hardnekkige spyware: paypopup.com?

[Demandela]

ik heb last van een zeer hardnekkige spyware/adware!!

er komt steeds als ik IE opstart een blauwebalk onder in beeld met casio, martages, travel enz... enz...

ik heb gescanned met adaware en spybot alles verwijderd, ook de account van mijn broer gescaned alles verwijderd, en toch blijft het terug komen!

verder heb ik gezocht of er hier over wat te vinden is, maar ben (nog) niets tegen gekomen!

nu heb ik met hijackthis gescaned en misschien dat jullie iets kunnen vinden!

thnx alvast

hier is mijn hijacklog

Logfile of HijackThis v1.97.7
Scan saved at 22:40:31, on 10-9-2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\TGTSoft\StyleXP\StyleXPService.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\PROGRA~1\Serv-U\ServUDaemon.exe
C:\WINDOWS\System32\svchost.exe
*1*C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\CTHELPER.EXE
C:\Program Files\Common Files\Logitech\QCDriver3\LVCOMS.EXE
C:\Program Files\HighCriteria\TotalRecorder\TotRecSched.exe
C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe
C:\WINDOWS\Mixer.exe
C:\Program Files\Messenger Plus! 3\MsgPlus.exe
C:\WINDOWS\Twain_32\FlatBed\HotKey.exe
C:\Program Files\Winamp\winampa.exe
*2*C:\WINDOWS\iexplore.exe
C:\Program Files\Serv-U\ServUTray.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\Documents and Settings\Stefan\Desktop\HijackThis.exe
*2*C:\Program Files\Internet Explorer\iexplore.exe
*2*c:\progra~1\intern~1\iexplore.exe

