blinkendes Symbol in Taskleiste - SpyAxe

#1 Kann mir bitte irgendjemand helfen?
Habe auch dieses blinkende Symbol
Habe schon den Hinweis von Sabine gelesen
bin aber leider schon beim 2. Schritt steckengeblieben
kann den Rechner mit F8 nicht in Abgespeicherte modus öffnen
habe windows XP Professional
der Rechner spinnt immer mehr wäre euch sehr dankbar

MFG Mikael

#2 Hallo@mikael32

Hijackthis
http://computercops.biz/zx/Merijn/hijackthis.zip
http://virus-protect.org/hjtkurz.html
Lade/entpacke HijackThis in einem Ordner
--> None of the above just start the program --> Save--> Savelog -->es öffnet sich der Editor
nun das KOMPLETTE Log mit rechtem Mausklick abkopieren und ins Forum mit rechtem Mausklick "einfügen"

kopiere hier die 4 Textdateien (2 Monate vom Datum her genuegen )
http://virus-protect.org/datfindbat.html
__________
MfG Sabina

rund um die PC-Sicherheit

#3 Hi Sabina vielen dank erstmal für deine Mühe
ich hoffe daß ich deine Anweisungen richtig umsetze denn ich bin nicht unbedingt ein Profi

Logfile of HijackThis v1.99.1
Scan saved at 15:34:12, on 24.12.2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\FRITZ!DSL\IGDCTRL.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\GEARSec.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\PowerQuest\Drive Image 7.0\Agent\PQV2iSvc.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\AVPersonal\AVGNT.EXE
F:\Programme\CloneCD\CloneCDTray.exe
C:\Programme\SpyAxe\spyaxe.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\SpyAxe\spyaxe.exe
C:\Programme\MSN Messenger\msnmsgr.exe
C:\Programme\Hewlett-Packard\HP OfficeJet Series 500\Bin\HPOstr05.exe
C:\Programme\MSAC-FD1\MSSTAT.EXE
C:\Programme\Hewlett-Packard\HP OfficeJet Series 500\bin\HPOVDX05.EXE
C:\Programme\FRITZ!DSL\StCenter.exe
C:\Programme\IncrediMail\bin\IncMail.exe
C:\PROGRA~1\INCRED~1\bin\IMApp.exe
C:\WINDOWS\System32\nvctrl.exe
C:\PROGRA~1\MOZILL~1\FIREFOX.EXE
C:\WINDOWS\System32\mssearchnet.exe
F:\Mikael\spywera\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
O2 - BHO: HomepageBHO - {e0103cd4-d1ce-411a-b75b-4fec072867f4} - C:\WINDOWS\System32\hp3E3.tmp
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [CloneCDElbyCDFL] "F:\Programme\CloneCD\ElbyCheck.exe" /L ElbyCDFL
O4 - HKLM\..\Run: [CloneCDTray] "F:\Programme\CloneCD\CloneCDTray.exe"
O4 - HKLM\..\Run: [SpyAxe] C:\Programme\SpyAxe\spyaxe.exe /h
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [NBJ] "C:\Programme\Ahead\Nero BackItUp\NBJ.exe"
O4 - HKCU\..\Run: [msnmsgr] "C:\Programme\MSN Messenger\msnmsgr.exe" /background
O4 - Startup: FRITZ!DSL Internet.lnk = C:\Programme\FRITZ!DSL\FritzDsl.exe
O4 - Startup: FRITZ!DSL Startcenter.lnk = C:\Programme\FRITZ!DSL\StCenter.exe
O4 - Global Startup: HP OfficeJet Series 500-Start.lnk = C:\Programme\Hewlett-Packard\HP OfficeJet Series 500\Bin\HPOstr05.exe
O4 - Global Startup: Memory Stick Monitor.lnk = ?
O8 - Extra context menu item: &Add animation to IncrediMail Style Box - C:\PROGRA~1\INCRED~1\bin\resources\WebMenuImg.htm
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_01\bin\npjpi150_01.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_01\bin\npjpi150_01.dll
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE
O12 - Plugin for .mp3: C:\Programme\Internet Explorer\PLUGINS\npqtplugin3.dll
O12 - Plugin for .mpeg: C:\Programme\Internet Explorer\PLUGINS\npqtplugin3.dll
O12 - Plugin for .mpg: C:\Programme\Internet Explorer\PLUGINS\npqtplugin3.dll
O16 - DPF: {564EC66E-5A1B-51D3-1DB0-5080C83DA4EB} - ms-its:mhtml:file://C:ie.mht!http://69.50.164.12/exp/mht/sext01.chm::/MegaInstaller.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1108305971758
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AVM IGD CTRL Service - AVM Berlin - C:\Programme\FRITZ!DSL\IGDCTRL.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: AVM FRITZ!web Routing Service (de_serv) - AVM Berlin - C:\Programme\Gemeinsame Dateien\AVM\de_serv.exe
O23 - Service: GEARSecurity - GEAR Software - C:\WINDOWS\System32\GEARSec.exe
O23 - Service: V2i Protector - PowerQuest Corporation - C:\Programme\PowerQuest\Drive Image 7.0\Agent\PQV2iSvc.exe

