Mededeling

**smeenk** · 05-01-08, 09:38

Download dit bestand: Deljob.exe (mirror)
Plaats het op je bureaublad.
Indien je virusscanner de download van deljob.exe blokkeert,
schakel dan tijdelijk je virusscanner uit of download de zip-versie
deljob.zip en pak deze uit naar je Bureaublad.
Dubbelklik Deljob.exe.
Een logje(logit.txt) zal openen, het bestandje kan je ook terugvinden op je bureaublad.
Post de inhoud van logit.txt in je volgende bericht.

**Stefano di Caprio** · 05-01-08, 09:42

rapport deljob.exe

--------------------------------------------------------
File(s) moved to C:\deljob

A89B601891851670.job
--------------------------------------------------------
Files remaining after cleaning

--------------------------------------------------------
App data folders

Het volume in station C heeft geen naam.
Het volumenummer is CC56-BB14

Map van C:\Documents and Settings\Opa\Application Data

04/01/2008 17:56 <DIR> .
04/01/2008 17:56 <DIR> ..
19/02/2006 19:03 <DIR> Adobe
26/02/2007 17:13 <DIR> AdobeUM
08/08/2004 16:25 <DIR> Ahead
20/08/2007 10:07 <DIR> AVG7
15/11/2006 17:22 <DIR> Google
16/09/2004 13:10 <DIR> Help
08/01/2006 17:50 <DIR> IDENTI~1 Identities
31/10/2007 15:06 <DIR> INTERT~1 InterTrust
23/01/2005 17:59 <DIR> Lavasoft
22/02/2006 11:25 <DIR> LEADER~1 Leadertech
04/07/2004 16:54 <DIR> MACROM~1 Macromedia
21/11/2007 20:55 <DIR> MICROS~1 Microsoft
05/09/2007 14:35 <DIR> MSN6
07/05/2006 18:08 <DIR> Sun
20/06/2004 16:43 <DIR> Symantec
05/01/2008 09:40 <DIR> TWOSLO~1 Two Slow List
04/01/2008 17:56 <DIR> Webroot
08/01/2006 17:50 <DIR> Zylom
0 bestand(en) 0 bytes
20 map(pen) 13.110.390.784 bytes beschikbaar
Het volume in station C heeft geen naam.
Het volumenummer is CC56-BB14

Map van C:\Documents and Settings\All Users\Application Data

18/12/2007 16:13 <DIR> .
18/12/2007 16:13 <DIR> ..
31/10/2007 18:33 <DIR> Adobe
20/06/2004 16:52 <DIR> Ahead
28/04/2007 13:12 <DIR> avg7
21/01/2007 17:42 <DIR> Google
25/02/2007 18:01 <DIR> Grisoft
16/10/2007 18:45 <DIR> MAILFR~1 MailFrontier
12/11/2007 21:14 <DIR> MESSEN~1 Messenger Plus!
09/10/2007 18:19 <DIR> MICROS~1 Microsoft
05/09/2007 14:32 <DIR> MSN6
28/11/2004 18:46 <DIR> PIXELS~1 pixelStorm
04/01/2008 17:58 <DIR> SPYBOT~1 Spybot - Search & Destroy
20/06/2004 16:43 <DIR> Symantec
05/01/2008 09:40 <DIR> TIMEDE~1 Time Dead Warn Default
04/09/2004 17:44 <DIR> VIEWPO~1 Viewpoint
29/10/2005 15:58 <DIR> WINDOW~1 Windows Genuine Advantage
08/01/2006 17:50 <DIR> Zylom
0 bestand(en) 0 bytes
18 map(pen) 13.110.390.784 bytes beschikbaar
--------------------------------------------------------

**smeenk** · 05-01-08, 09:45

Download en installeer dit programma: GV Killer.exe

Dubbelklik het, er zal een text-bestand openen(input.txt)
Verwijder eventueel de text die al in dat bestand staat en plaats de volgende vetgedrukte regels er weer in:

C:\Documents and Settings\Opa\Application Data\Two Slow List
C:\Documents and Settings\All Users\Application Data\Time Dead Warn Default
C:\Program Files\Two Slow List
C:\deljob

Sluit het textbestand en laat de wijzigingen opslaan
Klik nu op de knop "Kill on reboot" en laat de PC herstarten.
Na de herstart zal GV_Killer.exe opnieuw gestart worden, geef toestemming om de mappen te verwijderen.
Als dat gelukt is mag je GV_Killer afsluiten.

