Etimo eigen topic 'istartsurf'-opgelost-

Goedemorgen Sony,
Had uw laatste bericht niet gelezen. Heb ondertussen deze morgen een
een nieuwe JRT laten lopen met toch een nogal cryptische bevinding bij FF en bovendien een Malwarebyes.
Hierna de logs :
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Junkware Removal Tool (JRT) by Thisisu
Version: 6.1.4 (04.06.2014:1)
OS: Windows 7 Home Premium x64
Ran by Etienne on ma 15/09/2014 at 10:01:16.60
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

~~~ Services

~~~ Registry Values

~~~ Registry Keys

~~~ Files

~~~ Folders

~~~ FireFox

Successfully deleted the following from C:\Users\Etienne\AppData\Roaming\mozilla\firefox\profiles\qz1rr6kc.default-1410597842160\prefs.js

user_pref("keyword.url", "hxxp://feed.snapdo.com/?p=mKO_AwFzXIpYRbPGr6JN_C9Okvk3V9BHMT-IkVs3ZQQWk2OJMHXi-OcF6VUmbRPLqH96ZTAECAxTbI7V7OYir07qZLz0sMncazmMxlHQ_xnFOP66VZaNnacXNSg

~~~ Event Viewer Logs were cleared
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Scan was completed on ma 15/09/2014 at 10:09:01.27
End of JRT log
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~


Malwarebytes Anti-Malware
www.malwarebytes.org

Scandatum: 15/09/2014
Scantijd: 10:02:03
Logbestand: Log Malwarebytes 15092014.txt
Beheerder: Ja

Versie: 2.00.2.1012
Malwaredatabase: v2014.09.15.04
Rootkitdatabase: v2014.09.13.01
Licentie: Proef
Malwarebescherming: Ingeschakeld
Kwaadaardige Website Bescherming: Ingeschakeld
Self-protection: Uitgeschakeld

Besturingssysteem: Windows 7 Service Pack 1
Processor: x64
Bestandssysteem: NTFS
Gebruiker: Etienne

Scantype: Bedreigingsscan
Resultaat: Voltooid
Objecten Gescand: 350746
Verstreken Tijd: 10 m, 44 s

Geheugen: Ingeschakeld
Opstarten: Ingeschakeld
Bestandssysteem: Ingeschakeld
Archieven: Ingeschakeld
Rootkits: Uitgeschakeld
Heuristics: Ingeschakeld
POP: Ingeschakeld
POA: Ingeschakeld

Processen: 0
(No malicious items detected)

Modules: 0
(No malicious items detected)

Registersleutels: 0
(No malicious items detected)

Registerwaardes: 0
(No malicious items detected)

Registerdata: 0
(No malicious items detected)

Mappen: 0
(No malicious items detected)

Bestanden: 1
PUP.Optional.IStartSurf.A, C:\Program Files (x86)\Mozilla Firefox\browser\searchplugins\istartsurf.xml, In Quarantaine, [ac4422cbfe7ddf57e90bf70dca3937c9],

Fysieke Sectoren: 0
(No malicious items detected)
(end)


Zal nu uw laatste bericht uitvoeren.

Sony,
Hierbij de log van Adware Removal Tool. Eigenaardig dat hij maar alleen IE heeft nagezien.
* * * * * * * * * * * * * * * * * * * * * * * * * * * * * *

Adware Removal Tool v3.9
Time: 2014_09_15_10_27_34
OS: Windows 7 - 64 Bit
Account Name: Etienne
U0L0S13

\\\\\\\\\\\\\\\\\\\\\\\ Repair Logs \\\\\\\\\\\\\\\\\\\\\\

Deleted - RegistryValueData - HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Extension Compatibility\{2A0F3D1B-0909-4FF4-B272-609CCE6054E7}:dllname
Deleted - RegistryValueData - HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Extension Compatibility\{2A0F3D1B-0909-4FF4-B272-609CCE6054E7}:masterclsid
Deleted - RegistryValueData - HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Extension Compatibility\{2EECD738-5844-4A99-B4B6-146BF802613B}:dllname
Deleted - RegistryValueData - HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Extension Compatibility\{472734EA-242A-422B-ADF8-83D1E48CC825}:dllname
Deleted - RegistryValueData - HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Extension Compatibility\{97F2FF5B-260C-4CCF-834A-2DDA4E29E39E}:dllname
Deleted - RegistryValueData - HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Extension Compatibility\{98889811-442D-49DD-99D7-DC866BE87DBC}:dllname
Deleted - RegistryValue - HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_BROWSER_EMULATION:smartbar.exe
Deleted - RegistryKey - HKEY_CURRENT_USER\SOFTWARE:SearchProtectWS
Deleted - RegistryKey - HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Extension Compatibility:{2A0F3D1B-0909-4FF4-B272-609CCE6054E7}
Deleted - RegistryKey - HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Extension Compatibility:{2EECD738-5844-4A99-B4B6-146BF802613B}
Deleted - RegistryKey - HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Extension Compatibility:{472734EA-242A-422B-ADF8-83D1E48CC825}
Deleted - RegistryKey - HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Extension Compatibility:{97F2FF5B-260C-4CCF-834A-2DDA4E29E39E}
Deleted - RegistryKey - HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Extension Compatibility:{98889811-442D-49DD-99D7-DC866BE87DBC}

\\ Finished

etimo38,

ik zie dus dat er heel wat verwijderd werd, wat is het resultaat ?
