Virus / Spyware / Malware?

Virus / Spyware / Malware? (13 Beiträge, 186 Mal gelesen)

Du bist nicht angemeldet. [ Login/Registrieren ]

Grüß euch Gott,

ein Bekannter von mir hat folgendes Problem, das ich mir zur Brust nehmen darf, vielleicht könnt ihr mich dabei ja unterstützen

:

Seit kurzem kommt bei jedem Systemstart (Windows XP Prof. 32bit) folgende Meldung:
"Your system is making unauthorized copies of your system and internet files [...]"

Ich war darauf hin heute bei ihm und hab mir das angeschaut - war für mich ein klarer Fall für Spybot S&D, also mal auf safer-networking.org gegangen - tjo, wär ich gern, ging aber nicht, genauso wenig wie diverse online-Virenscans funktioniert haben...

Der installierte Avira-Scanner lässt zwar einen Scan zu, sobald jedoch die infizierte Datei gefunden wird, wird der Prozess automatisch gekillt...

Hab daraufhin mit nem andern PC Spybot S&D und Super Anti Spyware runtergeladen und installiert - ging allerdings nicht, weder im abgesicherten noch im normalen Modus, sobald die "Haupt"-Datei kopiert werden sollte kam eine Fehlermeldung dass ich nicht genügend Berechtigungen besitze (war als admin angemeldet)

Also schon mal ne großartige Situation - unterm laufenden Windows kein Virenscan möglich, keine Anti-Spyware Programme möglich - also gings weiter mit UBCD4win, das hat ja sowohl S&D als auch SASW dabei, zusätzlich auch noch McAfee Stinger und Avira... (über die UBCD gehn übrigens die vorher geblockten Seiten)

Alles durchlaufen lassen (Virenscans erfolglos, Spyware hat knapp über 300 Cookies gefunden und einen Malware-Eintrag), alles entfernt und großer Hoffnung neugestartet - Browser geöffnet und safer-networking.org aufgerufen - wieder keine Verbindung zur Seite...

Die Pop-Up Meldung mit dem blabla war dann allerdings weg, dürft wohl noch mehr als nur das herumschwirren...

Die hosts-Datei ist sauber und ich sehe mittlerweile nur mehr einen Ausweg: Windows neu installieren...

Hat vielleicht irgendwer noch ne Idee was man machen könnte?

Bei Bedarf kann ich auch ein HijackThis-Log hochladen, sofern es sich ausführen lässt, bin jetzt aber mittlerweile zu Hause, wird also vor morgen nicht da sein.

So was hartnäckiges ist mir bis jetzt noch nicht untergekommen, im Normalfall war spätestens nach einem Scan ohne laufendem Windows Schluss

im safe mode hochfahren und scannen

wie schon geschrieben, scannen funktioniert nicht weil ich die Programme nicht installieren kann, auch nicht im Safe Mode

kauf dir in irgendeiner Trafik eine PC-Zeitschrift mit Live-Boot-CD und versuche mit dieser den Virus zu entfernen ... (z.B. http://de.wikipedia.org/wiki/Knoppicillin )

Schon alle auffälligen Sachen aus der msconfig rausgegeben, damit nicht immer etwas mitgestartet wird? In den Diensten nachgesehen ob nicht noch etwas läuft? Wenn der Virus gefunden wird von Avira, Namen abschreiben und dann im Internet nachsehen, was dagegen getan werden kann?
__________________________________________________________________________________

hosted by 666kb.com

My name is VASH THE STAMPEDE! Forgive the lack of warning, but it's time for my daily massacre! If you do not believe I am the real thing, take a good look at me and start freaking out!

msconfig und Dienste bin ich auch schon durchgegangen und sie entsprechend eingeschränkt, den Tip mit der Trafik werd ich noch probieren, auch wenn ich wenig Hoffnung da reinsetz weil UBCD ja eigentlich auch schon so eine Live-CD is (wenn auch nur mit Gratis-Anti Virus Software bestückt)

Danke auf jeden Fall, fahr jetzt dann gleich wieder hin und hoff dass ich das heute erledigen kann, ob mit oder ohne Reinstall

So, bin jetzt grad wieder am Rechner, HijackThis lässt sich wie vermutet nicht ausführen, wird sofort geblockt...

