Archief - Hardnekkige infectie

Het archief is een bevroren moment uit een vorige versie van dit forum, met andere regels en andere bazen. Deze posts weerspiegelen op geen enkele manier onze huidige ideeën, waarden of wereldbeelden en zijn op sommige plaatsen gecensureerd wegens ontoelaatbaar. Veel zijn in een andere tijdsgeest gemaakt, al dan niet ironisch - zoals in het ironische subforum Off-Topic - en zouden op dit moment niet meer gepost (mogen) worden. Toch bieden we dit archief nog graag aan als informatiedatabank en naslagwerk. Lees er hier meer over of start een gesprek met anderen.
E

Epyon

Legacy Member
Hoe hij het iedere keer doet is me een raadsel, maar nu is mijn broer er in geslaagd zijn pc een infectie te doen oplopen die zelfs ik er niet kan uit halen :p . Norton alarmeert over het bestand ssqpmlk.dll, wat me zelf niet bekend is. Uit een HT logje blijkt dat er wss nog enkele andere dll's boosdoeners zijn, nl jukljprn.dll en pmnnk.dll. Volgens HT zijn het allemaal BHO's, dus waarschijnlijk zitten ze in Internet Exploder verweven (pc heeft soms last van IE pop-ups, ook al gebruiken we enkel Vuurvos).

Norton is niet in staat de dll's te verwijderen. Ook manueel gaat dit niet (bestand uiteraard in gebruik). Er is geen enkele verdachte service in msconfig te bemerken. Ook in veilige modus en na het afsluiten van alle afsluitbare services (waaronder uiteraard explorer) valt het niet te deleten. Ook HT slaagt er met een delete-on-boot niet in.

Volgens Proces Explorer zitten de dll's verweven met explorer en winlogon. Die laatste is natuurlijk niet meteen afsluitbaar ...

HT logje:

Logfile of Trend Micro HijackThis v2.0.0 (BETA)
Scan saved at 13:33:27, on 30/06/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\WINDOWS\RTHDCPL.EXE
C:\Program Files\NavNT\vptray.exe
C:\Program Files\NetLimiter\NetLimiter.exe
C:\WINDOWS\WebCam\M1000\M1000Mnt.exe
C:\Program Files\NavNT\defwatch.exe
C:\Program Files\NavNT\rtvscan.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe
C:\WINDOWS\system32\MsgSys.EXE
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Sunbelt Software\Personal Firewall\kpf4gui.exe
C:\Program Files\Sunbelt Software\Personal Firewall\kpf4gui.exe
C:\WINDOWS\system32\wuauclt.exe
D:\HiJackThis_v2.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.be/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O1 - Hosts: 169.254.7.31 HP0019BBED071F
O2 - BHO: (no name) - {1F6581D5-AA53-4b73-A6F9-41420C6B61F1} - C:\WINDOWS\system32\jukljprn.dll
O2 - BHO: (no name) - {56C81E9F-4516-4E8F-9114-216C1FAD5908} - C:\WINDOWS\system32\pmnnk.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: (no name) - {DC192567-65F9-4AB6-ADB7-E13575F81726} - C:\WINDOWS\system32\ssqpmlk.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [vptray] C:\Program Files\NavNT\vptray.exe
O4 - HKLM\..\Run: [NetLimiter] C:\Program Files\NetLimiter\NetLimiter.exe /s
O4 - HKLM\..\Run: [M1000Mnt] Rundll32.exe M1000Rmv.dll,WinMainRmv /StartStillMnt
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Lokale service')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Netwerkservice')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O10 - Unknown file in Winsock LSP: c:\windows\system32\nwprovau.dll
O17 - HKLM\System\CCS\Services\Tcpip\..\{CED71F1A-F364-4211-B5BC-3F1D5A903157}: NameServer = 85.255.116.146,85.255.112.196
O17 - HKLM\System\CCS\Services\Tcpip\..\{EE512998-E854-4B20-B31A-300156CD3543}: NameServer = 85.255.116.146,85.255.112.196
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.116.146 85.255.112.196
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.116.146 85.255.112.196
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.116.146 85.255.112.196
O20 - Winlogon Notify: pmnnk - C:\WINDOWS\system32\pmnnk.dll
O20 - Winlogon Notify: ssqpmlk - C:\WINDOWS\SYSTEM32\ssqpmlk.dll
O21 - SSODL: MSN Messenger - {280A7B65-8F00-438F-3E5A-1F039433FE60} - C:\WINDOWS\system32\dssdll32.dll (file missing)
O22 - SharedTaskScheduler: Preloader van browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Cache-daemon voor onderdeelcategorieën - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O23 - Service: DefWatch - Symantec Corporation - C:\Program Files\NavNT\defwatch.exe
O23 - Service: HP Port Resolver - Hewlett-Packard Company - C:\WINDOWS\system32\spool\drivers\w32x86\3\HPBPRO.EXE
O23 - Service: HP Status Server - Hewlett-Packard Company - C:\WINDOWS\system32\spool\drivers\w32x86\3\HPBOID.EXE
O23 - Service: Norton AntiVirus Client (Norton AntiVirus Server) - Symantec Corporation - C:\Program Files\NavNT\rtvscan.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: Sunbelt Personal Firewall 4 (SPF4) - Sunbelt Software - C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe

--
End of file - 4946 bytes

Ideeën, dokter?
J

Jurgenv1

Legacy Member
Je kan beter deze instructies opslaan omdat je pc zal moeten herstarten.
Download Wareoutfix van één van deze twee site's:

http://downloads.subratam.org/Fixwareout.exe
http://swandog46.geekstogo.com/Fixwareout.exe

Sla het op op je bureaublad en laat het runnen. Klik dan op Next, dan op Install, wees zeker dat "Run fixit" is aangevinkt en klik op Finish. De fix zal beginnen; volg de instructies die je krijgt. Er zal gevraagd worden of je je pc wilt herstarten; doe dit ook. Je computer zal nu wat trager opstarten, dit is normaal


Wanneer het bureaublad verschenen is, zal je een tekstbestandje zien te voorschijn komen (report.txt), post daarvan de inhoud hier met een nieuw hijackthis logje.
E

Epyon

Legacy Member
* report.txt

Fixwareout Last edited 6/27/2007
Post this report in the forums please
...
»»»»»Prerun check

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters
"nameserver"="85.255.116.146" <Value cleared.
HKEY_LOCAL_MACHINE\system\currentcontrolset\services\tcpip\parameters\interfaces\{CED71F1A-F364-4211-B5BC-3F1D5A903157}
"nameserver"="85.255.116.146,85.255.112.196" <Value cleared.
HKEY_LOCAL_MACHINE\system\currentcontrolset\services\tcpip\parameters\interfaces\{EE512998-E854-4B20-B31A-300156CD3543}
"nameserver"="85.255.116.146,85.255.112.196" <Value cleared.
HKEY_LOCAL_MACHINE\system\currentcontrolset\services\tcpip\parameters\interfaces\{9661753B-00EB-4D44-9A49-6BAEA0F38A6C}
"DhcpNameServer"="85.255.116.146,85.255.112.196" <Value cleared.

De DNS-omzettingscache is leeggemaakt.


System was rebooted successfully.

»»»»» Postrun check
HKLM\SOFTWARE\~\Winlogon\ "System"=""
....
....
»»»»» Misc files.
....
»»»»» Checking for older varients.
....
»»»»» Current runs (hklm hkcu "run" Keys Only)
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"NvCplDaemon"="RUNDLL32.EXE C:\\WINDOWS\\system32\\NvCpl.dll,NvStartup"
"NvMediaCenter"="RUNDLL32.EXE C:\\WINDOWS\\system32\\NvMcTray.dll,NvTaskbarInit"
"RTHDCPL"="RTHDCPL.EXE"
"Alcmtr"="ALCMTR.EXE"
"vptray"="C:\\Program Files\\NavNT\\vptray.exe"
"NetLimiter"="C:\\Program Files\\NetLimiter\\NetLimiter.exe /s"
"M1000Mnt"="Rundll32.exe M1000Rmv.dll,WinMainRmv /StartStillMnt"

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
....
Hosts file was reset, If you use a custom hosts file please replace it
»»»»» End report »»»»»

*hijackthis.txt

Logfile of Trend Micro HijackThis v2.0.0 (BETA)
Scan saved at 14:27:46, on 30/06/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\NavNT\defwatch.exe
C:\Program Files\NavNT\rtvscan.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Sunbelt Software\Personal Firewall\kpf4gui.exe
C:\WINDOWS\system32\MsgSys.EXE
C:\WINDOWS\Explorer.EXE
C:\Program Files\Sunbelt Software\Personal Firewall\kpf4gui.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\WINDOWS\RTHDCPL.EXE
C:\Program Files\NavNT\vptray.exe
C:\Program Files\NetLimiter\NetLimiter.exe
C:\WINDOWS\WebCam\M1000\M1000Mnt.exe
C:\Program Files\Mozilla Firefox\firefox.exe
D:\HiJackThis_v2.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.be/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: (no name) - {16A0B1FD-6AD9-46C9-9315-BE44C6A50031} - C:\WINDOWS\system32\pmnnk.dll
O2 - BHO: (no name) - {1F6581D5-AA53-4b73-A6F9-41420C6B61F1} - C:\WINDOWS\system32\jukljprn.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: (no name) - {DC192567-65F9-4AB6-ADB7-E13575F81726} - C:\WINDOWS\system32\ssqpmlk.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [vptray] C:\Program Files\NavNT\vptray.exe
O4 - HKLM\..\Run: [NetLimiter] C:\Program Files\NetLimiter\NetLimiter.exe /s
O4 - HKLM\..\Run: [M1000Mnt] Rundll32.exe M1000Rmv.dll,WinMainRmv /StartStillMnt
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Lokale service')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Netwerkservice')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O10 - Unknown file in Winsock LSP: c:\windows\system32\nwprovau.dll
O20 - Winlogon Notify: pmnnk - C:\WINDOWS\system32\pmnnk.dll
O20 - Winlogon Notify: ssqpmlk - C:\WINDOWS\SYSTEM32\ssqpmlk.dll
O21 - SSODL: MSN Messenger - {280A7B65-8F00-438F-3E5A-1F039433FE60} - C:\WINDOWS\system32\dssdll32.dll (file missing)
O22 - SharedTaskScheduler: Preloader van browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Cache-daemon voor onderdeelcategorieën - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O23 - Service: DefWatch - Symantec Corporation - C:\Program Files\NavNT\defwatch.exe
O23 - Service: HP Port Resolver - Hewlett-Packard Company - C:\WINDOWS\system32\spool\drivers\w32x86\3\HPBPRO.EXE
O23 - Service: HP Status Server - Hewlett-Packard Company - C:\WINDOWS\system32\spool\drivers\w32x86\3\HPBOID.EXE
O23 - Service: Norton AntiVirus Client (Norton AntiVirus Server) - Symantec Corporation - C:\Program Files\NavNT\rtvscan.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: Sunbelt Personal Firewall 4 (SPF4) - Sunbelt Software - C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe

--
End of file - 4424 bytes
J

Jurgenv1

Legacy Member
Download combofix.exe: http://download.bleepingcomputer.com/sUBs/ComboFix.exe
Plaats het op je bureaublad.
Dubbelklik er op om het programma te starten.
In het scherm dat verschijnt tik je een Y in om het cleaningsprocess te starten.
Volg de instructies op het scherm.
Als het tooltje klaar is, opent er een logfile (combofix.txt) Post de inhoud van dit bestandje samen met een nieuwe hijackthislog.
E

Epyon

Legacy Member
* combofix.txt

"Epyon" - 2007-06-30 15:18:59 - ComboFix 07-06-27.7 - Service Pack 2 NTFS


(((((((((((((((((((((((((((((((((((((((((((( V Log )))))))))))))))))))))))))))))))))))))))))))))))))))))))


C:\WINDOWS\system32\knnmp.bak1
C:\WINDOWS\system32\knnmp.bak2
C:\WINDOWS\system32\knnmp.ini
C:\WINDOWS\system32\pmnnk.dll
C:\WINDOWS\system32\ssqpmlk.dll


* * * POST RUN FILES/FOLDERS * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * *



((((((((((((((((((((((((((((((((((((((( Other Deletions )))))))))))))))))))))))))))))))))))))))))))))))))


C:\Program Files\Common Files\microsoft shared\web folders\ibm00005.dll
C:\Program Files\Common Files\microsoft shared\web folders\ibm00006.dll


((((((((((((((((((((((((((((((((((((((( Drivers/Services )))))))))))))))))))))))))))))))))))))))))))))))))


-------\LEGACY_DOMAINSERVICE
-------\DomainService
-------\nm


((((((((((((((((((((((((( Files Created from 2007-05-28 to 2007-06-30 )))))))))))))))))))))))))))))))


