Sabina brauche Meinung bei SpyAxe !!!^^

#1 Hi ich brauche leider auch mal Hilfe von Leuten die sich mit diesem Problem auskennen.

Ich war / bin befallen von SpyAxe.
Habe mich durch dieses Forum gelesen und dort auch Anleitungen gefunden zum entfernen.
Habe mich an diese Anleitungen gehalten dennoch schein noch nicht alles beseitigt zu sein.

Ich poste euch jetzt mal das Ergebniss von kaspersky und HJT

vielleicht könnte mir Sabina ja helfen , habe im Forum mitbekommen das Sie verdammt fit ist auf diesem Gebiet andere die helfen können dürfen sich natürlich auch gerne bei mir melden :o)

Ich bedanke mich schonmal im Vorraus

Logfile of HijackThis v1.99.1
Scan saved at 17:28:11, on 10.12.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\LEXPPS.EXE
C:\Programme\Alwil Software\Avast4\aswUpdSv.exe
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wdfmgr.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\explorer.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Dokumente und Einstellungen\Morpheus\Desktop\Maps\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.internetcologne.de
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.internetcologne.de
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.internetcologne.de
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/downloads/kws/kavwebscan_unicode.cab
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://acs.pandasoftware.com/activescan/as5free/asinst.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{7BFD5109-5CF4-4A20-964A-8D4E9043BDDA}: NameServer = 213.168.112.60 194.8.194.60
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Programme\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Programme\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Programme\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Sygate Personal Firewall Pro (SmcService) - Sygate Technologies, Inc. - C:\Programme\Sygate\SPF\smc.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Programme\TuneUp Utilities 2006\WinStylerThemeSvc.exe
O23 - Service: Ulead Burning Helper (UleadBurningHelper) - Unknown owner - C:\Programme\Gemeinsame Dateien\Ulead Systems\DVD\ULCDRSvr.exe (file missing)

und noch den Online Scan


Scan Settings:
Scan using the following antivirus database: standard
Scan Archives: true
Scan Mail Bases: true

Scan Target - My Computer:
A:\
C:\
D:\
E:\

Scan Statistics:
Total number of scanned objects: 50119
Number of viruses found: 6
Number of infected objects: 18
Number of suspicious objects: 0
Duration of the scan process: 2672 sec

Infected Object Name - Virus Name
C:\!KillBox\mscornet.exe Infected: Trojan-Downloader.Win32.Zlob.cj
C:\!KillBox\mssearchnet.exe Infected: Trojan-Downloader.Win32.Zlob.cl
C:\!KillBox\msvol.tlb Infected: Trojan-Downloader.Win32.Zlob.br
C:\!KillBox\nvctrl.exe Infected: Trojan-Downloader.Win32.Zlob.br
C:\Dokumente und Einstellungen\Morpheus\Desktop\Maps\backups\backup-20051205-172251-622 Infected: Trojan.Win32.Qhost.a
C:\Dokumente und Einstellungen\Morpheus\Desktop\Maps\backups\backup-20051210-150931-987.dll Infected: Trojan-Downloader.Win32.Zlob.br
C:\System Volume Information\_restore{B37AEF07-E205-4046-8B54-D8B30852D6E4}\RP129\A0214930.exe Infected: Trojan.Win32.Agent.e
C:\System Volume Information\_restore{B37AEF07-E205-4046-8B54-D8B30852D6E4}\RP130\A0220151.exe Infected: Trojan-Downloader.Win32.Zlob.ci
C:\System Volume Information\_restore{B37AEF07-E205-4046-8B54-D8B30852D6E4}\RP130\A0221155.exe Infected: Trojan-Downloader.Win32.Zlob.br
C:\System Volume Information\_restore{B37AEF07-E205-4046-8B54-D8B30852D6E4}\RP130\A0221156.tlb Infected: Trojan-Downloader.Win32.Zlob.br
C:\System Volume Information\_restore{B37AEF07-E205-4046-8B54-D8B30852D6E4}\RP130\A0221181.tlb Infected: Trojan-Downloader.Win32.Zlob.br
C:\System Volume Information\_restore{B37AEF07-E205-4046-8B54-D8B30852D6E4}\RP130\A0221183.exe Infected: Trojan-Downloader.Win32.Zlob.cl
C:\System Volume Information\_restore{B37AEF07-E205-4046-8B54-D8B30852D6E4}\RP130\A0221184.exe Infected: Trojan-Downloader.Win32.Zlob.br
C:\System Volume Information\_restore{B37AEF07-E205-4046-8B54-D8B30852D6E4}\RP130\A0221185.exe Infected: Trojan-Downloader.Win32.Zlob.cj
C:\System Volume Information\_restore{B37AEF07-E205-4046-8B54-D8B30852D6E4}\RP130\A0225210.exe Infected: Trojan-Downloader.Win32.Zlob.cj
C:\System Volume Information\_restore{B37AEF07-E205-4046-8B54-D8B30852D6E4}\RP130\A0225211.exe Infected: Trojan-Downloader.Win32.Zlob.cl
C:\System Volume Information\_restore{B37AEF07-E205-4046-8B54-D8B30852D6E4}\RP130\A0225212.tlb Infected: Trojan-Downloader.Win32.Zlob.br
C:\System Volume Information\_restore{B37AEF07-E205-4046-8B54-D8B30852D6E4}\RP130\A0225214.exe Infected: Trojan-Downloader.Win32.Zlob.br

