Virus/ Spyware aufm Rechner - boote-forum.de

Ride The Lightning · #1 05.12.2005, 18:48

Guten Abend,

mein Bruder hat folgendes Problem:
Ständig blinkt, wie auf Bild 1 zu sehen, "your Computer is infected". Es blinkt ständig und lässt sich nicht wegklicken. Ist dies eine Windowsmeldung oder tarnt sich da irgendein Programm, um Dinge herunter zu laden?
Außerdem öffnet sich automatisch der Internetexplorer und ruft die Seite "SpyAxe" auf (Bild 2).
Internetseiten aufrufen ist fast unmöglich, die Startseite wurde geändert und lässt sich über "Internetoptionen" nicht ändern.
Hat jemand von Euch schon mal sowas ähnliches gehabt?

Gruß Lars

Fletcher-Andi · #2 05.12.2005, 19:06

Hi!

Lass da mal Adaware drüberlaufen , wenn es nichts bringt , dann mal " CWshredder " drüberlaufen lassen.
Mein InternetExplorer wurde auch mal "ge hijackt" , danach habe ich FireFox benutzt und seitdem keine Probleme mehr!

mfG
Andi

Paul Petersik · #3 05.12.2005, 19:31

Ich habe aus gleichem Anlass "Spybot Search & Destroy" kostenlos aus dem Internet heruntergeladen und installiert. Ich hatte ziemlich Müll auf dem PC. Seit dem ist Ruhe.

Servus

Paul

TomM · #4 05.12.2005, 19:38

Das ist die Spyware!!!!

Die bekommst nur über Hijack this und mit viel Geduld wieder raus, denn sie installiert sich ständig neu und ändert dazu ihren Dateinamen.

hijackthis zeigt Dir si run und runonce Einträge, aber Achtung nur mit erfahrung weglöschen. Dann geht die Suche los - kein restart machen -

Viel Erfolg.

Das ist ein nettes Scheißding

Ride The Lightning · #5 05.12.2005, 19:40

Zitat:

Zitat von TomM

...aber Achtung nur mit erfahrung weglöschen.

Und genau das ist mein Problem.

Trotzdem danke.

ralfschmidt · #6 05.12.2005, 20:00

Hallo Ride The Lightning,
ist gar nicht so schwer, starte mal von der Eingabe Aufforderung MSConfig
da gehst du zu den Startdateien da werden die Programme angezeigt die automatisch gestartet werden und in welchen Verzeichnis die stehen, alle die dir nicht geheuer sind kannst du erst mal deaktivieren, die werden dadurch nicht gelöscht, dann wieder Neu starten, wenn du deinen bösen Buben gefunden hast gehst du in das Verzeichnis und löscht das Programm, dann ist wieder Ruhe

TomM · #7 05.12.2005, 20:03

Tja,

dann hast Du ein Problem - ich hatte das Biest mal über Google und einen netten Verweis auf Seiten auf denen sich dann minder bekleidete Damen zur Schau stellten.

Am nächsten Tag BLUB war die Meldung da. War ne ziemliche Ackerei - mit Spybot oder Ad-Aware war nix zu machen.

es sind mindestens zwei dll's beteiligt, die sich gegenseitig aufrufen und umbenennen - immer irgendwelche Buchstabenkombinationen.

dann gibt es noch ne system32.exe im System32 Verzeichnis - die ist NICHT von Microsoft - am besten einfach mal umbenennen in system32.sik

Ich war fast einen ganzen Tag beschäftigt um alles wegzukriegen - Ad-Aware findet immer was aber eben nicht alles

Am besten Daten sichern und neu installieren

Ride The Lightning · #8 05.12.2005, 21:14

Ich habe mal AVG Anti Virus Free drüber laufen lassen. Es wurden über 25 Dateien gefunden, die als Trojaner eingestuft wurden. Die sind gelöscht.

Ralfi, ich werde es mal probieren, ich glaube aber nicht dass das so einfach ist.

ralfschmidt · #9 06.12.2005, 19:41

Hallo Lars,
ist einfach, nur langwierig wenn du die Datei nicht findest die den Müll immer neu einbaut, wenn du mit Msconfig nicht zurecht kommst, es gibt noch was besseres von PC Welt oder Chip, habe ich aber selbst noch nicht getestet

Ride The Lightning · #10 06.12.2005, 19:48

Hi Ralf,
ich habs versucht. Hab fast alles deaktiviert. Ergebnis: Wie vorher.

