Fixwareout
Last edited 1/14/2006
Post this report in the forums please
…
Prerun check
»»»»» HKLM run and Winlogon System values
»»»»» System restarted
…
Reg Entries that were deleted
…
Random Runs removed from HKLM
…

PLEASE NOTE, There WILL be LEGITIMATE FILES LISTED. IF YOU ARE UNSURE OF WHAT IT IS LEAVE THEM ALONE.

»»»»» Searching by size/names…
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\XFIND.COM onmogelijk

»»»»»
Search five digit cs, dm kd and jb files.
This WILL/CAN also list Legit Files, Submit them at Virustotal
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk

Other suspects.

»»»»» Misc files.

»»»»» Checking for older varients covered by the Rem3 tool.

»»»»» Postrun check
»»»»» HKLM run
»»»»» Winlogon System value
"system"=""
»»»»»

Volgens mij werkt het al een stuk sneller.

Bedankt voor de hulp en goede uitleg.

Computer start langzaam op willen jullie eens naar mijn logje kijken.
Logfile of HijackThis v1.99.1
Scan saved at 13:10:10, on 26-1-2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Common Files\Symantec Shared\ccSetMgr.exe
C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\crypserv.exe
E:\Symantec AntiVirus\DefWatch.exe
E:\Diskeeper\DkService.exe
C:\WINDOWS\eHome\ehRecvr.exe
C:\WINDOWS\eHome\ehSched.exe
C:\WINDOWS\system32\svchost.exe
E:\Symantec AntiVirus\Rtvscan.exe
C:\Program Files\Common Files\Symantec Shared\Security Center\SymWSC.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\WgaTray.exe
C:\WINDOWS\system32\dllhost.exe
C:\Program Files\Common Files\Symantec Shared\ccApp.exe
E:\Symantec AntiVirus\VPTray.exe
C:\Program Files\HP\Digital Imaging\Promotions\HPpromo.exe
C:\Program Files\Java\jre1.5.0_09\bin\jusched.exe
C:\WINDOWS\system32\atwtusb.exe
E:\qiuck\qttask.exe
C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
C:\Program Files\HP\hpcoretech\hpcmpmgr.exe
C:\WINDOWS\system32\TBLMOUSE.EXE
E:\Picasa2\PicasaMediaDetector.exe
C:\Program Files\iTunes\iTunesHelper.exe
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\Program Files\iPod\bin\iPodService.exe
C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
C:\Program Files\OpenOffice.org 2.0\program\soffice.exe
C:\Program Files\OpenOffice.org 2.0\program\soffice.BIN
E:\Symantec AntiVirus\VPC32.EXE
C:\Program Files\Mozilla Firefox\firefox.exe
H:\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.nl/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
R3 - Default URLSearchHook is missing
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - E:\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.5.0_09\bin\ssv.dll
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [vptray] E:\Symantec AntiVirus\VPTray.exe
O4 - HKLM\..\Run: [HPpromo psc 1300 series] "C:\Program Files\HP\Digital Imaging\Promotions\HPpromo.exe" /N "psc 1300 series" -r
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.5.0_09\bin\jusched.exe"
O4 - HKLM\..\Run: [atwtusb] atwtusb.exe beta
O4 - HKLM\..\Run: [QuickTime Task] "E:\qiuck\qttask.exe" -atboottime
O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [HP Component Manager] "C:\Program Files\HP\hpcoretech\hpcmpmgr.exe"
O4 - HKLM\..\Run: [Picasa Media Detector] E:\Picasa2\PicasaMediaDetector.exe
O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot
O4 - HKCU\..\Run: [ares] "E:\ares\Ares.exe" -h
O4 - HKCU\..\Run: [NBJ] "E:\Ahead\Nero BackItUp\NBJ.exe"
O4 - HKCU\..\Run: [SlackerElves] C:\Program Files\ScreenMates\elves[1].exe
O4 - HKCU\..\Run: [Spyware Cleaner] "C:\Program Files\Spyware Cleaner\SpywareCleaner.Exe" /boot
O4 - Startup: OpenOffice.org 2.0 .lnk = C:\Program Files\OpenOffice.org 2.0\program\quickstart.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://E:\Microsoft Office\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_09\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.5.0_09\bin\ssv.dll
O9 - Extra button: Onderzoek - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - E:\Microsoft Office\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\system32\Shdocvw.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O12 - Plugin for .pdf: C:\Program Files\Internet Explorer\PLUGINS\nppdf32.dll
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O17 - HKLM\System\CCS\Services\Tcpip\..\{00EFB49F-CC30-4AF1-8E43-69882AC2572C}: NameServer = 85.255.116.167,85.255.112.168
O17 - HKLM\System\CCS\Services\Tcpip\..\{1981E081-1192-4135-BB59-2DF70276ECD2}: NameServer = 85.255.116.167,85.255.112.168
O17 - HKLM\System\CCS\Services\Tcpip\..\{A69B1350-2DC0-4303-A69E-FD6F57AD29A2}: NameServer = 85.255.116.167,85.255.112.168
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.116.167 85.255.112.168
O17 - HKLM\System\CS1\Services\Tcpip\..\{00EFB49F-CC30-4AF1-8E43-69882AC2572C}: NameServer = 85.255.116.167,85.255.112.168
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.116.167 85.255.112.168
O17 - HKLM\System\CS2\Services\Tcpip\..\{00EFB49F-CC30-4AF1-8E43-69882AC2572C}: NameServer = 85.255.116.167,85.255.112.168
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.116.167 85.255.112.168
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSN Messenger\msgrapp.dll" (file missing)
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll
O20 - Winlogon Notify: NavLogon - C:\WINDOWS\system32\NavLogon.dll
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O23 - Service: Adobe LM Service - Unknown owner - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSetMgr.exe
O23 - Service: Crypkey License - Kenonic Controls Ltd. - C:\WINDOWS\SYSTEM32\crypserv.exe
O23 - Service: Symantec AntiVirus Definition Watcher (DefWatch) - Symantec Corporation - E:\Symantec AntiVirus\DefWatch.exe
O23 - Service: Diskeeper - Executive Software International, Inc. - E:\Diskeeper\DkService.exe
O23 - Service: iPod Service - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Program Files\Common Files\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: SAVRoam (SavRoam) - symantec - E:\Symantec AntiVirus\SavRoam.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\SNDSrvc.exe
O23 - Service: Symantec AntiVirus - Symantec Corporation - E:\Symantec AntiVirus\Rtvscan.exe
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\Security Center\SymWSC.exe

