Spyware, niet te verwijderen...

[Verwijderd]

Ik zit nu met vrij lelijke spyware op m'n pc. Zo gauw ik rabotel wil openen krijg ik automatisch een mooie popup (http://296f8.ilxt.info/index.php?aid=20617) met de titel "Search for...".

Verder komt er een popup bij die me verteld dat m'n pc voor 18% besmet is met spyware en dat ik op ok moet klikken om het te verwijderen (hoezo sluikreclame? )

Ik heb zowel ad-aware, spycatcher & spybot al geprobeerd en deze zijn alle 3 niet in staat m'n problemen op te lossen.

Heeft er een mede gotter een id hoe ik van deze irriterende rotzooi afkom?

Bvb...

[LuCarD]

Zou je een HijackThis log kunnen plaatsen? ( [rml][ Howto] Spyware scannen en opruimen[/rml] )

[Verwijderd]

Ik zou HijackThis wel willen download maar dankzij m'n spyware kom ik niet eens op de desbetreffende pagina. Ik krijg alleen maar popups wanneer ik ze niet gebruiken kan

Wanneer iemand een directe url zou willen plaatsen dan zou ik die persoon eeuwig dankbaar zijn totdat de zon ondergaat

[LuCarD]

http://209.133.47.12/~merijn/files/HijackThis.exe
http://downloads.subratam.org/hijackthis.zip


http://www.richardthelion...richardthelionhearted.com

[offtopic]
Misschien wel handig dit op te nemen in de FAQ. ( inclusief de mirror van wildhagen )

[ Voor 85% gewijzigd door LuCarD op 16-08-2004 14:46 ]

[RobIII]

Heb je Ad-aware ook eerst geupdate met nieuwe definities?
En heb je al eens in je hosts file gekeken?

[wildhagen]

Ik heb hem altijd gemirrored: http://www.xs4all.nl/~jurgenjw/zooi/HijackThis.exe

[Verwijderd]

Hierbij dan een log:

code:

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.windowws.cc/hp.htm?id=617
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,SearchAssistant = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
F1 - win.ini: run=fntldr.exe
O2 - BHO: (no name) - {467FAEB2-5F5B-4c81-BAE0-2A4752CA7F4E} - C:\WINDOWS\System32\mmsz4gi1si.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [BCMSMMSG] BCMSMMSG.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [diagent] "C:\Program Files\Creative\SBLive\Diagnostics\diagent.exe" startup
O4 - HKLM\..\Run: [DVDSentry] C:\WINDOWS\System32\DSentry.exe
O4 - HKLM\..\Run: [MessengerPlus2] "C:\Program Files\Messenger Plus! 2\MsgPlus.exe"
O4 - HKLM\..\Run: [Norton Antivirus AV] C:\WINDOWS\FVProtect.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] C:\Program Files\iTunes\iTunesHelper.exe
O4 - HKLM\..\Run: [wrjjoxennav] C:\WINDOWS\System32\wgrwpktk.exe
O4 - HKLM\..\Run: [DataLayer] C:\PROGRA~1\COMMON~1\PCSuite\DATALA~1\DATALA~1.EXE
O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\PROGRA~1\Nokia\NOKIAP~1\TRAYAP~1.EXE
O4 - HKLM\..\Run: [GhostSurfDelSatellite] "C:\Program Files\SpyCatcher\DeleteSatellite.exe"
O4 - HKLM\..\RunOnce: [GhostSurfDelSatellite] "C:\Program Files\SpyCatcher\DeleteSatellite.exe" nowait
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MessengerPlus2] "C:\Program Files\Messenger Plus! 2\MsgPlus.exe" /WinStart
O4 - HKCU\..\Run: [Pulse] C:\Program Files\Pulse\Pulse.exe -splash
O4 - HKCU\..\Run: [uninstal] regsvr32 /u /s image.dll
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
O4 - Global Startup: BTTray.lnk = ?
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\msjava.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O16 - DPF: ConferenceRoom Java Client - http://chat.privatefeeds.com:8000/java/cr.cab
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab
O16 - DPF: {03F998B2-0E00-11D3-A498-00104B6EB52E} (MetaStreamCtl Class) - https://components.viewpoint.com/adobe/MTSInstallers/MetaStream3.cab?url=http://www.customeducation.com/JN/homies/museum/ThumbnailFrame.html
O16 - DPF: {1239CC52-59EF-4DFA-8C61-90FFA846DF7E} (Musicnotes Viewer) - http://www.musicnotes.com/download/mnviewer.cab
O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab
O16 - DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) - http://www.cult3d.com/download/cult.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab
O16 - DPF: {917623D1-D8E5-11D2-BE8B-00104B06BDE3} (CamImage Class) - http://cam1.nedzone.nl/activex/AxisCamControl.ocx
O16 - DPF: {B02B3506-8251-40CA-8CF3-822B0AA31441} (TweakBar) - http://www.tweakbar.nl/TweakBar.cab
O16 - DPF: {CE69F98F-2AF3-4306-BAC6-A79070EDA1B4} (Zylom Loader Object) - http://game13.zylom.wanadoo.nl/activex/zylomloader.cab
O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab28578.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{7F397C13-54CB-4445-8ED7-ADC75B1337B8}: NameServer = 192.168.0.10,10.0.0.138
O20 - AppInit_DLLs: bwoix5p4otwn.tlb

Ik zou niet zo gauw zien welke van de bovenstaande het zou moeten zijn. Wanneer jullie enig idee hebben over wat er allemaal weg kan dan zou ik dan graag van jullie horen.

