Mededeling

**[email protected]** · 31-10-04, 13:55

Hoi Knut,

Ik zie dat je het anti-spyware programma Aluria op je PC hebt staan. Dit was tot voor kort een goed programma, maar is zojuist onder 1 hoedje gegaan met een van de grondleggers van adware (WhenU). Ik zou het dus van deze PC afgooien (Start - Configuratiescherm - Software)

1. Ga naar Deze Computer, dubbelklik daar op C. Dubbelklik op Program Files. Klik nu op "Bestand" > "Nieuw" > "Map". Noem deze map HJT of HijackThis. Plaats nu de HijackThis.exe in DIE map. Draai in het vervolg HijackThis vanuit DIE map

. Dit in verband met de backups die dit programma maakt

2. Start HijackThis, en vink onderstaande regels aan:

R3 - URLSearchHook: (no name) - _{30192F8D-0958-44E6-B54D-331FD39AC959} - (no file)

O2 - BHO: (no name) - {C5183ABC-EB6E-4E05-B8C9-500A16B6CF94} - (no file)
O2 - BHO: BHO Class - {CBEFB350-ED5B-4115-B846-C1041676B377} - C:\WINDOWS\System32\CustomIE32.dll

O4 - HKLM\..\Run: [Z7Lz] C:\documents and settings\escbx\local settings\temp\Z7Lz.exe
O4 - HKLM\..\Run: [x4em62] C:\documents and settings\escbx\local settings\temp\x4em62.exe
O4 - HKLM\..\Run: [890bf1b3f7f8] C:\WINDOWS\System32\clbcatq9.exe
O4 - HKLM\..\Run: [l0crQgJN] C:\documents and settings\escbx\local settings\temp\l0crQgJN.exe
O4 - HKCU\..\Run: [Steo] C:\Documents and Settings\escbx\Application Data\acuw.exe

O9 - Extra button: (no name) - {120E090D-9136-4b78-8258-F0B44B4BD2AC} - C:\WINDOWS\System32\maxspeed.exe
O9 - Extra 'Tools' menuitem: MaxSpeed - {120E090D-9136-4b78-8258-F0B44B4BD2AC} - C:\WINDOWS\System32\maxspeed.exe

3. Sluit alle andere vensters en browsers, en klik op de knop “Fix Checked”.

4. Start opnieuw op in veilige modus.

5. Ga naar Start - Uitvoeren en type daar:
%TEMP%
Klik op OK/druk op Enter

Verwijder nu alles wat IN deze map staat, dus NIET de map ZELF.

Verwijder het bestand:
C:\WINDOWS\System32\clbcatq9.exe

6. Start nogmaals opnieuw op, maak een nieuw HijackThis logje, en post dat hier

**Knut** · 31-10-04, 20:43

Beste [email protected],

heb gedaan wat je zei. heb na punt vijf niet mijn prullenbak leeg gemaakt (dat hoeft toch niet, maar even voor de volledigheid). dit is de nieuwe logfile

alvast dank!

