[Trojan] Trojan Horse Dialer

[Verwijderd]

Goedemiddag,

Ik zit al een paar dagen met een probleem, ik krijg die Trojan Horse Dialer maar niet van m'n computer. Meestal lukt het me wel om zoiets van m'n pc af te krijgen maar deze komt steeds maar weer terug. De bestanden die bij de dialer horen en dus steeds weer terug komen zijn dl11.exe, hooks.dll en ldr.exe. Deze bestanden staan op de windows partitie. Het lijkt wel of via een execute bestandje de trojan continu weer terug komt. Het komt altijd terug als ik aan het surfen ben.

Hieronder een logfile:

Logfile of HijackThis v1.97.7
Scan saved at 13:26:35, on 18-10-2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
D:\PROGRA~1\Grisoft\AVG6\avgserv.exe
C:\WINDOWS\System32\CTsvcCDA.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\Program Files\Netropa\Touch Manager\TouchMgr.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\Program Files\Creative\ShareDLL\CtNotify.exe
C:\Program Files\Netropa\Touch Manager\MEDIACTR.EXE
D:\PROGRA~1\Grisoft\AVG6\avgcc32.exe
C:\PROGRA~1\NETROPA\ONSCRE~1\OSD.EXE
C:\Program Files\Creative\ShareDLL\MediaDet.Exe
C:\Program Files\Java\j2re1.4.2_04\bin\jusched.exe
C:\Program Files\Netropa\Touch Manager\MMUSBKB2.EXE
C:\WINDOWS\System32\MsPMSPSv.exe
D:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\WINDOWS\System32\devldr32.exe
D:\Program Files\Spyware Doctor\spydoctor.exe
D:\Program Files\a2\a2guard.exe
D:\Program Files\Microsoft Office\Office\FINDFAST.EXE
D:\Program Files\Microsoft Office\Office\OSA.EXE
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\Internet Explorer\iexplore.exe
D:\Program Files\Winamp\winamp.exe
D:\PROGRA~1\MICROS~1\Office\WINWORD.EXE
D:\Program Files\Adobe\Photoshop 7.0\Photoshop.exe
D:\Program Files\Hijack This\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.nl/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = www.google.com
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [Touch Manager] C:\Program Files\Netropa\Touch Manager\TouchMgr.exe
O4 - HKLM\..\Run: [Disc Detector] C:\Program Files\Creative\ShareDLL\CtNotify.exe
O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\Updreg.exe
O4 - HKLM\..\Run: [AVG_CC] D:\PROGRA~1\Grisoft\AVG6\avgcc32.exe /STARTUP
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\j2re1.4.2_04\bin\jusched.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [ControlPanel] C:\WINDOWS\System32\twink64.exe internat.dll,LoadKeyboardProfile
O4 - HKLM\..\Run: [Zone Labs Client] "D:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKCU\..\Run: [Spyware Doctor] "D:\Program Files\Spyware Doctor\spydoctor.exe" /Q
O4 - HKCU\..\Run: [a²] "D:\Program Files\a2\a2guard.exe"
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Microsoft Office Snelzoeken.lnk = D:\Program Files\Microsoft Office\Office\FINDFAST.EXE
O4 - Global Startup: Office Opstarten.lnk = D:\Program Files\Microsoft Office\Office\OSA.EXE
O9 - Extra 'Tools' menuitem: Sun Java Console (HKLM)
O9 - Extra button: Corel Network monitor worker (HKLM)
O9 - Extra 'Tools' menuitem: Corel Network monitor worker (HKLM)
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Windows Messenger (HKLM)
O9 - Extra button: Corel Network monitor worker (HKCU)
O9 - Extra 'Tools' menuitem: Corel Network monitor worker (HKCU)
O16 - DPF: {003FADA5-8FEE-11D6-AFB7-0004768F6183} (CryptoRSA Control) - https://www.p3.postbank.nl/sesam/CAX.cab
O16 - DPF: {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B} (QuickTime Object) - http://www.apple.com/qtactivex/qtplugin.cab
O16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) - http://messenger.zone.msn...tatsPAClient.cab30149.cab
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://fpdownload.macrome...wave/cabs/director/sw.cab
O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.../MineSweeper.cab30149.cab
O16 - DPF: {33564D57-0000-0010-8000-00AA00389B71} - http://download.microsoft...-94901338C922/wmv9VCM.CAB
O16 - DPF: {62475759-9E84-458E-A1AB-5D2C442ADFDE} - http://a1540.g.akamai.net...in/QuickTimeInstaller.exe
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn...rStatsClient.cab30149.cab
O16 - DPF: {917623D1-D8E5-11D2-BE8B-00104B06BDE3} (CamImage Class) - http://www.nobs.nl/activex/AxisCamControl.ocx
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.m...uctl.CAB?38156.2193055556
O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://messenger.zone.msn.com/binary/ZIntro.cab30149.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedi...ve/cabs/flash/swflash.cab
O16 - DPF: {DE591B16-A452-11D6-AED1-0001030A4E46} (PBGNX Control) - https://gto.postbank.nl/GTO/PBGNX.cab
O16 - DPF: {E6187999-9FEC-46A1-A20F-F4CA977D5643} (ZoneChess Object) - http://messenger.zone.msn.com/binary/Chess.cab30149.cab


Kan iemand mij helpen aub?

[Han]

Installeer SpyBot en kijk wat deze allemaal vind

[Turkish]

Kijk eens met msconfig naar je startup en services en waarschijnlijk staat daar die dialer wel tussen, uitvinken/verwijderen en dan het path verwijderen

[Verwijderd]

Han schreef op 18 oktober 2004 @ 13:43:
Installeer SpyBot en kijk wat deze allemaal vind

Met deze programma's heb ik het al geprobeerd:

- Spybot SD
- HijackThis
- CWShredder
- A2 StartCenter
- Stinger
- Spyware Doctor

Ik denk dat al deze programma's ook niet helpen omdat er ergens in een bepaald bestandje een executeregeltje staat of zo waardoor die trojan geactiveerd wordt.

Wie heeft nog ideeën?

[Caeruleus]

O4 - HKLM\..\Run: [ControlPanel] C:\WINDOWS\System32\twink64.exe

Bovenstaande beloofd weinig goeds. zoek bij google maar eens naar twink64.exe

[Verwijderd]

Turkish schreef op 18 oktober 2004 @ 13:45:
Kijk eens met msconfig naar je startup en services en waarschijnlijk staat daar die dialer wel tussen, uitvinken/verwijderen en dan het path verwijderen

Heej die Turkish,

Ik ben nu m'n msconfig aan het bekijken en zie bij stratup een aagevinkt vinkje waar verder helemaal geen beschrijving staat. Ik neem aan dat dat de trojan zou kunnen zijn. Maar hoe krijg je dat vinkje helemaal weg?

[Turkish]

Als je die wegvinkt, dan start hij de volgende keer iig niet, dan kan je kijken of de trojan wegblijft (als dat het niet is kan je hem dus weer rustig aanzetten), overigens is wat Caeruleus aangeeft ook een goede mogelijkheid

[Verwijderd]

Ik heb met Hijack This die regel met Twink64 verwijderd en bij MSconfig dat vinkje uitgevinkt. De Trojan lijkt niet meer terug te komen.

Bedankt iedereen