Lastige IE toolbar

[Verwijderd]

En zo stond er opeens een toolbar bij in MSIE. Ik heb allereerst een microsoft.hta verwijderd die in de startup folder van het startmenu stond verwijderd. Toen CWShredder gerund maar die gaf een schoon systeem aan, Adaware gaf een schoon systeem aan, en Hijack this crashed bij scan met een Windows error report.

Als ik op de toolbar button "remove toolbar" klik kom ik op de website fastwebsearch uit, met links naar anti spyware programma's. Dat doet me ook vermoeden dat deze spyware bedrijven een smerig spelletje spelen.

In "make report" van CWShredder kwam ik deze regels tegen. De eerste heb ik zelf geinstalleerd, maar die tweede niet.

**** IE Toolbars ****

TOOLBAR: [MSN] C:\Program Files\MSN Toolbar Suite\TB\02.00.0000.1180\en-us\msntb.dll
TOOLBAR: [FreshBar] C:\WINDOWS\system32\iecust.dll

Nu heb ik in de system32 folder de bestanden iecust.dll verwijderd, en ook een iecust.exe die mij overkwam als "zal vast dan ook wel wegkunnen" ..

Maar helaas, bij een restart van het systeem was het ongedierte terug. Mensen nog slimme ideeen?

[holoX]

Wat doet Hijack in de safe mode

Als ik op google zoek naar iecust.dll vind ik een hele hoop site's die het hier over hebben...
http://www.google.nl/sear...ve&btnG=Google+zoeken&lr=

[pasta]

Probeer HiJackThis eens in veilige mode te draaien?

Verwijderd schreef op woensdag 05 januari 2005 @ 22:39:
Bedoelen jullie Windows veilige modes?

Ja.

[ Voor 62% gewijzigd door pasta op 05-01-2005 22:39 ]

[Verwijderd]

Bedoelen jullie Windows veilige modes?

[Verwijderd]

Net gedaan, hij crashed net zo hard

[CrashOne]

CWShredder or HijackThis closes immediately after opening?

Probeer dat eens.

[Verwijderd]

CrashOne schreef op woensdag 05 januari 2005 @ 23:24:
CWShredder or HijackThis closes immediately after opening?

Probeer dat eens.

Ook uitgevoerd, krijg de melding dat er niets is gevonden, en hijack blijft crashen CWShredder draait echter perfect, maar vind ook niets.

[CrashOne]

Run deze eens en post eens wat de output is, doet eigenlijk het zelfde als hijack this.

En de link
http://www.richardthelion...ijn/files/startuplist.zip

[ Voor 35% gewijzigd door CrashOne op 06-01-2005 00:44 . Reden: Link vergeten.... ]

[WimB]

Probeer eens te verwijderen met dit programma: http://windowsxp.mvps.org/toolbarcop.htm

[Verwijderd]

WimB schreef op donderdag 06 januari 2005 @ 08:00:
Probeer eens te verwijderen met dit programma: http://windowsxp.mvps.org/toolbarcop.htm

Ik zal dat programma vanavond meteen proberen

[Borromini]

Heb je al es geprobeerd om in Task manager te kijken welke services er draaien? Normaal moet er toch iets verdachts mee opstarten wanneer je IE opstart. Verwijder dat dan uit Task manager, en zoek al je mappen af op bestanden met die naam. Daarna wis je ze. Het is omslachtig, maar wel het effectiefst als anti-spywareprogs er geen vat op krijgen .

[Verwijderd]

Microsoft AntiSpyware Beta 1 kwam vandaag uit, en ik heb het dus geinstalleerd. Na tig programma's geprobeerd te hebben was dit het enige programma dat in staat was deze spyware te verwijderen. Wat een afgang voor een product als AdAware, verslagen door een eerste betaversie van dit Microsoft product.

[pasta]

Let wel op dat Microsoft het product heeft overgekocht van Giant. Het programma bestond dus al enige tijd langer.

[EricJH]

Het lijkt erop dat deze file een hulpje heeft die het terugzet. Doorzoek het register eens adhv de naam van de file die terug komt: iecust.dll.
Redelijke kans dat je helper vind. Kijk of je die kunt wissen en zijn registersleutelsl kunt verwijderen.

[Verwijderd]

Die heeft dat Microsoft programma ook verwijderd. Dan heb jij wellicht een hardnekkig broertje.