2007-06-30 15:16 49,152 --a------ C:\WINDOWS\nircmd.exe
2007-06-30 14:23 7,653 --a------ C:\dnsbak.reg
2007-06-30 13:31 66,112 --a------ C:\WINDOWS\system32\jukljprn.dll
2007-06-30 12:35 524,288 --ah----- C:\DOCUME~1\ADMINI~1.PCB\NTUSER.DAT
2007-06-30 12:35 <DIR> dr------- C:\DOCUME~1\ADMINI~1.PCB\Menu Start
2007-06-30 12:35 <DIR> d--h----- C:\DOCUME~1\ADMINI~1.PCB\Sjablonen
2007-06-30 12:35 <DIR> d--h----- C:\DOCUME~1\ADMINI~1.PCB\Onlangs geopend
2007-06-30 12:35 <DIR> d--h----- C:\DOCUME~1\ADMINI~1.PCB\Netwerkprinteromgeving
2007-06-30 12:35 <DIR> d-------- C:\DOCUME~1\ADMINI~1.PCB\Mijn documenten
2007-06-30 12:35 <DIR> d-------- C:\DOCUME~1\ADMINI~1.PCB\Favorieten
2007-06-30 12:35 <DIR> d-------- C:\DOCUME~1\ADMINI~1.PCB\Bureaublad
2007-06-29 12:02 128,576 --a------ C:\WINDOWS\system32\hgpmhevw.dll
2007-06-28 00:22 <DIR> d-------- C:\Program Files\MSN Messenger
2007-06-28 00:21 17,874,288 --a------ C:\Program Files\Install_Messenger.exe
2007-06-18 20:47 <DIR> d-------- C:\Program Files\Interlex 2
2007-06-18 20:46 879,026 --a------ C:\Program Files\ilxsetup.exe
2007-05-28 22:52 81,920 --a------ C:\WINDOWS\system32\vfwExtC.dll
2007-05-28 22:52 77,824 --a------ C:\WINDOWS\system\FiltProp.dll
2007-05-28 22:52 40,960 --a------ C:\WINDOWS\system32\vfwECamC.dll
2007-05-28 22:52 3,116,944 --a------ C:\TEMP\Bs350u2Install.exe
2007-05-28 22:52 240,768 --a------ C:\WINDOWS\system32\drivers\Bs350u2.sys
2007-05-28 22:52 2,158 --a------ C:\WINDOWS\system32\drivers\CamH0110.bin
2007-05-28 22:52 2,158 --a------ C:\WINDOWS\system32\drivers\CamF0110.bin
2007-05-28 22:52 122,939 --a------ C:\WINDOWS\Bs350u2r.exe
2007-05-28 22:52 <DIR> d-------- C:\WINDOWS\VdCap03C
2007-05-28 22:52 <DIR> d-------- C:\WINDOWS\Options
2007-05-27 19:15 <DIR> d-------- C:\Program Files\Hewlett-Packard
2007-05-27 19:14 827,392 -ra------ C:\WINDOWS\system32\hpotiop2.dll
2007-05-27 19:14 77,824 -ra------ C:\WINDOWS\system32\HPZIDS01.dll
2007-05-27 19:14 659,456 -ra------ C:\WINDOWS\system32\hpowiax2.dll
2007-05-27 19:14 6,912 --a------ C:\WINDOWS\system32\drivers\serscan.sys
2007-05-27 19:14 38,400 --a------ C:\WINDOWS\system32\hpz3l054.dll
2007-05-27 19:14 254,026 -ra------ C:\WINDOWS\system32\hpovst09.dll
2007-05-27 19:13 94,208 --a------ C:\WINDOWS\system32\HPZipt12.dll
2007-05-27 19:13 69,632 --a------ C:\WINDOWS\system32\HPZipm12.exe
2007-05-27 19:13 65,536 --a------ C:\WINDOWS\system32\HPZinw12.exe
2007-05-27 19:13 57,344 --a------ C:\WINDOWS\system32\HPZisn12.dll
2007-05-27 19:13 31,616 --a------ C:\WINDOWS\system32\drivers\usbccgp.sys
2007-05-27 19:13 306,688 --a------ C:\WINDOWS\IsUninst.exe
2007-05-27 19:13 282,680 --a------ C:\WINDOWS\system32\HPZidr12.dll
2007-05-27 19:13 25,856 --a------ C:\WINDOWS\system32\drivers\usbprint.sys
2007-05-27 19:13 204,800 --a------ C:\WINDOWS\system32\HPZipr12.dll
2007-05-27 19:13 119,004 --a------ C:\WINDOWS\hpoins11.dat
2007-05-27 19:12 98,304 --a------ C:\WINDOWS\system32\hpzjsn01.dll
2007-05-27 19:12 11,634 --------- C:\WINDOWS\hpomdl11.dat
2007-05-27 19:08 47,263,416 --a------ C:\TEMP\AiO_071_000_201_000_CDA_DriverOnly_Network_nld.exe
2007-05-27 18:40 229,376 --a------ C:\DOCUME~1\LOCALS~1\ntuser.dat
2007-05-27 18:40 1,048,576 --a------ C:\DOCUME~1\Epyon\ntuser.dat
2007-05-27 18:36 41,984 -ra------ C:\WINDOWS\system32\drivers\dlkfet5b.sys
2007-05-27 18:34 <DIR> d-------- C:\TEMP\530TX
2007-05-27 17:56 <DIR> d-------- C:\Program Files\Flatbed Scanner
2007-05-26 18:48 <DIR> d-------- C:\WINDOWS\CSC
2007-05-26 18:42 524,288 --ah----- C:\DOCUME~1\ADMINI~1\NTUSER.DAT
2007-05-26 18:42 <DIR> d-------- C:\DOCUME~1\ADMINI~1\Sjablonen
2007-05-26 17:24 <DIR> d-------- C:\TEMP\DL
2007-05-25 20:37 <DIR> d-------- C:\DOCUME~1\Epyon\UserData
2007-05-25 20:31 <DIR> d-------- C:\DOCUME~1\Epyon\APPLIC~1\HP
2007-05-25 20:29 <DIR> d-------- C:\DOCUME~1\ALLUSE~1\APPLIC~1\HP
2007-05-25 20:10 <DIR> d-------- C:\DOCUME~1\ALLUSE~1\APPLIC~1\Sonic
2007-05-25 20:07 <DIR> d-------- C:\WINDOWS\system32\URTTemp
2007-05-25 20:05 827,392 --a------ C:\WINDOWS\system32\hpotiop2(3).dll
2007-05-25 20:05 827,392 --a------ C:\WINDOWS\system32\hpotiop2(2).dll
2007-05-25 20:05 659,456 --a------ C:\WINDOWS\system32\hpowiax2(3).dll
2007-05-25 20:05 659,456 --a------ C:\WINDOWS\system32\hpowiax2(2).dll
2007-05-25 20:05 38,400 --a------ C:\WINDOWS\system32\hpz3l054(3).dll
2007-05-25 20:05 38,400 --a------ C:\WINDOWS\system32\hpz3l054(2).dll
2007-05-25 20:05 254,026 --a------ C:\WINDOWS\system32\hpovst09(2).dll
2007-05-25 20:05 <DIR> d-------- C:\Program Files\Common Files\Hewlett-Packard
2007-05-25 19:47 <DIR> d-------- C:\TEMP
2007-05-25 19:45 <DIR> d-------- C:\Program Files\HP
2007-05-19 22:30 <DIR> d-------- C:\DOCUME~1\LOCALS~1\APPLIC~1\Help
2007-05-19 22:28 73,728 --a------ C:\WINDOWS\system\M1000Rmv.dll
2007-05-19 22:28 69,632 --a------ C:\WINDOWS\system32\M1000DIF.dll
2007-05-19 22:28 45,056 --a------ C:\WINDOWS\system\M1000LAp.exe
2007-05-19 22:28 3,716 --a------ C:\WINDOWS\system32\drivers\C10H3111.bin
2007-05-19 22:28 3,716 --a------ C:\WINDOWS\system32\drivers\C10H2111.bin
2007-05-19 22:28 3,716 --a------ C:\WINDOWS\system32\drivers\C10H0121.bin
2007-05-19 22:28 3,716 --a------ C:\WINDOWS\system32\drivers\C10H0111.bin
2007-05-19 22:28 3,716 --a------ C:\WINDOWS\system32\drivers\C10F3111.bin
2007-05-19 22:28 3,716 --a------ C:\WINDOWS\system32\drivers\C10F2111.bin
2007-05-19 22:28 3,716 --a------ C:\WINDOWS\system32\drivers\C10F0121.bin
2007-05-19 22:28 3,716 --a------ C:\WINDOWS\system32\drivers\C10F0111.bin
2007-05-19 22:28 296,032 --a------ C:\WINDOWS\system32\drivers\M1000KNT.sys
2007-05-19 22:28 126,976 --a------ C:\WINDOWS\system\M1000Dex.dll
2007-05-19 22:28 114,688 --a------ C:\WINDOWS\system\M1000Vex.dll
2007-05-19 22:28 <DIR> d-------- C:\WINDOWS\WebCam
2007-05-19 22:28 <DIR> d-------- C:\WINDOWS\M10Setup
2007-05-19 22:26 <DIR> d-------- C:\Program Files\WebCam
2007-05-14 16:57 <DIR> d-------- C:\Program Files\Foxit Software
2007-05-12 13:42 <DIR> d-------- C:\WINDOWS\ShellNew
2007-05-12 13:38 <DIR> d-------- C:\WINDOWS\system32\appmgmt


