Toon posts:

[Spyware] "Topsearcher" niet weg te krijgen

Pagina: 1
Acties:

vrijdag 9 januari 2004 18:27

Acties:

Verwijderd

Topicstarter
Elke keer als ik mijn pc heb opgestart en ik IE open, wordt IE automatisch geopend met een searchbar van topsearcher. Uiterst irritant dus. Nu heb ik echter al van alles geprobeerd om het weg te krijgen, maar het is ontzettend hardnekkig. Als ik Adaware draai, vindt ie elke keer 9 nieuwe objecten, 8 registerentries en 1 cookie. Deze verwijder ik keurig, maar als ik de pc opnieuw opstart, begint het verhaaltje weer van voor af aan: IE start weer op met topsearcher en Adaware vindt 9 nieuwe objecten.

Daarna heb ik HijackThis geprobeerd en dit programmaatje vindt de volgende regel dat verwijst naar topsearcher:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,SearchURL = http://www.topsearcher.com/ie/

Deze regel laat ik dan "fixen", maar als ik vervolgens de pc opstart begint het hele liedje weer van voor af aan.

Ik heb de search gebruikt en van alles geprobeerd, maar ik kan het niet wegkrijgen. Wie kan mij helpen dit irritantje probleem op te lossen?

vrijdag 9 januari 2004 18:27

Acties:

Verwijderd

Post je HijackThis log eens, graag tussen code tags.

vrijdag 9 januari 2004 18:29

Acties:

Verwijderd

Topicstarter
code:
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97

Logfile of HijackThis v1.97.7
Scan saved at 18:28:58, on 9-1-2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\CTsvcCDA.EXE
C:\WINDOWS\System32\inetsrv\inetinfo.exe
C:\Program Files\Norton AntiVirus\navapsvc.exe
C:\Program Files\Norton AntiVirus\AdvTools\NPROTECT.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\tcpsvcs.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\MsPMSPSv.exe
C:\WINDOWS\System32\mqsvc.exe
C:\Program Files\Creative\ShareDLL\CtNotify.exe
C:\Program Files\Creative\ShareDLL\MediaDet.Exe
C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb04.exe
C:\WINDOWS\System32\mqtgsvc.exe
C:\Program Files\Common Files\Symantec Shared\ccApp.exe
C:\Program Files\Logitech\MouseWare\system\em_exec.exe
C:\WINDOWS\System32\taskswitch.exe
C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe
C:\Program Files\D-Tools\daemon.exe
C:\Program Files\Elaborate Bytes\CloneCD\CloneCDTray.exe
C:\Program Files\Common Files\Nokia\Services\ServiceLayer.exe
C:\Program Files\Common Files\Nokia\NCLTools\NclTray.exe
C:\Program Files\QuickTime\qttask.exe
C:\PROGRA~1\PANICW~1\POP-UP~1\dpps2.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\MSN Messenger\MsnMsgr.Exe
F:\Office10\msoffice.exe
C:\Program Files\Internet Explorer\iexplore.exe
M:\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://ie.search.msn.com/{SUB_RFC1766}/srchasst/srchasst.htm
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,SearchURL = http://www.topsearcher.com/ie/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.fok.nl/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://ie.search.msn.com/{SUB_RFC1766}/srchasst/srchasst.htm
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.microsoft.com/isapi/redir.dll?prd={SUB_PRD}&clcid={SUB_CLSID}&pver={SUB_PVER}&ar=home
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [MsmqIntCert] regsvr32 /s mqrt.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [Disc Detector] C:\Program Files\Creative\ShareDLL\CtNotify.exe
O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\Updreg.exe
O4 - HKLM\..\Run: [CTStartup] C:\Program Files\Creative\SBAudigy\Program\CTEaxSpl.EXE /run
O4 - HKLM\..\Run: [Jet Detection] C:\Program Files\Creative\SBAudigy\PROGRAM\ADGJDet.exe
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb04.exe
O4 - HKLM\..\Run: [zBrowser Launcher] C:\Program Files\Logitech\iTouch\iTouch.exe
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [ccRegVfy] "C:\Program Files\Common Files\Symantec Shared\ccRegVfy.exe"
O4 - HKLM\..\Run: [Advanced Tools Check] C:\PROGRA~1\NORTON~1\AdvTools\ADVCHK.EXE
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [CoolSwitch] C:\WINDOWS\System32\taskswitch.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Program Files\D-Tools\daemon.exe"  -lang 1033
O4 - HKLM\..\Run: [CloneCDElbyCDFL] "C:\Program Files\Elaborate Bytes\CloneCD\ElbyCheck.exe" /L ElbyCDFL
O4 - HKLM\..\Run: [CloneCDTray] "C:\Program Files\Elaborate Bytes\CloneCD\CloneCDTray.exe"
O4 - HKLM\..\Run: [ServiceLayer] C:\Program Files\Common Files\Nokia\Services\ServiceLayer.exe
O4 - HKLM\..\Run: [DataLayer] C:\Program Files\Nokia\Nokia PC Suite 5\DataLayer\Application\DataLayer.exe
O4 - HKLM\..\Run: [Nokia Tray Application] C:\Program Files\Common Files\Nokia\NCLTools\NclTray.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [SystemSearch] C:/WINDOWS/REGEDIT.EXE -s C:/WINDOWS/system.reg
O4 - HKLM\..\Run: [Pop-Up Stopper] "C:\PROGRA~1\PANICW~1\POP-UP~1\dpps2.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - Startup: Microsoft Outlook.lnk = F:\Office10\OUTLOOK.EXE
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Microsoft Office.lnk = F:\Office10\OSA.EXE
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://F:\Office10\EXCEL.EXE/3000
O9 - Extra 'Tools' menuitem: Sun Java Console (HKLM)
O16 - DPF: {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B} (QuickTime Object) - http://www.apple.com/qtactivex/qtplugin.cab
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/shockwave/cabs/director/sw.cab
O16 - DPF: {4BEE3896-4820-48D1-85EA-5A9A9ECD3D95} (OPUCatalog Class) - http://office.microsoft.com/productupdates/content/opuc/opuc.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?37875.4476273148
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{92262CEE-7313-4782-91BC-4B4AE67F0C0E}: NameServer = 212.142.28.66,212.142.28.67

