SpyAxe Problem bei Beseitigung

#1 Hallo
Ich habe mir ebenfalls dieses SpyAxe eingefangen.
Soweit so gut. Es ist hier ja super erklärt wie man es wieder los wird.
Habe alles bis -HijackThis.exe- erledigt.
Hier sind meine Daten.
Was mache ich nun weiter?
Hier kommt meine Ratlosigkeit durch.




Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 587F-B91A

Verzeichnis von C:\WINDOWS\system32

04.01.2006 09:24 5.064 ncompat.tlb
04.01.2006 09:24 39.291 nvapps.xml
04.01.2006 09:24 5.632 msvol.tlb
04.01.2006 09:24 10.013 hp832A.tmp
04.01.2006 09:24 24.064 ld8145.tmp
03.01.2006 23:07 2.278 wpa.dbl
03.01.2006 21:23 40.108 perfc009.dat
03.01.2006 21:23 311.912 perfh009.dat
03.01.2006 21:23 48.276 perfc007.dat
03.01.2006 21:23 316.942 perfh007.dat
03.01.2006 21:23 724.660 PerfStringBackup.INI
03.01.2006 21:21 107.808 FNTCACHE.DAT
03.01.2006 20:08 253 spupdwxp.log
03.01.2006 19:30 9.792 mssearchnet.exe
03.01.2006 19:30 15.732 nvctrl.exe
01.01.2006 17:49 102.400 wbeconm.dll
01.01.2006 17:49 4.286 ts.ico
01.01.2006 17:49 4.286 ot.ico
01.01.2006 17:47 14.656 mscornet.exe
01.01.2006 03:47 3.567 vzncg.txt
01.01.2006 02:06 197.761 rfrmq.txt
28.12.2005 11:20 65 svcp.csv
28.12.2005 11:20 4 winsub.xml
26.12.2005 15:19 16.832 amcompat.tlb
26.12.2005 15:19 23.392 nscompat.tlb
26.12.2005 14:31 6.656 haspvdd.dll
26.12.2005 14:31 383 haspdos.sys
26.12.2005 14:31 2.996 config.nt
26.12.2005 14:31 2.998 config.hsp
23.12.2005 08:24 25.065 wmpscheme.xml
23.12.2005 08:21 261 $winnt$.inf
23.12.2005 08:16 488 WindowsLogon.manifest
23.12.2005 08:16 488 logonui.exe.manifest
23.12.2005 08:15 749 wuaucpl.cpl.manifest
23.12.2005 08:15 749 ncpa.cpl.manifest
23.12.2005 08:15 749 nwc.cpl.manifest
23.12.2005 08:15 749 cdplayer.exe.manifest
23.12.2005 08:15 749 sapi.cpl.manifest
23.12.2005 08:13 21.740 emptyregdb.dat
23.12.2005 08:10 0 h323log.txt
08.12.2005 16:25 2.723.680 MRT.exe
01.12.2005 04:31 1.492.480 shdocvw.dll
24.11.2005 00:58 3.013.632 mshtml.dll
24.11.2005 00:58 1.022.464 browseui.dll
05.11.2005 04:16 606.208 urlmon.dll
05.11.2005 04:16 1.056.256 danim.dll


Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 587F-B91A

Verzeichnis von C:\DOKUME~1\Trecki\LOKALE~1\Temp

04.01.2006 09:26 512 ~DF2015.tmp
04.01.2006 09:26 512 ~DF1ADB.tmp
04.01.2006 09:25 0 sa3.tmp
04.01.2006 09:24 0 sa1.tmp


Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 587F-B91A

Verzeichnis von C:\WINDOWS

04.01.2006 09:26 1.768.756 WindowsUpdate.log
04.01.2006 09:25 0 0.log
04.01.2006 09:25 50 wiaservc.log
04.01.2006 09:25 159 wiadebug.log
04.01.2006 09:24 2.048 bootstat.dat
04.01.2006 09:23 28.300 SchedLgU.Txt
04.01.2006 08:14 1.018.885 setupapi.log
04.01.2006 01:17 44.683 wmsetup.log
03.01.2006 22:27 827.606 ntbtlog.txt
03.01.2006 21:19 18.881 ocmsn.log
03.01.2006 21:19 1.355 imsins.log
03.01.2006 21:19 80.321 ntdtcsetup.log
03.01.2006 21:19 145.738 tsoc.log
03.01.2006 21:19 132.267 comsetup.log
03.01.2006 21:19 54.648 iis6.log
03.01.2006 21:19 23.575 KB899587.log
03.01.2006 21:19 189.155 ocgen.log
03.01.2006 21:19 18.919 msgsocm.log
03.01.2006 21:19 361.286 FaxSetup.log
03.01.2006 21:19 14.146 updspapi.log
03.01.2006 21:19 1.355 imsins.BAK
03.01.2006 21:19 22.698 KB896422.log
03.01.2006 21:19 22.132 KB885835.log
03.01.2006 21:19 21.350 KB885836.log
03.01.2006 21:19 21.701 KB885250.log
03.01.2006 21:19 22.387 KB901017.log
03.01.2006 21:19 22.715 KB899591.log
03.01.2006 21:19 22.934 KB896424.log
03.01.2006 21:18 22.319 KB893756.log
03.01.2006 21:18 21.669 KB896423.log
03.01.2006 21:18 19.876 KB873339.log
03.01.2006 21:18 19.943 KB888113.log
03.01.2006 21:18 19.951 KB887742.log
03.01.2006 21:18 19.875 KB887472.log
03.01.2006 21:18 20.966 KB896358.log
03.01.2006 21:18 20.840 KB910437.log
03.01.2006 21:18 22.881 KB905915.log
03.01.2006 21:17 16.838 KB891781.log
03.01.2006 21:17 22.144 KB902400.log
03.01.2006 21:17 14.088 KB890046.log
03.01.2006 21:17 13.475 KB893066.log
03.01.2006 21:17 13.824 KB905414.log
03.01.2006 21:17 13.066 KB901214.log
03.01.2006 21:16 11.560 KB888302.log
03.01.2006 21:16 13.314 KB900725.log
03.01.2006 21:16 9.829 KB886185.log
03.01.2006 21:16 10.335 KB904706.log
03.01.2006 21:16 10.949 KB905749.log
03.01.2006 21:16 9.744 KB896428.log
03.01.2006 21:16 10.354 KB894391.log
03.01.2006 21:16 9.856 KB890859.log
03.01.2006 20:44 14.040 KB898461.log
03.01.2006 20:44 12.638 KB893803v2.log
03.01.2006 20:12 58.576 spupdsvc.log
03.01.2006 20:11 592 DtcInstall.log
03.01.2006 20:11 316.640 WMSysPr9.prx
03.01.2006 20:09 1.510 OEWABLog.txt
03.01.2006 20:08 737.549 setuplog.txt
03.01.2006 20:04 794.260 svcpack.log
03.01.2006 20:02 154.920 setupact.log
03.01.2006 20:02 400 cmsetacl.log
03.01.2006 20:02 1.600 sessmgr.setup.log
03.01.2006 19:47 1.122 medctroc.Log
03.01.2006 19:27 29.689 KB888162.log
03.01.2006 19:24 27.414 xpsp1hfm.log
03.01.2006 19:24 35.590 KB835732.log
03.01.2006 19:24 30.471 Q810833.log
03.01.2006 19:23 23.766 KB834707-IE6-20040929.115007.log
03.01.2006 19:22 22.938 KB828741.log
03.01.2006 19:22 13.163 Q329834.log
03.01.2006 19:22 18.646 KB823559.log
03.01.2006 19:21 18.230 Q817606.log
03.01.2006 19:21 17.786 Q329441.log
03.01.2006 19:20 14.444 Q810577.log
03.01.2006 19:20 11.573 Q811630.log
03.01.2006 19:20 8.060 Q329170.log
03.01.2006 19:19 2.156 Q329115.log
03.01.2006 19:19 1.795 Q329390.log
03.01.2006 19:19 1.752 Q323255.log
03.01.2006 19:19 1.116 Q329048.log
03.01.2006 14:40 5.708 KB842773.log
26.12.2005 15:20 234 wmsetup10.log
26.12.2005 15:19 503 win.ini
26.12.2005 15:19 299.552 WMSysPrx.prx
26.12.2005 14:58 400 ODBC.INI
26.12.2005 14:58 4.335 ODBCINST.INI
26.12.2005 03:03 1.999 desktop.html
24.12.2005 06:32 13.581 ovvrx.txt
23.12.2005 17:01 7.680 Thumbs.db
23.12.2005 13:14 197.761 zwyku.txt
23.12.2005 08:22 8.192 REGLOCS.OLD
23.12.2005 08:17 0 control.ini
23.12.2005 08:16 240 Windows Update.log
23.12.2005 08:15 749 WindowsShell.Manifest
23.12.2005 08:13 36 vb.ini
23.12.2005 08:13 37 vbaddin.ini
23.12.2005 08:08 0 Sti_Trace.log
23.12.2005 08:04 1.348 regopt.log
23.12.2005 08:04 231 system.ini
23.12.2005 08:03 0 setuperr.log
17.12.2005 12:54 13.581 zeyyn.log
11.12.2005 15:49 707 _default(3).pif
07.12.2005 13:36 17.062 Kaffeetasse.bmp
07.12.2005 13:36 26.582 Granit.bmp
07.12.2005 13:19 3.567 cquik.dat
05.12.2005 00:00 17.362 Rhododendron.bmp
05.12.2005 00:00 65.954 Pr„riewind.bmp
04.12.2005 23:39 65.978 Seifenblase.bmp
02.12.2005 01:10 48.680 winnt256.bmp
01.12.2005 20:11 707 _default(4).pif
29.11.2005 19:03 707 _default(2).pif


Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 587F-B91A

Verzeichnis von C:\

04.01.2006 09:27 0 sys.txt
04.01.2006 09:27 7.205 system.txt
04.01.2006 09:26 432 systemtemp.txt
04.01.2006 09:26 104.949 system32.txt
04.01.2006 09:24 805.306.368 pagefile.sys
03.01.2006 20:02 211 boot.ini
03.01.2006 19:53 47.564 NTDETECT.COM
03.01.2006 17:00 33.280 Thumbs.db
28.12.2005 11:19 5.636 q16357.exe
23.12.2005 10:06 251.184 ntldr
23.12.2005 08:17 0 AUTOEXEC.BAT
23.12.2005 08:17 0 CONFIG.SYS
01.08.2004 23:29 5.790 CLDMA.LOG
25.07.2004 15:27 0 MSDOS.SYS
25.07.2004 15:27 0 IO.SYS
08.10.2001 12:17 442.368 tempsetup.exe
18.08.2001 13:00 4.952 bootfont.bin



Logfile of HijackThis v1.97.7
Scan saved at 09:28:07, on 04.01.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\mssearchnet.exe
C:\WINDOWS\system32\nvctrl.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\AVPersonal\AVSched32.EXE
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Microsoft Office\Office\WINWORD.EXE
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\wpabaln.exe
C:\Dokumente und Einstellungen\Trecki\Desktop\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.microsoft.com/isapi/redir.dll?prd={SUB_PRD}&clcid={SUB_CLSID}&pver={SUB_PVER}&ar=home
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
O2 - BHO: (no name) - {e0103cd4-d1ce-411a-b75b-4fec072867f4} - C:\WINDOWS\system32\hp832A.tmp
O3 - Toolbar: FlashGet Bar - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - C:\PROGRA~1\FlashGet\fgiebar.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [AVSCHED32] C:\Programme\AVPersonal\AVSched32.EXE /min
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O8 - Extra context menu item: Alles mit FlashGet laden - C:\PROGRA~1\FlashGet\jc_all.htm
O8 - Extra context menu item: Mit FlashGet laden - C:\PROGRA~1\FlashGet\jc_link.htm
O12 - Plugin for .pdf: C:\Programme\Internet Explorer\PLUGINS\nppdf32.dll
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/downloads/kws/kavwebscan_unicode.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab


Wäre nett wenn mir jemand weiterhelfen könnte.

Vielen Dang
Gruß Trecki (der langsam verzweifelt)

#2 Trecki

Oben auf der Seite --> auf Durchsuchen klicken --> Datei aussuchen --> Doppelklick auf die zu prüfende Datei --> klick auf Submit... jetzt abwarten --> kopiere das Ergebnis in das Sicherheitsforum
http://www.virustotal.com/flash/index_en.html

C:\WINDOWS\system32\haspvdd.dll
C:\WINDOWS\system32\haspdos.sys
---------------------------------------------------------------------------

mit der rechten Maustaste auf den Link klicken und aus dem Auswahlmenü, Ziel speichern unter -> Desktop wählen -> dann erscheint eine mcor.reg auf dem Bildschirm

http://virus-protect.org/reg/mcor.reg

rechtsklick auf den Link --> Ziel speichern unter... --> wähle Desktop - dann erscheint eine spyaxe.reg auf dem Bildschirm.

