Supportnet / Forum / WindowsXP

hy! ich brauche wiedermal eure hilfe. ich habe eine laptop, bei welchem der anti virus nach dem starten automatisch schliesst, man nicht öffnen kann, regedit kann ich nicht aufrufen etc. in der host datei hat es auch einige einträge, welche da nicht hingehören. wenn ich die lösche, schreibt es sie nach dem nächsten enustart wieder rein. hijackthis findet nichts, spamware nichts, stinger nicht und auch der antivirus nicht (im abgesicherten modus). was könnte dies für ein virus sein? danke

das ist ein systemfehler und kein virus !!

wenn diverse einträge in der host datei sind?

nun hat der stinger den trojaner qhosts.adp gefunden. sagt dem jemand was?

Meine Güte! Setz Dein System neu auf und besorg Dir vor allem eine gescheite Firewall!

Also wo RTFM recht hat, hat er recht. Warum bewertet ihr ihn rot? Glaub es geht hier nur darum das RTFM geschrieben hat - kommt mir auf jeden manchmal so vor.

moin

ich wiederhol mich zwar, aber führe die scans und fixes im abgesicherten modus aus.
ausserdem gibt es nen bisschen was zu qhosts.adp bei google.

g,
disco

lol Dau`s

gegen viren setzt man eine viruswall und keine firewall ein. erst die kombination aus beidem ist vernünftig.

und noch was für spam und spyware und dann bist du sicher !!

@sasch da widerspricht dir keiner nur hätte sie mit ner Firewall bemerkt dass der Wurm über Port 2556 eine Hintertüre öffnet und hätte dementsprechend handeln können. Höchst wahrscheinlich hatte jemand zugang zu ihrem Rechner sprich der Tip von RTFM neu aufzusetzten ist das einzig sinnvolle.

@disco

Scans gut und schön aber weisst du was an dem Rechner in wie weit verändert wurde?! Glaub kaum da Quersummen vergleichen recht mühselig ist. Bei einer Backdoorvariante ist es unumgänglich neu zu installieren bzw Passwörter u. ä. abzuändern.

deswegen muss man ein system nicht daumäßig neu aufsetzen.

Axo naja du muss es ja wissen

Und mein Post Nr 10 haste wohl auch überlesen.
Erstmal schlau machen und dann posten. Guter Tip!

@hiho
weisst du denn wie weit der rechner verändert wurde? oder haste mehr infos als ich? und das OS neu zu installieren und die PWs zu verändern sind 2 paar schuhe. man kann doch nicht jedesmal, das OS neu installieren. auch wenn das die sicherste variante ist. wenn man den fehler (virus) so beheben kann, ist das völlig unnötig.

hallo ihr lieben.

danke für die zahlreichen infos...

es handelte sich im übrigen um den W32/Mytob-GU.

konnte die registry einträge im abgesicherten modus entfernen und nun läuft die kiste wieder ohne probleme.


wünsche allen einen schönen abend
gruss
lola

Neu aufsetzen hat nichts, aber auch gar nichts mit DAU zu tun. Wer das behauptet, hat keinen blassen Schimmer.

Es macht keinen Sinn, ein verseuchtes System noch auf Vordermann zu bringen. Wozu?
Die Festplatte ist kein Datentresor! Runter mit dem Mist und ordentlich drauf. Alles andere ist Bockmist und bringt letztendlich überhaupt nichts und man verschwendet nur die Zeit.

Merke: Schädlinge lassen sich finden, aber die Schäden kann man dadurch nicht beheben.

Lola, geh davon aus, das das nur ein Tropfen auf dem heißen Stein ist. Morgen wirst Du eine neue Meldung bekommen. Ich wette um 20 Euro.

@lola
lass dir nicht bange machen. deine vorgehensweise war vollkommen richtig. du solltest aber weiterhin einen virenwächter (zb. das kostenlose antivir) laufen lassen und diesen regelmäßig updaten. auch solltest du nur mit einem account ohne adminrechte online gehen und diesen mindestens mit der xp-firewall absichern. im zusammenspiel mit einem aktuellen virenwächter solltest du dann recht sicher durchs netz surfen können.