(((((((((((((((((((((((((((((((((((((((( Find3M Report ))))))))))))))))))))))))))))))))))))))))))))))))))))

2007-05-28 20:52:54 -------- d--h--w C:\Program Files\InstallShield Installation Information
2007-05-25 18:08:54 75,240 ----a-w C:\WINDOWS\system32\perfc013.dat
2007-05-25 18:08:54 497,894 ----a-w C:\WINDOWS\system32\perfh013.dat
2007-05-19 20:30:51 -------- d-----w C:\Program Files\NavNT
2007-05-19 20:25:14 -------- d-----w C:\Program Files\Common Files\InstallShield
2007-05-06 13:13:58 -------- d-----w C:\Program Files\LimeWire
2007-04-27 21:54:44 1,156 ----a-w C:\WINDOWS\mozver.dat
2007-04-19 18:39:48 0 ----a-w C:\WINDOWS\nsreg.dat
2007-04-19 17:33:44 0 --sha-r C:\MSDOS.SYS
2007-04-19 17:33:44 0 --sha-r C:\IO.SYS
2007-04-19 17:33:44 0 ----a-w C:\CONFIG.SYS
2007-04-19 17:33:44 0 ----a-w C:\AUTOEXEC.BAT
2007-04-19 17:31:16 21,748 ----a-w C:\WINDOWS\system32\emptyregdb.dat


((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))))


*Note* empty entries & legit default entries are not shown

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects]
{9030D464-4C02-4ABF-8ECC-5164760863C6}=C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll [2006-08-31 20:33]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"RTHDCPL"="RTHDCPL.EXE" [2006-09-06 05:44 C:\WINDOWS\RTHDCPL.EXE]
"Alcmtr"="ALCMTR.EXE" [2005-05-03 12:43 C:\WINDOWS\ALCMTR.EXE]
"vptray"="C:\Program Files\NavNT\vptray.exe" [2001-09-24 07:59]
"NetLimiter"="C:\Program Files\NetLimiter\NetLimiter.exe" [2004-01-23 21:33]
"M1000Mnt"="M1000Rmv.dll" []

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
"{280A7B65-8F00-438F-3E5A-1F039433FE60}"="%SystemRoot%\system32\dssdll32.dll" []

