virus/trojaner oÄ

[bernie0303]

muss euch mal wieder belästigen, hab nämlich folgendes problem:
hab vor etwa ner halben stunde eine meldung bekommen am oberen bildschirmrand, zentriert, schwarz hinterlegt. was da genau drin stand weiß ich nimma
jedenfalls wars irgendwas von wegen virus.

also inet-verbindung abgebrochen (vorher hijackthis drüber laufen lassen), der hat aber nix gefunden.

werd jetz über nacht den virenscanner "Avira Antivir" mal suchen lassen.

und darum gehts auch bei meiner frage:
gibts ein anderes/besseres antiviren programm?
kennt vlt noch jemand diese schwarze botschaft?

hab mir die letzten tage auch nix runtergeladen (mal abgesehen von der partypoker software). und auch so hat avira nie irgendwas gefunden.

na mal schauen was die nacht ergibt.

 

[Crazy Kenny]

Ad-aware ist ganz gut gegen einige böse sachen.

Die Meldung war nicht zufällig nen Werbebanner?

Wenn highjackthis, Ad-aware und Antivir nichts finden, dann ist da wohl auch nichts.

 

[Seelenschneider]

...Spybot kannst du noch testen und nen Onlinecan (wen du magst).

Klick mich

Seele

 

[BaronTeku]

Ad-aware ist ganz gut gegen einige böse sachen.

Die Meldung war nicht zufällig nen Werbebanner?

Das könnte ich mir vorstellen - wenn man die kostenlose Version von Avira Antivir nutzt, spendiert der nach jedem Upgrade kostenlose Werbung im großen Fenster.

 

[Korrn]

Naja, Dein Virenscanner sollte am besten mal im Abgesicherten Modus, oder besser noch von einer Live-CD gestartet werden.

>Wenn highjackthis, Ad-aware und Antivir nichts finden, dann ist da wohl auch nichts.
Je mehr Vertrauen man in seine Sicherheit hat, desto unsicherer ist man!
1. Müssen alle Definitionen aktuell sein,
2. muss das betroffene System ordentlich gehärtet sein (Firewall, Passwörter, etc)
3. Wenn ich jetzt einen Virus o.ä. schreibe, dann hat Dein Antivir erst dann eine Chance, wenn Antivir den kennt, seine Definitionen updated und Du die Definitionen auch installiert hast.

 

[bernie0303]

danke schonmal für eure antworten.

antivir suckt ... läuft jetz seit gestern, roundabout 10 stunden, und is grad mal bei 50% ... wieso? ganz einfach, er hat nen "trojaner" gefunden, in dem key-tool, um bei d2 den key anzuzeigen. und da er nicht wusste, was er damit machen soll, hat er gewartet bis ich auf ignorieren geklickt hab
ich hoff es kommt sonst nix mehr, komm ja erst um 17.00 oder so wieder heim.

nu denn:
@kenny: werbebanner? nun, ausschließen kann man das natürlich ned.
aber WENN das ein werbebanner war, woher kam dieser? ich war gestern definitiv auf keiner anderen seite als in den tagen davor. hatte ich auch vorher nie. dazu kommt die aufmachung, kann mir ned vorstellen, dass man damit werbung machen kann.
war vlt 3 cm breit, schwarzer hintergrund, weißer rahmen, weiße schrift.
danke für den link, werd ihn mir zuhause dann anschauen.

@seele:
spybot hatte ich scho mal, an den hätt ich gar ned gedacht. werd ich auch zuhause versuchen.

@Baron:
ja, ich nutze die kostenlose version. aber der werbebanner is mir bekannt, und kann ihn auch ausschließen

@Korrn: wie oben beschrieben, suche jetz erstmal so. hab keine live-cd (glaub ich), wüsste ned woher.


was mich noch wundert: seit gestern funktioniert ein pw nicht mehr. is keine großartige seite, das pw is sicher (zufällige reihenfolge der buchstaben - nein, nicht asdf ). ich hoff nur, dass andere pws bei den wichtigen seiten (e-mail, ebay und co) noch vorhanden sind oO

ich halt euch auf dem laufenden.

 

[Silencer23]

Moin bernie0303

mach doch bitte mal nen Screen von der Meldung / dem "Befall" und setz ihn hier als Pic rein.

