Windows Wurm... how to?

[_Funkiwi_]

aloha, ich hab den Worm.win32.viking.bb auf dem rechner von meinem bruder und bekomme den nicht (so einfach) entfernt, er selbst hat noch kasperski aufm rechner, aber das hilft nicht dagegen.

ich hab
http://www.sophos.de/security/analyses/w32lookedak.html

gefunden dann auch, aber so richtig schlau werde ich daraus nicht, anybody else? ^^

[Gast]

du musst das programm erst kaufen dazu

[_Funkiwi_]

ja okay, wie siehts mit ner "umsonst" lösung aus? ^^

[Gast]

probier aus

findest auch über googlre haufenweise

[Gast]

teste mal das

http://www.pctools.com/de/mrc/infections/id/Worm.Viking/

[sei laut]

ja okay, wie siehts mit ner "umsonst" lösung aus? ^^

Da das Ding wie vieles in der Registry sitzt, mach nen Hijackthis Scan.. dann solltest du den Eintrag loswerden können. Die Frage ist, ob der Rechner dann noch sicher genug ist.

[_Funkiwi_]

probierich aus, thx

[Gast]

Um den Rechner wieder vertrauenswürdig zu bekommen, führt nichts am Neuaufsetzen vorbei. Bestimmt nicht das was du hören willst, ist aber so.

[_Funkiwi_ ausgeloggt]

warum?

[mbee]

warum?

Weil das ganze Teil inzwischen derart kompromittiert sein könnte, dass selbst die gängigen Tools nichts mehr ausrichten oder auch nicht alles finden.
Wer seine Kiste nach so einem Vorfall nicht platt macht, hat sich mögliche Folgen selbst zuzuschreiben.

[sei laut]

Vorallem da Würmer oftmals neue Löscher reinmachen. Sprich, sie kommen durch ein Sicherheitsloch rein und machen dann ein paar mehr auf. Schließt man das alte dann, sind die anderen dann trotzdem offen, wodurch man den Rechner befallen kann.

[_Funkiwi_ ausgeloggt]

okay seh ich ein, nur ich hab alle win updates (also win xp sp2+updates) geladen und auch kaspersky an un der router hat auch ne firewall.... wüsste jetzt nicht was ich nach dem Neuaufsetzen dann noch machen könnte, tipps sind willkommen.

[nochmal funkiwi]

nachdem ich den wurm gekillt habe, könnte ich jedoch ein paar daten sichern, seh ich das richtig, oder könnten die auch infiziert sein?

[_funkiwi_ ausgeloggt]

so gerade hijack this mal gescannt, aber ich finde nichts wirklich auffälliges

ogfile of HijackThis v1.99.1
Scan saved at 19:55:51, on 02.11.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\ATI Technologies\ATI.ACE\cli.exe
C:\Programme\DAEMON Tools\daemon.exe
C:\Programme\Razer\razerhid.exe
C:\Programme\CyberLink DVD Solution\PowerDVD\PDVDServ.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\devldr32.exe
C:\WINDOWS\System32\alg.exe
C:\Programme\Razer\razerofa.exe
C:\Programme\ATI Technologies\ATI.ACE\cli.exe
C:\Programme\ATI Technologies\ATI.ACE\cli.exe
C:\Programme\Spyware Doctor\sdhelp.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\DOKUME~1\ADMINI~1\LOKALE~1\Temp\Rar$EX00.344\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: PCTools Site Guard - {5C8B2A36-3DB1-42A4-A3CB-D426709BBFEB} - C:\PROGRA~1\SPYWAR~1\tools\iesdsg.dll
O2 - BHO: PCTools Browser Monitor - {B56A7D7D-6927-48C8-A975-17DF180C71AC} - C:\PROGRA~1\SPYWAR~1\tools\iesdpb.dll
O4 - HKLM\..\Run: [ATICCC] "C:\Programme\ATI Technologies\ATI.ACE\cli.exe" runtime -Delay
O4 - HKLM\..\Run: [DAEMON Tools] "C:\Programme\DAEMON Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [razer] C:\Programme\Razer\razerhid.exe
O4 - HKLM\..\Run: [kav] "C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe"
O4 - HKLM\..\Run: [RemoteControl] "C:\Programme\CyberLink DVD Solution\PowerDVD\PDVDServ.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Programme\Gemeinsame Dateien\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [OCAudioIni] C:\Programme\One-click Audio Converter\OCAudioIni.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: Adobe Acrobat - Schnellstart.lnk = ?
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\npjpi150_06.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\npjpi150_06.dll
O9 - Extra button: Web-Anti-Virus - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 6.0\scieplugin.dll
O9 - Extra button: Spyware Doctor - {2D663D1A-8670-49D9-A1A5-4C56B4E14E84} - C:\PROGRA~1\SPYWAR~1\tools\iesdpb.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1155842685625
O17 - HKLM\System\CCS\Services\Tcpip\..\{5CB6B701-FE09-49D1-BAF9-DC9D28183D17}: NameServer = 192.168.1.1,141.44.1.1
O20 - Winlogon Notify: klogon - C:\WINDOWS\system32\klogon.dll
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Kaspersky Anti-Virus 6.0 (AVP) - Unknown owner - C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 6.0\avp.exe" -r (file missing)
O23 - Service: PC Tools Spyware Doctor (SDhelper) - PC Tools Research Pty Ltd - C:\Programme\Spyware Doctor\sdhelp.exe

[Nvidia5]

C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.EXE

Zuviele "svchost.exe" Prozesse. Und außerdem "Explorer.exe":D
Ne sorry for OT.

[Black-Scorpion]

Und was soll der Spam von dir?
Weißt du wie viele svchost.exe normal bei ihm sind?
Was soll mit der explorer.exe sein?

[_Funkiwi_]

ich wieder vom richtigen pc, ich erkenne da nix verwerfliches dran ^^ und die svchost.exen sind schon richtig in der anzahl...

[_Funkiwi_]

okay festplatte darf sich als formatiert betrachten. trotzdem danke an alle, auch wenn keine "einfache" lösung da war :(