Virus - Virtumonde

S

SchlumpF3003

Cadet 3rd Year

Registriert

Feb. 2005

Beiträge

33

• 16. Dezember 2007

• #1

habe mir leider das drecksteil Virtumonde eingefangen. ich nutze win xp sp2

schon mit diversen programen (spybot, adware, norton) veruscht ihn zu entfernen. leider erfolglos, da er sich immer wieder regeneriert.

jetzt zu meinen fragen, wie gefährlich ist das ding, habe bisher nur rausgefunden das er wohl popups im ie öffnet die startseite ändert und einen mit werbung zuballert.
da ich firefox nutze und den ie gelöscht habe ist mir bisher noch kein popup untergekommen.

wie bekomme ich das teil weg oder kann es unschädlich machen, isolieren ?
formatieren möchte ich nicht unbedingt, da ich diese woche nen neuen pc bekomme und diesen dann nicht mehr weiter nutze. sprich will nur kurz nen paar daten rüberziehen, dann wird der jetztige pc komplett platt gemacht, deswegen lohnt es sich auch nicht mehr wirklich das system neu aufzusetzen.

bringt es etwas wenn ich windows mit der xp cd repariere ? oder ist die gefahren zu groß das daten verloren gehen oder meinen gesamten programme unbrauchbar sind ?

also wie kann ich mich absichern das der mir nichts schlechtes antut

 

T

Tankred

Gast

• 16. Dezember 2007

• #2

Du musst Deinen PC im abgesicherten Modus reinigen, sonst ist der Schlingel immer im Hintergrund aktiv.

Schau Dir hier mal den zweiten Beitrag an: http://www.trojaner-board.de/23940-iwe-kann-man-virtumonde-entfernen.html

 

S

SchlumpF3003

Cadet 3rd Year

Ersteller dieses Themas

Registriert

Feb. 2005

Beiträge

33

• 16. Dezember 2007

• #3

habe die anleitung schonmal genutzt, aber leider findet das erste genannte tool nichts. jedoch finden adware und spybot den trojaner weiter, aber können ihn wie schon genannt nicht entfernen.

 

Ralf B.

Admiral

Registriert

Juni 2003

Beiträge

9.091

• 16. Dezember 2007

• #4

Joa, auch mich hat es mit dem Drecksteil erwischt.
Das Tool von Symantec "FixVundo" hilft nix, findet aber zumindest 1File (mehr nicht), das "VundoFix" von Attribune findet leider mal gar nix!

Bei mir macht es sich bemerkbar das die explorer.exe mit 100% ausgelastet wird. Bei Neustart ist es komischerweise aber wieder weg, für Stunden. Beim Ausschalten und wieder Einschalten dann aber wieder da.
Wie macht er sich denn bei Dir bemerkbar?

 

S

SchlumpF3003

Cadet 3rd Year

Ersteller dieses Themas

Registriert

Feb. 2005

Beiträge

33

• 17. Dezember 2007

• #5

eigentlich macht es sich nur dadurch bemerkbar, das beim starten von win ganz kurz das cmd fenster aufgeht.

da ich den firefox nutze habe ich keine probleme mit popups und werbung die angeblich durch den virus verursacht werden sollen.

habe mittlerweile einfach mal wild dll's gelöscht die er nutzt. bekomme jetzt zwar beim hochfaren immer meldungen das dll's fehlen, aber werde das ne woche durchhalten bis der neue rechner kommt

das norton und attriubte tool finden bei mir auch nichts. der normale norton virenscanner und adware finden mittlerweile auch nichts mehr, obwohl sie vorher immer etwas gefunden habe, aber seid dem ich halt nen paar dll's gelöscht habe und reg einträge sinnlos umgeschrieben habe die der virus nutzt finden sie nichts mehr.

nur spybot zeigt mir immer noch an das der virus da ist, jedoch scheint er nicht mehr zu versuchen reg einträge umzuändern, da spybot keine meldungen mehr gibt, das irgendetwas versucht meine reg umzuschreiben. beim starten kommt mittlerweile auch kein cmdfenster mehr.

weiter bin ich auch nicht gekommen....

achso, wäre vlt ratsam ne firewall zu nutzen, da du ja dann genau mitbekommst welche programme versuchen auf das internet zuzugreifen.

 

H0m3r.S!mps0n

Lt. Commander

Registriert

März 2006

Beiträge

1.375

• 17. Dezember 2007

• #6

Wie habt ihr ihn euch eingefangen? P2P?

 

Ralf B.

Admiral

Registriert

Juni 2003

Beiträge

9.091

• 17. Dezember 2007

• #7

Nope, kein P2P! Wohl ne verseuchte Internet-Seite *grrr* Da benutzt man einmal im Jahr den Internet Explorer.
Firewall läuft ja immer bei mir. Wird ja auch fleissig geblockt, aber halt nie entfernt!

