Lastige spyware niet te verwijderen!

[Verwijderd]

Sedert enkele dagen gaat ineens, wanneer ik gewoon een url intik in I.E. (bvb www.nmbs.be), te zoeken via een site : www.heretofind.com!! de site van de nmbs gaat niet open, maar integendeel beland ik aut. op die site van : http://www.heretofind.com/show.php?id=17&q=www.nmbs.be!!

Ik heb spysweeper al laten draaien, adaware, spybot en mcaffee, maar nergens vinden die een fout of melding van spyware die mijn probleem kan oplossen!
Kent iemand dit en geeft mij raad?

[Big Joe]

Post je hijackthis log eens

[Verwijderd]

Probeer Hitman Pro eens. (geen spam !)

[ Voor 8% gewijzigd door Verwijderd op 02-09-2004 22:56 ]

[Verwijderd]

Heb het ondertussen gevonden en is opgelost (een pak van m'n hart), dankzij de tip van BigJoe en via hijackthis is de 'vuiligheid' verwijderd. Het betrof een 'site', nl : www.heretofind.com.
Ik heb de verwijzingen naar deze gevinkt en hijackthis laten verwijderen.
Erg bedankt voor de vlugge reacties.

Voor alle zekerheid ga ik deze hier posten moest er nog iets verkeerd zijn.
Bedankt al Big Joe

