[spyware] hardnekkig proggie/verwijzing

[TheKeeper]

Het volgende probleem doet zich voor:

Als ik op Yahoogroepen zit of gewoon naar m'n Netstat-teller ga, gaat er bij ad's laden iets mis. Daardoor schakelt IE automatisch door naar een zoekmachine (zuvio.com) en kan ik de sites dus niet fatsoenlijk bekijken.

Nu heb ik ad-aware gedraaid, pestscan gedraaid, spybot search & destroy gedraaid en HijackThis erover gehaald. toch blijft het probleem zich voordoen. Eerst leek het iets te maken te hebben met een bestand UDCsearch (of iets dergelijks, want ja, die heb ik er af gegooid), maar nog steeds is gewoon surfen niet mogelijk. Wat is de volgende stap die ik kan nemen, want na 2 dagen alleen maar spyware proggies verwijderen zie ik door de bomen het bos niet meer.

[Hahn]

Spybot en HijackThis zouden de klus eigenlijk wel moeten klaren. Maar als zelfs die niet hardnekkig genoeg zijn zul je zelf het register in moeten duiken. Start regedit op en zoek eens op 'zuvio' of iets in die trend en verwijder alles wat je denkt dat te maken heeft met je probleem

[Verwijderd]

Probeer eens Spy Sweeper van Webroot... heeft bij my nog veel meer gevonden dan Spybot S&D.
Succes.

[TheKeeper]

SpySweeper erover gehaald en daarmee alles verwijderd. Het probleem bleef zich voordoen. Daarna het register nog maar weer eens ingedoken en op zuvio gezocht, er was 1 vermelding en die leek me niet echt relevant.

Nog eens verder gezocht op google en zo iets tegengekomen dat het om een blaster worm gaat (TFTP1012)?? Toen maar de hoofdverwijzingen naar UCSearch, die er blijkbaar toch iets mee te maken had, uit het register gehaald en nu loopt het weer probleemloos.

Wel vreemd dat NAV 2004 het probleem niet gevonden heeft als het dus om een worm/downloader gaat (zie ook: PestPatrol ).

[elevator]

Scan ook eens met HijackThis - die is vaak erg handig omdat het niet zo zeer uitgaat van malware die hij kent - maar meer een opsomming is van allerlei lokaties / eigenschappen waar mogelijke malware kan zitten

[TheKeeper]

TheKeeper schreef op 08 april 2004 @ 19:34:
Het volgende probleem doet zich voor:

....

Nu heb ik ad-aware gedraaid, pestscan gedraaid, spybot search & destroy gedraaid en HijackThis erover gehaald. toch blijft het probleem zich voordoen.

...

HijackThis gaf wel een lijst met mogelijke problemen, maar de meeste probleemdingen waren al weggehaald of waren bekende geïnstalleerde programma's (zoals BDE en Cydoor).
UCSearch gaat in je registers zitten, maar word niet als zodanig herkent.

[ Voor 4% gewijzigd door TheKeeper op 09-04-2004 10:58 . Reden: onduidelijk wat ik bedoelde ]

[RèLF]

Kijk eens onder internet opties > algemeen > intstellingen > objecten weergeven en kijk of daar niet een of andere vreemde ActiveX control in staat.

[elevator]

TheKeeper schreef op 09 april 2004 @ 10:51:
HijackThis gaf wel een lijst met problemen maar de meeste waren ook al weggehaald of waren bekende geïnstalleerde programma's (zoals BDE en Cydoor).

Hijackthis geeft niets meer wat weggehaald is - dat is echt onmogelijk

UCSearch gaat in je registers zitten, maar word niet als zodanig herkent.

Interessant - misschien interessant om dat nog eens door te geven aan de Hijackthis auteur zodat in een volgende versie dat aangepakt kan worden

[TheKeeper]

elevator schreef op 09 april 2004 @ 10:53:
Interessant - misschien interessant om dat nog eens door te geven aan de Hijackthis auteur zodat in een volgende versie dat aangepakt kan worden

Ik weet niet wat de term 'downloader' inhoud, maar volgens PestPatrol valt het onder dat kopje bedreigingen

[Mike Jarod]

Info op PestPatrol.com

Probeer ook eens CWShredder

Werkt die niet gooi dan hier even je HijackThis log neer. Misschien zie je iets over het hoofd

[TheKeeper]

PestPAtrol had ik zelf de info gevonden en inmiddels is het probleem ook wel verholpen door 'domweg' alle entries met UCSearch uit m'n register te halen. Nu weet ik alleen niet of ik de symptomen alleen maar bestreden heb en hoe ik er aan kom.

