[spyware] Extreem hardnekkige en gore spyware*

[Gumball]

Ik zit emt een best groot probleem. Ik heb sinds gister last van extreme spyware, die op geen mogelijke wijze te verwijderen is!!

Ik heb verschillende adware progjes gedraaid, maar niets vond het....

(Spybot, adaware spy nog wat...)

Het betreft een startpagina die ik niet kan veranderen (www.virgins-************.com en school-********.com (is ok nog eens kinderrp0n))

M'n leraar kreeg het ook niet voor mekaar, en verwees me naar jullie... Help me

[ Voor 4% gewijzigd door Gumball op 28-05-2004 13:48 ]

[Victor]

Haal eerst die links eens weg.

Register al doorzocht naar die sites, host file gecontroleerd?

[ Voor 53% gewijzigd door Victor op 28-05-2004 13:50 ]

[Gumball]

King_Louie schreef op 28 mei 2004 @ 13:46:
Haal eerst die links eens weg.

done

[Gumball]

King_Louie schreef op 28 mei 2004 @ 13:46:
Haal eerst die links eens weg.

Register al doorzocht naar die sites, host file gecontroleerd?

met ad-aware ja

[Victor]

Ik heb het over met de hand controleren. Dus ff regedit aanslingeren en gewoon een CTRL+F naar die URL's. Verder ook meteen ff je hosts file controleren.

En ff een Hijack this log, is ook wel handig.

[ Voor 17% gewijzigd door Victor op 28-05-2004 13:54 ]

[Gumball]

King_Louie schreef op 28 mei 2004 @ 13:53:
Ik heb het over met de hand controleren. Dus ff regedit aanslingeren en gewoon een CTRL+F naar die URL's. Verder ook meteen ff je hosts file controleren.

En ff een Hijack this log, is ook wel handig.

heb de complete hostfile leeg gehaald, en met regedit vind ie niets

Shiiitt... Echt klote!!

[Verwijderd]

En spybot vind niet extra dingen dan ad-aware? Ik gebruik ze eigelijk alle 2, omdat ze soms dingen vergeten die de ander dan weer wel ziet..

[RobIII]

En heb je je ad-aware wel bijgewerkt met de laatste datfiles?

[ Voor 4% gewijzigd door RobIII op 28-05-2004 14:02 ]

[Gumball]

Verwijderd schreef op 28 mei 2004 @ 14:00:
En spybot vind niet extra dingen dan ad-aware? Ik gebruik ze eigelijk alle 2, omdat ze soms dingen vergeten die de ander dan weer wel ziet..

nope....


Maargoed hier m'n HijackThis log:

Logfile of HijackThis v1.97.7
Scan saved at 2:02:48 PM, on 5/28/2004
Platform: Windows 2000 SP3 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
E:\WINNT\System32\smss.exe
E:\WINNT\system32\winlogon.exe
E:\WINNT\system32\services.exe
E:\WINNT\system32\lsass.exe
E:\WINNT\system32\svchost.exe
E:\WINNT\system32\spoolsv.exe
E:\WINNT\System32\msdtc.exe
E:\WINNT\System32\svchost.exe
E:\WINNT\System32\llssrv.exe
E:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE
E:\WINNT\System32\nvsvc32.exe
E:\WINNT\system32\regsvc.exe
E:\WINNT\system32\MSTask.exe
E:\WINNT\System32\WBEM\WinMgmt.exe
E:\WINNT\system32\svchost.exe
E:\WINNT\System32\inetsrv\inetinfo.exe
E:\WINNT\system32\Dfssvc.exe
E:\WINNT\System32\svchost.exe
E:\WINNT\Explorer.EXE
D:\Program Files\MSN Messenger\msnmsgr.exe
E:\Documents and Settings\Administrator\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://cashsearch.biz/redir.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://cashsearch.biz/redir.php
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://cashsearch.biz/redir.php
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://cashsearch.biz/redir.php
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = http://cashsearch.biz/redir.php
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = http://cashsearch.biz/redir.php
R3 - Default URLSearchHook is missing
O3 - Toolbar: @msdxmLC.dll,-1@1033,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - E:\WINNT\System32\msdxm.ocx
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE E:\WINNT\system32\NvCpl.dll,NvStartup
O4 - HKCU\..\Run: [msnmsgr] "D:\Program Files\MSN Messenger\msnmsgr.exe" /background
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://F:\PROGRA~1\MICROS~1\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Onderzoek (HKLM)
O16 - DPF: {9EB320CE-BE1D-4304-A081-4B4665414BEF} (MediaTicketsInstaller Control) - http://www.mt-download.com/MediaTicketsInstaller.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedi...ve/cabs/flash/swflash.cab


Heb de items die met die ranzigheid te maken hebben verwijderd, maar na 10 tellen zijn ze zo weer terug

[troyk]

- edit -
niet meer van toepassing.

