Spyware: fheup.dll

[Verwijderd]

Hoi,

Ik heb een systeem met windows 98 en internet explorer 6. Als ik mn Internet explorer open dan krijg ik dit in de adres balk res://fheup.dll/index.html/index.html=37049. En een melding: deze pagina kan niet worden weergeven.

Ik heb ad-aware + spybot +cwschredder & HomeSearchAssistant al gehad. Zonder resultaat.

res://fheup.dll/index.html/index.html verwijst naar het dll bestand fheup.dll. Dit kun je verwijderen maar naar een herstart staat het er weer. In het register staan een heleboel sleutels die verwijzen naar fheup.dll. Deze kun je verwijderen of hernoemen maar dan komen ze ook terug (na een herstart en als je internet explorer opend.)

Ik hoop dat ik genoeg info heb gegeven. want ik kom er niet meer uit.

gr tim

[Twee Dee]

Als je Googled op "index.html=37049" dan zie je al een hoop resultaten.
Ook op GoT is er al wat over deze zooi gemeld. Als het goed is wordt binnenkort dit (hardnekkige) probleem ook in CWShredder opgelost.

Lees even dit draadje door, misschien heb je er wat aan.

edit:

Welkom op GoT Een kleine kwoot uit de Algemene GoT FAQ (Netiquette):

Wij tweakers doen elkaar permanent de groeten. Het is dus niet nodig om steeds ruimteverspillende "greetz $user" of iets dergelijks onder je posts te plakken. Als je persé zoiets wilt kun je daar je signature voor gebruiken.

[ Voor 40% gewijzigd door Twee Dee op 26-07-2004 15:06 ]

[Verwijderd]

Heb je de [Howto] Spyware scannen en opruimen al doorgenomen? Post ook je Hijackthis log nog even

[Verwijderd]

Ik heb het met hijjack this kunnen verwijderen. Bedankt.

gr tim

[Verwijderd]

Verwijderd schreef op 26 juli 2004 @ 15:40:
Ik heb het met hijjack this kunnen verwijderen. Bedankt.

gr tim

Het is nog niet opgelost naar na het overnieuw opstarten. is het gewoon weer terug!

[Verwijderd]

Verwijderd schreef op 26 juli 2004 @ 16:03:
[...]
Het is nog niet opgelost naar na het overnieuw opstarten. is het gewoon weer terug!

Post je log eens, misschien dat je iets over het hoofd hebt gezien

[FlipFluitketel]

Kijk eens in dit topic:
Nieuwe CoolWWWSearch varianten

Hier staat wat meer info over die res:// spyware.

@Trojan Pony: Deze variant van CWS is niet zo gemakkelijk te verwijderen. Of ja.. hij is makkelijk te verwijderen en komt nog makkelijker weer terug. Met HijackThis los je het helaas nooit compleet op.. Meer info staat ook op www.spywareinfo.com/~merijn , maar die site is (hier tenminste) weer even niet bereikbaar.

[ Voor 56% gewijzigd door FlipFluitketel op 26-07-2004 16:44 ]

[Verwijderd]

Dit is weer een type spyware die gebruik maakt van een verborgen dll, dus, de verkenner zal deze file niet terugvinden, zelfs al zijn je verborgen bestanden weergegeven. De spyware maakt gebruik van een registertweak en daarom komt het steeds terug.(heel hardnekkige spyware) Je kan dit verborgen bestand laten weergeven door kladblok te openen en er het volgende in te zetten:
Reg save "HKLM\Software\Microsoft\Windows NT\CurrentVersion\Windows" windows1.hiv
ren windows1.hiv windows.txt

Dit geef je de naam Appinit en sla het NIET op als textdocument, maar als 'andere' en zet het op je desktop. Als je daarop klikt zal je zien dat er een nieuw item op je desktop komt, nl windows.text. Je zal er allerlei rare codes in terugvinden, maar ook de dll die die spyware gebruikt, dus de zichtbare versie ervan. Daarna download je CWShredder en hiving.bat (http://members.rogers.com/rjmac/hiving.bat) en zet/save het ook op je desktop. Verbreek de connectie met het internet (je kan daarvoor je firewall gebruiken). Dubbelklik daarna op hiving.bat. Reboot. Als je een scriptblocker hebt aanstaan, zal je een waarschuwing krijgen... negeer deze waarschuwing en sta het script toe. Na de reboot zal de verborgen dll.file zichtbaar zijn die je eerder met appinit.bat hebt opgespoord. Zoek daarna die verborgen dll op met je verkenner en maak jezelf eigenaar van het bestand. (hoe je dit moet doen lees je hier: http://support.microsoft.com/?kbid=308421) Hernoem daarna het bestand en verwijder het. Daarna start je cwshredder. Als het niet lukt moet je nog eens dezelfde procedure uitvoeren in veilige mode. Reboot je pc terug normaal en het moet opgelost zijn.

[ Voor 74% gewijzigd door Verwijderd op 27-07-2004 19:46 ]