datfind.bat
1.Textdatei

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 121B-0698

Verzeichnis von C:\WINDOWS\system32

24.12.2005 15:47 4.286 ts.ico
24.12.2005 15:47 4.286 ot.ico
24.12.2005 15:17 9.780 mssearchnet.exe
24.12.2005 12:41 5.084 ncompat.tlb
24.12.2005 12:40 9.978 hp56F1.tmp
24.12.2005 12:16 6.144 msvol.tlb
24.12.2005 12:16 9.978 hp3E3.tmp
24.12.2005 12:16 15.508 nvctrl.exe
24.12.2005 08:44 24.064 ldB3FA.tmp
24.12.2005 08:44 9.965 hpB147.tmp
24.12.2005 00:04 9.965 hp6BE.tmp
23.12.2005 16:27 9.965 hp7BD7.tmp
23.12.2005 13:01 9.965 hpB0B7.tmp
22.12.2005 19:43 9.965 hp665F.tmp
22.12.2005 18:49 9.965 hp7A64.tmp
22.12.2005 16:18 9.965 hp98A4.tmp
22.12.2005 12:40 9.982 hpA930.tmp
22.12.2005 11:55 9.982 hp912E.tmp
21.12.2005 13:01 2.206 wpa.dbl
16.12.2005 15:16 98.304 ioctrl.dll
16.12.2005 15:14 14.620 mscornet.exe
29.11.2005 17:32 364.042 perfh009.dat
29.11.2005 17:32 45.524 perfc009.dat
29.11.2005 17:32 371.376 perfh007.dat
29.11.2005 17:32 54.908 perfc007.dat
29.11.2005 17:32 844.668 PerfStringBackup.INI
21.11.2005 15:45 2.330 qtplugin.log
21.11.2005 15:45 361 QuickTime.qtp
24.06.2005 22:45 5.048 PQ_DEBUG.TXT
09.03.2005 15:59 53.760 avmadd32.dll
04.03.2005 11:34 3.069 NETDSL.INF
04.03.2005 11:34 1.783 Netfwdsl.inf
19.02.2005 12:29 118.952 FNTCACHE.DAT
15.02.2005 01:36 9.682 hpinstal05.txt
15.02.2005 01:36 83 hpo00005.ind
13.02.2005 17:05 2.957 jupdate-1.5.0_01-b08.log
13.02.2005 16:44 23.392 nscompat.tlb
13.02.2005 16:44 16.832 amcompat.tlb
13.02.2005 16:44 2.272 w95inf16.dll
13.02.2005 16:43 4.608 w95inf32.dll
13.02.2005 16:03 1.001 PQ_BATCH.PQB
13.02.2005 15:18 25.065 wmpscheme.xml
13.02.2005 15:15 261 $winnt$.inf
13.02.2005 15:12 2.951 CONFIG.NT
13.02.2005 15:10 488 WindowsLogon.manifest
13.02.2005 15:10 488 logonui.exe.manifest
13.02.2005 15:10 749 nwc.cpl.manifest
13.02.2005 15:10 749 sapi.cpl.manifest
13.02.2005 15:10 749 ncpa.cpl.manifest
13.02.2005 15:10 749 cdplayer.exe.manifest
13.02.2005 15:10 749 wuaucpl.cpl.manifest
13.02.2005 15:08 21.740 emptyregdb.dat
13.02.2005 15:05 0 h323log.txt

