WinXP traag

[NLCOMP]

Bericht 1 van 9

NL Computer Forum ~ Computerbeveiligin g

Van	:	Peter	Datum	:	13-09-2004
Aan	:	Allen	MsgID	:	1598.1
Onderwerp	:	winxp traag	Forum	:	ws-nlcomputer

Hoi,

winXP pc zeer traag met IE en lezen/schrijven naar floppy
Antivirus mcAfee 7 is up-to-date
Spybot en AdAware gedraait en analles opgeschoont
PC blijft traag.
Graag info over onderstaande logfile.

Code: [Selecteer]

Logfile of HijackThis v1.98.2
Scan saved at 19:37:17, on 13-9-2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Sitecom\Bluetooth Software\bin\btwdins.exe
C:\WINDOWS\system32\crypserv.exe
C:\Program Files\Network Associates\Common Framework\FrameworkService.exe
C:\Program Files\Network Associates\VirusScan\Mcshield.exe
C:\Program Files\Network Associates\VirusScan\VsTskMgr.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\mHotkey.exe
C:\Program Files\Alcatel\SpeedTouch USB\Dragdiag.exe
C:\WINDOWS\Mixer.exe
C:\Program Files\Network Associates\VirusScan\SHSTAT.EXE
C:\Program Files\Network Associates\Common Framework\UpdaterUI.exe
C:\WINDOWS\System32\RUNDLL32.EXE
C:\Program Files\QuickTime\qttask.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\Sitecom\Bluetooth Software\BTTray.exe
C:\PROGRA~1\Sitecom\BLUETO~1\BTSTAC~1.EXE
C:\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.altavista.com/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Startpagina = file:///C:/Program%20Files/Startportal/Portal/portal.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = http://www.google.nl/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\system32\msdxm.ocx
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\NeroCheck.exe
O4 - HKLM\..\Run: [CHotKey] mHotkey.exe
O4 - HKLM\..\Run: [SpeedTouch USB Diagnostics] "C:\Program Files\Alcatel\SpeedTouch USB\Dragdiag.exe" /icon
O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup
O4 - HKLM\..\Run: [ShStatEXE] "C:\Program Files\Network Associates\VirusScan\SHSTAT.EXE" /STANDALONE
O4 - HKLM\..\Run: [McAfeeUpdaterUI] "C:\Program Files\Network Associates\Common Framework\UpdaterUI.exe" /StartedFromRunKey
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [Skype] "C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - Global Startup: BTTray.lnk = ?
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: &Google Search - res://c:\program files\google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~4\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Gelijkwaardige pagina's - res://c:\program files\google\GoogleToolbar1.dll/cmsimilar.html
O8 - Extra context menu item: Koppelingspagina's - res://c:\program files\google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Opgeslagen momentopname van de pagina - res://c:\program files\google\GoogleToolbar1.dll/cmcache.html
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O16 - DPF: {386A771C-E96A-421F-8BA7-32F1B706892F} - http://cshax.fionex.com/wss.exe
O16 - DPF: {39B0684F-D7BF-4743-B050-FDC3F48F7E3B} (FilePlanet Download Control Class) - http://www.fileplanet.com/fpdlmgr/cabs/FPDC_1_0_0_44.cab
O16 - DPF: {41F17733-B041-4099-A042-B518BB6A408C} - http://a1540.g.akamai.net/7/1540/52/20021205/qtinstall.info.apple.com/drakken/us/win/QuickTimeInstaller.exe
O16 - DPF: {6211AC26-A1B4-422A-AC52-1E70B7D24465} (FileSharingCtrl Class) - http://appdirectory.messenger.msn.com/AppDirectory/P4Apps/FileSharing/nl/filesharingctrl.cab
O16 - DPF: {70BA88C8-DAE8-4CE9-92BB-979C4A75F53B} (GSDACtl Class) - http://launch.gamespyarcade.com/software/launch/alaunch.cab
O16 - DPF: {CE69F98F-2AF3-4306-BAC6-A79070EDA1B4} (Zylom Loader Object) - http://game14.zylomgames.com/activex/zylomloader.cab
O16 - DPF: {EF791A6B-FC12-4C68-99EF-FB9E207A39E6} (McFreeScan Class) - http://download.mcafee.com/molbin/iss-loc/vso/en-us/tools/mcfscan/2,0,0,4390/mcfscan.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{04AF1C10-AD57-429A-85E5-0D39A2E1A7FB}: NameServer = 192.168.200.1
O17 - HKLM\System\CS1\Services\Tcpip\..\{04AF1C10-AD57-429A-85E5-0D39A2E1A7FB}: NameServer = 192.168.200.1
bvd, Peter

