mail-adres wordt gebruikt voor spam? hoe...

[BizonKid]

Een korte vraag, maar:
Hoe kan ik nagaan of mijn mail adres wordt gebruikt voor spam (via mijn computer, kan dat?).
Het is niet op mijn hoofdadres, maar op een alias, een tweede adres.

Moet dan ook die verstuurde email in mijn verzonden items staan (in Outlook Express), of wordt daar dan rond gewerkt?

Alvast bedankt.

[Fire69]

2 mogelijkheden:
- Ofwel heb je een worm (virus) op je pc dat mails verstuurd zonder dat je het weet. Dat kan je checken met virusscanner/adaware/....

- Ofwel wordt door iemand anders (virus)mails verstuurd en faken die het adres zodat het lijkt dat het van bij jou komt. Daar kan je spijtiggenoeg niks aan doen...

[BizonKid]

mja, Ad-aware geeft niets, ik zal nog eens een virusscan doen.
bedankt!

[Miki]

BizonKid schreef op 05 mei 2004 @ 16:37:
mja, Ad-aware geeft niets, ik zal nog eens een virusscan doen.
bedankt!

Over welke virusscanner hebben wij het hier? Daarnaast is er al een firewall op het systeem aanwezig. De geleverde info nu is te weinig om iets concreets te bepalen namelijk. Daarnaast zou een hijack this log posten ook zeer verstandig zijn.

[ Voor 9% gewijzigd door Miki op 05-05-2004 17:04 ]

[BizonKid]

Miki schreef op 05 mei 2004 @ 17:04:
[...]

Over welke virusscanner hebben wij het hier? Daarnaast is er al een firewall op het systeem aanwezig. De geleverde info nu is te weinig om iets concreets te bepalen namelijk. Daarnaast zou een hijack this log posten ook zeer verstandig zijn.

Het is de free edition van AVG.
Hoe wist je trouwens dat er een firewall geinstalleerd is?
hijack this heb ik nog nooit gebruikt eigenlijk, zal eens googlen

[Miki]

BizonKid schreef op 05 mei 2004 @ 17:07:
[...]


Het is de free edition van AVG.
Hoe wist je trouwens dat er een firewall geinstalleerd is?
hijack this heb ik nog nooit gebruikt eigenlijk, zal eens googlen

[rml][ Howto] Spyware scannen en opruimen[/rml]

Scheelt je weer een hoop google werk inclusief hoe het moet. De log straks hier posten in code tags zetten zie de algemene faq (die knop in dat paarse balk )

[BizonKid]

hmmz, hijackthis geeft een regel op in de logfile die me niet echt aanstaat:
O16 - DPF: {10000000-1000-0000-1000-000000000000} - ms-its:mhtml:file://c:\MAIN.MHT!http://213.159.117.236/buka.chm::/x.exe

is een soort homepage hack (of hoe heet dat)

Hoe kan het nu dat adaware dit niet opvangt?

[Miki]

BizonKid schreef op 05 mei 2004 @ 17:14:
hmmz, hijackthis geeft een regel op in de logfile die me niet echt aanstaat:
O16 - DPF: {10000000-1000-0000-1000-000000000000} - ms-its:mhtml:file://c:\MAIN.MHT!http://213.159.117.236/buka.chm::/x.exe

is een soort homepage hack (of hoe heet dat)

Hoe kan het nu dat adaware dit niet opvangt?

Sjaa, er wordt geld aan jouw verdient. Dus waarom zouden ze dan niet hun best doen om het zoveel mogelijk te verbloemen dat ook ad-aware nog avg zoiets niet vind?

Zou je hier de hele log kunnen posten in code tags. Daarnaast zou ik graag die exe willen hebben, zie profiel voor meel adres.

[BizonKid]

code:

