[Malware] Hijack naar easy-search.biz

[DoDo]

Als ik een nieuwe internet explorer opstart opent ie metteen de link http://easy-search.biz
En bij google bij elke link, die je opent krijg je een (Nep) schermpje van google dat hij de pagina niet kanvinden. Met hijack this heb ik alle entry's verwijdert, maar hij komt vanzelf weer terug, en al verwijder je hem weer met hijack this dan komt ie weer terug. Kan iemand mij helpen? (Adaware + Spybot werkt niet)

[Verwijderd]

Hmm, volg toch maar even Beveiliging en Virussen - Nieuw topic starten en dergelijke aub.

Titeledit.

[DoDo]

Thanx

[Verwijderd]

Probeer HijackThis eens linkjah

En anders CWShredder, nog een linkjah

[blizt]

Verwijderd schreef op 11 mei 2004 @ 20:31:
Probeer HijackThis eens linkjah

...

DoDo schreef op 11 mei 2004 @ 20:16:
en al verwijder je hem weer met hijack this dan komt ie weer terug.

[DoDo]

Cwsshredder heb ik ook geprobeert die detecteert hem niet

[Mike Jarod]

Post anders even je HijackThis log, en geef even aan welke items je allemaal verwijderd had maar niet werkte.

[DoDo]

code:

Logfile of HijackThis v1.97.7
 Scan saved at 21:33:38, on 11-5-2004
 Platform: Windows XP SP1 (WinNT 5.01.2600)
 MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
 C:\WINDOWS\system32\spoolsv.exe
 C:\Program Files\Sitecom\IFR_Share.exe
 C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe
 C:\Program Files\Panda Software\Panda Antivirus Titanium\Pavsrv51.exe
 C:\Program Files\Panda Software\Panda Antivirus Titanium\AVENGINE.EXE
 C:\WINDOWS\Explorer.EXE
 C:\WINDOWS\SOUNDMAN.EXE
 C:\Program Files\Panda Software\Panda Antivirus Titanium\APVXDWIN.EXE
 C:\Program Files\Logitech\iTouch\iTouch.exe
 C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
 C:\Program Files\Sitecom\C2SLoad.exe
 C:\Program Files\Messenger Plus! 2\MsgPlus.exe
 C:\PROGRA~1\Meta Bags Log\inter skip two.exe
 C:\Program Files\Common Files\Real\Update_OB\realsched.exe
 C:\WINDOWS\winupd.exe
 C:\WINDOWS\System32\ctfmon.exe
 C:\PROGRA~1\INTERN~2\iw.exe
 C:\Program Files\SpeedTouch\Dr SpeedTouch\drst.exe
 C:\WINDOWS\runwin32.exe
 C:\WINDOWS\wininet32.exe
 C:\Program Files\Wireless\Client Manager\CMags.EXE
 C:\Program Files\MSN Messenger\msnmsgr.exe
 C:\Program Files\Panda Software\Panda Antivirus Titanium\pavProxy.exe
 C:\WINDOWS\System32\svchost.exe
 c:\program files\internet explorer\iexplore.exe
 C:\Program Files\Internet Explorer\iexplore.exe
 C:\Program Files\Microsoft Office\Office10\WINWORD.EXE
 C:\Documents and Settings\\Local Settings\Temp\Tijdelijke map 1 voor hijackthis.zip\HijackThis.exe
 R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://easy-search.biz
 R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://easy-search.biz
 R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://easy-search.biz
 R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://easy-search.biz
 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://easy-search.biz
 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://easy-search.biz
 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.paradigit.nl
 R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://easy-search.biz
 R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://easy-search.biz
 R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 127.0.0.1:8080
 R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = local
 R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
 R3 - URLSearchHook: (no name) - _{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file)
 O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
 O2 - BHO: PREAT IE LightFrame - {43D29D14-460E-4F3A-9037-E60F11EF12F0} - C:\WINDOWS\System32\LightFrame3IECOM.dll
 O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
 O3 - Toolbar: MSN Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Toolbar\01.01.1601.0\nl\msntb.dll
 O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
 O4 - HKLM\..\Run: [APVXDWIN] "C:\Program Files\Panda Software\Panda Antivirus Titanium\APVXDWIN.EXE" /s
 O4 - HKLM\..\Run: [zBrowser Launcher] C:\Program Files\Logitech\iTouch\iTouch.exe
 O4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
 O4 - HKLM\..\Run: [mgavrtclexe] C:\WINDOWS\MCBin\AV\Rt\mgavrtcl.exe
 O4 - HKLM\..\Run: [Click2Share] C:\Program Files\Sitecom\C2SLoad.exe
 O4 - HKLM\..\Run: [MessengerPlus2] "C:\Program Files\Messenger Plus! 2\MsgPlus.exe"
 O4 - HKLM\..\Run: [Creative ford] C:\PROGRA~1\Meta Bags Log\inter skip two.exe
 O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe"  -osboot
 O4 - HKLM\..\Run: [Upgrade Service] C:\WINDOWS\winupd.exe
 O4 - HKLM\..\RunServices: [mgavrtclexe] C:\WINDOWS\MCBin\AV\Rt\mgavrte.exe
 O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
 O4 - HKCU\..\Run: [Internet Washer Pro] C:\PROGRA~1\INTERN~2\iw.exe min
 O4 - HKCU\..\Run: [MessengerPlus2] "C:\Program Files\Messenger Plus! 2\MsgPlus.exe" /WinStart
 O4 - HKCU\..\Run: [STManager] "C:\Program Files\SpeedTouch\Dr SpeedTouch\drst.exe" -b
 O4 - HKCU\..\Run: [runwin32] C:\WINDOWS\runwin32.exe
 O4 - HKCU\..\Run: [wininet32] C:\WINDOWS\wininet32.exe
 O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
 O4 - Global Startup: LightFrame 3.lnk = ?
 O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
 O4 - Global Startup: Wireless Client Manager.lnk = ?
 O9 - Extra button: Microsoft® JavaScript® Console (HKLM)
 O9 - Extra 'Tools' menuitem: JavaScript Console (HKLM)
 O9 - Extra button: Microsoft® JavaScript® Console (HKCU)
 O9 - Extra 'Tools' menuitem: JavaScript Console (HKCU)
 O14 - IERESET.INF: START_PAGE_URL=http://www.paradigit.nl
 O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://software-dl.real.com/244a6aa172dfd01e9e05/netzip/RdxIE601.cab
 O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Besturing) - http://a840.g.akamai.net/7/840/537/2004033001/housecall.antivirus.com/housecall/xscan53.cab
 O16 - DPF: {9EB320CE-BE1D-4304-A081-4B4665414BEF} (MediaTicketsInstaller Control) - http://www.mt-download.com/MediaTicketsInstaller.cab
 O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
 O16 - DPF: {f760cb9e-c60f-4a89-890e-fae8b849493e} -