Scan process completed.

#2 Hi Morpheus,

an Deinem Log ist für mich nichts Verdächtiges mehr zu sehen.

Lösche manuell mit dem Win-Explorer:
C:\!KillBox\mscornet.exe
C:\!KillBox\mssearchnet.exe
C:\!KillBox\msvol.tlb
C:\!KillBox\nvctrl.exe
C:\Dokumente und Einstellungen\Morpheus\Desktop\Maps\backups\backup-20051205-172251-622
C:\Dokumente und Einstellungen\Morpheus\Desktop\Maps\backups\backup-20051210-150931-987.dll

Deaktiviere die Systemwiederherstellung (Rechtsklick auf Arbeitsplatz => Eigenschaften => Systemwiederherstellung) und aktiviere sie anschließend wieder, dann sind die Einträge mit "C:\System Volume Information\_restore" verschwunden.

Poste die vier Textdateien von Datfindbat
http://virus-protect.org/datfindbat.html

Hast Du schon mit ewido, counterspy und/oder spysweeper gescannt?
http://virus-protect.org/ewido.html
http://virus-protect.org/counterspy.html
http://virus-protect.org/spysweeper.html

Poste mal, welche Tools und Progs Du schon angewendet hast.

Gruß
Heron
__________
"Die Welt ist groß, weil der Kopf so klein"
Wilhelm Busch

#3 Ok hier die Ergebnisse von Datfind.bat

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 74B8-33DE

Verzeichnis von C:\WINDOWS\system32

10.12.2005 18:11 2.550 Uninstall.ico
10.12.2005 18:11 1.406 Help.ico
10.12.2005 18:11 1.718 Open.ico
10.12.2005 18:11 1.406 AddQuit.ico
10.12.2005 18:11 5.350 IE.ico
10.12.2005 18:11 9.470 Desktop.ico
10.12.2005 18:11 1.718 Quick.ico
10.12.2005 16:19 0 asfiles.txt
05.12.2005 12:25 16.384 hndlt.ini
04.12.2005 23:13 18.621 mcbeta.ini
04.12.2005 23:13 8.130 mcbeta.bmp
04.12.2005 23:13 15.938 mcbeta.lng
04.12.2005 23:13 22.640 mcbeta.dat
04.12.2005 18:26 13.694 wpa.dbl
05.11.2005 22:58 43.520 CmdLineExt03.dll
30.10.2005 02:18 39.992 perfc009.dat
30.10.2005 02:18 316.594 perfh007.dat
30.10.2005 02:18 48.156 perfc007.dat
30.10.2005 02:18 311.604 perfh009.dat
30.10.2005 02:18 723.744 PerfStringBackup.INI
15.10.2005 11:32 119.744 FNTCACHE.DAT
24.09.2005 14:03 3.002 CONFIG.NT
09.09.2005 04:08 2.006.368 MRT.exe
04.09.2005 03:51 16.832 amcompat.tlb
04.09.2005 03:51 23.392 nscompat.tlb
12.08.2005 17:26 3.799 jupdate-1.5.0_04-b05.log
09.08.2005 23:14 692.224 divxdec.ax
09.08.2005 23:13 4.276 divxsm.tlb
09.08.2005 23:13 524.288 DivXsm.exe
09.08.2005 23:13 692.736 DivX.dll
09.08.2005 23:13 688.128 divx_xx07.dll
09.08.2005 23:13 10.775 dsm_ja.qm
09.08.2005 23:13 15.351 dsm_de.qm
09.08.2005 23:13 15.153 dsm_fr.qm
09.08.2005 23:13 688.128 divx_xx0c.dll
09.08.2005 23:13 671.744 divx_xx11.dll
09.08.2005 23:13 831.488 libeay32.dll
09.08.2005 23:13 245.408 unicows.dll
09.08.2005 23:13 159.744 ssleay32.dll
09.08.2005 23:12 3.596.288 qt-dx331.dll
09.08.2005 23:12 8.523 dpude.qm
09.08.2005 23:12 86.016 dpl100.dll
09.08.2005 23:12 581.632 dpuGUI11.dll
09.08.2005 23:12 200.704 dtu100.dll
09.08.2005 23:12 303.104 dpus11.dll
09.08.2005 23:12 57.344 dpv11.dll
09.08.2005 23:12 245.760 dpu11.dll
09.08.2005 23:12 3.136 dtu_de.qm
09.08.2005 23:12 356.436 DivXMedia.ax
07.08.2005 02:40 3.157 jupdate-1.4.2_03-b02.log
01.08.2005 20:24 34.064 lhacm.acm
01.08.2005 19:22 0 h323log.txt
01.08.2005 18:29 261 $winnt$.inf
01.08.2005 18:26 488 WindowsLogon.manifest
01.08.2005 18:26 488 logonui.exe.manifest
01.08.2005 18:26 749 cdplayer.exe.manifest
01.08.2005 18:26 749 sapi.cpl.manifest
01.08.2005 18:26 749 wuaucpl.cpl.manifest
01.08.2005 18:26 749 nwc.cpl.manifest
01.08.2005 18:26 749 ncpa.cpl.manifest
01.08.2005 18:24 21.740 emptyregdb.dat

