Searchassistant

[NLCOMP]

Bericht 1 van 17

NL Computer Forum ~ Computerbeveiligin g

Van	:	Pimmetje	Datum	:	25-08-2004
Aan	:	Allen	MsgID	:	1593.1
Onderwerp	:	searchassistant	Forum	:	ws-nlcomputer

Hoi Allemaal,

Zelfs op vakantie kom ik nog met computers in aanraking<g>. Nu heb ik bij kennissen S&D geinstalleerd en heb op die manier al het een en ander kunnen verwijderen. Maar ...
teatimer blijft mekkeren over SearchAssistant en dat gaat de godganse tijd maar door. Ik heb al gegoogeld, maar daar word ik niet veel wijzer. Kan iemand mij een goede suggestie doen? Verder staat er nog wat rotzooi op en ook dat krijg ik op een of andere wijze niet weg. Een balk onderaan het scherm die gaat over Make Money Music Casino, zegt jullie dat wat? Indien jullie een antwoord hebben, dan hoor ik dat graag en ook heel graag voor vrijdagavond, want zaterdag gaan we weer richting huis.

Groetjes

Pim


Bericht 2 van 17

NL Computer Forum ~ Computerbeveiligin g

Van	:	Michel Uphoff (Sysop)	Datum	:	26-08-2004
Aan	:	Pimmetje	MsgID	:	1593.2
Onderwerp	:	searchassistant	Forum	:	ws-nlcomputer

Dag Pim,

Dat is naar ik meen een CoolWebSearch variant. Te verwijderen met het tooltje Cwshred.exe. Ik upload het even naar de sectie 12, Computerbeveiliging.

Michel Uphoff
(Sysop)

http://tinyurl.com/m8fp


Bericht 3 van 17

NL Computer Forum ~ Computerbeveiligin g

Van	:	Pimmetje	Datum	:	26-08-2004
Aan	:	Michel Uphoff (Sysop)	MsgID	:	1593.3
Onderwerp	:	searchassistant	Forum	:	ws-nlcomputer

Hi Michel,

Helaas, dat was het niet<g>. Weet je nog iets anders leuks? Het is juist zo vervelend, omdat Teatimer de hele tijd opkomt met een waarschuwing voor een registerwijziging en dat maakt, dat men de timer maar uitzet. Ik had al op internet gezocht, maar echt duidelijk waren de berichten erover niet.

Groetjes

Pim


Bericht 4 van 17

NL Computer Forum ~ Computerbeveiligin g

Van	:	Michel Uphoff (Sysop)	Datum	:	26-08-2004
Aan	:	Pimmetje	MsgID	:	1593.4
Onderwerp	:	searchassistant	Forum	:	ws-nlcomputer

Dag Pim,

Haal HijackThis eens op van internet (http://www.spychecker.com/program/hijackthis.html), bewaar het tooltje in een tijdelijke map. Na starten klik je op scan. Hierna klik je op "Save Log". Stuur deze log eens op, kan ik even kijken.

Bewaar HijackThis goed, want je hebt het straks waarschijnlijk nogmaals nodig.

Michel Uphoff
(Sysop)

http://tinyurl.com/m8fp


Bericht 5 van 17

NL Computer Forum ~ Computerbeveiligin g

Van	:	Pimmetje	Datum	:	28-08-2004
Aan	:	Michel Uphoff (Sysop)	MsgID	:	1593.5
Onderwerp	:	searchassistant	Forum	:	ws-nlcomputer

Hi Michel,

Bedankt voor je antwoord, maar daar heb ik nu niets meer aan, ik ben al weer thuis. Ik dacht, dat ik hijack al voor de kennissen heb opgehaald. Ik zal ze je stappen meelen en dan maar hopen, dat ze de log weer terug kunnen sturen<g>.

Heb trouwens nog een vraag voor je, maar dan mijn zoon, die heeft problemen met installeren van davilex banksoftware en een update van ACDSee, krijgt-ie een melding over windows-installer. Zegt zoiets als: kan geen toegang krijgen tot windows-installer service. Oorzaak kan zijn dat u windows in veilige mode heb gestart of installer is niet juist geinstalleerd.

Zegt jou dat iets?

Alvast weer bedankt

Groetjes

Pim


Bericht 6 van 17

NL Computer Forum ~ Computerbeveiligin g

Van	:	Michel Uphoff (Sysop)	Datum	:	28-08-2004
Aan	:	Pimmetje	MsgID	:	1593.6
Onderwerp	:	searchassistant	Forum	:	ws-nlcomputer

Hoi Pim,

>> Zegt jou dat iets? <<

Nee, maar Davilex wel. Er is naar ik meen zelfs een speciale groep die zich ten doel heeft gesteld Davilex het leven zuur te maken vanwege de gigantische aantallen bugs in hun programma's. Nou wil ik niet zeggen dat het in dit geval per s de schuld van David en Lex is, maar het zou mij niets verbazen.

