook toen ik naar de site van die ene slet van Ab Normaal ging (link stond ergens in de HK). Rechtklikken op je IE-toolbar, die dotcombar uitvinken, dan naar Software gaan en dat ding eruit gooien (werkt volgens mij niet eens aangezien hij gewoon naar een of andere pagina gaat) en uiteindelijk nog ff Adaware gedraait. Ik weet niet of ie er nog op zit, maar ik heb er iig geen last meer van.

[geertb]

DeGodefroi schreef op 04 October 2003 @ 23:39:
Misschien proberen om mediaplayer 9 opniew te installeren?

Hmm dit is 9 niet geloof ik, maar misschien wel een goed plan, ook al heb ik liever 9 niet hier. Iemand misschien een url van 8.1? 9.0 is best stukje zwaarder imho

[Icey]

Ik weet niet of je in de HK kan?

Er liep daar gisteren of eergisteren een topic over 'website over mensen waarvan je het niet verwacht' o.i.d, daar werd 1 website gepost die dus die toolbar installeerde.

Zoek maar op mijn naam en dan 'mcafee' in de hk.

Fan sites van wie je het niet verwacht.

^^ dus

http://securityresponse.s...ta/trojan.byteverify.html

[ Voor 26% gewijzigd door Icey op 04-10-2003 23:42 ]

[geertb]

Pastasaus schreef op 04 October 2003 @ 23:39:
Ik had dat pas ook toen ik naar de site van die ene slet van Ab Normaal ging (link stond ergens in de HK). Rechtklikken op je IE-toolbar, die dotcombar uitvinken, dan naar Software gaan en dat ding eruit gooien (werkt volgens mij niet eens aangezien hij gewoon naar een of andere pagina gaat) en uiteindelijk nog ff Adaware gedraait. Ik weet niet of ie er nog op zit, maar ik heb er iig geen last meer van.

Zoals ik al zei, hij haalt de toolbar er wel uit, echter niet die koppeling van 'Ik start Windows Media Player en hij zit er weer in'. Ik heb ook al in bestandstypen e.d. zitten kijken, o.a. .wmv verwijst gewoon naar de speler, echter die speler installed de toolbar weer. Misschien overschrijft die toolbar wplayer.exe ofzo, vandaar mijn vraag voor een downloadurl van 8.1? 9.0 =

[geertb]

Icey schreef op 04 October 2003 @ 23:41:
Ik weet niet of je in de HK kan?

Er liep daar gisteren of eergisteren een topic over 'website over mensen waarvan je het niet verwacht' o.i.d, daar werd 1 website gepost die dus die toolbar installeerde.

Zoek maar op mijn naam en dan 'mcafee' in de hk.

Fan sites van wie je het niet verwacht.

^^ dus

http://securityresponse.s...ta/trojan.byteverify.html

Nope, kan ik niet... Hmm ik ga maar eens een volledige NAV scan er doorheen gooien, NAV heeft nieuwste updates dus die zou die zooi wel tegen moeten houden zou je zeggen..

[Rafe]

Spyware heeft weinig te maken met Windows, dus move naar Software Algemeen

Naast Ad-Aware zou je ook nog Spybot S&D kunnen proberen.

[momania]

Niet echt een Windows Operated Systems probleem, dus: >> Software Algemeen

_{+ titel edit... even netter gemaakt}

[pven]

Probeer het eens met SpyBot. Ik heb de ervaring dat deze de hardnekkige spy-en-overige-zooi wel weg kan krijgen.

[geertb]

pven schreef op 04 October 2003 @ 23:54:
Probeer het eens met SpyBot. Ik heb de ervaring dat deze de hardnekkige spy-en-overige-zooi wel weg kan krijgen.

Ook die haalt er wel iets uit, maar probleem blijft. Misschien nu na een reboot, ga ik zo proberen.

Waarschijnlijk helpt het alleen door Windows Media Player overnieuw te installeren. Dat zal dan wel 9.0 worden


[Edit:

Reboot helpt niet... Nouja danmaar WMA erovernieuw op, kijken of dat gaat werken.

Iemand een url van de install van 8.1 en niet 9.0 ?

