Problem mit Virus!!- SpyAxe

#1 hier mein hijack-logfile.

Logfile of HijackThis v1.99.1
Scan saved at 18:29:32, on 28.12.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\brsvc01a.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\brss01a.exe
C:\WINDOWS\system32\Brmfrmps.exe
C:\WINDOWS\system32\drivers\KodakCCS.exe
C:\WINDOWS\system32\slserv.exe
C:\Programme\Alcohol 120\Alcohol 120\StarWind\StarWindService.exe
C:\Programme\Java\jre1.5.0_04\bin\jusched.exe
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\D-Tools\daemon.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\ScanSoft\PaperPort\pptd40nt.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Dokumente und Einstellungen\Chris\Desktop\HijackThis.exe
C:\WINDOWS\system32\nvctrl.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.t-online.de/
O2 - BHO: HomepageBHO - {e0103cd4-d1ce-411a-b75b-4fec072867f4} - C:\WINDOWS\system32\hp14BE.tmp
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_04\bin\jusched.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Programme\D-Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [AtiPTA] atiptaxx.exe
O4 - HKLM\..\Run: [KAVPersonal50] "C:\Programme\Kaspersky Anti-Virus\kav.exe" /minimize
O4 - HKLM\..\Run: [SSBkgdUpdate] "C:\Programme\Gemeinsame Dateien\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" -Embedding -boot
O4 - HKLM\..\Run: [PaperPort PTD] C:\Programme\ScanSoft\PaperPort\pptd40nt.exe
O4 - HKLM\..\Run: [IndexSearch] C:\Programme\ScanSoft\PaperPort\IndexSearch.exe
O4 - HKLM\..\Run: [SetDefPrt] C:\Programme\Brother\Brmfl04a\BrStDvPt.exe
O4 - HKLM\..\Run: [ControlCenter2.0] C:\Programme\Brother\ControlCenter2\brctrcen.exe /autorun
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Kodak EasyShare Software.lnk = C:\Programme\Kodak\Kodak EasyShare software\bin\EasyShare.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_04\bin\npjpi150_04.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_04\bin\npjpi150_04.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O18 - Filter: text/html - (no CLSID) - (no file)
O18 - Filter: text/plain - (no CLSID) - (no file)
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Brother Popup Suspend service for Resource manager (brmfrmps) - Unknown owner - C:\WINDOWS\system32\Brmfrmps.exe" -service (file missing)
O23 - Service: BrSplService (Brother XP spl Service) - brother Industries Ltd - C:\WINDOWS\system32\brsvc01a.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: kavsvc - Kaspersky Lab - C:\Programme\Kaspersky Anti-Virus\kavsvc.exe
O23 - Service: Kodak Camera Connection Software (KodakCCS) - Eastman Kodak Company - C:\WINDOWS\system32\drivers\KodakCCS.exe
O23 - Service: RadClock - Unknown owner - C:\WINDOWS\system32\RadClock.exe
O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe
O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Programme\Alcohol 120\Alcohol 120\StarWind\StarWindService.exe

mein kasperski erkennt die datei c:/windows/system32/ld9ee6.tmp , welche aber den namen immer ändert (nach reboot).

die datei kann nicht gelöscht werden, auch nicht im abgesicherten modus.
Was soll ich eurer meinung nach tun? bin verzweifelt. hab auch schon cleanup! angewendet...


hoffe, jemand kann mir helfen...danke schonmal im voraus!