(Alles met easysearch weggehaald)
ps msn kan ook niet connecten meer die zegt dat er geen internet verbinding is

[ Voor 8% gewijzigd door DoDo op 11-05-2004 22:37 ]

[elevator]

DoDo schreef op 11 mei 2004 @ 22:15:
C:\PROGRA~1\Meta Bags Log\inter skip two.exe

Die ken ik niet

C:\WINDOWS\winupd.exe

Kijk hier eens: http://www.trendmicro.com...ult5.asp?VName=PE_BAGLE.N

C:\PROGRA~1\INTERN~2\iw.exe

Zegt me niets - wat is dit?

C:\WINDOWS\runwin32.exe
C:\WINDOWS\wininet32.exe

Zegt me niets - wat is dit ?

R3 - URLSearchHook: (no name) - _{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file)

O2 - BHO: PREAT IE LightFrame - {43D29D14-460E-4F3A-9037-E60F11EF12F0} - C:\WINDOWS\System32\LightFrame3IECOM.dll

O4 - HKLM\..\Run: [Creative ford] C:\PROGRA~1\Meta Bags Log\inter skip two.exe

Zegt me niets - wat is dit?

O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot

Zegt me niets - wat is dit?

O4 - HKLM\..\Run: [Upgrade Service] C:\WINDOWS\winupd.exe

Zie eerdere link

O4 - HKCU\..\Run: [runwin32] C:\WINDOWS\runwin32.exe
O4 - HKCU\..\Run: [wininet32] C:\WINDOWS\wininet32.exe

Zie eerder.

O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://software-dl.real.c...e9e05/netzip/RdxIE601.cab
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Besturing) - http://a840.g.akamai.net/...com/housecall/xscan53.cab
O16 - DPF: {9EB320CE-BE1D-4304-A081-4B4665414BEF} (MediaTicketsInstaller Control) - http://www.mt-download.com/MediaTicketsInstaller.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedi...ve/cabs/flash/swflash.cab
O16 - DPF: {f760cb9e-c60f-4a89-890e-fae8b849493e} -

Zoek eerst die bovenstaande maar eens uit.

Verder - in de "Hoe een topic starten" staat volgens mij toch heel duidelijk aangegeven dat je eerst *zelf* je hijackthis logfile moet doornemen? Als ik jouw log zo bekijk heb je dat overduidelijk niet gedaan

[Jordi]

Bij twijfel kan je bovengenoemde dingetjes altijd even door de scanservice in mijn link heen trekken. Erg leuk dat bepaalde bestanden erg veel lijken op standaard windows services... ik heb van bv. runwin32.exe en wininet32.exe nog nooit gehoord. Als je niet weet wat het is: assume the worst. Please.

[ Voor 11% gewijzigd door Jordi op 12-05-2004 00:41 ]

[Verwijderd]

Die Easy-Search is ook een leuke , delete die maar

[DoDo]

Ik heb die easy search enzo weg de rest ook.
Als ik wininet32.exe van de pc weghaal dan kan ik geen internet pagina's openen.
En bij google bij search dingen krijg ik nepmeldingen dat het niet op de server is gevondne, en bij heel veel andere pagina's ook.
Weet iemand waar dat aan ligt?

[blackd]

DoDo schreef op 12 mei 2004 @ 13:41:
Weet iemand waar dat aan ligt?

Ja.
Wat zou dit kunnen zijn:

code:

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 127.0.0.1:8080
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = local

[DoDo]

blackd schreef op 12 mei 2004 @ 13:45:
[...]
Ja.
Wat zou dit kunnen zijn:

code:

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 127.0.0.1:8080
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = local

Werkt niet

Edit:
Ik heb nog wat rare shit weggeogooid en nu doet ie het ook zonder wininet32 en shit, dus alles is weg en het werkt verder (Kweenie wat der alleamaal op zat echt)

[ Voor 21% gewijzigd door DoDo op 12-05-2004 13:55 ]

[blackd]

Nou dan weten we ook hoe die troep er op gekomen is ...