2.Textdatei

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 121B-0698

Verzeichnis von C:\DOKUME~1\Mikael\LOKALE~1\Temp

24.12.2005 14:53 917.504 MFPL7014.DLL
24.12.2005 10:53 32.768 ~DFCC75.tmp
24.12.2005 10:53 3 Twain001.Mtx
24.12.2005 10:53 31.707 SALanguage.ini
24.12.2005 01:00 32.768 ~DF6B8D.tmp
24.12.2005 00:51 0 JET90E0.tmp
24.12.2005 00:18 32.768 ~DFB511.tmp
24.12.2005 00:08 62.734 msnclean.log
24.12.2005 00:07 65.536 msn3040.fdr
24.12.2005 00:04 32.768 ~DF6A8E.tmp
23.12.2005 16:28 32.768 ~DF667E.tmp
23.12.2005 13:01 32.768 ~DFC81E.tmp
23.12.2005 00:42 32.768 ~DF719F.tmp
22.12.2005 16:53 32.768 ~DF7BC1.tmp
22.12.2005 16:18 32.768 ~DF6F6F.tmp
22.12.2005 12:40 32.768 ~DF12AB.tmp
22.12.2005 11:55 32.768 ~DF986C.tmp
22.12.2005 00:55 32.768 ~DFB58B.tmp
21.12.2005 20:20 32.768 ~DF7379.tmp
21.12.2005 13:02 32.768 ~DF84F8.tmp
20.12.2005 06:54 118 0FD1A8EB.TMP
16.12.2005 14:44 22.127 VGX2.tmp
16.12.2005 14:44 22.127 VGX1.tmp
16.12.2005 14:34 0 TWAIN.LOG
16.12.2005 14:33 32.768 ~DF7F52.tmp
16.12.2005 14:32 32.768 ~DFD527.tmp
26 Datei(en) 1.646.144 Bytes
0 Verzeichnis(se), 4.371.476.480 Bytes frei

3.Textdatei

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 121B-0698

Verzeichnis von C:\WINDOWS

24.12.2005 08:43 0 0.log
24.12.2005 08:43 159 wiadebug.log
24.12.2005 08:43 50 wiaservc.log
24.12.2005 08:42 2.048 bootstat.dat
24.12.2005 01:57 32.536 SchedLgU.Txt
23.12.2005 23:58 278 system.ini
23.12.2005 16:29 232 HPODJC05.INI
23.12.2005 12:05 69 NeroDigital.ini
16.12.2005 15:15 567.996 setupapi.log
16.12.2005 14:40 1.409 QTFont.for
16.12.2005 14:40 54.156 QTFont.qfn
16.12.2005 10:35 861 win.ini
28.11.2005 19:36 571.254 Firefox Wallpaper.bmp
28.11.2005 19:26 3.718 msnsetuplog.txt
28.11.2005 19:26 4.378 msnavpklog.txt
18.11.2005 11:16 8.648 GatorGainInstaller.log
18.11.2005 10:48 12.010 GatorHDPlugin.log
13.11.2005 21:37 534 nsw.log
05.11.2005 16:22 400 ODBC.INI
21.09.2005 06:11 19.616 EventSystem.log
21.07.2005 20:11 555 HPOTBX05.INI
16.02.2005 13:37 0 hpovwr05.INI
16.02.2005 13:36 1.685 HPOCSS05.INI
16.02.2005 02:19 107.468 iis6.log
16.02.2005 02:19 31.197 comsetup.log
16.02.2005 02:19 19.251 ntdtcsetup.log
16.02.2005 02:19 38.093 tsoc.log
16.02.2005 02:19 3.181 tabletoc.log
16.02.2005 02:19 1.917 imsins.log
16.02.2005 02:19 4.194 ocmsn.log
16.02.2005 02:19 11.796 netfxocm.log
16.02.2005 02:19 3.826 msgsocm.log
16.02.2005 02:19 70.976 ocgen.log
16.02.2005 02:19 54.360 FaxSetup.log
16.02.2005 02:18 28.234 msmqinst.log
16.02.2005 00:50 1.917 imsins.BAK
15.02.2005 14:17 23.046 wmsetup.log
15.02.2005 14:17 316.640 WMSysPr9.prx
15.02.2005 01:36 65 opleinst.ini
13.02.2005 19:59 1.442 COM+.log
13.02.2005 18:17 80.691 DirectX.log
13.02.2005 17:51 531 WINPHONE.INI
13.02.2005 17:51 83 TELEPHON.INI
13.02.2005 17:07 4.161 ODBCINST.INI
13.02.2005 17:05 2.725 mozver.dat
13.02.2005 16:27 3.120 MF_C421.lfa
13.02.2005 16:27 3.120 MF_C420.lfa
13.02.2005 16:27 3.120 MF_C425.lfa
13.02.2005 16:11 0 nsreg.dat
13.02.2005 16:11 100.489 UninstallFirefox.exe
13.02.2005 15:50 6.733 KB842773.log
13.02.2005 15:50 180.037 setupact.log
13.02.2005 15:18 829 OEWABLog.txt
13.02.2005 15:18 694.036 setuplog.txt
13.02.2005 15:16 8.192 REGLOCS.OLD
13.02.2005 15:12 0 control.ini
13.02.2005 15:12 299.552 WMSysPrx.prx
13.02.2005 15:11 280 Windows Update.log
13.02.2005 15:10 749 WindowsShell.Manifest
13.02.2005 15:08 1.060 sessmgr.setup.log
13.02.2005 15:08 37 vbaddin.ini
13.02.2005 15:08 36 vb.ini
13.02.2005 15:07 128 DtcInstall.log
13.02.2005 15:03 0 Sti_Trace.log
13.02.2005 15:01 1.348 regopt.log
13.02.2005 15:00 0 setuperr.log