Logfile of HijackThis v1.97.7
Scan saved at 17:09:19, on 5/05/2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
D:\WINDOWS\System32\smss.exe
D:\WINDOWS\system32\winlogon.exe
D:\WINDOWS\system32\services.exe
D:\WINDOWS\system32\lsass.exe
D:\WINDOWS\System32\Ati2evxx.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\Explorer.EXE
D:\WINDOWS\system32\spoolsv.exe
D:\WINDOWS\System32\sstray.exe
D:\Program Files\Motherboard Monitor 5\MBM5.EXE
D:\Program Files\Java\j2re1.4.2_04\bin\jusched.exe
I:\PROGRA~1\ZONELA~1\ZONEAL~1\zlclient.exe
D:\WINDOWS\System32\ctfmon.exe
D:\Program Files\Messenger\msmsgs.exe
I:\Program Files\Microsoft ActiveSync\WCESCOMM.EXE
D:\Program Files\FinePixViewer\QuickDCF.exe
I:\Program Files\Active SMART\ActiveSMART.exe
D:\PROGRA~1\Grisoft\AVG6\avgserv.exe
D:\WINDOWS\system32\ZoneLabs\vsmon.exe
D:\PROGRA~1\Grisoft\AVG6\AVGCC32.EXE
D:\PROGRA~1\Grisoft\AVG6\avgw.exe
D:\Program Files\Internet Explorer\iexplore.exe
K:\Bewaar stuff van WD HD\HD Dtemp\DTemp.exe
D:\Program Files\Internet Explorer\iexplore.exe
D:\Program Files\Internet Explorer\iexplore.exe
L:\Drivers & Tools\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - I:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - D:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [nForce Tray Options] sstray.exe /r
O4 - HKLM\..\Run: [ICQ Lite] D:\Program Files\ICQLite\ICQLite.exe -minimize
O4 - HKLM\..\Run: [REGSHAVE] D:\Program Files\REGSHAVE\REGSHAVE.EXE /AUTORUN
O4 - HKLM\..\Run: [MBM 5] "D:\Program Files\Motherboard Monitor 5\MBM5.EXE"
O4 - HKLM\..\Run: [MSZTCE] D:\WINDOWS\System32\MSZTCE.EXE
O4 - HKLM\..\Run: [SunJavaUpdateSched] D:\Program Files\Java\j2re1.4.2_04\bin\jusched.exe
O4 - HKLM\..\Run: [Zone Labs Client] I:\PROGRA~1\ZONELA~1\ZONEAL~1\zlclient.exe
O4 - HKLM\..\Run: [AVG_CC] D:\PROGRA~1\Grisoft\AVG6\avgcc32.exe /STARTUP
O4 - HKLM\..\Run: [MSConfig] D:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
O4 - HKCU\..\Run: [CTFMON.EXE] D:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "D:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [H/PC Connection Agent] "I:\Program Files\Microsoft ActiveSync\WCESCOMM.EXE"
O4 - HKCU\..\RunOnce: [ICQ Lite] D:\Program Files\ICQLite\ICQLite.exe -trayboot
O4 - Startup: Active SMART.lnk = I:\Program Files\Active SMART\ActiveSMART.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = D:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Exif Launcher.lnk = D:\Program Files\FinePixViewer\QuickDCF.exe
O9 - Extra 'Tools' menuitem: Sun Java Console (HKLM)
O9 - Extra button: Create Mobile Favorite (HKLM)
O9 - Extra 'Tools' menuitem: Create Mobile Favorite... (HKLM)
O9 - Extra button: ICQ Lite (HKLM)
O9 - Extra 'Tools' menuitem: ICQ Lite (HKLM)
O16 - DPF: {10000000-1000-0000-1000-000000000000} - ms-its:mhtml:file://c:\MAIN.MHT!http://213.159.117.236/buka.chm::/x.exe
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab

Heel het systeem afgezocht, maar ik vind niks met x.exe (bedoel je die?)
waarom heb je die nodig?

[wildhagen]

code:

O4 - HKLM\..\Run: [MSZTCE] D:\WINDOWS\System32\MSZTCE.EXE

Die is verdacht. Zou je die file eens naar mij willen mailen (mailadres in sig en profile)?

Deze mag je gewoon verwijderen:

code:

O16 - DPF: {10000000-1000-0000-1000-000000000000} - ms-its:mhtml:file://c:\MAIN.MHT!http://213.159.117.236/buka.chm::/x.exe

[BizonKid]

@wildhagen, ik weet niet hoe het komt, maar dat bestand vind ik echt niet?

[Miki]

msztce.exe zou ik ook heel graag willen, en waarom ik die nodig heb? Bestand wordt onderzocht

Die O16 kan idd de prullenbak in, die link wijst naar een porno startpagina iets.

Wat google allemaal niet kan vinden:

http://www.wilderssecurit...383cc&p=165089#post165089

Bestand verstopt zich namelijk, als je de link doorleest weet je genoeg denk ik.

[ Voor 41% gewijzigd door Miki op 05-05-2004 17:40 ]

[BizonKid]

geen resultaten gevonden?

Het is ook geen verborgen bestand blijkbaar, dat heb ik aanstaan.

edit: gevonden:

d:\windows\70000041.exe (10kB)

Ik zal hem versturen, ok?

[ Voor 54% gewijzigd door BizonKid op 05-05-2004 17:46 ]

[Miki]

BizonKid schreef op 05 mei 2004 @ 17:40:
geen resultaten gevonden?

