Virus and Keylogger

[Mark1598]

Typing goes very slow, it doesn't come onto my screen before a few minutes pass :S I also have 1 or more viruses I think...
Some plz help
Thx a lot

Logfile of HijackThis v1.99.0
Scan saved at 17:12:57, on 15-5-2006
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\System32\svchost.exe
C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\Program Files\QuickTime\qttask.exe
C:\Program Files\BearShare\BearShare.exe
C:\Program Files\NetPumper\NetPumperIEProxy.exe
C:\Program Files\WinAntiVirus Pro 2006\WinAV.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\Program Files\Spyware Doctor\swdoctor.exe
C:\Program Files\Messenger\MSMSGS.EXE
C:\Program Files\Microsoft ActiveSync\wcescomm.exe
c:\progra~1\intern~1\iexplore.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\PROGRA~1\MI3AA1~1\rapimgr.exe
C:\Program Files\ZMatrix\matrix.exe
C:\WINDOWS\System32\wuauclt.exe
C:\WINDOWS\System32\wuauclt.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\HJT\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = C:\WINDOWS\about.htm
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = dynhost.inetcam.com;register.inetcam.com
R3 - Default URLSearchHook is missing
F2 - REG:system.ini: UserInit=userinit.exe
O1 - Hosts: 84.82.124.185 L2authd.lineage2.com
O1 - Hosts: 84.82.124.185 L2testauthd.lineage2.com
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn0\yt.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: CIEIntegrator Object - {2178F3FB-2560-458F-BDEE-631E2FE0DFE4} - C:\Program Files\WinAntiVirus Pro 2006\winpgi.dll
O2 - BHO: (no name) - {590EC378-8D25-CDE7-4360-467E4DB3E0ED} - C:\DOCUME~1\V3020~1.DOR\APPLIC~1\GREYLO~1\Waitfor.exe
O2 - BHO: PCTools Site Guard - {5C8B2A36-3DB1-42A4-A3CB-D426709BBFEB} - C:\PROGRA~1\SPYWAR~1\tools\iesdsg.dll
O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Program Files\MSN Apps\ST\01.03.0000.1005\en-xu\stmain.dll
O2 - BHO: PCTools Browser Monitor - {B56A7D7D-6927-48C8-A975-17DF180C71AC} - C:\PROGRA~1\SPYWAR~1\tools\iesdpb.dll
O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\MSN Toolbar\01.02.5000.1021\nl\msntb.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\MSN Toolbar\01.02.5000.1021\nl\msntb.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn0\yt.dll
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [Ptipbmf] rundll32.exe ptipbmf.dll,SetWriteCacheMode
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [BearShare] "C:\Program Files\BearShare\BearShare.exe" /pause
O4 - HKLM\..\Run: [NetPumper] "C:\Program Files\NetPumper\NetPumperIEProxy.exe"
O4 - HKLM\..\Run: [viewmodeskipmeet] C:\Documents and Settings\All Users\Application Data\Poke jugs view mode\Trans Online.exe
O4 - HKLM\..\Run: [WinAntiVirusPro2006] "C:\Program Files\WinAntiVirus Pro 2006\WinAV.exe" /min
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [Spyware Doctor] "C:\Program Files\Spyware Doctor\swdoctor.exe" /Q
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\MSMSGS.EXE" /background
O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Program Files\Microsoft ActiveSync\wcescomm.exe"
O4 - HKCU\..\Run: [Slow Extra] C:\DOCUME~1\V3020~1.DOR\APPLIC~1\POKEPO~1\Beep Real.exe
O4 - Startup: Xfire.lnk = C:\Program Files\Xfire\Xfire.exe
O4 - Startup: ZMatrix.lnk = C:\Program Files\ZMatrix\matrix.exe
O8 - Extra context menu item: Download with NetPumper - C:\Program Files\NetPumper\AddUrl.htm
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Spyware Doctor - {2D663D1A-8670-49D9-A1A5-4C56B4E14E84} - C:\PROGRA~1\SPYWAR~1\tools\iesdpb.dll
O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MI3AA1~1\INetRepl.dll
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MI3AA1~1\INetRepl.dll
O9 - Extra 'Tools' menuitem: Create Mobile Favorite... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MI3AA1~1\INetRepl.dll
O9 - Extra button: Onderzoek - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab
O16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab31267.cab
O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab31267.cab
O16 - DPF: {41F17733-B041-4099-A042-B518BB6A408C} - http://appldnld.m7z.net/content.info.apple.com/iTunes4/WW/win/019-0312.20050111.MmVrT/iTunesSetup.exe
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://by110fd.bay110.hotmail.msn.com/resources/MsnPUpld.cab
O16 - DPF: {7D1E9C49-BD6A-11D3-87A8-009027A35D73} (Yahoo! Audio UI1) - http://chat.yahoo.com/cab/yacsui.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab30149.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O16 - DPF: {CFCB7308-782F-11D4-BE27-000102598CE4} (NPX Control) - http://nprotect.roseonlinegame.com/nProtect/Netizen/npx.cab
O16 - DPF: {D6FCA8ED-4715-43DE-9BD2-2789778A5B09} (NPKCX Control) - http://nprotect.roseonlinegame.com/nProtect/Netizen/KeyCrypt/npkcx.cab
O16 - DPF: {DF780F87-FF2B-4DF8-92D0-73DB16A1543A} (PopCapLoader Object) - http://www.popcap.com/games/popcaploader_v6.cab
O16 - DPF: {F54C1137-5E34-4B95-95A5-BA56D4D8D743} (Secure Delivery) - http://www.gamespot.com/KDX22/download/kdx.cab
O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab31267.cab
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O23 - Service: Ati HotKey Poller - Unknown - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: npkcsvc - INCA Internet Co., Ltd. - C:\WINDOWS\System32\npkcsvc.exe

