paypopup.com popunders :(

[ScuL]

Ik weet niet waar ik het opgelopen maar ik word er echt helemaal gek van.

Ik gebruik geen IE meer, alleen voor de Postbank site. Verder alles in Firefox.
Toch krijg ik om de 10 minuten een 'pop-under' scherm.. Heel snel schiet er een naam voorbij maar het is me gelukt om te zien wat er nou stond. Dat was dus paypopup.com. Ik heb me daar nooit voor opgegeven ofzo dus hoe het er komt is een raadsel.

Om het op te lossen heb ik alle cache & cookies van zowel IE als FireFox weggegooid, ik heb Ad-Aware SE gedraaid, Norton AV2004 draait permanent. Ik heb Spybot Search & Destroy gedraaid. Ad-Aware en Spybot vonden wel wat items maar die heb ik weggehaald en de pop-unders komen nog steeds terwijl ze nu niks meer kunnen vinden.

Hier is mijn log van HijackThis maar ook daar kan ik geen rariteiten in vinden:

Logfile of HijackThis v1.97.7
Scan saved at 15:36:26, on 29-9-2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program\Delade filer\Symantec Shared\ccSetMgr.exe
C:\Program\Delade filer\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\winmgnt.exe
C:\WINDOWS\system32\SSMS.EXE
C:\Program\Delade filer\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\system32\LSSAS.EXE
C:\Program\Tools\Norton AntiVirus\navapsvc.exe
C:\WINDOWS\system32\altsvc.exe
C:\WINDOWS\system32\lssas.exe
C:\WINDOWS\system32\service.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\system32\msthost.exe
C:\WINDOWS\Explorer.EXE
C:\Program\Tools\Norton AntiVirus\SAVScan.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\RunDll32.exe
C:\Program\Delade filer\Symantec Shared\ccApp.exe
C:\Program\Microsoft Hardware\Mouse\point32.exe
C:\Program\Tools\EPOX\USDM\USDM.EXE
C:\Program\Tools\D-Tools\daemon.exe
C:\Program\Delade filer\Real\Update_OB\realsched.exe
C:\Program\QuickTime\qttask.exe
C:\WINDOWS\iexplore.exe
C:\Program\Tools\Xfire\Xfire.exe
C:\Program\Internet Explorer\iexplore.exe
C:\Program\Outlook Express\MSIMN.EXE
C:\PROGRAM\MOZILL~1\FIREFOX.EXE
X:\HijackThis.exe
C:\Program\Messenger\msmsgs.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Länkar
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program\Tools\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program\Tools\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program\Tools\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [HGTXPEI] C:\WINDOWS\System32\FirstReboot.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [SoundFusion] RunDll32 hercplgs.cpl,BootEntryPoint
O4 - HKLM\..\Run: [ccApp] "C:\Program\Delade filer\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [POINTER] point32.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Synchronization Manager] %SystemRoot%\system32\mobsync.exe /logon
O4 - HKLM\..\Run: [EPoXUSDM] "C:\Program\Tools\EPOX\USDM\USDM.EXE" "5000"
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Program\Tools\D-Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [TkBellExe] "C:\Program\Delade filer\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [SSC_UserPrompt] C:\Program\Delade filer\Symantec Shared\Security Center\UsrPrmpt.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [Explorer] C:\WINDOWS\iexplore.exe
O4 - Startup: Xfire.lnk = C:\Program\Tools\Xfire\Xfire.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program\Microsoft Office\Office10\OSA.EXE
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: Download with GetRight - C:\Program\Internet\GetRight\GRdownload.htm
O8 - Extra context menu item: E&xportera till Microsoft Excel - res://C:\Program\MICROS~3\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Open with GetRight Browser - C:\Program\Internet\GetRight\GRbrowse.htm
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Messenger (HKLM)
O10 - Broken Internet access because of LSP provider 'xfire_lsp_8742.dll' missing
O16 - DPF: {003FADA5-8FEE-11D6-AFB7-0004768F6183} (CryptoRSA Control) - https://www.p3.postbank.nl/sesam/CAX.cab
O16 - DPF: {018A066F-584A-422F-AC4C-0B1F5FE5C040} (VacPro.olanda_ver3) - http://www.advnt01.com/dialer/olanda_ver3.CAB
O16 - DPF: {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B} (QuickTime Object) - http://www.apple.com/qtactivex/qtplugin.cab
O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} (RdxIE Class) - http://software-dl.real.c...f2c21/netzip/RdxIE601.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.m...eb_site.cab?1088860559558
O16 - DPF: {70BA88C8-DAE8-4CE9-92BB-979C4A75F53B} (GSDACtl Class) - http://launch.gamespyarcade.com/software/launch/alaunch.cab
O16 - DPF: {917623D1-D8E5-11D2-BE8B-00104B06BDE3} (CamImage Class) - http://195.18.69.102/activex/AxisCamControl.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} - http://v4.windowsupdate.m...ode/iuctl.CAB?38182.64125
O16 - DPF: {A16C2BF4-501E-45FA-8A14-F26E022D5E16} (MidRadioCtrl Class) - http://adweb.music-eclub....%2Fmrinste.cab&ptx=mratdl
O16 - DPF: {D1E7CBDA-E60E-4970-A01C-37301EF7BF98} (Measurement Service Client v.3.4) - http://ccon.futuremark.com/global/msc34.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedi...ve/cabs/flash/swflash.cab
O16 - DPF: {DE591B16-A452-11D6-AED1-0001030A4E46} (PBGNX Control) - https://gto.postbank.nl/GTO/PBGNX.cab
O16 - DPF: {FCF289D4-0AC8-4ED8-BE31-E8AF09606AB5} (download_35mb_com.applet) - http://www.35mb.com/downloadapplet.cab
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = m0rph.net
O17 - HKLM\Software\..\Telephony: DomainName = m0rph.net
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = m0rph.net
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = m0rph.net

