kape

Op basis van je logs moet je eerst dit eens proberen. Niet dat er meteen een link is met je probleem met WMP, maar het is best om even de boel op te kuisen voor we verder kunnen kijken. Download Combofix.exe en zet het op je Bureaublad. Start Hijackthis op en kies voor 'Do a system scan only'. Selecteer alleen de items hieronder genoemd: R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file) O9 - Extra button: (no name) - {9034A523-D068-4BE8-A284-9DF278BE776E} - IE Anti-Spyware (file missing) O9 - Extra 'Tools' menuitem: IE Anti-Spyware - {9034A523-D068-4BE8-A284-9DF278BE776E} - IE Anti-Spyware (file missing) Klik op 'Fix checked' om de items te verwijderen. Zoek eens uit of je een map “MyWebSearch” op je PC kan vinden (via “zoeken bestanden en mappen”). Je hebt een overvloed aan programma's die onnodig mee opstarten. Dat even rechtzetten met Codestuff Starter. Download Codestuff Starter Start Codestuff Starter op Selecteer het tabblad Automatisch Opstarten en vink volgende items uit. O4 - HKLM\..\Run: [NeroFilterCheck] C:\Program Files\Common Files\Nero\Lib\NeroCheck.exe O4 - HKLM\..\Run: [NBKeyScan] "C:\Program Files\Nero\Nero8\Nero BackItUp\NBKeyScan.exe" O4 - HKLM\..\Run: [sDTray] "C:\Program Files\Spyware Doctor\SDTrayApp.exe" O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" –osboot O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" –atboottime O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe" O4 - HKLM\..\Run: [sunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe" O4 - HKCU\..\Run: [bgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Program Files\Common Files\Nero\Lib\NMBgMonitor.exe" O4 - HKCU\..\Run: [Nero PhotoShow Media Manager] C:\PROGRA~1\Nero\PHOTOS~1\data\Xtras\mssysmgr.exe O4 - Global Startup: Adobe Reader Snelle start.lnk = C:\Program Files\Adobe\Acrobat 7.0\Reader\reader_sl.exe O4 - Global Startup: Ulead Photo Express 3.0 SE Calendar Checker.lnk = C:\Program Files\Ulead Systems\Ulead Photo Express 3.0 SE\CalCheck.exe O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe –hide Deze mag je uitvinken op voorwaarde dat je op regelmatige basis (maandelijks) manueel scant met dit programma. (Niet vergeten te updaten) Dubbelklik op Combofix.exe en volg de instructies, aanvaard de disclaimer door y te typen. Tijdens het runnen van de fix, NIET in het venster klikken, want dit zal je pc doen vasthangen. Wanneer de fix voltooid is en na herstart, zal de log combofix.txt openen. NOTA: Indien je virusscanner reageert met een melding van een scriptuitvoering, moet je dit toestaan. Hang dat log van Combofix aan een volgend bericht.

En nu die Smitfraud ?

Mag je ook verwijderen. En als je nog meer van die onderdelen wil opkuisen, doe je weer een zoekactie in het register bvb. met de zoekterm "MSN" en dan kan je ook de rest verwijderen. Maar voorlopig zou ik eerst eens kijken of het verwijderen van dat eerste bestand in het register al wat resultaat heeft opgeleverd. Op naar de AVG maar weer ! En dan nog even dit : download SmitfraudFix.zip.. Pak het uit naar je bureaublad. Start je PC op in Veilige Modus, open de map SmitfraudFix en dubbelklik op Smitfraudfix.cmd. Kies optie 2 (Clean) om alle besmette bestanden te laten verwijderen. Als er gevraagd wordt om het register op te kuisen, sta je dit toe. Er wordt ook onderzocht of het bestandje wininet.dll besmet is. Indien dit het geval is, zal je de vraag krijgen om deze te vervangen. Type dan Y in achter de prompt en druk op Enter. De kans bestaat dat je PC herstart wordt in normale modus. Is dit niet het geval doe je dit handmatig zodat het zijn taak volledig kan uitvoeren. Er zal een tekstbestandje openen met de resultaten van de fix. ( c:\rapport.txt). Sla dit op je bureaublad op. Herstart de computer in normale modus en zet het rapport van Smitfraud in je bericht.