[Nuppi]

Please dowload Findlop by Metallica http://metallica.geekstogo.com/findlop.zip

Unzip it, Double ckick findlop.bat

It create text file -> C:\findlop.txt

Copy that files text with reply.

[Mark1598]

[TRACE] Enumerating jobs and queues
[TRACE] Activating job 'AC995DF2902AD266.job'
[TRACE] Printing all job properties

ApplicationName: 'c:\docume~1\v3020~1.dor\applic~1\pokepo~1\programantempeg.exe'
Parameters: ''
WorkingDirectory: ''
Comment: ''
Creator: 'v. Dorst'
Priority: NORMAL
MaxRunTime: 259200000 (3d 0:00:00)
IdleWait: 10
IdleDeadline: 60
MostRecentRun: 05/16/2006 13:00:00
NextRun: 05/16/2006 14:00:00
StartError: S_OK
ExitCode: 0
Status: SCHED_S_TASK_READY
ScheduledWorkItem Flags:
DeleteWhenDone = 0
Suspend = 0
StartOnlyIfIdle = 0
KillOnIdleEnd = 0
RestartOnIdleResume = 0
DontStartIfOnBatteries = 0
KillIfGoingOnBatteries = 0
RunOnlyIfLoggedOn = 1
SystemRequired = 0
Hidden = 1
TaskFlags: 0

1 Trigger

Trigger 0:
Type: Daily
DaysInterval: 1
StartDate: 06/06/1996
EndDate: 00/00/0000
StartTime: 00:00
MinutesDuration: 1440
MinutesInterval: 60
Flags:
HasEndDate = 0
KillAtDuration = 0
Disabled = 0

Thank you for responding so quick!

[Nuppi]

Allright, lets clean

Please download ewido anti malware it is a free version of the program -> http://www.ewido.net/en/download/

1. Install ewido security suite
2. When installing, under "Additional Options" uncheck..
* Install background guard
* Install scan via context menu
3. Launch ewido, there should be an icon on your desktop, double-click it.
4. The program will now open to the main screen.
5. When you run ewido for the first time, you may get a warning "Database could not be found!". Click OK. We will fix this in a moment.
6. You will need to update ewido to the latest definition files.
* On the left hand side of the main screen click update.
* Then click on Start Update.
7. The update will start and a progress bar will show the updates being installed.
(the status bar at the bottom will display ("Update successful")

If you are having problems with the updater, you can use this link to manually update ewido.
ewido manual updates -> http://www.ewido.net/en/download/updates/

Once the updates are installed do the following:

Go to control panel and start ADD/remove application.

Uninstall:

NetPumper
WinAntiVirusPro2006

Scan hijackthis and check next:

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = C:\WINDOWS\about.htm
O2 - BHO: CIEIntegrator Object - {2178F3FB-2560-458F-BDEE-631E2FE0DFE4} - C:\Program Files\WinAntiVirus Pro 2006\winpgi.dll
O2 - BHO: (no name) - {590EC378-8D25-CDE7-4360-467E4DB3E0ED} - C:\DOCUME~1\V3020~1.DOR\APPLIC~1\GREYLO~1\Waitfor. exe
O4 - HKLM\..\Run: [NetPumper] "C:\Program Files\NetPumper\NetPumperIEProxy.exe"
O4 - HKLM\..\Run: [viewmodeskipmeet] C:\Documents and Settings\All Users\Application Data\Poke jugs view mode\Trans Online.exe
O4 - HKLM\..\Run: [WinAntiVirusPro2006] "C:\Program Files\WinAntiVirus Pro 2006\WinAV.exe" /min
O4 - HKCU\..\Run: [Slow Extra] C:\DOCUME~1\V3020~1.DOR\APPLIC~1\POKEPO~1\Beep Real.exe
O8 - Extra context menu item: Download with NetPumper - C:\Program Files\NetPumper\AddUrl.htm
O16 - DPF: {DF780F87-FF2B-4DF8-92D0-73DB16A1543A} (PopCapLoader Object) - http://www.popcap.com/games/popcaploader_v6.cab

Close all windows and click Fix checked.

