onverwijderbare toolbar in Opera

Ik heb nu de juiste download te pakken gehad via "open source" - geen afleidingsmanoeuvres met meerdere downloadfbuttons op een enkele pagina waarbij dan weer niet duidelijk is wat je naar binnen haalt omdat de teksten elkaar overlappen.
De goede dus bij "open source" - nu klopt het UI zo ongeveer met wat Peter liet zien.
Nu zal ik Peter's aanwijzingen in de loop van de avond uitvoeren.


Op het hijackThis forum las ik over meerdere problemen met dit smerige malware product van Google; het blijkt een zeer moeilijk te verwijderen progje te zijn. Ik lees dat Combofix in veel gevallen gebruikt wordt om het uiteindelijk weg te krijgen. Een ultiem paardemiddel, maar niettemin ....

[Peter]

Hoi zzp1,

Ik lees dat Combofix in veel gevallen gebruikt wordt om het uiteindelijk weg te krijgen. Een ultiem paardemiddel, maar niettemin ....

Gebruik Combofix voorlopig nog niet. Het is niet zonder risico!!!
Gelukkig zit je nu weer op het juiste spoor.

Ga ook geen nieuwe vraag/topic starten op een ander forum. Dat geeft verwarring naar de helpers want die weten van elkaar meestal niet wat er op je computer gebeurt.

In je eerste bericht had je het over Opera. Dat zie ik nergens terug in de logfiles. Hoe zit dat?


Peter

Peter voor de goede orde:
Op weg naar het zoeken van een zuivere aanbieder om HijackThis te downloaden kwam ik op dat Hijack forum terecht.
Omdat ik in geen geval verwaring wil stichten, heb ik het even doorgelezenm en daarna weggeklikt.
Ik gebruik Opera al bijna twee (?) jaar. Geen pretige browser maar wel zo rustig.


Verder was ik niet van plan combofix (nog of al) te gebruiken. De malware is feitelijk niet meer zichtbaar maar zal zich wellicht binnen het programma verscholen hebben.
Is het een soort Rootkit?
Ik ben nog even aan het renderen, morgen zal ik e.e.a. plaatsen.


Bedankt voor je onverdeelde aandacht.

[Peter]

Hoi zzp1,

Ik wil je zeker niet weerhouden in het zoeken naar een oplossing. Het enige wat ik wilde zeggen is, voorkom dat meerdere vrijwilligers zich bezighouden met 1 en hetzelfde probleem zonder dat die dat van elkaar weten. We kunnen je computer immers niet 'zien' en kunnen alleen maar afgaan op de informatie die je geeft, via woorden en logfiles.

Ik gebruik Opera al bijna twee (?) jaar. Geen pretige browser maar wel zo rustig.

Ik neem aan dat Opera geïnstalleerd moet worden, dat zie ik vooralsnog nergens in terug.

Goed, doorloop het stappenplan en geef de resultaten.


Succes, Peter

Hallo Peter,
Ik heb het stappenplan doorlopen en, inderdaad, na de correcte HijackThis te hebben gedownload kwam de UI als door jou aangegeven naar voren.
Alle door jou aangegeven onderdelen aangeviknt en zijn die kennelijk verwijderd.
Dan MBAM gedownload, waarvan per bijlage het log. Een registersleutel inhoudende malware werd verwijderd.
Bedankt wederom voor de bijzon dere bijstand ten deze.
Mijn boot is min of meer klaar voor toekomstige bewoning, het kostte me toch een heel jaar om alles in orde te brengen maar nu is het (bijna) zover.
Dan gaat deze PC aan boord en wordt van het net afgesloten. Ik heb een speciale kast gemaakt die zoveel mogelijk zoute lucht buiten houdt en middels een luchtfilter droge lucht kan aanzuigen. De kast is zo goed als waterdicht, behoudens het luchtfilter.
Maar ik zal zo af en toe kijken hoe het op het forum toegaat.


Nogmaals hartelijk dank voor alle gedane moeite.

[Peter]

Hoi zzp1,

We zijn nog niet klaar.
Op de 1e plaats vroeg ik in stap 4: "Ga naar tab Scanner, kies Volledige Scan en klik op Scan."
De logfile die je post geeft aan dat een snelle scan uitgevoerd is, dus dat is niet goed.

Ik kom hier straks nog op terug.
Er moet namelijk nog meer gebeuren.


Peter

Ok, ik was in de veronderstelling dat ik klaar was.
Ik zal vanavond een volledige scan uitvoeren.
Ben nu druk met afronden van mijn leven aan de wal.
Ondertussen lees ik graag je verdere berichten.

