spam-virus: kan hem niet vinden

[kris_112]

Ik heb waarschijnlijk een virus op m'n pc dat naar willekeurige adressen spam lijk te sturen. De reden dat ik dit weet is omdat norton av zo vriendelijk is om bij elk uitgaand mailtje een popupje op het scherm te spugen met de mededeling dat ie het uitgaande mailtje aan het scannen is. Ik ben echter niks aan het mailen, en heb geen enkel mail programma aan staan. Het is niet zo dat ik er altijd last van heb. Soms gebeurt er een hele tijd niks, en daarna begint het weer. Wat ik geprobeerd heb is:

- Scannen met norton anti virus: niks
- Scannen met adaware: niks
- kijken op GOT: RUFFNECK heeft in [rml][ XP] Ik verstuur spam - ADS Afcore infectie *[/rml] dezelfde symptonen en er zijn nog een paar topics over virussen in de "alternative data stream" oid die niet die meeste virus scanners niet vinden, maar ik heb er geen goede oplossing tussen kunnen vinden
- KAV installeren, naar aanleiding van adviezen in bovenstaand topic: deze heeft inderdaad een paar virussen gevonden en verwijderd waaronder een afcore virus dat in bovenstaand topic het probleem was, maar ik verstuur nog steeds (soms) spam.
- met TCPview kijken welke programma's er connecties maken: tijdens het spammen is het process "[System Process]:0" een keer of 30 fanatiek bezig met verbindingen maken, maar dat zegt me ook niet waar ik moet zoeken
- Hijackthis laat geen processen zien die me vreemd voorkomen.

Ik gebruik overigens zonealarm, dus als een programma dat ik niet ken verbinding zou gaan maken het het internet zou zonealarm me dit moeten vertellen; dit doet hij dus niet. KAV heb ik ook weer verwijderd omdat internet explorer consequent vastliep toen deze geinstalleerd was. Dit is uiteraard compleet onzin, want wat zou dit met elkaar te maken moeten hebben? maar toch is het zo: KAV eraf en het werkt weer.

Voor de volledigheid m'n hijackthis log:

code:

Logfile of HijackThis v1.97.7
Scan saved at 16:49:43, on 24-6-2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Common Files\Symantec Shared\ccSetMgr.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\HP\hpcoretech\hpcmpmgr.exe
C:\WINDOWS\System32\devldr32.exe
C:\Program Files\Common Files\Symantec Shared\ccApp.exe
C:\WINDOWS\System32\RunDLL32.exe
C:\WINDOWS\System32\rundll32.exe
C:\Program Files\MSN Messenger\MsnMsgr.Exe
H:\Bandwidth Monitor Pro\Bandwidth Monitor Pro.exe
H:\ZoneAlarm\zlclient.exe
H:\Maya6.0\docs\Wrapper.exe
H:\Apache2\bin\Apache.exe
C:\WINDOWS\System32\inetsrv\inetinfo.exe
H:\Maya6.0\docs\jre\bin\java.exe
C:\Program Files\Messenger\msmsgs.exe
H:\mysql\bin\mysqld-nt.exe
H:\Norton AntiVirus\navapsvc.exe
H:\Norton AntiVirus\AdvTools\NPROTECT.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\PGPsdkServ.exe
H:\Apache2\bin\Apache.exe
H:\Norton AntiVirus\SAVScan.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Common Files\Symantec Shared\CCPD-LC\symlcsvc.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\Program Files\Internet Explorer\iexplore.exe
H:\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
 Koppelingen
O2 - BHO: (no name) - {0096CC0A-623C-4829-AD9C-19AF0DC9D8FE} -
 H:\dap\DAPIEBar.dll
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - 
H:\Adobe reader\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - 
H:\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: DAP Bar - {62999427-33FC-4baf-9C9C-BCE6BD127F08} -
 H:\dap\DAPIEBar.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - 
C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} -
 H:\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\
NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [Zone Labs Client] H:\ZONEAL~1\zlclient.exe
O4 - HKLM\..\Run: [HP Component Manager] "C:\Program Files\HP\hpcoretech\hpcmpmgr.exe"
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [Advanced Tools Check] H:\NORTON~1\AdvTools\ADVCHK.EXE
O4 - HKLM\..\Run: [NvMediaCenter] RunDLL32.exe NvMCTray.dll,NvTaskbarInit
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [Bandwidth Monitor Pro] "H:\Bandwidth Monitor Pro\Bandwidth
 Monitor Pro.exe" /minimized
O4 - HKLM\..\RunOnce: [WIAWizardMenu] RUNDLL32.EXE C:\WINDOWS\System32\
sti_ci.dll,WiaCreateWizardMenu
O4 - Startup: Snelkoppeling naar Bandwidth Monitor Pro.exe.lnk = H:\Bandwidth 
Monitor Pro\Bandwidth Monitor Pro.exe
O4 - Global Startup: Zone Labs Security.lnk = H:\ZoneAlarm\zlclient.exe
O8 - Extra context menu item: &Download with &DAP - H:\dap\dapextie.htm
O9 - Extra 'Tools' menuitem: Sun Java Console (HKLM)
O9 - Extra button: Run DAP (HKLM)
O16 - DPF: {003FADA5-8FEE-11D6-AFB7-0004768F6183} (CryptoRSA Control) - 
https://www.p3.postbank.nl/sesam/CAX.cab
O16 - DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) - 
http://www.cult3d.com/download/cult.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - 
http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?38075.3175578704
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash 
Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: {E0B795B4-FD95-4ABD-A375-27962EFCE8CF} (StarInstall Control) - 
http://install.serviceurl.de/StarInstall.ocx
O17 - HKLM\System\CCS\Services\Tcpip\..\{D6889187-97AF-4C71-8538-
3005BEE28643}: NameServer = 195.241.77.53,195.241.77.54

