wuamgrd-backdoorworm #2

[Göst]

....hatte schon mal hier gepostet-ohne erfolg:
also nochmal meine frage: wie bekommme ich den wurm von meiner platte?habe schon einiges probiert-ist aber nicht zu killen das teil. antivir findet ihn zwar-kann ihn aber nicht löschen da das ding gelockt ist.kerio firewall meldet sich auch ab und zu mal das das ding eine connection aufbauen will,in hklm habe ich auch schon diverse einträge vom virus gelöscht-ohne erfolg-das ding ist immer wieder da.das teil ist permanent(gleich 2x) im autostart drin und lässt sich da auch nicht entfernen.....ist glaub ich langsam zeit für linux oder zumindest wieder ms 98...der ganze wormshit nervt langsam.

[Storm]

Panda active scan drüber laufen lassen. Gibts auf www.pandasoftware.de kostenlos.

[Lokadamus]

mmm...

Hijackthis (Link klick Signatur) laufen lassen und Protokoll posten, dann können wir nachschauen, wodurch es aufgerufen wird ...

[Denniss]

Systemwiederherstellung aktivieren damit sich der Virus nicht wiederherstellen kann .
Wenn es einen abgesicherten Modus gibt dann diesen nutzen und Datei/Virus entfernen

[Göst]

hiermal logfile:



Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Unable to get Internet Explorer version!

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINDOWS\System32\wuamgrd.exe
C:\WINDOWS\system32\ntvdm.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\Programme\Gemeinsame Dateien\EPSON\EBAPI\SAgent2.exe
C:\Programme\Kerio\Personal Firewall 4\kpf4ss.exe
C:\Programme\Kerio\Personal Firewall 4\kpf4gui.exe
C:\Programme\Kerio\Personal Firewall 4\kpf4gui.exe
C:\T-ONLINE\BSW4\ToDuCAlC.EXE
C:\Programme\WinRAR\WinRAR.exe
C:\DOKUME~1\Uhu\LOKALE~1\Temp\Rar$EX00.375\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [Microsoft Update] wuamgrd.exe
O4 - HKLM\..\RunServices: [Microsoft Update] wuamgrd.exe
O4 - HKCU\..\Run: [Microsoft Update] wuamgrd.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O9 - Extra button: Related (HKLM)
O9 - Extra 'Tools' menuitem: Show &Related Links (HKLM)
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/CAB/x86/unicode/iuctl.CAB?38112.3104398148
O17 - HKLM\System\CCS\Services\Tcpip\..\{5F57D26E-786B-41C9-8752-E6A07CE20B66}: NameServer = 217.237.149.225 194.25.2.129

[Lokadamus]

Original geschrieben von Göst
Im Taskmanager abschiessen und die Datei selber danach löschen:
C:\WINDOWS\System32\wuamgrd.exe

Diese Einträge entfernen:
O4 - HKLM\..\Run: [Microsoft Update] wuamgrd.exe
O4 - HKLM\..\RunServices: [Microsoft Update] wuamgrd.exe
O4 - HKCU\..\Run: [Microsoft Update] wuamgrd.exe

Virenscanner ist entweder nicht uptodate oder Antivir hat das Teil nicht gründlich untersucht ...