[Malware?] C-Dilla en mogelijk wat anders *

[Verwijderd]

Op mijn pc heb ik dus al een tijdje last van de spyware van C-Dilla, ik weet ondertussen dat het een soort kopieerbeveiliging is. In mijn geval voor Preventon Personal Firewall Pro die we bij Planet "huren" (we betalen elke maand een vast bedrag om het te kunnen gebruiken). Als ik C-Dilla dus weg gooi moeten we de activatiecode voor de firewall weer opnieuw invoeren, je zult denken dat is niet zo'n probleem? Maar we kunnen het elke maand maar 2 keer doen, dus dan is hij niet meer te gebruiken.

Verder scan ik de computer regelmatig met Spybot search & destroy en Adaware 6 die ook regelmatig geupdate wordt (om de 2 dagen). Na zo'n scan vind hij dan vaak een aantal "tracking cookies" en die verwijder ik daarna ook meteen.Nu merk ik al die tijd, dat C-Dilla dus op de pc is gedetecteerd, al dat er best wel wat processen zie lopen in Win XP Pro die ik niet kan thuisbrengen. Waaronder "~ef7194.tmp" en zo staat er 4 keer "svchost.exe" 2 onder gebruikersnaam "System", 1 op "Netwerservice" en 1 op "Lokale service". Ook "CDAC11BA.EXE, maar die heb ik al gezien dat die bij C-Dilla hoort, dat zie ik als ik bij spysweeper kijk welke traces hij gevonden heeft.

Dus na rondlezen, en zoeken, op GOT werd er aangeraden om Hijack This, Spybot s&d en Spyblaster te draaien. Nu heb ik Spybot s&d al en die vind niks bijzonders dan C-Dilla maar die verwijder ik dus niet, ook geeft hij regelmatig aan als ik op internet ben dat hij de download van "Avenue inc." heeft geblokkeerd, deze melding komt vaak op de site van gamershell.com bijvoorbeeld. Maar om de andere twee programma's te downloaden lukt niet. Als ik op de links klik die in de FAQ staan komt er te staan "Kan de server niet vinden" in IE, niet een aangepaste pagina van spyware ofzo maar echt van IE. Dus die programma's kan ik niet draaien. Ik heb ze ook geprobeerd via Download.com te downloaden maar die wil ze ook niet downloaden dan krijg ik namelijk dezelfde melding.

Ik heb dus verder geen idee wat te doen en ik durf ook niet echt zomaar allemaal dingen in het register te verwijderen. Ik zou niet weten ook waar ze zouden moeten staan in het register (ik weet wel hoe ik in het register moet komen hoor )

[Bleh!]

Huur abbo opzeggen en een fatsoenlijke firewall aanschaffen lijkt mij de meest eenvoudige oplossing. Dat je je klanten opscheept met dit soort shit vind ik wel erg slecht!

[ Voor 3% gewijzigd door Bleh! op 18-06-2004 12:07 ]

[Zoefff]

C-Dilla levert toch geen spyware mee? Het is een licentie-manager programma, dat onder andere door 3D Studio MAX (tot versie 5.5) gebruikt werd. Lijkt me sterk dat C-Dilla de oorzaak van je problemen is eigenlijk

[Verwijderd]

Zoefff schreef op 18 juni 2004 @ 11:35:
C-Dilla levert toch geen spyware mee? Het is een licentie-manager programma, dat onder andere door 3D Studio MAX (tot versie 5.5) gebruikt werd. Lijkt me sterk dat C-Dilla de oorzaak van je problemen is eigenlijk

Lijkt mij op zich ook, maar wat zou het anders moeten zijn? Ik heb mijn hele systeem al gescand met: Spybot S&D, Spy Sweeper en Ad-aware 6.

Huur abbo opzeggen en een fatsoenlijke firewall aanschaffen lijkt mij de meest eenvoudige oplossing. Dat je je klanten opscheept met dit soort shit vind ik wel erg slecht!

Misschien wel een idee maar hij was het eerste jaar toch gratis (zit nog in het 1e jaar) Maar dat wil ik het liefst dus pas als allerlaatste redding gebruiken

Edit: in msconfig staat dat er ook telkens Backweb opgestart, ik heb hem al proberen te verwijderen maar na een reboot staat hij er weer. En de locatie waar hij zou staan zegt niks. Hij zou in /program/backweb(en hier nog wat cijfertjes staan)

[ Voor 43% gewijzigd door Verwijderd op 18-06-2004 11:50 . Reden: toevoeging ]

[Bleh!]

