Einen schönen Tag,

Ich habe eine große Bitte:
Vor ein paar Tagen tauchte auf meinem XP-Home SP3 der Wurm "WORM/IRCBo.142848.2" als Alarmmeldung von AVIRA-Premium auf und zwar als "Windows\system32\svhost.exe". Nachdem ich ihn gelöscht hatte, kam er nochmals in den verschiedensten Formen, z.B: "C:\Dokumente und Einstellungen\Besitzer\sidebar.tmp oder C:\Ark2.tmp".

Nach dem Lesen von einigen NG-Threads, kam ich zu der verzweifelten Erkenntnis, möglicherweise muß ich wirklich alle drei Betriebssysteme neu Aufsetzen, Paßwörter vernichten u.s.w......, ich rief daher beim AVIRA Support an (2,16 € die Minute, dafür sollten sie eigentlich kompetent sein...) und dort versicherte man mir: Nein, das müsse nicht sein, - sondern einfach das System im abgesicherten Modus nochmals starten, den gesamten PC mit AVIRA durchforsten, --wenn dann nichts mehr kommt, ist alles in Ordnung.

Dieses Resultat habe ich erreicht, - -aaaber: Ich habe selbstverständlich Angst, das könnte nicht gereicht haben. Und dieses A..., greift vielleicht über den Backdoor auf meinen PC zu ohne, daß ich es merke. Ich bitte Euch um Rat:

Können die Support-Angaben richtig ein ? Und ich muß mir um "diesen" Wurm wirklich keine Sorgen mehr machen ? Oder kann der Wurm wirklich zugreifen, ohne daß ich es merke ? Gehört der PC wirklich nicht mehr mir (so wie ich es in einer NG gelesen habe.)

Ich danke Euch im Voraus für Eure Mühe und Hilfe,
Gruß
Ralf

Hiho

"WORM/IRCBo.142848.2" als "Windows\system32\svhost.exe"

Unschön.

Nachdem ich ihn gelöscht hatte, kam er nochmals in den verschiedensten Formen, z.B: "C:\Dokumente und Einstellungen\Besitzer\sidebar.tmp oder C:\Ark2.tmp".

Die kamen NACH dem löschen der svhost.exe?

Nein, das müsse nicht sein, - sondern einfach das System im abgesicherten Modus nochmals starten, den gesamten PC mit AVIRA durchforsten, --wenn dann nichts mehr kommt, ist alles in Ordnung.

Hey, die haben dir das Programm verkauft, also können die ja schlecht sagen "Ja sicher müssen sie nue aufsetzen, denn unser Programm kann den Backdoor möglicherweise nicht löschen."

Mal im Ernst: nach einem solchen Befall ist die einzige sichere Variante neuaufsetzen. So ein Befall ist entfernbar das ist klar, aber 1. nicht per Fernsupport, und 2. ist das ganze sehr zeitaufwändig.
Es besteht die Möglichkeit das der IRCBot jetzt erledigt ist, oder das durch den IRCBot dein System manipuliert wurde und eine wesentlich bessere und besser getarnte Hintertür in dein System eingebaut wurde.

Also entweder du hoffst dass alles sauber ist (was es mögl. auch ist), oder du setzt neu auf.

lg, Sky