[ Voor 14% gewijzigd door geertb op 05-10-2003 00:01 . Reden: Rebootje.. ]

[Verwijderd]

Verwijderd in "dot.com toolbar?"

Misschien dat niet alle files uit je C:\ root weg zijn gehaald?
Ik heb net nog eens wat geprobeerd met WMP maar krijg die toolbar toch echt niet terug..

Je hebt Spybot S&D toch wel opnieuw gestart na het updaten he?

[geertb]

Verwijderd schreef op 05 October 2003 @ 00:07:
Verwijderd in "dot.com toolbar?"

Misschien dat niet alle files uit je C:\ root weg zijn gehaald?
Ik heb net nog eens wat geprobeerd met WMP maar krijg die toolbar toch echt niet terug..

Je hebt Spybot S&D toch wel opnieuw gestart na het updaten he?

Bahbah, ja alles gedaan zoals je zei, rootfiles ook elke keer weggehaald.

Zie hieronder het logotje bij WMP:

[geertb]

WMP 9.0 installeren lost het probleem op. Beetje klote manier, maarja het moet maar

[xabre16v]

Parasiet misschien http://217.115.153.73/parasite/

[Verwijderd]

Toolbar is weg, maar ik krijg ook bij een verkeerd ingetypte url iedere keer de dotcomtoolbar site ipv de microsoft url page......

[Spacecowboy]

Dat icoontje ziet er uit als een visual basic dingetje. Als je op eigenschappen klikt, wat krijg je dan te zien???

[Flex]

Ik zie dat er hier ook problemen zijn met dotcomtoolbar.
Vandaag stond deze ook op me pc toen ik thuis kwam,Adaware hielp niet Spybot wel.
Probleem van de search url naar dotcomtoolbar was opgelost.
Alleen de WMP was nog steeds veranderd in een exe die je naar die shitsite leid,WMA opnieuw installeren hielp.

Nu heb ik eens zitten kijken en ik kwam in de map C:\WINDOWS het bestandje redirect2 tegen die me gelijk opviel.
Deze exe even veranderd in txt en tussen de acradabra zag ik dit staan:

Kijk even of het bestandje niet opgestart staat dmv te kijken in Taskmanager en je kan het weggooien

[ Voor 7% gewijzigd door Flex op 17-10-2003 19:38 ]

[AW_Bos]

Zet ActiveX uit in Internet Explorer. Dat is ook het beste.

[Verwijderd]

Ik kreeg hem weg:
spydot draaien troep verwijderen
hijack draaien deze broeders verwijderen:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://searchbar.linksummary.com/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://searchbar.linksummary.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.linksummary.com/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://searchbar.linksummary.com/
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://searchbar.linksummary.com/
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,Shellnext = wmplayer.exe
O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\Updreg.exe

O4 - HKLM\..\Run: [redirect] C:\windows\redirect4.exe

pc opnieuw opstarten
ga naar:
http://windowsupdate.microsoft.com
download en installeer de nieuwste media player 9 versie

En het werkt weer.

[cavey]

Just me,

maar als ik random spyware crap, of uberhaupt random programmas weg wil krijgen, ga ik registry hacken.

Goed, daar heb je dus schijnbaar AdAware en SpyBot voor, maja, toch ff met de hand alle keys door zoeken (Ctrl-F + F3 = geweldig) wil ook werken.

(lichtjes offtopic: Werkt ook handig om programma's te de-installeren die nog wel in je software panel staan, maar klagen dat ze uninst.idu of iets dergelijks niet meer kunnen vinden... ahem, dir verwijderen zonder netjes uninstall te doen dus Maar dan verdwijnen ze daar ook uit de lijst )

Hmm k, I trust my own eyes + expertise en doe lekker handmatig registry hacken ^_^
Scheelt hoop ergernis (tot dat je RPC services uit zet en het via de registry niet meer aan kan krijgen..... maar dit was een beperking van regedit zelf, daarvoor moest regedt32.exe gebruikt gaan worden. Kan je meteen rechten enzo toekennen, maar het is een erg spartaanse tool)

[thalx]

Hmnz, blijkt dat de gratis realtracker (bezoekersteller die veel site's gebruiken) nu ook de DotCom Toolbar steeds wil installeren

Mensen, MAG dit wel in Nederland????