Het is niet zo dat het programma alleen IE heeft nagezien. Door uw vorige bewerking had u de besmetting uit FF verwijderd en zal alleen de IE besmetting overgebleven zijn die bij de behandeling verwijderd werd.

Sony

Sony,
Bij IE en FF vind ik bij 'Instellingen' niets meer. Bij Google staat de zoekmachine nog in de mogelijke te kiezen zoekrobots.

Sony,
Zonet een nieuwe Malwarebytes uitgevoerd. geeft 12 warnings voor Google!!!

Zie log hierna :
Malwarebytes Anti-Malware
www.malwarebytes.org

Scandatum: 15/09/2014
Scantijd: 12:48:39
Logbestand: Log Malwarebytes 15092014 13 uur.txt
Beheerder: Ja

Versie: 2.00.2.1012
Malwaredatabase: v2014.09.15.05
Rootkitdatabase: v2014.09.13.01
Licentie: Proef
Malwarebescherming: Ingeschakeld
Kwaadaardige Website Bescherming: Ingeschakeld
Self-protection: Uitgeschakeld

Besturingssysteem: Windows 7 Service Pack 1
Processor: x64
Bestandssysteem: NTFS
Gebruiker: Etienne

Scantype: Bedreigingsscan
Resultaat: Voltooid
Objecten Gescand: 350686
Verstreken Tijd: 9 m, 14 s

Geheugen: Ingeschakeld
Opstarten: Ingeschakeld
Bestandssysteem: Ingeschakeld
Archieven: Ingeschakeld
Rootkits: Ingeschakeld
Heuristics: Ingeschakeld
POP: Ingeschakeld
POA: Ingeschakeld

Processen: 0
(No malicious items detected)

Modules: 0
(No malicious items detected)

Registersleutels: 0
(No malicious items detected)

Registerwaardes: 0
(No malicious items detected)

Registerdata: 0
(No malicious items detected)

Mappen: 3
PUP.Optional.CrossRider.A, C:\Users\Etienne\AppData\Local\Google\Chrome\User Data\Default\Extensions\ecoccdldklbjglocbgbfpmpehjegkode, In Quarantaine, [0a2155981c5f1c1ac0ff1cb73cc616ea],
PUP.Optional.CrossRider.A, C:\Users\Etienne\AppData\Local\Google\Chrome\User Data\Default\Extensions\ecoccdldklbjglocbgbfpmpehjegkode\0.1_0, In Quarantaine, [0a2155981c5f1c1ac0ff1cb73cc616ea],
PUP.Optional.CrossRider.A, C:\Users\Etienne\AppData\Local\Google\Chrome\User Data\Default\Extensions\ecoccdldklbjglocbgbfpmpehjegkode\0.1_0\_metadata, In Quarantaine, [0a2155981c5f1c1ac0ff1cb73cc616ea],

Bestanden: 9
PUP.Optional.IStartSurf.A, C:\Program Files (x86)\Mozilla Firefox\browser\searchplugins\istartsurf.xml, In Quarantaine, [0f1cb637cbb070c6252246bfee157a86],
PUP.Optional.CrossRider.A, C:\Users\Etienne\AppData\Local\Google\Chrome\User Data\Default\Extensions\ecoccdldklbjglocbgbfpmpehjegkode\0.1_0\icon-128.png, In Quarantaine, [0a2155981c5f1c1ac0ff1cb73cc616ea],
PUP.Optional.CrossRider.A, C:\Users\Etienne\AppData\Local\Google\Chrome\User Data\Default\Extensions\ecoccdldklbjglocbgbfpmpehjegkode\0.1_0\icon-16.png, In Quarantaine, [0a2155981c5f1c1ac0ff1cb73cc616ea],
PUP.Optional.CrossRider.A, C:\Users\Etienne\AppData\Local\Google\Chrome\User Data\Default\Extensions\ecoccdldklbjglocbgbfpmpehjegkode\0.1_0\icon-48.png, In Quarantaine, [0a2155981c5f1c1ac0ff1cb73cc616ea],
