[Ad/Spyware] zzb.exe *

[Verwijderd]

Ik krijg op mijn volledig gepatchte en Norton beschermde XP systeem na een tijdje afwisselend een dialoogvenster "done" en "dwn" Verder geen info, ik klik <OK> en 3 seconden later is de volgende er. Heb ontdekt dat het ophoudt als ik het zzb.exe proces afschiet. Ad-aware ontdekt niets. NAV check vindt ook niets. zzb.exe 1 key uit register verwijderd en ben benieuwd of het nu terugkomt.

Weet iemand wat dit is?

[Verwijderd]

Stuur me de file eens aub.
Zie sig voor mail.

[Microkid]

zzb is spyware. Gooi die exe weg, reboot en dan moet het opgelost zijn.

[Verwijderd]

Webroot spy sweeper vindt ook niets

[Verwijderd]

Weggeflikkerd. Maar dat is de makkelijke weg. Ik was benieuwd wat 't was..

[elevator]

Windows Operated Systems >> Beveiliging & Virussen

[Looney69]

Hoi Ik heb hetzelfde probleem en alles uitgevoerd zoals op het topic van zzb.exe dialog "dwn" "done"

Maar niks werkt. het blijft maar terug komen. De situatie is precies hetzelfde

[Verwijderd]

Probeer het eens met HijackThis.
Mocht je er zelf niet uitkomen, dan mag je je log hier posten, tussen [code] tags graag.

[Looney69]

Ik kom er nog steeds niet uit.

hier is mijn log

code:

Logfile of HijackThis v1.97.7
Scan saved at 14:01:25, on 5-3-2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Messenger Plus! 2\MsgPlus.exe
C:\WINDOWS\System32\atiptaxx.exe
C:\Program Files\DU Meter\DUMeter.exe
C:\WINDOWS\System32\con11mb.exe
C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe
C:\Program Files\Compaq\Hotkey Software\hkss.exe
C:\Program Files\Compaq\EAB\EABSERVR.EXE
C:\Program Files\Skype\Phone\Skype.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\Program Files\Microsoft Office\OFFICE11\ONENOTEM.EXE
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\upload\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,Shellnext = https://loginnet.passport.com/ppsecure/md5auth.srf?lc=1043
R3 - Default URLSearchHook is missing
O2 - BHO: (no name) - {0096CC0A-623C-4829-AD9C-19AF0DC9D8FE} - C:\Program Files\DAP\DAPIEBar.dll
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {D365CA3A-B10B-ACF7-A72F-9459AFC8F0FC} - C:\WINDOWS\system32\vsczzbyx.dll
O2 - BHO: (no name) - {EBF4D24A-EB8B-C0AF-EABA-F8CE00DC134B} - C:\WINDOWS\system32\uwaagcpq.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [MessengerPlus2] "C:\Program Files\Messenger Plus! 2\MsgPlus.exe"
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [AtiPTA] atiptaxx.exe
O4 - HKLM\..\Run: [DU Meter] C:\Program Files\DU Meter\DUMeter.exe
O4 - HKLM\..\Run: [Con11Mb] con11mb.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe
O4 - HKLM\..\Run: [hkss] C:\Program Files\Compaq\Hotkey Software\hkss.exe
O4 - HKLM\..\Run: [eabconfg.cpl] C:\Program Files\Compaq\EAB\EABSERVR.EXE /Start
O4 - HKLM\..\Run: [QuickNetMessage] C:\Documents and Settings\Bart-Jan\QuickNetMessage.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [nvid] C:\WINDOWS\System32\qznxgyik.exe
O4 - HKCU\..\Run: [MessengerPlus2] "C:\Program Files\Messenger Plus! 2\MsgPlus.exe" /WinStart
O4 - HKCU\..\Run: [Skype] "C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
O4 - Global Startup: Microsoft Office OneNote 2003 Snel Starten.lnk = C:\Program Files\Microsoft Office\OFFICE11\ONENOTEM.EXE
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra 'Tools' menuitem: Sun Java Console (HKLM)
O9 - Extra button: Onderzoek (HKLM)
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Windows Messenger (HKLM)
O16 - DPF: {003FADA5-8FEE-11D6-AFB7-0004768F6183} (CryptoRSA Control) - https://www.p3.postbank.nl/sesam/CAX.cab
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab
O16 - DPF: {08BEF711-06DA-48B2-9534-802ECAA2E4F9} (PlxInstall Class) - http://www.plaxo.com/activex/PlaxoInstall.cab
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/shockwave/cabs/director/sw.cab
O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab
O16 - DPF: {3E68E405-C6DE-49FF-83AE-41EE9F4C36CE} (Office Update Installation Engine) - http://office.microsoft.com/officeupdate/content/opuc.cab
O16 - DPF: {6211AC26-A1B4-422A-AC52-1E70B7D24465} (FileSharingCtrl Class) - http://appdirectory.messenger.msn.com/AppDirectory/P4Apps/FileSharing/nl/filesharingctrl.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab
O16 - DPF: {90C9629E-CD32-11D3-BBFB-00105A1F0D68} (InstallShield International Setup Player) - http://www.installengine.com/engine/isetup.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?38008.327337963
O16 - DPF: {C4925E65-7A1E-11D2-8BB4-00A0C9CC72C3} (Virtools WebPlayer Class) - http://a532.g.akamai.net/f/532/6712/1d/player.virtools.com/downloads/player/Install2.1/Installer.exe
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: {DE591B16-A452-11D6-AED1-0001030A4E46} (PBGNX Control) - https://gto.postbank.nl/GTO/PBGNX.cab
O16 - DPF: {F5192746-22D6-41BD-9D2D-1E75D14FBD3C} - http://216.65.38.226/crack.CAB
O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = intranet.ksa.hvu.nl
O17 - HKLM\Software\..\Telephony: DomainName = intranet.ksa.hvu.nl
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = intranet.ksa.hvu.nl
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = intranet.ksa.hvu.nl

