Hallo,
hoffe, Ihr könnt mir helfen.
Als ich vor zwei Tagen gegen 0.00 Uhr meinen PC kurz verlassen hatte und dann wiederkam, war in der Zwischenzeit mein PC neugestartet und das Willkommensfenster war zu sehen.
Allerdings standen dort nun plötzlich zwei Benutzerkonten. Einmal meines und eines welches sich "cclogin" nannte (kennwortgeschützt). Ich habe mich über mein Konto angemeldet und sofort sprang Zonealarm an und fragte, ob "winsvc.exe" aufs Internet zugreifen dürfe... Habe ich verneint, diese Datei erst mal gesucht und unter "C: Windows - System32" gefunden. Erstellt wurde diese Datei am selben Tag um 23.08 Uhr. Laut Ereignisanzeige unter "Sicherheit" wurde dieses Konto "cclogin" auch exakt um 23.08 Uhr angelegt. Mein Hintergrundwächter KAV lief den ganzen Abend, hatte aber nie gemeckert. Zonealarm war allerdings vor dem Neustart um 0.00 Uhr deaktiviert gewesen. Habe also sogleich KAV komplett durchlaufen lassen, dieser fand aber nix. Löschen ließ sich die Datei auch erst, als ich den Starteintrag unter msconfig und den Dienst im Taskmanager beendet hatte. Ich habe diese Datei dann erst mal im "Papierkorb" gelassen, weil ich wissen wollte, was es war. Ein zweiter Virenscanner fand auch nichts! Ein Onlinescan bei Trendmicro gestern hatte dann ergeben, daß ich den "BKDR_SDBOT.GEN" auf meinen PC habe/hatte. 3 Dateien waren insgesamt infiziert.
Einmal halt diese besagte "winsvc.exe" und zwei weitere Dateien unter "C: System Volume Information - Restore -..." Habe alle drei löschen lassen. Heute allerdings, nach einem weiteren Onlinescan war eine mit diesem Backdoor infizierte Datei unter "C: System Volume Information - Restore ..." wieder da. Ließ dann nochmal KAV durchlaufen und siehe da, heute fand KAV die infizierte Datei unter "C: System Volume..." auch. Ich ließ sie dann löschen und hoffe, nun auch endgültig, Ein weiterer Scan jedenfalls war okay.

Die infizierten Dateien sind ja jetzt alle gelöscht und auch das neu angelegte Benutzerkonto habe ich gelöscht. Mein Frage nun: Reicht das aus oder muß ich noch irgendwas beachten? Kann man irgendwie feststellen, was dieser Trojaner sonst noch alles angestellt hat?

Lieben Dank schon mal und viele Grüße
nici

P.S.: Betriebssystem: Win XP Home Edition

</font><blockquote>Zitat:</font><hr />Original erstellt von nici:

Einmal halt diese besagte "winsvc.exe" und zwei weitere Dateien unter "C: System Volume Information - Restore -..."

nach einem weiteren Onlinescan war eine mit diesem Backdoor infizierte Datei unter "C: System Volume Information - Restore ..." wieder da.
</font>[/QUOTE]du solltest die systemwiederherstellung deaktivieren...(xp)

tony

[ 15. Februar 2004, 20:21: Beitrag editiert von: tony manero ]

Danke, werd ich machen [img]smile.gif[/img]

Hoffe mal, daß jetzt wieder alles okay ist...etwas mulmig ist mir ja schon, da ich nicht weiß, was der außer dem neuen Benutzerkonto noch so alles angestellt hat...

Viele Grüße
nici