[NAV2004] niet te updaten. sites niet werken.

[Xavier]

Ik heb hier de pc staan van een collega. Die snapt niet veel van pc's, nou wil ik niet zeggen dat ik een wereldwonder ben. Maar ik ga er mijn brood mee verdienen.

Maar hij had het Sasser virus. Das er helemaal netjes af. Allen spyware eraf gehaald etc.

Nou dus NAV2004NL geinstalleerd. Alleen als ik ga updaten krijg ik foutmeldingen dat symantec niet te contacten is etc.
website als www.symantec.com www.mcafee.com werken niet. Krijg ik een 404
Op mijn eigen pc werken ze wel gewoon.

Is er een virus ofzo die dit op zijn geweten heeft? Want ik kan nu weinig met scannen doen, met virusdefs van augustus 2003.

[Verwijderd]

Kijk Beveiliging en Virussen - Nieuw topic starten eens door.
Waarschijnlijk is je hosts file aangepast, handigste is om je HT log te posten.(Tussen [code] tags)

[Xavier]

Waar kan ik een host file vinden??

[Verwijderd]

Lees mijn post nog eens door aub.
_{En volg eventueel het advies op.}

[Xavier]

Nee joh dat doen we niet. We lezen natuurlijk gewoon over dat stukje HiJackThis heen. Dat je dat niet begrijpt joh

[Xavier]

Tada

code:

Logfile of HijackThis v1.97.7
Scan saved at 23:10:43, on 18-5-2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Common Files\Symantec Shared\ccSetMgr.exe
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\LEXPPS.EXE
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\dla\tfswctrl.exe
C:\Program Files\Dell\Media Experience\PCMService.exe
C:\WINDOWS\System32\DSentry.exe
C:\Program Files\Dell AIO Printer A940\dlbabmgr.exe
C:\WINDOWS\System32\hkey.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\Dell AIO Printer A940\dlbabmon.exe
C:\Program Files\Creative\SBLive\Diagnostics\diagent.exe
C:\WINDOWS\System32\CTsvcCDA.exe
C:\Program Files\Digital Line Detect\DLG.exe
C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Program Files\Norton AntiVirus\navapsvc.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\Program Files\Norton AntiVirus\SAVScan.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\MsPMSPSv.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Documents and Settings\Daan van der Weiden\Mijn documenten\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.startpagina.nl/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.euro.dell.com/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.euro.dell.com/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.euro.dell.com/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: (no name) - {5CA3D70E-1895-11CF-8E15-001234567890} - C:\WINDOWS\system32\dla\tfswshx.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [diagent] "C:\Program Files\Creative\SBLive\Diagnostics\diagent.exe" startup
O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\UpdReg.EXE
O4 - HKLM\..\Run: [dla] C:\WINDOWS\system32\dla\tfswctrl.exe
O4 - HKLM\..\Run: [StorageGuard] "C:\Program Files\Common Files\Sonic\Update Manager\sgtray.exe" /r
O4 - HKLM\..\Run: [PCMService] "C:\Program Files\Dell\Media Experience\PCMService.exe"
O4 - HKLM\..\Run: [DVDSentry] C:\WINDOWS\System32\DSentry.exe
O4 - HKLM\..\Run: [Dell AIO Printer A940] "C:\Program Files\Dell AIO Printer A940\dlbabmgr.exe"
O4 - HKLM\..\Run: [windows] hkey.exe
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 - HKLM\..\RunServices: [windows] hkey.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - Global Startup: Digital Line Detect.lnk = ?
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra 'Tools' menuitem: Sun Java Console (HKLM)
O9 - Extra button: Onderzoek (HKLM)
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Messenger (HKLM)
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/shockwave/cabs/director/sw.cab
O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab27571.cab
O16 - DPF: {841A9192-5690-11D4-A258-0040954A01BE} - http://dialxs.nl/install/dialxs.ocx
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab27571.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab

[Xavier]

Goeiuh shit

HOSTS file

code:

# Copyright (c) 1993-1999 Microsoft Corp.
#
# Dit is een voorbeeld HOSTS-bestand dat wordt gebruikt door Microsoft TCP/IP for Windows.
#
# Dit bestand bevat de toewijzingen van IP-adressen naar hostnamen. Elke vermelding
# moet op een afzonderlijke regel staan. Het IP-adres dient in de eerste kolom te worden
# geplaatst, gevolgd door de bijbehorende hostnaam. Het IP-adres en de hostnaam dienen 
# gescheiden te zijn door ten minste één spatie.
#
# Daarnaast kunnen opmerkingen (zoals deze) worden toegevoegd op extra
# regels of gevolgd door de computernaam, voorafgegaan door een #.
#
# Bijvoorbeeld:
#
#      102.54.94.97     rhino.acme.com          # bronserver
#       38.25.63.10     x.acme.com              # x clienthost