Please download Kllbox

http://www.downloads.subratam.org/KillBox.zip
Unzip it to desktop.
Run it.

Choise

* Delete on Reboot
* Click All Files option.


# Copy and paste follow line to clipboard:

c:\windows\tasks\AC995DF2902AD266.job

# return to Killbox, go to File , and choise Paste from Clipboard.

# Clicka red-white Delete File . Click Yes "Delete on Reboot"
Click OK every question PendingFileRenameOperations asks and let me know if those exist.

Your computer should restart now. If not boot yourselves.

If you get message :Component 'MsComCtl.ocx' or one of its dependencies not correctly registered
Download this and run it. Try again
http://www.eudaemonia.me.uk/download...gfilesetup.exe

Reboot your computer in SafeMode by doing the following:

1. Restart your computer
2. After hearing your computer beep once during startup, but before the Windows icon appears, press F8.
3. Instead of Windows loading as normal, a menu should appear
4. Select the first option, to run Windows in Safe Mode.

Delete folder if exist
C:\Program Files\ >>> WinAntiVirus Pro 2006\
C:\DOCUME~1\V3020~1.DOR\APPLIC~1\ >>> GREYLO~1\
C:\Program Files\ >>> NetPumper\
C:\Documents and Settings\All Users\Application Data\ >>> Poke jugs view mode\
C:\DOCUME~1\V3020~1.DOR\APPLIC~1\ >>> POKEPO~1

Launch ewido:

* Click on scanner
* Click on Complete System Scan and the scan will begin.
* You will be prompted to clean the first infection.
* Select "Perform action on all infections", then proceed.
* Once the scan has completed, there will be a button located on the bottom of the screen named Save report
* Click Save report.
* Save the report .txt file to your desktop or a location where you can find it easily.

Close ewido security suite.

Reboot back to normal mode

Send a fresh HjT log and ewido report.

[Mark1598]

Ok I did NOT delete Netpumper, because it is a program I still frequently use. Could you plz explain why I have to get rid of it.
And ur a computer wizard and my new hero :D typing no longer goes "slow" as I put it... THIS IS GREAT :D