[Peter]

Hoi zzp1,

Kopieer en plak de inhoud van de nieuwe MBAM logfile in een bericht, NIET als bijlage.
Post ook een nieuwe Hijackthis logfile.

Daarna zijn we nog niet klaar, wacht geduldig af.

Ben nu druk met afronden van mijn leven aan de wal.

Waar ga je naar toe met je boot dan?


Peter

Malwarebytes Anti-Malware (-evaluatieversie-) 1.62.0.1300
www.malwarebytes.org

Databaseversie: v2012.07.26.11

Windows 7 x64 NTFS
Internet Explorer 9.0.8112.16421
User :: USER-PC [administrator]

Realtime bescherming: Uitgeschakeld

26-7-2012 23:28:29
mbam-log-2012-07-26 (23-28-29).txt

Scantype: Volledige scan (C:\|)
Ingeschakelde scanopties: Geheugen | Opstartitems | Register | Bestanden en mappen | Heuristiek/Extra | Heuristiek/Shuriken | PUP | PUM
Uitgeschakelde scanopties: P2P
Objecten gescand: 624058
Verstreken tijd: 1 uur/uren, 39 minuut/minuten, 16 seconde(n)

Geheugenprocessen gedetecteerd: 0
(Geen kwaadaardige objecten gedetecteerd)

Geheugenmodulen gedetecteerd: 0
(Geen kwaadaardige objecten gedetecteerd)

Registersleutels gedetecteerd: 0
(Geen kwaadaardige objecten gedetecteerd)

Registerwaarden gedetecteerd: 0
(Geen kwaadaardige objecten gedetecteerd)

Registerdata gedetecteerd: 0
(Geen kwaadaardige objecten gedetecteerd)

Mappen gedetecteerd: 0
(Geen kwaadaardige objecten gedetecteerd)

Bestanden gedetecteerd: 0

(einde)



Ik ga eerst een rondje Engeland doen en daarna is het seizoen wel ten einde.
Als het nog kan ga ik binnendoor (rivieren, kanalen) naar Framkrijk, zo niet blijf ik in Nederland en ga ik een beetje rondzwerven. Na september/oktober gaan veel Franse sluizen dicht voor onderhoud. Dat zal ik eerst moeten natrekken.

[Peter]

Hoi zzp1,

De MBAM log ziet er goed uit.
Gaan we met een andere scanner zoeken naar restanten.
Download AdwCleaner naar je bureaublad.

Sluit alle openstaande vensters.
Start AdwCleaner
Windows Vista en Windows 7 gebruikers: Rechtsklik op adwCleaner en klik op 'als Administrator uitvoeren...'.
Klik op Search
Na de scan opent een logfile.
Post de inhoud van deze logfile in een nieuw bericht, NIET als bijlage posten.
Sluit AdwCleaner
Klik bij 'AdwCleaner – Informations' op OK

Post ook nog even een nieuwe HijackThis logfile.


Peter

# AdwCleaner v1.604 - Logfile created 07/27/2012 at 17:36:23
# Updated 23/04/2012 by Xplode
# Operating system : Windows 7 Ultimate  (64 bits)
# User : User - USER-PC
# Running from : C:\Users\User\AppData\Local\Temp\installer.exe
# Option [Search]


***** [Services] *****


***** [Files / Folders] *****

Folder Found : C:\Users\User\AppData\Local\Conduit
Folder Found : C:\Users\User\AppData\LocalLow\Conduit
Folder Found : C:\Users\User\AppData\LocalLow\PriceGong
Folder Found : C:\Users\User\AppData\LocalLow\Vuze_Remote
Folder Found : C:\Users\User\AppData\Roaming\Mozilla\Firefox\Profiles\r5w63ubb.default\ConduitCommon
Folder Found : C:\ProgramData\Tarma Installer
Folder Found : C:\Program Files (x86)\Conduit
Folder Found : C:\Program Files (x86)\Vuze_Remote
File Found : C:\Users\User\AppData\Roaming\Mozilla\Firefox\Profiles\r5w63ubb.default\searchplugins\SweetIm.xml

