help mij met oplossen spyware

[jong267]

Ik ben een leek. Ik heb nu veel last van about blank en xysearch. Ik draai al Spysweeper, adaware and spybot. Toch kan ik het probleem niet oplossen.

Kan iemand wat met mijn log

Logfile of HijackThis v1.99.0
Scan saved at 16:14:40, on 5-1-2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\System32\drivers\CDAC11BA.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\00THotkey.exe
C:\WINDOWS\System32\TPWRTRAY.EXE
C:\Program Files\TOSHIBA\TOSHIBA Controls\TFncKy.exe
C:\Program Files\TOSHIBA\Wireless Hotkey\TosHKCW.exe
C:\WINDOWS\System32\TFNF5.exe
C:\Program Files\Apoint2K\Apoint.exe
C:\Program Files\TOSHIBA\TouchED\TouchED.Exe
C:\Program Files\QuickTime\qttask.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\Webroot\Spy Sweeper\SpySweeper.exe
C:\Program Files\Apoint2K\Apntex.exe
C:\Program Files\Microsoft Office\Office\OSA.EXE
C:\Program Files\Microsoft Office\Office\FINDFAST.EXE
C:\Program Files\Microsoft Office\Office\MSOFFICE.EXE
C:\Program Files\Planet\ADSL Time\ADSLDialIn.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Program Files\Spybot - Search & Destroy\SpybotSD.exe
C:\Program Files\SpywareBlaster\spywareblaster.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Documents and Settings\Administrator\Mijn documenten\hijackthis\hijackthis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
F2 - REG:system.ini: UserInit=Userinit.exe,
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [nwiz] nwiz.exe /installquiet
O4 - HKLM\..\Run: [00THotkey] C:\WINDOWS\System32\00THotkey.exe
O4 - HKLM\..\Run: [000StTHK] 000StTHK.exe
O4 - HKLM\..\Run: [Tpwrtray] TPWRTRAY.EXE
O4 - HKLM\..\Run: [TFncKy] TFncKy.exe /Type 20
O4 - HKLM\..\Run: [TosHKCW.exe] "C:\Program Files\TOSHIBA\Wireless Hotkey\TosHKCW.exe"
O4 - HKLM\..\Run: [TFNF5] TFNF5.exe
O4 - HKLM\..\Run: [Apoint] C:\Program Files\Apoint2K\Apoint.exe
O4 - HKLM\..\Run: [TouchED] C:\Program Files\TOSHIBA\TouchED\TouchED.Exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [SpySweeper] "C:\Program Files\Webroot\Spy Sweeper\SpySweeper.exe" /1
O4 - Startup: ADSL Dial-in.lnk = ?
O4 - Global Startup: Office Opstarten.lnk = C:\Program Files\Microsoft Office\Office\OSA.EXE
O4 - Global Startup: Microsoft Office Snelzoeken.lnk = C:\Program Files\Microsoft Office\Office\FINDFAST.EXE
O4 - Global Startup: Microsoft Office Werkbalk.lnk = C:\Program Files\Microsoft Office\Office\MSOFFICE.EXE
O4 - Global Startup: Preventon Personal Firewall.lnk = C:\Program Files\Preventon\Personal Firewall\PFwall.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O16 - DPF: {556DDE35-E955-11D0-A707-000000521957} - http://www.xblock.com/download/xclean_micro.exe
O23 - Service: NVIDIA Driver Helper Service - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

[Buffy]

Hallo Jong267,


Aangezien van deze hijacker (vrijwel) niets in HijackThis-logs te zien is, zijn hier speciale maatregelen nodig.

Download reglook.zip: http://www.bleepingcomputer.com/file...re/reglook.zip
Unzip het naar een eigen map.
Je vindt daarin een bestandje dat runme.bat heet.
Dubbelklik daarop.
Er zal een logbestand worden aangemaakt.
Kopieer dat log en plaats dat hier in je volgende bericht.