Bericht 2 van 9

NL Computer Forum ~ Computerbeveiligin g

Van	:	Michel Uphoff (Sysop)	Datum	:	14-09-2004
Aan	:	Peter	MsgID	:	1598.2
Onderwerp	:	winxp traag	Forum	:	ws-nlcomputer

Dag Peter,

C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\mHotkey.exe
C:\Program Files\Alcatel\SpeedTouch USB\Dragdiag.exe
C:\WINDOWS\Mixer.exe
Hoogstwaarschijnlijk geheel overbodige ram-eters. Wegvinken in MsConfig, en via service de Nvidia Helper service uitschakelen.

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Startpagina = file:///C:/Program%20Files/Startportal/Portal/portal.html
Als die nog werkt is dit vervelende ad/spyware. Verwijder de map startporal eens, en kijk of hij terugkomt. Zo ja, dan is de adware nog actief. In ieder geval r1 aanvinken in H.T. en fix kiezen.

Code: [Selecteer]

O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\NeroCheck.exe
O4 - HKLM\..\Run: [CHotKey] mHotkey.exe
O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKCU\..\Run: [Skype] "C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - Global Startup: BTTray.lnk = ?
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
Nerocheck, mHotkey, Mixer, NcCpl.dll, Nwiz, NvTaskbarInit, Skype, Osa zijn geen programma's die constant in het geheugen hoeven te staan, of geheel overbodig. Ik had ze met H.T al lang de nek omgedraaid. Quicktime ligt iets anders, dan kan je wel weghalen, maar komt vanzelf terug. Overweeg QuikTime alternative.

O16 - DPF: {386A771C-E96A-421F-8BA7-32F1B706892F} - http://cshax.fionex.com/wss.exe
O16 - DPF: {39B0684F-D7BF-4743-B050-FDC3F48F7E3B} (FilePlanet Download Control Class) - http://www.fileplanet.com/fpdlmgr/cabs/FPDC_1_0_0_44.cab
O16 - DPF: {41F17733-B041-4099-A042-B518BB6A408C} - http://a1540.g.akamai.net/7/1540/52/20021205/qtinstall.info.apple.com/drakken/us/win/QuickTimeInstaller.exe
O16 - DPF: {6211AC26-A1B4-422A-AC52-1E70B7D24465} (FileSharingCtrl Class) - http://appdirectory.messenger.msn.com/AppDirectory/P4Apps/FileSharing/nl/filesharingctrl.cab
O16 - DPF: {70BA88C8-DAE8-4CE9-92BB-979C4A75F53B} (GSDACtl Class) - http://launch.gamespyarcade.com/software/launch/alaunch.cab
O16 - DPF: {CE69F98F-2AF3-4306-BAC6-A79070EDA1B4} (Zylom Loader Object) - http://game14.zylomgames.com/activex/zylomloader.cab
Loop na, of je deze downloaded program files wel nodig hebt. Zo nee, dan kan je ze in IE via de knop "objecten weergeven" (rechtsklik op het bestand en lees de eigenschappen) verwijderen. Alternatief is ze in H.T. aan te vinken en voor Fix te kiezen.

Michel Uphoff
(Sysop)

http://tinyurl.com/m8fp


Bericht 3 van 9

NL Computer Forum ~ Computerbeveiligin g

Van	:	Pimmetje	Datum	:	14-09-2004
Aan	:	Michel Uphoff (Sysop)	MsgID	:	1598.3
Onderwerp	:	winxp traag	Forum	:	ws-nlcomputer

Hi Michel,

Naar aanleiding vaan deze HiJack, maar ook andere.
Is er ergens uitleg over:
R1
O4
O18 enz..

