Coolwebsearch: Malware, onverwijderbaar tot nu toe..

Zit met een probleem..

Coolwebsearch startpagina wordt telkens ingesteld als startpagina.. Nu ben ik dus heao ict student en kan ik alle problemen tot nu toe altijd nog oplossen. maar dit kreng krijg ik niet weg.
Elke keer als ik denk dat alles weg is staat dat kut ding er na een uur weer zodra ik internet explorer open.

Wat heb ik al gedaan:
- Alle updates geinstalleerd windows update
- Windows java verwijdert en vervangen door die van SUN
- Veilige modus opgestart en vanuit daar
-CWScredder (kon niks vinden, maar verwijdert de pagina wel zodra het "cleaning orphaned left overs " heeft gedaan
- HijackThis, startpagina van coolwebsearch verwijdert, alle activeX dingen die onbekend leken verwijdert..
- Adaware, laatste update gisteren voor de 500ste keer.. Deze vidnt een .dll (random named) die in me /winnt/system32 dir staat... deze wordt verwijdert..

Nah denk je dan, alles schoon.. en we kunnen weer..

een uurtje later ofzo start je explorer op en dezelfde pagina verschijnt weer. Wordt er doodziek van, bovendien krijg je van die kut popups erbij gratis zelfs! :S

Wie weet een permanente oplossing om dit uit te roeien, CWScredder en de andere removal tools werken dus blijkbaar niet goed genoeg, ergens blijft er iets draaien dat gewoon opnieuw dat ding installeert..

Dit is echt een dikke help, heb hem nu al 13X verwijdert de afgelopen 9 dagen, en het komt elke keer terug.

Hier de startup log generated door hijackthis:

StartupList report, 6/26/2004, 6:57:23 AM
StartupList version: 1.52
Started from : D:\downloads\HijackThis.EXE
Detected: Windows 2000 SP4 (WinNT 5.00.2195)
Detected: Internet Explorer v6.00 SP1 (6.00.2800.1106)
* Using default options
==================================================

Running processes:

D:\WINNT\System32\smss.exe
D:\WINNT\system32\winlogon.exe
D:\WINNT\system32\services.exe
D:\WINNT\system32\lsass.exe
D:\WINNT\system32\svchost.exe
D:\WINNT\system32\spoolsv.exe
D:\Apache\Apache.exe
D:\Program Files\McAfee\McAfee VirusScan\Avsynmgr.exe
D:\WINNT\system32\drivers\CDAC11BA.EXE
D:\WINNT\system32\crypserv.exe
D:\WINNT\System32\svchost.exe
D:\Apache\Apache.exe
D:\mysql\bin\mysqld.exe
D:\WINNT\System32\nvsvc32.exe
D:\WINNT\system32\stisvc.exe
D:\WINNT\System32\WBEM\WinMgmt.exe
D:\WINNT\system32\svchost.exe
D:\Program Files\McAfee\McAfee VirusScan\VsStat.exe
D:\Program Files\McAfee\McAfee VirusScan\Vshwin32.exe
D:\WINNT\Explorer.EXE
D:\Program Files\Common Files\Network Associates\McShield\Mcshield.exe
D:\Program Files\McAfee\McAfee VirusScan\Avconsol.exe
D:\Program Files\TwZ\MagicKillah\MagicKillah.exe
D:\Program Files\MSN Messenger\msnmsgr.exe
D:\Program Files\McAfee\McAfee Shared Components\Instant Updater\RuLaunch.exe
D:\Program Files\MSN Messenger\msnmsgr.exe
D:\Program Files\Sonique2\sonique2.exe
D:\Program Files\Internet Explorer\IEXPLORE.EXE
D:\downloads\HijackThis.exe

--------------------------------------------------

Checking Windows NT UserInit:

[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
UserInit = D:\WINNT\system32\userinit.exe,

--------------------------------------------------

Autorun entries from Registry:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run

Synchronization Manager = mobsync.exe /logon

--------------------------------------------------

Autorun entries from Registry:
HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnce

Ad-aware = "D:\Program Files\Lavasoft\Ad-aware 6\Ad-aware.exe" "+b1"

--------------------------------------------------

Autorun entries from Registry:
HKCU\Software\Microsoft\Windows\CurrentVersion\Run

TeddyWareZ' MagicKillah = "D:\Program Files\TwZ\MagicKillah\MagicKillah.exe" -nosplash -minimize
msnmsgr = "D:\Program Files\MSN Messenger\msnmsgr.exe" /background
McAfee.InstantUpdate.Monitor = "D:\Program Files\McAfee\McAfee Shared Components\Instant Updater\RuLaunch.exe" /STARTMONITOR

--------------------------------------------------

Shell & screensaver key from D:\WINNT\SYSTEM.INI:

Shell=*INI section not found*
SCRNSAVE.EXE=*INI section not found*
drivers=*INI section not found*

Shell & screensaver key from Registry:

Shell=Explorer.exe
SCRNSAVE.EXE=*Registry value not found*
drivers=*Registry value not found*

Policies Shell key:

HKCU\..\Policies: Shell=*Registry key not found*
HKLM\..\Policies: Shell=*Registry value not found*

--------------------------------------------------


Enumerating Download Program Files:

[CryptoRSA Control]
InProcServer32 = D:\WINNT\DOWNLO~1\CRYPTO~1.OCX
CODEBASE = https://www.p3.postbank.nl/sesam/CAX.cab

[Checkers Class]
InProcServer32 = D:\WINNT\Downloaded Program Files\msgrchkr.dll
CODEBASE = http://messenger.zone.msn.com/binary/msgrchkr.cab

[Shockwave ActiveX Control]
InProcServer32 = D:\WINNT\system32\Macromed\Director\SwDir.dll
CODEBASE = http://download.macromedia.com/pub/shockwave/cabs/director/sw.cab

[Minesweeper Flags Class]
InProcServer32 = D:\WINNT\Downloaded Program Files\minesweeper.dll
CODEBASE = http://messenger.zone.msn.com/binary/MineSweeper.cab

[FileSharingCtrl Class]
InProcServer32 = D:\WINNT\Downloaded Program Files\fsmsngr-nl.dll
CODEBASE = http://appdirectory.messe(...)/filesharingctrl.cab

[MessengerStatsClient Class]
InProcServer32 = D:\WINNT\Downloaded Program Files\messengerstatsclient.dll
CODEBASE = http://messenger.zone.msn.com/binary/MessengerStatsClient.cab

[Shockwave Flash Object]
InProcServer32 = D:\WINNT\system32\macromed\flash\Flash.ocx
CODEBASE = http://download.macromedi(...)bs/flash/swflash.cab

[PBGNX Control]
InProcServer32 = D:\WINNT\DOWNLO~1\PBGNX.ocx
CODEBASE = https://gto.postbank.nl/GTO/PBGNX.cab

[Solitaire Showdown Class]
InProcServer32 = D:\WINNT\Downloaded Program Files\solitaireshowdown.dll
CODEBASE = http://messenger.zone.msn.com/binary/SolitaireShowdown.cab

--------------------------------------------------

Enumerating Windows NT logon/logoff scripts:
*No scripts set to run*

Windows NT checkdisk command:
BootExecute = autocheck autochk /p \??\D:

Windows NT 'Wininit.ini':
PendingFileRenameOperations: d:\winnt\system32\pkmdoe.dll||d:\documents and settings\alex\cookies\alex@ehg-webquest.hitbox[1].txt||d:\documents and settings\alex\cookies\alex@hitbox[2].txt||d:\docume~1\alex\locals~1\temp\sp.html|||\

--------------------------------------------------

Enumerating ShellServiceObjectDelayLoad items:

Network.ConnectionTray: D:\WINNT\system32\NETSHELL.dll
WebCheck: D:\WINNT\system32\webcheck.dll
SysTray: stobject.dll

--------------------------------------------------
End of report, 5,922 bytes
Report generated in 0.312 seconds

Command line options:
/verbose - to add additional info on each section
/complete - to include empty sections and unsuspicious data
/full - to include several rarely-important sections
/force9x - to include Win9x-only startups even if running on WinNT
/forcent - to include WinNT-only startups even if running on Win9x
/forceall - to include all Win9x and WinNT startups, regardless of platform
/history - to list version history only

Mijn start en zoekpagina's worden telkens ingesteld naar een tijdelijk document. deze verwijderen heeft geen zin.

