PC verstuurd 1000én spam-berichten

[RedHat]

Hallo,

De pc hier verstuurd al enkele dagen 1000én spamberichten. Norton Antivirus ziet niets, Enkele Trojan Removers (op aanrade van planet) vinden ook helemaal niets.

Heb reeds een waarschuwing van planet ontvangen, maar kan ook niets vreemds vinden.

Iemand enig idee, de nieuwste virusdefinities helpen ook niet.

[wildhagen]

Al eens een andere virusscanner geprobeerd? Desnoods een Online-scanner á la HouseCall?

Al een Spybot/Ad-aware gedraaid?

Draaien er geen vreemde processen?

Staan er geen rare poorten open?

[RSpliet]

niet toevallig webservertje met php oid draaien? Welke toevallig gehaxord is en waar vervolgens een script bij is gepleurt om zo e-mails te versturen?

[Verwijderd]

edit:

laat maar, las verkeerd

[ Voor 77% gewijzigd door Verwijderd op 28-12-2003 20:19 ]

[Laurenz]

Formatteren lijkt me geen slecht idee..
Wel *** mja, vraag me af of je er anders wel van af kan komen.
En aangezien planet anders maatregelen gaat nemen zal ik maar zo snel mogelijk er vanaf proberen te komen, koste wat kost

[Verwijderd]

Check je start up items(run, services etc)
Check je running processes.

Run desnoods HijackThis en post je log hier.

[RedHat]

Nee, ik verstuur enkel viagrapillen per mail.

Heb ook housecall e.d. geprobeerd.

Alle poorten op 80 & 110&113 na staan dicht.

[RSpliet]

woeii, k had dus nieteens zo'n slech ideetje ook. Stamp poort 80 firewallmatig dicht (=HTTP-server), 110=pop3.... heb jij n mailserver draaien? ....

offtopic:
Reactie op Henk007: Misschien is z'n pc wel gehijacked, heeft die hijacker t script neergekwakt, Apache geinstalleerd en gaat er vervolgens op GoT over vragen .
Denk dat hij gwoon haast had omdat ie er binnen 15 seconden vanaf wilt.... best vervelend probleem nl.

[ Voor 61% gewijzigd door RSpliet op 28-12-2003 20:23 ]

[Henk007]

Beetje vreemd vind ik dat iemand met >6000 posts verder geen info geeft bijvoorbeeld over welk OS, welke processen draaien er, een voorbeeld header van een spam mailtje. Allleen dat zijn/haar PC spams verstuurd...

[alt-92]

Je draait dus een webserver.
Bovenstaande vraag nog nagekeken? (scripts?)

Zet die eens uit, en knal een sniffer of iets als TCPview aan op die bak.

[Sjowhan]

S3v3n_0f_n1n3 schreef op 28 december 2003 @ 20:20:
woeii, k had dus nieteens zo'n slech ideetje ook. Stamp poort 80 firewallmatig dicht, 110=pop3.... heb jij n mailserver draaien? ....

POP is alleen voor binnenkomende mail geloof ik.
Poort 25 zou open moeten staan (is SMTP, voor uitgaande mail dus). Probeer deze is dwangmatig te sluiten

[RedHat]

Logfile of HijackThis v1.97.7
Scan saved at 20:22:54, on 28-12-2003
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Norton AntiVirus\navapsvc.exe
C:\Program Files\Norton AntiVirus\AdvTools\NPROTECT.EXE
C:\WINDOWS\Explorer.EXE
C:\Program Files\Alcatel\SpeedTouch USB\Dragdiag.exe
C:\Program Files\Winamp\Winampa.exe
C:\Program Files\Messenger Plus! 2\MsgPlus.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Documents and Settings\Wesley\Mijn documenten\hijackthis\HijackThis.exe

O4 - HKLM\..\Run: [iwziupd] rundll32 C:\WINDOWS\System32:iwziupd.dll,Init 1
O4 - HKLM\..\RunOnce: [*iwziupd] rundll32 C:\WINDOWS\System32:iwziupd.dll,Init 1
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)

[RSpliet]

Ga eens voor de lol naar je eigen ip poort 80 met je browser. Zie je dan iets bekends?