[thalx]

Even nog een update:

Alle sporen van de DotCom TOolbar lijden naar hetzelfde bedrijf als waarvan de RealTracker eigendom is.....

De domeinen van de dotcom toolbar (o.a. www.dotcomtoolbar.com) staan op hetzelfde adres geregistreerd als waar het bedrijf van RealTracker is gevestigd...

[ Voor 38% gewijzigd door thalx op 06-01-2004 15:24 ]

[Verwijderd]

Mensen mensen ik wil graag de aandacht in deze dotcomtoolbar-discussie verleggen naar een ander tot nu toe onopgelost aspect.

Namelijk: bij mij is de toolbar ook geïnstalleerd geweest, en ik heb m met succes kunnen verwijderen. Nu heb ik echter een ander probleem!! Als ik in Internet Explorer een domein intik wat niet bestaat, kom ik niet bij het bekende Microsoft-scherm met de mededeling dat het adres niet bestaat, maar kom ik op een dotcomtoolbar-site!

Bijvoorbeeld, ik tik in www.ditdomeinbestaatniet.nl, dan word ik automatisch regedirect naar http://www.dotcomtoolbar....ditdomeinbestaatniet%2Enl

Dit is echt vet irritant, vooral omdat er dan ook een balk onder in beeld verschijnt die je dan weer weg moet klikken enzo, maar bovendien wil ik gewoon geen troep op mijn PC!!

Spybot S&D en Ad-Aware vinden geen fouten bij mij, en ook heb ik al alle verdachte sleutels bij Hijack This! weggehaald.

Tot nu toe geen resultaat!!! Wie kan mij helpen en wordt de held van de eeuw??

[Mike Jarod]

Verwijderd schreef op 10 januari 2004 @ 16:21:
Spybot S&D en Ad-Aware vinden geen fouten bij mij, en ook heb ik al alle verdachte sleutels bij Hijack This! weggehaald.

Kan je even je HT log hier neermikken? Dan komen we er vast wel uit

[Verwijderd]

Ik hoop t
Hier is mjn HT-log:

C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\SYSTEM\MSTASK.EXE
C:\WINDOWS\EXPLORER.EXE
C:\WINDOWS\TASKMON.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\PROGRAM FILES\LOGITECH\MOUSE\SYSTEM\EM_EXEC.EXE
C:\WINDOWS\LOADQM.EXE
C:\PROGRAM FILES\WINAMP\WINAMPA.EXE
C:\PROGRAM FILES\MSN MESSENGER\MSNMSGR.EXE
C:\WINDOWS\TWAIN_32\LGTWAIN\LGWAKEUP.EXE
C:\WINDOWS\SYSTEM\PSTORES.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\PROGRAM FILES\INTERNET EXPLORER\IEXPLORE.EXE
C:\WINDOWS\DESKTOP\HIJACKTHIS.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.nl/
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAM FILES\ADOBE\ACROBAT 5.0\READER\ACTIVEX\ACROIEHELPER.OCX
O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\Run: [Taakcontrole] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [EM_EXEC] c:\progra~1\logitech\mouse\system\em_exec.exe
O4 - HKLM\..\Run: [LoadQM] loadqm.exe
O4 - HKLM\..\Run: [WinampAgent] "C:\PROGRAM FILES\WINAMP\WINAMPa.exe"
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O4 - Startup: Logitech Wakeup.lnk = C:\WINDOWS\TWAIN_32\LGTWAIN\LGWAKEUP.EXE
O11 - Options group: [TOEGANKELIJKHEID] Toegankelijkheid
O16 - DPF: Win32 Classes - file://C:\WINDOWS\Java\classes\win32ie4.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedi...ve/cabs/flash/swflash.cab
O16 - DPF: {DE591B16-A452-11D6-AED1-0001030A4E46} (PBGNX Control) - https://gto.postbank.nl/GTO/PBGNX.cab
O17 - HKLM\System\CCS\Services\VxD\MSTCP: Domain = chello.nl
O17 - HKLM\System\CCS\Services\VxD\MSTCP: NameServer = 192.168.0.1

