Spyfalcon eingefangen

#1 Hallo,
ich habe mir Spyfalcon eingefangen. Laut anleitung soll ich einen Thread zu eröffnen um ihn wieder loszuwerden.

#2 Das hast du falsch verstanden, du sollst die Anleitung abarbeiten und wenn du dann noch Probleme hast, sollst du einen neuen Thread eroeffnen, indem du sagstwas noch nicht funktioniert.

Dazu entsprechende Informationen, wie Hijackthis und Datfinbat log und es kann dir geholfen werden....
__________
MfG Ralf
SEO-Spam Hunter

#3 ist schon richtig weil der Purityscan nun noch dazugekommen ist, habe ich es so geschrieben

1.
stelle den CleanUp genauso ein, wie hier angegeben:
http://virus-protect.org/cleanup.html

2.
Kopiere diese 4 Textdateien. Sie sind nach Datum geordnet. (kopiere nur die letzten 3 Monate ab)
http://virus-protect.org/datfindbat.html

3.
Hijackthis
http://virus-protect.org/hjtkurz.html
Lade/entpacke HijackThis in einem Ordner
--> None of the above just start the program --> Save--> Savelog -->es öffnet sich der Editor
nun das KOMPLETTE Log mit rechtem Mausklick abkopieren und ins Forum mit rechtem Mausklick "einfügen"
__________
MfG Sabina

rund um die PC-Sicherheit

#4 Danke, ich versuchs mal

#5 kopiere alle Logs hier ein
__________
MfG Sabina

rund um die PC-Sicherheit

#6 die Logs und hijack ...


Verzeichnis von C:\WINDOWS\system32

22.03.2006 16:59 5.004 ncompat.tlb
22.03.2006 11:18 6.144 interf.tlb
22.03.2006 11:18 31.245 ldE849.tmp
22.03.2006 11:18 33.792 hpE8F3.tmp
21.03.2006 18:51 33.792 hp4A3C.tmp
21.03.2006 18:45 33.792 hp8B23.tmp
21.03.2006 18:41 33.792 hpEBD.tmp
21.03.2006 02:21 4.286 ts.ico
21.03.2006 02:21 10.184 mssearchnet.exe
21.03.2006 02:21 17.176 nvctrl.exe
21.03.2006 02:21 106.496 ginuerep.dll
21.03.2006 02:21 4.286 ot.ico
21.03.2006 02:19 15.577 dfrgsrv.exe
19.03.2006 12:27 2.206 wpa.dbl
06.02.2006 11:31 147.608 FNTCACHE.DAT
17.10.2005 20:58 65.536 QuickTimeVR.qtx
17.10.2005 20:57 49.152 QuickTime.qts
31.05.2005 10:20 79.432 GEARAspi.dll
06.05.2005 17:10 391.330 perfh007.dat
06.05.2005 17:10 380.486 perfh009.dat
06.05.2005 17:10 52.900 perfc009.dat
06.05.2005 17:10 63.778 perfc007.dat
06.05.2005 17:10 897.954 PerfStringBackup.INI
10.03.2005 10:04 662.528 wininet.dll
10.03.2005 10:04 605.696 urlmon.dll
10.03.2005 10:04 3.010.560 mshtml.dll
10.03.2005 10:04 250.880 iepeers.dll
10.03.2005 10:04 96.768 inseng.dll
10.03.2005 10:04 474.112 shlwapi.dll
10.03.2005 10:04 146.432 msrating.dll
10.03.2005 10:04 1.016.832 browseui.dll
10.03.2005 10:04 152.064 cdfview.dll
10.03.2005 10:04 1.483.776 shdocvw.dll
02.03.2005 20:09 56.832 authz.dll
02.03.2005 20:09 291.840 winsrv.dll
02.03.2005 20:09 578.560 user32.dll
02.03.2005 20:06 2.181.632 ntoskrnl.exe
02.03.2005 20:06 2.059.136 ntkrnlpa.exe
02.03.2005 20:06 1.836.416 win32k.sys
01.03.2005 01:11 8.491.008 shell32.dll
24.02.2005 19:34 15.584 spmsg.dll
14.01.2005 10:57 74.752 olecli32.dll
14.01.2005 10:57 1.285.120 ole32.dll
14.01.2005 10:57 395.776 rpcss.dll
14.01.2005 10:57 37.888 olecnv32.dll
07.12.2004 21:33 96.768 srvsvc.dll



Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 805F-8C32

Verzeichnis von C:\DOKUME~1\Mango\LOKALE~1\Temp





Verzeichnis von C:\WINDOWS

22.03.2006 11:24 394.828 WindowsUpdate.log
22.03.2006 11:23 39.331 setupapi.log
22.03.2006 11:22 277 system.ini
22.03.2006 11:22 1.350 win.ini
22.03.2006 11:18 0 0.log
22.03.2006 11:18 159 wiadebug.log
22.03.2006 11:18 2.048 bootstat.dat
22.03.2006 11:17 32.548 SchedLgU.Txt
22.03.2006 11:17 50 wiaservc.log
22.03.2006 11:17 12 bthservsdp.dat
25.02.2006 12:24 177.699 wmsetup.log
12.01.2006 18:01 148.980 ntbtlog.txt
27.12.2005 15:18 649 GEARInstall.log



Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 805F-8C32

Verzeichnis von C:\

22.03.2006 17:05 0 sys.txt
22.03.2006 17:04 8.461 system.txt
22.03.2006 17:03 133 systemtemp.txt
22.03.2006 17:01 103.875 system32.txt
22.03.2006 11:22 211 boot.ini
22.03.2006 11:17 1.207.959.552 pagefile.sys
04.04.2005 19:38 10.908.549 setup.zip



Logfile of HijackThis v1.99.1
Scan saved at 17:11:33, on 22.03.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\Programme\VeriSign\NAVI\naviagent.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\mssearchnet.exe
C:\WINDOWS\system32\nvctrl.exe
C:\Programme\D-Tools\daemon.exe
C:\WINDOWS\Logi_MwX.Exe
C:\WINDOWS\system32\rundll32.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\Programme\SANSUN\mouse_2k.exe
C:\Programme\iTunes\iTunesHelper.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\Gemeinsame Dateien\Mobipocket Shared\webcomp.exe
C:\Programme\Microsoft ActiveSync\WCESCOMM.EXE
C:\WINDOWS\system32\devldr32.exe
C:\Programme\iPod\bin\iPodService.exe
C:\Programme\SpyFalcon\SpyFalcon.exe
C:\Programme\SpyFalcon\SpyFalcon.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Microsoft Office\Office10\OUTLOOK.EXE
C:\Programme\Microsoft Office\Office10\WINWORD.EXE
C:\Dokumente und Einstellungen\Mango\Desktop\hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = proxy.btx.dtag.de:80
R3 - URLSearchHook: i-Nav IDN SearchHook - {CE000994-A58C-4441-8938-744CD72AB27F} - C:\Programme\VeriSign\i-Nav\i-nav_4_2_1.dll (file missing)
O2 - BHO: Nothing - {4da4616d-7e6e-4fd9-a2d5-b6c535733e22} - C:\WINDOWS\system32\hpE8F3.tmp
O2 - BHO: i-Nav IDN Resolver - {CE000992-A58C-4441-8938-744CD72AB27F} - C:\Programme\VeriSign\i-Nav\i-nav_4_2_1.dll (file missing)
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Programme\D-Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [Marc 8 Midi Uninstaller] C:\Dokumente und Einstellungen\Mango\Desktop\Neuer Ordner (2)\m8m_nt5_ui.exe /files
O4 - HKLM\..\Run: [Runmarc8mManager] marc8mnt.exe
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - HKLM\..\Run: [SANSUNMouse ] C:\Programme\SANSUN\mouse_2k.exe
O4 - HKLM\..\Run: [iTunesHelper] "C:\Programme\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [SpyFalcon] C:\Programme\SpyFalcon\SpyFalcon.exe /h
O4 - HKCU\..\Run: [Mobipocket Web Companion] C:\Programme\Gemeinsame Dateien\Mobipocket Shared\webcomp.exe -m
O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Programme\Microsoft ActiveSync\WCESCOMM.EXE"
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: PhatNotes Professional.lnk = C:\Programme\PhatWare\PhatNotes Professional\winnotes.exe
O8 - Extra context menu item: &Google-Suche - res://C:\Programme\Google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: &Ins Deutsche übersetzen - res://C:\Programme\Google\GoogleToolbar1.dll/cmwordtrans.html
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://C:\Programme\Google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Verweisseiten - res://C:\Programme\Google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Ähnliche Seiten - res://C:\Programme\Google\GoogleToolbar1.dll/cmsimilar.html
O9 - Extra button: Mobilen Favoriten erstellen - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\Programme\Microsoft ActiveSync\inetrepl.dll
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Programme\Microsoft ActiveSync\inetrepl.dll
O9 - Extra 'Tools' menuitem: Mobilen Favoriten erstellen... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Programme\Microsoft ActiveSync\inetrepl.dll
O9 - Extra button: Hilfe zu i-Nav - {CE000992-A58C-4441-8938-744CD72AB27F} - http://idn.verisign-grs.com/plug-in/support/index.jsp (file missing)
O9 - Extra 'Tools' menuitem: Hilfe zu i-Nav - {CE000992-A58C-4441-8938-744CD72AB27F} - http://idn.verisign-grs.com/plug-in/support/index.jsp (file missing)
O9 - Extra button: (no name) - {CE000996-A58C-4441-8938-744CD72AB27F} - C:\Programme\VeriSign\i-Nav\i-nav_4_2_1.dll (file missing)
O9 - Extra 'Tools' menuitem: Optionen für i-Nav - {CE000996-A58C-4441-8938-744CD72AB27F} - C:\Programme\VeriSign\i-Nav\i-nav_4_2_1.dll (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {4C39376E-FA9D-4349-BACC-D305C1750EF3} (EPUImageControl Class) - http://tools.ebayimg.com/eps/wl/activex/EPUWALControl_v1-0-3-12.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1094637505438
O16 - DPF: {99802379-7362-40E2-9D28-8A3B9AF880B7} - http://hotsearchbar.com/toolbar2/winhot32.cab
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: iPodService - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: VeriSign Updater (navi) - VeriSign, Inc. - C:\Programme\VeriSign\NAVI\naviagent.exe
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

#7 naklar

spyfalcon
http://virus-protect.org/artikel/spyware/spyfalcon.html

es ist kein PurtyScan zu sehen

----------------------------------------------------------------------
1.
Lade echo.zip --> enpacken--> klicke echo.bat --> der Texteditor wird sich oeffnen--> Text abkopieren
http://virus-protect.org/bat/echo.zip

2.
KILLBOX - Pocket KillBox
http://virus-protect.org/killbox.html

Options: Delete on Reboot --> anhaken
und klicke auf das rote Kreuz, wenn gefragt wird, ob "Do you want to reboot? "---- klicke auf "no",und kopiere das nächste rein, erst beim letzten auf "yes"
reinkopieren: ......(eins nach dem anderen...von hier aus)

C:\WINDOWS\system32\ncompat.tlb
C:\WINDOWS\system32\interf.tlb
C:\WINDOWS\system32\ldE849.tmp
C:\WINDOWS\system32\hpE8F3.tmp
C:\WINDOWS\system32\hp4A3C.tmp
C:\WINDOWS\system32\hp8B23.tmp
C:\WINDOWS\system32\hpEBD.tmp
C:\WINDOWS\system32\ts.ico
C:\WINDOWS\system32\mssearchnet.exe
C:\WINDOWS\system32\nvctrl.exe
C:\WINDOWS\system32\ginuerep.dll
C:\WINDOWS\system32\ot.ico
C:\WINDOWS\Downloaded Program Files\winhot32.inf
C:\WINDOWS\system32\dfrgsrv.exe

PC neustarten

nach dem Neustart suche: C:\!KillBox
und loesche alle dort befindlichen Dateien manuell

3.
öffne das HijackThis -- Button "scan" -- vor die Malware-Einträge Häkchen setzen -- Button "Fix checked" -- PC neustarten

O2 - BHO: Nothing - {4da4616d-7e6e-4fd9-a2d5-b6c535733e22} - C:\WINDOWS\system32\hpE8F3.tmp
O4 - HKLM\..\Run: [Marc 8 Midi Uninstaller] C:\Dokumente und Einstellungen\Mango\Desktop\Neuer Ordner (2)\m8m_nt5_ui.exe /files
O4 - HKLM\..\Run: [SpyFalcon] C:\Programme\SpyFalcon\SpyFalcon.exe /h
O16 - DPF: {99802379-7362-40E2-9D28-8A3B9AF880B7} - http://hotsearchbar.com/toolbar2/winhot32.cab

PC neustarten

4.
arbeite bitte alles ab, was hier steht. Dann berichte
http://virus-protect.org/artikel/bfu/spyfalcon_bfu.html
__________
MfG Sabina

rund um die PC-Sicherheit

#8 was mache ich denn mit dem echotext ??

#9 nun...eigentlich hier kopieren

Zitat

entpacken--> klicke echo.bat --> der Texteditor wird sich oeffnen--> Text abkopieren

__________
MfG Sabina

rund um die PC-Sicherheit

#10 10)DPF????
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 805F-8C32

Verzeichnis von C:\WINDOWS\Downloaded Program Files

14.03.2004 15:10 <DIR> .
14.03.2004 15:10 <DIR> ..
14.10.1997 18:52 697 DirectAnimation Java Classes.osd
25.08.2003 18:12 1.096 iuctl.inf
20.01.2000 15:25 1.162 Microsoft XML Parser for Java.osd
08.12.2003 13:58 3.759 swflash.inf
03.08.2004 14:51 293 wuweb.inf
22.08.2003 21:10 226 opuc.inf
26.04.2004 16:45 387 winhot32.inf
13.08.2004 18:10 894.544 EPUWALcontrol.dll
13.08.2004 18:02 539 EPUWALcontrol.inf
22.10.2004 14:35 619 default.inf
09.10.2003 10:32 144 QTPlugin.inf
11 Datei(en) 903.466 Bytes

Anzahl der angezeigten Dateien:
11 Datei(en) 903.466 Bytes
2 Verzeichnis(se), 3.120.594.944 Bytes frei

#11 gut, nun arbeite alles weitere ab, und berichte, wenn was nicht so klappt, wie ich es geschrieben habe
__________
MfG Sabina

rund um die PC-Sicherheit

#12 Holla,
weg isser.
Ich hab vor dem Neustart nach Hijack noch deinstalliert.

Tausend Dank für die Hilfe! Du hast einen Wunsch frei.

bis bald

#13 ja...aber deinstallieren reicht nicht, du musst auch alles mit der Killbox loeschen, was ich geschrieben hatte und mit smitrem und smitfraud.fix scannen (siehe die Seite, die ich noch gepostet hatte)
Denn diese 2 Tools beseitigen die Eintraege in der Registry und andere Dateien, die ich in der datfindbat nicht sehen/nicht zum loeschen angeben kann.
__________
MfG Sabina

rund um die PC-Sicherheit

#14 das nimmt ja kein Ende. Wow, bin gerade mit Kaspersky dran und es tauchen immer noch irgendwelche Viren auf ....

bis bald

#15 wenn du mit smitrem und smitfraud.fix gescannt haettest, waere das system wahrscheinlich sauber.
dennoch..poste hier bitte die scanreporte von den online-virenscannern , denn man muss dann alles manuell entfernen, was angezeigt wird.
__________
MfG Sabina

rund um die PC-Sicherheit