@ the rest

Gruss Silencer23

 

[bernie0303]

silencer

würd ja gern einen screen posten, das problem daran is nur (rate mal ), ich hab keinen

 

[Silencer23]

In Deinem Antiviren Programm, was die Meldung ausgespuckt hat, gibts bestimmt sowas wie ein Logbuch oder so.
Schau mal da rein, ob etwas drinsteht, wie der Virus oder Trojaner heisst.

Gruss Silencer23

 

[bernie0303]

ich glaube wir reden hier aneinander vorbei

die meldung von avira is für das programm "Show CD-key" für diablo. das hab ich ignoriert, ich kann mir nicht vorstellen, dass das ingame-network hier trojaner verbreitet.

das lustige schwarze ... wie soll ich sagen? ... board oben zentriert war einfach da, nachdem der i.net explorer von allein zugemacht wurde ("inet explorer hat ein problem festgestellt, und musste beendet werden [...]").

wenn er was findet, werd ichs posten. bin aber momentan nicht zuhause (arbeit ftw ), kann also durchaus bis 18.00 dauern.

 

[Seelenschneider]

...ne andere Alternative wäre (Systemwiederherstellung falls du diese aktiviert hast).

Silence

 

[bernie0303]

evtl auch noch eine idee, ja. vorausgesetzt ich hab das aktiviert.

obwohl, wenn ichs mir so recht überlege: bei meinem wissen is mir das dann doch zu riskant. kenn mich überhaupt ned aus mit diesen dingen, und bevors dann komplett hinüber is ...

naja, erstmal warten, wie das ergebnis is.

 

[Ferd_Q3a]

viren kommen nich immer aus dem inet. in letzter zeit gingen vermehrt auch meldungen rum, dass viren z.b. auf usb-sticks, mp3-playern und sonstiger peripherie ab werk ausgeliefert wurden. also hast du dir evt. so was eingefangen. ist blos ne denkrichtung. also falls du dir tatsächlich kürzlich sonen gerät angestöpselt hast google einfach mal danach

und ansonsten kann ich dir nur sagen, dass ich auch neulich nen befall hatte. der hatte zwar eher harmlose auswirkungen (konnte unter eigene dateien den ordner "dokumente und einstellungen" nicht öffnen). da hab ich adaware, antivir hijackthis und alles drüber laufen lassen. waren alle ständig aktualisiert. geholfen hats nichts. bin dann zum kumpel mit der platte --> hat von seiner aus gescannt und BAM mind. 50 einträge...

das is meist nur ungefährliches zeug, aber mitunter auch recht pheezes phishing zeugs... also ich kann dir nur empfehlen da mal von nem gesicherten rechner aus was drüber alufen zu lassen

 

[bernie0303]

so ganz spontan könnt ich mich ned erinnern, usb-stick, mp3-player oder so am pc benutzt zu haben. und selbst wenn, dann nur solche, die ich schon einige male benutzt hab.

was hat denn dein kumpel dafür benutzt?
und wieso wird von relativ vielen leuten eher empfohlen, im gesicherten modus zu testen, als beim normalen betrieb? wo is der unterschied?

LG

€: bin jetz erstmal raus, werd dann am späten nachmittag/abend noch die ergebnisse posten.

bin scho gespannt was der spybot s&d findet. wird sicher einiges sein

 

[Ferd_Q3a]

im abgesicherten modus werden nur die nötigstens anwendungen gestartet. viren trjoaner und ähnliches können dadurch nicht aktiv werden und keinen (weiteren) schaden anrichten...

ich weiss selber nit genau mit was er gescannt hatte, war glaube macaffee. das sollte aber prinzipiell keine rolle spielen, da ich vermute, dass die viren/trojaner es irgendwie verhindern, von handelsüblichen scannern erwischt zu werden solange das suchende system das befallene ist... die löschen vlt ihre einträge in den suchroutinen des jeweiligen scanners. das is aber eher ne vermutung als alles andere. ich hatte das nämlich auch schon, dass auf demr echner meines vaters, der auch avir drauf hat mit autoupdate nen virus drauf war, den seins nicht gefunden hat, meins aber schon

/edit übrigens lass dich vom spybot nich ins boxhorn jagen, der findet bei xp sp2 immer nen eintrag, der aber harmlos ist (ich komm grade nich auf den namen...)
jedenfalls ist dieser eintrag immer wieder da, auch wenn du 2mal hinternander scannst und ihn zwischendurch gelöscht hast...