[jong267]

speciale log omdat eerste log niet hielp

A reg_look by IMM
----------------------------------------
Handle OK.
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows
(key has 0 subkeys and 6 value entries - last modified 12:01(UTC) 04/12/2004)
[AppInit_DLLs] = not present!
----------------------------------------
Handle OK.
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
(key has 4 subkeys and 32 value entries - last modified 14:07(UTC) 05/01/2005)
[Userinit] = "Userinit.exe,TGBRFV_" (REG_SZ)
----------------------------------------
Handle OK.
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\IniFileMapping\system.ini\boot
(key has 0 subkeys and 5 value entries - last modified 09:29(UTC) 29/08/2002)
[Shell] = "SYS:Microsoft\Windows NT\CurrentVersion\Winlogon" (REG_SZ)
----------------------------------------

[Buffy]

Prima. Doe nu heel precies wat ik beschrijf. Eén klein foutje zal complete her-infectie betekenen, dus wees zorgvuldig.


Download Pocket Killbox: http://www.bleepingcomputer.com/file...re/KillBox.zip
Unzip het naar een eigen map.

Start Pocket Killbox (dubbelklikken op KillBox.exe).


Kopieer de volgende vetgedrukte regel en plak die in de box bij "Full Path of File to Delete":

C:\WINDOWS\System32\TGBRFV_.exe

Selecteer "Delete on Reboot".
Selecteer "End Explorer Shell While Killing File".
Klik op de rode knop met het witte kruis.
Klik "No" als KillBox vraagt of je nu wilt rebooten.

Kopieer vervolgens de volgende vetgedrukte regel en plak die in de box bij "Full Path of File to Delete":

C:\WINDOWS\System32\TGBRFV_5.dll

Selecteer "Delete on Reboot".
Selecteer "End Explorer Shell While Killing File".
Selecteer "Unregister .dll Before Deleting".
Klik op de rode knop met het witte kruis.
Klik "No" als KillBox vraagt of je nu wilt rebooten.

Kopieer vervolgens deze vetgedrukte regel en plak die in de box bij "Full Path of File to Delete":

C:\WINDOWS\System32\TGBRFV_.dll

Selecteer "Delete on Reboot".
Selecteer "End Explorer Shell While Killing File".
Selecteer "Unregister .dll Before Deleting".
Klik op de rode knop met het witte kruis.
Klik "No" als KillBox vraagt of je nu wilt rebooten.

Kopieer daarna deze vetgedrukte regel en plak die in de box bij "Full Path of File to Delete":

C:\WINDOWS\System32\TGBRFV_5.exe

Selecteer "Delete on Reboot".
Selecteer "End Explorer Shell While Killing File".
Klik op de rode knop met het witte kruis.
Klik ditmaal "Yes" als KillBox vraagt of je nu wilt rebooten!
Klik nogmaals "Yes" als KillBox om bevestiging vraagt.


De pc wordt nu opnieuw opgestart.


Doe meteen daarna het volgende:

Ga naar Start -> Uitvoeren en type (of plak) het volgende in de balk: %temp%
Klik OK.
De map met tijdelijke bestanden wordt geopend.
Verwijder alles wat in die map zit.

Start daarna de pc weer opnieuw op.

Maak nu een nieuw HijackThis-log en plaats dat hier. Als het goed is, is nu wel zichtbaar wat er nog gefixt moet worden.

[jong267]

alvast bedankt

Buffy,

Het is nu een beetje laat en ik moet morgen weer vroeg op.

Ik zal de handelingen morgenavond uitvoeren en plaats dan weer een log. Ik hoop dat je dan ook weer aanwezig bent en mij verder helpt.

Voor zover. BEDANKT.

PS. ik wist niet dat dit forum bestond en dat er ergens je weet niet waar mensen zijn die je gewoon willen helpen. Tegek !

PS2 welterusten