Voer de volgende acties eerst uit:
Klik op Start -> (Settings) -> Configuratiescherm -> Software en verwijder het volgende programma:
[b:2d56f14791]SpywareCleaner
[/b:2d56f14791]
Download en installeer CCleaner
(De CCLeaner Yahoo Toolbar is niet nodig)
Nog niet gebruiken.


SpypwareCleaner is a "Spyware remover" of dubious repute - see the SpywareWarrior_List of Rogue/Suspect Anti-Spyware Products & Web Sites

Je kan geen internet explorer settings wijzigen.
Mogelijk dat dit door Spybot S&D is ingesteld.
Wil je dit toch kunnen doen dan laat je onderstaande repareren door HijackThis:


Er is een beperking in Internet Explorer waardoor je niet alle instellingen kunt wijzigen.
Mogelijk dat dit door Spybot S&D is ingesteld.
Indien jij deze instelling niet zelf hebt ingesteld, dan mag je de volgende regel fixen:

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present

[i:2d56f14791]Print de onderstaande instructies uit omdat je de computer tijdens het fixen moet herstarten.
(kopieer de tekst naar bijv. Word en print dit uit)[/i:2d56f14791]

Download FixWareout van één van de volgende links:
http://www.bleepingcomputer.com/files/lonny/Fixwareout.exe
http://downloads.subratam.org/Fixwareout.exe

Sla het op je bureaublad op en dubbelklik op [b:2d56f14791]Fixwareout.exe[/b:2d56f14791].
Klik op "Next", daarna op "Install".
Zorg dat "Run Fixit" aangevinkt is en klik dan op "Finish".
Volg de aanwijzingen op het scherm.
Als je gevraagd wordt om de computer opnieuw te starten doe je dit.
Het zal wat langer duren voor de computer opnieuw volledig opgestart is. Dit is normaal.
Zodra je Bureaublad geladen is, zal een tekstbestand openen (report.txt).

