kape

Geen spoor van ongewenst bezoek (keylogger). Je mag Combofix nu inderdaad verwijderen. Dit doe je zo : Verwijder Combofix: Start -> Uitvoeren/Zoekopdracht en typ: ComboFix /Uninstall Dit zal Combofix verwijderen + gerelateerde mappen en bestanden, herstelt de klokinstellingen opnieuw, verbergt de bestandsextensies, gaat verborgen bestanden en systeembestanden terug verbergen en maakt een nieuw herstelpunt. Indien aanwezig mag je de map C:\Qoobox manueel verwijderen.

OK, dit is nu wel gelukt. Nu kan je het logje van Combofix plaatsen in je volgende bericht. Je kan dit hier C:\ComboFix.txt vinden.

Laat dit vetgedrukte bestand C:\Program Files\n52te\razerhid.exe eens scannen bij Jotti

Verwijder de huidige versie van Combofix via Uitvoeren -> Combofix /Uninstall. Download dan een nieuwe versie en start de PC op in "veilige modus". Probeer dan of het daar lukt om wél volledig te scannen ?

Ondanks het verwijderen van 1 job van PC Unleashed, heeft zich dat opnieuw volledig genesteld op je PC. Kan je dat programma - op één of andere manier - (tijdelijk) verwijderen of uninstallen ? Indien dat geen resultaat oplevert, kan je het daarna opnieuw installeren (al heb ik daar zo mijn twijfels over).

Nog even dieper kijken dan. Download ComboFix van één van deze locaties: Link 1 Link 2 * BELANGRIJK !!! Sla ComboFix.exe op je Bureaublad op 1. Schakel alle antivirus- en antispywareprogramma's uit, want anders kunnen ze misschien conflicteren met ComboFix. Hier is een handleiding over hoe je ze kan uitschakelen: Klik hier 2. Het kan voorkomen dat de computer meerdere malen opnieuw gestart moet worden, dit is normaal. 3. Dubbelklik op "Combofix.exe" om de tool te starten. 4. Klik niet in het scherm van Combofix als deze actief is, hierdoor kan de 'tool' vastlopen. Noot !!! Als er een error wordt getoond met de melding "Illegal operation attempted on a registery key that has been marked for deletion", herstart dan de computer. 5. Wanneer ComboFix klaar is, zal het het een logbestand voor je maken. Post de inhoud van dit logbestand (te vinden als C:\ComboFix.txt) in je volgende bericht.

Er zijn nog meer mogelijkheden, maar – bij wijze van proef – gaan we eerst die bewuste job van PC Unleashed even aanpakken : Open een kladblokbestand. Kopieer en plak daarin de onderstaande vetgedrukte tekst. File:: c:\windows\Tasks\PC Unleashed Registration3.job c:\windows\SysWow64\ConduitEngine.tmp c:\windows\system32\dlumd9.dll c:\windows\system32\dlumd11.dll c:\windows\system32\dlumd10.dll c:\programfiles\BEARSHARE\MediaBar\Datamngr\x64\IEBHO.dll Folder:: c:\program files (x86)\ConduitEngine Registry:: [-HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{74322BF9-DF26-493f-B0DA-6D2FC5E6429E}] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows] "AppInit_DLLs"=- Sla dit bestand op je bureaublad op als CFScript.txt. Sleep CFScript.txt in ComboFix.exe Dit zal ComboFix doen herstarten. Start opnieuw op als dat gevraagd wordt. Post na herstart de inhoud van de Combofix.txt in je volgende bericht.

Wel, dat was nu net waar ik naar toe wilde ! In je logje zit een job van PC Unleashed2011-10-13 c:\windows\Tasks\PC Unleashed Registration3.job - c:\windows\system32\rundll32.exe [2009-07-13 01:14] die met regelmaat wordt uitgevoerd en waarbij telkens die rundll32.exe bij betrokken is. Het zou me dus niet verbazen dat dit de oorzaak is van het veelvuldig voorkomen van dit bestand. En globaal bekeken zit je inderdaad met heel wat tools waarvan de werking én vooral het rendement twijfelachtig is. Maar die worden inderdaad verkocht met de belofte om je systeem te optimaliseren ... terwijl ze dat in de praktijk vaak helemaal niet kunnen waarmaken en nog voor extra problemen durven zorgen ook.

