Archief - spyware probleem

Ik ken iemand en die heeft Spyware (process "netkw.exe") op zijn pc staan. Ad-aware vind deze spyware, maar het verwijderen helpt niets want nadien staat het er gewoon terug.

De info die ad-aware geeft over het schadelijke programma is:

Mogelijk browser-Hacker poging : Software\Microsoft\Internet Explorer\MainStart Page.dll/index.html

Possible Browser Hijack attempt Object herkend!

Typ : Reg. Bestanden

Data : "res://ncwxu.dll/index.html#96676"

Rootkey : HKEY_CURRENT_USER

Object : Software\Microsoft\Internet Explorer\Main

Waarde : Start Page

Data : "res://ncwxu.dll/index.html#96676"


Het adres achter "data" is de websit die altijd ongewenst als startpagina blijft komen.

Iemand enige ideën om dit probleem op te lossen?

probeert es me spybot

Is de nieuwste variant van coolwebsearch, die kaapt je startpagina. Het werkt met een aantal trojanen met willekeurige namen. Download hijackthis(zie sticky spyware). Post het log hier.

gaat het ook niet via cwshredder?

http://www.spywareinfo.com/~merijn/downloads.html

CWshredder wordt niet meer geüpdatet. Merijn is aan hogere studies bezig (of iets dergelijks, site werkt niet volledig)

Logfile of HijackThis v1.97.7
Scan saved at 11:43:28, on 19/07/2004
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Common Files\Symantec Shared\ccSetMgr.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe
C:\Program Files\Norton AntiVirus\navapsvc.exe
C:\Program Files\Norton AntiVirus\AdvTools\NPROTECT.EXE
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Common Files\Symantec Shared\ccApp.exe
C:\WINDOWS\system32\syswg32.exe
C:\WINDOWS\System32\hphmon05.exe
C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb09.exe
C:\Program Files\Hewlett-Packard\HP Software Update\HPWuSchd.exe
C:\Program Files\Adaptec\Easy CD Creator 5\DirectCD\DirectCD.exe
C:\Program Files\Multimedia Hotkey Program\MMKbd.exe
C:\WINDOWS\System32\devldr32.exe
C:\Program Files\Telenet EasyCare\bin\mpbtn.exe
C:\WINDOWS\System32\wuauclt.exe
C:\WINDOWS\System32\HPZipm12.exe
C:\Program Files\Norton AntiVirus\SAVScan.exe
C:\WINDOWS\system32\netsh32.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\Outlook Express\msimn.exe
C:\Documents and Settings\Omer Eyckmans\Mijn documenten\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\ncwxu.dll/sp.html#96676
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = res://ncwxu.dll/index.html#96676
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = res://ncwxu.dll/index.html#96676
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\ncwxu.dll/sp.html#96676
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = res://ncwxu.dll/index.html#96676
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\ncwxu.dll/sp.html#96676
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Telenet Internet
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,AutoConfigURL = http://pac.telenet.be:8080
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = 127.0.0.1
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {B02D3C44-5088-4292-8040-CB902C2FAA78} - C:\WINDOWS\sysuf32.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [Advanced Tools Check] C:\PROGRA~1\NORTON~1\AdvTools\ADVCHK.EXE
O4 - HKLM\..\Run: [Ad-aware] "C:\PROGRA~1\Lavasoft\AD-AWA~1\Ad-aware.exe" +c
O4 - HKLM\..\Run: [syswg32.exe] C:\WINDOWS\system32\syswg32.exe
O4 - HKLM\..\Run: [Motive SmartBridge] C:\PROGRA~1\TELENE~1\SMARTB~1\MotiveSB.exe
O4 - HKLM\..\Run: [HPHUPD05] C:\Program Files\Hewlett-Packard\{45B6180B-DCAB-4093-8EE8-6164457517F0}\hphupd05.exe
O4 - HKLM\..\Run: [HPHmon05] C:\WINDOWS\System32\hphmon05.exe
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb09.exe
O4 - HKLM\..\Run: [HP Software Update] "C:\Program Files\Hewlett-Packard\HP Software Update\HPWuSchd.exe"
O4 - HKLM\..\Run: [AdaptecDirectCD] C:\Program Files\Adaptec\Easy CD Creator 5\DirectCD\DirectCD.exe
O4 - HKLM\..\RunOnce: [sdkmu32.exe] C:\WINDOWS\sdkmu32.exe
O4 - HKLM\..\RunOnce: [netsh32.exe] C:\WINDOWS\system32\netsh32.exe
O4 - HKLM\..\RunOnce: [ntoa32.exe] C:\WINDOWS\ntoa32.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: Multimedia Hotkey Program.lnk = C:\Program Files\Multimedia Hotkey Program\MMKbd.exe
O4 - Global Startup: Telenet EasyCare.lnk = C:\Program Files\Telenet EasyCare\bin\matcli.exe
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Messenger (HKLM)
O16 - DPF: {10000000-1000-0000-1000-000000000000} - file://C:\Program Files\Internet Explorer\eledknlb.exe
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab

Start op in veilige modus.

Verwijder:
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\ncwxu.dll/sp.html#96676
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = res://ncwxu.dll/index.html#96676
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = res://ncwxu.dll/index.html#96676
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\ncwxu.dll/sp.html#96676
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = res://ncwxu.dll/index.html#96676
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\ncwxu.dll/sp.html#96676
O2 - BHO: (no name) - {B02D3C44-5088-4292-8040-CB902C2FAA78} - C:\WINDOWS\sysuf32.dll
O4 - HKLM\..\Run: [syswg32.exe] C:\WINDOWS\system32\syswg32.exe
O4 - HKLM\..\RunOnce: [sdkmu32.exe] C:\WINDOWS\sdkmu32.exe
O4 - HKLM\..\RunOnce: [netsh32.exe] C:\WINDOWS\system32\netsh32.exe
O4 - HKLM\..\RunOnce: [ntoa32.exe] C:\WINDOWS\ntoa32.exe
O16 - DPF: {10000000-1000-0000-1000-000000000000} - file://C:\Program Files\Internet Explorer\eledknlb.exe

Zoek nu de volgende bestanden, en hernoem ze:
ncwxu.dll
syswg32.exe
sdkmu32.exe
netsh32.exe
ntoa32.exe
C:\Program Files\Internet Explorer\eledknlb.exe

Start opnieuw op, en maak een nieuw log(al die exe-bestanden zijn trojanen, en er kunnen er nieuwe bijkomen).

Je weet wat dit is?
O4 - Global Startup: Multimedia Hotkey Program.lnk = C:\Program Files\Multimedia Hotkey Program\MMKbd.exe

ok bedankt j.
Nadat ik opnieuw heb opgestart moet ik dan die hernoemde exe bestanden verwijderen?

Ja, als er geen problemen zijn, mag je ze verwijderen.

N.B. Als ad-aware niets meer vindt,en de startpagina verandert niet meer, is de besmetting normaal ook verwijderd.