Mit einem Windows, so löchrig wie ein schweizer Käse?

Es gibt Erfahrungswerte und theoretische Dinge. Ich denke mal, dass hier auch Erfahrungswerte gefragt sind. Man hilft ihr nicht weiter, wenn sie letztendlich nach Langem Hin- und Her doch neu installieren muss!

Mir ist doch völlig gleich, was ihr da treibt. Und ihr könnt negativ voten, so oft ihr wollt. Ich denke, dass ich das ganz sicher einschätzen kann.

Damit ist alles gesagt und der Thread kann geschlossen werden.

++++++++++++++++

Ich hab hier jetzt mal ganz dau-mäßig einen Link eingefügt:

http://www.winfuture-forum.de/index.php?showtopic=10251

Wer RTFM und Hiho rot postet sollte sich erstmal schlau machen wie oben schon erwähnt. Vielleicht hilft dann doch noch mein Link auf die Sprünge.

@RTFM Hast ja recht aber es will dich keiner verstehen.

Nur kurz hinzufügend:
@sasch deine Tipps von #17 sind schon mal der richtige Weg.
Nur, woher weißt du ob der Trojaner nicht noch weitere Hintertüren für andere Trojaner geöffnet hat?
Ohne den Datenverkehr _vor_ der Maschine zu scannen kommst du dem nicht sicher auf die Spur.

Den Schädling (vermeintlich) zu beseitigen ist eine Sache - Nebeneffekt, die vielleicht noch keiner Doukumentiert hat eine andere...

Mag sein das es in den meisten Fällen gut geht, aber einmal reicht. Und bei Trojaner wäre ich deshalb besonders vorsichtig. Man sollte sich eben vorher Gedanken um Sicherheit machen, vor allem dem eigenen Surf und Nutzungsverhalten gegenüber, nicht erst wenns Brennt das Wasser suchen...

Hinzu kommt doch auch noch die Tatsache, dass jeder Virenscanner auch nur max. 70 % findet und selbst sogar ausgehebelt werden kann. Dies gilt in besonderem Maße auch für Tools wie Adaware, Spybot usw. usw. (siehe aktuelle Computer Bild).

Die aktuelle Ausgabe der Zeitschrift COM widmet sich dem Thema recht ausführlich.

Lesen bildet!

@sasch

einen antivirus war schon installiert. aber mein kolegge hat ein anhang im mail doppelgeklickt, hat er mir nachträglich gesagt. hat den virus selbst eingeschleust... der hat nun ne aktuelle virus-aufklärungs-stunde hinter sich! ;o)

wünsche euch einene schönen tag

lola

W32/Mytob-G ist ein Massmailing-Wurm und ein Backdoortrojaner, der Nutzer von Internet-Relay-Chat-Programmen zum Ziel hat.

Entfernung des Wurms unter Windows NT/2000/XP

So entfernen Sie den Wurm:

* Lesen Sie die Virenanalyse für nähere Informationen zu dem Wurm und seiner Entfernung.
* Schließen Sie alle Programme.
* Gehen Sie auf Start|Programme|Sophos Anti-Virus und starten Sie das Programm "Sophos Anti-Virus".
* Wählen Sie die Registerkarte "Sofortstart".
* Gehen Sie auf Optionen|Konfiguration..., und wählen Sie die Registerkarte "Maßnahmen". Setzen Sie ein Häkchen für die Option "Infizierte Dateien" und wählen Sie "Löschen". Klicken Sie auf "OK".
* Klicken Sie auf die Schaltfläche "Go" in der Menüleiste, um die Überprüfung zu starten.
* Löschen Sie die Dateien. Starten Sie eine weitere Überprüfung, um sicherzugehen, dass der Wurm entfernt wurde.
* Kehren Sie zurück zu Optionen|Konfiguration..., und wählen Sie die Registerkarte "Maßnahmen. Deaktivieren Sie die Optionen "Infizierte Dateien" und "Löschen". Klicken Sie auf "OK".
* Booten Sie neu und starten Sie eine letzte Überprüfung, um sicherzugehen, dass der Wurm entfernt wurde.