Oh ja die tracking cookies zijn niet erg. Dat is gewoon van doubleclick en andere advertentie sites. Is geen spyware.
Ik denk trouwens dat Zoefff gelijk heeft, het zou namelijk wel erg slecht zijn..

[Zoefff]

Die svchost.exe is in ieder geval geen spyware, svchost kan als host voor verschillende processen draaien, dus er kunnen er ook meerdere geopend zijn. Bij mij draaien er ook een stuk of 4.

Backweb ziet er wél uit als spyware, en daar zou ik gewoon even naar googlen. ~ef7194.tmp ken ik niet, maar dat zou best wel eens spyware kunnen zijn.

[Verwijderd]

Een paar processen noemen zo is niet handig.
Post je HT log eens nadat je Beveiliging en Virussen - Nieuw topic starten hebt gevolgd.

Over svchost.exe kunnen we zo niets zeggen, een aantal processen daarvan is normaal, maar zonder de locatie(s) van svchost(s) kunnen we niets concreets zeggen.

C-Dilla is, zoals al gezegd, geen spyware maar een licenseprogram.
Backweb kán spyware zijn, maar er wordt ook een niet-spyware versie geleverd, bijvoorbeeld bij F-Secure.

Titel wat aangepast.

[Verwijderd]

Het is me toch gelukt om Hijack This te downloaden en dit is de inhoud van mijn log:

code:

Logfile of HijackThis v1.97.7
Scan saved at 12:49:09, on 18-6-2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
*C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
d:\Program Files\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\drivers\CDAC11BA.EXE
C:\WINDOWS\System32\cisvc.exe
C:\WINDOWS\System32\CTsvcCDA.exe
C:\WINDOWS\system32\drivers\dcfssvc.exe
*C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\Program Files\Common Files\Panda Software\PavShld\pavprsrv.exe
C:\Program Files\Panda Software\Panda Titanium Antivirus 2004\Pavsrv51.exe
C:\WINDOWS\System32\MsPMSPSv.exe
C:\Program Files\Panda Software\Panda Titanium Antivirus 2004\AVENGINE.EXE
C:\WINDOWS\Explorer.EXE
C:\Program Files\Panda Software\Panda Titanium Antivirus 2004\APVXDWIN.EXE
C:\Program Files\Logitech\iTouch\iTouch.exe
C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb04.exe
C:\WINDOWS\System32\CTHELPER.EXE
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\Program Files\Preventon\Personal Firewall\PFwall.exe
*C:\DOCUME~1\ERIKJA~1\LOCALS~1\Temp\~ef7194.tmp
C:\Program Files\Logitech\MouseWare\system\em_exec.exe
C:\Program Files\Panda Software\Panda Titanium Antivirus 2004\WebProxy.exe
c:\progra~1\winamp\winamp.exe
C:\WINDOWS\System32\cidaemon.exe
C:\Documents and Settings\Erik Jan\Bureaublad\Downloads\Hijack this\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.planet.nl
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.planet.nl
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O1 - Hosts: 127.0.0.0 localhost
O1 - Hosts: 127.0.0.2 auditmypc.com
O1 - Hosts: 127.0.0.3 boards.cexx.org
O1 - Hosts: 127.0.0.4 bulletproofsoft.net
O1 - Hosts: 127.0.0.5 camtech2000.net
O1 - Hosts: 127.0.0.6 cexx.org
O1 - Hosts: 127.0.0.7 computercops.us
O1 - Hosts: 127.0.0.8 ct7support.com
O1 - Hosts: 127.0.0.9 doxdesk.com
*O1 - Hosts: 127.0.0.20 kellys-korner-xp.com
O1 - Hosts: 127.0.0.21 kephyr.com
O1 - Hosts: 127.0.0.22 lavasoft.de
O1 - Hosts: 127.0.0.23 lavasoftusa.com
O1 - Hosts: 127.0.0.24 lurkhere.com
O1 - Hosts: 127.0.0.25 majorgeeks.com
O1 - Hosts: 127.0.0.26 merijn.org
O1 - Hosts: 127.0.0.27 mjc1.com
O1 - Hosts: 127.0.0.28 moosoft.com
O1 - Hosts: 127.0.0.29 mvps.org
O1 - Hosts: 127.0.0.30 net-integration.net
O1 - Hosts: 127.0.0.31 noadware.net
O1 - Hosts: 127.0.0.32 no-spybot.com
O1 - Hosts: 127.0.0.33 onlinepcfix.com
O1 - Hosts: 127.0.0.34 pchell.com
O1 - Hosts: 127.0.0.35 pestpatrol.com
*O1 - Hosts: 127.0.0.36 safer-networking.org
O1 - Hosts: 127.0.0.37 secure.spykiller.com
O1 - Hosts: 127.0.0.38 secureie.com
O1 - Hosts: 127.0.0.39 security.kolla.de
O1 - Hosts: 127.0.0.40 spybot.info
O1 - Hosts: 127.0.0.41 spychecker.com
O1 - Hosts: 127.0.0.42 spychecker.com
O1 - Hosts: 127.0.0.43 spycop.com
O1 - Hosts: 127.0.0.44 spyguard.com
O1 - Hosts: 127.0.0.45 spykiller.com
O1 - Hosts: 127.0.0.46 spyware.co.uk
O1 - Hosts: 127.0.0.47 spyware-cop.com
O1 - Hosts: 127.0.0.48 spywareinfo.com
O1 - Hosts: 127.0.0.49 spywarenuker.com
O1 - Hosts: 127.0.0.50 spywareremove.com
O1 - Hosts: 127.0.0.51 spywareremove.com
O1 - Hosts: 127.0.0.52 stopzillapro.com
O1 - Hosts: 127.0.0.53 sunbelt-software.com
O1 - Hosts: 127.0.0.54 thiefware.com
O1 - Hosts: 127.0.0.55 tomcoyote.org
O1 - Hosts: 127.0.0.56 unwantedlinks.com
O1 - Hosts: 127.0.0.57 webattack.com
O1 - Hosts: 127.0.0.58 wilders.org
O1 - Hosts: 127.0.0.59 www.auditmypc.com
O1 - Hosts: 127.0.0.60 www.bulletproofsoft.net
O1 - Hosts: 127.0.0.61 www.cexx.org
O1 - Hosts: 127.0.0.62 www.computercops.us
O1 - Hosts: 127.0.0.63 www.ct7support.com
O1 - Hosts: 127.0.0.64 www.doxdesk.com
O1 - Hosts: 127.0.0.65 www.eblocs.com
O1 - Hosts: 127.0.0.66 www.enigmasoftwaregroup.com
O1 - Hosts: 127.0.0.67 www.free-spyware-scan.com
O1 - Hosts: 127.0.0.68 www.free-web-browsers.com