Logfile of HijackThis v1.99.0
Scan saved at 00:12:12, on 17-5-2006
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\Program Files\QuickTime\qttask.exe
C:\Program Files\BearShare\BearShare.exe
C:\Program Files\NetPumper\NetPumperIEProxy.exe
C:\Program Files\MSN Messenger\msnmsgr.exe
C:\Program Files\Spyware Doctor\swdoctor.exe
C:\Program Files\Messenger\MSMSGS.EXE
C:\Program Files\Microsoft ActiveSync\wcescomm.exe
C:\PROGRA~1\MI3AA1~1\rapimgr.exe
C:\Program Files\ZMatrix\matrix.exe
C:\Program Files\ewido anti-malware\ewidoctrl.exe
C:\Program Files\ewido anti-malware\ewidoguard.exe
C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\System32\svchost.exe
C:\Program Files\SwiftSwitch\SwiftSwitch.exe
C:\WINDOWS\System32\wuauclt.exe
C:\WINDOWS\System32\wuauclt.exe
C:\HJT\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = dynhost.inetcam.com;register.inetcam.com
R3 - Default URLSearchHook is missing
F2 - REG:system.ini: UserInit=userinit.exe
O1 - Hosts: 84.82.124.185 L2authd.lineage2.com
O1 - Hosts: 84.82.124.185 L2testauthd.lineage2.com
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn0\yt.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: PCTools Site Guard - {5C8B2A36-3DB1-42A4-A3CB-D426709BBFEB} - C:\PROGRA~1\SPYWAR~1\tools\iesdsg.dll
O2 - BHO: ST - {9394EDE7-C8B5-483E-8773-474BF36AF6E4} - C:\Program Files\MSN Apps\ST\01.03.0000.1005\en-xu\stmain.dll
O2 - BHO: PCTools Browser Monitor - {B56A7D7D-6927-48C8-A975-17DF180C71AC} - C:\PROGRA~1\SPYWAR~1\tools\iesdpb.dll
O2 - BHO: MSNToolBandBHO - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\MSN Toolbar\01.02.5000.1021\nl\msntb.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Apps\MSN Toolbar\MSN Toolbar\01.02.5000.1021\nl\msntb.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn0\yt.dll
O4 - HKLM\..\Run: [ATIPTA] C:\Program Files\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [Ptipbmf] rundll32.exe ptipbmf.dll,SetWriteCacheMode
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [BearShare] "C:\Program Files\BearShare\BearShare.exe" /pause
O4 - HKLM\..\Run: [NetPumper] "C:\Program Files\NetPumper\NetPumperIEProxy.exe"
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\MSN Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [Spyware Doctor] "C:\Program Files\Spyware Doctor\swdoctor.exe" /Q
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\MSMSGS.EXE" /background
O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Program Files\Microsoft ActiveSync\wcescomm.exe"
O4 - Startup: Xfire.lnk = C:\Program Files\Xfire\Xfire.exe
O4 - Startup: ZMatrix.lnk = C:\Program Files\ZMatrix\matrix.exe
O8 - Extra context menu item: Download with NetPumper - C:\Program Files\NetPumper\AddUrl.htm
O8 - Extra context menu item: E&xporteren naar Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Spyware Doctor - {2D663D1A-8670-49D9-A1A5-4C56B4E14E84} - C:\PROGRA~1\SPYWAR~1\tools\iesdpb.dll
O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MI3AA1~1\INetRepl.dll
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MI3AA1~1\INetRepl.dll
O9 - Extra 'Tools' menuitem: Create Mobile Favorite... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MI3AA1~1\INetRepl.dll
O9 - Extra button: Onderzoek - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\MSMSGS.EXE
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab31267.cab
O16 - DPF: {14B87622-7E19-4EA8-93B3-97215F77A6BC} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab31267.cab
O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab31267.cab
O16 - DPF: {41F17733-B041-4099-A042-B518BB6A408C} - http://appldnld.m7z.net/content.info.apple.com/iTunes4/WW/win/019-0312.20050111.MmVrT/iTunesSetup.exe
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://by110fd.bay110.hotmail.msn.com/resources/MsnPUpld.cab
O16 - DPF: {7D1E9C49-BD6A-11D3-87A8-009027A35D73} (Yahoo! Audio UI1) - http://chat.yahoo.com/cab/yacsui.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab30149.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O16 - DPF: {CFCB7308-782F-11D4-BE27-000102598CE4} (NPX Control) - http://nprotect.roseonlinegame.com/nProtect/Netizen/npx.cab
O16 - DPF: {D6FCA8ED-4715-43DE-9BD2-2789778A5B09} (NPKCX Control) - http://nprotect.roseonlinegame.com/nProtect/Netizen/KeyCrypt/npkcx.cab
O16 - DPF: {F54C1137-5E34-4B95-95A5-BA56D4D8D743} (Secure Delivery) - http://www.gamespot.com/KDX22/download/kdx.cab
O16 - DPF: {F6BF0D00-0B2A-4A75-BF7B-F385591623AF} (Solitaire Showdown Class) - http://messenger.zone.msn.com/binary/SolitaireShowdown.cab31267.cab
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O23 - Service: Ati HotKey Poller - Unknown - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: ewido security suite control - ewido networks - C:\Program Files\ewido anti-malware\ewidoctrl.exe
O23 - Service: ewido security suite guard - ewido networks - C:\Program Files\ewido anti-malware\ewidoguard.exe
O23 - Service: npkcsvc - INCA Internet Co., Ltd. - C:\WINDOWS\System32\npkcsvc.exe

---------------------------------------------------------
ewido anti-malware - Scan rapport
THIS IS IN DUTCH
Schoongemaakt met een backup = Cleaned with a backup
---------------------------------------------------------

+ Gemaakt op(Made on): 00:05:33, 17-5-2006
+ Rapport samenvatting(Report Summary): 5EA1333A

+ Scan resultaten(Scan Results):