- Msconfig gechecked?
- software gechecked?
- processen gechecked?

[ Voor 80% gewijzigd door troyk op 28-05-2004 14:25 ]

[wildhagen]

Dit is spyware, weg ermee:

code:

O16 - DPF: {9EB320CE-BE1D-4304-A081-4B4665414BEF} (MediaTicketsInstaller Control) - http://www.mt-download.com/MediaTicketsInstaller.cab

[Gumball]

Verwijderd, doch helaas.... Blijft komen, ik begrijp er niets van...

Heb alles verwijderd met Hijackthis wat verdacht is....

[troyk]

check eens die startpage wat de source van die URL is.

[troyk]

en?

Mod-break:

---

En heb wat meer geduld, misschien is de topicstarter wel even aan het werk of zo
Al verwachten we natuurlijk nog wel een reactie van de topicstarter, maar het topic daarvoor omhoog kicken lijkt me niet nodig

---

[ Voor 99% gewijzigd door F_J_K op 28-05-2004 16:32 ]

[Gumball]

Idd... het was op school... Ben nu weer thuis...

Maareh... De source, de pagina die de spyware telkens als startpagina instelde was http://F_J_Knip/redir.php

Deze linkt ze weer door naar porno sites

[ Voor 5% gewijzigd door F_J_K op 28-05-2004 16:59 ]

[F_J_K]

Ik heb de link maar even weggehaald, beetje te 18+ voor GoT en meer reclame gun ik ze hoe dan ook niet
Trouwens als ik in de source kijk: OMFG, voor spyware removal verwijzen ze naar [google=Spyware Remove] Aso's

Verwijder voor de zekerheid even alle BHO's

[Quantor]

Volgens mij is deze niet zo eenvoudige te verwijderen, dit na een quickscan op www.computercops.org (forum>Spyware hyjackthis). Een hoop leeswerk maar ik zou ook daar even rondkijken voor een oplossing.

Succes

PS: die links staan nog steeds in z'n hyjackthis log, maar is wel een cruciaal onderdeel om het probleem te verhelpen

[ Voor 23% gewijzigd door Quantor op 28-05-2004 17:08 ]

[Dr C]

Ik heb ook zo'n vervelende gehad. Die heel erg hardhorend was. Heb toen ad-watch op de achtergrpond gedraaid en die detecteerde idd steeds die hijack. na de hijack verwijderd te hebben, gelijk je systeem proberen schoon te maken om hem geen kasn te geven. HEt was trouwens porno bij mij. en die ad-watch zit alleen bij de volledige versie van ad-aware. succes!

[lordgandalf]

code:

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://cashsearch.biz/redir.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://cashsearch.biz/redir.php
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://cashsearch.biz/redir.php
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://cashsearch.biz/redir.php
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = http://cashsearch.biz/redir.php
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = http://cashsearch.biz/redir.php

niet erg gezond die zooi waarschijnlijk zit hier je probleem

ben met een veilig browser (firefox) eens naar die site geweest en kan je zeggen dat het idd pr0n sites zijn en dat norton gelijk begon te janken over een trojan dus een virus scan is aan te raden !!!!!

[ Voor 14% gewijzigd door lordgandalf op 28-05-2004 18:17 ]

[DoDo]

Probeer CWS shredder is
http://www.krone.at/index...ne_download_140404_1.html
Laat ff weten of het gelukt is

[Duck-Twacy]

Volgens mij heb ik een soortgelijk probleem. Mijn startpagina (tweakers.net) wordt steeds gewijzigd. IE springt ook vanzelf naar een achterlijke p*rn page.

[ Voor 25% gewijzigd door Duck-Twacy op 29-05-2004 00:22 ]

[onkl]

Klinkt als een shell extension achtig probleem.: (dat van TS dus, maar Duck-Twacy mag 't ook best proberen)
Spyware heeft je explorer bij het opstarten uitgelegt dat'ie heel belangrijk is, dus explorer zet'm terug als 'ie hem "nodig" heeft: bij internet explorer opstarten.

