|
Irgendwas blockt Anti-Spyware-Seiten und kompromittiert Combofix Hallo allerseits, vielleicht kann mir hier jemand helfen. Bei dem befallenen System handelt es sich um ein Samsung Netbook mit XP Home, bei dem man leider immer mit Administrator-Rechten arbeiten arbeiten muß, weil sonst die ganzen spezifischen Treiber von Samsung nicht richtig funktionieren. Ansonsten habe ich irgendwann mal die XP-Firewall ausgeschaltet und vergessen wieder zu aktivieren - aber das hätte sonst wahrscheinlich auch nix gebracht. Kein Virenscanner an Bord, da wird mir die Kiste zu langsam. Verbindung über W-Lan-Router zum WWW, gesurft wird mit FF. Die Kommunikation hier mache ich über einen anderen Rechner, Austausch mit dem befallenen Rechner über USB-Stick. Ein spürbares Problem entstand, nachdem ich vor einiger Zeit nach Bohrequipment - auch auf englisch - gesucht habe und unter drilling kann man scheinbar auch was anderes verstehen, jedenfalls bin ich ein paar mal auf Sex-Seiten gelandet und ich nehme an, daß ich mir da was eingefangen habe (Vermutung). Vor zwei Tagen hatte ich dann Bluescreen - SecurityTools auf der Kiste. Wollte das erstmal per Hand beseitigen, hat nicht geklappt. Dann nach Empfehlungen hier und in anderen Foren CCleaner und dann SDFix, seitdem ist Ruhe. Mußte in dieser Putzphase aber feststellen, daß ich keine Seiten mehr von Antiviren-Software aufrufen kann. Die Anfrage an den Nameserver, der in der Registry korrekt eingetragen ist (Router) schlägt fehl. Wenn man sich bei anderen Adressen vertippt, kommt eine ganz wichtige T-Online-Navigationshilfe-Seite, bei z.B. virustotal.de nur noch, daß die Seite nicht gefunden werden konnte. Habe dann mal weitere Putzversuche unternommen, Hosts-Datei zurückgesetzt und wollte dann entsprechend einem ähnlichen Thema hier ComboFix putzen lassen. Wenn ich das versuche - auch bei geändertem Namen, teilt mir Combofix mit, die Datei sei kompromittert und beendet sich. Denke, ich habe die A***karte gezogen. Das Netbook benutzt jetzt jemand anderes? Ein Neuaufsetzen möchte ich möglichst vermeiden, denn ich befürchte, das klappt nicht so ohne weiteres wegen den vielen spezifischen Treibern von Samsung. Wenn dann was schief geht kann ich das Ding aus dem Fenster werden. Hier mal das was HJT ausspuckt: Code: Logfile of Trend Micro HijackThis v2.0.2 |
Weiß schon, daß das nicht die feine Art ist sich selbst zu antworten, aber hier noch die folgende Info: Habe mal die explorer.exe zu virustotal hochgeladen. Ergebnis: Virut! Nach hinweisen in diesem Board habe ich jetzt mal rmvirut von avg heruntergeladen und lasse den Computer scannen. Das dauert wohl einige Stunden. Hab zwar nicht viel Hoffnung aber vielleicht hilft das. |
Das kannst du dir im Grunde sparen, bei Virut ist immer neu aufsetzen und Passwortwechsel angesagt. Ich denke, das das NEtbook eine versteckte Partition besitzt, um den Rechner in den Auslieferungszustand zu versetzen. Das sollte also recht schnell machbar sein |
Wird wohl so sein. Dieses rmvirut hat alles für ok befunden und natürlich ist der Virut noch drauf. So ein schXXXX-Programm. Wahrscheinlch lachen die sich bei jedem Download von rmvirut krank bis der Notarzt kommt. Leider habe ich wegen Arbeitsüberlastung sehr wenig Zeit, aber am liebsten würde ich es zu meinem Hobby, rauszubekommen, wer das Ding verbrochen hat. Das Ding ist sicher zum Geld verdienen gedacht, und da müßte es doch einen Weg geben, das zu recherchieren. Von dieser versteckten Partition ist mir nix bekannt, mal sehen. Die CD's / DVD's habe ich schon mal rausgesucht. Man braucht halt ein externes Laufwerk, wird schon klappen. Ich werde hier noch berichten, weils andere vielleicht interessieren könnte und dann das Thema hoffentlich auf 'gelöst' setzen. Danke für Deine Unterstützung! |
Samsung bietet auf seinen NC10 - Netbooks eine sog. Recovery Solution an. Dabei wird bei der ersten Inbetriebnahme ein Abbild des Bestands oder irgendwas in der Art auf einer separaten Partition D: gespeichert. Die Daten dort kann man auch mit Admin-Rechten nicht einsehen. Nachdem es jetzt sowieso egal war, hab ich das Recovery probiert (mit Neuformatierung der C:-Partition) und dann den mitgelieferten McAffee nach Aktualisierung drüberlaufenlassen, auch über die USB-Platte, auf der ich meine Daten gesichert hatte. Das System war clean, auf der USB-Platte hat er noch ein paar verseuchte Dateien gefunden (da hatte ich beim Kopieren noch was übersehen), auch mit virut verseuchte. Danach die brandneuen Security Essentials von Winzigweich installiert, aktualisiert und damit geprüft. Keine 'Verunreinigungen' mehr gefunden. Scheinbar reicht die Recovery-Solution also aus. Das geht so in 5-10 min, ganz gut also. Bis man die Daten überspielt und alle Programme wieder drauf hat, dauert natürlich etwas länger... |
Eine letzte eigene Antwort. Habe heute mal die Logs des Routers durchforstet. virut hat bei mir über eine Woche kontaktversuche mit folgenden Servern ausgeführt: 91.212.220.75 Code: OrgName RIPE Network Coordination Centre218.93.205.30 Code: inetnum 218.90.0.0 - 218.94.255.255Habe beiden mal eine abuse-mail geschrieben, auf die Gefahr hin, daß die sich totlachen. Die Group Vertical Ltd ist anscheinend Großanbieter auf diesem Gebiet. Siehe Source of badness: Group Vertical Ltd (AS49365) | abuse.ch. Kann man die Adreßbereiche von solchen Betrügern, die massive Schäden verursachen nicht einfach blockieren? |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 08:35 Uhr. |
Copyright ©2000-2025, Trojaner-Board