Het is ook geen verborgen bestand blijkbaar, dat heb ik aanstaan.

edit: gevonden:

d:\windows\70000041.exe (10kB)

Ik zal hem versturen, ok?

Heel graag en dan wel naar wildhagen en mijzelf het liefst in een zipje met password, anders heeft me virusscanner um al aangerand

[Miki]

Te laat zie ik, maar gelukkig wel een rapport gekregen.

Log: TrojanDropper.Win32.Drodos ...gefeliciteerd!

Zou ik je mogen aanraden om een betere virusscanner te nemen. Hiermee doelende op een betaalde versie van Kaspersky, F-secure of Mcafee.

De trojan moet handmatig te verwijderen zijn, echter is de kans groot dat er ook een backdoor op je pc zit vanwege die spam. Download aub een trial van kaspersky of van f-secure en scan je bak daar eens mee.

F-secure bied ism met micrsoft een 6 maanden trial aan.
http://www.f-secure.com/protectyourpc/

Kaspersky 30 dagen en mcafee 15 dagen.

[ Voor 43% gewijzigd door Miki op 05-05-2004 17:59 ]

[BizonKid]

oh, die F-secure heeft dat gevonden?
En ik heb een uurtje geleden mijn hele pc nog gescant met AVG.

Ik zal die F-secure ook maar eens downloaden dan. Vind die trouwens ook die backdoor dan?
Bedankt voor de hulp

[ Voor 10% gewijzigd door BizonKid op 05-05-2004 18:05 ]

[wildhagen]

Hmm, McAfee flagged hem niet, heb hem ff gesubmit.

Volgens de Jotti-scan flagged alleen F-Secure en KAV hem (onder de naam die Miki al noemde).

[BizonKid]

Bij de install van F-secure krijg ik al direct een firewall waarschuwing;
Do you want BackWeb-4476822.exe to act as a server?

Source IP 0.0.0.0:Port 2970
Toelaten of niet?

[Miki]

Ja backweb is een update component van f-secure, liefst toelaten als je geupdate wilt blijven. Ps. let wel op dat AVG en Zonealarm wel eraf moeten, 2 virusscanners en 2 firewalls gaat fout. Daarnaast staat de firewall van f-secure bij application control standaard op allow en log, hier bij mij op prompt. Hiermee krijg ik een melding als een programma het internet op wil.

[ Voor 79% gewijzigd door Miki op 05-05-2004 18:15 ]

[BizonKid]

Ik heb nu enkel de virus scanner afgehaald, niet de internet security van F-Secure.
Als ik AVG eraf gooi, en ZoneAlarm behoud, dan is toch alles ok, niet?

[Miki]

BizonKid schreef op 05 mei 2004 @ 18:20:
Ik heb nu enkel de virus scanner afgehaald, niet de internet security van F-Secure.
Als ik AVG eraf gooi, en ZoneAlarm behoud, dan is toch alles ok, niet?

Ja das ook prima, ik dacht dat je internetsecurity had geinstalleerd. Behoud van zonealarm is ook goed. Nu nog de bak scannen met f-secure, ben benieuwd wat deze nog meer vind.

[BizonKid]

Er is toch iets mis met F-secure. Ik heb hem al in veilige modus moeten verwijderen, omdat zodra alles was ingeladen na opnieuw opstarten, de pc hing bij het bureaublad. AVG is er nochthans ook al af.

Ik krijg trouwens nog altijd een mail van "Mail Delivery Subsystem" (van dat alias adres), dat er niet kan afgeleverd worden. Is toch een teken dat er ergens nog iets niet pluis is.

Ik zal nog eens opnieuw installen...

edit: dat helpt niet; hij hangt nog bij het bureablad, AVG dan maar terug erop zetten?

[ Voor 11% gewijzigd door BizonKid op 05-05-2004 18:51 ]

[Miki]

BizonKid schreef op 05 mei 2004 @ 18:44:
Er is toch iets mis met F-secure. Ik heb hem al in veilige modus moeten verwijderen, omdat zodra alles was ingeladen na opnieuw opstarten, de pc hing bij het bureaublad. AVG is er nochthans ook al af.

Ik krijg trouwens nog altijd een mail van "Mail Delivery Subsystem" (van dat alias adres), dat er niet kan afgeleverd worden. Is toch een teken dat er ergens nog iets niet pluis is.

Ik zal nog eens opnieuw installen...