R1 - HKCU\Software\Microsoft\Internet Explorer,SearchURL = www.google.com
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.zkpszkdwouljbf...6CuY1eQbRRI9HWv3ozcQ.html
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {2E65A557-173C-4DE9-860B-28FC5CACA542} - C:\DOCUME~1\ALLUSE~1\APPLIC~1\Setup\Setup.dll
O2 - BHO: (no name) - {44FD0AF8-9D30-4E96-8ECE-306446B5E0D3} - C:\WINDOWS\DOWNLO~1\iEBINST2.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: (no name) - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar2.dll
O2 - BHO: (no name) - {C10D80AB-6023-DAFC-B2B2-BD2714E710A1} - C:\PROGRA~1\BLUERE~1\license creative.exe
O2 - BHO: (no name) - {E5A1691B-D188-4419-AD02-90002030B8EE} - C:\PROGRA~1\FLASHF~1.0\IEFlash.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar2.dll
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [WINDVDPatch] CTHELPER.EXE
O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\UpdReg.EXE
O4 - HKLM\..\Run: [Jet Detection] "C:\Program Files\Creative\SBLive\PROGRAM\ADGJDet.exe"
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [LVCOMS] C:\Program Files\Common Files\Logitech\QCDriver3\LVCOMS.EXE
O4 - HKLM\..\Run: [LogitechGalleryRepair] C:\Program Files\Logitech\ImageStudio\ISStart.exe
O4 - HKLM\..\Run: [LogitechImageStudioTray] C:\Program Files\Logitech\ImageStudio\LogiTray.exe
O4 - HKLM\..\Run: [TotalRecorderScheduler] "C:\Program Files\HighCriteria\TotalRecorder\TotRecSched.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\j2re1.4.2_03\bin\jusched.exe
O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup
O4 - HKLM\..\Run: [MessengerPlus3] "C:\Program Files\Messenger Plus! 3\MsgPlus.exe"
O4 - HKLM\..\Run: [HotKey] C:\WINDOWS\Twain_32\FlatBed\HotKey.exe
O4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exe
*O4 - HKLM\..\Run: [aimphone] C:\PROGRA~1\ONLINE~2\Shim Bleh.exe
O4 - HKLM\..\Run: [STOPzilla] "C:\Program Files\STOPzilla!\Stopzilla.exe" /autorun
*O4 - HKLM\..\Run: [Explorer] C:\WINDOWS\iexplore.exe
O4 - HKCU\..\Run: [ServUTrayIcon] C:\Program Files\Serv-U\ServUTray.exe
O4 - HKCU\..\Run: [MessengerPlus3] "C:\Program Files\Messenger Plus! 3\MsgPlus.exe" /WinStart
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: &Google Search - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: Backward &Links - res://C:\Program Files\Google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Cac&hed Snapshot of Page - res://C:\Program Files\Google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Si&milar Pages - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsimilar.html
O9 - Extra 'Tools' menuitem: Sun Java Console (HKLM)
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Windows Messenger (HKLM)
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab28578.cab
O16 - DPF: {10000000-1000-0000-1000-000000000000} - file://C:\Program Files\Internet Explorer\setup.exe
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedi...e/cabs/director/swdir.cab
O16 - DPF: {26A1C35E-E2E5-11D3-8E92-006097AF470D} (NATMenu Control) - file://C:\DOCUME~1\Stefan\LOCALS~1\Temp\NATMenu.ocx
O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab
O16 - DPF: {3376F408-56A4-11D2-8151-0060080BE220} (NATOptionsFrame) - file://C:\DOCUME~1\Stefan\LOCALS~1\Temp\NATOptionsFrame.ocx
*O16 - DPF: {44FD0AF8-9D30-4E96-8ECE-306446B5E0D3} (No description) - http://naupoint.com/toolbar/installer/iEBINST2.cab
O16 - DPF: {4980E716-1E2F-11D2-A7E4-006097AF4716} (NATTree) - file://C:\DOCUME~1\Stefan\LOCALS~1\Temp\NATTree.ocx
O16 - DPF: {74D8C2AC-195E-4F9F-9F5F-D769EC028A6A} (NATImage Control) - file://C:\DOCUME~1\Stefan\LOCALS~1\Temp\NATImage.ocx
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.../MessengerStatsClient.cab
*O16 - DPF: {917623D1-D8E5-11D2-BE8B-00104B06BDE3} (CamImage Class) - http://195.18.69.102/activex/AxisCamControl.cab
O16 - DPF: {A792BC36-6B4E-11D3-97B1-00500460FA55} (NATGrid) - file://C:\DOCUME~1\Stefan\LOCALS~1\Temp\NATGrid.ocx
O16 - DPF: {B3106D38-576C-11D2-8152-0060080BE220} (NATCombo) - file://C:\DOCUME~1\Stefan\LOCALS~1\Temp\NATCombo.ocx
O16 - DPF: {B37CB5B8-47BB-11D2-8143-0060080BE220} (NATLabel ) - file://C:\DOCUME~1\Stefan\LOCALS~1\Temp\NATLabel.ocx
O16 - DPF: {BBFCD4F9-48B2-11D2-8144-0060080BE220} (NATButton ) - file://C:\DOCUME~1\Stefan\LOCALS~1\Temp\NATButton.ocx
O16 - DPF: {CA034DCC-A580-4333-B52F-15F98C42E04C} (Downloader Class) - http://www.stopzilla.com/_download/Auto_Installer/dwnldr.cab
O16 - DPF: {CE69F98F-2AF3-4306-BAC6-A79070EDA1B4} (Zylom Loader Object) - http://game16.zylomgames.com/activex/zylomloader.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedi...ve/cabs/flash/swflash.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540001} - http://download.macromedi...ve/cabs/flash/swflash.cab
O16 - DPF: {E405D754-D95B-11D3-A7D9-00500460F97E} (NATDocEditor Control) - file://C:\DOCUME~1\Stefan\LOCALS~1\Temp\NATDocEditor.ocx
O16 - DPF: {FCF289D4-0AC8-4ED8-BE31-E8AF09606AB5} (download_35mb_com.applet) - http://www.35mb.com/downloadapplet.cab

*1* hoort deze niet in system 32 te staan?
*2* wat doet ie in de windows map?? en ik heb geen IE aan staan op het moment dat ik scan! dus wat is dat proces?


hopen dat het mij nu wel een keer gelukt is om een topic langer dan 2 minuten open te laten

[Spider.007]

Ik denk dat je

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant

ook niet bewust hebt geinstalleerd. Herken je onderstaande vermelding wel?

O2 - BHO: (no name) - {C10D80AB-6023-DAFC-B2B2-BD2714E710A1} - C:\PROGRA~1\BLUERE~1\license creative.exe

[Demandela]

ja idd die eerste heb ik idd over het hoofd gezien!