Logfile of HijackThis v1.98.2
Scan saved at 23:33:52, on 2/09/2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
E:\Telemeter 3.0\telemeter3.exe
E:\RAM Idle\RAMIdle.exe
C:\PROGRA~1\Grisoft\AVG7\avgcc.exe
C:\PROGRA~1\Grisoft\AVG7\avgemc.exe
C:\Program Files\Meaya\Popup Ad Filter\PopFilter.exe
E:\Spy Sweeper\SpySweeper.exe
E:\Microsoft Office\Office10\msoffice.exe
C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
C:\McAfee\McAfee VirusScan\Avsynmgr.exe
E:\Executive Software\DiskeeperWorkstation\DKService.exe
C:\McAfee\McAfee VirusScan\VsStat.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\McAfee\McAfee VirusScan\Avconsol.exe
C:\Program Files\McAfee\McAfee Firewall\CPD.EXE
C:\Program Files\McAfee\McAfee Firewall\CPD.EXE
C:\Program Files\Internet Explorer\iexplore.exe
I:\Backup Software\Spyware detection\Hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.be
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.be
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = proxy.pandora.be:8080
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - E:\Adobe\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - E:\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: WsftpBrowserHelper Class - {601ED020-FB6C-11D3-87D8-0050DA59922B} - e:\WS_FTP Pro\wsbho2k0.dll
O2 - BHO: (no name) - {F98D3299-6F69-130D-94C3-CFD379E53A5D} - (no file)
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Copernic Agent - {F2E259E8-0FC8-438C-A6E0-342DD80FA53E} - E:\Copernic Agent\CopernicAgentExt.dll
O3 - Toolbar: McAfee VirusScan - {ACB1E670-3217-45C4-A021-6B829A8A27CB} - C:\McAfee\McAfee VirusScan\VSCShellExtension.dll
O3 - Toolbar: (no name) - {C760ABBF-8830-C275-CB53-867D144967C6} - (no file)
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [Telemeter 3.0] "e:\Telemeter 3.0\telemeter3.exe"
O4 - HKLM\..\Run: [RAM Idle] E:\RAM Idle\RAMIdle.exe
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVG7\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [AVG7_EMC] C:\PROGRA~1\Grisoft\AVG7\avgemc.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKCU\..\Run: [Popup Ad Filter] C:\Program Files\Meaya\Popup Ad Filter\PopFilter.exe
O4 - HKCU\..\Run: [SpySweeper] "E:\Spy Sweeper\SpySweeper.exe" /0
O4 - Global Startup: Microsoft Office.lnk = E:\Microsoft Office\Office10\OSA.EXE
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: Allow Popups - C:\Program Files\Meaya\Popup Ad Filter\WhiteGetUrl.js
O8 - Extra context menu item: Download All by FlashGet - E:\FlashGet\jc_all.htm
O8 - Extra context menu item: Download using FlashGet - E:\FlashGet\jc_link.htm
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\MICROS~1\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Search Using Copernic Agent - E:\Copernic Agent\Web\SearchExt.htm
O9 - Extra button: (no name) - {193B17B0-7C9F-4D5B-AEAB-8D3605EFC084} - E:\COPERN~1\COPERN~1.EXE
O9 - Extra 'Tools' menuitem: Launch Copernic Agent - {193B17B0-7C9F-4D5B-AEAB-8D3605EFC084} - E:\COPERN~1\COPERN~1.EXE
O9 - Extra button: Copernic Agent - {688DC797-DC11-46A7-9F1B-445F4F58CE6E} - E:\COPERN~1\COPERN~1.EXE
O9 - Extra button: Onderzoek - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\MICROS~1\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Corel Network monitor worker - {D228993C-3FB5-4E0F-825B-898D9A2C11A3} - (no file)
O9 - Extra 'Tools' menuitem: Corel Network monitor worker - {D228993C-3FB5-4E0F-825B-898D9A2C11A3} - (no file)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} - http://messenger.zone.msn.com/binary/MineSweeper.cab
O16 - DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) - http://www.cult3d.com/download/cult.cab
O16 - DPF: {4C39376E-FA9D-4349-BACC-D305C1750EF3} (EPUImageControl Class) - http://tools.ebayimg.com/...PUWALControl_v1-0-3-9.cab
O16 - DPF: {5D1E3FA5-64FF-4387-9418-F1D67AFB2247} - http://thesims.ea.com/tel...r/MaxisSuperstarTeleX.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.m...eb_site.cab?1094155096468
O16 - DPF: {6A060448-60F9-11D5-A6CD-0002B31F7455} - http://www.telenet.be/gamezone/classes/ExentCtl.ocx
O16 - DPF: {6B4788E2-BAE8-11D2-A1B4-00400512739B} - http://216.249.24.142/code/PWActiveXImgCtl.CAB
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} - http://messenger.zone.msn.../MessengerStatsClient.cab
O16 - DPF: {8E28B3A9-FE83-45D1-B657-D5426B81A121} - http://cs5b.instantservice.com/jars/customerxsigned41.cab
O16 - DPF: {9A54032D-31F7-400D-B184-83B33BDE65FA} - http://sc.groups.msn.com/controls/FileUC/MsnUpld.cab
O16 - DPF: {9B4AA442-9EBF-11D5-8C11-0050DA4957F5} - http://www.cavello.com/dialxs/plugins/d/22/478/nl.exe
O16 - DPF: {AE1C01E3-0283-11D3-9B3F-00C04F8EF466} - http://fdl.msn.com/zone/datafiles/heartbeat.cab
O16 - DPF: {C2FCEF52-ACE9-11D3-BEBD-00105AA9B6AE} - http://security.symantec....tent/common/bin/cabsa.cab
O16 - DPF: {C3DFA998-A486-11D4-AA25-00C04F72DAEB} - http://sc.groups.msn.com/controls/PhotoUC/MsnPUpld.cab
O16 - DPF: {E855A2D4-987E-4F3B-A51C-64D10A7E2479} - http://tools.ebayimg.com/eps/activex/EPSControl_v1-0-3-0.cab
O16 - DPF: {F58E1CEF-A068-4C15-BA5E-587CAF3EE8C6} - http://fdl.msn.com/public/chat/msnchat45.cab
O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab
O16 - DPF: {FA3662C3-B8E8-11D6-A667-0010B556D978} (IWinAmpActiveX Class) - http://cdn.digitalcity.com/_media/dalaillama/ampx.cab

[ Voor 90% gewijzigd door Verwijderd op 02-09-2004 23:34 . Reden: verbetering ]

[Big Joe]

Klik op de Save Log knop, dan exporteert hij het naar een text file. Die kan je dan copy/pasten

[Verwijderd]

Big Joe schreef op 02 september 2004 @ 23:33:
Klik op de Save Log knop, dan exporteert hij het naar een text file. Die kan je dan copy/pasten

Zie boven

[Big Joe]

Verwijderd schreef op 02 september 2004 @ 23:47:
[...]