127.0.0.1       localhost

















127.0.0.1   www.symantec.com
127.0.0.1   securityresponse.symantec.com
127.0.0.1   symantec.com
127.0.0.1   www.sophos.com
127.0.0.1   sophos.com
127.0.0.1   www.mcafee.com
127.0.0.1   mcafee.com
127.0.0.1   liveupdate.symantecliveupdate.com
127.0.0.1   www.viruslist.com
127.0.0.1   viruslist.com
127.0.0.1   viruslist.com
127.0.0.1   f-secure.com
127.0.0.1   www.f-secure.com
127.0.0.1   kaspersky.com
127.0.0.1   kaspersky-labs.com
127.0.0.1   www.avp.com
127.0.0.1   www.kaspersky.com
127.0.0.1   avp.com
127.0.0.1   www.networkassociates.com
127.0.0.1   networkassociates.com
127.0.0.1   www.ca.com
127.0.0.1   ca.com
127.0.0.1   mast.mcafee.com
127.0.0.1   my-etrust.com
127.0.0.1   www.my-etrust.com
127.0.0.1   download.mcafee.com
127.0.0.1   dispatch.mcafee.com
127.0.0.1   secure.nai.com
127.0.0.1   nai.com
127.0.0.1   www.nai.com
127.0.0.1   update.symantec.com
127.0.0.1   updates.symantec.com
127.0.0.1   us.mcafee.com
127.0.0.1   liveupdate.symantec.com
127.0.0.1   customer.symantec.com
127.0.0.1   rads.mcafee.com
127.0.0.1   trendmicro.com
127.0.0.1   www.trendmicro.com
127.0.0.1   www.grisoft.com

[Verwijderd]

Hmmm...
Zoek eens op "hosts" op je systeem, open de gevonden files met een texteditor en kijk wat eruit komt.

Er zou(zo ongeveer)alleen dit in moeten staan:

127.0.0.1 localhost

Als er ook dingen als:
"127.0.0.1 www.symantec.com" instaan, dat moet je dan verwijderen...

O4 - HKLM\..\RunServices: [windows] hkey.exe

Scan die file eens - zie sig voor link.

Ik ga voor een Agobotvariant..

Edit:
Je had het al gevonden zie ik.
Ik wil je trouwens ook even wijzen op de edit-knop, je loopt inmiddels lang genoeg mee om die te vinden.

[ Voor 16% gewijzigd door Verwijderd op 18-05-2004 23:20 ]

[Xavier]

Die hkey.exe vind ik ook beetje verdacht.

En weet je misschien wat dit is?
C:\WINDOWS\UpdReg.EXE


Norton kon ik weer updaten, dus ik laat hem nu helemaal scannen.

[edit]

Verwijderd schreef op 18 mei 2004 @ 23:19:
Ik ga voor een Agobotvariant..

U gaat door naar de volgende ronde of wilt u naar huis gaan met een agobotje??
hkey.exe en bot.exe in een userprofile. Beide in quarantene. Norton kon er verder niks mee.

[ Voor 49% gewijzigd door Xavier op 18-05-2004 23:54 ]

[Verwijderd]

Die hkey.exe vind ik ook beetje verdacht.

Ook al zegt NAV dat die clean is, dat is ie niet.
Heb je die inmiddels al gescand @ http://www.kaspersky.com/scanforvirus.html ?

En weet je misschien wat dit is?
C:\WINDOWS\UpdReg.EXE

Ehh, beetje eigen inzet mag wel hoor, google/search eens.

[Xavier]

Verwijderd schreef op 18 mei 2004 @ 23:53:
Ehh, beetje eigen inzet mag wel hoor, google/search eens.

Krijg jij niet betaald dan om luie usertjes werk te doen?

UpdReg.exe
updreg - updreg.exe - Process Information
Process File: updreg or updreg.exe
Process Name: Creative Register Reminder
Description: Application that reminds users to register for their Creative Labs products.
Company: Creative Technology Ltd
System Process: No
Security Risk ( Virus/Trojan/Worm/Adware/Spyware ): No
Common Errors: N/A

IIG harstikke bedankt voor je inzet. En sorry dat ik wat lui ben
Het was me het dagje werk wel, overwerken tot 20:00 vanwege dode servers en een verbinding met Italie die er 20min over doet :R
En daarna die virus/spam/crap monster ophalen etc.

Hartelijk dank!!

[ Voor 19% gewijzigd door Xavier op 18-05-2004 23:58 ]

[Verwijderd]

Xavier schreef op 18 mei 2004 @ 23:55:
[...]


Krijg jij niet betaald dan om luie usertjes werk te doen?

Nou....nee.

En nogmaals: vergeet die ene file niet te checken, het zit er in dat je nu als spamrelay dienst doet.

[Xavier]

Die hkey.exe was een agobot versie, die staat netjes in quarantene en doet niks meer dus.
Morgen maar weer eens een laatste scan eroverheen en dat Creative bestandje eruit slopen. En dan gaat hij weer terug naar zijn eigen baasje.