[Verwijderd]

@ laurensjan in je andere reeds gesloten topic:
[rml]Compeutje in "[ DotComToolbar] Redirect bij verkeerd in..."[/rml]

Stel Ad-aware ook eens goed in, dan vindt ie meer

[ Voor 20% gewijzigd door Verwijderd op 10-01-2004 19:37 ]

[Verwijderd]

Hey compeutje, bedankt voor je replies. Ik had m net gelezen in t andere topic.
Eerlijk gezegd had ik nog nooit gehoord van 'n hosts file. Ik heb me er een beetje over ingelezen maar snap t nog steeds niet helemaal.

Heb op mijn PC gezocht naar een bestand hosts ofzo, maar kon niets vinden. Weet dus niet hoe ik dit moet editen (heb op deze computer Windows 98 staan).

Heb wel geprobeerd om Ad-aware beter in te stellen zoals je adviseerde, en heb dus de optie "Scan my Hosts file" ingeschakeld. Maar de scan leverde niks op.

Ook heb ik een virusscanner geprobeerd en het register nog eens goed doorzocht, maar niets gevonden

Ik hoop dat iemand me nu nog verder kan helpen???

Dankje alvast!

[Verwijderd]

Windows 95/98 c:\windows\hosts
daar staat je hosts file
[url=]hier [/url]wat meer info over de hosts file.
ik heb verders niks schadelijks in je ht-log kunnen vinden dus verder ben je clean.
succes met je hosts file

[ Voor 8% gewijzigd door Verwijderd op 10-01-2004 21:04 . Reden: iets vaag met /me ]

[Verwijderd]

De map c:\windows\hosts heb ik niet op mijn computer! Ook niet verborgen oid...

Wie helpt mij nu verder??

[moto-moi]

Verwijderd schreef op 10 januari 2004 @ 22:08:
De map c:\windows\hosts heb ik niet op mijn computer! Ook niet verborgen oid...
Wie helpt mij nu verder??

Dat is geen directory, dat is gewoon een file.

[parcol]

Zoek ook naar verdachte .reg bestanden die vanuit de registry worden opgestart

[Verwijderd]

parcol schreef op 10 januari 2004 @ 23:17:
Zoek ook naar verdachte .reg bestanden die vanuit de registry worden opgestart

jup maar ik zie niks ergs in zn ht-log

@ laurensjan
kan je anders je ht-log nog een x posten?

[ Voor 3% gewijzigd door Verwijderd op 10-01-2004 23:27 ]

[Verwijderd]

ook t BESTAND c:\windows\hosts heb ik niet! Bij mijn instellingen staat "alle bestanden weergeven" dus het kan niet zo zijn dat ik een verborgen of systeembestand ofzo over t hoofd zie lijkt me.

Ik heb mijn register al afgezocht naar termen als dotcom of dotcomtoolbar of auto.search.msn.com maar ik heb niets kunnen vinden...

Wel bizar nu hoor, HiJack This! vindt niets bijzonders en Ad-Aware/Spybot geven ook niets speciaals!! :-S

Wie 't weet mag 't zeggen! Graag zelfs

PS hier nogmaals mijn zojuist gemaakte Hijack This-logfile:

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.nl/
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAM FILES\ADOBE\ACROBAT 5.0\READER\ACTIVEX\ACROIEHELPER.OCX
O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\Run: [Taakcontrole] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [EM_EXEC] c:\progra~1\logitech\mouse\system\em_exec.exe
O4 - HKLM\..\Run: [LoadQM] loadqm.exe
O4 - HKLM\..\Run: [WinampAgent] "C:\PROGRAM FILES\WINAMP\WINAMPa.exe"
O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O4 - Startup: Logitech Wakeup.lnk = C:\WINDOWS\TWAIN_32\LGTWAIN\LGWAKEUP.EXE
O11 - Options group: [TOEGANKELIJKHEID] Toegankelijkheid
O16 - DPF: Win32 Classes - file://C:\WINDOWS\Java\classes\win32ie4.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedi...ve/cabs/flash/swflash.cab
O16 - DPF: {DE591B16-A452-11D6-AED1-0001030A4E46} (PBGNX Control) - https://gto.postbank.nl/GTO/PBGNX.cab
O17 - HKLM\System\CCS\Services\VxD\MSTCP: Domain = chello.nl
O17 - HKLM\System\CCS\Services\VxD\MSTCP: NameServer = 192.168.0.1

[Verwijderd]

Op het eerste gezicht lijkt dat toch(weer)goed te zijn.