 

S

SchlumpF3003

Cadet 3rd Year

Ersteller dieses Themas

Registriert

Feb. 2005

Beiträge

33

• 17. Dezember 2007

• #8

ne war kein p2p hing an irgend nem file freewarefile dran, war iregend nen programm zur datenwiederherstellung...

 

Boogeyman

Vice Admiral

Registriert

März 2005

Beiträge

6.816

• 17. Dezember 2007

• #9

Wohl ne verseuchte Internet-Seite *grrr*

Zum Vergrößern anklicken....

In diesem Fall hätte es geholfen mit einem eingeschränkten Benutzerkonto zu surfen, dort können wichtige Systembereiche nicht verändert werden.

ne war kein p2p hing an irgend nem file freewarefile dran

Zum Vergrößern anklicken....

Programm installiert man nur aus vertrauenswürdigen Quellen, einfach in einer Suchmaschine einen Suchbegriff eingeben und bei dem erstbesten Treffer das Programm laden, ist der falsche Weg. Programmen nur von Seiten wie Computerbase, Winfuture, Wintotal, Chip usw. laden.

Wenn man sich nicht sicher ist, ob das File sauber ist, bei www.Virustotal.com überprüfen lassen.

 

S

SchlumpF3003

Cadet 3rd Year

Ersteller dieses Themas

Registriert

Feb. 2005

Beiträge

33

• 17. Dezember 2007

• #10

ja habe den file vorher ja auf viren prüfen lassen. wurde gesagt wäre nichts drin. zudem ist das freeware prg eigentlich aus einer vertrauenswürdigen quelle....

 

markus1234

Banned

Registriert

Sep. 2006

Beiträge

3.897

• 17. Dezember 2007

• #11

Um welches "File" handelt es sich denn ...

mfg,
Markus

 

Ralf B.

Admiral

Registriert

Juni 2003

Beiträge

9.091

• 17. Dezember 2007

• #12

Das dumme ist, die Files ändern jedesmal ihren Namen. Es sind *.dlls, die im Windows/System32 Ordner rumspuken!
Außerdem hab ich im Order C:\Dokumente und Einstellungen\xxx\Lokale Einstellungen\Temporary Internet Files\Content.ie5\ eine Datei ohne Dateiendung mit ca. 300kb ausfindig gemacht. Auch diese Buchstaben-Kombination (z.B. so: CA81UNK1) ändert sich jedesmal.

Virustotal hat die auch als Vundo mit 9 von 32 Treffern identifiziert.

Das Dumme ist, auch im Abgesicherten Modus werden die Files von Systemprogrammen in Beschlag genommen und sind deshalb unlöschbar (gilt nur für die dlls). Jetzt heißt es diese Prozesse ausfindig zu machen, aber wie?

 

Zuletzt bearbeitet: 17. Dezember 2007

S

SchlumpF3003

Cadet 3rd Year

Ersteller dieses Themas

Registriert

Feb. 2005

Beiträge

33

• 17. Dezember 2007

• #13

genau das ist das problem, bei dem virus das er den namen die orte und dateien wechselt. vlt kann man auch etwas mit der winxp cd ausrichten in dem man win repariert.

ansonsten bleibt ja keine alternative mehr auser format c:

 

Ralf B.

Admiral

Registriert

Juni 2003

Beiträge

9.091

• 17. Dezember 2007

• #14

Nö, also Format C: kommt nicht in Frage.
Hab dieses System (Dank Aconis Image) von der Grundsubstanz des OS seit 2004 einwandfrei am laufen. Da muß schon die Festplatte abkakken.
Werd mich so leicht nicht von einschüchtern lassen.

EDIT:
Schon was neues?

 

Zuletzt bearbeitet: 19. Dezember 2007

A

abulafia

Gast

• 19. Dezember 2007

• #15

Erstell dir an einem sauberen Rechner eine BartPE CD mit Virenscannern. Kaspersky kann das auch automatisch.
Oder versuch die "Ultimate Boot CD for Windows". Auf der sind von Haus aus schon einige Scanner.

 

Boogeyman

Vice Admiral

Registriert

März 2005

Beiträge

6.816

• 19. Dezember 2007

• #16

Richtig, die Königsdisziplin der Virensuche ist es mit einer bootbaren Cd auf Virensuche zu gehen. Entweder machst du so wie abulafia es vorschlägt, oder du kaufst dir die Neue C`t, dort ist ein bootbare Antiviren CD dabei, nennt sich Knoppicillin.

http://www.heise.de/ct/07/26/098/

Und eine kostenlose Jahreslizenz von NOD32 ist auch noch dabei.

 

Ralf B.

Admiral

Registriert

Juni 2003

Beiträge

9.091

• 23. Dezember 2007

• #17

So hab des Zeug jetzt runterbekommen!

Mit der neuesten Definition von Spybot Search&destroy wurde er nun erkannt und mit einem Neustart endlich entfernt.