[wildhagen]

Die zooi met iwziupd.dll, wat is dat? Nooit van gehoord.... de rest lijkt zo op het oog OK...

[Verwijderd]

C:\WINDOWS\System32:iwziupd.dll,Init 1

U hebt voor 99% zeker een afcore variant te pakken.
Run deze tool eens. clrav
Die detecteert de .q variant die eigenlijk het meeste voorkomt en net zoals dit geval een ADS variant is.

[RedHat]

nope, geen servers draaien hier. En ook niets te zien.

Problem solved, planet heeft mail afgesloten.
Heb rechten van andere gebruikers tot het minimum gezet, geen mail helemaal niks, alleen nog *.doc, *.txt, en surfen.

MSN = no go.

morgen ff belletje doen naar planet.

[ Voor 68% gewijzigd door RedHat op 28-12-2003 20:29 ]

[StevenK]

RedHat schreef op 28 december 2003 @ 20:15:
Hallo,

De pc hier verstuurd al enkele dagen 1000én spamberichten. Norton Antivirus ziet niets, Enkele Trojan Removers (op aanrade van planet) vinden ook helemaal niets.

Heb reeds een waarschuwing van planet ontvangen, maar kan ook niets vreemds vinden.

Iemand enig idee, de nieuwste virusdefinities helpen ook niet.

Je zou kunnen beginnen met een filter op poort 25 uitgaand te zetten; dan weet je zeker dat er geen mail meer uitgaat.

[Verwijderd]

RedHat schreef op 28 december 2003 @ 20:27:
Problem solved, planet heeft mail afgesloten.
Heb rechten van andere gebruikers tot het minimum gezet, geen mail helemaal niks, alleen nog *.doc, *.txt, en surfen.

Voor het geval je het gemist hebt:
Verwijderd in "PC verstuurd 1000én spam-berichten"

[RedHat]

Verwijderd schreef op 28 december 2003 @ 20:31:
[...]

Voor het geval je het gemist hebt:
Verwijderd in "PC verstuurd 1000én spam-berichten"

Nee niet gemist, maar is op dit moment onbereikbaar.
Zal d'r misschien ook wel mee te maken dat planet mij deels afgesloten heeft.

[eXcyle]

http://eXcyle-2.no-ip.com/clrav.com <-- http mirror op me servertje hier ....

[Br@m]

@Schouw

Bedankt voor je antwoord

offtopic:
Een heel erge offtopic vraag aan je

Scant Kaspersky 4.5 ook de binnenkomende mail van bv. Eudora en/of Outlook Express? Of werkt dit alleen bij Outlook?

[ Voor 9% gewijzigd door Br@m op 28-12-2003 20:45 ]

[RedHat]

eXcyle schreef op 28 december 2003 @ 20:37:
http://eXcyle-2.no-ip.com/clrav.com <-- http mirror op me servertje hier ....

Werkt hier ook niet.
Lijkt me verstandig dat ik dan morgen een belletje pleeg naar planet en de andere gebruikers van de laptop goed kort houd.

[RSpliet]

offtopic:
eXcyle, misschien handig als je je server zo aanpast dat ie de jusite headers meestuurd. Mozilla (Firebird)leest dat .com bestand als webpagina, en dan krijg je hele rare resultaten, maar geen werkende download...

[ Voor 1% gewijzigd door RSpliet op 28-12-2003 20:49 . Reden: Zonder knipoog staat zo bot ;) ]

[Verwijderd]

Br@m schreef op 28 december 2003 @ 20:38:
@Schouw

offtopic:
Een heel erge offtopic vraag aan je

Scant Kaspersky 4.5 ook de binnenkomende mail van bv. Eudora en/of Outlook Express? Of werkt dit alleen bij Outlook?

Ik geloof dat het wel gaat, maar dat werkt nogal krempel imho, om die reden nooit echt in verdiept en ben ook geen support meneer.
Maar als je KAV on access draait is zoiets eigenlijk overbodig.
KAV 5, die in Q1 2004 gereleased zal gaan worden, heeft full pop/smtp scanning, ongeacht het prog.

Edit:
Ik heb ook nog een mirrior gemaakt, maar @home liet het niet toe om de eerste te zijn.
http://members.home.nl/kav/clrav.com
http://members.home.nl/kav/clrav.zip

[ Voor 14% gewijzigd door Verwijderd op 28-12-2003 20:43 ]

[eXcyle]

S3v3n_0f_n1n3 schreef op 28 december 2003 @ 20:42:

offtopic:
eXcyle, misschien handig als je je server zo aanpast dat ie de jusite headers meestuurd. Mozilla (Firebird)leest dat .com bestand als webpagina, en dan krijg je hele rare resultaten, maar geen werkende download...

offtopic:
linux serverje draaid nog maar net een dag, dus ik ben hem nog aan het instellen ... en dat die DL vaag doet in mozilla kwam ik net ook achter toen ik hem teste

maar in elk geval bedankt

[RedHat]

Ook de mirrors @ @home doen het hier niet.
Morgen word het dus even een belletje plegen en hopen dat ik geholpen word, ook al realiseer ik dat niet HUN verantwoordelijk zijn maar IK.

[Verwijderd]

Heb je geen webmail waar je nog opkunt? Hotmail oid?
Dan zou ik het ding kunnen mailen.

Off-topic: Symantec had beter de tijd die in DRM is gaan zitten in ADS support kunnen duwen.
Het is niet dat NAV de(gewone) file niet kan detecteren, het kan gewoon geen Alternative Data Streams 'lezen'.

[BasHouse]

als het bovenstaande allemaal niet helpt zou ik toch gewoon lekker gaan ghosten/formatteren hoor... vage shit allemaal....

[RedHat]

Je kan het proberen op [e-mail] , alleen het probleem is dat ik het bestand waarscheinlijk niet kan downloaden.

Nog mijn excuses voor mijn vraagstelling die een beetje vluchtig was, en misschien met te weinig informatie.

[zetje01]

Wat denk je dan dat Planet aan jouw pc gaat doen, RedHat?
(ik bedoel, omdat je zei dat je ze ging bellen)

[ Voor 31% gewijzigd door zetje01 op 28-12-2003 20:53 ]

[wildhagen]

Verwijderd schreef op 28 december 2003 @ 20:49:

Off-topic: Symantec had beter de tijd die in DRM is gaan zitten in ADS support kunnen duwen.
Het is niet dat NAV de(gewone) file niet kan detecteren, het kan gewoon geen Alternative Data Streams 'lezen'.

Is er eigenlijk een (goede) virusscanner die dat wel kan? Op mijn werk hebben we namelijk iets soortgelijks gehad, waar alleen een nieuwe Ghost-image hielp. McAfee zag niets (beetje vergelijkbaar met het probleem van RedHat qua symptomen. Iig versie 4.51 niet, nieuwere hebben we (nog) niet geprobeerd...

[Verwijderd]

zetje01 schreef op 28 december 2003 @ 20:53:
Wat denk je dan dat Planet aan jouw pc gaat doen, RedHat?
(ik bedoel, omdat je zei dat je ze ging bellen)

Ik neem aan dat hij z'n verbinding terug wilt, zodat hij de tools kan benaderen die hij nodig heeft om die file van z'n pc af te krijgen.

Edit:
@ Wildhagen.
McAfee kan het vanaf versie 7, weet wel niet welke build daarvan.(Heb toen 7.02 geprobeerd).

