bill2000: niet weg te krijgen! :( - Privacy en beveiliging

zaterdag 18 december 2004 00:05

Acties:

Moderator Spielerij

Professioneel boekemantsje

Topicstarter

Ik heb op dit moment een vreselijk irritant sukje adware op mn pc staan, om de zoveel tijd opend er in mijn browser (firefox) een scherm met daarin reclame van een bepaalde website....de inhoud verschilt: porno, moppen, chatrooms, ringtones, "funny pictures"

aan de broncode van de pagina kan ik zien dat ze van www.bill2000.nl maar in de adres balk staat gewoon het adres van de site waar op dat moment reclame voor gemaakt wordt.

ik heb de volgende progs gedraaid.

ad-aware (laatste versie en definities)
spybot (laatste versie en definities)
spysweeper (laatste versie en definities)
spyware doctor (iets verouderde definities omdat je die in de freeware versie niet kunt updaten)

ben zelf ook in het register naar bill2000 gaan zoeken maar niets gevonden.

mijn systeem: win XP pro, SP2 en alle updates. de page opend dus in firefox omdat dat mijn default browser is.

iemand enig id wat ik verder kan doen want het is vreselijk irritant!

edit: ik post nog even een klein stukje van de source van zo'n pagina:

code:

<script language="Javascript">

window.onload=displayd;
function displayd() {
  try{
    document.all.textfield.style.visibility='visible';
  }
  catch(__e){}
}
</script>
<html>
<head>
<title>Professional</title>
<META HTTP-EQUIV="Content-Type" CONTENT="text/html; charset=iso-8859-1">
<script language="Javascript">
function pay_1(){document.location='http://www.bill2000.nl/call.php?oid=4&aid=1&id=124&url=www.bovende-18.nl/pay/access.htm';}
function pay_2(){document.location='http://www.bill2000.nl/call.php?oid=5&aid=1&id=124&url=www.bovende-18.nl/pay/access.htm';}
</script>

hieronder staat dan de code van de pagina opzich.

[ Voor 35% gewijzigd door Chaoss op 18-12-2004 00:36 ]

PSN: Wanderer200 | Switch: Wanderer

zaterdag 18 december 2004 10:02

Acties:

FlipFluitketel

Frontpage Admin

Post je HijackThis log eens en geef zelf aan wat je denkt dat rommel is.

There are only 10 types of people in the world...those who understand binary and those who don't.
Jeremy Clarkson: It’s, um, a mobile phone holder, or as Richard Hammond calls it, a seat!

zaterdag 18 december 2004 10:07

Acties:

hessel

post je http://216.180.233.162/~merijn/index.html (hijackthis) log hier eens mogelijk, kunnen we daar mee bepaalde troep aanwijzen.

Hebben de adware toeltjes wat gevonden.??? of totaal niets. (in veilige modes gescand)

En gebruik je ook een virusscaner... dit kan nl ook helpen bij het traceren boos doener

Grutte Pier fansels

zaterdag 18 december 2004 19:18

Acties:

equinoxe

Ik meen dat je winn32.cab en winn321.exe moet verwijderen om de bill2000 zooi van je pc af te halen. Heb ik laatst ook al eens bij een collega moeten verwijderen.
cab staat veelal in:
c:\windows\Temporary Internet Files

in winn32.cab zitten de volgende files:
Winn321.exe <!!!!
Cancel.cxq
Disconnect.cxq
exit.cxq
msconnect.html
Options.cxq
PortalOff.cxq
PortalOn.cxq
Reconnect.cxq
winn32.html
Winn32.inf
winn32.js
winn32.mcs
winn321.gif
winn32e.gif
winn32e.html
winn32k.gif
winn32l.html
winn32off.html
winn32s.gif

zondag 19 december 2004 14:46

Acties:

Chaoss

Moderator Spielerij

Professioneel boekemantsje

Topicstarter

met de adaware tooltjes heb ik alles weggehaald maar in de gewone modus, heeft het nog om nog eens in de save mode te gaan scannen?

met hijackthis was ik ook al bezig geweest was ik vergeten in de startpost te zetten. ik heb alles weggehaald wat ik zelf verdacht vondt dit is er nu nog over:

als virrusscanner gebruik ik Norman, ik zal kijken of ik de bestanden die equinoxe noemt ook kan vinden. edit: bestand winn321.exe kan ik niet vinden.

