XP Verstuurt automatisch mails - ADS Afcore infectie *

[Verwijderd]

Ik heb me hier helemaal gek naar gezocht maar na een schone XP installatie en een antiblaster en norton2003 volledige update stuurt windows na verloop van tijd automatisch e-mails. Deze worden door norton gescanned en volgens mij gewoon verstuurt???

Nogmaals; veel gezocht maar niet echt een oplossing gevonden. Ik denk zelf aan een massmailer virus. Ik ben geen tweaker en moet het dus doen met 'minimale' kennis. Maar omdat ik hier altijd oplossingen vind op mijn vragen post ik nu hier mijn eigen topic.

Ik heb geprobeerd:
- Adaware
- Norton2003 full system scan
- online scanner van Trend Micro
- online scanner Panda

Maar er wordt niets gevonden. Ik heb één topic gevonden met iemand met bijna dezelfde vraag maar geen antwoord. Vind dit vreemd. Zeker omdat ik er eigenlijk nog nooit iets mee te maken heb gehad.

Ik heb een AMD 64 3.2 Ghz met WindowsXP SP1 en de laatste beveiligings updates.

[Mike Jarod]

Zoek bij Google naar het programma HijackThis, maak daarmee een logfile, en zet die hier neer

edit: Voor de luie mensch: http://download.com.com/3000-2144-10227352.html

[ Voor 29% gewijzigd door Mike Jarod op 03-04-2004 20:11 ]

[wildhagen]

Kan je eens je HijackThis log posten, in code-tags?

[dawuss]

Zijn alle gebruikte scanners wel up-to-date?
Probeer eens een firewall in te schakelen, om te kijken waar die mails precies naartoe verzonden worden.

[Verwijderd]

In het kader 'dubbelle posts' zie [rml][ XP] Ik verstuur spam - ADS Afcore infectie *[/rml]

[BoGhi]

Verwijderd schreef op 03 april 2004 @ 23:20:
In het kader 'dubbelle posts' zie [rml][ XP] Ik verstuur spam - ADS Afcore infectie *[/rml]

Hoe weet je dat nu al?

[Verwijderd]

Precies dezelfde symptomen. Ik vind het wel vreemd dat die andere iets meer 'moeite' hebben moeten doen om het virus te verwijderen. Maar als het terugkomt zal ik zeker weer verslag doen.

[Verwijderd]

Verwijderd schreef op 03 april 2004 @ 23:39:
Precies dezelfde symptomen. Ik vind het wel vreemd dat die andere iets meer 'moeite' hebben moeten doen om het virus te verwijderen. Maar als het terugkomt zal ik zeker weer verslag doen.

Dat zegt natuurlijk helemaal niets..
Constant mail versturen...dat kan ook een gewone mailer zijn ipv. een afcore.

Post eens een HijackThis log.

[Verwijderd]

Bij deze:

Logfile of HijackThis v1.97.7
Scan saved at 23:53:11, on 3-4-2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
C:\Program Files\Norton SystemWorks\Norton AntiVirus\navapsvc.exe
C:\Program Files\Norton SystemWorks\Norton Utilities\NPROTECT.EXE
C:\PROGRA~1\NORTON~1\SPEEDD~1\nopdb.exe
C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Program Files\Alcatel\SpeedTouch USB\Dragdiag.exe
C:\Program Files\Common Files\Symantec Shared\ccApp.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\Overnet\overnet.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Documents and Settings\Dennuz666\Bureaublad\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.nl/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton SystemWorks\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton SystemWorks\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [SpeedTouch USB Diagnostics] "C:\Program Files\Alcatel\SpeedTouch USB\Dragdiag.exe" /icon
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [cbkjei] rundll32 C:\WINDOWS\System32:cbkjei.dll,Init 1
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [ccRegVfy] "C:\Program Files\Common Files\Symantec Shared\ccRegVfy.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKLM\..\RunOnce: [*cbkjei] rundll32 C:\WINDOWS\System32:cbkjei.dll,Init 1
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Besturing) - http://a840.g.akamai.net/...com/housecall/xscan53.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.m...ode/iuctl.CAB?38080.04375
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedi...ve/cabs/flash/swflash.cab
O16 - DPF: {DE591B16-A452-11D6-AED1-0001030A4E46} (PBGNX Control) - https://gto.postbank.nl/GTO/PBGNX.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{A94EA588-FCC2-4AB4-9FEE-93725D1C9436}: NameServer = 195.121.1.34 195.121.1.66

[Verwijderd]

Holy fuck, je hebt nog gelijk ook.
Zo te zien staat ie er nog steeds hoor...
Voer dit eens in in een command prompt:

code:

rundll32.exe C:\WINDOWS\System32:cbkjei.dll, Uninstall

Als het goed is, krijg je een melding die lijkt op "AF has been removed".

Titeledit komt er zo aan.

[Verwijderd]

Removed. Hoop ik. Lastig ding.