Wenn Sophos Anti-Virus Dateien nicht löschen kann, da diese vom Betriebssystem benutzt werden, notieren Sie die Namen der Dateien und tun Sie folgendes:

* Windows 2000/XP/2003
1. Laden Sie die aktuellen Virenkennungsdateien (IDEs) herunter und speichern Sie sie auf Diskette. Aktivieren Sie den Schreibschutz auf der Diskette.
2. Starten Sie den Computer im Abgesicherten Modus. Gehen Sie auf Start|Beenden. Wählen Sie "Neustart" aus der Drop-Down-Liste und klicken Sie auf "OK". Windows startet neu. Drücken Sie F8, wenn Sie folgenden Text im unteren Bildschirmbereich sehen: "Problembehebung und erweiterte Windows-Startoptionen: F8-Taste drücken". Wählen Sie in dem Windows 2000-Menü für die Erweiterten Startoptionen die dritte Option "Abgesicherter Modus".
3. Starten Sie entweder SAV32CLI von der Sophos CD oder laden Sie eine Kopie von SAV32CLI auf einen nicht infizierten Computer herunter, extrahieren Sie es und brennen Sie es auf CD.
4. Legen Sie an dem infizierten Computer die CD in das CD-Laufwerk ein (in diesem Beispiel Laufwerk D:) sowie die Diskette mit den IDEs in das Diskettenlaufwerk (in diesem Beispiel Laufwerk A:).
Geben Sie in eine Befehlseingabe folgendes ein:

D:

Dadurch können Sie auf das CD-Laufwerk zugreifen. Wenn Sie die Sophos CD verwenden, geben Sie folgendes ein:

CD WIN32\I386\SAV32CLI

Wenn Sie eine SAV32CLI Download-Disk verwenden, geben Sie folgendes ein:

CD SAV32CLI

Geben Sie dann ein:

SAV32CLI -IDEDIR=A:\ -REMOVEF -P=C:\LOGFILE.TXT

Dadurch wird der Wurm entfernt.
5. Bevor Sie den Abgesicherten Modus verlassen, sollten Sie alle Registrierungseinträge bearbeiten, die in den Wiederherstellungshinweisen der Wurm-Anlayse auf der Website erwähnt werden.

wegen eines simplen massmailingwurms das ganze system neu aufzusetzen, ist imho vollkommen überflüssig.

Sasc h, woher willst Du beurteilen können, dass sich nur ein einziger Schädling eingenistet hat und woher nimmst Du die Kenntnis, dass dieser nach der ganzen Aktion wirklich verschwunden ist?

Aus meiner beruflichen Erfahrung haben die Leute, die sich angeblich etwas eingefangen haben, eben nicht nur einen einzigen Schädling eingefangen, sondern gleich ein ganzes Bündel. Wenn Du jetzt jeden Schädling einzlen eliminieren willst, dann viel Spaß! Der Aufwand lohnt sich nicht. Da ist es effektiver, man setzt neu auf und das System ist grundsätzlich erstmal sauber.

Noch was: Nach einem Angriff ist ein Windows-System niemals wirklich stabil.

sicher erst mal deine privaten sachen.

neuinstallation ist der beste weg. dann ist das system auf jeden fall sauber.

als erstes wird dann ein virenscanner installiert. am besten kaspersky mit den erweiterten datenbanken. nun wird jede software von der original-cd installiert. die sind i.d.r. sauber. also keine office-slipstream-cds o.ä.

jetzt kann eine firewall installiert werden. dafür reicht auch erst mal die von xp aus.

nun geht es online - allerdings nicht surfen. es werden nur updates für den virenscanner und für windows abgeholt.

