Trojan Horse IRC/BackDorr.SdBot.MYX

dumbid

Da ich die CDs nicht einfliegen lassen konnte, habe ich weitergesucht und folgende Lösung gefunden (ich hoffe, dass jetzt Schluss mit dem Trojaner ist!):

SOURCE OF VIRUS:
1. Downloaded a zip file, with an innocuous name, containing one file: video.exe.
2. Unzipped the file and launched video.exe.

SYMPTOMS OF VIRUS:
1. An executable file named MsMovies.exe runs automatically on startup (and apparently locks up Task Manager).
2. Prevents user from running Task Manager, by either using Ctrl-Alt-Del keys or running TaskMgr in the Run dialog.

CHANGES MADE BY VIRUS:
1. Creates these files:
a. c:/0.exe
b. c:/Program Files/msmovie, a hidden folder containing these files:
v.tmp
MsMovies.exe
p.zip, containing the same file as the one in the original download: video.exe
Adds many, many other zip files, all containing MsMovies.exe
2. Adds the following register keys:
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"MsMovies"="C:\\Program Files\\MsMovies\\MsMovies.exe /auto"
[HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache]
"C:\\Program Files\\MsMovies\\MsMovies.exe"="Windows Media Video"

OTHER NOTES:
1. Virus scanner will detect a virus in c:/0.exe.
2. Even with the file c:/0.exe deleted, MsMovies.exe still runs and locks up Task Manager.
3. MsMovies.exe can't easily be terminated by user.
4. If a firewall is used and running, it can be used to terminate MsMovies.exe.
5. MsMovies.exe will still start on next start-up however.

FIX:
1. Delete register entries, above, using regedit.
2. Delete c:/0.exe, if an anti-virus program hasn't already deleted it.
3. Delete c:/Program Files/msmovie folder and it's content (you may have to set explorer to see hidden folders and files).

Der Fix ist das Entscheidende:

Start -> Ausführen -> regedit

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"MsMovies"="C:\\Program Files\\MsMovies\\MsMovies.exe /auto" löschen.

Diese Datei kann aber auch unter
[HKEY_CURRENT_USER\Software\Microsoft\Windows\ShellNoRoam\MUICache]
"C:\\Program Files\\MsMovies\\MsMovies.exe"="Windows Media Video"
oder
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run zu finden sein. Jedenfalls hab ich sie am angegebenen Ort unter LOCAL_MACHINE nicht gefunden.

Na und dann C:/oo.exe löschen

und dann noch c:/programme/msmovie löschen. Auf der englischen Seite steht zwar c:/program files/msmovie aber ich habs wieder woanders gefunden. Kann sein, dass man "msmovies.exe" erst nach einem weiteren Neustart löschen kann. Viel Erfolg!