Analyst

[Rulor]

Ik zit nu al een tijdje in het "anti-spyware" wereldje, en overal vind je bijna hetzelfde van tools die je moet gebruiken enzo ... in twee dagen weet je bijna alles wat er te weten valt , er is maar 1 tool waar ik zelf niet echt mee kan werken en dat is HJT , waar halen de admins en de mods hun info over HJT over wat wel en wat niet verwijderd mag worden, is er daar ergens een online database voor ?
bv deze log is van een vriend

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Apps\ActivBoard\nhksrv.exe
C:\Program Files\Norton AntiVirus\navapsvc.exe
C:\Program Files\Norton Internet Security\NISUM.EXE
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Norton Internet Security\SymProxySvc.exe
C:\Program Files\Virtual CD v4 SDK\system\vcssecs.exe
C:\Program Files\Norton Internet Security\NISSERV.EXE
C:\PROGRA~1\MOUSEW~1\SYSTEM\EM_EXEC.EXE
C:\Apps\ActivBoard\MMKeybd.exe
C:\apps\ActivSurf\4448364\Program\backweb-4448364.exe
C:\Program Files\Norton Internet Security\IAMAPP.EXE
C:\PROGRA~1\NORTON~1\navapw32.exe
C:\Program Files\MSN Apps\Updater\01.02.3000.1001\nl\msnappau.exe
C:\Apps\ActivBoard\TrayMon.exe
C:\Apps\ActivBoard\OSD.exe
C:\WINDOWS\NCLAUNCH.EXe
C:\Documents and Settings\beckham\Application Data\tsst.exe
C:\WINDOWS\System32\?hkntfs.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpohmr08.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\bin\hpoevm08.exe
C:\Program Files\Hewlett-Packard\Digital Imaging\Bin\hpoSTS08.exe
C:\WINDOWS\System32\wuauclt.exe
C:\WINDOWS\system32\ipwg.exe
C:\WINDOWS\msxmidi.exedslj
C:\Program Files\Messenger\msmsgs.exe
C:\Documents and Settings\beckham\Mijn documenten\Mijn ontvangen bestanden\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\qtbub.dll/sp.html#29126
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\qtbub.dll/sp.html#29126
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\qtbub.dll/sp.html#29126
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\qtbub.dll/sp.html#29126
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\qtbub.dll/sp.html#29126
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\qtbub.dll/sp.html#29126
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\qtbub.dll/sp.html#29126
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
R3 - Default URLSearchHook is missing
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {B9C08788-99E3-0FDE-627D-4CBCC68F6D36} - C:\WINDOWS\sysnn32.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.3000.1001\nl\msntb.dll (file missing)
O4 - HKLM\..\Run: [EM_EXEC] C:\PROGRA~1\MOUSEW~1\SYSTEM\EM_EXEC.EXE
O4 - HKLM\..\Run: [ACTIVBOARD] C:\Apps\ActivBoard\MMKeybd.exe
O4 - HKLM\..\Run: [ActivSurf] C:\apps\ActivSurf\4448364\Program\backweb-4448364.exe
O4 - HKLM\..\Run: [iamapp] C:\Program Files\Norton Internet Security\IAMAPP.EXE
O4 - HKLM\..\Run: [NAV Agent] C:\PROGRA~1\NORTON~1\navapw32.exe
O4 - HKLM\..\Run: [LVCOMS] C:\WINDOWS\System32\LVCOMS.EXE
O4 - HKLM\..\Run: [BearShare] "C:\Program Files\BearShare\BearShare.exe" /pause
O4 - HKLM\..\Run: [msnappau] "C:\Program Files\MSN Apps\Updater\01.02.3000.1001\nl\msnappau.exe"
O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe
O4 - HKLM\..\Run: [appjb.exe] C:\WINDOWS\system32\appjb.exe
O4 - HKLM\..\Run: [sais] c:\program files\180solutions\sais.exe
O4 - HKLM\..\Run: [ixaohid] C:\WINDOWS\System32\jydzws.exe
O4 - HKLM\..\Run: [KAVPersonal50] C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal\kav.exe /minimize
O4 - HKLM\..\Run: [croa32.exe] C:\WINDOWS\system32\croa32.exe
O4 - HKLM\..\Run: [ipwg.exe] C:\WINDOWS\system32\ipwg.exe
O4 - HKLM\..\RunOnce: [odslj] C:\WINDOWS\msxmidi.exedslj
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [Ocrm] C:\Documents and Settings\beckham\Application Data\tsst.exe
O4 - HKCU\..\Run: [Uzhb] C:\WINDOWS\System32\?hkntfs.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: hp psc 1000 series.lnk = ?
O4 - Global Startup: hpoddt01.exe.lnk = ?
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office\OSA9.EXE
O9 - Extra button: Packard Bell - {1D49B7D4-524D-4ac9-BC34-B4822CAE4BB1} - C:\Apps\IECustom\script.htm
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O14 - IERESET.INF: START_PAGE_URL=http://www.telenet.be
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary...r.cab31267.cab
O16 - DPF: {03F998B2-0E00-11D3-A498-00104B6EB52E} (MetaStreamCtl Class) - https://components.viewpoint.com/MTS...ci_splash.html
O16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary...t.cab31267.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary...t.cab31267.cab
O16 - DPF: {9A54032D-31F7-400D-B184-83B33BDE65FA} (MSN File Upload Control) - http://sc.groups.msn.com/controls/FileUC/MsnUpld.cab
O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (ZoneIntro Class) - http://messenger.zone.msn.com/binary...o.cab31267.cab
O16 - DPF: {C3DFA998-A486-11D4-AA25-00C04F72DAEB} (MSN Photo Upload Tool) - http://sc.groups.msn.com/controls/PhotoUC/MsnPUpld.cab
O16 - DPF: {F58E1CEF-A068-4C15-BA5E-587CAF3EE8C6} (MSN Chat Control 4.5) - http://chat.msn.com/bin/msnchat45.cab