O1 - Hosts: 127.0.0.69 www.grc.com
O1 - Hosts: 127.0.0.70 www.grisoft.com
O1 - Hosts: 127.0.0.71 www.hackfaq.org
O1 - Hosts: 127.0.0.72 www.hazeleger.net
O1 - Hosts: 127.0.0.73 www.javacoolsoftware.com
*O1 - Hosts: 127.0.0.74 www.kellys-korner-xp.com
O1 - Hosts: 127.0.0.75 www.kephyr.com
O1 - Hosts: 127.0.0.76 www.lavasoft.de
O1 - Hosts: 127.0.0.77 www.lavasoftusa.com
O1 - Hosts: 127.0.0.78 www.lurkhere.com
O1 - Hosts: 127.0.0.79 www.majorgeeks.com
O1 - Hosts: 127.0.0.80 www.merijn.org
O1 - Hosts: 127.0.0.81 www.mjc1.com
O1 - Hosts: 127.0.0.82 www.moosoft.com
O1 - Hosts: 127.0.0.83 www.mvps.org
O1 - Hosts: 127.0.0.84 www.net-integration.net
O1 - Hosts: 127.0.0.85 www.noadware.net
O1 - Hosts: 127.0.0.86 www.no-spybot.com
O1 - Hosts: 127.0.0.87 www.onlinepcfix.com
O1 - Hosts: 127.0.0.88 www.pchell.com
O1 - Hosts: 127.0.0.89 www.pestpatrol.com
O1 - Hosts: 127.0.0.90 www.safer-networking.org
O1 - Hosts: 127.0.0.91 www.secureie.com
O1 - Hosts: 127.0.0.92 www.security.kolla.de
O1 - Hosts: 127.0.0.93 www.spybot.info
O1 - Hosts: 127.0.0.94 www.spychecker.com
O1 - Hosts: 127.0.0.95 www.spychecker.com
O1 - Hosts: 127.0.0.96 www.spycop.com
O1 - Hosts: 127.0.0.97 www.spyguard.com
O1 - Hosts: 127.0.0.98 www.spykiller.com
O1 - Hosts: 127.0.0.99 www.spyware.co.uk
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: (no name) - {F48E4081-9700-9F4F-7417-7962AF1A91F9} - *C:\PROGRA~1\BAITPR~1\Mpeg Frag.dll (file missing)
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\system32\msdxm.ocx
O3 - Toolbar: CHINELSE - {B144EB89-CC30-8558-C03E-E486147CBC80} - C:\PROGRA~1\BAITPR~1\Mpeg Frag.dll (file missing)
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\System32\PSDrvCheck.exe
O4 - HKLM\..\Run: [APVXDWIN] "C:\Program Files\Panda Software\Panda Titanium Antivirus 2004\APVXDWIN.EXE" /s
O4 - HKLM\..\Run: [zBrowser Launcher] C:\Program Files\Logitech\iTouch\iTouch.exe
O4 - HKLM\..\Run: [MessengerPlus2] "C:\Program Files\Messenger Plus! 2\MsgPlus.exe"
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb04.exe
O4 - HKLM\..\Run: [RivaTunerStartupDaemon] "D:\Benchmark\RivaTuner1\RivaTuner\RivaTuner.exe" /S
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [CTHelper] CTHELPER.EXE
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
*O4 - HKCU\..\Run: [LDM] \Program\BackWeb-8876480.exe
O4 - Global Startup: Logitech Desktop Messenger.lnk = C:\Program Files\Logitech\Desktop Messenger\8876480\Program\LDMConf.exe
O4 - Global Startup: Preventon Personal Firewall.lnk = C:\Program Files\Preventon\Personal Firewall\PFwall.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Onderzoek (HKLM)
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Windows Messenger (HKLM)
O10 - Unknown file in Winsock LSP: c:\program files\panda software\panda titanium antivirus 2004\pavlsp.dll
O12 - Plugin for .mp3: C:\Program Files\Internet Explorer\PLUGINS\npqtplugin3.dll
O14 - IERESET.INF: START_PAGE_URL=http://www.paradigit.nl
O16 - DPF: {11111111-1111-1111-1111-111462099386} - mhtml:file://C:NO_SUCH_MHT.MHT!http://www.008k.com/partner/inst/f10213.exe
O16 - DPF: {11111111-1111-1111-1111-115928923563} - mhtml:file://C:NO_SUCH_MHT.MHT!http://www.008k.com/partner/inst/f10213.exe
O16 - DPF: {3E68E405-C6DE-49FF-83AE-41EE9F4C36CE} (Office Update Installation Engine) - http://office.microsoft.com/officeupdate/content/opuc.cab
O16 - DPF: {6A060448-60F9-11D5-A6CD-0002B31F7455} (ExentInf Class) - http://pgc.planet.nl/classes/ExentCtl.ocx
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?37975.28375
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: {F757B9F8-26DD-46BE-B57A-73A4744B7AFB} (DPFileTransferServer.FileUpload) - https://www.deloitteaudit.com/HTML/DPFileTransferServer2000.CAB