Deze dus : C:\\DOCUME~1\\Maarten\\LOCALS~1\\Temp\\services.e xe"= mag/moet je opruimen.

Je zit niet in de juiste root. Want op je afbeelding zit je bij AuthorizedAppliucations bij Terminal en het moet deze volledige root zijn : HKLM\~\services\sharedaccess\parameters\firewallpo licy\standardprofile\AuthorizedApplications\List ... dus AuthorizedApplications bij Standardprofile ... maar ook alle andere mappen ervoor (firewallpolicy ... paramaters ... enz.) zijn belangrijk om de juiste plaats van die services.exe te vinden.

Neen. "Enkel" wil toch zeggen "alleen daar" !

Regedit -> Bewerken -> Zoeken en daar "AuthorizedApplications" als zoekterm ingeven. Zit in map HKEY_LOCAL_MACHINE. Maar let wel op dat - als je het bestand daar vind - je het enkel in deze volledige root verwijderd : HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List

In je register is het blijven plakken. Dus moet je dit verwijderen via Start -> Uitvoeren -> typ regedit en zoek in het register naar deze sleutels AuthorizedApplications\List. Daar die services.exe verwijderen. En weghalen in je firewall als je daarin lukt. En dat van die Java klopt natuurlijk. Is al een update 5, alleen tekstje was daar nog niet op voorzien. Sorry.

Zie net nog iets. In je firewall heb je een toepassing toegelaten die daar absoluut niet thuishoort : C:\\DOCUME~1\\Maarten\\LOCALS~1\\Temp\\services.e xe"= Haal die daar eens weg.

Wat mij betreft is de zaak opgelost. Nu nog wat programma's die gebruikt zijn of overblijfselen van de besmetting opkuisen. Eerst Combofix weghalen. Ga naar Start -> Uitvoeren en typ: combofix /u Combofix wordt verwijderd en een nieuw herstelpunt wordt aangemaakt. Dan ben je ook van die map Qoobox af die door AVG werd gemeld in zijn logje. Overbodige bestanden en resten in het register opkuisen met CCleaner. Start CCleaner op en klik in de linkse kolom op “Cleaner”. Klik achtereenvolgens op ‘Analyseren’ en 'Opschonen'. Klik vervolgens in de linkse kolom op “Register” en klik op ‘Scannen voor fouten’. Als er fouten gevonden worden klik je op ”alle fouten herstellen” en ”OK”. Sluit hierna CCleaner terug af. Je zou ook nog de meest recente versie van Java kunnen opladen. Oudere versies hebben lekken die malware de kans geeft om zich te installeren op je systeem. Doe eerst deze stappen om Java te de-installeren en de nieuwere versie te installeren. Download Java Runtime Environment (JRE) 6u4. Scroll omlaag naar : "Java Runtime Environment (JRE) 6u4". Klik op de "Download" knop aan de rechterkant. In het uitklapmenu rechts naast Platform, selecteer “Windows”. Vink aan: "I agree to the Java SE Runtime Environment 6 License Agreement", en klik op “Continue”. De pagina zal herladen. Klik op de jre-6u4-windows-i586-p.exe link ONDER Windows Offline Installation en bewaar het naar je Bureaublad. Sluit alle programma's die eventueel open zijn, zeker je webbrowser. Ga dan naar Start -> Configuratiescherm -> Software en verwijder alle oudere versies van Java uit de Softwarelijst. Vink alles aan met Java Runtime Environment (JRE of J2SE) in de naam. Klik dan op “Verwijderen” of op de “Wijzig/Verwijder” knop. Herhaal dit tot alle oudere versies verdwenen zijn. Na het verwijderen van alle oudere versies, herstart je pc. Dubbelklik vervolgens op jre-6u4-windows-i586-p.exe op je Bureaublad om de nieuwste versie van Java te installeren. En tot slot : je oude herstelpunten moeten verwijderd worden, omdat er allerlei besmettingen in voorkomen. Door ze te verwijderen kan je geen foute punten meer terugzetten en zo je PC opnieuw besmetten. - Ga naar Start/Alle Programma's/Bureau-accessoires/Systeemwerkset/Systeemherstel. - Klik in de linkerhelft van het venster op "Instellingen van systeemherstel". - Zet een vinkje voor "Systeemherstel uitschakelen". - Klik "Toepassen". - Windows vraagt of je dat zeker weet. - Klik "Ja". - Klik "OK". - Start de pc opnieuw op. - Ga weer naar Start/Alle programma's/Bureau-accessoires/Systeemwerkset/Systeemherstel. - Je krijgt de melding: "Systeemherstel is uitgeschakeld. Wilt u systeemherstel nu inschakelen?" - Klik "Ja". - Verwijder het vinkje voor "Systeemherstel uitschakelen". - Klik "Toepassen". - Klik "OK". - Start de pc opnieuw op - Er is nu een nieuw (en niet besmet) herstelpunt aangemaakt. Als dit allemaal achter de rug is, kan je de Messengers terug downloaden en installeren. En dan kan ik je alleen maar feliciteren voor je moed en doorzetting (zweet en tranen ) die je hebt betoond in deze lange poetsbeurt. Proficiat !!! En let ook een beetje op als je nog eens zo'n rare berichten of linkjes aanklikt, natuurlijk. Want nog eens zo'n miserie is slecht voor het hart :laugh:

Enkel de gewone Combofix.

Fantastisch. We zijn er blijkbaar door. Geen besmettingen meer, enkel nog wat berichten van AVG. Nu nog graag een nieuw log van Combofix en HiJackThis ter controle ... en daarna zetten we de eindsprint in.

Dat zijn wijzigingen (change), geen besmettingen. Laat AVG maar zijn volledige taak doen en laat dan eens kijken wat ie zegt.

Als je een betalende antivirus wil is momenteel NOD32 een erg aangeprezen programma, maar ik zie niet echt in waarom je die (gratis) AVG zou verwijderen. Doet zijn werk normaal meer als goed genoeg. En alle commentaren over virusscanners zijn toch afhankelijk van de gebruiker ... de ene vindt dit goed en een ander dan weer dat. Als je alle forums afdweilt zal je van elk programma wel voor- en tegenstanders vinden. Alleen van Norton lees je meer kwaad dan goed, maar dat heeft vooral te maken met het feit dat het een systeemvreter is.

Hier zijn we ermee Start Hijackthis op en kies voor 'Do a system scan only'. Selecteer alleen de items hieronder genoemd: F2 - REGystem.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\DOCUM E~1\Maarten\LOCALS~1\Temp\services.exe O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\Windows Live Toolbar\msntb.dll O4 - HKLM\..\Run: [Flash Media] C:\DOCUME~1\Maarten\LOCALS~1\Temp\services.exe O9 - Extra button: (no name) - {2D663D1A-8670-49D9-A1A5-4C56B4E14E84} - (no file) O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe (file missing) O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe (file missing) O16 - DPF: {B8BE5E93-A60C-4D26-A2DC-220313175592} (MSN Games - Installer) - http://messenger.zone.msn.com/binary...o.cab56649.cab O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary...t.cab56907.cab O16 - DPF: {F5A7706B-B9C0-4C89-A715-7A0C6B05DD48} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary...r.cab56986.cab Klik op 'Fix checked' om de items te verwijderen. Open een kladblokbestand. Kopieer en plak daarin de onderstaande vetgedrukte tekst. File:: C:\Documents and Settings\Maarten\xowsmq.exe C:\Documents and Settings\Maarten\pvyufs.exe C:\WINDOWS\system32\RVAXO.bat C:\WINDOWS\system32\remove.exe C:\WINDOWS\system32\Restart.exe C:\Documents and Settings\Maarten\psulve.exe C:\WINDOWS\msdownld.tmp C:\install.dat Folder:: C:\RVAXO Registry:: [HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\KernelFaultCheck] Sla dit bestand op je bureaublad op als CFScript.txt. Sleep CFScript.txt in ComboFix.exe Dit zal ComboFix doen herstarten. Start opnieuw op als dat gevraagd wordt. Download CCleaner installeer het en start het op. Klik in de linkse kolom op “Opties” . Selecteer het tabblad ‘Geavanceerd’ en haal het vinkje weg voor “Verwijder alleen tijdelijke bestanden in de Windows systeemmap die ouder zijn dan 48 uur” en sluit hierna het programma. Klik in de linkse kolom op “Cleaner”. Klik achtereenvolgens op ‘Analyseren’ en 'Opschonen'. En laat dan AVG nog eens scannen om te bekijken of die nog iets kan vinden. Post de inhoud van de Combofix.txt in je volgende antwoord samen met een nieuw logje van HijackThis. Maar verwijder – vóór je een nieuw log van HiJackThis maakt – de huidige versie van HJT hier C:\Documents and Settings\Maarten\Mijn documenten\HJT\Scan.exe en download de meest recente versie hier.

Heb je daarbij ook de Messenger verwijderd ?

Probeer dit eerst even. Start Hijackthis op en kies voor 'Do a system scan only'. Selecteer alleen de items hieronder genoemd: R3 - URLSearchHook: (no name) - {9CB65206-89C4-402c-BA80-02D8C59F9B1D} - C:\Program Files\AskTBar\SrchAstt\1.bin\A5SRCHAS.DLL O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file) O2 - BHO: Ask Search Assistant BHO - {9CB65201-89C4-402c-BA80-02D8C59F9B1D} - C:\Program Files\AskTBar\SrchAstt\1.bin\A5SRCHAS.DLL O3 - Toolbar: Ask Toolbar - {FE063DB9-4EC0-403e-8DD8-394C54984B2C} - C:\Program Files\AskTBar\bar\1.bin\ASKTBAR.DLL O8 - Extra context menu item: &Winamp Toolbar Search - C:\Documents and Settings\All Users\Application Data\Winamp Toolbar\ieToolbar\resources\en-US\local\search.html O23 - Service: Boonty Games - BOONTY - C:\Program Files\Common Files\BOONTY Shared\Service\Boonty.exe Klik op 'Fix checked' om de items te verwijderen. Verwijder volgende vetgedrukte mappen met Windows Verkenner C:\Program Files\AskTBar C:\Program Files\Common Files\BOONTY Shared\ En dan zit er nog een programmaatje in wat ik niet echt vertrouw, maar waar ik onvoldoende gegevens over kan vinden om te oordelen. C:\Program Files\Page Puppy Ken je dit ? En zo ja, wat is dat dan precies ? Indien je het niet kent mag je de map Page Puppy ook verwijderen. En dan graag een nieuw logje van HJT en even laten horen hoe het met de JAVA nu gesteld is.

Klopt, want de betreffende (nieuwe) probleembestanden zijn nog niet verwijderd (en je hebt nieuwe rommel binnengehaald). Verwijder via Windows Verkenner volgende vetgedrukte bestanden : C:\WINDOWS\system32\netlogun.exe C:\Program Files\Common Files\SchijfBewaker C:\Documents and Settings\All Users\Application Data\SchijfBewaker Controleer dan opnieuw of je nog steeds last hebt van je probleem. Is dit nog het geval dan moet je deze procedure eens - van begin tot einde - volledig afwerken mét inbegrip van het verwijderen van je MSN.

