Spy- of Adware

[Verwijderd]

Zou iemand voor mij eens kunnen kijken wat er hier mis is?
Er heeft iemand flink lope kote op mijn pc!
Ik krijg steeds een Casino-pagina te zien bij IE en volgens mij is er nog meer Spy- of Adware op mjin pc aanwezig.
Ik krijg af en toe een pop-up in windows (XP) dat er Spyware is gevonden op mijn pc en of ik een progje daarvoor wil downloaden...
Norton zegt ook dat er Adware aanwezig is en als ik die wil verwijderen krijg ik een "deleting Failled"

Alvast bedankt!

code:

Logfile of HijackThis v1.97.7
Scan saved at 07:28:28, on 6/29/2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Common Files\Symantec Shared\ccSetMgr.exe
C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Norton AntiVirus\navapsvc.exe
C:\Program Files\Norton AntiVirus\AdvTools\NPROTECT.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\Program Files\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\explorer.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Common Files\Symantec Shared\CCPD-LC\symlcsvc.exe
C:\Program Files\Analog Devices\SoundMAX\SMax4PNP.exe
C:\Program Files\Logitech\iTouch\iTouch.exe
C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
C:\Program Files\Common Files\Symantec Shared\ccApp.exe
C:\Program Files\Norton AntiVirus\SAVScan.exe
C:\Program Files\Messenger Plus! 2\MsgPlus.exe
C:\Program Files\Java\j2re1.4.2_04\bin\jusched.exe
C:\Program Files\IE Privacy Keeper\IEPrivacyKeeper.exe
C:\WINDOWS\System32\banhqfo.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
D:\Software\HijackThis\HijackThis.exe

F0 - system.ini: Shell=explorer.exe C:\WINDOWS\System32\netdc.exe
F2 - REG:system.ini: Shell=explorer.exe C:\WINDOWS\System32\netdc.exe
O2 - BHO: (no name) - {0000607D-D204-42C7-8E46-216055BF9918} - (no file)
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: IE Privacy Keeper - Last IE Window Detector - {1201333E-BAD9-481C-BCF5-6904498CF85B} - C:\Program Files\IE Privacy Keeper\IEPKbho.dll
O2 - BHO: (no name) - {98DBBF16-CA43-4c33-BE80-99E6694468A4} - C:\WINDOWS\System32\msmk.dll
O2 - BHO: (no name) - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [SoundMAXPnP] C:\Program Files\Analog Devices\SoundMAX\SMax4PNP.exe
O4 - HKLM\..\Run: [SoundMAX] "C:\Program Files\Analog Devices\SoundMAX\Smax4.exe" /tray
O4 - HKLM\..\Run: [zBrowser Launcher] C:\Program Files\Logitech\iTouch\iTouch.exe
O4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [Advanced Tools Check] C:\PROGRA~1\NORTON~1\AdvTools\ADVCHK.EXE
O4 - HKLM\..\Run: [MessengerPlus2] "C:\Program Files\Messenger Plus! 2\MsgPlus.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\j2re1.4.2_04\bin\jusched.exe
O4 - HKLM\..\Run: [IE Privacy Keeper] "C:\Program Files\IE Privacy Keeper\IEPrivacyKeeper.exe" -stcleanup
O4 - HKLM\..\Run: [vnsedwi] C:\WINDOWS\System32\banhqfo.exe
O4 - HKCU\..\Run: [MessengerPlus2] "C:\Program Files\Messenger Plus! 2\MsgPlus.exe" /WinStart
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
O8 - Extra context menu item: &Google Search - res://c:\program files\google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: Backward &Links - res://c:\program files\google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Cac&hed Snapshot of Page - res://c:\program files\google\GoogleToolbar2.dll/cmcache.html
O8 - Extra context menu item: Open with GetRight Browser - C:\Program Files\GetRight\GRbrowse.htm
O8 - Extra context menu item: Si&milar Pages - res://c:\program files\google\GoogleToolbar2.dll/cmsimilar.html
O8 - Extra context menu item: Translate into English - res://c:\program files\google\GoogleToolbar2.dll/cmtrans.html
O9 - Extra 'Tools' menuitem: Sun Java Console (HKLM)
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Windows Messenger (HKLM)
O16 - DPF: {3E68E405-C6DE-49FF-83AE-41EE9F4C36CE} (Office Update Installation Engine) - http://office.microsoft.com/officeupdate/content/opuc.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?38049.2355555556
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: {DE591B16-A452-11D6-AED1-0001030A4E46} (PBGNX Control) - https://gto.postbank.nl/GTO/PBGNX.cab

[Microkid]

Wat is O4 - HKLM\..\Run: [vnsedwi] C:\WINDOWS\System32\banhqfo.exe en C:\WINDOWS\System32\banhqfo.exe ??
Ik kon dit niet terugvinden op internet.

