Mededeling

**Bobbi Flekman** · 22-12-04, 14:20

Hi koning,

Download, in plaats van opstarten vanaf het web, HijackThis en plaats het bestand in een map; bij voorkeur naar c:\Program Files\HijackThis. Overal is goed, behalve je Bureaublad of een tijdelijke map. Als HijackThis in een tijdelijke map loop je het risico dat backups verwijderd worden, en het Bureaublad wordt anders een puinhoop met alle backups.
Als je Windows XP gebruikt, kan het zijn dat je hebt dubbelgeklikt op het bestand HijackThis.exe. Dan wordt het programma uitgepakt naar en tijdelijke map. Selecteer het bestand pak het uit.

Hoe maak je een nieuwe map:

Klik op "Mijn Computer", dan "C:\" en op "Program Files".
Uit het menu kies "Bestand"->"Nieuw"->"Map"
Dat maakt een map met de naam "Nieuwe map", die je kan hernoemen tot "HJT" of "HijackThis"
Nu heb je "C:\Program Files\HijackThis". Plaats HijackThis.exe daar.

Open het Configuratiescherm, dan "Software" en "Programma's wijzigen of verwijderen". Selecteer de volgende onderdelen en klik op "Verwijderen" voor elk van deze:

Active Alert
Internet Optimizer

Download AboutBuster

Pak dit uit naar je Bureaublad maar start het nog niet. Dan doen we later in veilige modus.
Print deze instructies zodat je ze bij de hand hebt. Een aantal dingen moeten gedaan worden in veilige mode en je mag niet online zijn. Internet Explorer moet gesloten blijven tijdens het werk.
Zorg dat je verborgen bestanden kan zien. Hoe toon ik verborgen bestanden?
Start HijackThis, klik op "Scan" and kruis de volgende onderdelen aan.

O23 - Service: Remote Procedure Call (RPC) Helper - Unknown - C:\WINDOWS.0\sdkei.exe

Sluit alle programma's, inclusief browsers, behalve HijackThis. Klik op "Fix checked".
Start je computer in beveiligde modus. Hoe start ik mijn computer in veilige modus?
Start HijackThis, klik op "Scan" and kruis de volgende onderdelen aan.

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS.0\rbihf.dll/sp.html#28129
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS.0\rbihf.dll/sp.html#28129
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS.0\rbihf.dll/sp.html#28129
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS.0\rbihf.dll/sp.html#28129
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS.0\rbihf.dll/sp.html#28129
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS.0\rbihf.dll/sp.html#28129
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS.0\rbihf.dll/sp.html#28129
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *new-search.net*;*x-google.net*

R3 - Default URLSearchHook is missing
O1 - Hosts file is located at: C:\WINDOWS.0\nsdb\hosts
O1 - Hosts: 82.179.166.192 new-search.net
O1 - Hosts: 82.179.166.190 x-google.net

O2 - BHO: (no name) - {3C66EDE0-0EFE-B55B-D2B4-18B80CFEE8EF} - C:\WINDOWS.0\system32\appnx32.dll

O4 - HKLM\..\Run: [winupdt] RUNDLL32.EXE c:\windows.0\ktwain.dll,_mainRD
O4 - HKLM\..\Run: [winupdtl] C:\WINDOWS.0\System32\winupdtl.exe
O4 - HKLM\..\Run: [xdhxdatpsf] C:\WINDOWS.0\System32\ilnsrht.exe
O4 - HKLM\..\Run: [pfnwbc] C:\WINDOWS.0\System32\pfnwbc.exe
O4 - HKLM\..\Run: [0sES34S] msdkcopy.exe
O4 - HKLM\..\Run: [rplpzc] C:\WINDOWS.0\System32\rplpzc.exe
O4 - HKLM\..\Run: [AutoUpdater] "C:\Program Files\AutoUpdate\AutoUpdate.exe"
O4 - HKLM\..\Run: [atlfr32.exe] C:\WINDOWS.0\system32\atlfr32.exe
O4 - HKLM\..\Run: [tibs3] C:\WINDOWS.0\System32\tibs3.exe
O4 - HKLM\..\Run: [IST Service] C:\Program Files\ISTsvc\istsvc.exe
O4 - HKLM\..\Run: [Internet Optimizer] "C:\Program Files\Internet Optimizer\optimize.exe"
O4 - HKLM\..\Run: [sais] c:\program files\180solutions\sais.exe
O4 - HKLM\..\Run: [Windows ServeAd] C:\Program Files\Windows ServeAd\WinServAd.exe
O4 - HKLM\..\Run: [vijsrqz] C:\WINDOWS\vijsrqz.exe
O4 - HKLM\..\RunOnce: [sdkei.exe] C:\WINDOWS.0\sdkei.exe
O4 - HKCU\..\Run: [JavaUpdate0.07] C:\WINDOWS.0\System32\stwrhc.exe
O4 - HKCU\..\Run: [HBx2RQenP] mrimans.exe