vrijdag 9 januari 2004 18:31

Acties:
  • momania
  • Registratie: Mei 2000
  • Laatst online: 00:28

momania

iPhone 30! Bam!

Check ook [rml][ Howto] Spyware scannen en opruimen[/rml] even :)

Neem je whisky mee, is het te weinig... *zucht*

vrijdag 9 januari 2004 18:44

Acties:
  • Hellhound
  • Registratie: Juli 1999
  • Laatst online: 09-05 10:53

Hellhound

heb je CWShredder al geprobeerd?
http://www.spywareinfo.com/~merijn/files/CWShredder.exe

Geloof maakt meer kapot dan je lief is | I rock [H]ard! |

vrijdag 9 januari 2004 18:44

Acties:
  • Mike Jarod
  • Registratie: Januari 2002
  • Niet online

Mike Jarod

Sja als niemand reageert...

code:
1

O4 - HKLM..Run: [MsmqIntCert] regsvr32 /s mqrt.dll
Volgens google onderdeel van MS personel webserver, draai je die?
code:
1

O4 - HKLM..Run: [SystemSearch] C:/WINDOWS/REGEDIT.EXE -s C:/WINDOWS/system.reg
Wasda :? lijkt me niet de bedoeling. Wat staat er in die system.reg?

Hmm dat was snel, volgens mij is dit alles (zal wel weer ergens overheen kijken...). Helaas staat er ook zoveel in Run. Zou je aanraden eens wat nutteloze dingen op te schonen, wordt het ook wat overzichtelijker.

Dit is vaag, deze regel:
code:
1

O4 - HKLM\..\Run: [Pop-Up Stopper] "C:\PROGRA~1\PANICW~1\POP-UP~1\dpps2.exe"
Wordt hier als spyware bestempeld, terwijl ze ook zeggen dat het een simpele popup blocker is. Ben je je er bewust van dat je een popup blocker hebt geinstalleerd? Uninstall die eens voor de fun?

[ Voor 84% gewijzigd door Mike Jarod op 09-01-2004 18:56 ]

vrijdag 9 januari 2004 18:47

Acties:

Verwijderd

code:
1

O4 - HKLM\..\Run: [SystemSearch] C:/WINDOWS/REGEDIT.EXE -s C:/WINDOWS/system.reg

Die lijkt me niet ok, kun je de regfile eens sturen?(Zie sig)

Zal ook met de tijd editten, maar ben nog met wat anders bezig.

vrijdag 9 januari 2004 19:08

Acties:

Verwijderd

Topicstarter
Ik heb Spybot geprobeerd, maar die krijgt het ook niet weg. Die Pop-Up stopper heb ik onlangs bewust geinstalleerd.