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupfolder\C:^Documents and Settings^All Users^Menu Start^Programma's^Opstarten^Microsoft Office.lnk]
path=C:\Documents and Settings\All Users\Menu Start\Programma's\Opstarten\Microsoft Office.lnk
backup=C:\WINDOWS\pss\Microsoft Office.lnkCommon Startup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupfolder\C:^Documents and Settings^Epyon^Menu Start^Programma's^Opstarten^Watch.lnk]
path=C:\Documents and Settings\Epyon\Menu Start\Programma's\Opstarten\Watch.lnk
backup=C:\WINDOWS\pss\Watch.lnkStartup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\BisonCom]
C:\WINDOWS\VdCap03C\BisonCom

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\icq.com]
rundll32.exe "C:\WINDOWS\system32\hgpmhevw.dll",forkonce

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\M1000Mnt]
Rundll32.exe M1000Rmv.dll,WinMainRmv /StartStillMnt

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MSMSGS]
"C:\Program Files\Messenger\msmsgs.exe" /background

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\nwiz]
nwiz.exe /install

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SkyTel]
SkyTel.EXE

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SManager]
smanager.7.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SunJavaUpdateSched]
C:\Program Files\Java\jre1.5.0_03\bin\jusched.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\services]
"KPF4"=2 (0x2)
"DomainService"=2 (0x2)
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Svchost - netsvcs
NtmlSvc


**************************************************************************

catchme 0.3.721 W2K/XP/Vista - userland rootkit detector by Gmer, http://www.gmer.net
Rootkit scan 2007-06-30 15:22:04
Windows 5.1.2600 Service Pack 2 NTFS

scanning hidden processes ...

scanning hidden autostart entries ...

scanning hidden files ...

scan completed successfully
hidden files: 0

**************************************************************************

Completion time: 2007-06-30 15:23:38 - machine was rebooted
C:\ComboFix-quarantined-files.txt ... 2007-06-30 15:23

--- E O F ---

* hijackthis.txt

Logfile of Trend Micro HijackThis v2.0.0 (BETA)
Scan saved at 15:26:15, on 30/06/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\NavNT\defwatch.exe
C:\Program Files\NavNT\rtvscan.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Sunbelt Software\Personal Firewall\kpf4gui.exe
C:\WINDOWS\system32\MsgSys.EXE
C:\WINDOWS\RTHDCPL.EXE
C:\Program Files\NavNT\vptray.exe
C:\Program Files\NetLimiter\NetLimiter.exe
C:\WINDOWS\WebCam\M1000\M1000Mnt.exe
C:\Program Files\Sunbelt Software\Personal Firewall\kpf4gui.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\notepad.exe
C:\Program Files\Mozilla Firefox\firefox.exe
D:\HiJackThis_v2.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.be/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [vptray] C:\Program Files\NavNT\vptray.exe
O4 - HKLM\..\Run: [NetLimiter] C:\Program Files\NetLimiter\NetLimiter.exe /s
O4 - HKLM\..\Run: [M1000Mnt] Rundll32.exe M1000Rmv.dll,WinMainRmv /StartStillMnt
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Lokale service')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Netwerkservice')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O10 - Unknown file in Winsock LSP: c:\windows\system32\nwprovau.dll
O21 - SSODL: MSN Messenger - {280A7B65-8F00-438F-3E5A-1F039433FE60} - C:\WINDOWS\system32\dssdll32.dll (file missing)
O22 - SharedTaskScheduler: Preloader van browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Cache-daemon voor onderdeelcategorieën - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O23 - Service: DefWatch - Symantec Corporation - C:\Program Files\NavNT\defwatch.exe
O23 - Service: HP Port Resolver - Hewlett-Packard Company - C:\WINDOWS\system32\spool\drivers\w32x86\3\HPBPRO.EXE
O23 - Service: HP Status Server - Hewlett-Packard Company - C:\WINDOWS\system32\spool\drivers\w32x86\3\HPBOID.EXE
O23 - Service: Norton AntiVirus Client (Norton AntiVirus Server) - Symantec Corporation - C:\Program Files\NavNT\rtvscan.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: Sunbelt Personal Firewall 4 (SPF4) - Sunbelt Software - C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe

--
End of file - 3872 bytes


Dat ziet er idd al veel beter uit :) . Enkel nog één onbekende BHO, dunno of die kwaad kan?
J

Jurgenv1

Legacy Member
* Open hijackthis en vink volgende regel aan:

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE

* sluit dan alle vensters behalve hijackthis en klik op 'fix checked'

* Download OTMoveIt.exe en plaats het op je bureaublad:

Start OTMoveIt door dubbel te klikken op OTMoveIt.exe
In het linkerpaneel, waar het zegt: Paste List of Files/Folders to be Moved ,kopieer en plak je onderstaand gedeelte:

C:\WINDOWS\system32\jukljprn.dll
C:\WINDOWS\system32\hgpmhevw.dll

Klik daarna op de knop MoveIt onderaan.
Wanneer voltooid zal het een log aanmaken (********_******.log -- de * staat voor datum en tijd) in de volgende map: C:\_OTMoveIt\MovedFiles.
Post de inhoud daarvan in je volgende bericht.

* Download ATF cleaner (by Atribune)

Dubbelklik op ATF cleaner om het programma te starten.
Op het tabblad "Main", plaats je een vinkje bij Select All.
Klik op de knop Empty Selected.