[EricJH]

Verwijderd schreef op donderdag 06 januari 2005 @ 23:34:
Die heeft dat Microsoft programma ook verwijderd. Dan heb jij wellicht een hardnekkig broertje.

Talking to me? Doorzoek het register eens voor een mogelijk derde bestand adhv van de namen van die twee files.

Boeiende puzzel tot zover.

[Verwijderd]

EricJH schreef op donderdag 06 januari 2005 @ 23:46:
[...]


Talking to me? Doorzoek het register eens voor een mogelijk derde bestand adhv van de namen van die twee files.

Boeiende puzzel tot zover.

iecust.dll kon niet meer gevonden worden. Ik had wel in mijn system32 folder een aantal wazige executables staan, die op vanavond waren aangemaakt.. 302.exe, alg.exe en een bestand menu.txt met de nodige urls voor het daarbijbehorende vermaak .... mijn vriendin zag meteen dat het siliconen waren, we hebben het wat nader bekeken, zij won ..

Maargoed, .. al met al vreemd. Uit processes uit je taskmanager wordt je ook niet veel wijs, aangezien zelfs Microsoft processen heeft lopen met de meest vreemde benamingen, maar vooralsnog ben ik van de grootste plaag af.

[EricJH]

Verwijderd schreef op donderdag 06 januari 2005 @ 23:50:
[...]


iecust.dll kon niet meer gevonden worden. Ik had wel in mijn system32 folder een aantal wazige executables staan, die op vanavond waren aangemaakt.. 302.exe, alg.exe en een bestand menu.txt met de nodige urls voor het daarbijbehorende vermaak .... mijn vriendin zag meteen dat het siliconen waren, we hebben het wat nader bekeken, zij won ..

Maargoed, .. al met al vreemd. Uit processes uit je taskmanager wordt je ook niet veel wijs, aangezien zelfs Microsoft processen heeft lopen met de meest vreemde benamingen, maar vooralsnog ben ik van de grootste plaag af.

Wat je kunt doen is een log met Hijack This maken en die hier laten besnuffelen: www.hijackthis.de. Dan kom je er sneller achter welke bestanden verdacht zijn of niet. Dan hoef je niet zelf alle reguliere processen uit je taskmanager na te lopen.

[pasta]

EricJH schreef op donderdag 06 januari 2005 @ 23:59:
[...]


Wat je kunt doen is een log met Hijack This maken en die hier laten besnuffelen: www.hijackthis.de. Dan kom je er sneller achter welke bestanden verdacht zijn of niet. Dan hoef je niet zelf alle reguliere processen uit je taskmanager na te lopen.

Het is toch beter als je zelf ook even kijkt. Hijackthis.de vindt niet alle malware die er is, en af en toe zit het er ook naast.

[EricJH]

pasta schreef op vrijdag 07 januari 2005 @ 00:56:
[...]

Het is toch beter als je zelf ook even kijkt. Hijackthis.de vindt niet alle malware die er is, en af en toe zit het er ook naast.

Klopt, maar ik had het eerst en vooral bedacht om te helpen een schifting te maken voor TS zodat hij niet -tig overbodige dingen uit Taakbeheer langsloopt. Maar aan de andere kant je kunt niet precies genoeg blijven met HT.

[pasta]

Ik zeg ook niet dat hij alle entries moet nagaan in Taakbeheer, maar dat je zelf evengoed ook nog een blik werpt op dingen die een beetje vaag zijn.

[EricJH]

pasta schreef op vrijdag 07 januari 2005 @ 01:12:
Ik zeg ook niet dat hij alle entries moet nagaan in Taakbeheer, maar dat je zelf evengoed ook nog een blik werpt op dingen die een beetje vaag zijn.

Het leek mij dat hij nog niet het timmermansoog voor Taakbeheer had. Dus om hem voor nu niet met een lange zoektocht op te zadelen bedacht ik deze workaround.

[Occy74]

Crasht HijackThis nog steeds? Zoja dan moet je even goed bovenaan bij HijackThis kijken als dat toevallig bij 023 NT Services is.
Als dat het geval is dan heb je hoogstwaarschijnlijk een rootkit op je pc staan en trust me, die dingen zijn erg lastig te verwijderen.
Getting Rid Of Windows Rootkits