nach deinstallation von KAV (wollte ihn neu und diesmal ohne commandocentre wie oft hier empfohlen neu installieren) meldete mir mein AVG (wollte ich bis zum abend vorübergehend haben, weil ich weiß, daß KAV installieren mehr zeit und geduld benötigt als ich tagsüber erübrigen kann)einen virusfund TROJANISCHES PFERD DIALER in ...\system32\goinunistall.exe die datei konnte lt. AVG geheilt werden. meine fragen dazu an alle, die sich schon mehr damit beschäftigt haben (und in diesem forum gibts zum glück genug davon [img]graemlins/aplaus.gif[/img] :
1. da ich im zeitraum von meiner letzten online-sitzung bis zum wiedereinschalten und deinstallieren von KAV den pc nicht eingeschaltet hatte und schon gar nicht online war (wähl mich analog ein, weil ich in einem entwicklungsland daheim bin, wo man normalerweise nur mit buschtrommmeln und brieftauben kommuniziert [img]redface.gif[/img] da geht sonst nix), müßte KAV doch noch zuletzt den eindringling gemeldet haben, oder?
2. kann der trojaner tatsächlich auch von selbst eine verbindung über analog herstellen, wenn der pc eingeschaltet aber offline ist?
3. ist die datei goinunstall.exe eigentlich eine windows-datei (wk2/sp3 wird verwendet, sowie ie6 mit sp1)?
4. beim herumsuchen im forum taucht immer wieder der hinweis auf YAW auf. ist das ein zuverlässiger schutz gegen diesen trojaner?
wär super, bis zum abend ein paar antworten vor zu finden

AVG kene ich nicht, deswegen kann ich nichts zum scanner sagen, was Fehlalarme und so angeht. Dir wurde aber ein "Trojanisches Pferd Dialer" gemeldet. Es ist also anzunehmen, dass es sich um einen Dialer und nicht um einen Trojaner handelt. Dialer wählen sich per Teleonleitung mir irgendeiner 0190 oder 0900er Nummer ein. Die Einwahlzeit zählt dann so, als ob du unter dieser Nummer angerufen hättest und zahlst dafür dann auch entsprechend. Wenn du offline bist, das Programm mit dem Windowsstart ausgeführt wurde, ist es sehr wohl möglich, dass sich das Prog eingewählt hat bzw. dass es sich einwählen kann! Manche Dialer sind sogar so "dreist", dass sie sich per ActiveX aus dem internet downloaden (wenn man auf diversen Seiten verkehrt...), automatisch die Internetverbindung trennen und sich under der teueren Nummer einwählen (z.B. der "Webdialer"). YAW blockiert ersteinmal jedes Programm, dass die Möglichkeit besitzt, sich ins Internet einzuwählen. Danach kannst/musst du entscheiden, ob das vorerst blockierte Programm erlaubt werden soll oder nicht. YAW ist also ein Schutzprogram vor Dialern und nicht vor Trojanern.

ciao, Cyber

[ 14. Februar 2003, 14:26: Beitrag editiert von: CyberFred ]

@cyber: danke für die infos! merke schon, daß ich bei ein paar stunden bei euch im forum mehr lerne als in ein paar jahren, wenn man den selbsternannten pc-spezialisten im bekanntenkreis zuhört [img]graemlins/aplaus.gif[/img]
hab YAW inzwischen ausprobiert und noch zwei als verdächtig geltende dateien gefunden, die ich aber nicht einordnen kann: aconti.exe im winnt-ordner und webchkup.exe in der adaptec-brenner-sw
kann mir hier noch wer was dazu sagen?
danke im voraus!

aconti.exe hört sich sehr nach Dialer an. Du kannst ja selber mal nach "aconti.exe" googlen, aber VORSICHT! Wahrscheinlich führen viele der resultierenden Links zu Dialer-Downloads.

Das andere ist wahrscheinlich nur ein Update-Programm für deine Brenn-Software.

Gruß Tiber

Hallo leo.pold!

</font><blockquote>Zitat:</font><hr />Original erstellt von leo.pold:
hab YAW inzwischen ausprobiert und noch zwei als verdächtig geltende dateien gefunden, die ich aber nicht einordnen kann: aconti.exe im winnt-ordner</font>[/QUOTE]Das ist in der Tat ein Dialer. Lass ihn von YAW in Quarantäne versetzen - sichere ihn dann als Beweismaterial (falls er sich z.B. über eine Analog-/ISDN-Verbindung kostenpflichtig eingewählt haben könnte).

