Spyware. Backgroud gehacked??

quote:

Op donderdag 24 maart 2005 17:59 schreef sizzler het volgende:

[..]

"Kan de instellingen niet herstellen"

Hopeloos he?

Wat voor problemen heb je nu nog, afgezien van de bureaubladachtergrond? Kun je wel fatsoenlijk werken tot je Windows kun herinstalleren? Werken de programma's die je nodig hebt?

ja lekker dan, ik heb toch ook geholpen gvd

quote:

Op donderdag 24 maart 2005 21:17 schreef sizzler het volgende:

[..]

Kijk, daar doe je het voor

Thanks hoor.

Alleen jammer dat nog niet alles opgelost is, het lijkt me toch een gevalletje 'raptus regaliter'.
Blijkbaar zit er toch nog iets wat die active desktop blokkeert en dan heb je ook nog andere problemen.
Zou dan toch over niet al te lange tijd de boel wissen en met een schone lei te beginnen. En dan iig kijken of je van te voren dingen over kunt zetten naar CD-ROM/DVD of een 2e harde schijf.

^{Voor 'raptus regaliter', zie hier: http://www.bbc.co.uk/h2g2/guide/A218882}

Low level AdWare, niet echt veel producten die daar wat tegen uit kunnen richten.
Ik zie het steeds meer.

Gezien de hoeveelheid meuk zou ik ook zeggen dat je beter overnieuw kunt beginnen - en dan zorgen dat je niet geïnfecteerd raakt.

quote:

Op dinsdag 22 maart 2005 18:04 schreef QyRoZ het volgende:

[..]

Virusscanners zijn overrated, ik heb mijn er af geflikkerd, al sinds de zomervakantie geen virus meer gehad, en die ik daarvoor wel had kwamen allemaal via mail en makkelijk te herkennen.

Geen virus gehad, hoe weet je dat zonder virusscanner

quote:

Op donderdag 24 maart 2005 19:31 schreef sizzler het volgende:
Schouderklopjes meldtopic deel 1

Hehe, graag gedaan.

Wat betreft de problemen die je nog hebt, als ze niet erg lastig zijn, zou ik gewoon zo doorwerken en zo snel mogelijk opnieuw installeren. Wil je wel nog proberen e.e.a. op te lossen, staan er al veel programma's in het topic die je kunt gebruiken, mits die inmiddels wel willen draaien (in veilige modus), zoals Hitman Pro. Of de programma's los draaien, Spobot S&D en Ad-Aware en wellicht die Microsoft tool zou ik dan in ieder geval proberen.

quote:

Op vrijdag 25 maart 2005 01:44 schreef Tichelaar het volgende:

[..]

Geen virus gehad, hoe weet je dat zonder virusscanner

Beter lezen: ik heb hem een paar dagen geleden uitgeschakeld na het grondig doorlezen van mijn viruslogs.

Normaal gesproken is het voldoende om Windows opnieuw te installeren. Maar omdat het bij jou op F: staat, heb je kans dat er op C:\ wat achterblijft (vrijwel iedereen heeft Windows op C:\ staan, dus zal spyware zich daar misschien ook nestelen, althans dat is mijn logische redenatie ).

Met een schone Windows installatie zal het echter niet meer automatisch opgestart worden (register is schoon). Je zult er ook niets van merken. Maar er is altijd een kans dat ergens iets achterblijft.

Ik laat dat meestal voor wat het is, en houd het bij de Windows partitie formatteren. En soms ruim ik andere partities handmatig op. Programma's verwijderen die ik niet gebruik, alleen nuttige dingen erop laten, en dan even kijken of ik vreemde dingen vind.

quote:

Op donderdag 24 maart 2005 19:31 schreef sizzler het volgende:
Schouderklopjes meldtopic deel 1

Waarschijnlijk staan er nog veel dingen op de achtergrond te draaien zodra Windows wordt opgestart.
Ga eens naar start --> uitvoeren --> typ msconfig in. Klik op tabblad Opstarten

Noem alle processen eens op die in het tabblad opstarten staan.

quote:

Op vrijdag 25 maart 2005 14:56 schreef sizzler het volgende:
Okee, behalve dat staat er:

nwiz

Hoort bij Nvidia. Je hebt zeker naast je klokje een icoontje, als je daarop klikt kun je instellingen veranderen? Volgens mij is dat deze. Kun je uitschakelen als je het niet gebruikt, maar kan geen kwaad.

quote:

qttask

QuickTime. Ik zet 'm altijd uit, want ik doe er niets mee. Ik zie er ook het nut niet van in, maar ik doe bijna niets met QT.

quote:

Agent

Waar staat dit bestand? Staat erachter. DIt kan veel zijn, met die naam, volgens mij.