Zie boven

Hij had het geëdit nadat ik had gepost omdat hij vroeg hoe je dat moest doen...

[elevator]

Verwijderd schreef op 02 september 2004 @ 23:29:
C:\PROGRA~1\Grisoft\AVG7\avgcc.exe
C:\PROGRA~1\Grisoft\AVG7\avgemc.exe

[...]

C:\McAfee\McAfee VirusScan\Avsynmgr.exe
C:\McAfee\McAfee VirusScan\VsStat.exe

Heb je nu 2 verschillende virusscanners geinstalleerd staan?

O16 - DPF: {6B4788E2-BAE8-11D2-A1B4-00400512739B} - http://216.249.24.142/code/PWActiveXImgCtl.CAB

Geen idee wat dit is - misschien nog eens nader onderzoeken?

O16 - DPF: {8E28B3A9-FE83-45D1-B657-D5426B81A121} - http://cs5b.instantservice.com/jars/customerxsigned41.cab

Zie hierboven

http://www.cavello.com/dialxs/plugins/d/22/478/nl.exe

[Verwijderd]

[quote]elevator schreef op 03 september 2004 @ 11:27:
[...]

Heb je nu 2 verschillende virusscanners geinstalleerd staan?


ik heb inderdaad Mcafee en AVG tezamen draaien, geeft geen enkel probleem! Dit doe ik al meerdere tijd hoor.
Gelezen in een PCMagazine indertijd.

Wel

[hornage]

Ik heb hier ook het hetzelfde probleem. Al flink bezig met geweest met Hijackthis en spybot/spyware doctor/ad aware/spyhunter, maar nog steeds gaat ie niet weg.
Als ik via hijackthis alles verwijder wat te maken heeft met heretofind en daarna internet explorer start komt ie gewoon weer terug
Hierbij de hijackthis log. Hopelijk kunnen jullie er iets mee.

Logfile of HijackThis v1.97.7
Scan saved at 14:03:53, on 6-11-2004
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Real\RealPlayer\RealPlay.exe
C:\Program Files\QuickTime\qttask.exe
C:\Program Files\Winamp\winampa.exe
C:\Program Files\Microsoft ActiveSync\WCESCOMM.EXE
C:\Program Files\Spyware Doctor\spydoctor.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Opera7\opera.exe
C:\Documents and Settings\J.A.N.Ribbink\Mijn documenten\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.heretofind.com/show.php?id=18&q=%s
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = mk:@MSITStore:C:\spe\start.chm::/start.html#
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = mk:@MSITStore:C:\spe\start.chm::/start.html#
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.heretofind.com/show.php?id=18&q=%s
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\Smc.exe -startgui
O4 - HKLM\..\Run: [FastTrack Accelerator] C:\Program Files\KaZaA Lite\Speed Up.exe
O4 - HKLM\..\Run: [RealTray] C:\Program Files\Real\RealPlayer\RealPlay.exe SYSTEMBOOTHIDEPLAYER
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exe
O4 - HKLM\..\Run: [SpyHunter] C:\Program Files\Enigma Software Group\SpyHunter\SpyHunter.exe
O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Program Files\Microsoft ActiveSync\WCESCOMM.EXE"
O4 - HKCU\..\Run: [Spyware Doctor] "C:\Program Files\Spyware Doctor\spydoctor.exe" /Q
O13 - DefaultPrefix: http://www.heretofind.com/show.php?id=18&q=
O13 - WWW Prefix: http://www.heretofind.com/show.php?id=18&q=
O13 - Home Prefix: http://www.heretofind.com/show.php?id=18&q=
O13 - Mosaic Prefix: http://www.heretofind.com/show.php?id=18&q=
O13 - Gopher Prefix: http://www.heretofind.com/show.php?id=18&q=

[TheLastOttoman]

Is isass.exe ook geen virus? Volgens norton wel als je in www.google.com isass.exe intypt en naar 'proces information' gaat. Das dan de bovenste link die je krijgt.

