[Spyware] msblank.htm

[Yoeri]

Na intensief scannen en verwijderen met adaware & spybot & hijackthis wordt er niks meer gevonden door de eerste twee programma's. Hieronder een logfile van hijackthis op dit moment:

(cursief tussen haakjes staat mijn mening betreffende de exe-files)

Logfile of HijackThis v1.97.7
Scan saved at 11:55:15, on 5/01/04
Platform: Windows 98 SE (Win9x 4.10.2222A)
MSIE: Internet Explorer v5.00 (5.00.2919.6304)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL (normaal bestand)
C:\WINDOWS\SYSTEM\MSGSRV32.EXE (normaal bestand, The Windows Message Server Loads Windows Drivers and the Program Manager at start up)
C:\WINDOWS\SYSTEM\MPREXE.EXE (normaal bestand, Application enables Windows 9x/ MEto have more than one network client, protocol, or adapter .it routes network requests between the different adapters and clients)
C:\WINDOWS\SYSTEM\MSTASK.EXE (normaal bestand, The Windows Task Scheduler)
C:\WINDOWS\EXPLORER.EXE (normaal bestand, The Windows Program Manager or Windows Explorer )
C:\WINDOWS\SYSTEM\SYSTRAY.EXE (normaal bestand, The Background Application which runs the Windows System Tray )
C:\PROGRAM FILES\MATROX MGA POWERDESK\MGACTRL.EXE (normaal bestand, matrox programma)
C:\PROGRAM FILES\MATROX MGA POWERDESK\COLOR\HGCCTL95.EXE(normaal bestand, matrox programma )
C:\PROGRAM FILES\IOMEGA HOTBURN\AUTOLAUNCH.EXE (normaal bestand, cd writer )
C:\WINDOWS\SYSTEM\RUNDLL32 .EXE (normaal bestand, RUNDLL32 is the Microsoft Windows program that need to be used to load DLLs )
C:\PROGRAM FILES\MATROX MGA POWERDESK\QDESK\MGAQDESK.EXE(normaal bestand,matrox programma )
C:\PROGRAM FILES\U.S. ROBOTICS\CONTROLCENTER\REMINDER.EXE (normaal bestand, us robototics updater )
C:\PROGRAM FILES\SYMANTEC\WINFAX\WFXCTL32.EXE (normaal bestand, winfax )
C:\WINDOWS\SYSTEM\WMIEXE.EXE (normaal bestand, Application gives a standard method of accessing system information, performance information, event monitors, and application monitors.It works as a transparent task. )
C:\WINDOWS\SYSTEM\SPOOL32.EXE (normaal bestand, Application handles the spooling of print jobs. )
C:\WINDOWS\SYSTEM\TAPISRV.EXE (normaal bestand, Background Service which provides Windows Telephony (TAPI) Support. )
C:\PROGRAM FILES\SYMANTEC\WINFAX\WFXMOD32.EXE (normaal bestand, winfax. )
C:\HIJACKTHIS\HIJACKTHIS.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = C:\WINDOWS\SYSTEM\msblank.htm
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,AutoConfigURL = http/::pac.telenet.be:8080
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [Matrox Control Center] C:\Program Files\Matrox MGA PowerDesk\mgactrl.exe
O4 - HKLM\..\Run: [Matrox Color Control] C:\Program Files\Matrox MGA PowerDesk\Color\hgcctl95.exe
O4 - HKLM\..\Run: [Drag'n'Drop_Autolaunch] "C:\Program Files\Iomega HotBurn\Autolaunch.exe"


O4 - HKLM\..\Run: [ControlPanel] C:\WINDOWS\SYSTEM\rundll32 .exe internat.dll,LoadKeyboardProfile


O4 - HKLM\..\RunServices: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
O4 - HKCU\..\Run: [Matrox QuickDesk] C:\Program Files\Matrox MGA PowerDesk\QDesk\mgaqdesk.exe
O4 - Startup: Instant Update Herinnering.lnk = C:\Program Files\U.S. Robotics\ControlCenter\Reminder.exe
O4 - Startup: Controller.LNK = C:\Program Files\Symantec\WinFax\WFXCTL32.EXE
O4 - Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~1\OFFICE10\EXCEL.EXE/3000
O14 - IERESET.INF: SEARCH_PAGE_URL=
O14 - IERESET.INF: START_PAGE_URL=
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedi...ve/cabs/flash/swflash.cab
O16 - DPF: {74F5614A-8A8C-43B4-8CC2-4B4EFAF4A6C5} (TSCCInstall Class) - http://www.e-leren.be/setup/tsccinst.cab

Wanneer ik de items die vet & cursief staan verwijder zijn die er na een reboot gewoon terug.

De startpagina wordt gewoon constant teruggezet (bij elke reboot) naar c:\windows\msblank.htm, dit bestand bevat enkel een javascriptje dat een full-screen-popup opent naar cploving.awmhost . Het verwijderen van msblank.htm maakt niets uit want het bestand wordt na een reboot gewoon opnieuw aangemaakt.

Op google zoeken naar msblank.htm (of msblank) levert niks op, net als zoeken op got

Enige tips?

[ Voor 21% gewijzigd door Yoeri op 05-01-2004 13:52 ]

[Yoeri]

net viel me het item dat vet, cursief & onderlijnd staat op

RUNDLL32 .EXE (rundll32 spatie punt exe)

heb het risico genomen van dit bestand te verwijderen, kon er op google niets over vinden (alles verwees naar rundll32.exe zonder spatie), maar heb er wel een kopietje van, als iemand geinteresseerd is om het bestand te onderzoeken, contacteer me gerust

ik post straks wel of dit een oplossing geboden heeft

[Verwijderd]

volgens mij betreft dit instelligen van internet explorer? msblank is volgens mij een blanko startpagina en die andere regels doen me denken aan de standaard verwijzingen naar de MS zoekmachine als je een verkeerde url intypt.
dacht ik, doet mij vermoeden, misschien zeg ik iets heel stoms

[Luxx]

het is ook niet logisch dat die rundll32 .exe ineens uit het niets geladen wordt... Dus ik denk dat dat best eens een "nare" kan zijn.

[Verwijderd]

TS, je mag die rundll32 .exe naar me sturen.(Zie sig)
In het vervolg wel niet meer zomaar verwijderen, had vervelende gevolgen kunnen hebben.

[Yoeri]

Verwijderd schreef op 05 januari 2004 @ 13:58:
volgens mij betreft dit instelligen van internet explorer? msblank is volgens mij een blanko startpagina en die andere regels doen me denken aan de standaard verwijzingen naar de MS zoekmachine als je een verkeerde url intypt.
dacht ik, doet mij vermoeden, misschien zeg ik iets heel stoms

about:blank bedoel je?

net de pc twee maal gereboot en geen startpagina meer gezien, dus rundll32 zal de schuldige geweest zijn

wel gek dat ie (nog) niet door adaware/spybot gedetecteerd werd

Verwijderd schreef op 05 januari 2004 @ 14:07:
TS, je mag die rundll32 .exe naar me sturen.(Zie sig)
In het vervolg wel niet meer zomaar verwijderen, had vervelende gevolgen kunnen hebben.

als dit een kritiek systeem geweest was had ik dit ook niet gedaan hoor, maar de klant had al aangegeven dat als het echt moest er wel een format c: mocht gebeuren, dus dit was sowieso de laatste poging vooraleer een kale windows te installeren... klant zou anders wat tèveel uren moeten betalen

maar het bestand is onderweg naar je mail

[ Voor 34% gewijzigd door Yoeri op 05-01-2004 14:11 ]

[Verwijderd]

maar het bestand is onderweg naar je mail

Nieuw zo te zien, thanks.