AXISCDROMKNOB

[Verwijderd]

Omdat ik werkelijk helemaal niks over dit probleem kon vinden, niet op GOT en niet op de rest van internet, heb ik me zojuist geregistreerd om dit topic aan te maken.

Mijn C:\program Files (windows XP-PRO) staat vol met mapjes die ik niet ken. Al die gekke mapjes hebben namen als comp, compprogram, compprogramheart, hear, hearprPProgr, hearprogram, hearprogramheart en gaa zo maar door. De eigenschappen van deze mapjes vertellen me dat ze gisteren 13 juli zijn gecreëerd, allemaal tussen 17.00 u en 20.00u. Al deze mapjes bevatten weer één file en die is 1 kb en die heet AXISCDROMKNOB. Behalve de map C:\program files\coart; deze bevat een file die heet AXISCDROMknHbart.bin. Ook bevat mijn C:\program files een folder die heet 'hold2soft' en daarin bevindt zich 'beep fast.exe'. Ook deze is gisteren gecreëerd. Zone alarm vroeg of ik hem toestond om op internet te gaan en dat heb ik niet toegestaan. Ik draai geupdate AdAware 6.0 en spybot1.3 en spywareblaster.
Uiteraard ook een NAV corporate geupdate virusscanner.

Gisteren heb ik wel msn plus gedownloaded en geïnstalleerd. Volgens mij rod 17.00 u.

Mijn vraag is waar komen al deze rare mapjes ineens vandaan en wat doen de files die ik zojuist heb genoemd? Is mijn pc geïnfecteerd of niet?

voor indien met dit nodig heeft bij deze hijackthis.log

Logfile of HijackThis v1.97.7
Scan saved at 5:44:31 PM, on 7/14/2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\NavNT\vptray.exe
C:\Program Files\McAfee.com\Agent\mcagent.exe
C:\WINDOWS\System32\rundll32.exe
C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\Program Files\Messenger Plus! 3\MsgPlus.exe
C:\WINDOWS\System32\RUNDLL32.EXE
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\McAfee.com\SpamKiller\SpamKiller.exe
C:\Program Files\MSN Messenger\MsnMsgr.Exe
C:\Program Files\NavNT\defwatch.exe
C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe
C:\Program Files\NavNT\rtvscan.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\Program Files\Analog Devices\SoundMAX\spkrmon.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\System32\MsgSys.EXE
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Hold2soft\beep fast.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\System32\mmc.exe
C:\Program Files\Internet Explorer\iexplore.exe
D:\mijn_documenten\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.nl/
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: (no name) - {756FBACB-65DE-61FC-A5B1-6F3EA8182D72} - C:\PROGRA~1\COMPPR~1\Htm Chin.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: basewindow - {39FB4708-7361-9708-F4F0-2E910600759C} - C:\PROGRA~1\COMPPR~1\Htm Chin.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [vptray] C:\Program Files\NavNT\vptray.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [MCAgentExe] C:\Program Files\McAfee.com\Agent\mcagent.exe
O4 - HKLM\..\Run: [MCUpdateExe] C:\PROGRA~1\McAfee.com\Agent\mcupdate.exe
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [MessengerPlus3] "C:\Program Files\Messenger Plus! 3\MsgPlus.exe"
O4 - HKLM\..\Run: [dvd1] C:\PROGRA~1\Hold2soft\beep fast.exe
O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NVMCTRAY.DLL,NvTaskbarInit
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MessengerPlus3] "C:\Program Files\Messenger Plus! 3\MsgPlus.exe" /WinStart
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - Startup: McAfee.com SpamKiller.lnk = C:\Program Files\McAfee.com\SpamKiller\SpamKiller.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://fpdownload.macrome...e/cabs/director/swdir.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.m...uctl.CAB?38111.9278587963
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedi...ve/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{EEB5CDA6-5AAC-4199-843A-D2609B945DD5}: NameServer = 195.96.96.97 195.96.96.33