PUP.Optional.CrossRider.A, C:\Users\Etienne\AppData\Local\Google\Chrome\User Data\Default\Extensions\ecoccdldklbjglocbgbfpmpehjegkode\0.1_0\jquery-1.10.2.min.js, In Quarantaine, [0a2155981c5f1c1ac0ff1cb73cc616ea],
PUP.Optional.CrossRider.A, C:\Users\Etienne\AppData\Local\Google\Chrome\User Data\Default\Extensions\ecoccdldklbjglocbgbfpmpehjegkode\0.1_0\manifest.json, In Quarantaine, [0a2155981c5f1c1ac0ff1cb73cc616ea],
PUP.Optional.CrossRider.A, C:\Users\Etienne\AppData\Local\Google\Chrome\User Data\Default\Extensions\ecoccdldklbjglocbgbfpmpehjegkode\0.1_0\tweetwiki.js, In Quarantaine, [0a2155981c5f1c1ac0ff1cb73cc616ea],
PUP.Optional.CrossRider.A, C:\Users\Etienne\AppData\Local\Google\Chrome\User Data\Default\Extensions\ecoccdldklbjglocbgbfpmpehjegkode\0.1_0\_DS_Store, In Quarantaine, [0a2155981c5f1c1ac0ff1cb73cc616ea],
PUP.Optional.CrossRider.A, C:\Users\Etienne\AppData\Local\Google\Chrome\User Data\Default\Extensions\ecoccdldklbjglocbgbfpmpehjegkode\0.1_0\_metadata\verified_contents.json, In Quarantaine, [0a2155981c5f1c1ac0ff1cb73cc616ea],

Fysieke Sectoren: 0
(No malicious items detected)

(end)

Wat valt er nog te doen?

etimo38,

die zijn dan ook in quarantaine geplaatst.
Ik kan u verzekeren dat dit een heel hardnekkige besmetting is.
Start Malwarebytes en maak de quarantaine leeg.
Verwijder zoals de vorige keer de zoekmachine uit Chrome.
Ook bij de Uitbreidingen gaan kijken:
Op de drie streepjes klikken rechts boven -> instellingen -> Uitbreidingen
Hetzelfde kunt u ook nog eens nagaan bij FF
Extra -> Add-ons -> Extenties en Add-ons -> Plug-ins
en bij IE
Extra -> invoegtoepassingen beheren -> zoekmachines
Als u daar nog iets vind van onbekende zoekmachines verwijder die dan.
Daarna start -> configuratiescherm -> Programma's "Een programma verwijderen"
Kijk deze lijst na:

iStartsurf.com
Browser defender
Browser protect
Browser protected by conduit
Delta search, Babylon
LessTabs
WebCake 3.0
Yealt
LyricsContainer
VideoSaver
AddLyrics
privacy safe gaurd
unfriend checker
Price peep today
Coupon amazine
TidyNetwork.com
DownloadTerms 1.0
Yontoo
Alles waar Babylon en/of Conduit bij staat.
Verwijder ook alle ongewilde/ongewenste programma's
Start Ccleaner en laat kuisen, laat dan in Ccleaner het register opruimen.
Start de computer op.
Indien nodig laat nogmaals Adware Remover Tool v3.9 runnen.

Sony

Sony,
Na alle uitgevoerde testen en onderzoeken blijkt dat ik verlost ben van die hardnekkige malware.
Bedankt voor uw inzet en geduld.
Etienne Moons

etimo38,

bedankt voor het melden, als er iets terug de kop opsteekt moet er in het register gekuist worden.
Laat maar weten dan

Sony

Dag Sony,
We zijn hier terug met slecht nieuws. Istartsurf is weer opgedoken bij FF. Ook bij Google is er iets doch dat kan ik niet uitmaken.