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 74B8-33DE

Verzeichnis von C:\DOKUME~1\Morpheus\LOKALE~1\Temp

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 74B8-33DE

Verzeichnis von C:\WINDOWS

10.12.2005 18:55 0 0.log
10.12.2005 18:55 50 wiaservc.log
10.12.2005 18:55 159 wiadebug.log
10.12.2005 18:54 2.048 bootstat.dat
10.12.2005 18:36 2.302 SchedLgU.Txt
10.12.2005 18:36 708 WindowsUpdate.log
10.12.2005 18:11 32 pavsig.txt
10.12.2005 18:10 2.537 setupapi.log
10.12.2005 16:19 629 win.ini
10.12.2005 15:28 412 lexstat.ini
09.12.2005 23:45 396 wincmd.ini
09.12.2005 23:45 530 wcx_ftp.ini
09.12.2005 00:32 229 NeroDigital.ini
08.12.2005 11:04 0 Sti_Trace.log
04.12.2005 23:13 737.280 iun6002.exe
23.11.2005 18:23 153 cddabase.ini
08.10.2005 01:00 25 sysmf4.dll
08.10.2005 01:00 25 minghon.lai
24.09.2005 22:17 339 CoDUO.INI
24.09.2005 22:07 766 CoD.INI
24.09.2005 14:05 130 ODBC.INI
04.09.2005 11:42 316.640 WMSysPr9.prx
03.09.2005 11:40 754 WORDPAD.INI
25.08.2005 20:59 122 Winchat.ini
25.08.2005 13:50 81.920 bwUnin-6.1.4.68-8876480L.exe
07.08.2005 12:58 356 system.ini
01.08.2005 18:36 277 awprotoc.txt
01.08.2005 18:36 61 awerror.txt
01.08.2005 18:27 0 control.ini
01.08.2005 18:26 4.161 ODBCINST.INI
01.08.2005 18:26 749 WindowsShell.Manifest
01.08.2005 18:24 37 vbaddin.ini
01.08.2005 18:24 36 vb.ini
31.05.2005 05:53 545 LHA.PIF

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 74B8-33DE

Verzeichnis von C:\

10.12.2005 19:06 0 sys.txt
10.12.2005 19:06 4.225 system.txt
10.12.2005 19:06 136 systemtemp.txt
10.12.2005 19:05 94.822 system32.txt
10.12.2005 18:54 535.613.440 hiberfil.sys
10.12.2005 18:54 805.306.368 pagefile.sys
10.12.2005 16:04 1.243 smitfiles.txt
29.11.2005 21:32 67 -log-.txt
26.11.2005 16:43 65.912 nerodigital.bin
26.11.2005 16:37 0 IO.SYS
26.11.2005 16:37 0 MSDOS.SYS
01.09.2005 15:39 168 setupfax.log
01.08.2005 18:27 0 AUTOEXEC.BAT
01.08.2005 18:27 0 CONFIG.SYS
01.08.2005 18:22 211 boot.ini
04.08.2004 13:00 251.184 ntldr
04.08.2004 13:00 47.564 NTDETECT.COM
04.08.2004 13:00 4.952 bootfont.bin
18 Datei(en) 1.341.390.292 Bytes
0 Verzeichnis(se), 43.247.857.664 Bytes frei