[lordgandalf]

laat me raden je hebt msn plus MET sponsor geinstalleerd ???
Dan is het duidelijk lijkt me ???

code:

O4 - HKLM\..\Run: [dvd1] C:\PROGRA~1\Hold2soft\beep fast.exe
C:\Program Files\Hold2soft\beep fast.exe

lijkt mij spyware 

O2 - BHO: (no name) - {756FBACB-65DE-61FC-A5B1-6F3EA8182D72} - C:\PROGRA~1\COMPPR~1\Htm Chin.dll
O3 - Toolbar: basewindow - {39FB4708-7361-9708-F4F0-2E910600759C} - C:\PROGRA~1\COMPPR~1\Htm Chin.dll

lijkt me een "handige" toolbar ofzo

[ Voor 70% gewijzigd door lordgandalf op 14-07-2004 18:34 ]

[Verwijderd]

ehm . . mij niet?

[lordgandalf]

Verwijderd schreef op 14 juli 2004 @ 18:33:
ehm . . mij niet?

MSN plus kun je met of zonder sponsor installeren.
Die sponsor is van die heerlijke spyware.
Je zegt zelf al die vreemde bestanden zijn rond 17.00 uur gemaakt.
En je zegt dat je msn plus rond 17.00 uur hebt geinstalleerd.
rara wat zouw er zijn ???

[Verwijderd]

ok mijn vermoeden bevestig je dus. Kan ik ook nog van die zooi afgeraken zonder mijn pc helemaalopnieuw te doen?

[Verwijderd]

bijvoorbeeld met system restore naar eergisteren herstellen?

[Verwijderd]

Je kunt beter via het configuratiescherm MSN Plus eraf gooien, en daarna opnieuw installeren ZONDER sponsor. Als het goed is moet deze dan weg zijn. Systeem herstellen (system restore)lost niet altijd alle problemen op.

[ Voor 20% gewijzigd door Verwijderd op 14-07-2004 21:38 ]

[lordgandalf]

gewoon msn plus verwijderen en bij het prachtige scherm van de sponsor zeggen dat je niet gedient bent van die troep dan zouw het weg moeten zijn en anders even je spybot & ad-aware aan zwengelen denk ik

[Verwijderd]

OK, inmiddels heb ik mijn pc-tje maar opnieuw ingericht. Als-tie eenmaal besmet is dan pak ik het liever grondig aan.

Toch blijf ik me nog afvragen waarom je helemaal niets kunt vinden over AXISCDROMKNOB en 'beep fast.exe'. Als deze troep inderdaad het gevolg is van een installatie van 'msn-plus' dan zouden toch meer mensen dit moeten hebben?

[lordgandalf]

ik zeg niet dat het daardoor komt maar het is aan nemelijk dat het door komt.
Gezien jouw tijd dat je msn plus hebt geinstalleerd en de datum van de bestanden.
Ik zouw niet weten of het door msn plus komt maar het lijkt me wel.

[F_J_K]

Niets te vinden; semi-random bestandsnamen zijn een eenvoudige doch doeltreffende manier om google in het ongewisse te laten. En spyware komt erg makkelijk op een windows systeem, afhankelijk van het patch-niveau (al zal dat hier wel meevalle, ik neem aan dat je alle patches hebt geinstalleerd), de browser en welke software je installeert zonder de licentievoorwaarden of installatie-opties te lezen.

Over spyware verwijderen in het algemeen en MSNplus in het bijzonder is al zeer veel gezegd hier op GoT, ik denk dat je best een goede poging had kunnen maken om het te verwijderen zonder format: een echte tweaker ziet dat als een uitdaging Maar goed, vanwege de format heeft dit topic geen zin meer en sluit ik het derhalve.

Achteraf: je had misschien wat meer te weten kunnen komen over wat het precies was door te kijken naar welke servers de troep probeerde te connecten.

Trouwens welkom op GoT