KAV heeft sinds 4.5.0.94 full ADS support. (Meerdere manieren om ADS te implementeren, net de manier die afcore.q gebruikte, werd eerst nog niet ondersteunt.)

[ Voor 32% gewijzigd door Verwijderd op 28-12-2003 21:00 ]

[tricktrac]

Je kunt hem natuurlijk ook ff handmatig proberen killen. Machine opstarten in Safemode/dosmode. Bestand iwziupd.dll hernoemen, en machine weer starten. Daarna nog even de run en runonce key uit de registry weghalen.

[RedHat]

Dat ik m'n verbinding weer terug krijg. Formatteren is een optie.

[Henk007]

Heb je niet nog een analoge modem liggen RedHat? Maak ff een verbinding via KPN DirectInternet ( 06760-12321 ) , zodat je in ieder geval het tooltje kan DLen. Wij zijn ook benieuwd wat er aan de hand is.

[RedHat]

Helaas niet tot mijn beschikking.

[Verwijderd]

Via hotmail al geprobeerd?

[alt-92]

RedHat schreef op 28 december 2003 @ 20:57:
Dat ik m'n verbinding weer terug krijg. Formatteren is een optie.

Maak dan iig voor forensics (gewoon, onderzoek om oorzaak te achterhalen, zodat het niet nog een keer voorkomt) een image van je systeem.

[RedHat]

"Nothing to Clean"

Het lijkt weg, zie nu ook niet dat er mails verstuurd word.
Vreemde vogel

even screenshotje uploaden van NAV.

[ Voor 80% gewijzigd door RedHat op 28-12-2003 21:10 ]

[Verwijderd]

RedHat schreef op 28 december 2003 @ 21:08:
"Nothing to Clean"

Het lijkt weg, zie nu ook niet dat er mails verstuurd word.
Vreemde vogel

Reboot eens?
Als het weg is, krijg je zeer waarschijnlijk een melding van 'systeem kan ...dll niet vinden' oid.

[RedHat]

Gereboot, geen melding

http://members1.chello.nl/~h.eversen/nav.gif

screenshot van NAV.

[Verwijderd]

Open cmd en vul in:

code:

rundll32 C:\WINDOWS\System32:iwziupd.dll,Uninstall

(Het kan zijn dat je eerst in je \system32 moet zijn in command).

Dit unregistered de dll van het systeem.

Edit:
Zal navragen of er nieuwe afcore varianten zijn die ook ADS gebruiken maar niet door clrav worden gecleaned.

Zou hem érg graag willen hebben als dit een nieuwe is..

[ Voor 32% gewijzigd door Verwijderd op 28-12-2003 21:18 ]

[RedHat]

Het is weg.
Rebootje en dan kijken wat NAV zegt.
NAV blijft errors geven bij email scanning+auto protect (wil niet aan).
Keep you informed

[ Voor 50% gewijzigd door RedHat op 28-12-2003 21:22 ]

[Verwijderd]

Heb je die regel code van me uitgevoerd?
Wat voor melding kreeg je daar bij?

[RedHat]

dat "AF" verwijderd was.
nogmaals m'n excuses voor mijn vraagstelling en de informatie die ik gaf, heb het topic paar keer doorgelezen en ergerde mezelf toch wel een beetje aan mezelf

desbetreffende mail:

code:

Geachte heer/mevrouw,

Wij willen u erop attenderen dat het volgende misbruik vanaf uw account is
gepleegd:

-  Het per Email en/of op Usenet versturen van ongevraagde reclame (voor
bijvoorbeeld een website/homepage) naar gebruikers, waar dan ook op het
Internet.

