[Spyware] Spyware sluit antispysoftware af

[F0kke]

Ik zit met een probleem. 3 Dagen geleden heb ik mijn hele pc overnieuw geinstalleerd. Met de hele meuk software ben ik uren bezig geweest. Nu heb ik enkel mijn antivirus en spyware programma nog niet geinstalleerd. Wat is het probleem? Ik stuitte op smartsearch, op de een of andere reden wordt deze steeds als mijn startpagina ingesteld. Als je geen http:// voor je url zet word je steeds naar de smartsearch pagina gestuurd. Er staan meerdere antwoorden voor dit probleem in de search, het installeren van Hijackthis zou dit probleem op moeten lossen. Het probleem is dus dat ik geen antispyware software kan installeren. Ik was voorheen altijd een tevreden gebruiker van Adaware, maar dit installatie programma sloot zichzelf af toen ik het probeerde te installeren. Ik raadpleeg de Software FAQ en stuit op "Spybot Search & Destroy". Ziet er goed uit denk ik, en ik klik op de link. Zo snel de spybot site in beeld verschijnt worden alle internet explorer programma's afgesloten. Het maakt niet uit als ik op "gewone" websites surf, dan gebeurd er niks. Maar sites met antispysoftware triggeren iets dat al mijn internet explorers afsluit. Ik heb inmiddels spybot gedownload op een andere pc en het daarna geprobeerd te installeren. Door heel snel op volgende, volgende te klikken is dat gelukt. Het programma wordt nu automatisch afgesloten na een aantal seconden open te staan.

Ik ben radeloos en heb heel erg weinig zin om Windows en al mijn extra meuk weer te moeten installeren.

Iemand een idee?

[Mike Jarod]

Wordt HijackThis ook automatisch afgesloten? Zo nee post aub eens een log?

edit: dit is trouwens alleen een exe file die je niet hoeft te installeren, alleen op te starten.

[ Voor 60% gewijzigd door Mike Jarod op 11-01-2004 18:28 ]

[Verwijderd]

[rml][ IE] Startpagina blijft cool-search.ws *[/rml]
dat topic gaat over smartsearch
voortaan ff zoeken

[Verwijderd]

Rename de executables en probeer ze dan nog eens uit te voeren.

[F0kke]

Verwijderd schreef op 11 januari 2004 @ 18:30:
Rename de executables en probeer ze dan nog eens uit te voeren.

Wanneer ik met windows explorer spywaresoftware folders probeer te browsen wordt de windows explorer afgesloten.

[Verwijderd]

rename het eens en run het eens vanuit dos. (cmd)

[F0kke]

Verwijderd schreef op 11 januari 2004 @ 18:59:
rename het eens en run het eens vanuit dos. (cmd)

Programma draait, maar wordt meteen afgesloten. Maakt geen verschil of ik hem rename of niet.

Mike Jarod schreef op 11 januari 2004 @ 18:28:
Wordt HijackThis ook automatisch afgesloten? Zo nee post aub eens een log?

edit: dit is trouwens alleen een exe file die je niet hoeft te installeren, alleen op te starten.

Zodra ik het programma run wordt deze afgesloten.

[F0kke]

Norton Antivirus 2003 wordt nu ook beinvloed, de autoprotect wordt automatisch gedisabled... Ik vrees dat ik de moed een beetje begin op te geven.

[ Voor 98% gewijzigd door F0kke op 11-01-2004 19:07 ]

[Mike Jarod]

Lekker maf gedoe...

Dus je hebt het alleen bij spyware gerelateerde zaken? Kan je regedit opstarten? Paint? Outlook? Maak anders eens screenshots van je task manager en regedit>hklm en hkcu \..\run

[Verwijderd]

En de taskmanager? Kun je die wel draaien?

Edit:
Kijk hier eens mee naar je startup items:
http://www.misec.net/products/AutostartExplorer.zip

[ Voor 56% gewijzigd door Verwijderd op 11-01-2004 19:08 ]

[F0kke]

Mike Jarod schreef op 11 januari 2004 @ 19:05:
Lekker maf gedoe...

Dus je hebt het alleen bij spyware gerelateerde zaken? Kan je regedit opstarten? Paint? Outlook? Maak anders eens screenshots van je task manager en regedit>hklm en hkcu \..\run

de programmas die je noemt lopen zonder enkel probleem. regedit werkt naar behoren, en ik kan overal bij zonder dat regedit wordt afgesloten.

Screenshot komt eraan.

edit:

[ Voor 8% gewijzigd door F0kke op 11-01-2004 19:13 ]

[Verwijderd]

http://www.dslreports.com/forum/remark,9043276~mode=flat

Soortgelijk draadje, lijkt erop dat er met een interval progs geclosed worden.
Probeer HT dus nog eens.