O15 - Trusted Zone: *.05p.com
O15 - Trusted Zone: *.awmdabest.com
O15 - Trusted Zone: *.blazefind.com
O15 - Trusted Zone: *.clickspring.net
O15 - Trusted Zone: *.flingstone.com
O15 - Trusted Zone: *.frame.crazywinnings.com
O15 - Trusted Zone: *.mt-download.com
O15 - Trusted Zone: *.my-internet.info
O15 - Trusted Zone: *.scoobidoo.com
O15 - Trusted Zone: *.searchbarcash.com
O15 - Trusted Zone: *.searchmiracle.com
O15 - Trusted Zone: *.slotch.com
O15 - Trusted Zone: *.static.topconverting.com
O15 - Trusted Zone: *.xxxtoolbar.com
O15 - Trusted Zone: *.05p.com (HKLM)
O15 - Trusted Zone: *.awmdabest.com (HKLM)
O15 - Trusted Zone: *.blazefind.com (HKLM)
O15 - Trusted Zone: *.clickspring.net (HKLM)
O15 - Trusted Zone: *.flingstone.com (HKLM)
O15 - Trusted Zone: *.frame.crazywinnings.com (HKLM)
O15 - Trusted Zone: *.mt-download.com (HKLM)
O15 - Trusted Zone: *.my-internet.info (HKLM)
O15 - Trusted Zone: *.scoobidoo.com (HKLM)
O15 - Trusted Zone: *.searchbarcash.com (HKLM)
O15 - Trusted Zone: *.searchmiracle.com (HKLM)
O15 - Trusted Zone: *.slotch.com (HKLM)
O15 - Trusted Zone: *.static.topconverting.com (HKLM)
O15 - Trusted Zone: *.xxxtoolbar.com (HKLM)
O15 - Trusted IP range: 206.161.125.149
O15 - Trusted IP range: 206.161.124.130 (HKLM)

O16 - DPF: {018A066F-584A-422F-AC4C-0B1F5FE5C040} (VacPro.olanda_ver3) - http://advnt01.com/dialer/olanda_ver3.CAB
O16 - DPF: {14A3221B-1678-1982-A355-7263B1281987} - ms-its:mhtml:file://C:\foo.mht!http://82.179.166.145/x15.chm::/trs15.exe
O16 - DPF: {15AD4789-CDB4-47E1-A9DA-992EE8E6BAD6} - http://static.windupdates.com/cab/CD...bridge-c46.cab
O16 - DPF: {22222222-2222-2222-2222-222222222222} - file://c:\x.cab
O16 - DPF: {386A771C-E96A-421F-8BA7-32F1B706892F} (Installer Class) - http://www.xxxtoolbar.com/ist/softwa...0006_adult.cab

O21 - SSODL: SystemCheck2 - {54645654-2225-4455-44A1-9F4543D34545} - C:\WINDOWS.0\System32\vbsys2 (file missing)

O23 - Service: Windows Installer - Unknown - C:\DOCUME~1\AMBROO~1.AMB\LOCALS~1\Temp\IXP000.TMP\MsiExec.exe (file missing)

Sluit alle programma's, inclusief browsers, behalve HijackThis. Klik op "Fix checked".