Het bericht luidde als volgt (inclusief header):
-------------------------
[ Offending message ]
X-Apparently-To: x via 217.12.10.45; Tue, 23 Dec 2003 22:53:47 +0000
X-YahooFilteredBulk: 81.205.12.132
Return-Path: <[e-mail]>
Received: from 81.205.12.132  (EHLO dplanet.ch) (81.205.12.132)
  by mta102.mail.ukl.yahoo.com with SMTP; Tue, 23 Dec 2003 22:53:39 +0000
From: "Casandra Starr" <[e-mail]>
MIME-Version: 1.0
Subject: Aloha
To: x
Date: Wed, 24 Dec 2003 04:45:04 +0000
Content-Type: text/html
Content-Transfer-Encoding: 8bit
Content-Length: 767

<HTML>
<BODY>
<P><FONT SIZE=2>Sometimes people call it "Magic Lubricant".
Sometimes -  "Power Bottle" .</FONT>
<BR><FONT SIZE=2>Why?</FONT>
</P>
<P><FONT SIZE=2>An amazing erection WITHING SEVERAL SECONDS is guaranteed 
to
you!</FONT>
<BR><FONT SIZE=2>Double-strengthed orgasm and full satisfaction... I guess
this is excatly what are waiting from sex!</FONT> </P>
<P><FONT SIZE=2>Your easy-to-use solution is here: 
<A
HREF="http://www.ghkp.us/vpoil/?mail8">http://www.ghkp.us/vpoil/?mail8</A></
FONT>
</P>
<P><FONT SIZE=2>-----</FONT>
<BR><FONT SIZE=2>Link below is for that people who dislike 
adv.....</FONT>
<BR><FONT SIZE=2>
<A
HREF="http://www.ghkp.us/vpoil/optout.shtml?mail8">http://www.ghkp.us/vpoil/
optout.shtml?mail8</A></FONT>
</P>
<BR>

</BODY>
</HTML>

0
-------------------------
Gezien de inhoud van de email is het zeer waarschijnlijk dat deze niet door
uzelf is verzonden, maar door middel van een open proxyserver of een
besmetting met een trojan horse.

Proxyserver
Een proxyserver op uw computer is vaak een programma om uw
internetverbinding te delen met meerdere pc's. Een openstaande proxy houdt
in dat een kwaadwillende gebruiker vanaf het internet gebruik kan maken van
uw proxyserver. Dit komt in de meeste gevallen doordat de proxysoftware niet
up-to-date is. Verouderde versies van proxysoftware bevatten vaak
veiligheidslekken en kunnen hierdoor misbruikt worden door derden. Het is
daarom van groot belang dat u altijd de meest recente versie van uw
proxysoftware geïnstalleerd heeft.
Verder dient u ervoor te zorgen dat de configuratie van uw proxyserver zo
geconfigureerd is dat alleen de computers op het lokale netwerk van de
proxyserver gebruik kunnen maken. De proxyserver mag dus niet vanaf het
internet (externe netwerk) bruikbaar zijn.

Trojan horse
Wanneer u geen netwerk heeft of geen gebruik maakt van een proxyserver is
het mogelijk dat de problemen worden veroorzaakt door de aanwezigheid van
een 'trojan horse'.
Op de onderstaande links kunt u twee verschillende trojan horse removers
downloaden:

Trojan Remover - http://www.networkingfiles.com/AntiVirus/Trojanremover.htm 
Anti Trojan - http://www.anti-trojan.net-software-download.com/

Hiermee zijn aanwezige trojan horses te detecteren en te verwijderen van uw
computer. Het is 
echter mogelijk dat met deze removers geen trojan horses gedetecteerd
worden. Wij adviseren u 
in dat geval met een andere remover uw computer nogmaals te doorzoeken.
Wanneer u op 
bijvoorbeeld http://tucows.planet.nl/ zoekt op 'trojan' kunt u verschillende
andere removers 
vinden.

Graag vernemen wij gedetailleerd uw bevindingen.

U kunt uitsluitend op dit bericht reageren door op "reply" of "antwoorden"
te klikken, of door uw reactie te sturen aan [e-mail] /

[ Voor 173% gewijzigd door RedHat op 28-12-2003 21:33 ]

[Verwijderd]

Great @ ISP, ze hadden natuurlijk ook fatsoenlijke AT's aan kunnen raden.
(Naja, beetje bot maar ze staan niet echt bekend om heel goede detectieratio)

Lopen alle benodigde NAV processen wel? Mja, NAV heeft wel vaker last gewoonweg niets meer te doen na infectie.