4.Textdatei

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 121B-0698

Verzeichnis von C:\

24.12.2005 15:59 0 sys.txt
24.12.2005 15:57 5.713 system.txt
24.12.2005 15:56 1.517 systemtemp.txt
24.12.2005 15:56 93.266 system32.txt
24.12.2005 08:42 536.399.872 hiberfil.sys
24.12.2005 08:42 402.653.184 pagefile.sys
13.02.2005 15:12 0 AUTOEXEC.BAT
13.02.2005 15:12 0 CONFIG.SYS
13.02.2005 15:12 0 IO.SYS
13.02.2005 15:12 0 MSDOS.SYS
13.02.2005 15:05 194 boot.ini
29.08.2002 02:05 235.296 ntldr
28.08.2002 22:08 47.580 NTDETECT.COM
18.08.2001 12:00 4.952 bootfont.bin
14 Datei(en) 939.441.574 Bytes
0 Verzeichnis(se), 4.371.075.072 Bytes frei

#4 mikael32

mit der rechten Maustaste auf den Link klicken und aus dem Auswahlmenü, Ziel speichern unter -> Desktop wählen -> dann erscheint eine mcor.reg auf dem Bildschirm

http://virus-protect.org/reg/mcor.reg

rechtsklick auf den Link --> Ziel speichern unter... --> wähle Desktop - dann erscheint eine spyaxe.reg auf dem Bildschirm.

http://virus-protect.org/reg/spyaxe.reg

-----------------------------------------------------------------------
öffne das HijackThis -->
-- Button "scan" -- vor die Malware-Einträge Häkchen setzen -- Button "Fix checked" -- PC neustarten

O4 - HKLM\..\Run: [SpyAxe] C:\Programme\SpyAxe\spyaxe.exe /h
O2 - BHO: HomepageBHO - {e0103cd4-d1ce-411a-b75b-4fec072867f4} - C:\WINDOWS\System32\hp3E3.tmp
O16 - DPF: {564EC66E-5A1B-51D3-1DB0-5080C83DA4EB} - ms-its:mhtml:file://C:ie.mht!http://69.50.164.12/exp/mht/sext01.chm::/MegaInstaller.exe

PC neustarten


KILLBOX - Pocket KillBox
http://virus-protect.org/killbox.html

Options: Delete on Reboot / Process all in List )--> anhaken
reinkopieren:
und klicke auf das rote Kreuz, wenn gefragt wird, ob "Do you want to reboot? "---- klicke auf "no",und kopiere das nächste rein, erst beim letzten auf "yes"

