Archief - IEXPLORE.EXE tijdens het opstarten

Ik heb 2 windows XP profesional pc's en één ervan heeft een raar probleem
Bij het opstarten is in taskmanager IEXPLORE.EXE al aanwezig en neemt veel geheugen weg, maar er zijn geen vensters van internet explorer open, na veel zoeken op het net heb ik gevonden dat dat een trojan kan zijn maar als ik security task manager opstart dan blijkt dat de IEXPLORE.EXE die opstart het gewone internet explorer opstartbestand van microsoft te zijn

Ik heb gezocht in msconfig en in de run mappen in de registry maar nergens iets gevonden

Iemand enig idee hoe ik dit kan oplossen


Thanks

Als je onlangs MessengerPlus geïnstalleerd hebt is dat waarschijnlijk de reden. Deïnstalleer MessengerPlus en herinstalleer maar zonder de sponsors aan te vinken.

Als dat níet de oorzaak is moet je eens een HiJackThis-log posten.

Steven

messenger plus heb ik nie, alleen de gewone msn messenger

hier die log file

gms zei:

hier die log file

Klik om te vergroten...

waar?

sorry foutje

Logfile of HijackThis v1.99.0
Scan saved at 22:01:16, on 19/01/2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\ibmpmsvc.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\NORTON~1\NORTON~1\NPROTECT.EXE
C:\Program Files\Panda Antivirus Platinum\pavsrv51.exe
C:\PROGRA~1\NORTON~1\NORTON~1\SPEEDD~1\NOPDB.EXE
C:\Program Files\Panda Antivirus Platinum\AVENGINE.EXE
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Common Files\Symantec Shared\CCPD-LC\symlcsvc.exe
C:\Program Files\Panda Antivirus Platinum\apvxdwin.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\ltmsg.exe
C:\PROGRA~1\ThinkPad\UTILIT~1\tphkmgr.exe
C:\Program Files\D-Tools\daemon.exe
C:\WINDOWS\system32\ctfmon.exe
C:\U.S.R.TurboGWLAN\USRWLANG.exe
C:\Program Files\internet explorer\iexplore.exe
C:\Program Files\Panda Antivirus Platinum\pavProxy.exe
C:\WINDOWS\System32\svchost.exe
F:\From The Internet\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\Program Files\Copernic Agent\CopernicAgentExt.dll/INTEGRATION_BAND_SEARCHBAR_HTML
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.verkenner.be/v160/homepagina_frame.php3?menu=menu.php3&hoofd=homepagina_algemeen.php3
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = proxy.pandora.be:8080
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
R3 - URLSearchHook: (no name) - {BE89472C-B803-4D1D-9A9A-0A63660E0FE3} - C:\PROGRA~1\COPERN~1\COPERN~1.DLL
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Program Files\Spybot\SDHelper.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
O4 - HKLM\..\Run: [BMMLREF] C:\Program Files\ThinkPad\Utilities\BMMLREF.EXE
O4 - HKLM\..\Run: [BMMMONWND] rundll32.exe C:\PROGRA~1\ThinkPad\UTILIT~1\BatInfEx.dll,BMMAutonomicMonitor
O4 - HKLM\..\Run: [LTWinModem1] ltmsg.exe 9
O4 - HKLM\..\Run: [TpHotkey] "C:\PROGRA~1\ThinkPad\UTILIT~1\tphkmgr.exe"
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Program Files\D-Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [SCANINICIO] "C:\Program Files\Panda Antivirus Platinum\Inicio.exe"
O4 - HKLM\..\Run: [APVXDWIN] "C:\Program Files\Panda Antivirus Platinum\APVXDWIN.EXE" /s
O4 - HKLM\..\Run: [cc_app] C:\WINDOWS\system32\OEM_Dir\win_asr.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: U.S. Robotics 802.11g Wireless Network Utility.lnk = ?
O8 - Extra context menu item: &Google Search - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Gelijkwaardige pagina's - res://C:\Program Files\Google\GoogleToolbar1.dll/cmsimilar.html
O8 - Extra context menu item: Koppelingspagina's - res://C:\Program Files\Google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Opgeslagen momentopname van de pagina - res://C:\Program Files\Google\GoogleToolbar1.dll/cmcache.html
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O12 - Plugin for .spop: C:\Program Files\Internet Explorer\Plugins\NPDocBox.dll
O12 - Plugin for .UVR: C:\Program Files\Internet Explorer\Plugins\NPUPano.dll
O16 - DPF: {74FFE28D-2378-11D5-990C-006094235084} (IBM Access Support) - https://www-3.ibm.com/pc/support/access/aslibmain/content/IbmEgath.cab
O16 - DPF: {E598AC61-4C6F-4F4D-877F-FAC49CA91FA3} (acpRunner Class) - https://www-3.ibm.com/pc/support/access/aslibmain/content/AcpControl.cab
O23 - Service: IBM PM Service - Unknown - C:\WINDOWS\system32\ibmpmsvc.exe
O23 - Service: Norton Unerase Protection - Symantec Corporation - C:\PROGRA~1\NORTON~1\NORTON~1\NPROTECT.EXE
O23 - Service: Panda anti-virus service - Unknown - C:\Program Files\Panda Antivirus Platinum\pavsrv51.exe
O23 - Service: Speed Disk service - Symantec Corporation - C:\PROGRA~1\NORTON~1\NORTON~1\SPEEDD~1\NOPDB.EXE
O23 - Service: Symantec Core LC - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\CCPD-LC\symlcsvc.exe


Zoals ge kunt zien loopt internet explorer terwijl ik geen vensters heb open staan

Te fixen:
O4 - HKLM\..\Run: [cc_app] C:\WINDOWS\system32\OEM_Dir\win_asr.exe

Herstart de pc daarna en controleer of het probleem verdwenen is.

Steven

inderdaad, dat was het

Maar nu is de vraag wat dat juist was, geen enkele zoek engine op internet komt met iets op als ik zoek achter win_asr.exe
da programmake staat in een map C:\WINDOWS\system32\OEM_Dir
al die bestanden in die map hebben dezelfde datum van aanmaken
zondag 16 januari om 23:52, zou ik die map gewoon afvegen?

Bedankt voor de hulp

Die map mag je inderdaad verwijderen. Als Google geen enkel resultaat toont is het spy/adware die een unieke naam kan genereren.

Steven

ik heb net gevonden wat het was

Het komt heel veel overeen met Backdoor.Assasin.F

http://www.isecuritysource.com/threats/trojanhorse/backdoor-assasin-f.aspx

de lijst van files is ongeveer hetzelfde maar dan met uitzondering dat in plaats van ide bij mij win_asr staat en de map oem_dir noemt in plaats van ide

Ik vermoed dat dir een onbekende variant op deze worm is