Oder soll ich auch die Katgorie "Dienste" durchsuchen?

ralfschmidt · #11 06.12.2005, 19:54

nein, die Dienste bringen dich nicht weiter

hier sind mal 2 Beispiele auf meinem 98SE Rechner:
msbb=c:\programme\180solutions\msbb.exe
msbb.exe war der Übeltäter der die Einträge immer wieder neu gemacht hat
kdgzypql=c:\windows\kdgzypql.exe
s.0.

manchmal geht unter xp die Datei löschen nicht, weil sie in Benutzung ist, dann kann man aber Umbenennen in z.b. xyz.vir und beim nächsten Neustart löschen

Superpapa · #12 06.12.2005, 21:10

Zitat:

Zitat von ralfschmidt

manchmal geht unter xp die Datei löschen nicht, weil sie in Benutzung ist, dann kann man aber Umbenennen in z.b. xyz.vir und beim nächsten Neustart löschen

Im abgesicherten Modus sollte es immer zu löschen sein.
Bei extrem hartnäckigen Virenbefall habe ich mit stinger.exe beste Erfahrungen gemacht, ist recht brutal zu den Viren & Co.
Ansonsten zum Abschalten "böser" Dienste für nicht digital denkende empfehle ich den hijackthis , da gibt es eine online-Auswertung aller laufenden Dienste und Programme mit guten Erklärungen. Runterladen, laufen lassen, logfile auf diese Seite kopieren und die Auswertung kommt gratis.
Gruss
Michael

#13 06.12.2005, 21:13

Lars, Google ist Dein Freund! Zum Beispiel findet sich diese Seite. Und auch diese könnte Dir helfen.

Hatte vor einigen Tagen selbst mit so einem Mistding zu tun; bin dann mit CCleaner, Ewido und etwas 'Handarbeit' zum Ziel gekommen. Viel Erfolg!

Michael.

TomM · #14 06.12.2005, 21:20

Sacht mal,

red ich auswärts.

Das ist das wunderding, das bringt kein Scanner weg weil sich die Exe immer wieder umbenennt.

Das braucht jede menge Erfahrung - mittlerweile hättest Du den Rechner neu aufgesetzt oder das (nicht vorhandene) Image aufgespielt.

avivendi · #15 07.12.2005, 00:29

habe den mist auch drauf!!!! nennt sich vxh8jkdq6.
da kann ich umbenennen wie ich will, da geht gar nix. die dinger sitzen dick und fett im system, weder norton noch antivir noch cw shredder finden irgendwas.
hab mal gegoogelt, da gibt es ein paar tips in den pc fredel bords, da bin ich aber wohl zu dusselig...
mittlerweile habe ich die taskleiste voll mit diesen sch.. roten kreuzen. schreiben geht auch nicht mehr richtig, jedenfalls kann ich es nicht lesen.... die schrift erscheint erst später

das ist jetzt mein letzter funktionsfähiger pc, der muss einfach wieder laudfen!

Flobec · #16 07.12.2005, 07:47

Oh je. Das Problem hatte ich mit meinem alten Rechner auch. Weil ich aber ein DAU bin, habe ich einen Freund da rangelassen, der -ziemlich- viel Ahnung hat.
Er hat etwa zwei Stunden lang rumgebastelt und das Ende vom Lied war, daß wir entschieden haben, den Rechner platt zu machen.
War das einzig Richtige.

avivendi · #17 07.12.2005, 07:51

nun habe ich ungefähr 1 stunde gebraucht, bis der pc hochgefahren war. firewall hat sich z.zt. verabschiedet, norton hat mir 30 (!) trojaner incl. vxh dingens isoliert und gelöscht. aber die kreuze sind immer noch da.

es scheint so, als würden sich die dinger durchnummerieren. nun ist auch noch vxgamet 1 ff drauf. wo kommt so ein sch... eigentlich her????
basteln sich irgendwelche kiddies wieder lustige kleine trojaner?

#18 07.12.2005, 08:14

Moin,

die Dinger basteln sich nicht nur Kiddies, es ist im Zeitalter der Vernetzung doch auch eine prima Möglichkeit an Daten zu kommen, wenn man durch Trojaner Hintertürren öffnet und/oder Daten mit diesen kleinen Schweinehunden versendet.

Es lebe der vernetzte Globus.
Weg bekommt man die Dinger nur wenn man mit einer Kombination aus hijackthis und einem aktuellen Virenscanner arbeitet. Ist eine Scheixxarbeit, aber es funzt.
Habe dafür letztens bei einem Bekannten in seinem Firmennetzwerk 2,5 Std gebraucht, dann war das System wieder sauber arbeitet seitdem einwandfrei. Nun legt er regelmässig Backups an.......