Zojuist Moskou gemaild om te checken of er nieuwere ADS versies van afcore zijn.
Misschien is het dan handiger om eens met KAV te scannen.
(Wat natuurlijk niet hoeft, het is niet m'n taak/ding om iemand dat aan te smeren, we hebben een trial).

[RedHat]

Verwijderd schreef op 28 december 2003 @ 21:53:
Great @ ISP, ze hadden natuurlijk ook fatsoenlijke AT's aan kunnen raden.
(Naja, beetje bot maar ze staan niet echt bekend om heel goede detectieratio)

Lopen alle benodigde NAV processen wel? Mja, NAV heeft wel vaker last gewoonweg niets meer te doen na infectie.

Zojuist Moskou gemaild om te checken of er nieuwere ADS versies van afcore zijn.
Misschien is het dan handiger om eens met KAV te scannen.
(Wat natuurlijk niet hoeft, het is niet m'n taak/ding om iemand dat aan te smeren, we hebben een trial).

Ik wil best wel een trial versie downloaden, maar zolang mijn adresgegevens verplicht zijn voor een trial versie kijk ik nog even verder.

Klinkt misschien heel lullig, en is het misschien ook wel, maar ik vul niet zomaar m'n gegevens in. Of heb ik niet verder gekeken dan m'n neus lang is?

Heb hem nu via een 'omwég' kunnen downloaden van de kaspersky site.
Hartelijk dank.

[ Voor 6% gewijzigd door RedHat op 28-12-2003 22:08 ]

[Mr.Nobody]

dat dacht ik ook, maar de trial zijn zo te benaderen en te dl: http://www.kaspersky.com/download.html?id=26 das de pro

hier staan ze allemaal: http://www.kaspersky.com/...l?chapter=557092&tgroup=2

gewoon op download klikken

edit: shit, dat zijn alleen updates
edit2: hij installed wel gewoon?

[ Voor 56% gewijzigd door Mr.Nobody op 28-12-2003 22:11 ]

[Verwijderd]

RedHat schreef op 28 december 2003 @ 22:05:
[...]

Ik wil best wel een trial versie downloaden, maar zolang mijn adresgegevens verplicht zijn voor een trial versie kijk ik nog even verder.

Klinkt misschien heel lullig, en is het misschien ook wel, maar ik vul niet zomaar m'n gegevens in. Of heb ik niet verder gekeken dan m'n neus lang is?

Ik zou heel graag een url hebben waar staat dat je je adres moet achterlaten voor een trial. _Niet_ het geval.

ftp://ftp.avp.ru/products...ish/homeuser/kavpersonal/

Dat is een bijna directe link.
Probleempje is wel dat je een trialkey moet aanvragen dmv. mail.
Heb maar even gemaild voor je.(Comp die keys maakt heb ik niet hier).

Edit:
Ik word écht langzaam.

[ Voor 3% gewijzigd door Verwijderd op 28-12-2003 22:12 ]

[RedHat]

Interne Fout Kaspersky AV Control Centre

was wel de trial versie en niet de update.

[ Voor 37% gewijzigd door RedHat op 28-12-2003 22:20 ]

[Verwijderd]

RedHat schreef op 28 december 2003 @ 22:16:
Interne Fout Kaspersky AV Control Centre

Hmm..
Nouja, CC is ook niet noodzakelijk.
Download de files uit onderstaande directory en gooi die in je Program Files\Common Files\KAV Shared Files\Bases dir.
ftp://ftp.avp.ru/updates_x

Start dan de KAV scanner (via start, progs, KAV of handmatig avp32.exe starten)
Hoop dat die er wel nog zin in heeft.