So und mit ewido kam folgendes raus:
--------------------------------------------------------
ewido security suite - Scan Report
---------------------------------------------------------

+ Erstellt am: 19:29:11, 10.12.2005
+ Report-Checksumme: 7D9886E7

+ Scanergebnis:

HKLM\SOFTWARE\Classes\CLSID\{9F95F736-0F62-4214-A4B4-CAA6738D4C07} -> Spyware.SaveNow : Gesäubert mit Backup
HKLM\SOFTWARE\Classes\Interface\{C285D18D-43A2-4AEF-83FB-BF280E660A97} -> Spyware.SaveNow : Gesäubert mit Backup
C:\Dokumente und Einstellungen\Morpheus\Cookies\morpheus@as-eu.falkag[1].txt -> Spyware.Cookie.Falkag : Gesäubert mit Backup
C:\Dokumente und Einstellungen\Morpheus\Cookies\morpheus@as1.falkag[1].txt -> Spyware.Cookie.Falkag : Gesäubert mit Backup
C:\Dokumente und Einstellungen\Morpheus\Cookies\morpheus@ppms.popularix[2].txt -> Spyware.Cookie.Popularix : Gesäubert mit Backup
C:\Dokumente und Einstellungen\Morpheus\Cookies\morpheus@sel.as-eu.falkag[1].txt -> Spyware.Cookie.Falkag : Gesäubert mit Backup
C:\Dokumente und Einstellungen\Morpheus\Lokale Einstellungen\Temp\Cookies\morpheus@as-eu.falkag[2].txt -> Spyware.Cookie.Falkag : Gesäubert mit Backup
C:\Dokumente und Einstellungen\Morpheus\Lokale Einstellungen\Temp\Cookies\morpheus@as1.falkag[1].txt -> Spyware.Cookie.Falkag : Gesäubert mit Backup
C:\Dokumente und Einstellungen\Morpheus\Lokale Einstellungen\Temp\Cookies\morpheus@ppms.popularix[1].txt -> Spyware.Cookie.Popularix : Gesäubert mit Backup
C:\Dokumente und Einstellungen\Morpheus\Lokale Einstellungen\Temp\Cookies\morpheus@sel.as-eu.falkag[1].txt -> Spyware.Cookie.Falkag : Gesäubert mit Backup


::Report Ende

Hoffe an den 4 Files ist nichts seltsames zu erkennen

#4 Was ich an den vier Files sehen kann ist, dass Du noch Folgendes löschen kannst:
C:\WINDOWS\system32
Uninstall.ico
Help.ico
Open.ico
AddQuit.ico
IE.ico
Desktop.ico
Quick.ico

Lade Dir den CCleaner und lösche alle Temp-Dateien und Surfspuren
http://www.majorgeeks.com/download4191.html

Deaktiviere die Cookies in Deinem Browser.

Scanne nochmal mit Kaspersky. Das ist soweit alles, was ich Dir empfehlen kann. Vielleicht wirft Sabina auch noch einen Blick auf Deine Scan-Ergebnisse und kann Dir weitere Tipps geben.

Gruß
Heron
__________
"Die Welt ist groß, weil der Kopf so klein"
Wilhelm Busch

#5 Hi Heron ,

habe alles wie du mir geraten hast entfernt und anschließend nochmal mit Kaspersky gescannt hier das Ergebnis:

KASPERSKY ON-LINE SCANNER REPORT
Sunday, December 11, 2005 19:53:23
Operating System: Microsoft Windows XP Home Edition, Service Pack 2 (Build 2600)
Kaspersky On-line Scanner version: 5.0.67.0
Kaspersky Anti-Virus database last update: 11/12/2005
Kaspersky Anti-Virus database records: 154550
-------------------------------------------------------------------------------

Scan Settings:
Scan using the following antivirus database: standard
Scan Archives: true
Scan Mail Bases: true

Scan Target - My Computer:
A:\
C:\
D:\
E:\

Scan Statistics:
Total number of scanned objects: 39516
Number of viruses found: 0
Number of infected objects: 0
Number of suspicious objects: 0
Duration of the scan process: 1578 sec
No malware has been detected. The sections that have been scanned are CLEAN.

Scan process completed.

#6 Das sieht doch ganz gut aus! Falls Du keine Symptome mehr an Deinem Rechner feststellen kannst, so dürfte die Infektion überstanden sein.

Hast Du die Registry bereinigt? Wenn nein, dann folge der Anleitung von Sabina im Posting #2 bei http://board.protecus.de/t20717.htm?highlight=spyaxe&s=0e7adf87cdd32fb5357368d6f78af8f3

Gruß
Heron
__________
"Die Welt ist groß, weil der Kopf so klein"
Wilhelm Busch