TomM · #19 07.12.2005, 08:25

Zitat:

Zitat von TomHH

...
Weg bekommt man die Dinger nur wenn man mit einer Kombination aus hijackthis und einem aktuellen Virenscanner arbeitet. Ist eine Scheixxarbeit, aber es funzt.
Habe dafür letztens bei einem Bekannten in seinem Firmennetzwerk 2,5 Std gebraucht, dann war das System wieder sauber arbeitet seitdem einwandfrei. Nun legt er regelmässig Backups an.......

Saaaaag ich doch - macht die Rechner PLATT - Daten werden nicht infiziert - es sind nur diese ABCDEFG.exe und die benennen sich ständig um.

wenn ich mich recht erinnere war es noch eine system32.exe die weg mußte.

Jede verdächtige Datei muß mit Eeigenschaften auf seine Herkunft untersucht werden.......

das ist nix für Leute die nicht wissen was sie in den Verzeichnissen finden müssen. Das schgnellste ist:

Daten sichern, neu aufsetzen, daten wieder reinholen und sich niemals sicher fühlen, auch nicht mit Feuerwand oder AV oder was fürn mist auch immer. Ich glaube übrigens nicht, dass es ein Trojaner ist, da will einer seine Soft zum Entfernen fürr 99$ verkaufen!

google findet in diversen Foren einiges zu dem Dingens Auch zum Entfernen - ABER DAS IST KOMPLIZIERT und für JEDEN RECHNER ANDERS weil die Dateinamen variieren.

e-men · #20 07.12.2005, 09:49

Rechner platt machen hat aber auch immer einen Haken,
nämlich den, dass der Rechner danach platt ist

Versuch mal den kostenlosen Dienst von Trend Micro:
House Call

vorausgesetzt du hast DSL, da deren System sich online (aktuell) installiert.
Sehr zuverlässig.

Martin

#21 07.12.2005, 10:19

Zitat:

Zitat von TomM

.......wenn ich mich recht erinnere war es noch eine system32.exe die weg mußte.

..... absolut richtig, es geht sogar noch weiter. Es waren auch ein paar Einträge in der Registry die entfernt werden mussten.

apiroma · #22 07.12.2005, 12:50

Wir haben den Spaß mal auch hier in der FH versucht. Nach 3 Stunden haben wir das Ding geplättet. Haben noch wichtigeres zu tun.
Wenn du nur eine Datei übersiehst, hast du den Dreck beim nächsten Start wieder dabei.

Lade alle wichtigen Dateien runter, schreibe die Paßwörter auf oder druck aus.
Dann format c: und neu aufsetzen.

Ride The Lightning · #23 07.12.2005, 16:56

Wie TomM schon deutlich ausdrückte: mit normalen Anti-Spyware Programmen kommt man nicht weiter. Ich habs versucht mit Allem was es gibt.
Nur eine letzte Frage noch:
Wenn ich jetzt per Netzwerkkabel den Laptop mit meinem Rechner verbinde, um wichtige Daten zu retten, spielt sich der Virus mit rüber (nicht "in" den Dateien, sondern einfach so)?

apiroma · #24 07.12.2005, 17:37

Könnte sein,
da ich vor einiger Zeit angefangen habe, solche Tierchen gezippt zu sammeln (zwecks Studium auf altem Rechner, natürlich offline) kann man das nur sagen, wenn du den Code gesehen hast. Meist wird der Virus durch bestimmte Ereignisse getriggert. Ein Wurm, der bei dem hijacker mitgeliefert wird, könnte aktiv werden. Zumindest wird die Software wahrscheinlich nach updates oder Steuerkommandos des Leitservers suchen. Ich würde das mit CD´s erledigen und wichtige Daten/Ordner erst mit Schreibschutz versehen (Zielsystem) und die CD sofort scannen lassen. Hol Dir auf jeden Fall erst den neuesten Scanner.

sea-commander · #25 07.12.2005, 19:23

Moin.
Ich musste meinen "Composter" auch platt machen. Und ein paar Tage später hatte ich diesen ganzen Mist wieder drauf - also wieder platt gemacht.

Wahrscheinlich bin ich auch nicht der geschickteste wenn es darum geht, Viren auszulöschen und das System sauber zu halten - das muss ich wohl zugeben.

Trotzdem läuft der Apparat nur noch auf Spraflamme. Vielleicht kauf' ich mir 'nen Mac, für die gibt's weit weniger Viren...

Viel Erfolg noch!
Chris