[malware] startpaginaprobleem res:// weg, maar*

[Verwijderd]

Hoi

Ook IK had dat startpaginaprobleem res://
Nadat ik Systeemherstel had gedaan was alles weer in orde(dacht ik)
Uit mijn logfile waren die rare dingen in ieder geval verdwenen, (hoewel ik niet veel verstand van logfiles heb, hoor)
Dus ik was al helemaal blij.
Mijn virusscanner gaf ook nix meer aan. Maar helaas, na een online scan:
56 geinfecteerde .dat bestanden in c:/windows, die niet te herstellen waren.
Wat nu ??
Niet te ingewikkeld, hoop ik, ben niet zo supergoed hier in.
Ik zal mijn logfile ook hier even neerzetten.
Weet iemand raad????

groetjes
Ginie

Logfile of HijackThis v1.98.0
Scan saved at 15:39:45, on 6-7-2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\System32\PackethSvc.exe
C:\WINDOWS\system32\cisvc.exe
C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe
C:\Program Files\Norton AntiVirus\navapsvc.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\fxssvc.exe
C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe
C:\WINDOWS\system32\cidaemon.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\htpatch.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Program Files\Real\RealPlayer\RealPlay.exe
C:\Program Files\Medion Home CinemaXL\PowerCinema\PCMService.exe
C:\PROGRA~1\NORTON~1\navapw32.exe
C:\Program Files\Common Files\Microsoft Shared\Works Shared\WkUFind.exe
C:\WINDOWS\Dit.exe
C:\Program Files\Elaborate Bytes\CloneCD\CloneCDTray.exe
C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Program Files\Webroot\Washer\wwDisp.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\Program Files\Messenger\msmsgs.exe
C:\WINDOWS\DitExp.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\Microsoft Office\Office\OSA.EXE
C:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\Program Files\HIJJACK\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.startpagina.nl/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.aldi.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
F2 - REG:system.ini: Shell=
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: MSN Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Toolbar\01.01.1629.0\nl\msntb.dll
O4 - HKLM\..\Run: [HTpatch] C:\WINDOWS\htpatch.exe
O4 - HKLM\..\Run: [VOBRegCheck] C:\WINDOWS\System32\VOBREGCheck.exe -CheckReg
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [RealTray] C:\Program Files\Real\RealPlayer\RealPlay.exe SYSTEMBOOTHIDEPLAYER
O4 - HKLM\..\Run: [PCMService] C:\Program Files\Medion Home CinemaXL\PowerCinema\PCMService.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\\NeroCheck.exe
O4 - HKLM\..\Run: [NAV Agent] C:\PROGRA~1\NORTON~1\navapw32.exe
O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Program Files\Common Files\Microsoft Shared\Works Shared\WkUFind.exe
O4 - HKLM\..\Run: [Dit] Dit.exe
O4 - HKLM\..\Run: [CloneCDTray] "C:\Program Files\Elaborate Bytes\CloneCD\CloneCDTray.exe"
O4 - HKLM\..\Run: [CloneCDElbyCDFL] "C:\Program Files\Elaborate Bytes\CloneCD\ElbyCheck.exe" /L ElbyCDFL
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [DXM6Patch_981116] C:\WINDOWS\p_981116.exe /Q:A
O4 - HKCU\..\Run: [Window Washer] C:\Program Files\Webroot\Washer\wwDisp.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - Global Startup: Office Opstarten.lnk = C:\Program Files\Microsoft Office\Office\OSA.EXE
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Program Files\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Program Files\ICQLite\ICQLite.exe
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O14 - IERESET.INF: START_PAGE_URL=http://www.aldi.com
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab
O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec....ontent/vc/bin/AvSniff.cab
O16 - DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) - http://www.cult3d.com/download/cult.cab
O16 - DPF: {4E15D681-1D20-11D4-8B72-000021DA1956} - http://xxs.x-x.nl/exe/xxs/004nl.exe
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall Besturing) - http://a840.g.akamai.net/...com/housecall/xscan53.cab
O16 - DPF: {80DD2229-B8E4-4C77-B72F-F22972D723EA} (AvxScanOnline Control) - http://www.bitdefender.com/scan/Msie/bitdefender.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.../MessengerStatsClient.cab
O16 - DPF: {C2FCEF52-ACE9-11D3-BEBD-00105AA9B6AE} (Symantec RuFSI Registry Information Class) - http://security.symantec....tent/common/bin/cabsa.cab
O16 - DPF: {EF791A6B-FC12-4C68-99EF-FB9E207A39E6} (McFreeScan Class) - http://download.mcafee.co...an/2,0,0,4364/mcfscan.cab
O16 - DPF: {FE8287E9-5F43-11D3-ABCA-00105A5C1F46} (HouseCall Control) - http://www.housecall.nl/housecall/xscan4.cab