Omdat je (nog) geen key hebt, kun je nog niets deleten.
Het kan zijn dat hij wat legit files flagt, die dir is voor x-bases met herkenning voor hacktools e.d.

[Slayer]

avg 7.0 pro demo

http://www.grisoft.com/us/us_dwnl7.php

[Verwijderd]

Owja, check even de versie van KAV.
Het _moet_ 4.5.0.94(of hoger) zijn.
Anders ziet de scanner de ADS file waarschijnlijk niet.

[Miki]

Norton antivirus komt de laatste tijd veeel in beeld bij GoT...tis alleen in negatieve zin Wil niet zeggen dat andere virus-scanner zo goed zijn, maar heb nu al 5 á 6 topics meegemaakt waarbij een persoon een trojan of een virus te pakken heeft die niet door Norton gevonden werden. Lijkt erop of Symantec nu mindere producten leverd en alleen wil scoren door hun naam, die ijzersterk is.

[Kama]

Henk007 schreef op 28 december 2003 @ 20:21:
Beetje vreemd vind ik dat iemand met >6000 posts verder geen info geeft bijvoorbeeld over welk OS, welke processen draaien er, een voorbeeld header van een spam mailtje. Allleen dat zijn/haar PC spams verstuurd...

Heel erg off-topic, maar het is hier toch echt verstuurT

[ Voor 4% gewijzigd door Kama op 28-12-2003 22:35 ]

[arjants]

RedHat schreef op 28 december 2003 @ 20:23:
Running processes:

[C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Documents and Settings\Wesley\Mijn documenten\hijackthis\HijackThis.exe

O4 - HKLM\..\Run: [iwziupd] rundll32 C:\WINDOWS\System32:iwziupd.dll,Init 1
O4 - HKLM\..\RunOnce: [*iwziupd] rundll32 C:\WINDOWS\System32:iwziupd.dll,Init 1
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)]

Wat doet die "HijackThis.exe" daar eigenlijk?

[ Voor 4% gewijzigd door arjants op 28-12-2003 22:34 ]

[Verwijderd]

arjants schreef op 28 december 2003 @ 22:34:
[...]


Wat doet die "HijackThis.exe" daar eigenlijk?

Dat is HijackThis, waarmee de 'snapshot' is genomen.
Er is al vastgesteld om welke file het gaat

[_fm]

Nu nog zorgen dat het niet nog eens gebeurd dus. Wat volgens velen helpt is het gebruiken dan een ander os dan windows, maar aangezien dat door velen als niet-aan-de-orde gezien wordt is het wellicht een idee om met een andere browser dan internet explorer, en een andere mailclient dan outlook te gaan werken. (ben zelf linuxer, maar volgens mensen die nog niet 'om' zijn scheelt dat wisselen van browser en emailclient toch een hoop ellende)
Niet dat het een permanente oplossing is, maar diversiteit is in de praktijk een redelijk goede verdediging tegen allerlei standaard exploits

offtopic:
(onderstaande niet tegen redhat, maar voor al die mensen waar ik dagelijks spam van mag ontvangen of in de toekomst spam van ga ontvangen)
Verder moet ik nog even wat spam/verantwoordelijkheidsfrustratie kwijt. Een groot deel van de spam die ik dagelijks mag ontvangen komt van consumentenaansluitingen, mensen die een trojaan op hun pc hebben staan. Ik vind dat als jij een pc met internetaansluiting hebt en die dus deel uitmaakt van internet en jij van de internetgemeenschap, je je ook verantwoordelijk dient te gedragen tegenover de rest van de wereld. Een trojan op je pc hebben is _geen_ excuus. Die trojan is er gekomen doordat jij je patches/updates niet hebt bijgehouden of jij iets geopend hebt wat je niet had moeten openen. De rest van internet wordt geschaad door de mentaliteit dat updates bijhouden niet nodig/belangrijk/of zelfs geheel onbekend is. Ik vind dat erg jammer. Wat mij betreft mag een provider in zo'n geval direct afsluiten tot het einde van de maand, als dat de enige manier is om de houding van de gebruiker te verbeteren.