Kijk eens even bij: Start, uitvoeren, services.msc of de Windows Installer Service minimaal op handmatig staat ingesteld (automatisch mag ook, maar kost onnodig geheugen).

Verder heeft hij voldoende rechten?

De service kan ook zijn registratie verloren hebben of defect zijn. Lees daarvoor de instructies op:
http://support.microsoft.com/default.aspx?kbid=315353

Michel Uphoff
(Sysop)

http://tinyurl.com/m8fp


Bericht 7 van 17

NL Computer Forum ~ Computerbeveiligin g

Van	:	Pimmetje	Datum	:	29-08-2004
Aan	:	Michel Uphoff (Sysop)	MsgID	:	1593.7
Onderwerp	:	searchassistant	Forum	:	ws-nlcomputer

Hi Michel,

Ik heb je antwoord doorgestuurd naar mijn zoon en nu maar hopen, dat-ie er wat van begrijpt<g>.

In ieder geval weer bedankt.

Groetjes

Pim


Bericht 8 van 17

NL Computer Forum ~ Computerbeveiligin g

Van	:	Pimmetje	Datum	:	30-08-2004
Aan	:	Michel Uphoff (Sysop)	MsgID	:	1593.8
Onderwerp	:	searchassistant	Forum	:	ws-nlcomputer

Hi Michel,

Na enig 5-en en 6-en is het me uiteindelijk gelukt om die log van HijackThis hier te krijgen. Bijgaand dus:

Logfile of HijackThis v1.97.7
Scan saved at 11:06:37, on 30-8-2004
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Common Files\Symantec Shared\ccSetMgr.exe
C:\Program Files\Common Files\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe
C:\Program Files\Norton AntiVirus\navapsvc.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\Norton AntiVirus\SAVScan.exe
C:\WINDOWS\System32\RunDll32.exe
C:\WINDOWS\System32\keyhook.exe
C:\Program Files\Common Files\Symantec Shared\ccApp.exe
C:\WINDOWS\System32\Linksts.exe
C:\Program Files\Messenger Plus! 3\MsgPlus.exe
C:\Program Files\Common Files\Logitech\QCDriver3\LVCOMS.EXE
C:\Program Files\Hewlett-Packard\Digital Imaging\Unload\hpqcmon.exe
c:\progra~1\intern~1\iexplore.exe
C:\PROGRA~1\PANICW~1\POP-UP~1\dpps2.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\Outlook Express\msimn.exe
C:\Program Files\Norton AntiVirus\OPScan.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\WINDOWS\explorer.exe
C:\Documents and Settings\DSP\Mijn documenten\Mijn ontvangen bestanden\HijackThis.exe

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.fobvvzdtayjpnvwdqazk.com/kJ5SiznDy3jL1qu9W9hl/Q0PUY9lAkh1lRcTVofkv75nQolxfB4ON7L_SCZGtUdR.htm
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Koppelingen
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: (no name) - {9AE9D086-0743-0AC5-FF43-0BDBCF3720F1} - C:\PROGRA~1\ACESAF~1\bend meta.exe
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Program Files\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Program Files\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [SiS Windows KeyHook] C:\WINDOWS\System32\keyhook.exe
O4 - HKLM\..\Run: [SiSUSBRG] C:\WINDOWS\SiSUSBrg.exe
O4 - HKLM\..\Run: [ccApp] "C:\Program Files\Common Files\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [ISDN Monitor] Linksts.exe W 1024
O4 - HKLM\..\Run: [MessengerPlus3] "C:\Program Files\Messenger Plus! 3\MsgPlus.exe"
O4 - HKLM\..\Run: [date type] C:\PROGRA~1\FORKKN~1\ObjActivePhone.exe
O4 - HKLM\..\Run: [LVCOMS] C:\Program Files\Common Files\Logitech\QCDriver3\LVCOMS.EXE
O4 - HKLM\..\Run: [CamMonitor] C:\Program Files\Hewlett-Packard\Digital Imaging\\Unload\hpqcmon.exe
O4 - HKLM\..\Run: [Pop-Up Stopper] "C:\PROGRA~1\PANICW~1\POP-UP~1\dpps2.exe"
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MessengerPlus3] "C:\Program Files\Messenger Plus! 3\MsgPlus.exe" /WinStart
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Program Files\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Windows Messenger (HKLM)
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab27571.cab
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/shockwave/cabs/director/sw.cab
O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab28177.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab27571.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab28177.cab

Het gaat overigens om een W-XP Prof installatie, voor het geval dat je dat nog wil weten.