#2 Darko

kein Problem , das ist der SpyAxe
http://virus-protect.org/artikel/spyware/spyaxe.html
( schreibe mir bitte, wo du dir das eingefangen hast)

stelle den Cleaner genauso ein, wie hier angegeben:
http://virus-protect.org/cleanup.html

kopiere hier die 4 textdateien (1 Monat vom Datum her genuegt)
http://virus-protect.org/datfindbat.html
Verzeichnis von C:\WINDOWS\system32
Verzeichnis von C:\DOKUME~1\Username\LOKALE~1\Temp
Verzeichnis von C:\WINDOWS
Verzeichnis von C:\
__________
MfG Sabina

rund um die PC-Sicherheit

#3 hier meine datfindbat files



Verzeichnis von C:\WINDOWS\system32

29.12.2005 11:52 5.048 ncompat.tlb
29.12.2005 11:26 5.632 msvol.tlb
29.12.2005 11:26 24.064 ldA424.tmp
29.12.2005 11:26 9.935 hp9EE6.tmp
29.12.2005 11:20 9.844 mssearchnet.exe
29.12.2005 11:20 15.412 nvctrl.exe
28.12.2005 16:26 9.935 hp9C1F.tmp
28.12.2005 13:01 14.604 mscornet.exe
23.12.2005 17:54 1.158 wpa.dbl
09.12.2005 01:21 2.723.680 MRT.exe
01.12.2005 04:32 1.495.040 shdocvw.dll
24.11.2005 18:56 87 ssprs.tgz
24.11.2005 18:56 73 ssprs.dll
24.11.2005 18:56 351 lsprst7.tgz
24.11.2005 18:56 337 lsprst7.dll
24.11.2005 18:53 1.025 clauth1.dll
24.11.2005 18:53 1.025 clauth2.dll
24.11.2005 18:53 1.025 sysprs7.tgz
24.11.2005 18:53 1.025 sysprs7.dll
24.11.2005 01:39 3.016.192 mshtml.dll
24.11.2005 01:39 1.022.464 browseui.dll
10.11.2005 16:07 142.032 FNTCACHE.DAT
05.11.2005 04:35 607.232 urlmon.dll
05.11.2005 04:34 1.056.256 danim.dll
02.11.2005 16:48 53.770 perfc009.dat
02.11.2005 16:48 382.026 perfh009.dat
02.11.2005 16:48 393.086 perfh007.dat
02.11.2005 16:48 64.848 perfc007.dat
02.11.2005 16:48 902.476 PerfStringBackup.INI

Verzeichnis von C:\DOKUME~1\Chris\LOKALE~1\Temp

29.12.2005 11:36 16.384 ~DF582B.tmp
29.12.2005 11:36 512 ~DF4F55.tmp
29.12.2005 11:36 16.384 ~DF4F44.tmp
29.12.2005 11:28 81.920 ~DF807F.tmp


Verzeichnis von C:\WINDOWS

29.12.2005 11:27 261 wiadebug.log
29.12.2005 11:27 0 0.log
29.12.2005 11:27 5.142 ModemLog_Smart Link 56K Modem.txt
29.12.2005 11:26 1.570.601 WindowsUpdate.log
29.12.2005 11:26 50 wiaservc.log
29.12.2005 11:26 2.048 bootstat.dat
29.12.2005 11:25 32.540 SchedLgU.Txt
28.12.2005 15:40 166.568 ntbtlog.txt
28.12.2005 14:28 1.444 WINNT32.LOG
28.12.2005 14:28 555 UPGRADE.TXT
28.12.2005 14:28 212.957 setupact.log
28.12.2005 14:26 47.361 iis6.log
28.12.2005 14:26 66.494 ntdtcsetup.log
28.12.2005 14:26 110.664 comsetup.log
28.12.2005 14:26 123.856 tsoc.log
28.12.2005 14:26 16.945 ocmsn.log
28.12.2005 14:26 1.943 imsins.log
28.12.2005 14:26 160.093 ocgen.log
28.12.2005 14:26 15.514 msgsocm.log
28.12.2005 14:26 316.220 FaxSetup.log
28.12.2005 14:26 984.006 setupapi.log
26.12.2005 20:08 116 NeroDigital.ini
26.12.2005 13:07 608 win.ini
25.12.2005 23:26 1.409 QTFont.for
25.12.2005 23:26 54.156 QTFont.qfn
19.12.2005 08:19 1.393 imsins.BAK
19.12.2005 08:19 11.068 KB910437.log
19.12.2005 08:19 25.537 updspapi.log
19.12.2005 08:19 30.769 KB905915.log
14.12.2005 20:59 20.905 Directx.log
14.12.2005 20:54 100 cdplayer.ini
08.12.2005 16:58 1.559 wmsetup.log
08.12.2005 16:40 167 game.ini
07.12.2005 19:05 1.593 VPNUnInstall.MIF
10.11.2005 05:48 14.507 KB896424.log
08.11.2005 16:31 1.593 VPNInstall.MIF