Präventiv kannst Du z.B. auf den Internet Explorer verzichten - oft kommen über ihn (uneingeschränktes Active X, JSCript) Dialer auf den Rechner.

Edit:
Hier zusätzliche Signaturen für den Kaspersky:
ftp://ftp.kaspersky.com/utils/special_bases/x-files
http://www.kaspersky.com/de/support.html?chapter=944659

[ 14. Februar 2003, 19:15: Beitrag editiert von: mmk ]

@mmk:
Und was hat das für einen Sinn den dialer zu archivieren? Bekommt man dann das Geld erstattet, wenn man nachweisen kann auf einen Dialer reingefallen zu sein? Kenne mich damit nicht aus.

ciao, Cyber

@mmk:

offtopic-fragen:

die x-base wird ja nicht täglich aktualisiert, sondern - wie ich gemerkt habe - wöchentlich (bitte mich bei fehler zu korrigieren)...

wenn man jetzt die x-base ausführt, und danach den daily update, dann übernimmt er die x-base nicht...

wenn man zuerst die daily und dann die x-base updated, dann ist man wieder auf den stand der x-base (letzer wochenstand) zurück...

täuscht mich das jetzt nur, oder ist dem wirklich so (zumindest wenn ich die viruslists mit der mitgelieferten funktion aufrufe bzw. die anzahl der viren ansehe, dann scheint das hinzukommen) ?

ich hab's bis jetzt so gehalten, das sonntag bis freitag die dailys genommen werden, und samstags die x-bases (die daily sind ja auch AFAIK um einen tag verzögert)...

oder gibt's eine andere möglichkeit, die dailys mit der x-base zu "mischen" ?

[img]graemlins/teufel3.gif[/img]

thanks @all! [img]graemlins/aplaus.gif[/img]

Hmmm,

ich bekomme TESTHIGHERROR

wenn ich die x-files laden will..

Domino

ok...

meine fragen hab ich mir grad selbst halbwegs beantwortet [bastel grad an einem vb-script, dass die beiden files (x-files.avc und x-dialer.avc) downläd und danach die avp-setliste editiert; ich rätsel grad, wie ich das mit dem namens-append löse, da man das lt. kaspersky zwischen dem letzten listeneintrag und vor der digitalen signatur eintragen soll]

[img]graemlins/teufel3.gif[/img]

hi @ all

es gibt sehr wohl einen trojaner/wurm der einen dialer im gepäck hat und seit dem 10.02.03 bekannt ist.

dieser schädling verändert die sicherheitseinstellungen des ie, installiert und aktiviert einen dialer. selbst der dfü-dialog sowie modem-lautsprecher werden deaktiviert. einfaches löschen des dialers nützt nichts, da der wurm den fehlenden dialer sofort wieder nachläd.

näheres HIER und HIER.

gruß schlibo

Nee...zählt nicht. 15 Liegestütz und drei Runden um den Block! Hihi...ich hab mir so was schon fast gedacht...

hi lieber paranoiar

ich gehe mal davon aus, dass auch du des lesens mächtig bist. bitte sag mir doch wo ich mich verlesen haben soll (auch ich bin nicht unfehlbar).

tut mir leid - aber für lottozahlen bin ich nicht zuständig.

wie du aber auf das verkehrte jahr kommst ist mir noch ein rätsel.

allerliebster gruß
schlibo

@Schlibo

Para dachte halt, 10.02.03 ist der 2. Oktober 2003. Das Jahr war also nicht verkehrt; nur Monat und Tag kann man schon mal verwechseln, wenn man sich zuviel auf Ami-Servern rumtreibt und dazu evtl. noch übernächtigt ist.

Gruß [img]graemlins/daumenhoch.gif[/img]
Yopie

</font><blockquote>Zitat:</font><hr />Original erstellt von Schlibo:
es gibt sehr wohl einen trojaner/wurm der einen dialer im gepäck hat und seit dem 10.02.03 bekannt ist.</font>[/QUOTE]Kannst du mir auch die Lottozahlen von Samstag per PM schicken?
Ok, wahrscheinlicher ist, daß du dich beim Datum um ein Jahr verschrieben hast, aber man kann es ja versuchen
Para

[ 15. Februar 2003, 00:45: Beitrag editiert von: Paranoia ]