 

[bernie0303]

wir haben ein ergebnis \o/

neben dem showcd-key, wurde noch was von alcohohl* gefunden, und die folgende liste:

1. C:\pagefile.sys
[WARNUNG] Die Datei konnte nicht geöffnet werden!

2. C:\Dokumente und Einstellungen\bernie\Lokale Einstellungen\Temporary Internet Files\Content.IE5\4T67WXYZ\scnAVengine1135200[1].cab
[0] Archivtyp: CAB (Microsoft)
--> scnAVengine.inf
[WARNUNG] Aus diesem Archiv können keine weiteren Dateien ausgepackt werden. Das Archiv wird geschlossen.

3. C:\Dokumente und Einstellungen\bernie\Lokale Einstellungen\Temporary Internet Files\Content.IE5\4T67WXYZ\scnAVengine1135200[2].cab
[0] Archivtyp: CAB (Microsoft)
--> scnAVengine.inf
[WARNUNG] Aus diesem Archiv können keine weiteren Dateien ausgepackt werden. Das Archiv wird geschlossen.

4. C:\WINDOWS\system32\KernadDrv.dll
[FUND] Ist das Trojanische Pferd TR/Cabat.40960
[WARNUNG] Die Datei wurde ignoriert.

5. C:\WINDOWS\system32\sonj32drv.dll
[FUND] Ist das Trojanische Pferd TR/PSW.OnLineGa.OCJ
[WARNUNG] Die Datei wurde ignoriert.

6. C:\WINDOWS\system32\drivers\sptd.sys
[WARNUNG] Die Datei konnte nicht geöffnet werden!

und dazu noch 2 weitere, die ich nicht posten kann. da ich die programme aber bis jetzt noch nicht verwendet hab (aber sie scho mindestens ein halbes jahr aufm pc sind), sind sie gelöscht (keine ahnung wofür ich die überhaupt haben wollte )

werd dann in kürze spybot drüber jagen.


*name des programms wurde vom autor dieses posts geändert

 

[BodyHerman]

4. C:\WINDOWS\system32\KernadDrv.dll
[FUND] Ist das Trojanische Pferd TR/Cabat.40960
[WARNUNG] Die Datei wurde ignoriert.

5. C:\WINDOWS\system32\sonj32drv.dll
[FUND] Ist das Trojanische Pferd TR/PSW.OnLineGa.OCJ
[WARNUNG] Die Datei wurde ignoriert.

Oh hai @ format c:

Alles andere ist nur nen Rauszögern des erneuten Befalls, selbst wenn dann von sämtlichen Programmen gesagt wird, er sei weg, oder, im Falle der Systemwiederherstellung, des sofortigen Befalls, da man nicht weiss, seit wann der drauf ist :>

 

[bernie0303]

Oh hai @ format c:

na ne, oder?

das heißt alles brauchbare auf die externe ziehen, und dann neu aufsetzen? verdammt ...
aber ob das so sinnvoll is bei meinen kenntnissen?

dann müsst ich die windows-cds auch erst suchen ...

andere möglichkeiten anyone?


€: kann mich an die 2 scho wieder erinnern ... eine zeit lang sind die aufgegangen, also antivir hat sie erkannt. hab immer wieder auf "in karantäne verschieben" geklickt. war aber dann nach einiger zeit wieder weg. von alleine.

 

[BodyHerman]

na ne, oder?

Doch

das heißt alles brauchbare auf die externe ziehen, und dann neu aufsetzen? verdammt ...

Weisst du, ob die nicht auch infiziert sind? Sind die nämlich mitinfiziert, ziehst du die Malware nur von einem Ort an den nächsten und schiebst eine weitere Verseuchung nur nach hinten :>

 

[bernie0303]

kann mir nicht vorstellen, dass *.mp3 und *.avi infiziert sind. oder? oO

angenommen sie wärens, wie geh ich dann am bestn vor? benzin und feuerzeug? oder tuts auch bisschen frischluft aus einem hochhaus? (nicht ich, der pc )

na ehrlich jetz, was tu ich denn mit diesen daten, die ich behalten will? wenn sie infiziert sind, wie find ich das denn raus?

€: nochwas: spybot is vor kurzem fertig geworden, und zählt unter anderem auch folgendes auf:
MicrosoftWindowsSecurityFirewallOpenPorts
MWSCenter.AntivirusOverride
MWSCenter.FirewallOverride

was isn das? löschen, oder lassen?