Bvb

[wildhagen]

code:

O4 - HKLM\..\Run: [Norton Antivirus AV] C:\WINDOWS\FVProtect.exe

Dat is het Netsky-virus, weg ermee.

code:

O4 - HKLM\..\Run: [wrjjoxennav] C:\WINDOWS\System32\wgrwpktk.exe

Die is verdacht, haal maar door de Jotti-scan: http://virusscan.jotti.dhs.org

code:

O4 - HKCU\..\Run: [uninstal] regsvr32 /u /s image.dll

Die kan weg.

code:

O2 - BHO: (no name) - {467FAEB2-5F5B-4c81-BAE0-2A4752CA7F4E} - C:\WINDOWS\System32\mmsz4gi1si.dll

Deze ook.

code:

F1 - win.ini: run=fntldr.exe

Zegt jou dat iets? Zo nee, haal die file (ff zoeken waar-ie staat) ook maar door de Jotti-scan die ik hierboven noemde

[ Voor 4% gewijzigd door wildhagen op 16-08-2004 15:06 ]

[Outerspace]

code:

O2 - BHO: (no name) - {467FAEB2-5F5B-4c81-BAE0-2A4752CA7F4E} - C:\WINDOWS\System32\mmsz4gi1si.dll

O4 - HKLM\..\Run: [wrjjoxennav] C:\WINDOWS\System32\wgrwpktk.exe

Die kunnen er wel uit

code:

F1 - win.ini: run=fntldr.exe

http://www.computing.net/security/wwwboard/forum/9650.html
heeft ook te maken met virii

//veel te laat, te lang bezig met zoeken

[ Voor 7% gewijzigd door Outerspace op 16-08-2004 15:08 ]

[cutter]

code:

O4 - HKLM\..\Run: [GhostSurfDelSatellite] "C:\Program Files\SpyCatcher\DeleteSatellite.exe"
O4 - HKLM\..\RunOnce: [GhostSurfDelSatellite] "C:\Program Files\SpyCatcher\DeleteSatellite.exe" nowait

Is dit misschien dat agressieve programma anti spyware... komt te weinig voor op google om het te kunnen vertrouwen.

Waar is de rest van je log, ook je draaiende processen kunnen handig zijn om in te zien.

[Verwijderd]

Hier dan

code:

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\brsvc01a.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\brss01a.exe
C:\WINDOWS\BCMSMMSG.exe
C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\WINDOWS\System32\DSentry.exe
C:\Program Files\Messenger Plus! 2\MsgPlus.exe
C:\WINDOWS\FVProtect.exe
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\Program Files\QuickTime\qttask.exe
C:\Program Files\iTunes\iTunesHelper.exe
C:\WINDOWS\System32\wgrwpktk.exe
C:\Program Files\Creative\SBLive\Diagnostics\diagent.exe
C:\PROGRA~1\COMMON~1\PCSuite\DATALA~1\DATALA~1.EXE
C:\PROGRA~1\Nokia\NOKIAP~1\TRAYAP~1.EXE
C:\Program Files\SpyCatcher\DeleteSatellite.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\Pulse\Pulse.exe
C:\PROGRA~1\COMMON~1\PCSuite\Services\SERVIC~1.EXE
C:\Program Files\TDK Systems\Bluetooth Software\BTTray.exe
C:\Program Files\Common Files\EPSON\EBAPI\eEBSVC.exe
C:\WINDOWS\System32\CTsvcCDA.exe
C:\WINDOWS\system32\drivers\dcfssvc.exe
C:\Program Files\Common Files\EPSON\EBAPI\SAgent2.exe
C:\WINDOWS\System32\RaboCommSrv.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\MsPMSPSv.exe
C:\WINDOWS\System32\inetsrv\inetinfo.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\iPod\bin\iPodService.exe
C:\WINDOWS\System32\wuauclt.exe

[cutter]

code:

C:\WINDOWS\System32\wgrwpktk.exe

Die killen in je taakbeheer en verder Internet Explorer DICHT houden bij het verwijderen. Hoe zit je eigenlijk op het internet, met een modem en wat is je OS, dat staat normaal ook bovenaan je hijackthis log. Is ook handig om te weten.

[Verwijderd]

code:

Logfile of HijackThis v1.98.2
Scan saved at 15:01:08, on 16-8-2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Ik zit op het internet met een ethernet DSL modempje m.b.v. NAT.

Ik kan de gekke troep eruit gooien zo vaak als ik wil. Het komt namelijk net zo snel weer terug.

Ik wordt hier zo onderhand beetje kriegel van

Ik ga de tip van cutter nu even proberen.

[LuCarD]

Verwijderd schreef op 16 augustus 2004 @ 16:16:

code:

Logfile of HijackThis v1.98.2
Scan saved at 15:01:08, on 16-8-2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Ik zit op het internet met een ethernet DSL modempje m.b.v. NAT.

Ik kan de gekke troep eruit gooien zo vaak als ik wil. Het komt namelijk net zo snel weer terug.

Ik wordt hier zo onderhand beetje kriegel van

Ik ga de tip van cutter nu even proberen.

Volgens mij moet je eerst de draaiende processen verwijderen.
Daarna pas de reg. keys weghalen.

[Edwin van Cleef]

messenger plus zit toch ook vol met spyware? of heb ik dat verkeerd?

[Verwijderd]

Ik denk dat je gelijk hebt

Zo te zien werkt het weer naar behoren.

De penissen vliegen iig niet meer over m'n beeldscherm

Allemaal hartstikke bedankt...

Mocht er alsnog iets mis gaan horen jullie wel weer van me

[cutter]

Edwin van Cleef schreef op 16 augustus 2004 @ 16:21:
messenger plus zit toch ook vol met spyware? of heb ik dat verkeerd?

Ja, maar die wordt alleen meegeïnstalleerd als je klikt op: