uweru

französ.Tool SmitfraudFix --> ich hab es nur einmal anwenden lassen bisher (nicht hier)...aber ich mache mich mal schlau...ich weiss ungefaehr, wo du das geladen hast....) Die scheinen sehr rigeros alle Favoriten loeschen zu lassen... das ist nicht in Ordnung...sie sind wohl alle futsch....

wende CleanUp an
http://virus-protect.net/cleanup.html

so sollte geloescht werden:
C:\Dokumente und Einstellungen\User\Lokale Einstellungen\Temp\saB6.exe

gehe in die Registry
start-->Ausfuehren--> regedit

[HKEY_USERS\S-1-5-21-4113303836-3057704224-645757453-500\Software\Microsoft\Windows\CurrentVersion\Expl orer\MenuOrder\Start Menu2\Programs\SpyAxe]<--loeschen

bearbeiten--> suchen--> SpyAxe --> loesche alles, was noch angezeigt wird

SmitRem2.8
http://noahdfear.geekstogo.com/click...click.php?id=1

öffne smitRem folder,Doppelklick: RunThis.bat
warte, bis der Scan beendet ist (der Bildschirm wird blau werden. das ist normal)
suche smitfiles.txt und kopiere die Textdatei in den Thread (falls du einen im Sicherheitsforum eroeffnet hast)

SpyAxeFix.exe
http://noahdfear.geekstogo.com/click...click.php?id=8

-->> schliesse alle anderen Programme
-->> doppeltklicken SpyAxeFix.exe
-->> SpyAxeFix.bat
-->> wenn deas Tool abgearbeitet ist, wird der PC neustarten

kopiere die spyaxe.txt ab

Hallo Sabina,
hier zunächst smitfiles.txt


smitRem © log file
version 2.8

by noahdfear


Microsoft Windows XP [Version 5.1.2600]

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

checking for ShudderLTD key

ShudderLTD key not present!

checking for PSGuard.com key


PSGuard.com key not present!

spyaxe uninstaller NOT present
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

Existing Pre-run Files


~~~ Program Files ~~~



~~~ Shortcuts ~~~



~~~ Favorites ~~~



~~~ system32 folder ~~~



~~~ Icons in System32 ~~~



~~~ Windows directory ~~~



~~~ Drive root ~~~


~~~ Miscellaneous Files/folders ~~~




~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~



Command Line Process Viewer/Killer/Suspender for Windows NT/2000/XP V2.03
Copyright(C) 2002-2003 Craig.Peacock@beyondlogic.org
Killing PID 1492 'explorer.exe'

Starting registry repairs

Deleting files


Remaining Post-run Files


~~~ Program Files ~~~



~~~ Shortcuts ~~~



~~~ Favorites ~~~



~~~ system32 folder ~~~



~~~ Icons in System32 ~~~



~~~ Windows directory ~~~



~~~ Drive root ~~~



~~~ Miscellaneous Files/folders ~~~




~~~ Wininet.dll ~~~

CLEAN!

Hier die spyaxe.txt

SpyAxeFix © by noahdfear


Microsoft Windows XP [Version 5.1.2600]


Command Line Process Viewer/Killer/Suspender for Windows NT/2000/XP V2.03
Copyright(C) 2002-2003 Craig.Peacock@beyondlogic.org
Killing PID 3916 'explorer.exe'
Killing PID 3916 'explorer.exe'


Command Line Process Viewer/Killer/Suspender for Windows NT/2000/XP V2.03
Copyright(C) 2002-2003 Craig.Peacock@beyondlogic.org
Error, Cannot find a process with an image name of rundll32.exe


REGEDIT4

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
"{438755C2-A8BA-11D1-B96B-00A0C90312E1}"="Browseui preloader"
"{8C7461EF-2B13-11d2-BE35-3078302C2030}"="Component Categories cache daemon"


Hiernach habe ich zur Kontrolle noch einmal den Registrierungs-Editor mit String 'spyaxe' geöffnet, der nach wie vor folgende "Werte" zeigt (Ziffern statt "Namen"), einen Wert sab6 habe ich probehalber gelöscht, hat geklappt: (es fällt auf, dass 'spybot' im string sypaxe gefunden wird, obwohl ich spybot noch nicht wieder installiert habe; Kaspersky hängt sich nach wie vor auf).

spyaxe.txt, spyaxe, smitfiles.txt, msvol, spybot, sberet, sa4c, online security center, svchosts.dll, sa1, svchost, smitfraud, nsag, c7c580bbf700, nvcontrol, stera, usbn, svchost.dll, win-eto.com, hpa75b, mssearchnet, sbrecovery.reg

Unmittelbar nach den "Maßnahmen" berichtete RegSrch, dass von den 11 Eintragungen keiner mehr da war. Jetzt, 2 Stunden später, sind 4 doch wieder vorhanden:

[HKEY_USERS\S-1-5-21-4113303836-3057704224-645757453-500\Software\Microsoft\Search Assistant\ACMru\5603]
"000"="spyaxe.txt"

[HKEY_USERS\S-1-5-21-4113303836-3057704224-645757453-500\Software\Microsoft\Search Assistant\ACMru\5603]
"001"="spyaxe"

[HKEY_USERS\S-1-5-21-4113303836-3057704224-645757453-500\Software\Microsoft\Windows\ShellNoRoam\MUICache]
"C:\\DOKUMENTE UND EINSTELLUNGEN\\ADMINISTRATOR\\DESKTOP\\SpyAxeFix.exe"="SpyAxeFix"

[HKEY_USERS\S-1-5-21-4113303836-3057704224-645757453-500\Software\Microsoft\Windows\ShellNoRoam\MUICache]
"C:\\Dokumente und Einstellungen\\Administrator\\Desktop\\SpyAxeFix\\SpyAxeFix.bat"="SpyAxeFix"


Ich habe alles ohne Abschaltung der "Systemwiederherstellung" durchgeführt (vergl. rooky2005 vorvorige Seite (8)).

Weitere Maßnahmen?
Danke, Uwe

uweru

es muss geben:
SpyAxeFix.bat
SpyAxeFix.exe

ueberpruefe und loesch es.

dann:kopiere die 4 Textdateien (1 Monat vom Datum her genuegt)
http://virus-protect.net/datfindbat.html

Hallo Sabina,

SpyAxeFix.bat und .exe sind jetzt gelöscht.
Hier die 4 Dateien

1)
Datentr„ger in Laufwerk C: ist System
Volumeseriennummer: A025-9EC6

Verzeichnis von C:\WINDOWS\system32

09.12.2005 08:53 1.170 wpa.dbl
29.11.2005 09:41 52.518.653 kavsvc.dmp
29.11.2005 09:40 192 kavsvc.exception.log
10.11.2005 11:07 246.312 FNTCACHE.DAT
04.11.2005 16:27 534.280 LegitCheckControl.DLL
02.11.2005 06:34 2.377.568 MRT.exe


2. (keine Einträge vor 11.12.05)
Datentr„ger in Laufwerk C: ist System
Volumeseriennummer: A025-9EC6

Verzeichnis von C:\DOKUME~1\ADMINI~1\LOKALE~1\Temp

11.12.2005 20:11 816 jusched.log
11.12.2005 17:08 416 java_install_reg.log
11.12.2005 16:49 49.152 ~DF69B9.tmp
11.12.2005 16:00 49.152 ~DF6CC8.tmp
4 Datei(en) 99.536 Bytes
0 Verzeichnis(se), 5.212.348.416 Bytes frei


3.
Datentr„ger in Laufwerk C: ist System
Volumeseriennummer: A025-9EC6

Verzeichnis von C:\WINDOWS

11.12.2005 20:14 1.940.946 WindowsUpdate.log
11.12.2005 20:13 0 0.log
11.12.2005 20:11 2.048 bootstat.dat
11.12.2005 20:10 32.642 SchedLgU.Txt
11.12.2005 14:46 208.862 setupact.log
09.12.2005 17:17 265.020 ntbtlog.txt
09.12.2005 13:41 516.029 setupapi.log
08.12.2005 08:36 38.264 INSTALL.LOG
08.12.2005 08:36 42 ib.ini
07.12.2005 21:40 216 wiadebug.log
07.12.2005 20:01 50 wiaservc.log
05.12.2005 11:50 718 wincmd.ini
29.11.2005 16:02 54.156 QTFont.qfn
29.11.2005 13:42 116 NeroDigital.ini
17.11.2005 23:12 533.504 opuc.dll
10.11.2005 16:49 1.409 QTFont.for
10.11.2005 16:04 16.730 KB896424.log
10.11.2005 11:01 413.380 iis6.log
10.11.2005 11:01 1.393 imsins.log
10.11.2005 11:01 158.294 tsoc.log
10.11.2005 11:01 15.678 tabletoc.log
10.11.2005 11:01 72.324 ntdtcsetup.log
10.11.2005 11:01 120.593 comsetup.log
10.11.2005 11:01 18.578 ocmsn.log
10.11.2005 11:01 54.458 netfxocm.log
10.11.2005 11:01 23.694 medctroc.Log
10.11.2005 11:01 169.695 ocgen.log
10.11.2005 11:01 16.836 msgsocm.log
10.11.2005 11:01 325.576 FaxSetup.log
10.11.2005 11:01 110.966 msmqinst.log
10.11.2005 11:01 21.017 updspapi.log


4.
Datentr„ger in Laufwerk C: ist System
Volumeseriennummer: A025-9EC6

Verzeichnis von C:\

11.12.2005 20:22 0 sys.txt
11.12.2005 20:21 8.284 system.txt
11.12.2005 20:20 444 systemtemp.txt
11.12.2005 20:18 95.668 system32.txt
11.12.2005 20:11 536.399.872 hiberfil.sys
11.12.2005 20:11 402.653.184 pagefile.sys
11.12.2005 14:45 1.243 smitfiles.txt
11.12.2005 09:01 0 ~GLHTTP1.TMP
10.12.2005 14:24 7.669 rapport.txt
04.04.2005 06:24 0 IO.SYS

Danke. Uwe

hi laute,

ich bin auch "infected"!
hab mir schon ne menge threads durchgelesen, spyaxe deinstalliert, aber ich kommme einfach nicht weiter..

Ich habe einfach keine Ahnung von HijackThis und dem ganzen anderen Kram (Regedit usw. usw.)

benutzte Norton antivirus, mozilla, wollte onlinescanns machen aber der will immer das ich IE5.0 benutzte.

auch die Anleitung --> http://virus-protect.net/artikel/spyware/spyaxe1.html

hat mir irgendwie nicht wirklioch weitergeholfen, ab zwar diese reg dateien eingefügt, was das bewirkt weiss ich allerdings auch nciht reboot im Abgesicherten Modus klappt leider auch nicht (mit F8) hab nen Laptop.

ICh würde mich sehr freuen, wenn ihr mir helfen könntet, bin am verzweifeln, hatte bisher nie Probs mit Viren oder malware!

madmike


P.S.: hab smitRem gestartet:

checking for ShudderLTD key

ShudderLTD key not present!

checking for PSGuard.com key


PSGuard.com key not present!

spyaxe uninstaller NOT present
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

Existing Pre-run Files


~~~ Program Files ~~~



~~~ Shortcuts ~~~



~~~ Favorites ~~~

Antivirus Test Online.url


~~~ system32 folder ~~~

svchosts.dll
1024 dir
msvol.tlb
ld****.tmp
mssearchnet.exe
ncompat.tlb
nvctrl.exe
mscornet.exe
hp***.tmp


~~~ Icons in System32 ~~~

ts.ico
ot.ico


~~~ Windows directory ~~~



~~~ Drive root ~~~


~~~ Miscellaneous Files/folders ~~~




~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~



Command Line Process Viewer/Killer/Suspender for Windows NT/2000/XP V2.03
Copyright(C) 2002-2003 Craig.Peacock@beyondlogic.org
Killing PID 596 'explorer.exe'
Killing PID 596 'explorer.exe'

Starting registry repairs

Deleting files


Remaining Post-run Files


~~~ Program Files ~~~



~~~ Shortcuts ~~~



~~~ Favorites ~~~



~~~ system32 folder ~~~

svchosts.dll
ld****.tmp
mssearchnet.exe
ncompat.tlb
nvctrl.exe
mscornet.exe
hp***.tmp


~~~ Icons in System32 ~~~



~~~ Windows directory ~~~



~~~ Drive root ~~~



~~~ Miscellaneous Files/folders ~~~




~~~ Wininet.dll ~~~

CLEAN!

uweru

soweit scheint es erst mal alles in Ordnung, um jedoch die Domains von Spyaxe in der Registry rauszuloeschen, lade:
Trend Micro Anti-Spyware
http://virus-protect.net/microtrend.html

(du kannst sie auch manuell suchen/loeschen)
unter:

Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains

siehe unten auf der Seite:
http://virus-protect.net/artikel/spyware/spyaxe.html

dann buegle noch mal mit Kaspersky Online drueber (eventuell muss die Systemwiederherstellung deaktiviert werden...dann wieder aktivieren)
http://virus-protect.net/onlinescan.html