nun werden die persönlichen daten wieder zurückgespielt, allerdings nicht ohne die cd vorher auf viren, ect. zu prüfen.

ich verdiene mit der installation und instandhaltung von computern mein geld. wenn ich bei jedem mitarbeiter, der sich irgendwannmal einen kleinen trojaner gefangen hat, weil ihn seine neugier zum öffnen unbekannter mails veranlasst hat, das system mit dem ganzen rattenschwanz der da dran hängt neu aufsetzen würde, käme ich an manchen tagen garnicht zum produktiven arbeiten. im übrigen ist ein scan mit einem virenscanner, dem die aktuellen signaturen zur verfügung stehen, sehr wohl aussagekräftig. ich habe im betrieb erst einmal die waffen strecken müssen, damals war es auch ein ganzer strauss von viren und tojanern, ansonsten konnte ich bisher alle infektionen mit den entsprechenden tools in den griff bekommen. einfach nur plattmachen ist bei komplexen sytemen und vielen installierten programmen einfach nur zeitraubend.

wenn sich einer beruflich so ein teil einfängt, wird der pc platt gemacht. profil liegt auf dem server. daten liegen auf dem server. auf dem pc hat nichts zu liegen. also image zurück und fertig. der pc ist in 10 minuten wieder fit.

privat hat man entweder nicht so wichtige daten oder wenn man so wichtige daten, dann kennt man aber auch begriffe wie backup oder image.

schön wärs.... aber theorie und praxis sind zwei paar schuhe. mir wäre ein serverbasiertes system mit diskless clients auch lieber, leider ist die infrastruktur bei uns über jahre gewachsen und die finanziellen mittel erlauben keine radikale umstellung.

den hinweis auf das backup finde ich sehr richtig und gut. leider wird das allzu häufig vernachlässigt.

@cb-leser
in welcher firma arbeitest du denn? das möchte ich mal sehen, dass auf den einzel-platz-rechnern keine wichtigen daten sind. sowas wäre zwar toll und wie du sagst die schnellste lösung, aber in der praxis unrealistisch.

wollt ihr mir sagen (cb, rtfm), dass ihr bei befallen rechnern (beruflich und privat) jedes mal den rechner platt macht?

Profis arbeiten mit Terminal-Lösungen. Da befindet sich nichts Wichtiges auf einem Client.

Und immer wieder erneut der Hinweis, dass eine Festplatte kein Datentresor ist. Eine Neuinstallation ist bei Windows-basierten Systemen Normalität und durch Imageerstellung auch kein Problem.

Ich kenne viele Leute, die wie eine Klette an ihrerem mühsam aufgebauten Windows-System hängen. Bloß nicht das Wort Neuinstallation in den Mund nehmen. Man wird angefaucht.
Es existieren ganz einfach völlig falsche Vorstellungen. Festplatteninhalte sind immer temporär. Sie können zu jederzeit flöten gehen bzw. ein System kann zu jeder Zeit korrupt werden. Es sind schon ganze Firmen deshalb Pleite gegangen. Deine Firma sicherlich auch, Sasch? :-)

wo ich arbeite ist nicht relevant. ich kann dir nur sagen, dort ist es so. auf den pcs liegen nur die programme, alle daten, sogar die mail-postfächer liegen auf unix-servern. zudem gibt es einen imageserver, der mittels bootp oder pxe-boot die pcs neu installiert.

und ja, privat arbeite ich mit image. und je nach art der schädigung des rechners spiele ich das image zurück. nicht umsonst mache ich wöchentlich inkrementelle images mit acronis des kompletten rechners sowie tägliche inkrementelle sicherung mittels version backup meiner privaten daten auf eine externe usb-platte.

• TR/Click.Agent.JH.4 VIRUS
• Virus
• Virus: TR/Dldr.Agent.dwe
• VIRUS.Batch löschen?
• Hate 971 Wer kennt diesen Virus und wie kann man ihn entfernen?