Logje is OK. Volgende stap dan : Download ComboFix van één van deze locaties: Link 1 Link 2 * BELANGRIJK !!! Sla ComboFix.exe op je Bureaublad op 1. Schakel alle antivirus- en antispywareprogramma's uit, want anders kunnen ze misschien conflicteren met ComboFix. Hier is een handleiding over hoe je ze kan uitschakelen: Klik hier 2. Het kan voorkomen dat de computer meerdere malen opnieuw gestart moet worden, dit is normaal. 3. Dubbelklik op "Combofix.exe" om de tool te starten. 4. Klik niet in het scherm van Combofix als deze actief is, hierdoor kan de 'tool' vastlopen. Noot !!! Als er een error wordt getoond met de melding "Illegal operation attempted on a registery key that has been marked for deletion", herstart dan de computer. 5. Wanneer ComboFix klaar is, zal het het een logbestand voor je maken. Post de inhoud van dit logbestand (te vinden als C:\ComboFix.txt) in je volgende bericht.

Logje biedt geen problemen. Lijkt me best dat je het terugzetten van een oud herstelpunt uitprobeert !

Even een tussendoortje : heb je enig idee wanneer dat rundll-probleem begonnen is ?

OK, dan gaan we weer wat dieper kijken : Download ComboFix van één van deze locaties: Link 1 Link 2 * BELANGRIJK !!! Sla ComboFix.exe op je Bureaublad op 1. Schakel alle antivirus- en antispywareprogramma's uit, want anders kunnen ze misschien conflicteren met ComboFix. Hier is een handleiding over hoe je ze kan uitschakelen: Klik hier 2. Het kan voorkomen dat de computer meerdere malen opnieuw gestart moet worden, dit is normaal. 3. Dubbelklik op "Combofix.exe" om de tool te starten. 4. Klik niet in het scherm van Combofix als deze actief is, hierdoor kan de 'tool' vastlopen. Noot !!! Als er een error wordt getoond met de melding "Illegal operation attempted on a registery key that has been marked for deletion", herstart dan de computer. 5. Wanneer ComboFix klaar is, zal het het een logbestand voor je maken. Post de inhoud van dit logbestand (te vinden als C:\ComboFix.txt) in je volgende bericht.

Dat is inderdaad mogelijk. Doe nog even het volgende : Download CCleaner. Klik op “Download Latest Version” en dan start de download van CCleaner automatisch en gratis op. Installeer het en start CCleaner op. Klik in de linkse kolom op “Cleaner”. Klik achtereenvolgens op ‘Analyseren’ en 'Schoonmaken'. Soms is 1 analyse niet voldoende. Deze procedure mag je herhalen tot de analyse geen fouten meer aangeeft. Klik vervolgens in de linkse kolom op “Register” en klik op ‘Scan naar problemen”. Als er fouten gevonden worden klik je op ”Herstel geselecteerde problemen” en ”OK”. Dan krijg je de vraag om een back-up te maken. Klik op “JA”. Kies dan “Herstel alle geselecteerde fouten”. Sluit hierna CCleaner terug af. Wil je dit uitgebreid in beeld bekijken, klik dan hier voor de handleiding. En hou het dan nog even in de gaten. Als het OK is naar jouw aanvoelen, mag je hieronder op "markeer als opgelost" tokkelen !

Start Hijackthis op. Selecteer “Scan”. Selecteer alleen de items die hieronder zijn genoemd: R3 - URLSearchHook: DVDVideoSoftTB Toolbar - {872b5b88-9db5-4310-bdd0-ac189557e5f5} - C:\Program Files (x86)\DVDVideoSoftTB\tbDVDV.dll O2 - BHO: QuickStores-Toolbar - {10EDB994-47F8-43F7-AE96-F2EA63E9F90F} - mscoree.dll (file missing) O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - C:\Program Files (x86)\AVG\AVG10\avgssie.dll (file missing) O2 - BHO: DVDVideoSoftTB Toolbar - {872b5b88-9db5-4310-bdd0-ac189557e5f5} - C:\Program Files (x86)\DVDVideoSoftTB\tbDVDV.dll O3 - Toolbar: (no name) - {CCC7A320-B3CA-4199-B1A6-9F516DD69829} - (no file) O3 - Toolbar: DVDVideoSoftTB Toolbar - {872b5b88-9db5-4310-bdd0-ac189557e5f5} - C:\Program Files (x86)\DVDVideoSoftTB\tbDVDV.dll O3 - Toolbar: QuickStores-Toolbar - {10EDB994-47F8-43F7-AE96-F2EA63E9F90F} - mscoree.dll (file missing) O18 - Protocol: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - C:\Program Files (x86)\AVG\AVG10\avgpp.dll (file missing) Klik op 'Fix checked' om de items te verwijderen. Download MBAM (Malwarebytes Anti-Malware) Dubbelklik op mbam-setup.exe om het programma te installeren. Zorg ervoor dat er een vinkje geplaatst is voor Update Malwarebytes' Anti-Malware en Start Malwarebytes' Anti-Malware, Klik daarna op "Voltooien". Indien een update gevonden werd, zal die gedownload en geïnstalleerd worden. Wanneer het programma volledig up to date is, selecteer dan in het tabblad Scanner : "Snelle Scan", daarna klik op Scan. Het scannen kan een tijdje duren, dus wees geduldig. Wanneer de scan voltooid is, klik op OK, daarna "Bekijk Resultaten" om de resultaten te zien. Zorg ervoor dat daar alles aangevinkt is, daarna klik op: Verwijder geselecteerde. Na het verwijderen zal een log openen en zal er gevraagd worden om de computer opnieuw op te starten. (Zie verder). Indien er de rootkit (TDSS) aanwezig is, zal MBAM vragen te herstarten. Doe dit dan ook. MBAM zal na de herstart opnieuw scannen en de rootkit verwijderen. Het log wordt automatisch bewaard door MBAM en kan je terugvinden door op de "Logs" tab te klikken in het programma. Indien MBAM moeilijkheden heeft met het verwijderen van bepaalde bestanden zal het enkele meldingen geven waar je OK moet klikken. Daarna zal het vragen om de computer opnieuw op te starten... dus sta toe dat MBAM de computer opnieuw opstart. Plak de inhoud van het logje in je volgende bericht, samen met een nieuw HijackThis log.