[FlipFluitketel]

Heb je ook de tips in Startpagina probleem res://nfyyn.dll/index.html#10213 al geprobeerd?
En kijk ook hier eens: http://users.telenet.be/marcvn/spyware/1972664.htm (link staat ook in bovengenoemd topic).

[elevator]

Kijk eventjes hier: Nieuwe CoolWWWSearch varianten - WimB heeft hier een mooi topic over gemaakt met uitleg hoe je dit soort dingen kan aanpakken

[Verwijderd]

Ja, dat heb ik natuurlijk allemaal al doorgelezen.
Maar heb nergens meer last van, alles werkt normaal en mijn logfile is ook in orde ??....toch??
Maar toch geeft een online scan 56 geinfecteerde .dat bestanden aan in c:/windows, genaamd troj_agent.au en troj_agent.as
Heeft dit wel wat met dat startpaginaprobleem te maken of is het iets anders wat daar nix mee te maken heeft?
De .dat bestanden zijn niet te herstellen zegt Bitfender, maar het zijn verborgen bestanden(?), dus die kan je toch niet zomaar verwijderen??

[frickY]

Haal voortaan je pr0n binnen via Kazaa.. en geen el-cheapo sites.

Ga naar Start -> Uitvoeren/Run, en tik 'msconfig' en druk op enter.
Ga naar het tabblad Opstarten en zet de volgende items uit;

PackethSvc.exe
cisvc.exe
fxssvc.exe
x10nets.exe
cidaemon.exe
htpatch.exe
Dit.exe
wwDisp.exe
msnmsgr.exe
DitExp.exe

Dan draai je die scan nog eens, en zul je zien dat het 1 en ander nu wel kan (niet meer in gebruik).

Ik raad overigens de scans van Symantec en Housecall aan

Doen deze sites het niet? Ga dan weer naat Start -> Uitvoeren/Run en tik C:\WINNT\system32\notepad.exe C:\WINNT\system32\drivers\etc\hosts

Verwijder hier alles wat onder "127.0.0.1 localhost" staat en sla hem op. Sluit alle browser vensters en probeer opnieuw.

[ Voor 4% gewijzigd door frickY op 08-07-2004 16:23 ]

[FlipFluitketel]

frickY schreef op 08 juli 2004 @ 16:22:
KNIP
PackethSvc.exe
cisvc.exe
fxssvc.exe
x10nets.exe
cidaemon.exe
htpatch.exe
Dit.exe
wwDisp.exe
msnmsgr.exe
DitExp.exe
KNIP

Heb je ook maar iets opgezocht wat dat allemaal is?? Denk het haast van niet, overzichtje:

PackethSvc.exe --> Virtual Adapter Service voor AOL
cisvc.exe --> Microsoft Index Service Helper
fxssvc.exe --> Fax Service
x10nets.exe --> ATI remote wonder Driver
cidaemon.exe --> Microsoft Indexing Service
htpatch.exe --> Htpatch (component for SiS AGP patch)
Dit.exe --> Drive Icon and Label Utility
wwDisp.exe --> Webroot Window Washer
msnmsgr.exe --> MSN Messenger
DitExp.exe --> utility that is used with with flash memory cards

Staat dus geen enkel stuk spyware in het lijstje.

@Ginie:
Alleen het volgende zou je kunnen verwijderen, de rest is allemaal OK.

O16 - DPF: {4E15D681-1D20-11D4-8B72-000021DA1956} - http://xxs.x-x.nl/exe/xxs/004nl.exe

[ Voor 4% gewijzigd door FlipFluitketel op 08-07-2004 19:41 ]

[frickY]

Nee, dat heb ik niet
Maar onlangs stonden vergelijkbaare bestanden op de pc van mijn schoonouders, welke allemaal een virussen en spyware bleken te zijn.
Mijn excuses, had inderdaad wat verder moeten kijken zoals jij.

Overigens is msnmsgs volgens mij niet MSN messenger.. dat is nl msmsgs...

[Verwijderd]

oke..

dus de "raad" van Fricky dan maar verder ook niet opvolgen? Geen ruzie in de tent he jongens hihi....
Dus, Flipfluitketel, oke...ik ga dat ene 016-dpf enz. verwijderen en dan is mijn logfile weer helemaal in orde, Home Search Assistent heb ik dus ook gelukkig geen last meer van gehad, MAAR... toch geeft een online scan 56 geinfecteerde .dat bestanden aan in c:/windows, genaamd troj_agent.au en troj_agent.as
HEEFT dit wel wat met dat startpaginaprobleem te maken of is dat gewoon "een probleem op zich"
De .dat bestanden zijn niet te herstellen zegt Bitfender, maar het zijn verborgen bestanden(?), dus die kan je toch niet zomaar verwijderen??

[Verwijderd]

FrickY.......excuses aanvaard, hoor

[FlipFluitketel]

frickY, ik ben het met je eens dat er inderdaad processen draaien met erg rare namen. Ik zoek zelf altijd met google even op die procesnaam en meestal vind ik dan bij de 1e of 2e hit een beschrijving wat het eigenlijk is. Het neemt wat meer tijd in beslag, maar zo ben je er zeker van dat je geen verkeerde dingen verwijderd. Wat betreft dat msnmsgr.exe, kijk hier eens.

ginie, schakel allereerst eens je systeemherstel uit (rechtermuisknop op deze computer, eigenschappen, tabblad systeemherstel en dan het vinkje plaatsen bij uitschakelen). Hierna je pc even opnieuw opstarten en dan een online virusscan doen bij: http://housecall.trendmicro.com/housecall/start_corp.asp
Vergeet niet je systeemherstel na het scannen weer terug aan te zetten!!
Mochten er nog virussen gevonden worden, in welke directory staan ze exact? Is dat c:\windows of c:\windows\system32 (is maar een voorbeeldje).

[Verwijderd]

Jippie ! Alles in orde nu.
Ik dacht (voor ik je bericht had gelezen)laat ik toch eerst nog even Ad-aware een keer doen, en zie.....die gaf nu ook de 56 geinfecteerde .dat bestanden(met CoolWebSearch object) in c:/windows aan, allles verwijderd, nogmaals een online scan gedaan en ALLES OKE.
En toch had ik Ad-aware al een paar keer gedaan, maar ik denk dat ik ff vergeten was te updaten.....
Al met al was dan dat CoolWeb-startpagina gedoe toch nog eenvoudig op te lossen, gewoon door met Systeemherstel de computer naar een vorig herstelpunt terug te zetten, waarna alles weer gewoon was en mijn logfile ook schoon was.Daarna nog wat geinfecteerde .dat bestanden verwijderd met Ad-aware(niet vergeten Update te doen)
Blij dat alles op het moment weer normaal is,... voor zolang het duurt, want tja, met zo'n computer is het altijd wat he.
En , Flipfluitketel en Fricky, bedankt voor het meedenken en de tips.
Blij dat dit forum er is !!!!

groetjes
Ginie