Knut

Logfile of HijackThis v1.98.2
Scan saved at 10:39:18 PM, on 01/10/2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\PROGRA~1\Grisoft\AVG6\avgserv.exe
C:\Program Files\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\system32\HPConfig.exe
C:\Program Files\Kerio\Personal Firewall 4\kpf4ss.exe
C:\Program Files\Fichiers communs\Microsoft Shared\VS7Debug\mdm.exe
C:\Program Files\VeriSign\NAVI\naviagent.exe
C:\WINDOWS\system32\RadioSvr.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exe
C:\WINDOWS\system32\HpRfDev.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Kerio\Personal Firewall 4\kpf4gui.exe
C:\Program Files\Hewlett-Packard\HP Notebook Utilities\hptasks.exe
C:\PROGRA~1\HEWLET~1\ONE-TO~1\OneTouch.EXE
C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\WINDOWS\System32\carpserv.exe
C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\Program Files\QuickTime\qttask.exe
C:\Program Files\MUSICMATCH\MUSICMATCH Jukebox\mm_tray.exe
C:\Program Files\Winamp\winampa.exe
C:\PROGRA~1\Grisoft\AVG6\avgcc32.exe
C:\Program Files\MSN Apps\Updater\01.02.3000.1001\fr\msnappau.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\Skype\Phone\Skype.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Documents and Settings\escbx\Local Settings\Temp\Répertoire temporaire 3 pour hijackthis.zip\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.lemonde.fr
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.lemonde.fr
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.esc.bordeaux-bs.edu/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = proxy.bordeaux-bs.edu:8080
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *exlibris*;<local>
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Liens
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O4 - HKLM\..\Run: [HP TV Now] C:\Program Files\Hewlett-Packard\HP TV Now\HpTvNow.exe /RK
O4 - HKLM\..\Run: [HP Display Settings] C:\Program Files\Hewlett-Packard\HP Notebook Utilities\hptasks.exe /s
O4 - HKLM\..\Run: [QT4HPOT] C:\PROGRA~1\HEWLET~1\ONE-TO~1\OneTouch.EXE
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [AtiPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [CARPService] carpserv.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Program Files\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [DXM6Patch_981116] C:\WINDOWS\p_981116.exe /Q:A
O4 - HKLM\..\Run: [MMTray] C:\Program Files\MUSICMATCH\MUSICMATCH Jukebox\mm_tray.exe
O4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exe
O4 - HKLM\..\Run: [AVG_CC] C:\PROGRA~1\Grisoft\AVG6\avgcc32.exe /STARTUP
O4 - HKLM\..\Run: [msnappau] "C:\Program Files\MSN Apps\Updater\01.02.3000.1001\fr\msnappau.exe"
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [Evidence Eliminator] C:\Program Files\Evidence Eliminator\ee.exe /m
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [Skype] "C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized
O8 - Extra context menu item: E&xporter vers Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Aide i-Nav - {CE000992-A58C-4441-8938-744CD72AB27F} - http://idn.verisign-grs.com/plug-in/support/index.jsp (file missing)
O9 - Extra 'Tools' menuitem: Aide i-Nav - {CE000992-A58C-4441-8938-744CD72AB27F} - http://idn.verisign-grs.com/plug-in/support/index.jsp (file missing)
O9 - Extra button: (no name) - {CE000996-A58C-4441-8938-744CD72AB27F} - C:\Program Files\VeriSign\i-Nav\i-nav_4_2_0.dll
O9 - Extra 'Tools' menuitem: Options i-Nav - {CE000996-A58C-4441-8938-744CD72AB27F} - C:\Program Files\VeriSign\i-Nav\i-nav_4_2_0.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O14 - IERESET.INF: START_PAGE_URL=http://www.lemonde.fr
O14 - IERESET.INF: MS_START_PAGE_URL=http://www.lemonde.fr
O16 - DPF: {2253F320-AB68-4A07-917D-4F12D8884A06} (ChainCast VMR Client Proxy) - http://www.streamaudio.com/download/ccpm_0237.cab
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/SSC/SharedContent/vc/bin/AvSniff.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab

**[email protected]** · 31-10-04, 20:47

Ziet er weer keurig uit! HijackThis draait nog steeds vanuit de tijdelijke map, maar ik kan me voorstellen dat een nieuwe map maken op een Franse OS moeilijk kan zijn. In ieder geval is het nu niet meer nodig

Bekijk deze pagina eens voor preventie:

Nucia Security Forums

http://www.nucia.eu/ne/main/spyware_hoevoorkom.html

**Knut** · 01-11-04, 16:26

droppers

hoi hans,
hij draait weer als een zonnetje en daar ben ik je erg dankbaar voor

! Heb alleen nog één melding die terug blijft komen van een trojan horse:

Dropper.small.5.BP

zit in mijn restore file. hij geeft als suggestie om AVG te draaien, maar die delete/ find hem niet. elke dag als ik opstart heb ik zo'n vier meldingen van deze dropper.

heb je enig idee hoe hem weg te krijgen?

dank,
Knut

**André** · 05-11-04, 13:02

Ik wil me niet met de deskundigen bemoeien, maar ik heb ook eens (zoiets) gehad. Heb het ding in een nieuwe map gestopt en toen kon ik wel de map weggooien.
Maar wacht maar even op echt deskundig advies. Succes!

**[email protected]** · 08-11-04, 19:34

Oorspronkelijk geplaatst door Knut

hoi hans,
hij draait weer als een zonnetje en daar ben ik je erg dankbaar voor

! Heb alleen nog één melding die terug blijft komen van een trojan horse:

Dropper.small.5.BP

zit in mijn restore file. hij geeft als suggestie om AVG te draaien, maar die delete/ find hem niet. elke dag als ik opstart heb ik zo'n vier meldingen van deze dropper.

heb je enig idee hoe hem weg te krijgen?

dank,
Knut

Dan moet je systeemherstel even uit, en daarna opnieuw inschakelen:

Rechtsklik op Deze Computer.
Kies voor Eigenschappen.
Ga naar het tabblad Systeemherstel.
Plaats een vinkje bij "Systeemherstel op alle stations uitschakelen".
Herstart de computer.

Volg nu dezelfde stappen op, maar schakel systeemherstel nu weer in

Mededeling

hijack log knut

hijack log knut

Comment

Comment

Comment

Comment

Comment

Comment