hardnekkige spyware...

[NoTimeRemains]

hallo,

ik heb op mijn pc een zeer vervelende spyware zitten nu heb ik al met adaware, spybot en hijackthis gescand ik vind wel soorten spyware maar ik krijg deze echt niet weg iemand een idee hoe ik deze (zie pic) verwijdert krijg ... ?

[ Voor 29% gewijzigd door NoTimeRemains op 03-07-2004 15:43 ]

[G F0rce 1]

offtopic:
Ik weet niet of dat jou ip is maar ik zou het maar weg halen en jezelf beschermen tegen meer problemen.

[richard_kraal]

tsja, ik zie niets je zegt niets

ik kan je niet helpen

[NoTimeRemains]

nu heb ik dus geen image upload site ... weet iemand een andere site dan theforumisdown

[holoX]

www.imageshack.us

[Edwin van Cleef]

welke pic bedoel je dan?

zet eens een hijacklog online want hier kunnen we niets mee

[G F0rce 1]

Geef TS even tijd het plaatje te vervangenn. Het proleem was dat hierop zijn IP was te lezen. Het ging in ieder geval om een pop up in Internet Explorer dat een melding gaf van spyware en een link naar een site voor ee removal tool. Dit is natuurlijk nonsense.
Je Hijack this log even posten lijkt me wel een geschikt id.

[NoTimeRemains]

code:

Logfile of HijackThis v1.97.7
Scan saved at 15:31:47, on 3-7-2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\SYMANT~1\SYMANT~1\DefWatch.exe
C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\PROGRA~1\SYMANT~1\SYMANT~1\Rtvscan.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Microsoft Office\OFFICE11\OUTLOOK.EXE
C:\Program Files\Microsoft Office\OFFICE11\WINWORD.EXE
C:\WINDOWS\explorer.exe
C:\Program Files\Macromedia\Dreamweaver 3\Dreamweaver.exe
C:\Program Files\SmartFTP\SmartFTP.exe
C:\Program Files\Nikon\NkView5\NkvBrows.exe
C:\Program Files\Adobe\Photoshop 7.0\Photoshop.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Documents and Settings\Martin\Bureaublad\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = about:NavigationFailure
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = about:NavigationFailure
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:NavigationFailure
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = about:NavigationFailure
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = about:NavigationFailure
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:NavigationFailure
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,HomeOldSP = about:blank
O2 - BHO: (no name) - {D9AAC949-0B7A-4F55-8D46-42549C96E61B} - C:\WINDOWS\System32\ljmfadf.dll
O12 - Plugin for ôå: C:\Program Files\Internet Explorer\
PLUGINS\npqtplugin4.dll
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - 
http://download.macromedia.com/
pub/shockwave/cabs/flash/swflash.cab

[ Voor 3% gewijzigd door NoTimeRemains op 03-07-2004 15:33 ]

[Edwin van Cleef]

toen ik het bericht las was er 1 post toen ik gepost had stonden er opeens een paar meer vandaar

O2 - BHO: (no name) - {D9AAC949-0B7A-4F55-8D46-42549C96E61B} - C:\WINDOWS\System32\ljmfadf.dll

O12 - Plugin for ôå: C:\Program Files\Internet Explorer\
PLUGINS\npqtplugin4.dll

zoals ik kan zien is dit het komt mij namenlijk verder niet bekend voor

[ Voor 57% gewijzigd door Edwin van Cleef op 03-07-2004 15:37 ]

[Microkid]

Begin eens om die ljmfadf.dll weg te mikken.

[Remco]

Ik heb hier dus ook sinds een week of drie last van.
ad-aware kan niks vinden.
Ook ben ik al mijn processen na gelopen.
Ik kan het simpelweg niet vinden.
Het enige wat er af en toe gebeurd, is dat er in program files een wheater directory word geplaatst.
Ik heb nu ad-watch draaien om er toch maar achter te komen.
Het lijkt erop dat elk uur (begint dus een uur na de boot) er een pop-up komt, en een savenow executable word gedownload.

[Verwijderd]

Dit komt me bekend voor!
heb dit vorige week bij kennisen op moeten lossen. Adaware hielp niet.
Daarna heb ik Kaspersky antivirus geinstalleerd, die het als een trojan herkende.
Probleem opgelost.

[NoTimeRemains]

NAV Corp ziet uhm niet ...

[Mike Jarod]

Dat log lijkt niet compleet. Ik mis dingen zoals HKLM\Run en (O16) Windowsupdate. Ben je wel als een user ingelogd met admin rechten.

Ik zie op je pic about: blank als startpagina staan? Dat kan een CWS variant zijn. Al eens CWShredder geprobeerd?

[Remco]

Verwijderd schreef op 03 juli 2004 @ 15:36:
Dit komt me bekend voor!
heb dit vorige week bij kennisen op moeten lossen. Adaware hielp niet.
Daarna heb ik Kaspersky antivirus geinstalleerd, die het als een trojan herkende.
Probleem opgelost.

Wil jij met ons delen hoe de trojan heet ?

[Edwin van Cleef]

mischien een hele handige tip ik gebruik tegenwoordig iedere keer de online virusscan van trend micro en die vind soms virussen die norton niet eens ziet

[dj_tjerk]

Hmm.. grappig... ik had hetzelfde probleem en ik heb uit een ander topic een soort handleiding gehaald en nu krijg ik die site niet meer. (oke.. het is een dag sinds ik hem verwijdert heb, maar tot nu toe nog niks gemerkt ).

Ok this revised solution seems to work the best.

Updated Solution, people were having problems deleting the .dll file from safe mode/Command Prompt Only
1. Download reglite
2. install "Reglite" and run it, enter HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\\AppInit_DLLs into the address bar.
3. Double click on AppInit_DLLs to open a "Data Editor" properties window, if the bottom textfield named "Value" contains a .dll file; then this is the hidden file you need to get rid off.
4. You should not be able to delete this file if you try to clear the value field, IMPORTANT: take note of the path and name of the .dll file. Write it down so you do not forget it.
5. Rename the Folder "Windows" (This is a purple "highlighted" folder in the left hand window) to NOTWINDOWS. Simply click on the folder, click on "Edit" in the menu bar and select "Rename".
6. Click AppInit_DLLs again and clear the value containing the .dll and ok it. This should have removed the .dll
7. Rename the windows folder back to its original name "Windows".
8. Run SpyBot, Ad-Aware and CWShredder
9. Check the following three links for instructions on downloading and running the applications listed:
o How to use Spybot to remove Spyware
o How to use Ad-Aware to remove Spyware
o How to Remove CoolWebSearch with CoolWeb Shredder
10. Next step will be to remove this dll file so make sure you have it noted down.
11. Step 1
12. Download KillBox
13. Unzip and start the application
14. Paste in the dir <path and name of dll as found in the appinit value box> i.e C:\Windows\System32\nameofdll.dll
15. Menu Select Action -> Delete on Reboot
16. Select File -> Add file <It should add the path automatically>
17. <Same Window> Select Action -> Process and Reboot
18. If Step 1 didn't work
19. Step 2
20. Click "Start" => "Run" and type in "cmd" (Without the quotations) and click on "Okay".
21. This will open a command window I will assume you have a basic knowledge of DOS if you have any problems at this point just write back I will outline the commands.
22. Type in dir <path and name of dll as found in the appinit value box> and press "Enter". You should see the name of the file listed.
23. Go to the system32 folder (This is where the .dll file will typically reside) and type attrib -R "nameofdll".dll
24. Carry out Step 1 again
25. Restart your computer in safemode
26. Open cmd window again as before
27. Type dir <path and name of dll as found in the appinit value box> and locate the dll name the dll should now have been removed and will not be listed.
28. While in safe mode (How do I boot into "Safe" mode?), run the 3 ad-removal programs again, just to make sure all traces are gone.
29. Boot up pc as normal and you should be trouble free.

In basis gaat deze handleiding over een dll, aangemaakt op datum van besmetting, die deze problemen veroorzaakt. Bij mij heette hij iets van logoom.dll.

offtopic:
De popup met die wurmpjes is wel lachen

[ Voor 13% gewijzigd door dj_tjerk op 03-07-2004 15:42 ]

[G F0rce 1]

offtopic:
TS, nu staat je ip er nog ....

Verwijderd schreef op 03 juli 2004 @ 15:36:
Daarna heb ik Kaspersky antivirus geinstalleerd, die het als een trojan herkende.

