[spyware] checked alles maar nog steeds problemen

[Loona35]

hi

ik heb het volgende gedaan:

code:

Spybot S&D naar updates laten zoeken maar deze bleken er geen te zijn. Versie die ik gedownload had was 1.2
Spybot S&D alles zoeken en daarna alles laten removen
AdAware 6 laten checken en alles laten removen
hijack log gemaakt

probleem is dat ik nu nog steeds die redirecting ding krijg. Dus als ik windows explorer start dan komt ie aanzetten met een spam site en krijg ik ook elke keer als ik naar een pagina ga een irritante popup met melding dat ik infected ben.

hijack log

code:

Logfile of HijackThis v1.97.7
Scan saved at 14:28:32, on 12-5-2004
Platform: Windows XP  (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\sstray.exe
C:\Program Files\QuickTime\qttask.exe
C:\Program Files\Java\j2re1.4.2_01\bin\jusched.exe
C:\Program Files\Winamp\Winampa.exe
C:\Program Files\Ahead\InCD\InCD.exe
C:\Program Files\SlySoft\CloneCD\CloneCDTray.exe
C:\Program Files\Microsoft Office\Office\OSA.EXE
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\wuauclt.exe
C:\WINDOWS\winlogon.exe
C:\spyware\hijackthis1977\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\System32\bjgoe.dll/sp.html (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\System32\bjgoe.dll/sp.html (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\System32\bjgoe.dll/sp.html (obfuscated)
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\System32\bjgoe.dll/sp.html (obfuscated)
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\System32\bjgoe.dll/sp.html (obfuscated)
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\System32\bjgoe.dll/sp.html (obfuscated)
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\spyware\SPYBOT~1\SDHelper.dll
O2 - BHO: (no name) - {C3A0E7A4-8F10-4AEF-BAA2-40E6DAAD77AD} - C:\WINDOWS\System32\bjgoe.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [nForce Tray Options] sstray.exe /r
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\j2re1.4.2_01\bin\jusched.exe
O4 - HKLM\..\Run: [WinampAgent] "C:\Program Files\Winamp\Winampa.exe"
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [InCD] C:\Program Files\Ahead\InCD\InCD.exe
O4 - HKLM\..\Run: [CloneCDTray] "C:\Program Files\SlySoft\CloneCD\CloneCDTray.exe" /s
O4 - HKLM\..\Run: [win32.exe] C:\WINDOWS\win32.exe
O4 - HKCU\..\Run: [winlogon] c:\windows\winlogon.exe
O4 - Global Startup: Adobe Gamma Loader.exe.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Office Opstarten.lnk = C:\Program Files\Microsoft Office\Office\OSA.EXE
O9 - Extra 'Tools' menuitem: Sun Java Console (HKLM)
O16 - DPF: {54B52E52-8000-4413-BD67-FC7FE24B59F2} (EARTPatchX Class) - http://www.ea.com/downloads/rtpatch/EARTPX.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{495EBC72-61C8-4F1E-B693-B3924599FFD9}: NameServer = 212.83.68.130,212.83.68.131
O17 - HKLM\System\CCS\Services\Tcpip\..\{F9159E8A-03B4-4453-BA11-01067D1E7F8D}: NameServer = 212.83.68.130,212.83.68.131
O17 - HKLM\System\CS1\Services\Tcpip\..\{495EBC72-61C8-4F1E-B693-B3924599FFD9}: NameServer = 212.83.68.130,212.83.68.131
O17 - HKLM\System\CS2\Services\Tcpip\..\{495EBC72-61C8-4F1E-B693-B3924599FFD9}: NameServer = 212.83.68.130,212.83.68.131

Wie kan me helpen?

[blackd]

code:

O4 - HKLM\..\Run: [win32.exe] C:\WINDOWS\win32.exe

http://www.liutilities.co...pro/processlibrary/win32/

code:

O4 - HKCU\..\Run: [winlogon] c:\windows\winlogon.exe

die hoort in system32, niet direct in windows dir. Zie:
http://www.reger24.de/prozesse/WINLOGON.EXE.php

code:

O2 - BHO: (no name) - {C3A0E7A4-8F10-4AEF-BAA2-40E6DAAD77AD} - C:\WINDOWS\System32\bjgoe.dl

Wat zou dat zijn?

[ Voor 17% gewijzigd door blackd op 12-05-2004 14:39 ]

[wildhagen]

code:

O4 - HKLM\..\Run: [win32.exe] C:\WINDOWS\win32.exe
O4 - HKCU\..\Run: [winlogon] c:\windows\winlogon.exe

Deze twee zijn bijna zeker virussen of ad/spyware. Haal ze maar eens door Jotti-scan: http://virusscan.jotti.dhs.org/

Deze entry kan ook weg:

code:

O2 - BHO: (no name) - {C3A0E7A4-8F10-4AEF-BAA2-40E6DAAD77AD} - C:\WINDOWS\System32\bjgoe.dll

[Loona35]

code:

O4 - HKCU\..\Run: [winlogon] c:\windows\winlogon.exe

hij zegt dat deze een essentieel prog. is en ik kan hem niet deleten of uit de lijst van lopende processen halen. Als ik hem bij hijack weg haal komt ie gewoon weer terug...

code:

O2 - BHO: (no name) - {C3A0E7A4-8F10-4AEF-BAA2-40E6DAAD77AD} - C:\WINDOWS\System32\bjgoe.dll

deze blijft eveneens gewoon terugkomen .. kan em ook niet deleten


Helpt een virus scanner dit probleem?

[Loona35]

net gedaan

code:

norton & mcaffee beide geupdate laten scannen en laten cleane en deleten

geen effect gehad...

dat start sscherm met spam blijft en popups ook

[Verwijderd]

hij zegt dat deze een essentieel prog. is en ik kan hem niet deleten of uit de lijst van lopende processen halen. Als ik hem bij hijack weg haal komt ie gewoon weer terug...

En wat gaf Jotti's online scanding aan?
Geldt natuurlijk ook voor de andere genoemde files.

En update je pc eens...

[Loona35]

Verwijderd schreef op 12 mei 2004 @ 18:37:
[...]

En wat gaf Jotti's online scanding aan?
Geldt natuurlijk ook voor de andere genoemde files.

En update je pc eens...

oh sorry!

ja die vond in allen een virus...

[Verwijderd]

loona35 schreef op 12 mei 2004 @ 18:53:
[...]


oh sorry!

ja die vond in allen een virus...

Wat specifieker graag.
Welk virus werd in welke file gevonden?

[Loona35]

code:

c:\windows\winlogon.exe

besmet door

code:

File:  winlogon.exe  
Status:  INFECTED/MALWARE (Note: this file has been scanned before. Therefore, this file's scan results will not be stored in the database)  
   
Norman Virus Control  No viruses found (33.25 seconds taken)  
F-Prot Antivirus  No viruses found (0.44 seconds taken)  
[b]F-Secure Anti-Virus  TrojanClicker.Win32.XMedia.j (4.69 seconds taken)  
Kaspersky Anti-Virus  TrojanClicker.Win32.XMedia.j (5.90 seconds taken)  [/b]
McAfee VirusScan  No viruses found (2.15 seconds taken)  
BitDefender  No viruses found (5.78 seconds taken)

code:

C:\WINDOWS\system32\bjgoe.dll

besmet met

code:

File:  bjgoe.dll  
Status:  INFECTED/MALWARE (Note: this file has been scanned before. Therefore, this file's scan results will not be stored in the database)  
   
Norman Virus Control  No viruses found (0.93 seconds taken)  
F-Prot Antivirus  security risk or a "backdoor" program (0.32 seconds taken)  
F-Secure Anti-Virus  [b]Trojan.Win32.StartPage.gv (3.13 seconds taken)  
Kaspersky Anti-Virus  Trojan.Win32.StartPage.gv (3.74 seconds taken)  [/b]
McAfee VirusScan  No viruses found (1.74 seconds taken)  
BitDefender  [b]Trojan.Startpage.GV (2.09 seconds taken)  [/b]

[Verwijderd]

Je hebt het beruchte cool web search probleem. Een onzichtbaar dll-bestand in system32 produceert elke keer bestandjes, die de startpagina resetten. CWshredder en adaware en anderen halen die bestandjes weg, maar even later keert het probleem weer terug, doordat de onzichtbare bugger er nog zit.
De enige oplossing die werkt, vind je hier:
http://www.spywareinfo.co...92&view=findpost&p=219322