Met sterretje(*) vind ik dus verdacht

[Verwijderd]

allereerst kunnen al die 01 hosts dingen weg behalve de bovenste: localhost.

deze kunnen weg:

code:

O2 - BHO: (no name) - {F48E4081-9700-9F4F-7417-7962AF1A91F9} - *C:\PROGRA~1\BAITPR~1\Mpeg Frag.dll (file missing)
O3 - Toolbar: CHINELSE - {B144EB89-CC30-8558-C03E-E486147CBC80} - C:\PROGRA~1\BAITPR~1\Mpeg Frag.dll (file missing)
O16 - DPF: {11111111-1111-1111-1111-111462099386} - mhtml:file://C:NO_SUCH_MHT.MHT!http://www.008k.com/partner/inst/f10213.exe
O16 - DPF: {11111111-1111-1111-1111-115928923563} - mhtml:file://C:NO_SUCH_MHT.MHT!http://www.008k.com/partner/inst/f10213.exe

en verwijder meteen even c:\NO_SUCH_MHT.MHT

[Resistor]

Ik heb niet veel tijd, maar ik zie iig wel dat je iets hebt wat je localhost zo aanpast dat je op niet veel anti-spyware sites kan komen.

code:

C:\WINDOWS\System32\drivers\CDAC11BA.EXE
C:\WINDOWS\System32\cisvc.exe
C:\WINDOWS\System32\CTsvcCDA.exe
C:\WINDOWS\system32\drivers\dcfssvc.exe

code:

C:\WINDOWS\System32\MsPMSPSv.exe

code:

:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb04.exe

code:

C:\DOCUME~1\ERIKJA~1\LOCALS~1\Temp\~ef7194.tmp

code:

C:\WINDOWS\System32\cidaemon.exe

code:

O2 - BHO: (no name) - {F48E4081-9700-9F4F-7417-7962AF1A91F9} - *C:\PROGRA~1\BAITPR~1\Mpeg Frag.dll (file missing)

code:

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\system32\msdxm.ocx
O3 - Toolbar: CHINELSE - {B144EB89-CC30-8558-C03E-E486147CBC80} - C:\PROGRA~1\BAITPR~1\Mpeg Frag.dll (file missing)

code:

O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb04.exe

Gooi eens door Google of de Jotti-scan (zie faq), dan weet je zeker of het geen kwaad kan.

Ik zei al dat ik geen tijd had

[Verwijderd]

WINDOWS\System32\spool\drivers\w32x86\3\hpztsb04.exe

Dit is driver van printer, dus gooi ik niet weg

[Verwijderd]

Resistor schreef op 18 juni 2004 @ 14:25:
Ik heb niet veel tijd, maar ik zie iig wel dat je iets hebt wat je localhost zo aanpast dat je op niet veel anti-spyware sites kan komen.

code:

C:\WINDOWS\System32\drivers\CDAC11BA.EXE
C:\WINDOWS\System32\cisvc.exe
C:\WINDOWS\System32\CTsvcCDA.exe
C:\WINDOWS\system32\drivers\dcfssvc.exe

code:

C:\WINDOWS\System32\MsPMSPSv.exe

code:

:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb04.exe

code:

C:\DOCUME~1\ERIKJA~1\LOCALS~1\Temp\~ef7194.tmp

code:

C:\WINDOWS\System32\cidaemon.exe

code:

O2 - BHO: (no name) - {F48E4081-9700-9F4F-7417-7962AF1A91F9} - *C:\PROGRA~1\BAITPR~1\Mpeg Frag.dll (file missing)

code:

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\system32\msdxm.ocx
O3 - Toolbar: CHINELSE - {B144EB89-CC30-8558-C03E-E486147CBC80} - C:\PROGRA~1\BAITPR~1\Mpeg Frag.dll (file missing)

code:

O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb04.exe

Gooi eens door Google of de Jotti-scan (zie faq), dan weet je zeker of het geen kwaad kan.

Ik zei al dat ik geen tijd had

code:

C:\WINDOWS\System32\drivers\CDAC11BA.EXE
C:\WINDOWS\System32\cisvc.exe
C:\WINDOWS\System32\CTsvcCDA.exe
C:\WINDOWS\system32\drivers\dcfssvc.exe
C:\WINDOWS\System32\MsPMSPSv.exe
C:\WINDOWS\System32\cidaemon.exe
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\system32\msdxm.ocx
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb04.exe

zijn allemaal legit, dus onschadelijk.

[Verwijderd]

Bedankt allemaal! Het niet kunnen bereiken van die anti-spyware sites is opgelost door die regels uit het HOSTS bestand te verwijderen. De rest van die bestanden leek niet gevaarlijk. Google vertelde me dat ze bij windows hoorden of bij andere programma's die ik gebruik.