Ein Virus?

Re(2): Ein Virus?

pope — Tue, 27 Nov 2001 16:16:26 GMT

Wir hatten den Badtrans auf einer NT4 Maschine, ist mit einer E-Mail in Outlook Express gekommen und wurden natürlich sofort ausgeführt. Endung .pif

Erkannt wurde er durch Norton Antivirus2002 mit heutigem Virenupdate.

Es wurden die Systemdateien? kernel32.exe? (ist doch eigenlich eine .dll) und kdll.dll (ist eine Systemdatei) befallen.
Habe zuerst versucht mit der NT-CD eine Notoperation durchzuführen (alle geänderten Systemdateien wiederherstellen) hat nix gepfunziwunzifunztatatut.
Habe dann bei laufendem System via Netzwerk die Dateien gelöscht (gottseidank kein Zugriff) und von der NT-CD entpackt und wiederhergestellt.

Jetzt ist das Ding virenfrei und der Virus ist noch nicht im Netzwerk.

War aber relativ riskant.
Aber nachdem bei uns derzeit die Viren nur so blühen (Magistr...) war´s schon fast wurscht denn ich habe sowieso schon die Virenhölle.

ich leide mit dir

Re: Ein Virus?

Tron — Tue, 27 Nov 2001 12:29:33 GMT

wenn jemand etwas darüber sagen kann, bitte unbedingt posten, wir kämpfen gerade mit diesem virus in unserem netzwerk.

er erzeugt bei jedem systemstart ein neues .eml file in ALLEN ordnern mit dem inhalt: --====_ABC0987654321DEF_====--

auf allen maschinen ist ein upgedateter norton av drauf und trotzdem breitet er sich im netzwerk aus und wird beim sytemscan aber nicht gefunden bzw. identifiziert.
der verdacht fiel schon auf nimda, laut der beschreibung von http://www.f-secure.com , aber sicher sind wir nicht.
wir wären schon froh wenn wir wüßten womit wir es da zu tun haben.

thx tron

Re: Ein Virus?

Schnäppchenführer — Mon, 26 Nov 2001 19:38:53 GMT

Wenn der Betreff der E-Mail nur aus "Re: " besteht dann ist es der neue W32.Badtrans. Ein Virus ist es auf jeden Fall, den ein File mit 2 Extensions ist schon sehr sehr verdächtig Am besten löschen bzw. ja nicht öffnen.

mfg
Schnäppchenführer

Ein Virus?

Campino — Mon, 26 Nov 2001 19:28:36 GMT

Hi liebe Geizhälse!

Ich hab gerade ein komisches Email erhalten. Schaut Euch das mal genau an. Ich hab Euch bei einer verdächtigen Stelle ein Smily gesetzt. Was haltet Ihr davon?

lg
Campino

========================================================================
Content-Type: multipart/related;
type="multipart/alternative";
boundary="====_ABC1234567890DEF_===="
X-Priority: 3
X-MSMail-Priority: Normal
X-Unsent: 1

--====_ABC1234567890DEF_====
Content-Type: multipart/alternative;
boundary="====_ABC0987654321DEF_===="

--====_ABC0987654321DEF_====
Content-Type: text/html;
charset="iso-8859-1"
Content-Transfer-Encoding: quoted-printable

<HTML><BODY bgColor=3D#ffffff>
<iframe src=3Dcid:EA4DMGBP9p height=3D0 width=3D0>
</iframe></BODY></HTML>
--====_ABC0987654321DEF_====--

--====_ABC1234567890DEF_====
Content-Type: audio/x-wav;
name="Card.DOC.pif"
Content-Transfer-Encoding: base64
Content-ID:

========================================================================