Zie log van adwcleaner hieronder:

# AdwCleaner v3.310 - Rapport aangemaakt 18/09/2014 op 22:12:07
# Laatste Update 12/09/2014 door Xplode
# Besturingssysteem : Windows 7 Home Premium Service Pack 1 (64 bits)
# Gebruikersnaam : Etienne - ETIENNE-PC
# Gestart vanuit : C:\Users\Etienne\Downloads\AdwCleaner(1).exe
# Optie : Verwijderen

***** [ Services ] *****


***** [ Bestanden / Mappen ] *****


***** [ Taken ] *****


***** [ Snelkoppelingen ] *****


***** [ Register ] *****


***** [ Browsers ] *****

-\\ Internet Explorer v11.0.9600.17280


-\\ Mozilla Firefox v32.0.1 (x86 nl)

[ Bestand : C:\Users\Etienne\AppData\Roaming\Mozilla\Firefox\Profiles\qz1rr6kc.default-1410597842160\prefs.js ]

Regel verwijderd : user_pref("browser.search.selectedEngine", "istartsurf");

-\\ Google Chrome v37.0.2062.120

[ Bestand : C:\Users\Etienne\AppData\Local\Google\Chrome\User Data\Default\preferences ]


*************************

AdwCleaner[R0].txt - [1553 octets] - [13/09/2014 20:23:30]
AdwCleaner[R1].txt - [1163 octets] - [18/09/2014 08:10:02]
AdwCleaner[R2].txt - [1224 octets] - [18/09/2014 08:12:33]
AdwCleaner[R3].txt - [1372 octets] - [18/09/2014 22:10:35]
AdwCleaner[S0].txt - [1503 octets] - [13/09/2014 20:24:28]
AdwCleaner[S1].txt - [1290 octets] - [18/09/2014 08:13:43]
AdwCleaner[S2].txt - [1298 octets] - [18/09/2014 22:12:07]

########## EOF - C:\AdwCleaner\AdwCleaner[S2].txt - [1358 octets] ##########

Dus onderhuids woekert dat beest verder. Dan toch maar naar het register?

etimo38,

Start eerst Adwcleaner nog eens op en kies voor deïnstalleren.

Dan als u bereid bent om in het register te zoeken, op eigen risico.
Gaan we eerst voor alle zekerheid een kopie maken van het register, ook al is die besmet.

Klik Start -> type in: regedit [enter] -> Bestand -> Exporteren, duidt aan bureaublad, type een naam in bvb. ResReg19082014,
dan staat er zoiets op het bureaublad:

Zorg er voor dat u daar niet op klikt wan die schrijft zichzelf terug weg.
(Om die te verwijderen nadat alles werkt, rechts klikken en verwijderen klikken)

Terug naar regedit;
Klik Bewerken -> zoeken -> intypen
Babylon
klik op volgende zoeken en laat de computer maar even doen.
Opletten als Babylon gevonden wordt in de rechterkant,
dan moet u goed kijken lang LINKS welke lijn er geselecteerd is
Dat moet er ongeveer zo uitzien, de selectie is moeilijk te onderscheiden !!

Als u zeker bent dat Babylon gevonden is en zeker bent van de selectie kunt u dus langs de linker kant met rechts op die geselecteerde lijn klikken en verwijderen, opletten dit gaat heel snel !!

Vervolgens [F3] = verder zoeken, terug hetzelfde als Babylon gevonden wordt de lijn langs de linker kant verwijderen
en verder doen met [F3] tot u de melding krijgt dat het hele register doorlopen is.

Daarna Ccleaner gebruiken om gewoon te kuisen en vervolgens het register laten opkuisen.
De computer starten.
Als alles in orde is de reserve register verwijderen van het bureaublad.
Eventueel nog eens nakijken bij Firefox extensies en zoekmachines

Sony

Sony,
Excuus dat ik niet meer geantwoord heb doch als gepensionneerde ben ik voorzitter van 5 verenigingen en mijn dagen waren te kort om alles rond te krijgen.
Ik ga ZEER voorzichtig tewerk gaan in het register want dit is inderdaad een heikele opdracht. Ik laat het resultaat zodra mogelijk weten.
Groeten.
Etimo38

Sony,
Register cleaning volledig uitgevoerd.
Drie registersleutels van Babylon toolbar.dll verwijderd.
Alles blijkt OK.
Zeer hartelijk dank.
Groeten,
Etienne Moons

etimo38,

bedankt voor het melden, moesten er onverhoopt toch nog problemen zijn laat dan iets weten in een nieuw bericht.

Sony