Hilfe - Scheisse gebaut?
 

Moin,

habe heute wohl daneben gegriffen, ironischerweise als ich eine Virenscanner installiert habe. Ich hoffe auf Hilfe...

Ich habe heute endlich mal Antivir installiert und der Durchlauf nach der Installation ergab einige Treffer, die ich gelöscht habe. Dann habe ich Windows98 nicht neu gestartet, da die Zeit knapp war.

Als ich heute abend nochmal den Rechner angeschmissen habe, habe ich auch Antivir gestartet, während Windows noch die anderen Programme bei Programmstart hochgeladen hat (u.a. den MSN Messenger). Dann ist automatisch mein Internetverbindungsprogramm (Smartsurfer) angesprungen. Da ich eh online gehen wollte, habe ich die Verbindung hergestellt. Dann hat mir mein Zonealarm gemeldet, das die Datei cmd32.exe eine Verbindung hergestellt hat. Treudoof dachte ich, dass das noch zur Antivir-Install nach Neustart des Rechner gehörte und habe blöderweise auf Zulassen gedrückt, ohne lange nachzudenken. Dann hat sich kurz ein Dos-Fenster geöffnet. Dann wollten auch noch zwei andere Dateien verbindungen herstellen (u.a. huhl.exe).

Meine Frage ist jetzt:

1. Ich habe zwar schon im Netz gesucht, konnte mit den technischen Beschreibungen meist nix anfangen. Ist CMD32.exe nun ein Trojaner oder eine Windowsanwendung, die auch manipuliert werden kann? Was ist huhl.exe?

2. Wie kann ich einen Befall feststellen, Antivir meldet mir da nix?

3. Was sind die ersten Schritte, was kann ich tun? Passwörter sind bereits geändert...

Bis dann

JTS

Hi,

für die datei CMD32.exe schaust Du
hier oder hier

ich würde vorschlagen scanne Dein System mal mit escan (Hakejn setzen bei All Local Drives und All Scan Files)
Erstelle für den eScan einen neuen Ordner (=Verzeichnis) "bases" auf "c:\". Lade den eScan runter, entpacke ihn mit einem Zip-Programm in diesen neuen Ordner. Beachte dazu die Anleitung . Update den eScan online (siehe Anleitung) und führe ihn offline im abgesicherten Modus aus. Der eScan braucht ca 1 Stunde. Die gefundenen Viren werden von hand gelöscht. Wir geben am Forum Anleitung dazu.


--> Teile uns bitte mit: wieviel Viren auf Deinem Rechner gefunden wurden - es sieht so aus:

=> Total Files Scanned:
=> Total Virus(es) Found:
=> Total Disinfected Files:
=> Total Files Renamed:
=> Total Deleted Files:
=> Total Errors:
=> Time Elapsed:
=> Virus Database Date:
=> Virus Database Count:
=>Total Number of Files Scanned:
=>Total Number of Virus(es) Found:
***** Scanning complete. *****

--> Wie die Viren heißen, möchten wir auch wissen: "öffne die mwav.log (oder die mwXface.log) -> Bearbeiten -> Suchen -> infected eingeben -> Weitersuchen -> Treffer markieren/kopieren und ins Forum übertragen." (Cidre zitiert)

Moin,

ich habe jetzt escan drübergeschickt und war doch mehr drauf als ich dachte:

Tue Mar 22 11:57:50 2005 => Total Files Scanned: 167527
Tue Mar 22 11:57:52 2005 => Total Virus(es) Found: 16
Tue Mar 22 11:57:53 2005 => Total Disinfected Files: 0
Tue Mar 22 11:57:54 2005 => Total Files Renamed: 0
Tue Mar 22 11:57:56 2005 => Total Deleted Files: 0
Tue Mar 22 11:57:57 2005 => Total Errors: 673
Tue Mar 22 11:57:59 2005 => Time Elapsed: 01:56:48

Tue Mar 22 11:58:00 2005 => ***** Scanning complete. *****
Tue Mar 22 11:58:01 2005 => Virus Database Date: 2005/03/21
Tue Mar 22 11:58:02 2005 => Virus Database Count: 122759

Tue Mar 22 11:58:04 2005 => Scan Completed.

File C:\WINDOWS\SYSTEM\cmd32.exe infected by "Trojan-Downloader.Win32.Delf.cb" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\SYSTEM\IZXXZDSAFSAFCZXCR.EXE infected by "Trojan-Clicker.Win32.Blobus.b" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\Anwendungsdaten\huhl.exe infected by "not-a-virus:AdWare.PurityScan.ap" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\SYSTEM\1.dat infected by "Trojan-Clicker.Win32.Blobus.b" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\SYSTEM\4.dat infected by "Trojan.Win32.Small.bb" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\SYSTEM\3.dat infected by "Trojan.Win32.LowZones.y" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\SYSTEM\6.dat infected by "Trojan-Dropper.Win32.Small.ty" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\TEMPOR~1\CONTENT.IE5\I7AWFHN0\URGENT NOTICE FROM SunTrust Bank BILLING DEPARTMENT.dat infected by "Trojan-Spy.HTML.Bankfraud.q" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\SYSTEM\1.dat infected by "Trojan-Clicker.Win32.Blobus.b" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\SYSTEM\4.dat infected by "Trojan.Win32.Small.bb" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\SYSTEM\3.dat infected by "Trojan.Win32.LowZones.y" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\SYSTEM\6.dat infected by "Trojan-Dropper.Win32.Small.ty" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\COMMAND\EBD\EBD.CAB tagged as not-a-virus:Tool.DOS.Restart. No Action Taken.
File C:\WINDOWS\WEB\oslogo.bmp infected by "Trojan-Clicker.Win32.Qhost.a" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\Downloaded Program Files\MediaTicketsInstaller.ocx infected by "not-a-virus:AdWare.MediaTickets.f" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\Temporary Internet Files\Content.IE5\I7AWFHN0\URGENT NOTICE FROM SunTrust Bank BILLING DEPARTMENT.dat infected by "Trojan-Spy.HTML.Bankfraud.q" Virus. Action Taken: No Action Taken.


Der erste ist wohl der, der wg. meiner Unachtsamkeit "nach Hause telefoniert" hat. Was ist jetzt zu tun? Alles neu macht der März oder geht das auch weniger aufwendig?

Bis dann

JTS

ist auf jeden Fall mal anzunehmen siehe hier

--> boote in den abgesicherter Modus , deaktiviere die Systemwiederherstellung
und lösche von Hand die gefundenen Dateien, nehme die Killbox zu Hilfe
Delete on Reboot einstellen. Lade die Dateien einzeln in die Killbox und drücke auf das rote Kreuz, wenn Du gefragt wirst "Do you want to reboot?" auf no erst bei der letzten auf yes drücken. Führe danach nochmal eScan aus, ob noch was gefunden wird.
Boote danach neu und erstelle ein Hijack This Logfile und poste es mittels copy&paste:Direktdownload hier Denk bitte daran, dass das Programm Hijack This in einem neuen Ordner unter C: laufen sollte, siehe dazu auch Hijack This

Moin,

also, hat wohl geklappt, eScan hat nix mehr gefunden und Hijackthis zeigt fast nix gefährliches an. Vielen, vielen Dank!

Ich habe jetzt noch zwei Fragen:

1. Ist das Problem damit jetzt gelöst?

2. Kann ich eine Neuerstellung des Systems jetzt lassen (angesicht des Nachhausetelefonierens)? Welche Sachen sollte ich noch ändern (Passwörter, Einstellungen), gibts da ne Übersicht?

Bis dann

JTS

Eine 100% Sicherheit gibt es nicht, es sei denn Format C
Hier eine Hilfe sehe Dir die Punkte 1-12 nach dem Neuaufsetzen genauer an.

Erstelle trotzdem noch ein Hijack This Logfile und poste es mittels copy&paste:Direktdownload hier Denk bitte daran, dass das Programm Hijack This in einem neuen Ordner unter C: laufen sollte, siehe dazu auch Hijack This