HKLM\SOFTWARE\Classes\CLSID\{138D2563-A831-8C70-CC8D-380FCE8788E7} -> Adware.CoolWebSearch : Schoongemaakt met een backup
HKLM\SOFTWARE\Classes\CLSID\{55BE37F8-1985-13E8-CD9B-5D824C0086C6} -> Adware.CoolWebSearch : Schoongemaakt met een backup
HKLM\SOFTWARE\Classes\CLSID\{CF0DB4C8-F2F7-EF01-C711-E29AA80B3432} -> Adware.CoolWebSearch : Schoongemaakt met een backup
HKLM\SOFTWARE\Classes\ImgConv.clsImgConv -> Adware.WebRebates : Schoongemaakt met een backup
HKLM\SOFTWARE\Classes\ImgConv.clsImgConv\Clsid -> Adware.WebRebates : Schoongemaakt met een backup
HKLM\SOFTWARE\Microsoft\Internet Explorer\Main\ins -> Adware.WebRebates : Schoongemaakt met een backup
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Windows SR 3.0 -> Adware.BlazeFind : Schoongemaakt met een backup
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Windows SR 3.0\- -> Adware.BlazeFind : Schoongemaakt met een backup
C:\Documents and Settings\v. Dorst\Cookies\v. dorst@ad.yieldmanager[2].txt -> TrackingCookie.Yieldmanager : Schoongemaakt met een backup
C:\Documents and Settings\v. Dorst\Cookies\v. dorst@adopt.euroclick[2].txt -> TrackingCookie.Euroclick : Schoongemaakt met een backup
C:\Documents and Settings\v. Dorst\Cookies\v. dorst@adopt.specificclick[1].txt -> TrackingCookie.Specificclick : Schoongemaakt met een backup
C:\Documents and Settings\v. Dorst\Cookies\v. dorst@ads.realcastmedia[1].txt -> TrackingCookie.Realcastmedia : Schoongemaakt met een backup
C:\Documents and Settings\v. Dorst\Cookies\v. dorst@ads43.bpath[1].txt -> TrackingCookie.Bpath : Schoongemaakt met een backup
C:\Documents and Settings\v. Dorst\Cookies\v. dorst@ads49.bpath[2].txt -> TrackingCookie.Bpath : Schoongemaakt met een backup
C:\Documents and Settings\v. Dorst\Cookies\v. dorst@ads50.bpath[1].txt -> TrackingCookie.Bpath : Schoongemaakt met een backup
C:\Documents and Settings\v. Dorst\Cookies\v. dorst@advertising[2].txt -> TrackingCookie.Advertising : Schoongemaakt met een backup
C:\Documents and Settings\v. Dorst\Cookies\v. dorst@as-eu.falkag[1].txt -> TrackingCookie.Falkag : Schoongemaakt met een backup
C:\Documents and Settings\v. Dorst\Cookies\v. dorst@atdmt[2].txt -> TrackingCookie.Atdmt : Schoongemaakt met een backup
C:\Documents and Settings\v. Dorst\Cookies\v. dorst@banners.searchingbooth[1].txt -> TrackingCookie.Searchingbooth : Schoongemaakt met een backup
C:\Documents and Settings\v. Dorst\Cookies\v. dorst@burstnet[2].txt -> TrackingCookie.Burstnet : Schoongemaakt met een backup
C:\Documents and Settings\v. Dorst\Cookies\v. dorst@casalemedia[2].txt -> TrackingCookie.Casalemedia : Schoongemaakt met een backup
C:\Documents and Settings\v. Dorst\Cookies\v. dorst@com[2].txt -> TrackingCookie.Com : Schoongemaakt met een backup
C:\Documents and Settings\v. Dorst\Cookies\v. dorst@cpvfeed[1].txt -> TrackingCookie.Cpvfeed : Schoongemaakt met een backup
C:\Documents and Settings\v. Dorst\Cookies\v. dorst@cz5.clickzs[2].txt -> TrackingCookie.Clickzs : Schoongemaakt met een backup
C:\Documents and Settings\v. Dorst\Cookies\v. dorst@cz8.clickzs[1].txt -> TrackingCookie.Clickzs : Schoongemaakt met een backup
C:\Documents and Settings\v. Dorst\Cookies\v. dorst@doubleclick[1].txt -> TrackingCookie.Doubleclick : Schoongemaakt met een backup
C:\Documents and Settings\v. Dorst\Cookies\v. dorst@fastclick[2].txt -> TrackingCookie.Fastclick : Schoongemaakt met een backup