2 herken ik niet lijkt mij ook niet dat het iets van creative is, aangezien het in de map 'program files/blue ref' staat

zou ik die shit igewoon kunnen weggooien?

[Strikie]

probeer deze uninstaller eens: http://www.clickspring.net/CsUninstaller.exe

[Demandela]

GreenthumB schreef op 10 september 2004 @ 23:12:
probeer deze uninstaller eens: http://www.clickspring.net/CsUninstaller.exe

haalt niet veel uit

thnx anyway

[ Voor 4% gewijzigd door Demandela op 10-09-2004 23:15 ]

[Spider.007]

GreenthumB schreef op 10 september 2004 @ 23:12:
probeer deze uninstaller eens: http://www.clickspring.net/CsUninstaller.exe

Mag ik vragen naar wat voor executable je de topicstarter precies verwijst? Wat zou deze cryptisch benoemde file precies moeten verwijderen waar de TS mee geholpen zou zijn?

[Strikie]

Spider.007 schreef op 10 september 2004 @ 23:16:
[...]


Mag ik vragen naar wat voor executable je de topicstarter precies verwijst? Wat zou deze cryptisch benoemde file precies moeten verwijderen waar de TS mee geholpen zou zijn?

paypopup.com zou die weg moeten halen, via google kwam ik een topic tegen met een user met hetzelfde probleem.
Die kreeg na 4 onbruikbare tips deze link en weg was paypopup.

Aangezien ik er zelf geen last van heb kon ik het niet testen.
De persoon in kwestie was erg dankbaar dus dat moest wel goed zitten....

[Demandela]

dit is de balk die ik heb:

http://members.chello.nl/t.vernooy/screen.jpg


wie weet brengt dit meer verduidelijking

[FlipFluitketel]

C:\WINDOWS\iexplore.exe

Hoort inderdaad niet daar te staan, is dus zeer waarschijnlijk rotzooi.

Volgende zooi kan weg:

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.zkpszkdwouljbf...6CuY1eQbRRI9HWv3ozcQ.html
O2 - BHO: (no name) - {2E65A557-173C-4DE9-860B-28FC5CACA542} - C:\DOCUME~1\ALLUSE~1\APPLIC~1\Setup\Setup.dll
O2 - BHO: (no name) - {44FD0AF8-9D30-4E96-8ECE-306446B5E0D3} - C:\WINDOWS\DOWNLO~1\iEBINST2.dll
O2 - BHO: (no name) - {C10D80AB-6023-DAFC-B2B2-BD2714E710A1} - C:\PROGRA~1\BLUERE~1\license creative.exe
O4 - HKLM\..\Run: [aimphone] C:\PROGRA~1\ONLINE~2\Shim Bleh.exe
O4 - HKLM\..\Run: [Explorer] C:\WINDOWS\iexplore.exe
O16 - DPF: {917623D1-D8E5-11D2-BE8B-00104B06BDE3} (CamImage Class) - http://195.18.69.102/activex/AxisCamControl.cab

Deze weet ik niet, als je het niet weet dan ook weg:

O2 - BHO: (no name) - {E5A1691B-D188-4419-AD02-90002030B8EE} - C:\PROGRA~1\FLASHF~1.0\IEFlash.dll
O16 - DPF: {FCF289D4-0AC8-4ED8-BE31-E8AF09606AB5} (download_35mb_com.applet) - http://www.35mb.com/downloadapplet.cab

Al die dingen waar NAT in voorkomt, weet je daar wel van wat het is?
Paar voorbeeldjes:

O16 - DPF: {26A1C35E-E2E5-11D3-8E92-006097AF470D} (NATMenu Control) - file://C:\DOCUME~1\Stefan\LOCALS~1\Temp\NATMenu.ocx
O16 - DPF: {3376F408-56A4-11D2-8151-0060080BE220} (NATOptionsFrame) - file://C:\DOCUME~1\Stefan\LOCALS~1\Temp\NATOptionsFrame.ocx
enz..

[Demandela]

FlipFluitketel schreef op 11 september 2004 @ 09:28:

Al die dingen waar NAT in voorkomt, weet je daar wel van wat het is?

dat is denk ik van een school applet van mij NATschool! ik zal eens op me laptop checken of dat daar ook staat!

thnx