***** [Registry] *****

• Key Found : HKLM\SOFTWARE\Classes\Toolbar.CT2504091

Key Found : HKCU\Software\Conduit
Key Found : HKCU\Software\Softonic
Key Found : HKCU\Software\SweetIm
Key Found : HKCU\Software\AppDataLow\Toolbar
Key Found : HKCU\Software\AppDataLow\Software\Conduit
Key Found : HKCU\Software\AppDataLow\Software\ConduitSearchScopes
Key Found : HKCU\Software\AppDataLow\Software\PriceGong
Key Found : HKLM\SOFTWARE\Conduit
Key Found : HKLM\SOFTWARE\Iminent
Key Found : HKLM\SOFTWARE\SweetIM
Key Found : HKLM\SOFTWARE\Classes\AppID\YontooIEClient.DLL
Key Found : HKLM\SOFTWARE\Google\Chrome\Extensions\niapdbllcanepiiimjjndipklodoedlc
Key Found : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{A7BC02AF-1128-4A31-BCF8-1A3EE803D3B3}
Key Found : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{A81A974F-8A22-43E6-9243-5198FF758DA1}
Key Found : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{889DF117-14D1-44EE-9F31-C5FB5D47F68B}
[x64] Key Found : HKCU\Software\Conduit
[x64] Key Found : HKCU\Software\Softonic
[x64] Key Found : HKCU\Software\SweetIm
[x64] Key Found : HKCU\Software\AppDataLow\Toolbar
[x64] Key Found : HKCU\Software\AppDataLow\Software\Conduit
[x64] Key Found : HKCU\Software\AppDataLow\Software\ConduitSearchScopes
[x64] Key Found : HKCU\Software\AppDataLow\Software\PriceGong
[x64] Key Found : HKLM\SOFTWARE\Tarma Installer
[x64] Key Found : HKLM\SOFTWARE\Classes\AppID\YontooIEClient.DLL
[x64] Key Found : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{A7BC02AF-1128-4A31-BCF8-1A3EE803D3B3}
[x64] Key Found : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{A81A974F-8A22-43E6-9243-5198FF758DA1}

***** [Registre - GUID] *****

Key Found : HKLM\SOFTWARE\Classes\AppID\{5B1881D1-D9C7-46DF-B041-1E593282C7D0}
Key Found : HKLM\SOFTWARE\Classes\AppID\{BDB69379-802F-4EAF-B541-F8DE92DD98DB}
Key Found : HKLM\SOFTWARE\Classes\AppID\{CFDAFE39-20CE-451D-BD45-A37452F39CF0}
Key Found : HKLM\SOFTWARE\Classes\AppID\{EA28B360-05E0-4F93-8150-02891F1D8D3C}
Key Found : HKLM\SOFTWARE\Classes\CLSID\{3C471948-F874-49F5-B338-4F214A2EE0B1}
Key Found : HKLM\SOFTWARE\Classes\CLSID\{80922EE0-8A76-46AE-95D5-BD3C3FE0708D}
Key Found : HKLM\SOFTWARE\Classes\CLSID\{99066096-8989-4612-841F-621A01D54AD7}
Key Found : HKLM\SOFTWARE\Classes\CLSID\{BA14329E-9550-4989-B3F2-9732E92D17CC}
Key Found : HKLM\SOFTWARE\Classes\CLSID\{FE9271F2-6EFD-44B0-A826-84C829536E93}
Key Found : HKLM\SOFTWARE\Classes\Interface\{10DE7085-6A1E-4D41-A7BF-9AF93E351401}
Key Found : HKLM\SOFTWARE\Classes\Interface\{1AD27395-1659-4DFF-A319-2CFA243861A5}
Key Found : HKLM\SOFTWARE\Classes\TypeLib\{D372567D-67C1-4B29-B3F0-159B52B3E967}
Key Found : HKLM\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{AFDBDDAA-5D3F-42EE-B79C-185A7020515B}
Key Found : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{BA14329E-9550-4989-B3F2-9732E92D17CC}
Key Found : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\PreApproved\{DF7770F7-832F-4BDF-B144-100EDDD0C3AE}
Key Found : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{BA14329E-9550-4989-B3F2-9732E92D17CC}
Key Found : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{BA14329E-9550-4989-B3F2-9732E92D17CC}
Key Found : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{DF7770F7-832F-4BDF-B144-100EDDD0C3AE}
Value Found : HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar [{BA14329E-9550-4989-B3F2-9732E92D17CC}]
Value Found : HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser [{BA14329E-9550-4989-B3F2-9732E92D17CC}]
Value Found : HKLM\SOFTWARE\Microsoft\Internet Explorer\URLSearchHooks [{BA14329E-9550-4989-B3F2-9732E92D17CC}]
[x64] Key Found : HKLM\SOFTWARE\Classes\AppID\{5B1881D1-D9C7-46DF-B041-1E593282C7D0}
[x64] Key Found : HKLM\SOFTWARE\Classes\AppID\{BDB69379-802F-4EAF-B541-F8DE92DD98DB}
[x64] Key Found : HKLM\SOFTWARE\Classes\AppID\{CFDAFE39-20CE-451D-BD45-A37452F39CF0}
[x64] Key Found : HKLM\SOFTWARE\Classes\AppID\{EA28B360-05E0-4F93-8150-02891F1D8D3C}
[x64] Key Found : HKLM\SOFTWARE\Classes\Interface\{10DE7085-6A1E-4D41-A7BF-9AF93E351401}
[x64] Key Found : HKLM\SOFTWARE\Classes\Interface\{1AD27395-1659-4DFF-A319-2CFA243861A5}
[x64] Key Found : HKLM\SOFTWARE\Classes\Interface\{79FB5FC8-44B9-4AF5-BADD-CCE547F953E5}
[x64] Key Found : HKLM\SOFTWARE\Classes\Interface\{EEE6C358-6118-11DC-9C72-001320C79847}
[x64] Key Found : HKLM\SOFTWARE\Classes\Interface\{EEE6C35A-6118-11DC-9C72-001320C79847}
[x64] Key Found : HKLM\SOFTWARE\Classes\TypeLib\{D372567D-67C1-4B29-B3F0-159B52B3E967}
[x64] Key Found : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{BA14329E-9550-4989-B3F2-9732E92D17CC}
[x64] Key Found : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{BA14329E-9550-4989-B3F2-9732E92D17CC}
[x64] Key Found : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{DF7770F7-832F-4BDF-B144-100EDDD0C3AE}
[x64] Value Found : HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser [{BA14329E-9550-4989-B3F2-9732E92D17CC}]