Dat is trouwens niet je complete HT log..

[Mike Jarod]

Maf, je HT log lijkt prima in orde

Google geeft hier het verhaal dat er 2 processen redirect2.exe en redirect4.exe zouden moeten draaien. Maar die staan ook niet in je HT log. Zoek eens op je HD of ze er wel zijn?

[Verwijderd]

Neej geen redirect2.exe en redirect4.exe...

Deze dingen zaten er wel allemaal op toen de toolbar er nog opstond, maar die heb ik allemaal kunnen verwijderen met Hijack This! en Ad-aware. Toen was dat allemaal clean, maar op de een of andere manier is dit blijven staan.

Het vreemde is dat ik de toolbar ook wel eens op een andere computer heb zien staan, en daar kon ik het wel gewoon helemaal verwijderen met HiJack This enz. Blijkbaar staat er op dit systeem wat extra's geïnstalleerd wat gewoon verdomd moeilijk weggaat. Maar het moet toch kunnen??? Ik ben ook niet de enige die het heeft, heb meerderen met deze reactie op forums enzo gezien.

Ik heb net ook geprobeerd de toolbar opnieuw te installeren op www.dotcomtoolbar.com, waarna ik de hele boel er opnieuw heb afgegooid. Opnieuw ging het erafgooien prima, maar het probleem blijft bestaan.

Ik heb trouwens een screenshot gemaakt van wat ik te zien krijg als ik een URL intyp die niet bestaat, in dit geval www.dezeurlbestaatniet.com:

Iemand nog ideeën?

[ Voor 4% gewijzigd door Verwijderd op 11-01-2004 01:13 . Reden: img aanpassen ]

[Verwijderd]

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.nl/
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\PROGRAM FILES\ADOBE\ACROBAT 5.0\READER\ACTIVEX\ACROIEHELPER.OCX

Ligt het nou aan mij of moet hier nog wat bij/tussenstaan?
(Kan zelf niet checken want m'n sys heeft niet genoeg rechten om IE te lezen)

[Verwijderd]

Hehe ik heb eindelijk een oplossing gevonden voor dat kl*teprobleem.

DotComToolbarverwijderstappenplan:
^{Misschien gelden sommige stappen voor jouw probleem niet; sla deze dan gewoon over.}

1. Ga naar configuratiescherm - toevoegen/verwijderen software en verwijder daar de DotComToolbar en andere verdachte programma's die je niet op je pc wilt.

2. Open Internet Explorer, ga naar Extra - Internet-opties - Geavanceerd, en zorg dat "Installatie op afroep inschakelen (Internet Explorer)" en "Installatie op afroep inschakelen (overig)" zijn UITGESCHAKELD.

3. Download Spybot Search & Destroy (www.download.com) en scan & clean je systeem.

4. Download Hijack This! (www.download.com) en scan je systeem. Verwijder alle verdachte sleutels. Bij twijfel even je log-file op dit forum plaatsen, dan zijn er vast wel mensen die je ff kunnen zeggen welke je moet verwijderen.

5. Open het bestand C:\WINDOWS\SYSTEM32\DRIVERS\ETC\HOSTS met Notepad (Kladblok), als je dit bestand op je computer hebt staan. Het kan zijn dat er in dit bestand deze regel te vinden is: "213.222.11.11 auto.search.msn.com". Verwijder deze regel dan.

6. Zorg ervoor dat er geen proces "redirectX.exe" actief is, waar de X een cijfer kan zijn van 1 tot 8. Voor XP: druk cntrl+alt+del, ga naar het andere tabblad om ALLE processen met redirectX.exe af te sluiten.