[Henk007]

[Heel erg off-topic, maar het is hier toch echt verstuurT

Nog veel meer offtopic
Inderdaad, dat was net de reden waarom ik die letter bold heb gemaakt heb in mijn verwijzing naar de topic title.

[ Voor 6% gewijzigd door Henk007 op 28-12-2003 23:00 ]

[RedHat]

Laptop geformatteerd, win2k als os.
Nu niemand er meer op totdat alle restricties goed zijn.

Reden waarom linux hier niet draait is, dat ik niet de enige gebruiker van de laptop ben, toen ik nog een workstation had draaide er dualboot win2k/debian. Maar het kiezen tussen windows & debian vonden ze al te moeilijk

Deze laptop is ook niet van mijzelf maar van mijn vader, ik ben een beetje gestopt met pc's e.d. maar mag nog wel andermans rotzooi opruimen. Maar nu komen er gewoon strengere restricties op.

Voor de rest komt er Mozilla Firebird op, als ze zeuren dat sommige pagina's niet goed weergegeven worden is dat niet mijn probleem, maar de probleem van de surfer of diegeen waar de site van is, moeten ze het maar volgens W3C maken.

Voor mail komt er een andere cliënt. Er komen nu restricties, en gewoon maar weer op de oude harde aanpak, als er gekloot word of iets in die richting, account lock van 7 dagen.

Mijn vader (waarvan de laptop is) is het er gelukkig mee eens. Dus dat is wel een voordeel.

Voor de rest bedankt voor de replies, en steun. Wat het precies was, weet ik niet, maar naast het spam versturen was de laptop ook ongebruikelijk. (Windows startte op, duur=1uur, voordat je je desktop ziet, nog maar niet praten over de achterliggende programma's). Dus was wel al bang dat het om hardware kon betreffen maar dat viel gelukkig mee.

Bedankt allen.

Nog even een toevoeging, het is niet makkelijk om een laptop te onderhouden waar meerdere mensen op willen die te veel willen en te weinig kunnen. En aangezien ik niet de baas hier in huis, is het nog moeilijker, want niet ik bepaal wat er gebeurd, maar mijn vader. Hoop dat hij hier van geleerd heeft en dat ik nu eindelijk mijn gang kan gaan om het eens een keer normaal te laten verlopen, zonder gezeik om virussen, van die kl*te msn-doorstuur-bestanden dat je penis 20 cm groter word als je het bestandje draait etc. Ik ga héél wat dingen afsluiten, en that's it. Als ik er gezeik mee krijg met mijn vader, formatteer ik en raak het niet meer aan, en als het verkloot is maak ik ook niets meer dan gaat ie maar naar de PC-boer. Want ik kan de laptop niet goed houden als niets mag, en er van alles mee moet gedaan worden (MSN voor m'n broer, mail (hotmail), exe bestanden draaien, programma's installeren etc) dat is nu gewoon voorbij. Zoniet, format ik gewoon de boel, schone install, en bekijk het maar.

Zo, frustratie weg

[ Voor 28% gewijzigd door RedHat op 31-12-2003 14:01 ]

[Verwijderd]

Was het niet over nadat je die code had uitgevoerd?
Dat zou namelijk wel moeten, iig bij de afcore varianten die ik heb gezien.

En vergeet niet een goede virusscanner te installeren.

[RedHat]

Verwijderd schreef op 31 december 2003 @ 13:59:
Was het niet over nadat je die code had uitgevoerd?
Dat zou namelijk wel moeten, iig bij de afcore varianten die ik heb gezien.

En vergeet niet een goede virusscanner te installeren.

Nee, na het draaien van de "fix" was het niet over maar werd de laptop ontoegankelijk, dus of het heeft geholpen of niet, is voor mij een raadsel.