wel, zelf kan ik ook wel vinden dat deze

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\qtbub.dll/sp.html#29126
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\qtbub.dll/sp.html#29126
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\qtbub.dll/sp.html#29126
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\qtbub.dll/sp.html#29126
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\qtbub.dll/sp.html#29126
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\qtbub.dll/sp.html#29126
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\qtbub.dll/sp.html#29126
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = about:blank
R3 - Default URLSearchHook is missing
O2 - BHO: (no name) - {B9C08788-99E3-0FDE-627D-4CBCC68F6D36} - C:\WINDOWS\sysnn32.dll
O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\01.02.3000.1001\nl\msntb.dll (file missing)

weg moeten, daar voor moet je niet bepaald hoogbegaafd zijn ... maar hoe weten jullie dan dat dit

C:\Documents and Settings\beckham\Application Data\tsst.exe
C:\WINDOWS\System32\?hkntfs.exe
C:\WINDOWS\system32\appjb.exe
C:\WINDOWS\System32\jydzws.exe
C:\WINDOWS\system32\croa32.exe
C:\WINDOWS\system32\ipwg.exe
C:\WINDOWS\msxmidi.exe
C:\WINDOWS\sysnn32.dll
ook weg moet ?? met andere woorden, waar halen jullie je kennis ?? Hoelang doe je er ongeveer om een HJT analyst te worden ??
mvg
Rulor

[Eagle Creek]

Dat zou ik toch niet willen zeggen...
Ad-aware en Spybot halen vele soorten weg maar er blijven er genoeg (teveel dus) over waar een speciaal programma of een speciale behandeling voor nodig is.

HJT log checkers halen hun kennis van vele site's. Enkele hiervan zijn;

http://users.pandora.be/marcvn/spyware/1758530.htm

http://forums.spywareinfo.com/index.php?b=1

http://www.wilderssecurity.com/index.php?

http://forums.tomcoyote.org/index.php

http://pcpitstop.ibforums.com/

http://forums.subratam.org/

Ook wij van ASO bieden mensen de mogelijkheid om een soort spyware-opleiding te volgen. Het is idee is net als het bootcamp op SWI alleen zijn wij Nederlandstalig. Je kunt in je CP ( http://www.nucia.eu/forum/profile.php?do=editusergroups ) jezelf lid maken van de groep "helpers in training". Je krijgt dan toegang tot een extra sectie waar je vragen kunt stellen over het spyware-killen.
Ook voor verschillende onderdelen kun je weer vele site's raadplegen.
De echte experts weten heel veel uit hun hoofd maar ok ZIJ zullen af en toe google en consorten moeten gebruiken als hulpmiddel.

Wil je trouwens dat dit log nog nagekeken wordt of gaf je dit alleen ter illustratie?

[Rulor]

nee, er is geen hoop meer vor dit log, ik wilde die vriend zoveel mogelijk helpe, heb zen log op een andere forum gepost en er stond precies wat hij moest doen, maar blijkbaar begreep hij er niet zoveel van of kent hij gewoon nix van pc's...
thx voor de site , ik ga mezelf dan wel eens toeveogen aan die groep (voor ik me lid maak, hoe lang kan het duren voor ik er "iets van ken")

[Eagle Creek]

Dan verplaats ik de topic even naar feedback .

Poe.. Zelf ben ik een halfjaar bezig maar ik controleer geen logs omdat ik zelf vind dat ik het nog niet genoeg beheers. Al weet ik waar mijn bronnen zitten en zou ik het wel kunnen. Maar ik wil uitsluiten dat ik fouten maak.

In principe kun je het in een halfjaar onder de knie hebben. Vooral veel tijd insteken en oefenen .

\\Verplaatst

[Rulor]

ja ik wil dat wel leren maar ik ben 15 en men punten op school zijn niet bepaald geweldig ... dus zoveel tijd zou ik er niet voor hebben, maar dat lukt wel denk ik