Naast je adresbalk van Firefox heb je mogelijk een vakje met zoekmachines. Afhankelijk van jouw keuze staat daar een zoekmachine ingesteld. Klik daar eens op het pijltje dat alle gebruikte zoekmachines toont. Zit SweetIm daar eventueel bij ? Kijk zeker ook via "Zoekmachines beheren".

Dit is perfect ... alle aangeduide items zijn verwijderd met HijackThis. Kijk nu eens bovenaan je Firefox-browser bij "Extra" en "Add-ons". Daar krijg je een lijstje met alle geïnstalleerde add-ons bij je browser. Zit SweetIm daar misschien bij ?

Met admin-account zou je de benodigde machtigingen wel moeten hebben ??? Even een on-linescanner er op los laten : Ga naar de site van de . Klik op de knop ESET Online Scanner Zet een vinkje bij YES, I accept the Terms of Use Klik op Start Sta het ActiveX control toe om te installeren. Klik op "Advanced settings" Zet een vinkje bij de volgende opties: Remove found threats Scan archives Scan for potentially unwanted applications Scan for potentially unsafe applications Enable Anti-Stealth technology [*]Klik op Start [*]De computer wordt nu gescand. Dit kan best lang duren, heb dus geduld. [*]Je mag het venster sluiten wanneer de scan klaar is. [*]Gebruik Kladblok om het logje te openen. Dit logje vind je op de locatie C:\Program Files\EsetOnlineScanner\log.txt [*]Kopieer en plak de inhoud van dit logje in je volgende bericht.

Dat is duidelijk. Er is nog geen nieuw log van HijackThis gemaakt. Kijk even naar datum en uur : Logfile of Trend Micro HijackThis v2.0.4 Scan saved at 17:12:04, on 15/10/2011 Dat is dus het oude logje van zaterdag. Start dus nu opnieuw HijackThis op, kies voor een nieuwe scan en hang het logje van vandaag in je volgende bericht.

Op basis van dit log is er geen aanduiding van malware. Welk verschijnsel doet je denken aan een virus ? Bovendien : je hebt twee antivirusprogramma's op de PC (AVG en ESET). Dat is er eigenlijk eentje te veel, want die durven elkaar wel eens tegenwerken. Beter slechts gaan voor één van de twee.

Ga naar deze locatie op je PC : C:\Program Files\Trend Micro\HiJackThis. Daar kan je - na het maken van een nieuw log met HijackThis - het meest recente log vinden met de naam hijackthis.log. Je opent dat met een kladblok en dan kan je daar kopiëren en het log in je volgende bericht plakken.

Het logje dat je nu hebt geplaatst is opnieuw van Malwarebytes. Daar kunnen we niets aan zien, want dat was eerder al prima in orde. Het is een nieuw logje van HijackThis dat we nu nodig hebben. En wil je ook eens exact omschrijven waar die SweetIm zich in Firefox bevindt ? Is dat in de adresbalk, bij de zoekmachines of nog ergens anders ?

Zet dan eens een gratis antivirusprogramma (Avast, AVG, Antivir, o.i.d.) op de laptop ... en kijk dan eens of dit veel verschil uitmaakt met de toestand bij ESET. Heb je eigenlijk enig idee wanneer de traagheid exact is begonnen ?