Als dat het inderdaad is, wil dit nog wel eens helpen (hoe dan ook de moeite waard):
Ad-Aware Pro/plus/weet-ik-veel (de geregistreerde versie kan hiermee omgaan.
(Scan-Scanning options-tweak-allow unloading explorer)
Ad-aware (de normale variant) kan je natuurlijk ook een beetje helpen
-Sluit alles wat er te sluiten is aan je computer (nog net niet uitzetten zeg maar)
-Start Ad-Aware (maar nog niet scannen)
-Ctrl-Alt-Del, Processes, kill explorer. Taakbalk verdwijnt.
-Start scan. (Ad-Aware vind je met enig alt-tab werk weer terug)
-Drink koffie/thee/bier (dat prachtige muti-tasken van windows kan je even op je buik schrijven)
-Scan klaar?-Alles wat ook maar fout lijkt wegkeilen
-Start explorer weer (task manager-File-New Task, type explorer.
Klaar

Als't wat anders is weet ik het ook niet, deze deed het bij mijn eigen sex-met-kinderen,-paarden,-bejaardensenioren-en-verkracht-je-creditkaart-in-een-moeite-door-startpagina erg goed

[ Voor 10% gewijzigd door onkl op 29-05-2004 01:05 ]

[Jeroen Blom]

lordgandalf schreef op 28 mei 2004 @ 18:12:

code:

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://cashsearch.biz/redir.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://cashsearch.biz/redir.php
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://cashsearch.biz/redir.php
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://cashsearch.biz/redir.php
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = http://cashsearch.biz/redir.php
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = http://cashsearch.biz/redir.php

niet erg gezond die zooi waarschijnlijk zit hier je probleem

ben met een veilig browser (firefox) eens naar die site geweest en kan je zeggen dat het idd pr0n sites zijn en dat norton gelijk begon te janken over een trojan dus een virus scan is aan te raden !!!!!

Deze kan je verwijderen door in de veilig modus op te starten en in /system(32) system32.dll te verwijderen.

[Duck-Twacy]

Kep de laatste versie van die cws shredder gedraaid en het lijkt verholpen...

[Gumball]

Ik zal alles eens uitproberen zodra ik weer op school ben... Met alle hulp moet het wel lukken!!

Bedankt!!!

[Verwijderd]

Gumball schreef op 29 mei 2004 @ 16:54:
Ik zal alles eens uitproberen zodra ik weer op school ben... Met alle hulp moet het wel lukken!!

Bedankt!!!

Mocht je er nog niet uitkomen, dan helpen wij je graag verder.

[Gumball]

Verwijderd schreef op 29 mei 2004 @ 16:55:
[...]


Mocht je er nog niet uitkomen, dan helpen wij je graag verder.

Fijn

[Dancing_Animal]

Aangezien bij mij op 't werk, waar 1 internetpc op de afdeling staat, de leukerds steeds een andere startpagina instelden, heb ik de shortcut van Internet Explorer gewoon veranderd, dus zoiets als iexplore www.google.nl. Missschien is jouw shortcut gewoon door een lolbroek aangepast?

[Verwijderd]

Hmm, via google heb ik een aantal topics gevonden met hetzelfde issue dat de site wordt verandert naar de pr0nsite. Misschien helpt dit topic op computer cops (Ok, dit had quantor ook al gezegd, maar volgens mij is dit een van de belangrijkste topics anders kan je misschien in dit topic kijken).

(Nu zou ik niet weten of na de oplossing van het probleem deze post aangepast dient te worden, daar er via google is gezocht naar de url van de pr0n site).

[ Voor 19% gewijzigd door Verwijderd op 31-05-2004 09:44 ]

[Gumball]

't is gelukt, heb die cybercops site goed bekeken, en daar stond inderdaad het antwoord!!!

Heel erg bedankt voor de hulp allemaal

[MRic3]

Mooi dat daar het antwoord stond... als je het nou hier ook hier ff het antwoord post...

Ik zit hier nou met psies hetzelfde probleem en heb ondertussen alles geprobeerd wat er in dit draadje staat en meer ... maar hij is heeeel hardnekkig

[MRic3]

Ok, ondertussen is ie hier ook weg....
ik post voor de volledigheid wel fff de oplossing...
(hij staat ongeveer zo beschreven op de computer cop site)

de volgende handelingen heb ik allemaal uitgevoerd in safe mode:

Go to start>run and type regedit. Press enter.