7. Zoek (Start - Zoeken - Bestanden of mappen) op je computer met zoekterm "redirect". Alle exe-bestanden met redirect erin verwijderen.

8. Klik op Start - Uitvoeren. Typ in: "regedit". Ga naar deze map: HKEY_LOCAL_MACHINE-SOFTWARE-Microsoft-Windows-CurrentVersion-Run. Verwijder de sleutels met redirect of wwweasy erin.

9. Scan met een goede up-to-date-virusscanner je systeem; het kan zijn dat er een virus zit dat de hele toolbar over een tijdje weer opnieuw installeert. Verwijder dit virus indien aanwezig.

10. Als je nu nog steeds het probleem hebt dat je wordt doorgestuurd naar een site van dotcomtoolbar.com of abcsearch.com bij het intypen van een verkeerde URL in Internet Explorer, zorg dan dat je de laatste versie van Internet Explorer hebt geïnstalleerd! Ga hiervoor naar Extra - Windows Update en laat je systeem helemaal updaten. Als je al de laatste versie van IE hebt, installeer het dan helemaal opnieuw.

11. Installeer ZoneAlarm Pro en zorg dat dat altijd aanstaat, en pas op op gevaarlijke sites (zoals porno).

Zo moet het allemaal weer werken! Veel succes.

[Mike Jarod]

Complimentje dat het nu wel gelukt is.

Dus het probleem was - zo maak ik uit je verhaal op - dat je een oudere IE draaide? Alle eerdere stappen hebben we volgens mij wel doorlopen in dit topic? Ook zag ik in je HT log helemaal geen HOSTS entries? Stonden die er wel maar gaf HT die niet weer? In dat geval had Schouw gelijk dat ie wat miste. Laat HT in dit geval een steekje vallen? Zo ja welke versie van HT heb je gebruikt?

Ik heb zojuist ook nog even op een testpc die dotcom troep geinstalleerd om te kijken wat er allemaal gebeurde, en dat was idd alles wat je hierboven beschrijft.

[Verwijderd]

Het probleem was bij mij dus inderdaad een oude versie van IE. Ik denk dat er ergens in het systeem nog een code is blijven staan, die met het installeren van IE vervangen is.

Over mijn HT-log: ik heb er zojuist nog een laten maken. Ik zal niet iedereen op dit forum ermee lastig vallen, hij is hier te lezen:

http://members.chello.nl/buijsbtc/hijackthis.log

Zou kunnen dat er wat mist bij mij hoor, heb misschien in mijn woede wat verkeerde entries verwijderd maar ik heb nu nergens last meer van dus het maakt me niet uit

In ieder geval bedankt iedereen!!

[Mike Jarod]

Verwijderd schreef op 11 januari 2004 @ 13:34:
Over mijn HT-log: ik heb er zojuist nog een laten maken. Ik zal niet iedereen op dit forum ermee lastig vallen, hij is hier te lezen:

http://members.chello.nl/buijsbtc/hijackthis.log

Doe eens een register cleanup met bv JV16 Powertools. Ik zie namelijk dit staan:

code:

O4 - HKLM\..\Run: [CriticalUpdate] C:\WINDOWS\SYSTEM\wucrtupd.exe -startup

En volgens deze pagina is dat een virus. Maar ik heb vaker meegemaakt dat als je je pc schoonmaakt met AAW/virusscanner dat dit soort files wel gecleaned worden, maar je register niet. Dus misschien is dit gewoon een verwijzing naar een bestand wat niet meer bestaat. Kijk dat nog even na zou ik zeggen.

[blackd]

wucrtupd.exe kan ook van Windows Update zijn, critical update notification, zie hier.
Dat virus nestelt zich, aldus sophos, in HKEY_CURRENT_USER, en niet in HKEY_LOCAL_MACHINE. Het hoeft dus geen virus te zijn.

Mike Jarod:
Dus misschien is dit gewoon een verwijzing naar een bestand wat niet meer bestaat.

Voor zover ik weet geeft HijackThis dat ook aan, dan staat er file not found o.i.d. achter.