Volgens mij heb ik de boosdoener al gevonden, want dit is de inhoud van het bestandje system.reg:

code:
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47

REGEDIT4
 
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"SystemSearch"="C:/WINDOWS/REGEDIT.EXE -s C:/WINDOWS/system.reg"
 
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer]
"SearchURL"="http://www.topsearcher.com/ie/"
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Default_Search_URL"="http://www.topsearcher.com/ie/"
"Search Page"="http://www.topsearcher.com/ie/"
"Search Bar"="http://www.topsearcher.com/ie/"
"SearchURL"="http://www.topsearcher.com/ie/"
 
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Search]
"SearchAssistant"="http://www.topsearcher.com/ie/"
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Search]
"SearchAssistant"="http://www.topsearcher.com/ie/"
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main]
"Search Page"="http://www.topsearcher.com/ie/"
"Default_Search_URL"="http://www.topsearcher.com/ie/"
 
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser]
"ITBarLayout"=hex:11,00,00,00,4c,00,00,00,00,00,00,00,30,00,00,00,1b,00,00,00,\
  64,00,00,00,01,00,00,00,a0,06,00,00,e9,02,00,00,05,00,00,00,62,04,00,00,26,\
  00,00,00,02,00,00,00,a1,06,00,00,f7,02,00,00,04,00,00,00,a1,00,00,00,11,03,\
  00,00,03,00,00,00,a9,02,00,00,0b,03,00,00,00,00,00,00,00,00,00,00,00,00,00,\
  00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
  00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
  00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
  00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
  00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
  00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
  00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
  00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
  00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
  00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
  00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
  00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
  00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
  00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
  00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
  00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
  00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
  00,00,00,00,00,00,00,00,00,00,00,00,01,24,d0,30,81,6a,d0,11,82,74,00,c0,4f,\
  d5,ae,38,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00


Hierin staat duidelijk "topsearcher" vermeld. Kan het zijn dat dit bestandje mijn register bijwerkt elke keer als ik mijn pc opstart? En indien dit zo is, kan ik dit bestandje dan gewoon verwijderen?

vrijdag 9 januari 2004 19:11

Acties:
  • momania
  • Registratie: Mei 2000
  • Laatst online: 00:28

momania

iPhone 30! Bam!

Verwijderd schreef op 09 januari 2004 @ 19:08:
Hierin staat duidelijk "topsearcher" vermeld. Kan het zijn dat dit bestandje mijn register bijwerkt elke keer als ik mijn pc opstart?
Ja, dat doet ie ja :)
En indien dit zo is, kan ik dit bestandje dan gewoon verwijderen?
Ja, kan ook... en zorgen dat die verwijzing die er naar in de registry staat ook weg is ;)

edit:
'zwaaiding' :w = :w @ Schouw :P

[ Voor 7% gewijzigd door momania op 09-01-2004 19:14 ]

Neem je whisky mee, is het te weinig... *zucht*

vrijdag 9 januari 2004 19:11

Acties:

Verwijderd

Verwijderd schreef op 09 januari 2004 @ 19:08:
Hierin staat duidelijk "topsearcher" vermeld. Kan het zijn dat dit bestandje mijn register bijwerkt elke keer als ik mijn pc opstart? En indien dit zo is, kan ik dit bestandje dan gewoon verwijderen?
Commando wat wordt gegeven is stil importeren van die waardes, elke keer als de pc boot.

Dus die run entry + regfile deleten. :)

Edit: "zwaaiding" @ momania

[ Voor 5% gewijzigd door Verwijderd op 09-01-2004 19:13 ]

vrijdag 9 januari 2004 19:14

Acties:

Verwijderd

ja dat is het bestandje.
dat bestandje kan je dus gewoon verwijderen en verwijder dan ook de entry bij run.

vrijdag 9 januari 2004 19:17

Acties:
  • xabre16v
  • Registratie: April 2003
  • Niet online

xabre16v

http://217.115.153.73/parasite/ wat gevonden?

vrijdag 9 januari 2004 19:24

Acties:

Verwijderd

Topicstarter
Ik heb het bestandje verwijderd, net zoals de regel in het register en gelukkig heeft het geholpen, topsearcher komt namelijk niet meer in beeld als ik IE opstart. Allemaal bedankt voor jullie hulp!

Ik zal in het vervolg wat beter opletten bij het surfen. Normaal ben ik er wel vrij voorzichtig mee, maar deze moet er doorgeglipt zijn.
Pagina: 1
Reageer