***** [Internet Browsers] *****

-\\ Internet Explorer v9.0.8112.16421

[OK] Registry is clean.

-\\ Mozilla Firefox v [Unable to get version]

Profile name : default
File : C:\Users\User\AppData\Roaming\Mozilla\Firefox\Profiles\r5w63ubb.default\prefs.js

[OK] File is clean.

-\\ Google Chrome v [Unable to get version]

File : C:\Users\User\AppData\Local\Google\Chrome\User Data\Default\Preferences

Found :    "homepage" : "hxxp://home.sweetim.com/?crg=3.1010000.10011&barid={71FBDDB1-A25E-11E1-A377-0022154[...]
Found :          "hxxp://home.sweetim.com/?crg=3.1010000.10011&barid={71FBDDB1-A25E-11E1-A377-00221545F688}"[...]

-\\ Opera v12.0.1467.0

File : C:\Users\User\AppData\Roaming\Opera\Opera\operaprefs.ini

Found : application/vnd.unity=6,,C:\Users\User\AppData\LocalLow\Unity\WebPlayer\loader\npUnity3D32.dll,Unity[...]

*************************

AdwCleaner[R1].txt - [6933 octets] - [27/07/2012 17:36:23]

########## EOF - C:\AdwCleaner[R1].txt - [7061 octets] ##########



Dit is wat ADW toonde. Niet dat ik er veel mee kan, maar jij leest dit kennelijk als een Baantjer dus ben ik benieuwd naar je mening.

[Peter]

Hoi zzp1,

Lees de opdrachten eerst goed en als er vragen zijn, stel die dan eerst.
Ga geen dingen aanpassen of wijzigen, dat maakt het opschonen alleen maar lastig.

Stap 1:
Ik vroeg je om AdwCleaner te downloaden en op het bureaublad te zetten. Dat laatste heb je niet gedaan.
Het programma heeft ook een andere naam gekregen. Dit is niet goed.

Download opnieuw AdwCleaner by Xplode.
Verplaats het bestand AdwCleaner.exe naar je bureaublad.

Sluit alle openstaande vensters/programma's.
Start AdwCleaner vanuit je bureaublad.
(Windows Vista en Windows 7 gebruikers: Rechtsklik op adwCleaner en klik op 'als Administrator uitvoeren...'
Klik op Delete

Tijdens de actie zullen de snelkoppelingen verdwijnen, dit is normaal.
Na het verwijderen verschijnen 2 meldingen:
Klik bij 'AdwCleaner – Informations' op OK
Klik bij 'AdwCleaner – Restart Required' op OK

Nadat de PC herstart is, opent een logfile.
Post de inhoud van deze logfile in een nieuw bericht, NIET als bijlage.

Stap 2:
Post een nieuw logje van HijackThis.

Stap 3:
Hoe staat het nu met de MyStart Incredibar problemen?


Peter

De incredibar is weg, ook uit explorer. Hij was all weg uiit Opera, maar het zou kunnen dat die nog in de Explorer bar aanwezig was.
Dat heb ik dus geprobeerd maar de Incredibar is weg.
Ik zal nu de rest van je regime opvolgen.
Kon niet vermoden dat opstarten vanuit desktop een verschil zou kunnen maken. Eddoch. Kom later nog terug.