Bei der aktuellen PC-Praxis war so eine Tool-Sammlung-DVD dabei, werd das jetzt mal testen und ggf. berichten, eine Live-CD gabs leider in keinem Magazin das in der Trafik war...

/edit: Wurde leider auch alles geblockt...
MBAM (auch mit ner umbenannten exe) und GREM wurden beide sofort geblockt, Ashampoo Anti-Spyware lässt sich der Dienst nicht starten, GREM hat noch gemeldet dass das System wahrscheinlich mit nem Rootkit infiziert is und war danach gleich weg, auch Combofix dürft geblockt werden:
nach ein paar "Access Denied!" Meldungen wird jegliche Festplatten- und CPU-Aktivität eingestellt und es tut sich nix mehr

Werd jetzt schaun ob ich von nem Freund die Desinfec't CD bekomm, glaub viel mehr kann ich jetzt nimmer tun

Hat von euch wer Erfahrungen mit sowas? Wie gefährlich ist es wenn man die Platte an nen andern PC (Windows 7) hängt und dort scannen lässt? Bzw. wenn man dann neu aufsetzt und dabei nur die C-Platte neu formatiert, die Daten-Platten allerdings so wie sie sind lässt?

Oder gibts da nur mehr eins und das heißt komplett formatieren + alle Daten löschen?

12.10.2010, 13:54 Uhr - Editiert von -MagicX-, alte Version: hier

Am einfachsten ist:
Festplatte ausbauen und auf einem anderen Rechner diese anhängen und von einem guten Internet-Security-Programm (auf neuesten Stand getrimmt) scannen lassen.

werd ich höchstwahrscheinlich morgen machen, nachdem ich einmal mit der Avira-Rescue CD drübergefahren bin, kann ja nicht sein dass der soooo hartnäckig ist

Ernstgemeinter Tipp:

Neuinstallation.

Wenn das ding wirklich so festgekrallt hat, dann kannst du es vielleicht noch irgendwie weg bringen, aber ob es wirklich ganz entfernt wurde, kann man dann auch nicht sagen.
----------------------------------------------------------------------------------
Q9650, ASUS P5Q-E, 4x2GB CL5, Gainward 4870x2, X-Fi Titanium, Sennheiser PC 350, DELL 2407, G15 R, MX518, ANTEC P182SE Chrome Edition, BeQuiet 550W DarkPower, RAID1 2x640GB WD Black @ LSI 9650-2LP, Windows 7 Professional

Meine Spieleliste: http://steamcommunity.com/profiles/76561197970634943/games?tab=all

Sooo...

Rootkit entfernt (dank der Avira Rescue-CD und zur Sicherheit noch mal Desinfec't) - scans unter Windows sind wieder möglich, Programme installieren und ausführen auch, Internet kann ich erst etwas später testen, denk aber das wird auch kein Problem sein

Lass jetzt gerade noch MBAM, danach S&D und evtl. danach noch SuperAntiSpyware drüberlaufen um ganz sicher zu gehen, aber dass HJT & Co nicht mehr geblockt werden beruhigt mich schon mal sehr

So... im Endeffekt waren dann noch Reste im System vorhanden, die wurden dann dank GREM, Combofix, RootRepeal, Rootalyzer, MBAM, avenger und TDSSKiller entfernt, jetzt hat jedes Programm sein OK dazu gegeben, ebenso eine HJT-Logfile Auswertung und auch die vorher gesperrten Internetseiten wie safer-networking.org waren problemlos erreichbar

15.10.2010, 18:05 Uhr - Editiert von -MagicX-, alte Version: hier

Dieses Forum ist eine frei zugängliche Diskussionsplattform.
Der Betreiber übernimmt keine Verantwortung für den Inhalt der Beiträge und behält sich das Recht vor, Beiträge mit rechtswidrigem oder anstößigem Inhalt zu löschen.
Datenschutzerklärung