[Verwijderd]

O2 - BHO: (no name) - {D365CA3A-B10B-ACF7-A72F-9459AFC8F0FC} - C:\WINDOWS\system32\vsczzbyx.dll
O2 - BHO: (no name) - {EBF4D24A-EB8B-C0AF-EABA-F8CE00DC134B} - C:\WINDOWS\system32\uwaagcpq.dll

Die mogen sowieso weg.

O16 - DPF: {F5192746-22D6-41BD-9D2D-1E75D14FBD3C} - http://216.65.38.226/crack.CAB

TrojanDownloader.Win32.Dia.a
Deze dus ook

O4 - HKLM\..\Run: [Con11Mb] con11mb.exe
O4 - HKLM\..\Run: [nvid] C:\WINDOWS\System32\qznxgyik.exe

Dat zegt me zo niets, ik verwacht dat de eerste adv/spyware is, terwijl de tweede waarschijnlijk andere malware is gezien de naam, zou ze beide wel willen zien eigenlijk.
Zie sig voor mail.

Edit:
Titeledit.

[Looney69]

con11mb.exe is een bestandje voor mijn wireless kaartje, maar ik zal qznxqyik.exe naar je sturen

[Verwijderd]

Looney69 schreef op 05 maart 2004 @ 14:36:
con11mb.exe is een bestandje voor mijn wireless kaartje, maar ik zal qznxqyik.exe naar je sturen

Deze zaak spreekt maar weer eens waarom het zo verdomd belangrijk is dat bestanden gecheckt worden, ipv. ze gewoonweg weg te gooien met HT.

Wij mogen u danken voor de spam, u fungeert als spambak.

\qznxgyik.rar Archive RAR
\qznxgyik.rar/qznxgyik.exe Packed UPX
\qznxgyik.rar/qznxgyik.exe Infected TrojanProxy.Win32.Agent.l

This Trojan program enables the attacker to use the infected computer as a mail proxy-server.

Ga aub. een(goede)virusscanner draaien.
Misschien is een format ook niet onverstandig.
Dus als je klachten van je ISP krijgt/hebt gekregen, dit is zeer waarschijnlijk de reden.

[Looney69]

Dan zuigt norton, want die had ik er ook al overheen laten gaan. heb je nog een advies voor een scanner? heb ondertussen het bestand verwijderd.

[Verwijderd]

Looney69 schreef op 05 maart 2004 @ 18:30:
Dan zuigt norton, want die had ik er ook al overheen laten gaan. heb je nog een advies voor een scanner? heb ondertussen het bestand verwijderd.

Sample wordt herkend door KAV sinds eerste week van dit jaar.
Zelfs gebruik ik KAV, maar daar werk ik dan ook voor.
(Ook al daarvoor hoor)

Ik zou voor KAV of eventueel McAfee gaan, hoewel je natuurlijk altijd na zal meoten blijven denken over wat je aanklikt.

[Looney69]

Ik probeer altijd te aan te denken wat ik aanklik. ben er altijd erg voorzichtig mee, misschien dat iemand anders die achter mijn pc heeft gezeten die niet voorzichtig genoeg was..., maar weet je toevallig hoe het erop is gekomen??(ik ben zelf altijd erg voorzichtig. ik klik namelijk nooit zomaar wat aan.

ik heb het tot nu toe nog niet terug gehad.
dus in iedergeval bedankt voor je hulp.

[Verwijderd]

Looney69 schreef op 05 maart 2004 @ 19:51:
Ik probeer altijd te aan te denken wat ik aanklik. ben er altijd erg voorzichtig mee, misschien dat iemand anders die achter mijn pc heeft gezeten die niet voorzichtig genoeg was..., maar weet je toevallig hoe het erop is gekomen??(ik ben zelf altijd erg voorzichtig. ik klik namelijk nooit zomaar wat aan.

Dat kan ik zo niet zeggen, jammergenoeg.