Remc0 schreef op 03 juli 2004 @ 15:38:
[...]

Wil jij met ons delen hoe de trojan heet ?

In iedergeval kan je hier de betreffende virusscanner downloaden. Dan zien we vanzelf hoe de trojan heet.

[ Voor 51% gewijzigd door G F0rce 1 op 03-07-2004 15:42 ]

[FlipFluitketel]

In plaats van alleen met ad-aware te scannen, gebruik ook spybot S&D en spysweeper. De laatstgenoemde vindt meestal nog meer dingen dan spybot S&D en adaware gevonden hebben.

[dj_tjerk]

Volgens mij heet deze trojan (of wat het ook is) iets van CWS.about:blank. Toen deze bij mij nog actief was zag ik bij spysweeper (ja, ik heb alle programma's geprobeerd) de naam verschijnen in het lijstje. En in het laatste nummer van C!T stond er ook iets over variant 29 (?) van CWS, en dat deze niet te verwijderen was. Misschien dat deze variant die 29 is?

[ Voor 31% gewijzigd door dj_tjerk op 03-07-2004 15:46 ]

[FlipFluitketel]

dj_tjerk schreef op 03 juli 2004 @ 15:44:
Volgens mij heet deze trojan (of wat het ook is) iets van CWS.about:blank. Toen deze bij mij nog actief was zag ik bij spysweeper (ja, ik heb alle programma's geprobeerd) de naam verschijnen in het lijstje. En in het laatste nummer van C!T stond er ook iets over variant 29 (?) van CWS, en dat deze niet te verwijderen was. Misschien dat deze variant die 29 is?

Als het inderdaad CWS is, gebruik dan CWShredder. Dit is een programma specifiek voor de CWS-spyware bedoelt.

De variant die je bedoelt is trouwens nr. 39, CWS.realyellowpages. Kijk eens op deze pagina:
http://www.spywareinfo.com/~merijn/cwschronicles.html

[ Voor 57% gewijzigd door FlipFluitketel op 03-07-2004 15:52 ]

[dj_tjerk]

FlipFluitketel schreef op 03 juli 2004 @ 15:45:
[...]


Als het inderdaad CWS is, gebruik dan CWShredder. Dit is een programma specifiek voor de CWS-spyware bedoelt.

Op de site van CWShredder staat in ieder geval iets over één variant die niet te verwijderen is. Dus als je pech hebt, heb je net deze op je pc staan.

- Resident DLLs from the about:blank, res://xxxx.dll or invisible variants cannot be removed by CWShredder or HijackThis.

[Verwijderd]

Spy Sweeper kan ook de Coolweb exploit verwijderen en nog veel meer zooi die Adaware en Spybot niet kunne vinden..

[Bramster]

weg....

[ Voor 87% gewijzigd door Bramster op 03-07-2004 16:02 ]

[NoTimeRemains]

ik heb de handleiding van dj_tjerk gevold en hij is weg thnx

[F_J_K]

Dit hoort in BV, dus SA --> Beveiliging & Virussen pour le search.

[Remco]

Ik heb dus niet last van de CW varianten.
Spysweeper is op dit moment nog even bezig, maar ik schrik wel van het verschil met ad-aware.

[Mike Jarod]

offtopic:
Staar je niet teveel blind op de getallen die Webroot Spysweeper weergeeft. Dit programma lijkt een 'andere' manier van tellen te hebben dan de andere programma's. Zo stond er een tijdje geleden een test van spyware scanners op de frontpage, maar daar waren de verschillen tussen de getallen zo achterlijk groot (300 vs 8000 ofzo) dat je het gewoon niet meer kan vergelijken.

Die test telde alleen maar het aantal gevonden dingen (althans wat het programma aangeeft), maar er is niet gekeken wat er daadwerkelijk door de programma's gecleaned is. Dat maakt die test imho nutteloos. Hopelijk komt er ooit nog eens een fatsoenlijke test die dat wel doet.

Ik heb een tijdje geleden zo'n test gedaan (amateuristisch), puur kijkend naar een HijackThis log, Spysweeper zegt dat ie wel veel dingen vindt, maar liet wel een redelijk vol log achter. Andere programma's waren duidelijk beter.