"I-Worm.Sober.i" im Inbox-Ordner durch eScan entdeckt
 

Hallo liebes Forum!

Bei einem routinemäßigen Durchlauf mit eScan habe ich den Wurm "I-Worm.Sober.i" in drei Mails in den Ordnern meines Mailprogrammes Thunderbird entdeckt. Hier die Stellen aus dem Log:
....
Fri Dec 24 14:30:04 2004 => File D:\Dokumente und Einstellungen\Nicole und Frank\Anwendungsdaten\Mozilla\Profiles\default\bd0cx2pw.slt\Mail\pop.mail.yahoo.de\Inbox infected by "I-Worm.Sober.i" Virus. Action Taken: No Action Taken.
....
Fri Dec 24 14:30:20 2004 => File D:\Dokumente und Einstellungen\Nicole und Frank\Anwendungsdaten\Thunderbird\Profiles\ubipoao4.default\Mail\pop.gmx.de\Inbox infected by "I-Worm.Sober.i" Virus. Action Taken: No Action Taken.
....
Fri Dec 24 14:30:31 2004 => File D:\Dokumente und Einstellungen\Nicole und Frank\Anwendungsdaten\Thunderbird\Profiles\ubipoao4.default\Mail\pop.mail.yahoo.de\Inbox infected by "I-Worm.Sober.i" Virus. Action Taken: No Action Taken.

Ich arbeite unter Windows XP Home ausschließlich unter einem Benutzer, der über keine Administratorrechte verfügt. Alle Sicherheitsupdates sind installiert.

Hier mein HiJackThis-Ergebnis:

Logfile of HijackThis v1.99.0
Scan saved at 10:30:56, on 25.12.2004
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
D:\WINDOWS\Explorer.EXE
D:\WINDOWS\system32\atiptaxx.exe
D:\Programme\Launch Manager\LaunchAp.exe
D:\Programme\Launch Manager\HotkeyApp.exe
D:\Programme\Launch Manager\CtrlVol.exe
D:\Programme\Launch Manager\Wbutton.exe
D:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
D:\Programme\Logitech\iTouch\iTouch.exe
D:\PROGRA~1\T-DSLS~1\SpeedMgr.exe
D:\Programme\QuickTime\qttask.exe
D:\Programme\AVPersonal\AVGNT.EXE
D:\WINDOWS\system32\ctfmon.exe
D:\Programme\Logitech\iTouch\kbdtray.exe
D:\Programme\Microsoft Office\Office10\MSOFFICE.EXE
C:\bases\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://windowsupdate.microsoft.com/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll
O4 - HKLM\..\Run: [ATIModeChange] Ati2mdxx.exe
O4 - HKLM\..\Run: [AtiPTA] atiptaxx.exe
O4 - HKLM\..\Run: [LaunchAp] D:\Programme\Launch Manager\LaunchAp.exe
O4 - HKLM\..\Run: [HotkeyApp] D:\Programme\Launch Manager\HotkeyApp.exe
O4 - HKLM\..\Run: [CtrlVol] D:\Programme\Launch Manager\CtrlVol.exe
O4 - HKLM\..\Run: [Wbutton] "D:\Programme\Launch Manager\Wbutton.exe"
O4 - HKLM\..\Run: [NeroCheck] D:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [EM_EXEC] D:\PROGRA~1\Logitech\MOUSEW~1\SYSTEM\EM_EXEC.EXE
O4 - HKLM\..\Run: [zBrowser Launcher] D:\Programme\Logitech\iTouch\iTouch.exe
O4 - HKLM\..\Run: [T-DSL SpeedMgr] "D:\PROGRA~1\T-DSLS~1\SpeedMgr.exe"
O4 - HKLM\..\Run: [QuickTime Task] "D:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [AVGCtrl] D:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKCU\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\ctfmon.exe
O4 - Startup: Verknüpfung mit MSOFFICE.lnk = D:\Programme\Microsoft Office\Office10\MSOFFICE.EXE
O4 - Global Startup: Microsoft Office.lnk = D:\Programme\Microsoft Office\Office\OSA9.EXE
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.co...?1101286608247
O23 - Service: AntiVir Service - H+BEDV Datentechnik GmbH - D:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: Ati HotKey Poller - Unknown - D:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: AntiVir Update - H+BEDV Datentechnik GmbH, Germany - D:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: TSMService - T-Systems Nova, Berkom - D:\Programme\T-DSL SpeedManager\tsmsvc.exe

Könnt ihr mir sagen, wie ich weiter verfahren soll?

Danke im Voraus.

Mediävist

@Mediävist
gebe HJT bitte einen eigenen ordner
update dein avscanner, wechsle in den abgesicherten modus, und den scanner mal laufen lassen. Antivir müßte sober doch kennen.
hier ganz unten findest du ein removaltool
chaosman

Hallo Schädlingsbekämpfer!

Nachdem eScan den "I-Worm.Sober.i" gemeldet hatte, hat nach drei erfolglosen Versuchen im abgesicherten Modus (mit Antivir, SpyBot, AnAware) der BitDefender ebenfalls den Wurm in den unten genannten Verzeichnissen des Mailprogramms Thundermail entdeckt und gelöscht.

Netterweise hat der BitDefender mir gezeigt, in welchen Mails der Wurm versteckt war, und das waren ausnahmslos Mails, die ich einst ohne zu lesen aus der Inbox und anschließend aus dem Papierkorb gelöscht habe, weil mir klar war, dass diese gefährlich sind!

Kann es sein, dass der Virenscanner Signaturen von Würmen (BitDefender spricht von "Bodies") in Mails findet, die ich niemals geöffnet und direkt gelöscht habe? Wie gefährlich sind diese gelöschten, verseuchten Mails noch? Wie lösche ich dann Mails sicher und endgültig?

Für Informationen darüber, wäre ich sehr dankbar.

Fröhliche Weihnachten euch allen.

Mediävist