quote:

jusched
realsched

jusched zal Java Update Scheduler zijn. Kan geen kwaad.
realsched hoort ongetwijfeld bij Real player. Die laat ik zo min mogelijk opstarten, staat hier uit, maar kan geen kwaad.

quote:

NvCpl
NvMcTray

Nvidia zooi. Niks mis mee. NvMcTray kan ook heel goed dat zijn waar ik het eerder over had. bedenk ik nu.

quote:

AshDisp

Avast.

quote:

srhelper

Kan onderdeel van Hitman zijn, kan onderdeel van Office zijn. Wat staat er voor locatie achter?

quote:

Acrobat assistance
Adobe Gamma Loader
Microsoft office

Die kunnen volgens mij wel uit. Maar ook hier weer, kan geen kwaad, is geen spyware/virus.

Al met al vrij netjes. Ik zie er in ieder geval niets alarmerends bij staan. Je kunt ze trouwens op deze site makkelijk vinden met wat informatie erbij.

quote:

Op vrijdag 25 maart 2005 14:56 schreef sizzler het volgende:

[..]

Holy F*ck!

Alle drie letterige .exe bestanden die ik had verwijdert staan er tussen. Echt een stuk op 50!

Vink alle onbekende processen die op .exe eindigen uit.

Deze mooi laten staan:

nwiz
qttask
Agent
jusched
realsched
NvCpl
NvMcTray
AshDisp (Antivirus programma onderdeel)
srhelper
Acrobat assistance
Adobe Gamma Loader
Microsoft office

NVCPL = W32.SpyBot.S Worm

NVCPL.EXE is a process which is registered as the W32.SpyBot.S Worm. It takes advantage of the Windows LSASS vulnerability, which creates a buffer overflow and instigates your computer to shut down. To see more information about this vulnerability please look at the following Microsoft bulletin: http://www.microsoft.com/technet/security/bulletin/ms04-011.mspx This is a registered security risk and should be removed immediately. Please see additional details regarding this process


Toch maar even uitzetten denk ik

Ok, wat ik over ntddetect.exe heb kunnen vinden:

Sluit alle applicaties en vensters. Scan (nogmaals ) met HijackThis. Laat 'm de regels met ntddetect.exe erin repareren. Dan rebooten en naar veilige modus gaan. In Veilige modus ntddetect.exe verwijderen. De volgende mappen legen:

quote:

*C:\Windows\Temp
*C:\Documents and Settings\<Your Profile>\Local Settings\Temporary Internet Files <=This will delete all your cached internet content including cookies. This is recommended and strongly suggested.
*C:\Documents and Settings\<Your Profile>\Local Settings\Temp
*C:\Documents and Settings\<Any other users Profile>\Local Settings\Temporary Internet Files
*C:\Documents and Settings\<Any other users Profile>\Local Settings\Temp

Je recycle bin legen. En weer normaal opstarten. Met een beetje mazzel is die dan ook eens weg.

Bron.

Je moet wel overal weer opnieuw inloggen, want je cookies zijn weg. Zo ook eventuele andere gebruikers.

quote:

Op vrijdag 25 maart 2005 15:30 schreef Zoot het volgende:
NVCPL = W32.SpyBot.S Worm

Toch maar even uitzetten denk ik

Je hebt gelijk. Ik kijk bij de NvCpl.dll. Eikels, een beetje dingen op Nvidia onderdelen laten lijken.

Maar volgens mij is het ook de dll, ik had hem althans wel vaker gezien alszijnde een nvidia driver.. Kan natuurlijk ook zijn dat ik het toen verkeerd zag.

quote:

Op vrijdag 25 maart 2005 15:40 schreef Angel_of_Dth het volgende:

[..]

Je hebt gelijk. Ik kijk bij de NvCpl.dll. Eikels, een beetje dingen op Nvidia onderdelen laten lijken.

Net zoals die ntddetect.exe.
Lijkt ook op ntdetect.exe.

Maare Sizzler kun je op virusscan.jotti.org komen? Upload anders de genoemde bestanden even daar, weet je meteen of het (mogelijk) rotzooi is en wat voor rotzooi.

quote:

Op vrijdag 25 maart 2005 17:50 schreef speknek het volgende:
Maar volgens mij is het ook de dll, ik had hem althans wel vaker gezien alszijnde een nvidia driver.. Kan natuurlijk ook zijn dat ik het toen verkeerd zag.

Dat moet sizzler dan even bekijken. Maar staat die dll dan bij opstarten? Kun je überhaupt een dll opstarten? Bij mij staan er namelijk alleen .exe bestandjes. Die zullen dan wellicht een dll gebruiken.