Lijkt erop dat de backdoorfunctionaliteiten ECHT door beginnen te breken bij 'adware'.
Nog eerder dan ik had gedacht.

[Verwijderd]

http://housecall.trendmicro.com/ < werkt die ook niet?

[Mike Jarod]

iexploreR.exe draait...

[Verwijderd]

Kill iexplorer eens.
Hmm, doet ie dát, dadelijk nog maar eens checken.
(Kreeg er niet veel leven uit op testbak).

Housecall is verspilde tijd, pretty damn sure dat die hem niet gaat vinden.

[F0kke]

Verwijderd schreef op 11 januari 2004 @ 19:12:
http://housecall.trendmicro.com/ < werkt die ook niet?

Vind niks, maar draait wel. (wordt dus niet afgesloten)

Verwijderd schreef op 11 januari 2004 @ 19:07:
En de taskmanager? Kun je die wel draaien?

Edit:
Kijk hier eens mee naar je startup items:
http://www.misec.net/products/AutostartExplorer.zip

Het enige dat er vreemd uitziet is C:\Windows\htpatch.exe (wordt automatisch gedraait) Heeft iemand deze executable ook? (Windows XP Pro SP1)

[ Voor 3% gewijzigd door F0kke op 11-01-2004 19:20 ]

[Verwijderd]

als het niet lukt kan je het altijd nog in veilige modus proberen.

[Mike Jarod]

Fokkie schreef op 11 januari 2004 @ 19:20:
Het enige dat er vreemd uitziet is C:\Windows\htpatch.exe (wordt automatisch gedraait) Heeft iemand deze executable ook? (Windows XP Pro SP1)

Description: Application is a component for SiS AGP patch.Useful only when processor supports HyperThreading.

Hielp iexplorer.exe killen iets?

[Verwijderd]

Fokkie schreef op 11 januari 2004 @ 19:20:
[...]


Vind niks, maar draait wel. (wordt dus niet afgesloten)


[...]


Het enige dat er vreemd uitziet is C:\Windows\htpatch.exe (wordt automatisch gedraait) Heeft iemand deze executable ook? (Windows XP Pro SP1)

Application is a component for SiS AGP patch.Useful only when processor supports HyperThreading.
bron

[Occy74]

Process File: iexplorer or iexplorer.exe
Process Name: iexplorer
Description: Application is a variant of the RapidBlaster parasite which downloads advertising from the Internet and displays it periodically.

bron

[F0kke]

oke, nu ieexplorer afgeloten. Ook zag ik een autostartieexplorer (of iets gelijks, had het ff moeten opschrijven), die heb ik ook ge-end.

Jippie, een vordering!! Spybot en Hijacjthis werden niet afgesloten! Hier het log van Hijackthis:

code:

Logfile of HijackThis v1.97.7
Scan saved at 11:25:21 AM, on 1/11/2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\Program Files\Norton AntiVirus\navapsvc.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\WINDOWS\System32\svchost.exe
C:\PROGRA~1\DAP\DAP.EXE
C:\WINDOWS\explorer.exe
C:\Program Files\Jasc Software Inc\Paint Shop Pro 7\psp.exe
C:\Program Files\GlobalSCAPE\CuteFTP\cutftp32.exe
C:\WINDOWS\System32\taskmgr.exe
C:\Program Files\Spybot - Search & Destroy\sb.exe
D:\Downloads\Apps - Tools - Cracks\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://smartsearch.ws/?q=
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://smartsearch.ws/?q=
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://smartsearch.ws/?q=
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://smartsearch.ws
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://smartsearch.ws
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://smartsearch.ws/?q=
R1 - HKLM\Software\Microsoft\Internet Explorer,SearchURL = http://smartsearch.ws/?q=
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://smartsearch.ws
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://smartsearch.ws/?q=
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://smartsearch.ws/?q=
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://smartsearch.ws
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://smartsearch.ws/?q=
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://smartsearch.ws/?q=
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://smartsearch.ws/?q=
R1 - HKCU\Software\Microsoft\Internet Explorer,Search = http://smartsearch.ws/?q=
R1 - HKLM\Software\Microsoft\Internet Explorer,Search = http://smartsearch.ws/?q=
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: (no name) - {62999427-33FC-4baf-9C9C-BCE6BD127F08} - (no file)
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [HTpatch] C:\WINDOWS\htpatch.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [MessengerPlus2] "C:\Program Files\Messenger Plus! 2\MsgPlus.exe"
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [UserSystem] C:\Windows\iexplorer.exe
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [ccRegVfy] "C:\Program Files\Common Files\Symantec Shared\ccRegVfy.exe"
O4 - HKCU\..\Run: [UserSystem] C:\Windows\iexplorer.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: NkvMon.exe.lnk = C:\Program Files\Nikon\NkView5\NkvMon.exe
O8 - Extra context menu item: &Download with &DAP - C:\PROGRA~1\DAP\dapextie.htm
O8 - Extra context menu item: Download &all with DAP - C:\PROGRA~1\DAP\dapextie2.htm
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra 'Tools' menuitem: Sun Java Console (HKLM)
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O13 - DefaultPrefix: http://smartsearch.ws/?q=
O13 - WWW Prefix: http://smartsearch.ws/?q=
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Control) - http://a840.g.akamai.net/7/840/537/2003120501/housecall.antivirus.com/housecall/xscan53.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab

[Mike Jarod]

code:

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://smartsearch.ws/?q=
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://smartsearch.ws/?q=
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://smartsearch.ws/?q=
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://smartsearch.ws
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://smartsearch.ws
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://smartsearch.ws/?q=
R1 - HKLM\Software\Microsoft\Internet Explorer,SearchURL = http://smartsearch.ws/?q=
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://smartsearch.ws
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://smartsearch.ws/?q=
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://smartsearch.ws/?q=
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://smartsearch.ws
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://smartsearch.ws/?q=
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://smartsearch.ws/?q=
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://smartsearch.ws/?q=
R1 - HKCU\Software\Microsoft\Internet Explorer,Search = http://smartsearch.ws/?q=
R1 - HKLM\Software\Microsoft\Internet Explorer,Search = http://smartsearch.ws/?q=
O4 - HKLM\..\Run: [UserSystem] C:\Windows\iexplorer.exe
4 - HKCU\..\Run: [UserSystem] C:\Windows\iexplorer.exe
O13 - DefaultPrefix: http://smartsearch.ws/?q=
O13 - WWW Prefix: http://smartsearch.ws/?q=

Die zijn smerig.

[Verwijderd]

code:

O13 - DefaultPrefix: http://smartsearch.ws/?q=
O13 - WWW Prefix: http://smartsearch.ws/?q=
O4 - HKCU..Run: [UserSystem] C:Windowsiexplorer.exe
O4 - HKLM..Run: [UserSystem] C:Windowsiexplorer.exe
R1 - HKCUSoftwareMicrosoftInternet Explorer,SearchURL = http://smartsearch.ws/?q=
R1 - HKCUSoftwareMicrosoftInternet ExplorerMain,Search Bar = http://smartsearch.ws/?q=
R1 - HKCUSoftwareMicrosoftInternet ExplorerMain,Search Page = http://smartsearch.ws/?q=
R0 - HKCUSoftwareMicrosoftInternet ExplorerMain,Start Page = http://smartsearch.ws
R1 - HKCUSoftwareMicrosoftInternet ExplorerMain,Default_Page_URL = http://smartsearch.ws
R1 - HKCUSoftwareMicrosoftInternet ExplorerMain,Default_Search_URL = http://smartsearch.ws/?q=
R1 - HKLMSoftwareMicrosoftInternet Explorer,SearchURL = http://smartsearch.ws/?q=
R0 - HKLMSoftwareMicrosoftInternet ExplorerMain,Start Page = http://smartsearch.ws
R1 - HKLMSoftwareMicrosoftInternet ExplorerMain,Search Bar = http://smartsearch.ws/?q=
R1 - HKLMSoftwareMicrosoftInternet ExplorerMain,Search Page = http://smartsearch.ws/?q=
R1 - HKLMSoftwareMicrosoftInternet ExplorerMain,Default_Page_URL = http://smartsearch.ws
R1 - HKLMSoftwareMicrosoftInternet ExplorerMain,Default_Search_URL = http://smartsearch.ws/?q=
R0 - HKLMSoftwareMicrosoftInternet ExplorerSearch,CustomizeSearch = http://smartsearch.ws/?q=
R0 - HKLMSoftwareMicrosoftInternet ExplorerSearch,SearchAssistant = http://smartsearch.ws/?q=
R1 - HKCUSoftwareMicrosoftInternet Explorer,Search = http://smartsearch.ws/?q=
R1 - HKLMSoftwareMicrosoftInternet Explorer,Search = http://smartsearch.ws/?q=

Die mogen weg(zorg ook dat je de file(s) zelf delete)

O4 - HKLM..Run: [AGRSMMSG] AGRSMMSG.exe
Wat is dit? /lui

Hey mike

[ Voor 3% gewijzigd door Verwijderd op 11-01-2004 19:30 ]

[F0kke]

Sorrie voor het verklooien van de layout. Ik heb bij spybot en hijackthis alle "problems gefixed". Ik geloof dat alles weer naar behoren werkt, smartsearch is weg, websites zoals: http://www.spybot.info blijven open staan. Ze worden dus niet meer afgesloten. Ik ga Norton even overnieuw installeren om te kijken of autoprotect dan weer loopt.

