Hallo zusammen,

beim Versuch nach der Anleitung von nitro den #96676 Wurm zu löschen ist mir mit AntiVir www.free-av.de/ und eScan www.mwti.net/antivirus/free_utilities.asp
aufgefallen, dass auf meinem Rechner insgesamt ca. 30 solcher und ähnlicher infizierter Dateien waren.

Zwei Dateien von denen ich schon wußte, dass diese nicht koscher waren (und die immer geladen wurden) sind laut eSan mit Backddor.Rbot.gen infiziert.

Entfernen der Dateien war scheinbar nicht möglich
da eScan die Dateien "umbenannt" hat (was auch immer das genau bedeutet). Sind die damit außer gefecht gesetzt und lediglich noch auf meinem Rechner ?

Gibt es ein Programm mit dem man diese Infektion entfernen kann ? Habe es schon mit obigen beiden Programmen und Norton versucht - leider ohne Erfolg. Die anderen Standard Tools scheinen den Trojaner auch nicht zu erkennen.

Nichts deso weniger ist es mir bislang gelungen, zumindest die zugehörigen Prozesse zu entfernen.

Außerdem surfe ich jetzt mit Firefox (was ich nur jedem empfehlen kann) und verwende auch den I.E und Outlook nicht mehr.


Meine Log Datei ist aktuell das folgende und sieht doch ganz gut aus:


Logfile of HijackThis v1.97.7
Scan saved at 03:13:56, on 19.06.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Anwendungen\Scanner und Viren\AntiVir\AVWUPSRV.EXE
C:\Programme\Norton AntiVirus\navapsvc.exe
C:\WINDOWS\system32\ZONELABS\vsmon.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\T-DSL SpeedManager\SpeedMgr.exe
C:\ANWEND~1\SCANNE~1\ZONEAL~1\zlclient.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\Netscape\Netscape\Netscp.exe
C:\Programme\Norton AntiVirus\SAVScan.exe
C:\Programme\T-DSL SpeedManager\tsmsvc.exe
C:\PROGRA~1\MOZILL~1\FIREFOX.EXE
C:\Anwendungen\Scanner und Viren\HijackThis.exe

O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [NAV CfgWiz] C:\Programme\Gemeinsame Dateien\Symantec Shared\CfgWiz.exe /GUID NAV /CMDLINE "REBOOT"
O4 - HKLM\..\Run: [T-DSL SpeedMgr] "C:\Programme\T-DSL SpeedManager\SpeedMgr.exe"
O4 - HKLM\..\Run: [Zone Labs Client] C:\ANWEND~1\SCANNE~1\ZONEAL~1\zlclient.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Mozilla Quick Launch] "C:\Programme\Netscape\Netscape\Netscp.exe" -turbo
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Windows Messenger (HKLM)
O14 - IERESET.INF: START_PAGE_URL=http://GLOBAL.ACER.COM/
O17 - HKLM\System\CCS\Services\Tcpip\..\{2F20F4D3-D579-45F7-9F09-0191AEA168CC}: NameServer = 194.97.173.125 62.104.64.3
O17 - HKLM\System\CS1\Services\Tcpip\..\{2F20F4D3-D579-45F7-9F09-0191AEA168CC}: NameServer = 194.97.173.125 62.104.64.3


Die Frage bleibt aber danach wie man
Backddor.Rbot.gen wieder los wird und ob er jetzt erst mal gebannt ist ?

Hallo zusammen,

sagt mein Problem hier niemanden von euch etwas ?

Ich vermute das ist noch ein neuer Wurm, für den es noch kein Tool gibt. Weiß jemand mehr dazu ? Kann mir jemand sagen, ob dieser Wurm nun inaktiv ist, da eScan ihn umbenannt hat ?

Danke

Stefan

Hi!

Das LOG sieht meiner Meinung sauber aus, aber

O14 - IERESET.INF: START_PAGE_URL=http://GLOBAL.ACER.COM/
O17 - HKLM\System\CCS\Services\Tcpip\..\{2F20F4D3-D579-45F7-9F09-0191AEA168CC}: NameServer = 194.97.173.125 62.104.64.3
O17 - HKLM\System\CS1\Services\Tcpip\..\{2F20F4D3-D579-45F7-9F09-0191AEA168CC}: NameServer = 194.97.173.125 62.104.64.3

würde ich von HJT fixen lassen. Ist das erstere wirklich die von Dir gewünschte Startseite? Die anderen beiden Einträge kann ich nicht unterbringen. Wenn sie Dir auch nichts konretes sagen, dann weg damit.

Gruß!
MyThinkTnk