Bedoeling is dat je weer een actueel logje van HijackThis plaatst, zoals je eerder al in bericht 3 hebt gedaan. Dan kunnen we zien of er tussen dat eerste logje en je nieuwe logje enig verschil is en of de aangeduide items effectief verwijderd zijn ?

Start Hijackthis op. Selecteer “Scan”. Selecteer alleen de items die hieronder zijn genoemd: O2 - BHO: Ask Toolbar BHO - {D4027C7F-154A-4066-A1AD-4243D8127440} - C:\Program Files\Ask.com\GenericAskToolbar.dll O3 - Toolbar: Ask Toolbar - {D4027C7F-154A-4066-A1AD-4243D8127440} - C:\Program Files\Ask.com\GenericAskToolbar.dll O4 - HKLM\..\Run: [ApnUpdater] "C:\Program Files\Ask.com\Updater\Updater.exe" Klik op 'Fix checked' om de items te verwijderen. Verwijder Ask Toolbar of Ask.com via Software (indien aanwezig) of verwijder anders volgende vetgedrukte map C:\ProgramFiles\Ask.com Download MBAM (Malwarebytes Anti-Malware) Dubbelklik op mbam-setup.exe om het programma te installeren. Zorg ervoor dat er een vinkje geplaatst is voor Update Malwarebytes' Anti-Malware en Start Malwarebytes' Anti-Malware, Klik daarna op "Voltooien". Indien een update gevonden werd, zal die gedownload en geïnstalleerd worden. Wanneer het programma volledig up to date is, selecteer dan in het tabblad Scanner : "Snelle Scan", daarna klik op Scan. Het scannen kan een tijdje duren, dus wees geduldig. Wanneer de scan voltooid is, klik op OK, daarna "Bekijk Resultaten" om de resultaten te zien. Zorg ervoor dat daar alles aangevinkt is, daarna klik op: Verwijder geselecteerde. Na het verwijderen zal een log openen en zal er gevraagd worden om de computer opnieuw op te starten. (Zie verder). Indien er de rootkit (TDSS) aanwezig is, zal MBAM vragen te herstarten. Doe dit dan ook. MBAM zal na de herstart opnieuw scannen en de rootkit verwijderen. Het log wordt automatisch bewaard door MBAM en kan je terugvinden door op de "Logs" tab te klikken in het programma. Indien MBAM moeilijkheden heeft met het verwijderen van bepaalde bestanden zal het enkele meldingen geven waar je OK moet klikken. Daarna zal het vragen om de computer opnieuw op te starten... dus sta toe dat MBAM de computer opnieuw opstart. Plak de inhoud van het logje in je volgende bericht, samen met een nieuw HijackThis log.

Open een kladblokbestand. Kopieer en plak daarin de onderstaande vetgedrukte tekst. File:: c:\windows\SysWow64\ConduitEngine.tmp Folder:: c:\program files (x86)\Conduit c:\users\Cees\AppData\Local\Conduit c:\programdata\{0CD22FA8-3496-4871-99A9-D17B50F6ACAA} C:\8be34f6062bcac1fa9f472b1 c:\programdata\251FF c:\programdata\iMesh c:\programdata\{71C01C2D-E157-4490-AEA7-088A4E791A2E} Registry:: [-HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\URLSearchHooks] [-HKEY_CLASSES_ROOT\clsid\{1c94aa0d-7416-4289-b2ba-834282060870}] [-HKEY_LOCAL_MACHINE\Wow6432Node\~\Browser Helper Objects\{1c94aa0d-7416-4289-b2ba-834282060870}] [-HKEY_LOCAL_MACHINE\Wow6432Node\~\Browser Helper Objects\{30F9B915-B755-4826-820B-08FBA6BD249D}] [-HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\Toolbar] [-HKEY_CLASSES_ROOT\clsid\{1c94aa0d-7416-4289-b2ba-834282060870}] [-HKEY_CLASSES_ROOT\clsid\{30f9b915-b755-4826-820b-08fba6bd249d}] [-HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{74322BF9-DF26-493f-B0DA-6D2FC5E6429E}] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows] "AppInit_DLLs"=- Firefox:: FF - ProfilePath - c:\users\Cees\AppData\Roaming\Mozilla\Firefox\Profiles\qbpvl446.default\ FF - prefs.js: browser.search.selectedEngine - FF - prefs.js: keyword.URL - Sla dit bestand op je bureaublad op als CFScript.txt. Sleep CFScript.txt in ComboFix.exe Dit zal ComboFix doen herstarten. Start opnieuw op als dat gevraagd wordt. Post na herstart de inhoud van de Combofix.txt in je volgende bericht.