code:

O4 - HKLM\..\Run: [AtiPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [zBrowser Launcher] C:\Program Files\Logitech\iTouch\iTouch.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Norman ZANDA] G:\NORMAN\Nvc\BIN\ZLH.EXE /LOAD /SPLASH
O4 - HKLM\..\Run: [ASUS Probe] C:\Program Files\ASUS\Probe\AsusProb.exe
O4 - HKLM\..\Run: [ewupdater] C:\WINDOWS\ewupdater.exe
O4 - HKLM\..\Run: [NVMixerTray] "C:\Program Files\NVIDIA Corporation\NvMixer\NVMixerTray.exe"
O4 - HKLM\..\Run: [ScheduleSync.Siemens.SmartSync.5.2.exe] G:\Siemens MPM\SmartSync\ScheduleSync.exe
O4 - HKLM\..\Run: [Zone Labs Client] "G:\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [NvCplD] C:\WINDOWS\system32\ntcpl.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Steam] G:\Program Files\Steam\Steam.exe -silent
O4 - Global Startup: MagicTune.lnk = C:\Program Files\Portrait Displays\MagicTune\DTHtml.exe
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra 'Tools' menuitem: Sun Java Console (HKLM)
O13 - DefaultPrefix: 
O16 - DPF: {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B} (QuickTime Object) - http://www.apple.com/qtactivex/qtplugin.cab
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://active.macromedia.com/director/cabs/sw.cab
O16 - DPF: {3E68E405-C6DE-49FF-83AE-41EE9F4C36CE} (Office Update Installation Engine) - http://office.microsoft.com/officeupdate/content/opuc.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab

[ Voor 20% gewijzigd door Chaoss op 19-12-2004 14:50 ]

PSN: Wanderer200 | Switch: Wanderer

zondag 19 december 2004 15:41

Acties:

Pendaco

Vogon Poetry FTW!

Het onderstaande kun je nog verwijderen;

Zorg er ook voor dat de file echt weg is, even opzoeken dus. En als er bij je geinstalleerde software iets van windupdates tussenstaat kun je die er ook uit gooien

code:

1	O4 - HKLM\..\Run: [ewupdater] C:\WINDOWS\ewupdater.exe

code:

1	O13 - DefaultPrefix:

zondag 19 december 2004 15:46

Acties:

hessel

nasty

code:

1 2	O4 - HKLM\..\Run: [ewupdater] C:\WINDOWS\ewupdater.exe O13 - DefaultPrefix:

verdacht

code:

1	O4 - HKLM\..\Run: [NvCplD] C:\WINDOWS\system32\ntcpl.exe

weet niet of je hem al kent www.hijackthis.de maar die meld dat boven staande bagger is

Grutte Pier fansels

zondag 19 december 2004 20:20

Acties:

FlipFluitketel

Frontpage Admin

Wat hessel dus zegt.. Die 3 dingen kunnen idd verwijderd worden, google maar eens op ntcpl.exe en dan de (op het moment iig) 4e link.

There are only 10 types of people in the world...those who understand binary and those who don't.
Jeremy Clarkson: It’s, um, a mobile phone holder, or as Richard Hammond calls it, a seat!

maandag 20 december 2004 11:27

Acties:

Chaoss

Moderator Spielerij

Professioneel boekemantsje

Topicstarter

hessel schreef op zondag 19 december 2004 @ 15:46:
nasty
code:
1
2
O4 - HKLM\..\Run: [ewupdater] C:\WINDOWS\ewupdater.exe
O13 - DefaultPrefix:
verdacht
code:
1
O4 - HKLM\..\Run: [NvCplD] C:\WINDOWS\system32\ntcpl.exe
weet niet of je hem al kent www.hijackthis.de maar die meld dat boven staande bagger is

ok heb ik nu weggehaald dus is het ff afwachten of de popup ook weg is.

overigens kan ik O13 - DefaultPrefix:niet verwijderen.... tenminste als ik hijackthis weer laat scannen staat deze er gewoon weer tussen.

PSN: Wanderer200 | Switch: Wanderer