Zoals het nu op mij overkomt is het één en ander niet pluis. Probeer f-secure aan de gang te krijgen en kijk of de restanten van AVG echt verwijderd zijn. Bekijk ook even of firewall niet f-secure blokkeerd, desnoods zet je firewall een tandje lager. Je bent toch al besmet dus het maakt ook niks meer uit. Belangrijkste is om je bak te scannen met f-secure zo niet dan wordt het jammer genoeg een verse xp installatie om alle ellende te voorkomen die je nu hebt en andere aanricht.

[BizonKid]

Na nu al drie keer F-secure te hebben geinstalleerd, nog steeds hetzelfde. De PC hangt zodra ik op het bureaublad kom. Als F-secure er terug af is, alles in orde.

Ik wou trouwens eens opnieuw opstarten door met msconfig de firewall even uit te schakelen. Zie ik in dat lijstje nog altijd msztce.exe staan .

Ik geef me over...

voor mij geen ondertitel "Protected by F-secure", althans nog niet.

[ Voor 10% gewijzigd door BizonKid op 05-05-2004 19:09 ]

[Miki]

BizonKid schreef op 05 mei 2004 @ 19:08:
Na nu al drie keer F-secure te hebben geinstalleerd, nog steeds hetzelfde. De PC hangt zodra ik op het bureaublad kom. Als F-secure er terug af is, alles in orde.

Ik wou trouwens eens opnieuw opstarten door met msconfig de firewall even uit te schakelen. Zie ik in dat lijstje nog altijd msztce.exe staan .

Ik geef me over...

voor mij geen ondertitel "Protected by F-secure", althans nog niet.

Probeer anders een trial van Kaspersky antivirus, en anders wordt het misschien toch echt verstandig om die bak schoon te maken met een nieuwe installatie. Dat bestand alleen zorgt namelijk niet voor het versturen van emails namelijk!

[ Voor 3% gewijzigd door Miki op 05-05-2004 19:11 ]

[BizonKid]

Het blijft maar duren, maar die Kaspersky demo kun je niet updaten, het virusbestand is van vorig jaar ergens in November.
Ik zal maar eens een nieuwe Windows-install doen dan. Maar wie zegt dat ik dan over een paar dagen niet opnieuw hetzelfde aan de hand heb...

[Miki]

BizonKid schreef op 05 mei 2004 @ 19:26:
Het blijft maar duren, maar die Kaspersky demo kun je niet updaten, het virusbestand is van vorig jaar ergens in November.
Ik zal maar eens een nieuwe Windows-install doen dan. Maar wie zegt dat ik dan over een paar dagen niet opnieuw hetzelfde aan de hand heb...

De demo is wel te updaten als je de trial key erbij installeerd op de juiste plaats. Kijk ff in het mapje kaspersky en anders moet je even Schouw (mod bv) een lief emailtje sturen hoe je verder moet met de licence key.

[sjaakaq]

wat ook kan: zoek naar het bestand hosts (niks erachter). Hier moet eigenlijk staan:

code:

127.0.0.1       localhost

En verder niks. De sasser worm zet daar echter bijv. het update adres van kaspersky tussen, zodat je die niet meer kan updaten. Haal dat bestand eens leeg op die localhost regel na, en probeer dan eens up te daten met kaspersky?

[BizonKid]

waar moet ik dat zoeken leo, ik vind niets van hosts?

die kaspersky lukt gewoon niet...

[ Voor 26% gewijzigd door BizonKid op 05-05-2004 20:04 ]

[sjaakaq]

start-->zoeken-->alle bestanden en mappen, zoekopdracht: "hosts" (zonder aanhalingstekens )

Of de locatie van het bestand:

C:\WINDOWS\system32\drivers\etc

en dan dus het bestand hosts openen met kladblok.

[BizonKid]

ik vind alleen "hosts" in een andere, oude map van een vroegere Windows, die wordt dus niet meer gebruikt.
Van mijn huidige Windows install kan ik dat bestand niet vinden

ahh, computers zijn toch fun...

edit: gevonden nu (zoeken in systeem mappen), maar dat is gewoon een leeg bestand.