C:\WINDOWS\system32\ts.ico
C:\WINDOWS\system32\ot.ico
C:\WINDOWS\system32\mssearchnet.exe
C:\WINDOWS\system32\ncompat.tlb
C:\WINDOWS\system32\hp56F1.tmp
C:\WINDOWS\system32\msvol.tlb
C:\WINDOWS\system32\hp3E3.tmp
C:\WINDOWS\system32\nvctrl.exe
C:\WINDOWS\system32\ldB3FA.tmp
C:\WINDOWS\system32\hpB147.tmp
C:\WINDOWS\system32\hp6BE.tmp
C:\WINDOWS\system32\hp7BD7.tmp
C:\WINDOWS\system32\hpB0B7.tmp
C:\WINDOWS\system32\hp665F.tmp
C:\WINDOWS\system32\hp7A64.tmp
C:\WINDOWS\system32\hp98A4.tmp
C:\WINDOWS\system32\hpA930.tmp
C:\WINDOWS\system32\hp912E.tmp
C:\WINDOWS\system32\ioctrl.dll
C:\Programme\SpyAxe\spyaxe.exe
C:\WINDOWS\system32\mscornet.exe
C:\WINDOWS\GatorGainInstaller.log
C:\WINDOWS\GatorHDPlugin.log

starten den PC neu --> in den abgesicherten Modus (F8 druecken, wenn der PC hochfaehrt , waehle abgesicherter Modus, (wenn du nicht in den abgesicherten Modus kommst, mache es im Normalmodus)
und klicke die

mcor.reg
spyaxe.reg

doppelt --> fuege sie mit "ja" oder "yes" der Registry bei


-----------------------------------------------------------------------

SmitRem2.8
http://noahdfear.geekstogo.com/click%20counter/click.php?id=1

laden--> in den abgesicherten Modus booten --> öffne smitRem folder --> Doppelklick: RunThis.bat
warte, bis der Scan beendet ist (der Bildschirm wird blau werden. das ist normal)

loeschen:
C:\Programme\SpyAxe
C:\WINDOWS\system32\1024

Trend Micro Anti-Spyware
http://virus-protect.org/microtrend.html

deaktiviere die Systemwiederherstellung (XP) (dann aktiviere sie wieder)
http://virus-protect.org/systemwiederherstellung.html

scanne mit Kaspersky --> loesche dann manuell, was gefunden wird
http://virus-protect.org/onlinescan.html
__________
MfG Sabina

rund um die PC-Sicherheit

#5 vielen dank da kommt wirklich freude auf

nur noch eine frage kann ich irgend etwas bestimmtes dagegen tun damit dies nicht mehr so schnell vorkommt

Mfg
mikael

#6 mikael32

Eingeschränktes Benutzerkonto/Administratorrechte unter Windows
http://virus-protect.org/administrator.html

nur mit dem Firefox surfen (uebrigens.... wo hast du dir das eingefangen? poste mir mal den ungefaehren Link per PM)

Microsoft Windows Antispy
http://virus-protect.org/ms.html

nichts laden, was ungefragt im Net angeboten wird, also...auf keine suspekten Links klicken......
__________
MfG Sabina

rund um die PC-Sicherheit

#7 ok
ich hatte bereits
Eingeschränktes Benutzerkonto/Administratorrechte unter Windows
nun funktioniert bei diesen Eingeschränkten Konten einige Programme nicht ????
kann ich denn einfach diese Konten löschen und neue anlegen ??

ich denke mal das ich es über eine mail bekommen habe aber ich weiß es nicht mit sicherheit
gibt es eine möglichkeit dies nachzuvollziehen dann gerne nur ich weiß nicht wie ???

nochmal für alles vielen dank !!!!

#8

Zitat

Wenn bestimmte Software nur im Administratormodus läuft, gibt es noch eine andere Lösung: Sie besteht darin, das Programm unter anderer Anmeldung laufen zu lassen (mit einem Rechtsklick auf das gewünschte Programm und der Auswahl von "Ausführen als"). Hier gibt man dann die Administratorkennung ein.
http://virus-protect.org/administrator.html

ueber Mail...hm... koennte sein... ich habe das schon gesehen. Hast du die mail noch?
__________
MfG Sabina

rund um die PC-Sicherheit

#9 ich habe keine ahnung welche es ist allerdings
eventuell unter gelöschte mails
wie könnte ich es erkennen ???
da brauch ich wieder deine Hilfe

#10 na lass, vielleicht finde ich noch mal jemanden, der es auf Anhieb weiss und mit den Downloader zukommen laesst.
Einen guten Rutsch ins Neue Jahr...mit sauberem PC
__________
MfG Sabina

rund um die PC-Sicherheit

#11 vielen dank
dir auch einen guten Rutsch
vor allem alles Gute, Geundheit und viel Erfolg im nächsten Jahr

Ciao
maikael