Ok dat is interessant... bedankt voor het meekijken! Ik had gezocht met "findstr" en die vindt deze strings daar niet. Kennelijk weer een half-werkend tool. Zal inderdaad wel komen doordat de strings als 16-bit characters in de file staan. "findstr" vindt wel bepaalde strings, maar niet die URL. Gezien het feit dat je daar precies die (antieke) api-version ziet staan die ik ook in de queries zie zal dit wel de schuldige zijn. (deze feature hebben we ook actief staan dus wellicht dat die eens per uur die check doet, misschien om te kijken of er wellicht dergelijke malware actief is) Ik ga er morgen weer naar kijken, maar ik denk niet dat het malware is, hooguit malware in de zin dat er bewust een of andere applicatie geinstalleerd is die dit doet: ik had even het idee dat het alleen Dell machines waren die dit deden en HP machines niet, maar dat moet ik nog hard maken en de VMware VM die ik gebruik om van huis uit te testen doet het ook. Als het alleen machines van 1 merk zijn dan zou het nog iets als ...