O ja, hier m'n Hijack log:

code:

Logfile of HijackThis v1.97.7
Scan saved at 11:12:26, on 9-4-2004
Platform: Windows 98 Gold (Win9x 4.10.1998)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = http://searchbar.linksummary.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.nl/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = 
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O4 - HKLM\..\Run: [Taakcontrole] C:\WINDOWS\taskmon.exe
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [LoadPowerProfile] Rundll32.exe powrprof.dll,LoadCurrentPwrScheme
O4 - HKLM\..\Run: [StillImageMonitor] C:\WINDOWS\SYSTEM\STIMON.EXE
O4 - HKLM\..\Run: [LoadQM] loadqm.exe
O4 - HKLM\..\Run: [LVComs] C:\WINDOWS\SYSTEM\LVComS.exe
O4 - HKLM\..\Run: [KE9801] C:\PROGRA~1\T-MEDIA\MMHotKey.EXE
O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [Advanced Tools Check] C:\PROGRA~1\NORTON~1\ADVTOOLS\ADVCHK.EXE
O4 - HKLM\..\Run: [NPROTECT] C:\PROGRA~1\NORTON~1\ADVTOOLS\NPROTECT.EXE
O4 - HKLM\..\Run: [DXM6Patch_981116] C:\WINDOWS\p_981116.exe /Q:A
O4 - HKLM\..\Run: [ScanRegistry] C:\WINDOWS\scanregw.exe /autorun
O4 - HKLM\..\RunServices: [SchedulingAgent] mstask.exe
O4 - HKLM\..\RunServices: [ScriptBlocking] "C:\Program Files\Common Files\Symantec Shared\Script Blocking\SBServ.exe" -reg
O4 - HKLM\..\RunServices: [ccSetMgr] "C:\Program Files\Common Files\Symantec Shared\ccSetMgr.exe"
O4 - HKLM\..\RunServices: [ccEvtMgr] "C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe"
O4 - HKLM\..\RunServices: [NPROTECT] C:\PROGRA~1\NORTON~1\ADVTOOLS\NPROTECT.EXE
O4 - HKCU\..\Run: [SpySweeper] C:\Program Files\Webroot\Spy Sweeper\SpySweeper.exe /0
O4 - Startup: InControl Desktop Manager.lnk = C:\Program Files\Diamond\InControl Tools 99\DMHKEY.EXE
O4 - Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O9 - Extra button: RealGuide (HKLM)
O9 - Extra button: ICQ Lite (HKLM)
O9 - Extra 'Tools' menuitem: ICQ Lite (HKLM)
O9 - Extra button: @Home (HKCU)
O11 - Options group: [TOEGANKELIJKHEID] Toegankelijkheid
O16 - DPF: Win32 Classes - file://C:\WINDOWS\Java\classes\win32ie4.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: {340FBD92-B7BB-11D2-8299-00104B27F81B} (ScanCtl Class) - http://outpost.zdnet.com/updates/resources/updates.cab
O16 - DPF: {E98B87EE-3FCB-11D3-8A62-00C0F03C3792} (FTWL Class) - http://download1.firetalk.com/FireTalk/MFT_Test/FTWebLauncher.cab
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/shockwave/cabs/director/swdir8d205.cab
O16 - DPF: {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B} (QuickTime Object) - http://www.apple.com/qtactivex/qtplugin.cab
O16 - DPF: {C2FCEF52-ACE9-11D3-BEBD-00105AA9B6AE} (Symantec RuFSI Registry Information Class) - http://security.symantec.com/SSC/SharedContent/common/bin/cabsa.cab
O16 - DPF: {F58E1CEF-A068-4C15-BA5E-587CAF3EE8C6} (MSN Chat Control 4.5) - http://fdl.msn.com/public/chat/msnchat45.cab
O16 - DPF: {4D7F48C0-CB49-4EA6-97D4-04F4EACC2F3B} - http://www.ipswitch.com/_installs/wsftp_le/setup.exe
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/ansi/iuctl.CAB?38077.2682175926
O16 - DPF: ppctlcab - http://www.pestscan.com/scanner/ppctlcab.cab
O16 - DPF: {2FC9A21E-2069-4E47-8235-36318989DB13} (PPSDKActiveXScanner.MainScreen) - http://www.pestscan.com/scanner/axscanner.cab

[Mike Jarod]

Je log lijkt schoon op de R1 na, maar dat had je denk ik ook wel door . Ik zou zelf wel even uitzoeken wat er wel en niet nuttig is in \Run en die weggooien (oa p_981116.exe).

edit:

TheKeeper schreef op 09 april 2004 @ 11:15:
Nu weet ik alleen niet of ik de symptomen alleen maar bestreden heb en hoe ik er aan kom.

Ik denk dat je het probleem opgelost hebt, tenzij deze zo diep gaat dat ie niet in HijackThis te verwijderen is.

Hoe je er aan komt? Op verkeerde sites gezeten? Of iemand anders? Probeer eens een non-IE browser (zoals Mozilla Firefox) en je zult zien dat je er geen last meer van hebt.

[ Voor 59% gewijzigd door Mike Jarod op 09-04-2004 11:29 ]