Start Hijackthis op en kies voor 'Do a system scan only'. Selecteer alleen de items hieronder genoemd: O2 - BHO: (no name) - {1CB20BF0-BBAE-40A7-93F4-6435FF3D0411} - :C:\PROGRA~1\Crawler\Toolbar\ctbr.dll (file missing) O2 - BHO: dsWebAllowBHO Class - {2F85D76C-0569-466F-A488-493E6BD0E955} - :C:\Program Files\Windows Desktop Search\dsWebAllow.dll (file missing) O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - :C:\Program Files\Java\jre1.6.0_01\bin\ssv.dll (file missing) O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - :C:\Program Files\Windows Live Toolbar\msntb.dll (file missing) O4 - Global Startup: ~Disabled O16 - DPF: {2396F475-3C4C-4028-AD17-FAF37352EE82} (Activex Control) - http://www.poolgameonline.com/loadgame_et.cab O16 - DPF: {85D1F3B2-2A21-11D7-97B9-0010DC2A6243} (SecureLogin class) - http://secure2.comned.com/signuptemplates/securelogin-devel.cab Klik op 'Fix checked' om de items te verwijderen. Download ATF cleaner Dubbelklik op ATF cleaner om het programma te starten. Op het tabblad "Main", plaats je een vinkje bij Select All. Klik op de knop Empty Selected.

Download CCleaner. Installeer het en start het op. Klik in de linkse kolom op “Opties” . Selecteer het tabblad ‘Geavanceerd’ en haal het vinkje weg voor “Verwijder alleen tijdelijke bestanden in de Windows systeemmap die ouder zijn dan 48 uur” en sluit hierna het programma. Start CCleaner op en klik in de linkse kolom op “Cleaner”. Klik achtereenvolgens op ‘Analyseren’ en 'Opschonen'. Klik vervolgens in de linkse kolom op “Register” en klik op ‘Scannen voor fouten’. Als er fouten gevonden worden klik je op ”alle fouten herstellen” en ”OK”. Sluit hierna CCleaner terug af. Download: RVAXO.exe Sla het bestand op je bureaublad op, dubbelklik het en kies voor "Unzip" om het uit te pakken. Open nu de map RVAXO op je bureaublad en dubbeklik RVAXO.cmd Er zal een cmd-schermpje openen, daarin zullen snel enkele regels over niet gevonden bestanden voorbijkomen, dit is normaal. Mogelijk start er ook een uninstaller van een rogue scanner op, sluit deze niet af maar volg eventuele aanwijzingen en laat deze gewoon zijn werk doen. Daarna zal je PC herstarten, na de herstart opent het cmd-venster van RVAXO opnieuw. Laat deze lopen en wacht tot er een logfile opent: C:\RVAXO-results.log Herstart je computer niet vanzelf, of start de tool niet na de reboot, doe dit dan handmatig. Post de inhoud van de logfile in je volgende bericht.

Het log van AVG dan hier misschien even hangen (via "beheer bijlagen") ?

Weet je toevallig hoe die vriend van jou dat virus heeft gevonden en verwijderd ? Dat zou me erg interesseren ? Want ik had er - eerlijk gezegd - al mijn twijfels over als ik je vorige bericht las. En kijk eens terug naar post 16 en voer al die zaken eens uit. Dan lezen we wel wat daarvan het resultaat is ?

Zit je met Vista ? En heb je het spel gedownload naar "Program Files" ? Zo ja, maak eens een aparte map aan bvb "Spelletjes" en download het programma naar daar. En kijk dan eens wat dit zegt ? PS : heb deze oplossing ook maar gepikt van een Franse website (waar het gelukt is)

Daar was ik al bang voor (zie vorig bericht). Zou iets met je drivers kunnen te maken hebben, maar hoe je dat oplost ?????? Kan je opstarten in "veilige modus" ?

Dat lijkt me logisch na deze behandeling, want ook je logjes zien er perfect uit. Houden zo