[ Voor 36% gewijzigd door Microkid op 29-06-2004 08:10 ]

[Verwijderd]

Geen idee.... gewoon weg mikken dan??? met een back-up uiteraard

[Motrax]

Ik krijg af en toe een pop-up in windows (XP) dat er Spyware is gevonden op mijn pc en of ik een progje daarvoor wil downloaden...

Een hele simpele controle welk exe bestand nu die pop-up is, de pop-up op laten komen, de taskmanager starten, naar tabblad processen, sorteren op cpu-verbruik en vervolgens die pop-up veel over het scherm laten gaan. Dan zie je een exe bestand meer vemogen gebruiken. Met een beetje mazzel is het er eentje die het HT-log staat...

Die twee aangeven door Microkid zien er idd verdacht uit.

Verder weet ik ook niet wat die privacykeeper dingen zijn. Als je dat programma niet zelf hebt geïnstalleerd moet je dat ook wantrouwen.

[ Voor 1% gewijzigd door Motrax op 29-06-2004 09:51 . Reden: Typo's... ]

[wildhagen]

code:

O4 - HKLM\..\Run: [vnsedwi] C:\WINDOWS\System32\banhqfo.exe

Die file zou ik even door de Jotti-scan halen (http://virusscan.jotti.dhs.org/), want die hoort daar niet.

Verder kunnen deze entries ook weggegooid worden;

code:

O2 - BHO: (no name) - {0000607D-D204-42C7-8E46-216055BF9918} - (no file)
O2 - BHO: (no name) - {98DBBF16-CA43-4c33-BE80-99E6694468A4} - C:\WINDOWS\System32\msmk.dll

[cutter]

Heb je in messenger plus wel de optie aangevinkt dat je géén spyware erbij wil hebben.

[Verwijderd]

John_Finch schreef op 29 juni 2004 @ 09:51:
Een hele simpele controle welk exe bestand nu die pop-up is, de pop-up op laten komen, de taskmanager starten, naar tabblad processen, sorteren op cpu-verbruik en vervolgens die pop-up veel over het scherm laten gaan. Dan zie je een exe bestand meer vemogen gebruiken. Met een beetje mazzel is het er eentje die het HT-log staat...

Die twee aangeven door Microkid zien er idd verdacht uit.

Verder weet ik ook niet wat die privacykeeper dingen zijn. Als je dat programma niet zelf hebt geïnstalleerd moet je dat ook wantrouwen.
=========================================================
Die file zou ik even door de Jotti-scan halen (http://virusscan.jotti.dhs.org/), want die hoort daar niet.

Verder kunnen deze entries ook weggegooid worden;

Goeie tip! Ben nu op het werk. als ik thuis ben ga ik het gelijk tjekken.
Ik laat het nog horen!!

Heb je in messenger plus wel de optie aangevinkt dat je géén spyware erbij wil hebben.

Nee dat heb ik goed gelezen bij het installeren Ik ken die Taakbalk
Dit probleem is van afgelopen weekend.... MSN stond er al volledig op.
Maar bedankt

[ Voor 10% gewijzigd door Verwijderd op 29-06-2004 14:02 ]

[Verwijderd]

Run gewoon eens een scannetje met adware scanner, meestal geeft dit ook nog wel wat resultaat.
Een goede scanner hiervoor is spybot search & destroy.

[Verwijderd]

code:

F0 - system.ini: Shell=explorer.exe C:\WINDOWS\System32\netdc.exe
F2 - REG:system.ini: Shell=explorer.exe C:\WINDOWS\System32\netdc.exe

die 2 lijken mij ook erg verdacht. Haal ze ook ff door de jotti scan en verwijder de entry's als het malware is..

edit:
het is dus een trojan: http://k.trendmicro-europ...me=TROJ_DUMARIN.G&VSect=T

[ Voor 23% gewijzigd door Verwijderd op 29-06-2004 14:13 ]

[Verwijderd]

John_Finch schreef op 29 juni 2004 @ 09:51:
Een hele simpele controle welk exe bestand nu die pop-up is, de pop-up op laten komen, de taskmanager starten, naar tabblad processen, sorteren op cpu-verbruik en vervolgens die pop-up veel over het scherm laten gaan. Dan zie je een exe bestand meer vemogen gebruiken. Met een beetje mazzel is het er eentje die het HT-log staat...

Nadat die pop-up verschenen is heb ik opnieuw een HT-log gemaakt. Daar stond hij inderdaad tussen. Via google ben ik erachtergekomen waar die in mijn register stond. Uit de Jotti-scan kwam eruit dat het malware was. Norton vind nog wel 4 soorten adware, die niet gevonden worden door spybot of HijackThis (up-dated) maar ik denk daar nog wel uit te komen. Mochten er nog problemen zijn kom ik wel op terug.
Als alles schoon is zal ik nog een duidelijke beschijving geven van hoe alles heette is wat precies de problemen waren. Iedereen tot zover bedankt!