Post daarna een nieuw logje van Deljob.exe en meldt of de problemen voorbij zijn.
Post ook een logje van Hijackthis

**Stefano di Caprio** · 05-01-08, 09:59

--------------------------------------------------------
No LOP jobs found
--------------------------------------------------------
Files remaining after cleaning

--------------------------------------------------------
App data folders

Het volume in station C heeft geen naam.
Het volumenummer is CC56-BB14

Map van C:\Documents and Settings\Opa\Application Data

05/01/2008 10:50 <DIR> .
05/01/2008 10:50 <DIR> ..
19/02/2006 19:03 <DIR> Adobe
26/02/2007 17:13 <DIR> AdobeUM
08/08/2004 16:25 <DIR> Ahead
20/08/2007 10:07 <DIR> AVG7
15/11/2006 17:22 <DIR> Google
16/09/2004 13:10 <DIR> Help
08/01/2006 17:50 <DIR> IDENTI~1 Identities
31/10/2007 15:06 <DIR> INTERT~1 InterTrust
23/01/2005 17:59 <DIR> Lavasoft
22/02/2006 11:25 <DIR> LEADER~1 Leadertech
04/07/2004 16:54 <DIR> MACROM~1 Macromedia
21/11/2007 20:55 <DIR> MICROS~1 Microsoft
05/09/2007 14:35 <DIR> MSN6
07/05/2006 18:08 <DIR> Sun
20/06/2004 16:43 <DIR> Symantec
04/01/2008 17:56 <DIR> Webroot
08/01/2006 17:50 <DIR> Zylom
0 bestand(en) 0 bytes
19 map(pen) 13.103.857.664 bytes beschikbaar
Het volume in station C heeft geen naam.
Het volumenummer is CC56-BB14

Map van C:\Documents and Settings\All Users\Application Data

05/01/2008 10:50 <DIR> .
05/01/2008 10:50 <DIR> ..
31/10/2007 18:33 <DIR> Adobe
20/06/2004 16:52 <DIR> Ahead
28/04/2007 13:12 <DIR> avg7
21/01/2007 17:42 <DIR> Google
25/02/2007 18:01 <DIR> Grisoft
16/10/2007 18:45 <DIR> MAILFR~1 MailFrontier
12/11/2007 21:14 <DIR> MESSEN~1 Messenger Plus!
09/10/2007 18:19 <DIR> MICROS~1 Microsoft
05/09/2007 14:32 <DIR> MSN6
28/11/2004 18:46 <DIR> PIXELS~1 pixelStorm
04/01/2008 17:58 <DIR> SPYBOT~1 Spybot - Search & Destroy
20/06/2004 16:43 <DIR> Symantec
04/09/2004 17:44 <DIR> VIEWPO~1 Viewpoint
29/10/2005 15:58 <DIR> WINDOW~1 Windows Genuine Advantage
08/01/2006 17:50 <DIR> Zylom
0 bestand(en) 0 bytes
17 map(pen) 13.103.857.664 bytes beschikbaar
--------------------------------------------------------