Groetjes

Pim


Bericht 9 van 17

NL Computer Forum ~ Computerbeveiligin g

Van	:	Michel Uphoff (Sysop)	Datum	:	30-08-2004
Aan	:	Pimmetje	MsgID	:	1593.9
Onderwerp	:	searchassistant	Forum	:	ws-nlcomputer

Dag Pim,

C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe
Geen virus of spyware, maar wel onnodig. Weg laten vinken in HijackThis

C:\Program Files\Messenger Plus! 3\MsgPlus.exe
Een bekende, zogenaamde uitbreiding van Msn, inclusief een paar ongenode spyware gasten. Via software die Messenger Plus laten de-installeren

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://www.fobvvzdtayjpnvwdqazk.com/kJ5SiznDy3jL1qu9W9hl/Q0PUY9lAkh1lRcTVofkv75nQolxfB4ON7L_SCZGtUdR.htm
Weg laten vinken, spyware/adware, en dit kon wel eens terugkomen nadat het weggevinkt is.

O2 - BHO: (no name) - {9AE9D086-0743-0AC5-FF43-0BDBCF3720F1} - C:\PROGRA~1\ACESAF~1\bend meta.exe
Mij onbekende Browser Helper. Ik zou hem weg laten vinken in HijackThis

O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
Onnodige startup van een audio hulpje. Wegvinken naar believen.

O4 - HKLM\..\Run: [MessengerPlus3] "C:\Program Files\Messenger Plus! 3\MsgPlus.exe"
Wegvinken.

O4 - HKLM\..\Run: [date type] C:\PROGRA~1\FORKKN~1\ObjActivePhone.exe
Geen idee wat dit is. Erg vertrouwenwekkend klinkt het niet. Via configuratiescherm, software na laten gaan wat dit voor moois is, en indien niet gewenst of onbekend de-installeren.

O4 - HKCU\..\Run: [MessengerPlus3] "C:\Program Files\Messenger Plus! 3\MsgPlus.exe" /WinStart
Wegvinken.

Algemene procedure:
0: Pc opstarten en GEEN programma's starten.
1: (tijdelijk) system restore uitzetten.
2: Verwijderen via software van de aangegeven programma's
3: Herstarten en GEEN programma's starten
4: HijackThis starten en wegvinken wat aanbevolen is
5: Cwschred starten en laten fixen wat nodig is
6: Pc herstarten en in Veilige modus NAV starten en een complete scan van de pc laten doen.
7: Herstarten en controleren

Vooral die SearchAssistant is een vervelend kreng. Geef als het verwijderen niet lukt de namen van de mappen in C:\Documents and Settings\All Users\Application Data
eens door. Meestal bevindt het kreng zich in een van de submappen of in de map zelf. Weergeven van systeem en verborgen mappen moet aanstaan in XP.

Michel Uphoff
(Sysop)

http://tinyurl.com/m8fp


Bericht 10 van 17

NL Computer Forum ~ Computerbeveiligin g

Van	:	Pimmetje	Datum	:	31-08-2004
Aan	:	Michel Uphoff (Sysop)	MsgID	:	1593.10
Onderwerp	:	searchassistant	Forum	:	ws-nlcomputer

Hi Michel,

Dit gaat nog wat worden<g>. Denk je een simpele gebruiker in, zo van: "ik heb er toch geen verstand van".
En dan nog de afstand. Gebruiker zit in Zeeland en ik in Limburg. Maar goed we gaan het proberen<g>.
Ik weet natuurlijk ook niet alles, dus ...
Hoe zet je tijdelijk system restore uit? En daarna weer aan?
En stap 1, kan dat niet beter in "veilige mode"? En hoe krijg je dat voor elkaar? Drukken op F8 tijdens starten als ik me niet vergis?
Ik moet al die stappen stap voor stap uitleggen, dus dat gaat een langdurig verhaal worden. Maar we gaan ervoor<g>.

Verder bedankt en je wordt op de hoogte gehouden.

Groetjes

Pim



Bericht 11 van 17

NL Computer Forum ~ Computerbeveiligin g

Van	:	Pimmetje	Datum	:	31-08-2004
Aan	:	Michel Uphoff (Sysop)	MsgID	:	1593.11
Onderwerp	:	searchassistant	Forum	:	ws-nlcomputer

Hi Michel,

Nog vergeten<g>. Hoe zet je weergeven van systeem en verborgen bestanden aan?
Je ziet, ik weet echt niets<g>.