Gebruik je ook Firefox als browser:
Klik op tabblad "Firefox", plaats een vinkje bij Select All.
Wil je de door Firefox opgeslagen wachtwoorden behouden, dan klik je in het venster dat verschijnt op "No".
(dit verwijdert het vinkje bij "Firefox saved passwords")
Klik op de knop Empty Selected.

Gebruik je ook Opera als browser:
Klik op tabblad "Opera", plaats een vinkje bij Select All.
Wil je de door Opera opgeslagen wachtwoorden behouden, dan klik je in het venster dat verschijnt op "No".
Klik op de knop Empty Selected.
Ga naar het tabblad "Main" en klik op de knop Exit om het programma af te sluiten.

* Voer dan een schijfdefragmentatie uit.

* Herstart je pc en post het logje van OTMoveIt hier met een nieuw hijackthis logje en vertel hoe alles verder werkt.
E

Epyon

Legacy Member
* OT MoveIt log (06302007_163637.txt)

DllUnregisterServer procedure not found in C:\WINDOWS\system32\jukljprn.dll
C:\WINDOWS\system32\jukljprn.dll NOT unregistered.
C:\WINDOWS\system32\jukljprn.dll moved successfully.
LoadLibrary failed for C:\WINDOWS\system32\hgpmhevw.dll
C:\WINDOWS\system32\hgpmhevw.dll NOT unregistered.
File move failed. C:\WINDOWS\system32\hgpmhevw.dll scheduled to be moved on reboot.

Created on 06/30/2007 16:36:37

* hijackthis.txt
Logfile of Trend Micro HijackThis v2.0.0 (BETA)
Scan saved at 17:26:01, on 30/06/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\RTHDCPL.EXE
C:\Program Files\NavNT\vptray.exe
C:\Program Files\NetLimiter\NetLimiter.exe
C:\WINDOWS\WebCam\M1000\M1000Mnt.exe
C:\Program Files\NavNT\defwatch.exe
C:\Program Files\NavNT\rtvscan.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Sunbelt Software\Personal Firewall\kpf4gui.exe
C:\WINDOWS\system32\MsgSys.EXE
C:\Program Files\Sunbelt Software\Personal Firewall\kpf4gui.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Program Files\Mozilla Firefox\firefox.exe
D:\HiJackThis_v2.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.be/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [vptray] C:\Program Files\NavNT\vptray.exe
O4 - HKLM\..\Run: [NetLimiter] C:\Program Files\NetLimiter\NetLimiter.exe /s
O4 - HKLM\..\Run: [M1000Mnt] Rundll32.exe M1000Rmv.dll,WinMainRmv /StartStillMnt
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Lokale service')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Netwerkservice')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O10 - Unknown file in Winsock LSP: c:\windows\system32\nwprovau.dll
O22 - SharedTaskScheduler: Preloader van browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Cache-daemon voor onderdeelcategorieën - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O23 - Service: DefWatch - Symantec Corporation - C:\Program Files\NavNT\defwatch.exe
O23 - Service: HP Port Resolver - Hewlett-Packard Company - C:\WINDOWS\system32\spool\drivers\w32x86\3\HPBPRO.EXE
O23 - Service: HP Status Server - Hewlett-Packard Company - C:\WINDOWS\system32\spool\drivers\w32x86\3\HPBOID.EXE
O23 - Service: Norton AntiVirus Client (Norton AntiVirus Server) - Symantec Corporation - C:\Program Files\NavNT\rtvscan.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: Sunbelt Personal Firewall 4 (SPF4) - Sunbelt Software - C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe

--
End of file - 3693 bytes

Alles blijkt op het eerste zicht terug te werken zoals vroeger. De file hgpmhevw.dll is echter wel niet verwijderd (staat nog steeds in de system32 map), dunno of dit kwaad kan?
J

Jurgenv1

Legacy Member
1. Download The Avenger by Swandog46 naar je Bureaublad.
  • Klik op Avenger.zip om het uit te pakken naar je bureaublad
2. Nu, start The Avenger door op het icoontje met het zwaard te dubbelklikken.
  • Onder "Script file to execute" kies "Input Script Manually".
  • Klik op het vergrootglas icoontje die een niew venster zal openen met de naam "View/edit script"
  • Kopieer en plak volgend volledig vetgedrukt erin:
    Files to delete:
    C:\WINDOWS\system32\hgpmhevw.dll
    Klik om te vergroten...