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = file://D:\DOCUME~1\alex\LOCALS~1\Temp\sp.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = file://D:\DOCUME~1\alex\LOCALS~1\Temp\sp.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = file://D:\DOCUME~1\alex\LOCALS~1\Temp\sp.html

Spybot vindt helemaal NIKS!
Verwijder ik D:\DOCUME~1\alex\LOCALS~1\Temp\sp.html dan komt er dus niks in mijn browser.. HEt is ook zo dat zelfs ADAWARE 6 laatste update gewoon de .DLL van coolwebsearch verwijdert, maar deze komt elke keer weer terug.

quote:

Op zaterdag 26 juni 2004 19:00 schreef _onderhond_ het volgende:
Probeer het eens in veilige modus. Als en / of kill alle onbekende lopende processen. Anders heb je kans dat eenl lopend proces al die dingen weer aan maakt nadat jij ze fijn verwijdert hebt.

Ook al gedaan...

Heb de laatste updates van CWScredder + hijackthis gebruikt, het komt elke keer terug
iemand een oplossing?? dit is echt onwijs irritant en ik heb windows 2000 dus systeemherstel zit er niet in

alles geprobeert nog steeds niet weg
wat waardeloos bagger ding..

cwscredder was niet geupdate voor alle versies van coolwebsearch, omdat ze zelf nog niet doorhebben hoe het precies werkt

Spysweeper, werkt ook niet... dat had ik volgens mij al gepost.
Hij vindt en verwijdert wel maar het komt elke keer terug.. ook als de .dll verwijdert is.. na een tijdje staat alles er weer

Is er een tool om een draaiende dll te verwijderen... te killen? zodat je niet steeds in veilige modus hoeft op te starten? Je zou dan eens kunnen kijken of hij gelijk daarna weer terugkomt namelijk na het verwijderen..

Het lijkt erop dat het nu weg is LIJKT

in deze volgorde: me syst. is in ieder geval nu helemaal schoon... voor zover ik weet als hij toch terug komt ga ik weer balen..

1) Adawarel laatste tupdate, hij zou de .dll moeten vinden en kan die alleen met een restart verwijderen
restarten dus
adaware zal voordat ook maar iets gestart wordt een nieuwe scan uitvoeren en je kan dan wel de .dll verwijderen
2) CWScredder.. nog niks openen van explorer of internet.. heb deze gedraait en ruimde wat rotzooi op..
3) hijackthis... er staan BO browser object helper + de naam van de .dll in de lijst deze heb ik verwijdert.. er stonden geen Sp.html vermeldingen meer bj (cwscredder waarschijnlijk al verwijdert)
4) spysweeper nog keer voor de zekerheid eroverheen niks..
Toen alle tijdelijke internet files verwijdert + cookies en history gecleared..

hij is nu nog schoon, maar voor hoelang..

mogelijke infectie locaties schijnen
notepad.exe
en windows medie player te zijn... ik heb deze nog niet gebruikt of vervangen viruscan vindt hier niks op maar zou toch besmet kunnen zijn..
ik ga eens kijken of het terug komt als ik die 2 gebruik..

zal jullie op de hoogte houden

Mplayer2.exe en of windowsmedia player
schijnen het ding weer te installeren

maar kan zijn dat nog veel meer windows .exes geinfecteerd zijn :S
Hopen van niet.. hij zit er weer op ga hem vanavond weer verwijeren