[FlashBang]

LordMistery schreef op 06 november 2004 @ 21:32:
Is isass.exe ook geen virus? Volgens norton wel als je in www.google.com isass.exe intypt en naar 'proces information' gaat. Das dan de bovenste link die je krijgt.

lsass staat voor Local Security Authority Service.
Isass is een Optix pro virus.

Dus Isass met een I van Internet is een virus en lsass met een l van lachuh is iets gewoons.

http://www.hardware.info/forum/viewtopic.php?p=626518

[ Voor 13% gewijzigd door FlashBang op 06-11-2004 21:39 ]

[FlipFluitketel]

@Hornage:
Volgende zooi kan weg:

code:

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.heretofind.com/show.php?id=18&q=%s
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = mk:@MSITStore:C:\spe\start.chm::/start.html#
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = mk:@MSITStore:C:\spe\start.chm::/start.html#
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.heretofind.com/show.php?id=18&q=%s
O13 - DefaultPrefix: http://www.heretofind.com/show.php?id=18&q=
O13 - WWW Prefix: http://www.heretofind.com/show.php?id=18&q=
O13 - Home Prefix: http://www.heretofind.com/show.php?id=18&q=
O13 - Mosaic Prefix: http://www.heretofind.com/show.php?id=18&q=
O13 - Gopher Prefix: http://www.heretofind.com/show.php?id=18&q=

Verwijder die Spyhunter ook maar (gewoon via start, configuratiescherm, software (whatever de naam is)). Ik las op diverse forums dat dat programma zelf ook spyware installeert.

[ Voor 14% gewijzigd door FlipFluitketel op 07-11-2004 09:29 ]

[hornage]

tnx FlipFluitketel, maar dit heb ik al vaak genoeg gedaan maar als ik daarna IE opstartte en naar een site ging kwamen deze regels gewoon weer terug zoals ik al vermelde in mijn post.
Komt waarschijnlijk door lsass.exe zoals bovenstaanden al doorhadden.

[FlipFluitketel]

hornage schreef op 07 november 2004 @ 13:39:
tnx FlipFluitketel, maar dit heb ik al vaak genoeg gedaan maar als ik daarna IE opstartte en naar een site ging kwamen deze regels gewoon weer terug zoals ik al vermelde in mijn post.
Komt waarschijnlijk door lsass.exe zoals bovenstaanden al doorhadden.

Dat het door lsass.exe komt lijkt me dus ook niet. Dat is (zoals hierboven ook al staat) een systeemproces.

Welke versie van Ad-Aware gebruik je? 6.0 of SE? Als je 6.0 gebruikt, download dan maar eens SE.
Draai ook CWShredder eens.

edit:
Ik zie nu dus ook dat je een verouderde versie van HijackThis gebruikt. Download even de nieuwste versie. Die vindt nl. nog wat meer rommel dan de oude versie (of het bij jou ook het geval is weet ik niet.)

[ Voor 19% gewijzigd door FlipFluitketel op 07-11-2004 13:59 ]

[Zephyer]

Spy Doctor haalt 3x zoveel weg (wat ook weg kan) dan Lavasoft ...

[bolke]

Zephyer schreef op 10 november 2004 @ 07:35:
Spy Doctor haalt 3x zoveel weg (wat ook weg kan) dan Lavasoft ...

En als je daarna SpySweeper eroverheen haalt schrik je weer
En als je na spysweeper ook nog eens PestPatrol draait schrik je weer.

Je kan niet zonder een antispy ware prog. Maar gebruik er altijd meer dan 1.

Er zijn de laatste tijd veel reviews geweest van de progs. Dus kijk even rond welke je wilt gaan gebruiken.