Würmer trotz Formation!!!!
 

Hallo,
ich hab seid einiger Zeit riesen Probleme mit meinem Rechner und würde mich über eure Hilfe freuen.
Obwohl ich nun meinen Rechner zum 5. mal komplett lahm gelegt habe, sind immer wieder durch den virus scan von McAfee die selben Würmer zu finden.
Das Problem ist das McAfee die Würmer löscht, aber viele sachen trotzdem nicht funktionieren.
- Ich kann auf einige Links im Internet Explorer nicht zugreiffen.
- Wenn ich Firefox installieren will schliesst sich das fenster automatisch wieder.
- Netscape lässt sich installieren, öffnet aber nicht.
- Ich komm nicht in den Task-Manager.
- den Befehl Regedit führt er nicht aus.
- Ich kann etwas kopieren aber nciht wieder einfügen.

Weis jemand was ich dagegen tun kann??
Wenn ihr die Logfile braucht, sagt mir bitte wie ich da rein komme, und welchen teil ich genau rein kopieren muss.

danke

Hallo alikho,

welches Betriebssystem hast Du?

dartus

Hi

Wenn du trotz Neuinstallation wieder Malware auf dem Rechner hast, dann hast du das nicht richtig erledigt. Am besten die Anleitung hier ausdrucken und nach dieser das System neu aufsetzen.
http://www.trojaner-board.de/showpos...28&postcount=1
Allerdings steht hier nichts von deinen aktuellen, persönlichen Daten, die du am Rechner hast, die sind vermutlich verloren.

Wichtig beim Neuinstallieren ist, neben dem formatieren, alle Partitionen zu löschen und neu anzulegen.

Ich denke es ist mal wieder Zeit für "Cidres Pflichtlektüre" (tm) - Wo ? In jedem gut sortiertem Buchhandel, ehm nein lies mal meine Signatur (Vorzeugsweise : Wie setze ich mein System neu auf ?"), und schau mal ob Du da alles so gemacht hast wie es steht, hast Du was vergessen, bitte von Vorne....

Gruß
Andy

Hi

Nimm diesen Link, der ist schöner verpackt :lach:
Wie setze ich mein System neu auf ?

@ atomic


????

Muss man das hier so machen ??

Ich verstehe deinen zweiten Link nicht.Das ist der gleiche wie der erste.
Deswegen:Was sollte das?

Atomic11,auch auf die Gefahr hin, dass ich hier on Board, meine dritte Verwarnung bekomme und somit Zwangsurlaub hätte, gibt es jetzt Klartext!
Ich habe mir leider deine acht Beiträge, durchgelesen, aber keine vernünftigen Informationen gefunden, halt nur Müll, oder Spam!
Bring was konstruktives, oder mach dich vom Acker!
EOD; Charlie

Hallo Atomic,

wir haben nix dagegen wenn Du versuchen möchtest anderen Usern zu helfen, im Gegenteil, aber bitte mache dies in einer professionellen Art und Weise und spiele nicht den Clown/Papagei und zieh nicht das Niveau des Boardes (und auch der Homepage) ins lächerliche. Es gibt genug andere Foren wo Du das machen kannst (Rene und Cidre wissen welches ich meine *g* :party:).

Aber um dem user mal helfen zu wollen :

Hallo alikho,
deine Angaben sind etwas vage, und so bitten wir Dich doch mal eine Kopie vom Hijackthis-Log hier zu posten (Programm bei http://filepony.de/download-hijackthis/ runterladen, entzippen [am besten Desktop], in den ABGESICHERTEN Modus gehen, Programm starten, Scannen, Save Log (irgendwo, wo Du es easy wiederfindest), PC neu starten, normal Windows booten lassen und das LOG hier posten)

Das ist Step 1, Step 2 ist : Lade Dir eScan runter und update es (siehe meine Signatur), gehe in den ABGESICHERTEN Modus, lass es Scannen (dauert je nach HD-Größe 1 bis 3 Std.), und öffne dann das Log, such dann nach dem Wort "INFECTED", dort findest Du dann deinen Befund, der sieht dann so aus :

Sollte etwa so aussehen :

=>Total Number of Files Scanned: xxxxxx
=>Total Number of Virus(es) Found: x
=>Total Number of Disinfected Files: x
=>Total Number of Files Renamed: x
=>Total Number of Deleted Files: x
=>Total Number of Errors: x
***** Scanning complete. *****

(Bitte mit DEM Teil posten, wo angezeigt wird welcher Virus/Worm/Hijacker o.a. evtl. gefunden wurde)

Kannst natürlich auch beide Schritte auf einmal machen ;). Und dann beide Logs auf einmal posten.

Gruß
Andy

Ich wäre echt froh wenn ich nicht richtig formatiert hätte, hab ich aber. Ich habe alle Partitionen gelöscht so das ich nur noch einen unpartitionierten berreich hatte. hab diesen wieder erstellt, formatiert und dann windows xp installiert. Hab noch ein Problem gefunden, wenn ic ein fenster minimiere, wird er ncht mehr in der Startleiste angezeigt. Naja schaut selbst.
Hier ist schonmal step1 (Step 2 werde ich noch nachreichen):

Logfile of HijackThis v1.99.1
Scan saved at 08:17:39, on 04.04.2005
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\userinit.exe
C:\WINDOWS\Explorer.EXE
C:\Dokumente und Einstellungen\BOZZ\Lokale Einstellungen\Temp\Temporäres Verzeichnis 2 für hijackthis.zip\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.internetcologne.de
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.internetcologne.de
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.internetcologne.de
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.internetcologne.de/
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [WinDSL MTU-Adjust] WinDSL_MTU.exe
O4 - HKLM\..\Run: [ShStatEXE] "F:\Network Associates\VirusScan\SHSTAT.EXE" /STANDALONE
O4 - HKLM\..\Run: [McAfeeUpdaterUI] "F:\Network Associates\Common Framework\UpdaterUI.exe" /StartedFromRunKey
O4 - HKLM\..\Run: [VGA6 Startup] vgacard6.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [VGA6 Startup] vgacard6.exe
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O23 - Service: McAfee Framework-Dienst (McAfeeFramework) - Network Associates, Inc. - F:\Network Associates\Common Framework\FrameworkService.exe
O23 - Service: Network Associates McShield (McShield) - Network Associates, Inc. - F:\Network Associates\VirusScan\Mcshield.exe
O23 - Service: Network Associates Task Manager (McTaskManager) - Network Associates, Inc. - F:\Network Associates\VirusScan\VsTskMgr.exe

Hallo alikho,

wenn man mit einen Betriebssystem ins I-Net geht, dass nicht uptodate ist, darfst Du Dich über ungebetenen Besuch nicht wundern.
Das sieht nach einem Backdoor-Trojaner aus. --> http://de.wikipedia.org/wiki/Backdoor
Bestell Dir die CD/SP 2 bei Microsoft (Lieferzeit knapp eine Woche) oder downloade SP 2 hier .
Gehe erst wieder ins I-Net, wenn Du Dein System mit SP 2 aktualisiert hast.
Halte Dein System stets auf den neuesten Stand.

Den Link zur empfohlenen Neuinstallation wurde Dir schon einige Male gepostet.

dartus

@ alikho

Auch in anderen Foren tauchen Threads auf, in denen genau dasselbe Problem geschildert wird. Kannst du bitte mal mitteilen,

- ob du vor dem 1. Internet-Kontakt eine Firewall aktiviert hast
- falls ja, welche?
- ob du nach dem Neuaufsetzen irgendwelche Dateien rückgesichert hast
- falls ja, welche Dateitypen waren das?

Danke.