[ Voor 20% gewijzigd door BizonKid op 05-05-2004 20:16 ]

[elevator]

Start even een cmd box op (start -> run -> cmd.exe), en start vervolgens:

code:

netstat -ano | findstr :25 >>C:\pidlist.txt

voer vervolgens:

code:

tasklist >>C:\pidlist.txt

even uit en paste de inhoud van "C:\pidlist.txt" hier eventjes als je wilt

[sjaakaq]

hmmm dan ligt het updaten daar dus niet aan... (@bizonkid)

[ Voor 12% gewijzigd door sjaakaq op 05-05-2004 20:26 ]

[BizonKid]

@elevator

code:

Imagenaam                 Proces Sessienaam       Sessienr Geheugengebr
========================= ====== ================ ======== ============
System Idle Process            0 Console                 0        20 kB
System                         4 Console                 0       236 kB
smss.exe                     412 Console                 0       648 kB
csrss.exe                    468 Console                 0     5.612 kB
winlogon.exe                 492 Console                 0     3.088 kB
services.exe                 536 Console                 0     3.828 kB
lsass.exe                    548 Console                 0     1.408 kB
ati2evxx.exe                 692 Console                 0     2.064 kB
svchost.exe                  716 Console                 0     3.676 kB
svchost.exe                  764 Console                 0    24.480 kB
svchost.exe                  884 Console                 0     2.152 kB
svchost.exe                  912 Console                 0     3.884 kB
explorer.exe                1076 Console                 0    24.912 kB
spoolsv.exe                 1144 Console                 0     4.596 kB
vsmon.exe                   1600 Console                 0     6.216 kB
sstray.exe                  2008 Console                 0     2.700 kB
MBM5.exe                    2040 Console                 0     4.476 kB
jusched.exe                  172 Console                 0     2.364 kB
zlclient.exe                 216 Console                 0     3.748 kB
ctfmon.exe                   112 Console                 0     3.552 kB
msmsgs.exe                   552 Console                 0     8.216 kB
WCESCOMM.EXE                 736 Console                 0     1.576 kB
QuickDCF.exe                1176 Console                 0     2.580 kB
ActiveSMART.exe             1284 Console                 0     1.000 kB
Settings.dll                 592 Console                 0     5.956 kB
IEXPLORE.EXE                1956 Console                 0    36.420 kB
avpcc.exe                   2088 Console                 0     3.640 kB
ntvdm.exe                   2108 Console                 0     2.572 kB
cmd.exe                     3908 Console                 0     1.496 kB
tasklist.exe                2680 Console                 0     3.248 kB
wmiprvse.exe                2152 Console                 0     4.460 kB

waarom moet dit 2x en welke string zoek je?

edit: zo, daarnet had hij een append gedaan aan dat lijstje, nu uitgevoerd naar een nieuw, leeg bestand.

[ Voor 74% gewijzigd door BizonKid op 05-05-2004 20:45 ]

[elevator]

Je hebt niet 2 maal '>' gebruikt, of niet beide uitgevoerd

[wildhagen]

Wat doet regel 27 (Settings.dll) daar? Googlen heeft weinig zin, beetje te algemene naam.

In welke directory staat die, en word er ergens in de registry naar verwezen?

[sjaakaq]

ik heb dit net ook gedaan en kreeg ook zo'n lijst heur...:? (@elevator)

[ Voor 15% gewijzigd door sjaakaq op 05-05-2004 20:40 ]

[BizonKid]

@wildhagen; is waarschijnlijk een dll van motherboard monitor, althans in die directory staat het.

[wildhagen]

BizonKid schreef op 05 mei 2004 @ 20:42:
@wildhagen; is waarschijnlijk een dll van motherboard monitor, althans in die directory staat het.

Ah, oké.

Maar blijft wel vreemd, ik gebruik ook MBM5 (ook die settings.dll daar idd), maar bij mij draait-ie niet in het lijstje mee.

[BizonKid]

Hoe kom ik nu eigenlijk aan al die ellende (want dat is het toch)? Kan dat gewoon gebeuren door surfen icm geen firewall? Ik heb ook een tijd geen virusscanner gedraaid, maar kan toch niet goed erbij hoe mijn pc gebruikt kan worden als spammer.
Er zal toch niks anders op zitten dan een nieuwe install, en dan maar direct een firewall en virusscanner erop, hopelijk is dat genoeg.

Iedereen bedankt voor de hulp iig.

[BizonKid]

Update:

Kaspersky toch aan het werk gekregen met een geüpdate database.
Hij vind een Trojan in d:\windows\system32\msvsres.dll

Hij kan hem echter niet desinfecteren, doordat het bestand in gebruik is.
Ik ben wel de naam vergeten op te schrijven van welke trojan.
Wat nu weer?

[pasta]

regsrv32 /u msvres.dll
Je kunt ook in veilige modus opstarten en hem daar verwijderen.

[BizonKid]

Het is dus een bestand dat Windows niet nodig heeft en gewoon mag weggegooid worden?

edit: je bedoelt natuurlijk Kaspersky in veilige modus opstarten

[ Voor 31% gewijzigd door BizonKid op 06-05-2004 16:22 ]