[-Mario-]

Hallo!

Ich habe einen Backdoor-Virus namens "BDS/Inflates.2" in den Dateien "C:\WINDOWS\system32\WinHosts.exe" und "C:\WINDOWS\system32\DNSLookUp32.exe".

Mein Virenprogramm erkennt diesen Virus und fragt, ob ich die Datei löschen will.
Da sich diese Dateien im Windows-Verzeichnis befinden, denke ich mal, dass sie irgendwie brauchbar sind, oder?

Was kann bzw. soll ich tun um diese Viren loszuwerden?


(P.S: Für was braucht man diese Dateien überhaupt?)


Danke
MfG Mario

[ShadowHunter]

Welchen Virenscanner nutzt du? Die Dateien wurden evtl. verändert, sind somit vom Dateinamen vlt noch Original aber das wars dann auch.

In dem Sinne ist dein System kompromittiert -> Neuaufsetzen/Backup aufspielen!

Infos siehste im Sticky

[-Mario-]

Den Virenscann von ZoneAlarm und nebenbei auch noch AntiVir.
Naja mein System will ich eigentlich nicht wirklich gern neu aufsetzen, da der Rechner sehr neu ist, und Windows erst installiert wurde..
Der Rechner läuft ja auch sehr stabil.

[Graumagier]

-Mario- sagte:

Den Virenscann von ZoneAlarm

No comment.

-Mario- sagte:

Naja mein System will ich eigentlich nicht wirklich gern neu aufsetzen, da der Rechner sehr neu ist, und Windows erst installiert wurde..

Glückwunsch! Du hast gerade die Gelegenheit bekommen zu lernen, wie man seinen PC absichert.

-Mario- sagte:

Der Rechner läuft ja auch sehr stabil.

Sicherheit und Vertrauensgrad eines Rechners definieren sich nicht durch seine Stabilität.

[valeron]

Zitat

(P.S: Für was braucht man diese Dateien überhaupt?)

also ich hab sie nicht; und meins ist clean; also wirds ein virus
sein und du musst die besprochenen masnahmen einleiten!

[ShadowHunter]

ZoneAlarm hat nen Virenscann?
Naja die PFW von ZoneLabs (= ZoneAlarm) taugt meiner Meinung, da steh ich auch net allein, sowieso 0, schadet dir eher mehr! Antivir NAJA geht so, hast die neuesten Updates? eventuell ja ein Fehlalarm.

Ansonsten bleibt nur der Weg des neu aufsetzen vom System. Dein System ist kompromittiert somit kannst du nicht sicher sagen, welche Dateien wie genau geändert worden sind. Desweiten fungierst du wohl evtl. nun als weiterer Verbreiter von Schädlingen. Stabil laufen ist relativ, es macht sich nur nicht offensichtlich bemerkbar.

Schau dir mal diese Thread hier durch:
Kompromittierung

und nen hijackthis log würde au ganz gut tun:

Anleitung Zu Hijackthis

[-Mario-]

Nur weil ich mal nen Virus hab soll ich gleich mein System neu aufsetzen?
Für was gibt es Antivirus-Programme?
Sorry wenn ich falsch liege, kann schon sein, aber von so einer Kompromittierung höre ich zum ersten mal.

hijackthis-Logfile:

Zitat

Logfile of HijackThis v1.99.1
Scan saved at 22:51:28, on 28.04.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedul2.exe
C:\WINDOWS\System32\gearsec.exe
C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe
F:\Programme\XAMPP\xampp\mysql\bin\mysqld-nt.exe
C:\Programme\Gemeinsame Dateien\Acronis\Malware Shield\psh_svc.exe
C:\Programme\Analog Devices\SoundMAX\SMAgent.exe
F:\Programme\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZONELABS\vsmon.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\Programme\Analog Devices\SoundMAX\SMax4PNP.exe
C:\Programme\Analog Devices\SoundMAX\Smax4.exe
F:\Programme\Winamp\winampa.exe
C:\Programme\ATI Technologies\ATI.ACE\cli.exe
C:\Programme\Java\jre1.5.0_04\bin\jusched.exe
C:\Programme\Logitech\iTouch\iTouch.exe
C:\WINDOWS\9205RMTMon.exe
F:\Programme\CyberLink\PowerCinema\PCMService.exe
F:\Programme\SlySoft\CloneCD\CloneCDTray.exe
C:\Programme\D-Tools\daemon.exe
C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedhlp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Gemeinsame Dateien\G DATA\DAVServer.exe
F:\Programme\Acronis\PrivacyExpert\Shield.exe
C:\Programme\Logitech\SetPoint\SetPoint.exe
C:\Programme\Gemeinsame Dateien\Logitech\KHAL\KHALMNPR.EXE
C:\WINDOWS\system32\ZoneLabs\isafe.exe
C:\PROGRA~1\ZONELA~1\ZONEAL~1\MAILFR~1\mantispm.exe
C:\Programme\ATI Technologies\ATI.ACE\cli.exe
C:\Programme\ATI Technologies\ATI.ACE\cli.exe
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Dvd soap settings face\free long.exe
C:\Programme\MSN Messenger\msnmsgr.exe
C:\WINDOWS\explorer.exe
F:\Programme\Winamp\Winamp.exe
F:\Programme\Steinberg\WaveLab\WaveLab-app.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\AntiVir PersonalEdition Classic\avcenter.exe
C:\Programme\AntiVir PersonalEdition Classic\avscan.exe
C:\Dokumente und Einstellungen\Mario\Eigene Dateien\hijackthis_199\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.at/
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R3 - Default URLSearchHook is missing
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - F:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {B3673F95-BE9D-7204-09B4-08B6532B7E20} - C:\DOKUME~1\Mario\ANWEND~1\ANTIKE~1\siteroam.exe
O2 - BHO: Acronis Popup Blocker - {E24AD748-155E-4254-B674-4EDF86E7E1DF} - F:\Programme\Acronis\PrivacyExpert\Blocker.dll
O4 - HKLM\..\Run: [SoundMAXPnP] C:\Programme\Analog Devices\SoundMAX\SMax4PNP.exe
O4 - HKLM\..\Run: [SoundMAX] "C:\Programme\Analog Devices\SoundMAX\Smax4.exe" /tray
O4 - HKLM\..\Run: [WinampAgent] F:\Programme\Winamp\winampa.exe
O4 - HKLM\..\Run: [ATICCC] "C:\Programme\ATI Technologies\ATI.ACE\cli.exe" runtime -Delay
O4 - HKLM\..\Run: [Logitech Hardware Abstraction Layer] KHALMNPR.EXE
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_04\bin\jusched.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Programme\Gemeinsame Dateien\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [zBrowser Launcher] C:\Programme\Logitech\iTouch\iTouch.exe
O4 - HKLM\..\Run: [USB TV Box Remote Control Device Monitor] C:\WINDOWS\9205RMTMon.exe
O4 - HKLM\..\Run: [PCMService] "F:\Programme\CyberLink\PowerCinema\PCMService.exe"
O4 - HKLM\..\Run: [CloneCDTray] "F:\Programme\SlySoft\CloneCD\CloneCDTray.exe" /s
O4 - HKLM\..\Run: [DAEMON Tools-1033] "C:\Programme\D-Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [Zone Labs Client] C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
O4 - HKLM\..\Run: [Acronis Scheduler2 Service] "C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedhlp.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [DAVSERVER.EXE] C:\Programme\Gemeinsame Dateien\G DATA\DAVServer.exe
O4 - HKCU\..\Run: [slowford] C:\DOKUME~1\Mario\ANWEND~1\GPLSAV~1\Inforect.exe
O4 - HKCU\..\Run: [Shield] F:\Programme\Acronis\PrivacyExpert\Shield.exe
O4 - Global Startup: Logitech SetPoint.lnk = C:\Programme\Logitech\SetPoint\SetPoint.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = F:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O8 - Extra context menu item: &Clean Traces - F:\Programme\DAP\Privacy Package\dapcleanerie.htm
O8 - Extra context menu item: &Download with &DAP - F:\Programme\DAP\dapextie.htm
O8 - Extra context menu item: Download &all with DAP - F:\Programme\DAP\dapextie2.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_04\bin\npjpi150_04.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_04\bin\npjpi150_04.dll
O9 - Extra button: Acronis Pop-Up-Blocker - {2E071ADC-ADF8-4b4b-8ACB-EDC49E6D45A2} - F:\Programme\Acronis\PrivacyExpert\Blocker.dll
O9 - Extra 'Tools' menuitem: Acronis Pop-Up-Blocker - {2E071ADC-ADF8-4b4b-8ACB-EDC49E6D45A2} - F:\Programme\Acronis\PrivacyExpert\Blocker.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - F:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - F:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{BDE8BF8B-5005-448F-91B7-E87742096B9B}: NameServer = 195.3.96.68
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O23 - Service: Acronis Scheduler2 Service (AcrSch2Svc) - Acronis - C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedul2.exe
O23 - Service: AntiVir Scheduler (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: CA ISafe (CAISafe) - Computer Associates International, Inc. - C:\WINDOWS\system32\ZoneLabs\isafe.exe
O23 - Service: gearsec - GEAR Software - C:\WINDOWS\System32\gearsec.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe
O23 - Service: mysql - Unknown owner - F:\Programme\XAMPP\xampp\mysql\bin\mysqld-nt.exe
O23 - Service: Acronis Malware Shield Service (psh_svc) - Unknown owner - C:\Programme\Gemeinsame Dateien\Acronis\Malware Shield\psh_svc.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Programme\Analog Devices\SoundMAX\SMAgent.exe
O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - F:\Programme\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - F:\Programme\TuneUp Utilities 2006\WinStylerThemeSvc.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZONELABS\vsmon.exe

laut Auswertung wird nur "R3 - Default URLSearchHook is missing" als Böse eingestuft.

MfG
Mario

[ShadowHunter]

Zitat

Nur weil ich mal nen Virus hab soll ich gleich mein System neu aufsetzen?

Ja und wenn du den Sticky gelesen hast weisst du auch warum!
Du musst es auch nicht machen, aber wenn dann doch bitte den PC vom Internet trennen.

Zitat

Für was gibt es Antivirus-Programme?

Zum erkennen des Viruses! Das sie ihn komplett entfernen können ist Irrglaube, erst recht solche wie Antivir nicht bzw. Zonelabs 8)

Hmm nicht nur Böse sondern auch einige Unbekannte die man genauer betrachten sollte!

Dieser Beitrag wurde von ShadowHunter bearbeitet: 28. April 2006 - 21:56