hopelijk heeft iemand een oplossing. (behalve dan de format c; die had ik ook al verzonnen )

edit:
entertjes in log om de boel nog een beetje leesbaar te houden

[ Voor 6% gewijzigd door kris_112 op 24-06-2004 17:55 ]

[Azer]

edit: domme reactie van me

[ Voor 84% gewijzigd door Azer op 24-06-2004 20:47 ]

[kris_112]

windows is toch niet case-sensitve? Dat zou moeten betekenen dat RUNDLL32.EXE of rundll32.exe exact hetzelfde programma starten.

[Br@m]

Heb je ook al gescand met "Spybot - Search & Destroy" die vind soms meer als Ad-Aware..

[kris_112]

Br@m schreef op 24 juni 2004 @ 17:34:
Heb je ook al gescand met "Spybot - Search & Destroy" die vind soms meer als Ad-Aware..

Heb ik inmiddels ook gedaan. Hij vindt wel een paar extra dingen, maar de meeste lijken niks met m'n probleem te maken te hebben. De enige die ik niet ken is "DSO exploit." Zou dit hem kunnen zijn?

[ Voor 6% gewijzigd door kris_112 op 24-06-2004 17:48 ]

[Br@m]

thaRealKris schreef op 24 juni 2004 @ 17:47:
[...]

Heb ik inmiddels ook gedaan. Hij vind wel een paar extra dingen, maar de meeste lijken niks met m'n probleem te maken te hebben. De enige die ik niet ken is "DSO exploit." Zou dit hem kunnen zijn?

Ik hoop het niet Want die komt hier bij mij ook steeds weer terug.

[Pendaco]

als je die DSO exploit uit je systeem wilt hebben moet je onderstaand programma eens downloaden en draaien;

http://www.nsclean.com/dsostop.html
deze viste m bij mij er ook zo uit

Download en draai ook eens Spy Sweeper (en updaten, maar daar vraagt ie na installatie om)

Dit programma haalde er bij mij ook nog een 6tal dingen uit, die ad-aware, spybot s&d, hijack, cwshredder enz. niet vonden.

Je zou eventueel nog AntiVir kunnen laten scannen, ik weet niet of het zin heeft aangezien je ook al Kapersky hebt gebruikt, maar het is het proberen altijd waard.
AntiVir Hier

edit:
en dat DAP gebeuren heb je er waarschijnlijk bewust op staan, of niet? Anders kun je dat er ook nog uitgooien.
Trouwens wel handig om in het vervolg, voor jouw bekende regels er alvast uit te gooien om verwarring te voorkomen

[ Voor 82% gewijzigd door Pendaco op 24-06-2004 19:36 ]

[Mike Jarod]

code:

O16 - DPF: {E0B795B4-FD95-4ABD-A375-27962EFCE8CF} (StarInstall Control) - 
http://install.serviceurl.de/StarInstall.ocx

Volgens KAV is dit een virus (eoa dailer).

Haal die zowiezo weg. Als je KAV5 hebt geinstalleerd, kijk dan bij Updater -> Update type, of je wel de extended bases aan hebt staan. Vraag me alleen af of dit de boosdoener was.

[kris_112]

en dat DAP gebeuren heb je er waarschijnlijk bewust op staan, of niet? Anders kun je dat er ook nog uitgooien.

log was van voordat ik spybot had geprobeerd, dus er zat nog wat spyware tussen

Trouwens wel handig om in het vervolg, voor jouw bekende regels er alvast uit te gooien om verwarring te voorkomen

goed punt, sorry, zal ik de volgende keer doen.

Volgens KAV is dit een virus (eoa dailer).

hmm... vreemd dat KAV dit er dan niet tussenuit heeft gehaald toen ik er de eerste keer mee heb gescand.

Ik zal KAV nog een keer proberen. Ik had trouwens wel het probleem dat KAV niet wilde opstarten in safe-mode, dan zei hij dat er iets ontbrak en dat ik hem eerst opnieuw moest installeren. weet iemand misschien hoe ik hem wel in safe-mode kan starten? Bedankt voor de reacties alvast