C:\Documents and Settings\v. Dorst\Cookies\v. dorst@media.top-banners[1].txt -> TrackingCookie.Top-banners : Schoongemaakt met een backup
C:\Documents and Settings\v. Dorst\Cookies\v. dorst@mediaplex[1].txt -> TrackingCookie.Mediaplex : Schoongemaakt met een backup
C:\Documents and Settings\v. Dorst\Cookies\v. dorst@rotator.adjuggler[1].txt -> TrackingCookie.Adjuggler : Schoongemaakt met een backup
C:\Documents and Settings\v. Dorst\Cookies\v. dorst@server.iad.liveperson[1].txt -> TrackingCookie.Liveperson : Schoongemaakt met een backup
C:\Documents and Settings\v. Dorst\Cookies\v. dorst@statcounter[1].txt -> TrackingCookie.Statcounter : Schoongemaakt met een backup
C:\Documents and Settings\v. Dorst\Cookies\v. dorst@stats1.reliablestats[2].txt -> TrackingCookie.Reliablestats : Schoongemaakt met een backup
C:\Documents and Settings\v. Dorst\Cookies\v. dorst@tacoda[1].txt -> TrackingCookie.Tacoda : Schoongemaakt met een backup
C:\Documents and Settings\v. Dorst\Cookies\v. dorst@tribalfusion[1].txt -> TrackingCookie.Tribalfusion : Schoongemaakt met een backup
C:\Documents and Settings\v. Dorst\Cookies\v. dorst@yieldmanager[1].txt -> TrackingCookie.Yieldmanager : Schoongemaakt met een backup
C:\Documents and Settings\v. Dorst\Cookies\v. dorst@zedo[1].txt -> TrackingCookie.Zedo : Schoongemaakt met een backup
C:\Documents and Settings\v. Dorst\Local Settings\Temp\!update.exe -> Downloader.PurityScan.w : Schoongemaakt met een backup
C:\Documents and Settings\v. Dorst\Local Settings\Temp\Cookies\v. dorst@as-eu.falkag[2].txt -> TrackingCookie.Falkag : Schoongemaakt met een backup
C:\Documents and Settings\v. Dorst\Local Settings\Temp\Cookies\v. dorst@atdmt[2].txt -> TrackingCookie.Atdmt : Schoongemaakt met een backup
C:\Documents and Settings\v. Dorst\Local Settings\Temp\Cookies\v. dorst@casalemedia[2].txt -> TrackingCookie.Casalemedia : Schoongemaakt met een backup
C:\Documents and Settings\v. Dorst\Local Settings\Temp\Cookies\v. dorst@doubleclick[1].txt -> TrackingCookie.Doubleclick : Schoongemaakt met een backup
C:\Documents and Settings\v. Dorst\Local Settings\Temp\Cookies\v. dorst@fastclick[1].txt -> TrackingCookie.Fastclick : Schoongemaakt met een backup
C:\Documents and Settings\v. Dorst\Local Settings\Temp\Cookies\v. dorst@hswmedia.122.2o7[1].txt -> TrackingCookie.2o7 : Schoongemaakt met een backup
C:\Documents and Settings\v. Dorst\Local Settings\Temp\Cookies\v. dorst@statcounter[2].txt -> TrackingCookie.Statcounter : Schoongemaakt met een backup
C:\Documents and Settings\v. Dorst\Local Settings\Temp\Cookies\v. dorst@stats1.reliablestats[1].txt -> TrackingCookie.Reliablestats : Schoongemaakt met een backup
C:\Documents and Settings\v. Dorst\Local Settings\Temp\Cookies\v. dorst@tribalfusion[1].txt -> TrackingCookie.Tribalfusion : Schoongemaakt met een backup
C:\Documents and Settings\v. Dorst\Local Settings\Temp\Cookies\v. dorst@www.myaffiliateprogram[1].txt -> TrackingCookie.Myaffiliateprogram : Schoongemaakt met een backup
C:\Documents and Settings\v. Dorst\Local Settings\Temp\FW_AVKill.exe -> Backdoor.Ciadoor.13 : Schoongemaakt met een backup
C:\Documents and Settings\v. Dorst\Local Settings\Temp\optimize.exe -> Downloader.Dyfuca.ex : Schoongemaakt met een backup
C:\Documents and Settings\v. Dorst\Mijn documenten\haha.txt_vbs.vir -> Not-A-Virus.Eicar.TestFile : Schoongemaakt met een backup
C:\HJT\backups\backup-20050211-230030-963.dll -> Downloader.Agent.bq : Schoongemaakt met een backup
