[adware] blijft downloaden, hjthis en spybot geprobeerd

[marcovtwout]

Gooi aub dit topic niet gelijk dicht want elke keer als ik een update wil posten is ie weer gesloten

Ik heb de regels gelezen ja en opgevolgd (zoals ik al eerder deed maar niet alles in mn post vermeldde)

Het probleem is dat er al iets van 70 MB gedownload is door een virus. Ik weet niet waar het gelaten wordt, maar ik wordt er nogal gek van.

Hijackthis geeft geen resultaat. Spybod S&D gedownload en gerunt, opgeruimd, maar elke keer komt 'DSO Exploit' terug. Toch denk ik niet dat dit het is.

Op google gezocht maar de resultaten lijken niet te slaan op het virus wat ik nu heb.
Ook hier gezocht maar dat slaat ook weer op iets anders.

Als ik netstat doe zie ik een wachtende poort naar hard-virgins.com
Start ik firefox openen er meer verbindingen.
FF opnieuw installeren had ook geen zin..

[ietsmetmaagden].com blijft hardnekkig staan en ik krijg het maar niet weg.

[ Voor 2% gewijzigd door Verwijderd op 28-10-2004 11:14 ]

[Guardian Angel]

Hier wat tussen? Lijkt me wel.

http://groups.google.nl/g...=&newwindow=1&sa=N&tab=ig

[marcovtwout]

ik geloof niet dat dat het is, ook hier op GoT staat daar iets over.
Hoe dan ook, ik download nu ff spyware blaster, eens kijken wat het wordt.

**
gedownload en beveiliging aan, verbinding bestaat nog steeds..
ik dacht dat je een soort log kon maken met dit progje net als hijackthis.

**
ff in het register gezocht op [ietsmetmaagden].com, stuk of duizend 'mappen' met dat soort vage sites.

[ Voor 53% gewijzigd door Verwijderd op 28-10-2004 11:14 ]

[alt-92]

In je vorige topic is gevraagd of je wilde kijken WELK verkeer het was.

netstat zegt hierbij niks, je wil echt een sniffer gebruiken.
Zo'n beetje elke normale firewall kan je al vertellen welke app (dll of exe) er met alle geweld naar buiten wil.

Ook heb je nog steeds onnodige netwerk services geinstalleerd staan (simple TCP/IP services bij Windows Add/Remove Components).

Haal die eens lekker weg dan.. als je niet weet wat ze doen, waarom installeren?

[Verwijderd]

Je zegt dat je HT hebt geprobeerd, maar nog steeds blijkt nergens uit dat je Beveiliging en Virussen - Nieuw topic starten (helemaal) doorgewerkt hebt.

Dus post je HT log eens, waarbij je aangeeft welke entries jij verdacht vindt.
HT an sich doet uit zijn eigen helemaal niets namelijk.

Vooralsnog lijkt me dit eerder om advware te gaan dan om een virus.

En laat die url aub in het vervolg achterwege, dat het maagden zijn geloven we wel.

[Verwijderd]

hitmanpro.nl

[marcovtwout]

nou, hier is mn hjt log:

code:

Logfile of HijackThis v1.97.7
Scan saved at 16:37:28, on 28-10-2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\WindowBlinds\wbload.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
C:\Apps\ActivBoard\nhksrv.exe
C:\Apache2\bin\Apache.exe
C:\WINDOWS\System32\drivers\CDAC11BA.EXE
C:\Apache2\bin\Apache.exe
C:\WINDOWS\system32\drivers\KodakCCS.exe
C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe
C:\mysql\bin\mysqld.exe
C:\Program Files\Norton SystemWorks\Norton AntiVirus\navapsvc.exe
C:\Program Files\Norton SystemWorks\Norton Utilities\NPROTECT.EXE
C:\WINDOWS\System32\ScsiAccess.EXE
C:\Program Files\3dsMax\Brazil\sfmgr\sfmgr.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\System32\snmp.exe
C:\PROGRA~1\NORTON~1\SPEEDD~1\nopdb.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\UPHClean\uphclean.exe
C:\Program Files\Virtual CD v4 SDK\system\vcssecs.exe
C:\Program Files\Virtual CD v4 SDK\system\vcsplay.exe
C:\Program Files\ScanSoft OmniPageSE\opware32.exe
C:\Program Files\Common Files\Logitech\QCDriver\LVCOMS.EXE
C:\Program Files\Messenger Plus\MsgPlus.exe
C:\Program Files\Java\j2re1.4.2_05\bin\jusched.exe
C:\Program Files\DU Meter\DUMeter.exe
C:\Program Files\Common Files\Symantec Shared\ccApp.exe
C:\Program Files\NetLimiter\NetLimiter.exe
C:\Program Files\Logitech\MouseWare\system\em_exec.exe
C:\Program Files\CursorXP\CursorXP.exe
C:\WINDOWS\System32\ctfmon.exe
C:\WINDOWS\System32\cmd.exe
C:\Program Files\Spybot\SpybotSD.exe
C:\WINDOWS\regedit.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\System32\sysocmgr.exe
C:\Program Files\Spyware Trackers\hijackthis.exe
\?\C:\WINDOWS\system32\WBEM\WMIADAP.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://localhost/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\Spybot\SDHelper.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton SystemWorks\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [LVCOMS] C:\Program Files\Common Files\Logitech\QCDriver\LVCOMS.EXE
O4 - HKLM\..\Run: [MessengerPlus3] "C:\Program Files\Messenger Plus\MsgPlus.exe"
O4 - HKLM\..\Run: [MOD] C:\Program Files\Microangelo\muamgr.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Program Files\Java\j2re1.4.2_05\bin\jusched.exe
O4 - HKLM\..\Run: [DU Meter] C:\Program Files\DU Meter\DUMeter.exe
O4 - HKLM\..\Run: [BootSkin Startup Jobs] "C:\Program Files\BootSkin\BootSkin.exe" /StartupJobs
O4 - HKLM\..\Run: [NetLimiter] C:\Program Files\NetLimiter\NetLimiter.exe /s
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MessengerPlus3] "C:\Program Files\Messenger Plus\MsgPlus.exe" /WinStart
O4 - HKCU\..\Run: [Update Service] C:\PROGRA~1\COMMON~1\TEKNUM~1\update.exe /startup
O4 - HKLM\..\RunOnce: [WIAWizardMenu] RUNDLL32.EXE C:\WINDOWS\System32\sti_ci.dll,WiaCreateWizardMenu
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Sothink SWF Catcher - C:\Program Files\Common Files\SourceTec\SWF Catcher\InternetExplorer.htm
O9 - Extra button: Run WinHTTrack (HKLM)
O9 - Extra 'Tools' menuitem: Launch WinHTTrack (HKLM)
O9 - Extra button: Research (HKLM)
O9 - Extra button: Sothink SWF Catcher (HKLM)
O9 - Extra 'Tools' menuitem: Sothink SWF Catcher (HKLM)
O16 - DPF: {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B} (QuickTime Object) - http://www.apple.com/qtactivex/qtplugin.cab
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://fpdownload.macromedia.com/get/shockwave/cabs/director/sw.cab
O16 - DPF: {31150A86-0BBA-409F-BEB4-F3922D10BF34} (Gif89 Class) - http://www.hideaway.me.uk/xplug.ocx

Zoals ik al zei vind ik hier niks verdacht.
Die laatste plugin is om een internetcamera van een vriend te bekijken, maar dat doe ik toch nooit meer dus ik gooi em voor de zekerheid maar weg.

Ik dacht dat ik em al had maar ik ga nu die sniffer halen.

**Ethereal net gescant, snap daar niet veel van..
Ik geloof ook niet dat de onzachte maagden nog aan het downloaden zijn, maar er is nog wel verbinding zo te zien.
Ondertussen nog wat andere progjes gedownload, verbinding lijkt bij elk programma te komen, IE, FF, zelfs 3ds max

Nog ideeen hoe ik die verbinding weg kan krijgen?

[ Voor 8% gewijzigd door marcovtwout op 28-10-2004 19:11 ]

[marcovtwout]

Nou Hitman Pro gedraaid, Spy Weeper was volgens mij ook erg handig en volgens mij is ie nu weg
Bedankt!

[Noork]

marcovtwout schreef op 28 oktober 2004 @ 20:30:
Nou Hitman Pro gedraaid, Spy Weeper was volgens mij ook erg handig en volgens mij is ie nu weg
Bedankt!

Tja, tot over een paar weekjes dan. Net als de vorige keer

Ik zou maar even wat service packs e.d. installeren.

[marcovtwout]

Ach de vorige keer was het niks, dit was echt hardnekkige zooi.
Ik heb een tijdje terug SP2 op cd besteld, nog niks van gehoord...