Verzeichnis von C:\

29.12.2005 11:54 0 sys.txt
29.12.2005 11:54 8.713 system.txt
29.12.2005 11:53 431 systemtemp.txt
29.12.2005 11:52 102.963 system32.txt
29.12.2005 11:26 805.306.368 pagefile.sys
28.12.2005 14:23 1.501 smitfiles.txt

#4 Darko

mit der rechten Maustaste auf den Link klicken und aus dem Auswahlmenü, Ziel speichern unter -> Desktop wählen -> dann erscheint eine mcor.reg auf dem Bildschirm

http://virus-protect.org/reg/mcor.reg

rechtsklick auf den Link --> Ziel speichern unter... --> wähle Desktop - dann erscheint eine spyaxe.reg auf dem Bildschirm.

http://virus-protect.org/reg/spyaxe.reg

---------------------------------------------------------------------

KILLBOX - Pocket KillBox
http://virus-protect.org/killbox.html

Options: Delete on Reboot / Process all in List )--> anhaken
reinkopieren:
und klicke auf das rote Kreuz, wenn gefragt wird, ob "Do you want to reboot? "---- klicke auf "no",und kopiere das nächste rein, erst beim letzten auf "yes"

C:\WINDOWS\system32\ncompat.tlb
C:\WINDOWS\system32\msvol.tlb
C:\WINDOWS\system32\ldA424.tmp
C:\WINDOWS\system32\hp9EE6.tmp
C:\WINDOWS\system32\hp14BE.tmp
C:\WINDOWS\system32\mssearchnet.exe
C:\WINDOWS\system32\nvctrl.exe
C:\WINDOWS\system32\hp9C1F.tmp
C:\WINDOWS\system32\mscornet.exe

starten den PC neu --> in den abgesicherten Modus (F8 druecken, wenn der PC hochfaehrt , waehle abgesicherter Modus, melde dich als Administrator an
und klicke die

mcor.reg
spyaxe.reg

doppelt --> fuege sie mit "ja" oder "yes" der Registry bei

------------------------------------------------------------------------------
öffne das HijackThis -- Button "scan" -- vor den Malware-Eintrag Häkchen setzen -- Button "Fix checked" -- PC neustarten

O2 - BHO: HomepageBHO - {e0103cd4-d1ce-411a-b75b-4fec072867f4} - C:\WINDOWS\system32\hp14BE.tmp

PC neustarten

SmitRem2.8
http://noahdfear.geekstogo.com/click%20counter/click.php?id=1

laden--> in den abgesicherten Modus booten --> öffne smitRem folder --> Doppelklick: RunThis.bat warte, bis der Scan beendet ist (der Bildschirm wird blau werden. das ist normal)

------------------------------------------------------------------------------


deaktiviere die Systemwiederherstellung (XP) (dann aktiviere sie wieder)
http://virus-protect.org/systemwiederherstellung.html

scanne mit Kaspersky und --> loesche dann manuell, was gefunden wird
http://virus-protect.org/onlinescan.html

scanne mit Panda --> loesche dann manuell, was gefunden wird
http://virus-protect.org/onlinescan.html
__________
MfG Sabina

rund um die PC-Sicherheit

#5 ich bin ihn los.


VIELEN VIELEN DANK!!!!!!!!!!!!!!!!!!!!!!!