C:\HJT\backups\backup-20050212-145606-275.dll -> Downloader.Agent.bq : Schoongemaakt met een backup
C:\HJT\backups\backup-20060516-221651-567.dll -> Not-A-Virus.Downloader.Win32.PopCap.b : Schoongemaakt met een backup
C:\My Downloads\Feeding Frenzy Deluxe Plus.zip/Setup.exe -> Worm.VB.an : Schoongemaakt met een backup
C:\My Downloads\Free Young And Innocent Japanese Girl Striptease Clips.zip/Video.exe -> Dropper.WinAD.h : Schoongemaakt met een backup
C:\My Downloads\[PC GAME NO CD] The Godfather Der Pate Crack.rar/godfather.exe -> Dropper.ExeBundle.b : Schoongemaakt met een backup
C:\onoes.exe -> Backdoor.Rbot : Schoongemaakt met een backup
C:\Program Files\mkc001\mkc001.exe -> Dialer.Conok.d : Schoongemaakt met een backup
C:\Program Files\MsMovies\p.zip/Video.exe -> Dropper.WinAD.h : Schoongemaakt met een backup
C:\Program Files\MsMovies\v.tmp -> Dropper.WinAD.h : Schoongemaakt met een backup
C:\Program Files\NetPumper\ZM\NP_0001_1.exe -> Adware.Lop : Schoongemaakt met een backup
C:\Program Files\NewDotNet -> Adware.NewDotNet : Schoongemaakt met een backup
C:\Program Files\outlook\p.zip/Setup.exe -> Worm.VB.dw : Schoongemaakt met een backup
C:\Program Files\outlook\v.tmp -> Worm.VB.dw : Schoongemaakt met een backup
C:\Program Files\SpyFerret\Archives\SaveInstWm.cab/SaveInstWm.exe/Save.exe -> Adware.SaveNow : Schoongemaakt met een backup
C:\Program Files\SpyFerret\Archives\SaveInstWm.cab/SaveInstWm.exe/SaveUninst.exe -> Adware.SaveNow : Schoongemaakt met een backup
C:\Program Files\SpyFerret\Archives\SaveInstWm.cab/SaveInstWm.exe/Weather\Weather.exe -> Adware.SaveNow : Schoongemaakt met een backup
C:\Program Files\SpyFerret\Archives\SaveInstWm.cab/SaveInstWm.exe/Weather\Uninst.exe -> Adware.SaveNow : Schoongemaakt met een backup
C:\Program Files\SpyFerret\Archives\SaveInstWm.cab/SaveInstWm.exe/Save.exe -> Adware.SaveNow : Schoongemaakt met een backup
C:\Program Files\SpyFerret\Archives\SaveInstWm.cab/SaveInstWm.exe/SaveUninst.exe -> Adware.SaveNow : Schoongemaakt met een backup
C:\Program Files\SpyFerret\Archives\SaveInstWm.cab/SaveInstWm.exe/Weather\Weather.exe -> Adware.SaveNow : Schoongemaakt met een backup
C:\Program Files\SpyFerret\Archives\SaveInstWm.cab/SaveInstWm.exe/Weather\Uninst.exe -> Adware.SaveNow : Schoongemaakt met een backup
C:\Program Files\SpyFerret\Archives\SaveInstWm.cab/SaveInstWm.exe/Save.exe -> Adware.SaveNow : Schoongemaakt met een backup
C:\Program Files\SpyFerret\Archives\SaveInstWm.cab/SaveInstWm.exe/SaveUninst.exe -> Adware.SaveNow : Schoongemaakt met een backup
C:\Program Files\SpyFerret\Archives\SaveInstWm.cab/SaveInstWm.exe/Weather\Weather.exe -> Adware.SaveNow : Schoongemaakt met een backup
-> : Fout gedurende het schoonmake
C:\Program Files\SpyFerret\Archives\SaveInstWm.cab/SaveInstWm.exe/Save.exe -> Adware.SaveNow : Schoongemaakt met een backup
C:\Program Files\SpyFerret\Archives\SaveInstWm.cab/SaveInstWm.exe/SaveUninst.exe -> Adware.SaveNow : Schoongemaakt met een backup
C:\Program Files\SpyFerret\Archives\SaveInstWm.cab/SaveInstWm.exe/Weather\Weather.exe -> Adware.SaveNow : Schoongemaakt met een backup
C:\Program Files\SpyFerret\Archives\SaveInstWm.cab/SaveInstWm.exe/Weather\Uninst.exe -> Adware.SaveNow : Schoongemaakt met een backup
C:\Program Files\winupdates\a.tmp -> Worm.VB.an : Schoongemaakt met een backup
C:\Program Files\winupdates\a.zip/Setup.exe -> Worm.VB.an : Schoongemaakt met een backup