Navigate to:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad

Highlight
ShellServiceObjectDelayLoad
in the left pane
Look in the right pane for this item:

system

Right click on System and choose delete from the menu.

Restart the computer.

Close all windows and have hijackthis fix the following:

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://cashsearch.biz/redir.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://cashsearch.biz/redir.php
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://cashsearch.biz/redir.php
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://cashsearch.biz/redir.php
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = http://cashsearch.biz/redir.php
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = http://cashsearch.biz/redir.php

O2 - BHO: (no name) - {EBCDDA60-2A68-11D3-8A43-0060083CFB9C} - C:\WINDOWS\SYSTEM\NZDD.DLL

then find this hidden file:
system32.dll
its probably in one of two locations:
c:\windows\system32\system32.dll
c:\windows\system\system32.dll
and rename it to system32.old

en als laatste adaware met niet default instellingen

Download ad-aware here -> http://fileforum.betanews.com/detail.php3?fid=965718306

Before you scan with AdAware, check for updates of the reference file by using the "webupdate".

Then ........

From main window :Click "Start" then " Activate in-depth scan"

then......

click "Use custom scanning options>Customize" and have these options on: "Scan within archives" ,"Scan active processes","Scan registry", "Deep scan registry" ,"Scan my IE Favorites for banned URL" and "Scan my host-files"

then.........

Click the "Tweak" button.

Open up the "Scanning Engine" section and tick "Unload recognized processes during scanning"

Then........"Cleaning engine" and "Let windows remove files in use at next reboot" and "Automatically try to unregister objects prior to deletion"

then...... click "proceed" to save your settings.

Now to scan it´s just to click the "Next" button.

When scan is finished, mark everything for removal and get rid of it. .(Right-click the window and choose"select all" from the drop down menu) then press next and then say yes to the prompt, do you want to remove all these entries.

Met CWS shredder ging hij niet weg, we hebben de system32.dll naar de maker gestuurt.

In een draadje word ook nog gezegt dat je dit VBS scriptje moet download en runnen, maar zover ik kan zien doet ie niks meer dan in de registry ShellServiceObjectDelayLoad en dan system weghalen ...

Voor de zekerheid (mocht die download het niet doen) post ik het VBS scriptje hier.
Copieer de onderstaande tekst, maak new document en opslaan met extensie .vbs en runnen (dit heb ik btw niet gedaan).

code:

Dim WshShell,CLSID ,fso
Set fso = Wscript.createObject("Scripting.FileSystemObject")
Set WshShell = Wscript.CreateObject("Wscript.shell")
On error resume next
CLSID = WshShell.RegRead("HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad\system")


 If len(CLSID) > 0 Then
 set bye = fso.CreateTextFile("adios.reg" ,true)
 bye.writeLine "REGEDIT4"
 bye.writeLine ""
 bye.writeLine "[-HKEY_CLASSES_ROOT\CLSID\" & CLSID & "]"
 bye.close
  Else MsgBox "No CLSID entry present"
End IF
WshShell.RegDelete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad\system"


Wshshell.Run ("regedit /s  adios.reg")

MsgBox "Done"

Ut was een redelijke kluif maar de comp is weer schoon

p.s. omdat in explorer de web view aanstond kon ik ook niet in explorer komen..

[ Voor 13% gewijzigd door MRic3 op 01-06-2004 14:54 . Reden: p.s. toegevoegd ]

[Verwijderd]

Mensen mag ik u allen ook even bedanken met de uitleg hierboven.
Ik heb gisteren de pc van mijn tante mogen schoonmaken en het blijde gezicht na afloop heeft mijn dag weer goed gemaakt!

Het duurde even maar het resultaat was uitmuntend!!

[RUFFNECK]

Verwijderd schreef op 09 juni 2004 @ 12:01:

code:

F2 - REG:system.ini: UserInit=C:\Windows\System32\wsaupdater.exe,

Zoek die file en scan hem eens(post de output hier).

Ik bemerk trouwens nu pas dat dit eigenlijk jouw topic niet is, dat is normaal gesproken dus niet helemaal de bedoeling..

Die file zocht ik in z'n onoverzichtelijke log Zou je 't topic niet kunnen splitsen Schouw?

[Verwijderd]

Done @ splitsing.
Dit topic gaat daarbij dicht.
Afgesplitst topic: "[Adv/Spyware] Last van search-assistant"