Groetjes

Pim


Bericht 4 van 9

NL Computer Forum ~ Computerbeveiligin g

Van	:	Michel Uphoff (Sysop)	Datum	:	17-09-2004
Aan	:	Pimmetje	MsgID	:	1598.4
Onderwerp	:	winxp traag	Forum	:	ws-nlcomputer

Dag Pim,

Code: [Selecteer]

R0, R1, R2, R3 - Internet Explorer Start/Search pages URLs
F0, F1 - Autoloading programs
N1, N2, N3, N4 - Netscape/Mozilla Start/Search pages URLs
O1 - Hosts file redirection
O2 - Browser Helper Objects
O3 - Internet Explorer toolbars
O4 - Autoloading programs from Registry
O5 - IE Options icon not visible in Control Panel
O6 - IE Options access restricted by Administrator
O7 - Regedit access restricted by Administrator
O8 - Extra items in IE right-click menu
O9 - Extra buttons on main IE button toolbar, or extra items in IE 'Tools' menu
O10 - Winsock hijacker
O11 - Extra group in IE 'Advanced Options' window
O12 - IE plugins
O13 - IE DefaultPrefix hijack
O14 - 'Reset Web Settings' hijack
O15 - Unwanted site in Trusted Zone
O16 - ActiveX Objects (aka Downloaded Program Files)
O17 - Lop.com domain hijackers
O18 - Extra protocols and protocol hijackers
O19 - User style sheet hijack

Michel Uphoff
(Sysop)

http://tinyurl.com/m8fp


Bericht 5 van 9

NL Computer Forum ~ Computerbeveiligin g

Van	:	Pimmetje	Datum	:	17-09-2004
Aan	:	Michel Uphoff (Sysop)	MsgID	:	1598.5
Onderwerp	:	winxp traag	Forum	:	ws-nlcomputer

Hi Michel,

Bedankt en ik ben op het net verder gaan zoeken en vond bij www.bleeping.com een zeer uitgebreide uitleg over alle ingangen. Tjeempie, wat een rotzooi kan er op je afkomen<g>.

Groetjes

Pim


Bericht 6 van 9

NL Computer Forum ~ Computerbeveiligin g

Van	:	Michel Uphoff (Sysop)	Datum	:	17-09-2004
Aan	:	Pimmetje	MsgID	:	1598.6
Onderwerp	:	winxp traag	Forum	:	ws-nlcomputer

>> www.bleeping.com <<

Dag Pim,

Ik krijg alleen een frontpagina te zien met allerlei ad's, en kon tussen dat geweld niet zo snel een linkje vinden naar die bewuste pagina. Het is dus waarschijnlijk een subpagina. Heb je daar ook een Url van?

Michel Uphoff
(Sysop)

http://tinyurl.com/m8fp


Bericht 7 van 9

NL Computer Forum ~ Computerbeveiligin g

Van	:	Pimmetje	Datum	:	18-09-2004
Aan	:	Michel Uphoff (Sysop)	MsgID	:	1598.7
Onderwerp	:	winxp traag	Forum	:	ws-nlcomputer

Hi Michel,

>>bleeping<<
Slip of the fingers<g>. Moet zijn

bleepingcomputer.com, daarna tutorials, bovenaan in de pagina.

Groetjes

Pim


Bericht 8 van 9

NL Computer Forum ~ Computerbeveiligin g

Van	:	Michel Uphoff (Sysop)	Datum	:	18-09-2004
Aan	:	Pimmetje	MsgID	:	1598.8
Onderwerp	:	winxp traag	Forum	:	ws-nlcomputer

Hoi Pim,

Inderdaad een goede informatiebron, bedankt!

Michel Uphoff
(Sysop)

http://tinyurl.com/m8fp


Bericht 9 van 9

NL Computer Forum ~ Computerbeveiligin g

Van	:	Pimmetje	Datum	:	19-09-2004
Aan	:	Michel Uphoff (Sysop)	MsgID	:	1598.9
Onderwerp	:	winxp traag	Forum	:	ws-nlcomputer

Hi Michel,

>>bedankt<<

Alsjeblieft<g>.

Maar ik nog weer meer zaakjes, waarvan ik het fijne wil weten. Lees en huiver in ander berichten. Gaan over SP2 en Spybot/runhunt

Groetjes

Pim