m0rph.net die als laatste staat is het domein van mijn LAN. Verder kun je wat rariteiten tegenkomen zoals C:\Program maar dat komt door mijn Zweedse versie van XP.

[ Voor 3% gewijzigd door ScuL op 29-09-2004 15:42 ]

[wildhagen]

code:

O4 - HKLM\..\Run: [Explorer] C:\WINDOWS\iexplore.exe

Da's een virus of andere malware, haal maar ens door de Jotti-scan: http://virusscan.jotti.dhs.org

code:

O16 - DPF: {018A066F-584A-422F-AC4C-0B1F5FE5C040} (VacPro.olanda_ver3) - http://www.advnt01.com/dialer/olanda_ver3.CAB

Die mag wel weg, lijkt me zo...

[GieltjE]

O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = m0rph.net
O17 - HKLM\Software\..\Telephony: DomainName = m0rph.net
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = m0rph.net
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: Domain = m0rph.net

Lijkt mij ook niet echt schoon... m0rph.net komt hier op niks uit.

Lama, na toevoeging van Topicstarter niet meer van toepassing

[ Voor 15% gewijzigd door GieltjE op 29-09-2004 15:44 ]

[ScuL]

@Wildhagen, de Jotti-scan geeft gewoon: Status OK in het groen.... Lijkt me dat ie dus niks vind

ik heb deze 3 er nu uitgeknikkerd

O4 - HKLM\..\Run: [Explorer] C:\WINDOWS\iexplore.exe
O16 - DPF: {A16C2BF4-501E-45FA-8A14-F26E022D5E16} (MidRadioCtrl Class) - http://adweb.music-eclub....%2Fmrinste.cab&ptx=mratdl
O16 - DPF: {018A066F-584A-422F-AC4C-0B1F5FE5C040} (VacPro.olanda_ver3) - http://www.advnt01.com/dialer/olanda_ver3.CAB

kijken of het wegblijft

[ Voor 69% gewijzigd door ScuL op 29-09-2004 15:55 ]

[Verwijderd]

Ga naar http://www.hijackthis.de/
Plak daar de inhoud van je hijackthis.log in het venster en klik op "Analyze".

Je zult zien dat er toch wat meer mis is met je systeem. Onder andere staan er
2 wormen op: Sober en Gizmo-A.

Verwijder tools of instructies kun je hier vinden:
http://securityresponse.s...2.sober.removal.tool.html
http://www.sophos.de/virusinfo/analyses/w32gismoa.html

[ScuL]

djeez. dat WinMgnt.exe is ook niet echt vriendelijk trouwens
http://www.pestpatrol.com/PestInfo/w/winmgnt.asp

zegt jullie
altsvc.exe
en
msthost.exe
iets?

kan ze niet vinden op Pestpatrol

[ Voor 29% gewijzigd door ScuL op 29-09-2004 16:26 ]

[ScuL]

Het lijkt erop dat die 2 bij LSSAS hoorden.. heb alles net in veilige modus verwijderd dus ik hoop dat ik nu clean ben

-edit-
niet te vroeg juichen
service.exe is ook een worm
http://www.liutilities.co...o/processlibrary/service/

[ Voor 36% gewijzigd door ScuL op 29-09-2004 17:07 ]

[Jozz]

Op deze site: http://www.hijackthis.de/index.php?langselect=english kan je je Hijackthis log copy/pasten. Vervolgens kijkt die site naar verdachte zaken. Ik gebruik het zelf regelmatig als ik bij iemand een spyware pc moet fixen.

[ScuL]

Die link was al gegeven maar dan in het Duits (nu heb ik daar geen problemen mee) ..
btw de popunders zijn verdwenen dus ik ben weer clean

[Verwijderd]

Wat is Norton toch een mooi programma