Hi Moby, und willkommen im Forum ;)

Der Fall ist eigentlich schon abgeschlossen :) und das wichtigste ist schon gesagt worden ;) [Cidres Posting, Tips zum Scannen etc.]. Versuch in solchen Fällen wo das gröbste gesagt worden ist, nur noch Ergänzendes bzw. Fehlendes einzubringen (oder manchmal auch korrigierendes).
[Kleiner Tip : Leg Dir ne Signatur mit den wichtigsten Links an (zum Beispiel siehe meine Signatur), ist ungemein hilfreich :)]

Gruß
Andy

Hallo Andy

erstmal danke für die nette Begrüßung.
> Der Fall ist eigentlich schon abgeschlossen
Davon ging ich aus.
Wie bereits gesagt sind ähnliche Fälle auch in anderen Foren aufgetaucht. Wenn mal ein User mitteilt, er habe formatiert, neu aufgesetzt und der Schädling sei gleich wieder da gewesen, na gut, da brauche ich ja wohl nicht zu kommentieren, was man denkt. Aber in zeitlich kurzer Folge mehrere Fälle in verschiedenen Foren? Es handelt sich eindeutig nicht um denselben User, bis auf diese vgacard6.exe völlig unterschiedliche HJT-Logs.

Das machte mich einfach nur neugierig und verleitete mich zu meiner -zugegeben etwas egoistischen- Frage. Hätte ja sein können, dass sich alikho nochmal meldet. ;)

Hallo MD,

es ist auch langsam mal Zeit geworden, dass du ein paar Postings zum Besten gibst.;)

Auch von mir ein herzliches Willkommen. :party:

btw:
Wo hast du die anderen Threads bezüglich 'Würmer nach Formatierung' gelesen?

Wenn schon alte Threads aufgerollt werden dann will ich mal mitrollen kann einer definitiv was zu dieser ominösen datei vgacard6.exe sagen.
Ich hab mich jetzt auch mal durch diverse Foren gewühlt und diese datei taucht des öftere in Logfiles auf ohne das sie jemand zuordnen kann.

@ dedie

hochstwahrscheinlich gehört die Datei hierzu
und damit wie dartus schreibt "Backdoor"

Hallo Cidre,

> Wo hast du die anderen Threads bezüglich 'Würmer nach Formatierung' gelesen?

Spontan fällt mir dieser Thread ein:
http://board.protecus.de/showtopic.php?threadid=16418
Als ich heute morgen hier das Problem von alikho las, machte mich das natürlich stutzig und wurde per google noch auf englisch-sprachigen Seiten fündig. Allerdings habe ich die Links nicht mehr.

edit
@ Gigamail
Danke für den Link. Damit hat sich die Sache ja wohl aufgeklärt. Mir sagte die Datei nichts.

Hallo MobyDuck,

beide Logfile haben neben dieser "ominösen" Datei noch etwas gemein:

XP "blanK".

Es kommt häufig vor, dass User nach "Format C:" so ins I-Net gehen, um upzudaten. Dann wird aber nicht nur upgedatet.

dartus

nein ich hatte keine firewall, da ich gemerkt hatte, das meine gebrannte cd mit den Programmen auch mit viren befallen war, wollte ich allesneu runter laden. ich musste völlig ungeschützt ins net gehen.Aber ist es denn möglich das sich 6 mal hinter einander soschnell der selbe wurm runter läd??? Die möglichkeit müsste doch ziemlich niedrig sein oder nicht???
Rückgesichert habe ich nichts!!!

> Aber ist es denn möglich das sich 6 mal hinter einander soschnell der selbe wurm runter läd

Jo, nicht nur möglich, sondern wahrscheinlich. Wenn du neu aufsetzt, musst du vor dem 1. Internet-Kontakt zwingend die XP-Firewall einschalten. Schau dir mal die Anleitung von Cidre an.

@ dartus
Nach dem Hinweis von Gigamail fiel's mir wie Schuppen von den Augen :rolleyes:

@ Gigamail

thx für den Link, schon wieder was dazugelernt. :lach:


@ alikho

Es ist zumindest mit einem XP bzw. Win 2000 Rechner fast unmöglich geworden ungeschützt bzw. ohne aktuelle Updates, Servicepacks usw. online zu gehen ohne das sich die Trojaner wie Aasgeier auf den Rechner stürzen.