[i:2d56f14791]Let op! Als je antivirus een scriptblokker heeft krijg je een waarschuwing zoals "malicious script warning" wanneer je dit tooltje gaat draaien. Je kunt deze waarschuwing negeren.[/i:2d56f14791]

Start Hijackthis op en kies voor 'Do a system scan only'
Selecteer alleen de items die hieronder zijn genoemd:
[b:2d56f14791]
R3 - Default URLSearchHook is missing
O4 - HKCU\..\Run: [Spyware Cleaner] "C:\Program Files\Spyware Cleaner\SpywareCleaner.Exe" /boot
O17 - HKLM\System\CCS\Services\Tcpip\..\{00EFB49F-CC30-4AF1-8E43-69882AC2572C}: NameServer = 85.255.116.167,85.255.112.168
O17 - HKLM\System\CCS\Services\Tcpip\..\{1981E081-1192-4135-BB59-2DF70276ECD2}: NameServer = 85.255.116.167,85.255.112.168
O17 - HKLM\System\CCS\Services\Tcpip\..\{A69B1350-2DC0-4303-A69E-FD6F57AD29A2}: NameServer = 85.255.116.167,85.255.112.168
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.116.167 85.255.112.168
O17 - HKLM\System\CS1\Services\Tcpip\..\{00EFB49F-CC30-4AF1-8E43-69882AC2572C}: NameServer = 85.255.116.167,85.255.112.168
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.116.167 85.255.112.168
O17 - HKLM\System\CS2\Services\Tcpip\..\{00EFB49F-CC30-4AF1-8E43-69882AC2572C}: NameServer = 85.255.116.167,85.255.112.168
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.116.167 85.255.112.168
[/b:2d56f14791]
Klik op 'Fix checked' om de items te verwijderen.

Open de verkenner ("Mijn Computer" en kies [b:2d56f14791]Extra[/b:2d56f14791] -> [b:2d56f14791]Mapopties…[/b:2d56f14791]
Controleer onder [b:2d56f14791]Weergave[/b:2d56f14791] de volgende instellingen:

Uitzetten: Beveiligde besturingssysteembestanden verbergen (aanbevolen)
Uitzetten: Extensies voor bekende bestandstypen verbergen

Selecteer: De inhoud van systeemmappen weergeven (alleen bij XP)
Selecteer: Verborgen bestanden en mappen weergeven

Verwijder de volgende directories:
C:\Program Files\[b:2d56f14791]Spyware Cleaner[/b:2d56f14791]\

[b:2d56f14791]

