hardnekkige spyware verwijderen

[AtlonXP1800]

Ik heb last van een stukje hardnekkige spyware, waarschijnlij doordat iemand op mijn pc op de verkeerde plaats op "yes" heeft gedrukt.

Bij vrijwel elke pagina krijg ik een reclame popup, wat behoorlijk irritant is...

Nu heb ik al Spybot Search&destroy, spysweeper en adaware gedraait, maar die vinden niet veel meer dan trecking cookies (heb het zelfs nog in veilige modus geporobeert)

met hijackthis krijg ik de volgende lijsten te zien:

code:

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
c:\apache2\bin\apache.exe
C:\Program Files\Network Associates\Common Framework\FrameworkService.exe
C:\Program Files\Network Associates\VirusScan\Mcshield.exe
C:\Program Files\Network Associates\VirusScan\VsTskMgr.exe
C:\PROGRA~1\NETWOR~1\COMMON~1\naPrdMgr.exe
C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe
C:\apache2\mysql\bin\mysqld.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\apache2\mail\bin\XMail.exe
C:\apache2\bin\apache.exe
C:\Program Files\Sophos Enterprise Manager\Library\bin\smsgsrv.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\apache2\ftp\SlimFTPd.exe
C:\Program Files\Sophos Enterprise Manager\Library\bin\schdsrvc.exe
C:\Program Files\Sophos Enterprise Manager\Library\bin\rptsrv.exe
C:\Program Files\Motherboard Monitor 5\MBM5.EXE
C:\Program Files\D-Tools\daemon.exe
C:\Program Files\Network Associates\VirusScan\SHSTAT.EXE
C:\Program Files\Network Associates\Common Framework\UpdaterUI.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\Program Files\Pulse\Pulse.exe
C:\Program Files\WorkPace 3.0\workpace.exe
C:\Program Files\Messenger\msmsgs.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Webroot\Spy Sweeper\SpySweeper.exe
C:\Program Files\MailWasher Pro\MailWasher.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\PROGRA~1\WINZIP\winzip32.exe
C:\Documents and Settings\Erik\Local Settings\Temp\HijackThis.exe

het meeste hiervan lijkt mij normaal, behalve:
C:\PROGRA~1\NETWOR~1\COMMON~1\naPrdMgr.exe
Iemand enig idee wat dit is?

verder heb ik nog:

code:

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.tweakers.net
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.tweakers.net
O2 - BHO: (no name) - {00320615-B6C2-40A6-8F99-F1C52D674FAD} - C:\WINDOWS\localNRD.dll
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O3 - Toolbar: (no name) - {BA52B914-B692-46c4-B683-905236F6F655} - (no file)
O4 - HKLM\..\Run: [Tweak UI] RUNDLL32.EXE TWEAKUI.CPL,TweakMeUp
O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\UpdReg.EXE
O4 - HKLM\..\Run: [Jet Detection] "C:\Program Files\Creative\SBLive\PROGRAM\ADGJDet.exe"
O4 - HKLM\..\Run: [MBM 5] "C:\Program Files\Motherboard Monitor 5\MBM5.EXE"
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Program Files\D-Tools\daemon.exe"  -lang 1033
O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\system32\PSDrvCheck.exe -CheckReg
O4 - HKLM\..\Run: [ShStatEXE] "C:\Program Files\Network Associates\VirusScan\SHSTAT.EXE" /STANDALONE
O4 - HKLM\..\Run: [McAfeeUpdaterUI] "C:\Program Files\Network Associates\Common Framework\UpdaterUI.exe" /StartedFromRunKey
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [VirtualDesktop] "C:\Program Files\Tweak-XP Pro 3\virtuald.exe"
O4 - HKCU\..\Run: [Pulse] C:\Program Files\Pulse\Pulse.exe -splash
O4 - HKCU\..\Run: [WorkPace 3.0] "C:\Program Files\WorkPace 3.0\workpace.exe"
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O8 - Extra context menu item: Download with GetRight - C:\Program Files\GetRight\GRdownload.htm
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Open with GetRight Browser - C:\Program Files\GetRight\GRbrowse.htm
O9 - Extra 'Tools' menuitem: Sun Java Console (HKLM)
O9 - Extra button: Onderzoek (HKLM)
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Windows Messenger (HKLM)
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/shockwave/cabs/director/sw.cab
O16 - DPF: {26CBF141-7D0F-46E1-AA06-718958B6E4D2} - http://download.ebay.com/turbo_lister/NL/install.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1092649680737
O16 - DPF: {745395C8-D0E1-4227-8586-624CA9A10A8D} - http://webcam.pcextreme.nl/activex/AMC.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?38172.103587963
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://active.macromedia.com/flash4/cabs/swflash.cab

ziet iemand hier nog iets tussen wat er niet tussen hoort?

offtopic:
excuses voor het vernaaien van de layout

[ Voor 3% gewijzigd door AtlonXP1800 op 21-11-2004 19:19 ]

[Br@m]

Gooi je log even door deze analyzer: http://www.hijackthis.de

Dan weet jezelf al een beetje wat goed/fout is

[AtlonXP1800]

hey, dat is wel ff een hele handige pagina.

dit zou de boosdoener kunnen zijn:

Entries found in this registry zone are potentially nasty. This application ([BA52B914-B692-46c4-B683-905236F6F655] - Result: BA52B914-B692-46c4-B683-905236F6F655) has been checked. If the name is made up of random letters, found in the folder 'Application Data' and the kind is 'Unknown' , it should be fixed. Hit rate: 99 %

[Verwijderd]

hoi,
Had ik ook...niets hielp TOTDAT:

Proggie dat je 30 dagen gratis kan gebruiken...deze verwijdert hem perfect:

https://www.intermute.com/(SPYSUBTRACT)

Komt ook als mogelijkheid naar voren bij saveguard of zo...

Dus even de juiste site zoeken, draaien, en je bent er vanaf!

groenten!

[AzzKickah]

http://www.liutilities.co.../processlibrary/naprdmgr/

Misschien daar iets aan?

[Pendaco]

de veroorzaker is die localnrd.dll

code:

 O2 - BHO: (no name) - {00320615-B6C2-40A6-8F99-F1C52D674FAD} - C:\WINDOWS\localNRD.dll

lees er ook meer over hier

kan er ook nog uit

code:

O3 - Toolbar: (no name) - {BA52B914-B692-46c4-B683-905236F6F655} - (no file)

[AtlonXP1800]

bovengenoemde items heb ik weggehaald, en de popups zijn weg
de analyzer die Br@m noemt is erg handig icm hijack this, mischien iets om op te nemen in de faq? (waar het progje zelf wel in staat, maar de analyzer dus iet)