Groetjes

Pim


Bericht 12 van 17

NL Computer Forum ~ Computerbeveiligin g

Van	:	Michel Uphoff (Sysop)	Datum	:	31-08-2004
Aan	:	Pimmetje	MsgID	:	1593.12
Onderwerp	:	searchassistant	Forum	:	ws-nlcomputer

Dag Pim,

>> Hoe zet je tijdelijk system restore uit? En daarna weer aan? <<

Rechtklik op "Deze Computer", kies "Eigenschappen" Tabblad "Systeemherstel", vinkje in "Systeemherstel op alle stations uitschakelen". Als de luis uit de pels is kan je het later via dezelde weg weer aanzetten.

Het is altijd beter de digitale flitspuit te hanteren in Veilige mode. Inderdaad via F8 te bereiken.

>> je wordt op de hoogte gehouden <<

Ben benieuwd. Met name naar het slagen van de verwijdering van de door mij aangegeven etterbak.

>> Hoe zet je weergeven van systeem en verborgen bestanden aan? <<

Tsss.. die Linuxboys ook <GggD&RvF>:

Start de verkenner, extra, mapopties, tabblad "weergave", vinkje weghalen bij "Beveiligde besturingssysteembestanden bla bla bla" en bolletje plaatsen in "Verborgen bestanden en mappen weergeven". Later via dezelfde weg weer terugzetten.

Michel Uphoff
(Sysop)

http://tinyurl.com/m8fp


Bericht 13 van 17

NL Computer Forum ~ Computerbeveiligin g

Van	:	Pimmetje	Datum	:	01-09-2004
Aan	:	Michel Uphoff (Sysop)	MsgID	:	1593.13
Onderwerp	:	searchassistant	Forum	:	ws-nlcomputer

Hi Michel,

>>Tsss.. die Linuxboys ook <GggD&RvF>:<<
Geen kommentaar<g>.

Groetjes

Pim
Ps. En bedankt maar weer!!!

Bericht 14 van 17

NL Computer Forum ~ Computerbeveiligin g

Van	:	Pimmetje	Datum	:	02-09-2004
Aan	:	Michel Uphoff (Sysop)	MsgID	:	1593.14
Onderwerp	:	searchassistant	Forum	:	ws-nlcomputer

Hi Michel,

Nog een vraag over HijackThis.

Als zo'n scan gedraaid wordt, geldt die dan voor het hele systeem, of is dat per gebruiker apart? Ik meen me te herinneren, dat ik bij runhunt ook verschillen zag per beheerder en gebruiker.

Groetjes

Pim


Bericht 15 van 17

NL Computer Forum ~ Computerbeveiligin g

Van	:	Michel Uphoff (Sysop)	Datum	:	02-09-2004
Aan	:	Pimmetje	MsgID	:	1593.15
Onderwerp	:	searchassistant	Forum	:	ws-nlcomputer

>> Ik meen me te herinneren, dat ik bij runhunt ook verschillen zag per beheerder en gebruiker. <<

Dag Pim,

Draai zekerheidshalve HJT per user. Een fors deel van de opstartlocaties is system-wide, maar eneke locaties zijn aan gebruikersnamen en -rechten gebonden.

Michel Uphoff
(Sysop)

http://tinyurl.com/m8fp


Bericht 16 van 17

NL Computer Forum ~ Computerbeveiligin g

Van	:	Pimmetje	Datum	:	02-09-2004
Aan	:	Michel Uphoff (Sysop)	MsgID	:	1593.16
Onderwerp	:	searchassistant	Forum	:	ws-nlcomputer

Hi Michel,

>>maar enkele locaties zijn aan gebruikersnamen en -rechten gebonden.<<

En wat betekent dat?
Dat per gebruiker al dan niet "gefixed" moet worden?
Dit is toch wel verdomde lastig<g>.

Groetjes

Pim



Bericht 17 van 17

NL Computer Forum ~ Computerbeveiligin g

Van	:	Michel Uphoff (Sysop)	Datum	:	03-09-2004
Aan	:	Pimmetje	MsgID	:	1593.17
Onderwerp	:	searchassistant	Forum	:	ws-nlcomputer

>> Dat per gebruiker al dan niet "gefixed" moet worden? <<

Dag Pim,

Zou ik zeker toch even doen. Eerst als administrator (of iemand met die rechten), en daarna even als een andere user. Dan zie je vanzelf wel of er nog nieuwe prut bijgekomen is.

Michel Uphoff
(Sysop)

http://tinyurl.com/m8fp