Then about 3.5k files located in the following path, all 200kb in size(cutted em out cuz otherwise this thing would be huge):
C:\RECYCLER\S-1-5-21-1935655697-1606980848-725345543-1003\Dc15388.zip/Setup.exe -> Worm.VB.dw : Schoongemaakt met een backup



C:\RECYCLER\S-1-5-21-1935655697-1606980848-725345543-1003\Dc18824.exe -> Dropper.WinAD.h : Schoongemaakt met een backup
C:\RECYCLER\S-1-5-21-1935655697-1606980848-725345543-1003\Dc18825.exe -> Worm.VB.dw : Schoongemaakt met een backup
C:\RECYCLER\S-1-5-21-1935655697-1606980848-725345543-1003\Dc18826.txt -> Worm.VB.an : Schoongemaakt met een backup
C:\WINDOWS\AEDLJJK.ini:zigga -> Downloader.Agent.bq : Schoongemaakt met een backup
C:\WINDOWS\appeu32.exe -> Backdoor.Small.dc : Schoongemaakt met een backup
C:\WINDOWS\Blauw 16.bmp:kjjzw -> Downloader.Agent.bq : Schoongemaakt met een backup
C:\WINDOWS\Blauw 16.bmp:ngzsy -> Downloader.Agent.bq : Schoongemaakt met een backup
C:\WINDOWS\d3xy32.exe -> Downloader.Agent.bq : Schoongemaakt met een backup
C:\WINDOWS\Downloaded Program Files\ActiveSecurity.ocx -> Not-A-Virus.VirTool.Win32.Collector : Schoongemaakt met een backup
C:\WINDOWS\KB837001.log:rdikn -> Downloader.Agent.bq : Schoongemaakt met een backup
C:\WINDOWS\KB839643Uninst.log:rnawy -> Downloader.Agent.bq : Schoongemaakt met een backup
C:\WINDOWS\KB840315.log:cetdk -> Downloader.Agent.bq : Schoongemaakt met een backup
C:\WINDOWS\LOVEGUN.INI:qfepf -> Downloader.Agent.bq : Schoongemaakt met een backup
C:\WINDOWS\mfcdb32.exe -> Backdoor.Small.dc : Schoongemaakt met een backup
C:\WINDOWS\mfcwr.exe -> Backdoor.Small.dc : Schoongemaakt met een backup
C:\WINDOWS\msgsocm.log:snvgr -> Downloader.Agent.bq : Schoongemaakt met een backup
C:\WINDOWS\msmqinst.log:bghzb -> Downloader.Agent.bq : Schoongemaakt met een backup
C:\WINDOWS\ocmsn.log:wprep -> Backdoor.Small.dc : Schoongemaakt met een backup
C:\WINDOWS\regedit.exe:hlxdb -> Downloader.Agent.bq : Schoongemaakt met een backup
C:\WINDOWS\Rhododendron.bmp:cnijo -> Downloader.Agent.bq : Schoongemaakt met een backup
C:\WINDOWS\setdebug.exe:notcl -> Downloader.Agent.bq : Schoongemaakt met een backup
C:\WINDOWS\system32\apiok32.exe -> Backdoor.Small.dc : Schoongemaakt met een backup
C:\WINDOWS\system32\atlga.exe -> Backdoor.Small.dc : Schoongemaakt met een backup
C:\WINDOWS\system32\iplt32.exe -> Backdoor.Small.dc : Schoongemaakt met een backup
C:\WINDOWS\system32\javaia.exe -> Backdoor.Small.dc : Schoongemaakt met een backup
C:\WINDOWS\system32\javex80.vxd/C:/WINDOWS/System32/nvms.dll -> Adware.BargainBuddy : Schoongemaakt met een backup
C:\WINDOWS\system32\javex80.vxd/C:/Program Files/NaviSearch/bin/nls.exe -> Adware.BargainBuddy : Schoongemaakt met een backup
C:\WINDOWS\system32\mfczt32.dll -> Downloader.Agent.bq : Schoongemaakt met een backup
C:\WINDOWS\system32\msgz32.exe -> Backdoor.Small.dc : Schoongemaakt met een backup
C:\WINDOWS\system32\msjo.exe -> Backdoor.Small.dc : Schoongemaakt met een backup
C:\WINDOWS\system32\mssx32.exe -> Backdoor.Small.dc : Schoongemaakt met een backup
C:\WINDOWS\system32\ntqn32.exe -> Downloader.Agent.bq : Schoongemaakt met een backup
C:\WINDOWS\system32\ntsx32.exe -> Backdoor.Small.dc : Schoongemaakt met een backup
C:\WINDOWS\system32\ntyp.exe -> Backdoor.Small.dc : Schoongemaakt met een backup
C:\WINDOWS\system32\PreInstaller_p1.exe -> Downloader.Keenval.o : Schoongemaakt met een backup
C:\WINDOWS\system32\psis80ex.ax/C:/WINDOWS/System32/mscb.dll -> Adware.BargainBuddy : Schoongemaakt met een backup
C:\WINDOWS\system32\psis80ex.ax/C:/Program Files/CashBack/bin/cashback.exe -> Adware.BargainBuddy : Schoongemaakt met een backup
C:\WINDOWS\system32\psis80ex.ax/C:/Program Files/CashBack/bin/cb.exe -> Adware.BargainBuddy : Schoongemaakt met een backup
C:\WINDOWS\system32\psis80ex.ax/C:/Program Files/CashBack/bin/flash.exe -> Adware.BargainBuddy : Schoongemaakt met een backup
C:\WINDOWS\system32\sdkby32.exe -> Backdoor.Small.dc : Schoongemaakt met een backup
C:\WINDOWS\system32\sdkgn.exe -> Backdoor.Small.dc : Schoongemaakt met een backup
C:\WINDOWS\system32\sysrv32.exe -> Backdoor.Small.dc : Schoongemaakt met een backup
C:\WINDOWS\system32\unregister.exe -> Adware.VB : Schoongemaakt met een backup
C:\WINDOWS\system32\winlog.exe -> Backdoor.Rbot : Schoongemaakt met een backup
C:\WINDOWS\sysyh32.exe -> Backdoor.Small.dc : Schoongemaakt met een backup
C:\WINDOWS\winhlp32.exe:bgvia -> Downloader.Agent.bq : Schoongemaakt met een backup
C:\WINDOWS\Zapotec.bmp:mhhtx -> Downloader.Agent.bq : Schoongemaakt met een backup
G:\RECYCLER\Liedjes\Carmageddon 2.zip/Setup.exe -> Worm.VB.an : Schoongemaakt met een backup
H:\Setup.exe -> Worm.VB.an : Schoongemaakt met een backup


::Einde rapport

[Nuppi]

Hi Mark1598

NetPumper download manager - bundles Cydoor and SaveNow adware, see here

http://castlecops.com/s2444-NetPumper.html

As you see in Ewidos raport , there in lot off "savenow" Adware.

Hijacklog is clean .