http://virus-protect.org/reg/spyaxe.reg

------------------------------------------------------------------------------
öffne das HijackThis-- Button "scan" -- vor die Malware-Einträge Häkchen setzen -- Button "Fix checked"

O2 - BHO: (no name) - {e0103cd4-d1ce-411a-b75b-4fec072867f4} - C:\WINDOWS\system32\hp832A.tmp

------------------------------------------------------
KILLBOX - Pocket KillBox
http://virus-protect.org/killbox.html

Options: Delete on Reboot / Process all in List )--> anhaken
reinkopieren:
und klicke auf das rote Kreuz, wenn gefragt wird, ob "Do you want to reboot? "---- klicke auf "no",und kopiere das nächste rein, erst beim letzten auf "yes"

C:\WINDOWS\system32\ncompat.tlb
C:\WINDOWS\system32\nvapps.xml
C:\WINDOWS\system32\msvol.tlb
C:\WINDOWS\system32\hp832A.tmp
C:\WINDOWS\system32\ld8145.tmp
C:\WINDOWS\system32\spupdwxp.log
C:\WINDOWS\system32\mssearchnet.exe
C:\WINDOWS\system32\nvctrl.exe
C:\WINDOWS\system32\wbeconm.dll
C:\WINDOWS\system32\ts.ico
C:\WINDOWS\system32\ot.ico
C:\DOKUME~1\Trecki\LOKALE~1\Temp\sa3.tmp
C:\DOKUME~1\Trecki\LOKALE~1\Temp\sa1.tmp
C:\WINDOWS\desktop.html
C:\WINDOWS\system32\mscornet.exe
C:\WINDOWS\system32\vzncg.txt
C:\WINDOWS\system32\rfrmq.txt
C:\q16357.exe
C:\tempsetup.exe
C:\WINDOWS\zeyyn.log
C:\WINDOWS\ _default(3).pif
C:\WINDOWS\Kaffeetasse.bmp
C:\WINDOWS\Granit.bmp
C:\WINDOWS\cquik.dat
C:\WINDOWS\Rhododendron.bmp
C:\WINDOWS\Pr„riewind.bmp
C:\WINDOWS\Seifenblase.bmp
C:\WINDOWS\winnt256.bmp
C:\WINDOWS\_default(4).pif
C:\WINDOWS\_default(2).pif

starten den PC neu --> in den abgesicherten Modus (F8 druecken, wenn der PC hochfaehrt , waehle abgesicherter Modus, melde dich als Administrator an
und klicke die

mcor.reg
spyaxe.reg

doppelt --> fuege sie mit "ja" oder "yes" der Registry bei

----------------------------------------------------------------------------------

SmitRem2.8
http://noahdfear.geekstogo.com/click%20counter/click.php?id=1

laden--> in den abgesicherten Modus booten --> öffne smitRem folder --> Doppelklick: RunThis.bat warte, bis der Scan beendet ist (der Bildschirm wird blau werden. das ist normal)


loesche alle Streams mit ADSSpy
http://virus-protect.org/artikel/tools/ADSSpy.exe
--------------------------------------------------------------------------
deaktiviere die Systemwiederherstellung (XP) (dann aktiviere sie wieder)
http://virus-protect.org/systemwiederherstellung.html

scanne mit Kaspersky und etrust --> loesche dann manuell, was gefunden wird
http://virus-protect.org/onlinescan.html

scanne mit Panda --> loesche dann manuell, was gefunden wird
http://virus-protect.org/onlinescan.html
__________
MfG Sabina

rund um die PC-Sicherheit

#3 Hallo Sabina
als ich deine Antwort gesehen habe dachte ich nur, Sch**** das schaffst du nie.
Ich mußte mich aber eines besseren belehren.

Es hat funktioniert.

Ich habe wieder einen sauberen PC. Hat zwar gedauert aber Geduld ist ja bekanntlich nicht die Stärke der Menschen.

Vielen Dank für deine Hilfe. Es ist mir zwar völlig unverständlich wie man aus den Angaben oben das was du geschrieben hast herauslesen kann, aber es hat geklappt.
Bis letzte Woche dachte ich eigentlich son bißchen Ahnung von PCs zu haben aber dem war wohl nicht so. Man lernt halt nie aus.

Nochmals Vielen Dank

Gruß Trecki (der jetzt nicht mehr verzweifelt ist)