Verwijder de volgende bestanden in rood (het kan zijn dat ze al verwijderd zijn):

C:\WINDOWS.0\rbihf.dll
C:\WINDOWS.0\system32\appnx32.dll
c:\windows.0\ktwain.dll
C:\WINDOWS.0\System32\winupdtl.exe
C:\WINDOWS.0\System32\ilnsrht.exe
C:\WINDOWS.0\System32\pfnwbc.exe
C:\WINDOWS.0\System32\msdkcopy.exe
C:\WINDOWS.0\System32\rplpzc.exe
C:\WINDOWS.0\system32\atlfr32.exe
C:\WINDOWS.0\System32\tibs3.exe
C:\WINDOWS\vijsrqz.exe
C:\WINDOWS.0\sdkei.exe
C:\WINDOWS.0\System32\stwrhc.exe
C:\WINDOWS.0\System32\mrimans.exe
c:\x.cab
Alle bestanden in C:\Documents and Settings\ambroos.AMBROOS-X5V70AT\Local Settings\Temp

Verwijder de volgende mappen in rood (het kan zijn dat deze al verwijderd zijn):

C:\Program Files\AutoUpdate
C:\Program Files\ISTsvc
C:\Program Files\Internet Optimizer
c:\program files\180solutions
C:\Program Files\Windows ServeAd
Dubbelklik op AboutBuster die je al eerder had gedownload. Volg de instructies die het programma geeft en laat het twee scans doen (hij zal er zelf om vragen). Als dit is gedaan, klik op de "Save log" knop. Ik wil straks een kopie van deze log als alles gedaan is.
Scan met AdAware SE en laat het alles verwijderen wat het vindt.
Verwijder alle tijdelijke bestanden en .tif-bestanden. Klik op "Start" -> "Uitvoeren..." en type "cleanmgr". Klik op "Ok". Laat het je systeem scannen voor de lijst van te verwijderen bestanden. Kruis deze 3 aan en klik op "Ok'om te verwijderen:

Tijdelijke bestanden
Tijdelijke Internet-bestanden
Prullenbak
Herstart je computer in gewone mode.
LET OP: Tot vierr bestanden kunnen zijn verwijderd van je systeem door CoolWebSearch. Deze moeten worden vervangen.

Control.exe
Shell.dll
SDHelper.dll (als je Spybot Search & Destroy gebruikt)
Hosts bestand (geen extension)

Als control.exe, shell.dll of SDHelper ontbreekt.
Ga hierheen http://spywareinfo.com/~merijn/winfiles.html en download het benodigde bestand.

Bij een missend Hosts bestand:
Download Hoster
Klik op "Restore Original Hosts" en klik op "Ok"
Verlaat het programma.
N.b: als je een ander Hosts bestand gebruiktezal je de ontbrekende onderdelen zelf moeten toevoegen!

Als je Spybot S&D had geïnstalleerd en SDHelper.dll is weg, haal hier een vervanger:
http://www.spywareinfo.com/~merijn/w....html#sdhelper. Kopieer het bestand naar de map waar je SPybot S&D had geïnstalleerd (standaard is dit C:\Program Files\Spybot - Search & Destroy)
Ook nog: Check je ActiveX beveiligingsinstellingen. Deze zijn mogelijk verandert door deze variant van CWS naar het toelaten van ALLE ActiveX!! Als deze zijn verandert, zet dan de Beveiligingsinstellingen als aanbevolen.

ActiveX-besturingselementen en -invoegtoepassingen:
- ActiveX-besturingselementen met handtekening downloaden(vragen)
- ActiveX-besturingselementen zonder handtekening downloaden (Uitschakelen)
- ActiveX-besturingselementen die niet zijn gemarkeerd als veilig initialiseren en uitvoeren in scripts (Uitschakelen)
- ActiveX-besturingselementen en -invoegtoepassingen uitvoeren (Inschakelen) (Dit gaat eigenlijk over Java en Flash, niet over ActiveX)
- ActiveX-besturingselementen die zijn gemarkeerd als veilig voor uitvoeren van scripts (Vragen)
Laat je computer scannen op het volgende adres. Laat het alles weghalen wat het vindt.
Trend Micro (PC-Cillin) - Free On-line Scan

Als dit allemaal is gedaan, post dan een nieuwe HijackThis log en de log van AboutBuster.

**Buffy** · 20-07-05, 22:36

Aangezien reactie is uitgebleven, veronderstel ik dat het probleem is opgelost en sluit ik deze thread.

Mededeling

log van koning

log van koning

Comment

Comment