[Mike Jarod]

blackd schreef op 11 januari 2004 @ 13:46:
wucrtupd.exe kan ook van Windows Update zijn, critical update notification, zie hier.
Dat virus nestelt zich, aldus sophos, in HKEY_CURRENT_USER, en niet in HKEY_LOCAL_MACHINE. Het hoeft dus geen virus te zijn.

I stand corrected Heb idd niet gekeken naar de registerlocatie op die pagina. Ik denk dat blackd gelijk heeft.

[Verwijderd]

Verwijderd schreef op 10 januari 2004 @ 20:30:
Heb op mijn PC gezocht naar een bestand hosts ofzo, maar kon niets vinden. Weet dus niet hoe ik dit moet editen (heb op deze computer Windows 98 staan).

Windows 98 dus.

Verwijderd schreef op 11 January 2004 @ 13:02:
5. Open het bestand C:WINDOWSSYSTEM32DRIVERSETCHOSTS met Notepad (Kladblok), als je dit bestand op je computer hebt staan. Het kan zijn dat er in dit bestand deze regel te vinden is: "213.222.11.11 auto.search.msn.com". Verwijder deze regel dan.

Het pad naar de hosts-file hoort bij Windows XP

Wat is het nou

[ Voor 6% gewijzigd door Verwijderd op 11-01-2004 14:26 ]

[Verwijderd]

Compeutje: ik heb die stap erbij gezet voor WinXP-users. Dan hebben anderen ook nog wat aan dat stappenplan, want Win98 raakt steeds meer uit de mode (en terecht).

Verder is dat bestand idd geen virus maar gewoon een Win-bestand. Ik ben dus clean nu . Wel bedankt voor dat JV16 Powertools, da's iig heel handig!!

Ciao

[Verwijderd]

Bovenstaande berichten hebben me een heel eind op weg geholpen, daarom wilde ik met dit bericht wat terug doen. Een belangrijke zaak ontbreekt namelijk in de discussie nog: DotComToolbar zet nog een regel in de "host" file '213.222.11.11 auto.search.msn.com' en die moet weg.

Ik heb onderstaande notitie voor mezelf gemaakt (voor de volgende besmetting ). Ik hoop dat engels geen probleem is.

------------------------------------------------------------------------------------
DotComToolbar (Dot Com Toolbar) is hard to remove spyware.
It adds several tricks to the system to reinstall the spyware:
- the ip address of the server of the spypeople to the "host" file
- a replacement of windows media player
- an entry in the run key of the registry
- browser objects
- a process

I would advise to
1 close all browsers (or DotComToolbar will reinstall!)
2 Use Start|ControlPanel|Add/Remove Programs
uninstall DotComToolbar
3 reinstall windows media player
make sure wmplayer.exe (20kB) in C:Program Files\Windows Media Player
(and dated more recent then the other files in that directory
is replaced by the real one - with a good looking icon and a size
of about 500kB)
4 run Lavasoft Adaware
- get the latest reference file from lavasoft or it won't work
- it kills the process (redirect5.exe)
- it removes several registry entries (including the run key 'redirect')
- removes browser hijacks
5 locate the 'host' file (typically in c:\windows\system32\drivers\etc\)
- remove the line '213.222.11.11 auto.search.msn.com'
yes, the spy people pretend to be msn
- I even made it read-only
6 no you can start browsing again
------------------------------------------------------------------------------------

[Verwijderd]

Verwijderd schreef op 11 januari 2004 @ 21:16:
Bovenstaande berichten hebben me een heel eind op weg geholpen, daarom wilde ik met dit bericht wat terug doen. Een belangrijke zaak ontbreekt namelijk in de discussie nog: DotComToolbar zet nog een regel in de "host" file '213.222.11.11 auto.search.msn.com' en die moet weg.

[knip]

Verwijderd in "Dot Com Toolbar niet weg te krijgen *"

Heb je wel alles gelezen?

[Verwijderd]

vergeet ook net voor het opstarten je startpagina te veranderen!!! redirect*.exe zorgt voor een ongewenste startpagina waardoor de dotcom toolbar misschien weer geinstalleerd wordt.