[Mike Jarod]

Verwijderd schreef op 11 januari 2004 @ 19:30:
O4 - HKLM..Run: [AGRSMMSG] AGRSMMSG.exe
Wat is dit? /lui

Process File: agrsmmsg or agrsmmsg.exe
Process Name: SoftModem Messaging Applet
Description: It is a part of the AMR modem driver.
Company: Agere Systems Inc.
System Process: No
Security Risk ( Virus/Trojan/Worm/Adware/Spyware ): No
Common Errors: N/A

[Occy74]

Download CWShredder en draai die.
Hiermee kun je smartsearch verwijderen die in je Hijack log staat, handmatig verwijderen helpt niet vanuit Hijack want hij komt dan steeds terug.

[F0kke]

Gooi ik iexplorer.exe ook weg?

Die mogen weg(zorg ook dat je de file(s) zelf delete)

O4 - HKLM..Run: [AGRSMMSG] AGRSMMSG.exe
Wat is dit? /lui

Hey mike

Messenger Plus zie bovenstaande post

[ Voor 18% gewijzigd door F0kke op 11-01-2004 19:33 ]

[Verwijderd]

Occy74 schreef op 11 januari 2004 @ 19:31:
Download CWShredder en draai die.
Hiermee kun je smartsearch verwijderen die in je Hijack log staat, handmatig verwijderen helpt niet vanuit Hijack want hij komt dan steeds terug.

Dit is een nieuwe variant die nog niet fatsoenlijk gecleaned wordt.

[F0kke]

Occy74 schreef op 11 januari 2004 @ 19:31:
Download CWShredder en draai die.
Hiermee kun je smartsearch verwijderen die in je Hijack log staat, handmatig verwijderen helpt niet vanuit Hijack want hij komt dan steeds terug.

code:

WShredder v1.44.2 scan only report

Windows XP (5.01.2600 SP1)
Windows dir: C:\WINDOWS
Windows system dir: C:\WINDOWS\system32
AppData folder: C:\Documents and Settings\Fokke Lingeman\Application Data
Username: Fokke Lingeman

Found Hosts file: C:\WINDOWS\system32\drivers\etc\hosts (1764 bytes, A)
Shell Registry value: HKLM\..\WinLogon [Shell] Explorer.exe
UserInit Registry value: HKLM\..\WinLogon [UserInit] C:\WINDOWS\system32\userinit.exe,
Found Win.ini file: C:\WINDOWS\win.ini (504 bytes, A)
Found System.ini file: C:\WINDOWS\system.ini (231 bytes, -)

- END OF REPORT -

[F0kke]

Ik hoop dat alles weer normaal werkt, zo lijkt het wel . Wat een smerige zooi was dat zeg.. Ben ik toch blij dat ik GoT weet te vinden, en belangrijker nog, dat iedereen meteen weer klaar staat om je uit de nood te helpen! Heel erg bedankt allemaal!

[Verwijderd]

Ben je nu ook zo wijs geworden om:
-of strenge IE settings toe te passen
-een fatsoenlijke browser zoals bijv. Firebird te gaan draaien?

[F0kke]

Verwijderd schreef op 11 januari 2004 @ 19:42:
Ben je nu ook zo wijs geworden om:
-of strenge IE settings toe te passen
-een fatsoenlijke browser zoals bijv. Firebird te gaan draaien?

Mozilla Firebird is nieuw voor me. http://www.mozilla.org/products/firebird/why/ Ja, dit is toch wel interessant!

[Verwijderd]

Fokkie schreef op 11 januari 2004 @ 19:48:
[...]


Mozilla Firebird is nieuw voor me. http://www.mozilla.org/products/firebird/why/ Ja, dit is toch wel interessant!

sluit ook opera als browser niet uit (http://www.opera.com)

[Verwijderd]

Fokkie schreef op 11 januari 2004 @ 19:34:
[...]

code:

- END OF REPORT -

volgens mij heb je bij CWShredder alleen only scan gedaan ipv next bij next gaat hij scannen op die hijackers en bij scan only geeft hij alleen wat info

[F0kke]

Je hebt gelijk, , hij vond niks overigens