Logfile of HijackThis v1.99.1
Scan saved at 21:52:45, on 26-1-2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Common Files\Symantec Shared\ccSetMgr.exe
C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\crypserv.exe
E:\Symantec AntiVirus\DefWatch.exe
E:\Diskeeper\DkService.exe
C:\WINDOWS\eHome\ehRecvr.exe
C:\WINDOWS\eHome\ehSched.exe
C:\WINDOWS\system32\svchost.exe
E:\Symantec AntiVirus\Rtvscan.exe
C:\Program Files\Common Files\Symantec Shared\Security Center\SymWSC.exe
C:\WINDOWS\system32\dllhost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\WgaTray.exe
C:\Program Files\Common Files\Symantec Shared\ccApp.exe
E:\Symantec AntiVirus\VPTray.exe
C:\Program Files\HP\Digital Imaging\Promotions\HPpromo.exe
C:\WINDOWS\system32\atwtusb.exe
E:\qiuck\qttask.exe
C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
C:\WINDOWS\system32\TBLMOUSE.EXE
C:\Program Files\HP\hpcoretech\hpcmpmgr.exe
E:\Picasa2\PicasaMediaDetector.exe
C:\Program Files\iTunes\iTunesHelper.exe
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\Program Files\iPod\bin\iPodService.exe
C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
C:\Program Files\OpenOffice.org 2.0\program\soffice.exe
C:\Program Files\OpenOffice.org 2.0\program\soffice.BIN
C:\WINDOWS\system32\HPZipm12.exe
C:\WINDOWS\system32\msiexec.exe
C:\Program Files\Mozilla Firefox\firefox.exe
H:\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - E:\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0\bin\ssv.dll
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [vptray] E:\Symantec AntiVirus\VPTray.exe
O4 - HKLM\..\Run: [HPpromo psc 1300 series] "C:\Program Files\HP\Digital Imaging\Promotions\HPpromo.exe" /N "psc 1300 series" -r
O4 - HKLM\..\Run: [atwtusb] atwtusb.exe beta
O4 - HKLM\..\Run: [QuickTime Task] "E:\qiuck\qttask.exe" -atboottime
O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [HP Component Manager] "C:\Program Files\HP\hpcoretech\hpcmpmgr.exe"
O4 - HKLM\..\Run: [Picasa Media Detector] E:\Picasa2\PicasaMediaDetector.exe
O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0\bin\jusched.exe"
O4 - HKCU\..\Run: [ares] "E:\ares\Ares.exe" -h
O4 - HKCU\..\Run: [NBJ] "E:\Ahead\Nero BackItUp\NBJ.exe"
O4 - HKCU\..\Run: [SlackerElves] C:\Program Files\ScreenMates\elves[1].exe
O4 - Startup: OpenOffice.org 2.0 .lnk = C:\Program Files\OpenOffice.org 2.0\program\quickstart.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://E:\Microsoft Office\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0\bin\npjpi160.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0\bin\npjpi160.dll
O9 - Extra button: Onderzoek - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - E:\Microsoft Office\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\system32\Shdocvw.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe
O12 - Plugin for .pdf: C:\Program Files\Internet Explorer\PLUGINS\nppdf32.dll
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSN Messenger\msgrapp.dll" (file missing)
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll
O20 - Winlogon Notify: NavLogon - C:\WINDOWS\system32\NavLogon.dll
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O23 - Service: Adobe LM Service - Unknown owner - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\ccSetMgr.exe
O23 - Service: Crypkey License - Kenonic Controls Ltd. - C:\WINDOWS\SYSTEM32\crypserv.exe
O23 - Service: Symantec AntiVirus Definition Watcher (DefWatch) - Symantec Corporation - E:\Symantec AntiVirus\DefWatch.exe
O23 - Service: Diskeeper - Executive Software International, Inc. - E:\Diskeeper\DkService.exe
O23 - Service: iPod Service - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Program Files\Common Files\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: SAVRoam (SavRoam) - symantec - E:\Symantec AntiVirus\SavRoam.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\SNDSrvc.exe
O23 - Service: Symantec AntiVirus - Symantec Corporation - E:\Symantec AntiVirus\Rtvscan.exe
O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Program Files\Common Files\Symantec Shared\Security Center\SymWSC.exe

ixwareout
Last edited 1/14/2006
Post this report in the forums please
…
Prerun check
»»»»» HKLM run and Winlogon System values
C:\WINDOWS\system32\csaff.exe will be moved to C:\WINDOWS\temp\csaff.ren at reboot.
»»»»» System restarted
…
Reg Entries that were deleted
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Urls\1trap
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Urls\2trap
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion "dpid"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion "pid"
…
Random Runs removed from HKLM
…

PLEASE NOTE, There WILL be LEGITIMATE FILES LISTED. IF YOU ARE UNSURE OF WHAT IT IS LEAVE THEM ALONE.