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 10:57:35, on 5/01/2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\SYSTEM32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
C:\PROGRA~1\Grisoft\AVG7\avgemc.exe
C:\WINDOWS\System32\cisvc.exe
C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Java\jre1.6.0_01\bin\jusched.exe
C:\WINDOWS\system32\rundll32.exe
C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe
C:\WINDOWS\SYSTEM32\cidaemon.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.hln.be/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://breedband.telenet.be
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.msn.be/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer aangeboden door Telenet Internet
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
F2 - REG:system.ini: UserInit=C:\WINDOWS\regedit /s C:\pav.reg,C:\WINDOWS\system32\pavdr.exe,C:\WINDOWS\system32\userinit.exe,
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: ZoneAlarm Spy Blocker BHO - {F0D4B231-DA4B-4daf-81E4-DFEE4931A4AA} - C:\Program Files\ZoneAlarmSB\bar\1.bin\SPYBLOCK.DLL
O3 - Toolbar: ZoneAlarm Spy Blocker - {F0D4B239-DA4B-4daf-81E4-DFEE4931A4AA} - C:\Program Files\ZoneAlarmSB\bar\1.bin\SPYBLOCK.DLL
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_01\bin\jusched.exe"
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [warn default inter for] C:\Documents and Settings\All Users\Application Data\Time Dead Warn Default\Tool save.exe
O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Program Files\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [book option] C:\DOCUME~1\Opa\APPLIC~1\TWOSLO~1\Boldfast.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Lokale service')
O4 - HKUS\S-1-5-19\..\Run: [AVG7_Run] C:\PROGRA~1\Grisoft\AVG7\avgw.exe /RUNONCE (User 'Lokale service')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Netwerkservice')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll
O14 - IERESET.INF: START_PAGE_URL=http://breedband.telenet.be
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://gfx1.hotmail.com/mail/w2/resources/MSNPUpld.cab
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1136219581682
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab31267.cab
O16 - DPF: {BD8667B7-38D8-4C77-B580-18C3E146372C} (Creative Toolbox Plug-in) - http://bmm.imgag.com/imgag/cp/install/crusher-bed.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
O16 - DPF: {D71F9A27-723E-4B8B-B428-B725E47CBA3E} - http://imikimi.com/download/imikimi_plugin.cab
O16 - DPF: {F5A7706B-B9C0-4C89-A715-7A0C6B05DD48} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab56986.cab
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgupsvc.exe
O23 - Service: AVG E-mail Scanner (AVGEMS) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVG7\avgemc.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe
O24 - Desktop Component 0: (no name) - http://nl.static.netlog.com//p/tt/013/746/13746024.jpg

--
End of file - 5544 bytes

Voorlopig komt er niks meer te voorschijn, dus neem ik aan dat het probleem verholpen is.

Ik wil je hierbij danken voor de supersnelle en directe hulp en wens je tevens al het betse voor 2008.

Dank ! ! !

**smeenk** · 05-01-08, 10:11

Start HijackThis nog een keer, kies voor "Do a system scan only" en plaats alleen een vinkje voor de volgende regels:
O4 - HKLM\..\Run: [warn default inter for] C:\Documents and Settings\All Users\Application Data\Time Dead Warn Default\Tool save.exe
O4 - HKCU\..\Run: [book option] C:\DOCUME~1\Opa\APPLIC~1\TWOSLO~1\Boldfast.exe
Sluit alle open vensters(behalve HijackThis), klik daarna op "Fix checked" en sluit HijackThis af.

Zijn er nog meer gebruikeraccounts op deze PC?

**Stefano di Caprio** · 05-01-08, 10:28

gebruikersaccount

Neen, er is slechts één gebruikersaccount aanwezig

**smeenk** · 05-01-08, 10:31

Dan is het opgelost

Download ATF cleaner (mirror)(gemaakt door Atribune)

Belangrijk: Sluit al je browservensters(IE en/of Firefox en/of Opera) om de tool goed te kunnen laten werken.

Dubbelklik op ATF cleaner om het programma te starten.
Op het tabblad "Main", plaats je een vinkje bij Select All.
Klik op de knop Empty Selected.

Het volgende doen als je ook FireFox als browser hebt:
Klik op tabblad "Firefox", plaats een vinkje bij Select All.
Wil je de door Firefox opgeslagen wachtwoorden behouden, dan klik je in het venster dat verschijnt op "No".
(dit haalt het vinkje weer weg bij "Firefox saved passwords")
Klik op de knop Empty Selected.

Het volgende doen als je ook Opera als browser hebt:
Klik op tabblad "Opera", plaats een vinkje bij Select All.
Wil je de door Opera opgeslagen wachtwoorden behouden, dan klik je in het venster dat verschijnt op "No".
Klik op de knop Empty Selected.
Ga naar het tabblad "Main" en klik op de knop Exit om het programma af te sluiten.

Schakel Systeemherstel uit. Herstart de computer. Schakel Systeemherstel weer in.
Kijk hier hoe je je systeemherstel moet uitschakelen.
Hiermee verwijder je eventuele restanten van de infecties uit je systeemherstel.

De gebruikte programma's + bijbehorende logfiles mag je verwijderen

Mededeling

Vastloper en pop-ups

Vastloper en pop-ups

Comment

Comment

Comment

Comment

Comment

Comment

Comment