    Opgelet: Bovenstaande code werd enkel gemaakt voor deze computer/situatie/user. Indien je deze code op een andere computer gebruikt kan het schade toebrengen!
  • Klik Done
  • Daarna klik op het Groen verkeerslicht om het script uit te voeren
  • Antwoord "Yes/Ja" wanneer daarnaar gevraagd wordt.
3. The Avenger zal daarna het volgende doen:
  • Uw computer herstarten. ( In gevallen waar het script een code bevat met "Drivers to Unload", dan zal The Avenger tweemaal uw systeem herstarten)
  • Na herstart, zal het vlug een zwart command window openen. Dit is normaal.
  • Na herstart, zal het een log maken die zal openen met de resultaten van The Avenger. Deze log zal te vinden zijn op C:\avenger.txt
  • The Avenger maakt ook backups aan met alle bestanden, etc., die eerder werden verwijderd door The Avenger, deze backups bevinden zich op volgende plaats: C:\avenger\backup.zip.
4. Kopieer en plak de inhoud van avenger.txt in je volgende post samen met een nieuw hijackthislog.
E

Epyon

Legacy Member
* avenger.txt

Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\hgytfcig

*******************

Script file located at: \??\C:\Program Files\ipocxivx.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

File C:\WINDOWS\system32\hgpmhevw.dll deleted successfully.

Completed script processing.

*******************

Finished! Terminate.


* hijackthis.txt

Logfile of Trend Micro HijackThis v2.0.0 (BETA)
Scan saved at 17:58:31, on 30/06/2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\RTHDCPL.EXE
C:\Program Files\NavNT\vptray.exe
C:\Program Files\NetLimiter\NetLimiter.exe
C:\WINDOWS\WebCam\M1000\M1000Mnt.exe
C:\WINDOWS\system32\notepad.exe
C:\Program Files\NavNT\defwatch.exe
C:\Program Files\NavNT\rtvscan.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Sunbelt Software\Personal Firewall\kpf4gui.exe
C:\WINDOWS\system32\MsgSys.EXE
C:\Program Files\Sunbelt Software\Personal Firewall\kpf4gui.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\wuauclt.exe
D:\HiJackThis_v2.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.be/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [vptray] C:\Program Files\NavNT\vptray.exe
O4 - HKLM\..\Run: [NetLimiter] C:\Program Files\NetLimiter\NetLimiter.exe /s
O4 - HKLM\..\Run: [M1000Mnt] Rundll32.exe M1000Rmv.dll,WinMainRmv /StartStillMnt
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Lokale service')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Netwerkservice')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O10 - Unknown file in Winsock LSP: c:\windows\system32\nwprovau.dll
O22 - SharedTaskScheduler: Preloader van browseui - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Cache-daemon voor onderdeelcategorieën - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O23 - Service: DefWatch - Symantec Corporation - C:\Program Files\NavNT\defwatch.exe
O23 - Service: HP Port Resolver - Hewlett-Packard Company - C:\WINDOWS\system32\spool\drivers\w32x86\3\HPBPRO.EXE
O23 - Service: HP Status Server - Hewlett-Packard Company - C:\WINDOWS\system32\spool\drivers\w32x86\3\HPBOID.EXE
O23 - Service: Norton AntiVirus Client (Norton AntiVirus Server) - Symantec Corporation - C:\Program Files\NavNT\rtvscan.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: Sunbelt Personal Firewall 4 (SPF4) - Sunbelt Software - C:\Program Files\Sunbelt Software\Personal Firewall\kpf4ss.exe

--
End of file - 3726 bytes

File is nu idd verwijderd, alles terug normaal :) . You're a lifesaver, Jurgenv1 :niceone: .
J

Jurgenv1

Legacy Member
You're welcome. ;)


Nog een paar tips om problemen te voorkomen in de toekomst:

Installeer alvast volgende GRATIS programmatjes indien je ze nog niet hebt:

Spywareblaster
Adaware se
Spybot s&d


Tijdens het surfen, klik niet overal klakkeloos op ja als je dit gevraagd wordt... doe dit enkel wanneer je het volledig vertrouwt.

En kies eventueel een alternatieve browser zoals Opera of Firefox.

En ik raad je ook aan om af en toe een online virusscan uit te voeren. housecall en/of Bitdefender. Want, wat de ene scanner niet kan vinden, kan een andere misschien wel.
Zorg er ook voor dat je virusscanner die op je systeem geïnstalleerd is altijd up to date is!!

En... geregeld eens een bezoekje brengen aan: http://windowsupdate.microsoft.com/

Bekijk ook eens deze 2 filmpjes.. Heel interessant:
http://www2.trosradar.nl/mediaplayer/player.php?videoID=524&mode=dossier#
http://www.benedelman.org/spyware/security-111804.wmv


Meer preventietips zijn ook op volgende sites te vinden:

http://www.bluemedicine.be
http://users.telenet.be/marcvn/spyware
How did I get infected in the first place (article by TonyKlein)
Het voorkomen van spyware-infecties en browserhijacking
Het archief is een bevroren moment uit een vorige versie van dit forum, met andere regels en andere bazen. Deze posts weerspiegelen op geen enkele manier onze huidige ideeën, waarden of wereldbeelden en zijn op sommige plaatsen gecensureerd wegens ontoelaatbaar. Veel zijn in een andere tijdsgeest gemaakt, al dan niet ironisch - zoals in het ironische subforum Off-Topic - en zouden op dit moment niet meer gepost (mogen) worden. Toch bieden we dit archief nog graag aan als informatiedatabank en naslagwerk. Lees er hier meer over of start een gesprek met anderen.
Terug
Bovenaan