»»»»» Searching by size/names…
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\XFIND.COM onmogelijk

»»»»»
Search five digit cs, dm kd and jb files.
This WILL/CAN also list Legit Files, Submit them at Virustotal
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk

Other suspects.

»»»»» Misc files.

»»»»» Checking for older varients covered by the Rem3 tool.

»»»»» Postrun check
»»»»» HKLM run
»»»»» Winlogon System value
"system"=""
»»»»»

Je kan geen internet explorer settings wijzigen.
Mogelijk dat dit door Spybot S&D is ingesteld.
Wil je dit toch kunnen doen dan laat je onderstaande repareren door HijackThis:

O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present


Draai de wareoutfix nogmaals en plaats de nieuwe logjes aub, vertel gelijk of je nog steeds problemen hebt.

Dat zal best maar ik ben niet tevreden.


Wil je deze map eens verwijderen:
[b:2b1a9139b7]C:\FIXWAREOUT\[/b:2b1a9139b7]


en daarna fixwareout opnieuw downloaden en laten runnen zoals eerder beschreven.

Plaats dan het wareoutlogje aub.


J

Fixwareout
Last edited 1/27/2007
Post this report in the forums please
…
Prerun check
»»»»» HKLM run and Winlogon System values
»»»»» System restarted
…
Reg Entries that were deleted
…
Random Runs removed from HKLM
…

PLEASE NOTE, There WILL be LEGITIMATE FILES LISTED. IF YOU ARE UNSURE OF WHAT IT IS LEAVE THEM ALONE.

»»»»» Searching by size/names…
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk

»»»»»
Search five digit cs, dm kd and jb files.
This WILL/CAN also list Legit Files, Submit them at Virustotal
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk
Uitvoeren C:\FIXWAREOUT\FINDT\LOCATE.COM onmogelijk

Other suspects.

»»»»» Misc files.

»»»»» Checking for older varients covered by the Rem3 tool.

»»»»» Postrun check
»»»»» HKLM run
»»»»» Winlogon System value
"system"=""
»»»»»


»»»»» Current runs

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ccApp"="\"C:\\Program Files\\Common Files\\Symantec Shared\\ccApp.exe\""
"vptray"="E:\\Symantec AntiVirus\\VPTray.exe"
"HPpromo psc 1300 series"="\"C:\\Program Files\\HP\\Digital Imaging\\Promotions\\HPpromo.exe\" /N \"psc 1300 series\" -r"
"atwtusb"="atwtusb.exe beta"
"QuickTime Task"="\"E:\\qiuck\\qttask.exe\" -atboottime"
"HP Software Update"="C:\\Program Files\\HP\\HP Software Update\\HPWuSchd2.exe"
"HP Component Manager"="\"C:\\Program Files\\HP\\hpcoretech\\hpcmpmgr.exe\""
"Picasa Media Detector"="E:\\Picasa2\\PicasaMediaDetector.exe"
"RegistryMechanic"=""
"iTunesHelper"="\"C:\\Program Files\\iTunes\\iTunesHelper.exe\""
"TkBellExe"="\"C:\\Program Files\\Common Files\\Real\\Update_OB\\realsched.exe\" -osboot"
"SunJavaUpdateSched"="\"C:\\Program Files\\Java\\jre1.6.0\\bin\\jusched.exe\""

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\OptionalComponents]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\OptionalComponents\IMAIL]
"Installed"="1"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\OptionalComponents\MAPI]
"Installed"="1"
"NoChange"="1"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\OptionalComponents\MSFS]
"Installed"="1"

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ares"="\"E:\\ares\\Ares.exe\" -h"
"NBJ"="\"E:\\Ahead\\Nero BackItUp\\NBJ.exe\""
"SlackerElves"="C:\\Program Files\\ScreenMates\\elves[1].exe"

Maak een nieuw HJT logje aub en vertel eens hoe het gaat nu.