BKA Virus entfernen nur wie ?

[Gulp]

Es gibt keine vernünftige Alternative zum Neuaufsetzen, es wird sich nie auschliessen lassen, dass ein solcher Trojaner oder Malware ganz allgemein noch irgendetwas am System manipuliert hat.

Ein solches System ist nicht mehr vertrauenswürdig, ich würde das System nicht in mehr mein Firmennetz hineinlassen, noch nicht mal in mein Heimnetz, da man nicht weiss was sonst noch alles angerichtet wurde.

Selbst wenn ein Kunde das "Behalten" des Systems wünscht, so würde ich ihm klarmachen, dass jedes Folgeproblem und sei es noch so einfach auch mit dem Befall zu tun haben könnte. Daher würde ich den Kunden informieren, dass ich jede weitere "Reparatur" und jeden weiteres "Support" an dem befallenen PC seperat in Rechnung stellen würde. Zusätzlich würde ich auf eine schriftliche Bestätigung bestehen, dass es die Vorgehensweise ausdrücklich entgegen meiner Empfehlung auf eigene Gefahr geschiet, denn wenn anschliessend irgendwelche Daten von eventueller Malware gestohlen oder missbraucht werden, dann kann der Kunde Dich als Dienstleister durchaus in Schwierigkeiten bringen.

Grüsse

Gulp

 

[ManOki]

dann schließ doch die platte an einen anderen rechner und lösche manuell die datei des prozesses ...

 

[Weyoun]

hi leute erstmal danke für die Vielen antworten werd mir gleich mal die Links durchlesen.

Die sache ist die System neu aufsetzen kommt für den Kunden nicht in Frage das wurde mir deutlich klar gemacht ansonnsten hätt ich das auch schon in betracht gezogen.

von diesen Rescue CDs hab ich ja schon versucht das hat nicht geholfen.


p.s. wenn ich den Prozess Kille kann ich aber nichts mehr machen dann fährt sich der rechner ja selbstständig runter auch im Abgesicherten Modus

Hi,

irgendwie habe ich das Gefühl, du hast auch die Rescue-CD unter Windows laufen lassen?

Selbst im abgesicherten Modus ist man vor Rootkits und anderen Schädlingen nicht gefeit!

Deshalb:
1) Live-Linux wie z.B. Knoppicilin auf DVD brennen oder auf USB-Stick kopieren
2) Im Laptop BIOS einstellen, dass zuerst per DVD-Laufwerk bzw. USB-Anschluss gebootet werden soll
3) Laptop einschalten und Knoppicilin (oder eben ein anderes Notfallprogramm) starten
4) die betroffene Festplatte, auf der Windows installiert ist, scannen und anschließend säubern lassen (geht meistens automatisch)
5) Zu 90% ist das System hinterher wieder clean.

LG,
Martin

 

[Olcheck]

probiere erstmall das mit dem Abgesicherten Modus + Registry Einträge ändern. Dann läuft der Rechner wenigstens schonmal weider Normal ohne diese nervige Meldung.

DAnn suchst du Datei für Datei den Virus ab und versucht somit alles zu löschen. bei Google gibts genug hinweise wie die Namensgebung der Dateien sein kann.

 

[odes]

Der erste weg den virus los zu werden geht wie folgt:

1. pc booten und mit F8 taste in den "abgesicherten modus mit
eingabeaufforderung"
2. regedit.exe eingeben und enter drücken

die folgenden schlüssel öffnen:
HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon
falls dort der eintrag "shell" existiert mit der rechten maustaste löschen.

dann noch in diesen schlüssel gehen:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

und überprüfen ob der eintrag "shell" wie folgt lautet bzw dann ändern
in: explorer.exe

pc normal neustarten und das programm malwarebytes installieren und
durchlaufen lassen

 

[green-e]

Es gibt keine vernünftige Alternative zum Neuaufsetzen, es wird sich nie auschliessen lassen, dass ein solcher Trojaner oder Malware ganz allgemein noch irgendetwas am System manipuliert hat.

Das kann ich nur unterschreiben. Alles andere ist grob fahrlässig sich selbst und anderen gegenüber.
Neu aufsetzen, Backup einspielen (sofern vorhanden), Passwörter ändern und Surfverhalten überdenken!

 

[Overroller]

ne hab die Rescue CD nicht unter Windows laufen lassen hab extra die Platte aus dem Notebook ausgebaut sie per USB an nen anderen rechner geschlossen und dann von der CD gebootet.

Ich hab gerade noch nen Scan am Laufen wenn der durch ist werd ich erstmal das Testen mit dem Prozess beneden und Malwarebytes Anti-Malware downloaden und durchlaufen lassen, sollte das nichts bringen versuch ich im abgesicherten modus das mit der Registry.

 

[Warhead]

3. Test Versuch im Laptop Rechern Fährt hoch der BKA Bildschirm kommt nicht mehr aber die Desktopsymbole kommen nicht nur der Desktop hintergrund ist zu sehn und ich kann nichts machen. Wenn ich in den Taks Manager gehe sind da einige aplicationen die im hintergrund laufen darunter uach ca 5 mal der Prozess svost.exe, wenn ich diesen Manuel beende kommt die Meldung der Rechner wird in einer Minute Runter gefahren und das tut er dann auch.

lol da merkt man gleich wieviel ahnung der "kundendienst" hat, wenn er windows-prozesse beendet :rofl:

evtl sollte man mal google bemühen, für was die svchost zu alles zuständig ist

 

[kacke64]

Ich hatte das auch. Dann hab ich Windows im Abgesicherteb Modus gestartet und bin auf System Wiederherstellung gegangen. Geht problemlos.

 

[feris]

Einen Tip möchte ich noch beisteuern:

Bevor man irgendetwas auf die bestehende Installation los läßt, würde ich ein Image der Platte ziehen. Dann kann man immer wieder zurück.

Knoppicillin ist eine gute Wahl, weil da 3 Engines eingebunden sind.
Update der Signaturen wird automatisch durchgeführt.

 

[Lost_Byte]

ca 5 mal der Prozess svost.exe, wenn ich diesen Manuel beende kommt die Meldung der Rechner wird in einer Minute Runter gefahren und das tut er dann auch.

meinst du vielleicht "svchost"? Das ist ein ganz normaler windowseigener Dienst und muss nicht beendet werden.
Das in einer Minute herunter fahren kannst du mit "shutdown -a" in der eingabeaufforderung (cmd) beenden.

@feris: ist aber im verlgeich zu Desinfec't veraltet.

 

[Weyoun]

Warum seid ihr alle so scharf darauf, das Problem im abgesicherten Modus zu lösen?
Das kann bei dem hier beschriebenen Virus (wenn es denn einer ist) funktionieren, muss aber nicht. Man sollte immer patologisch vorgehen (also nie am laufenden Betriebssystem, welches Symptome aufweist).

LG,
Martin

 

[kacke64]

Nochmal !!! im abgesicherten Modus gehen und dann aus System Wiederherstellung gehen!! alles geht dann Problemlos

 

[Overroller]

ja ich meinte svchost hatte mich nur verschirieben sorry

nen Backup vom system hat der Kunde nicht leider

und wo der Virus herkommt gute Frage is nen Kunden gerät und wo der mit dem Ding rumsurft is seine sache sag ich mal ob der nun auf irgendwelchen porno seiten war is mir als Dienstleister ja wumpe, haubtsache es geht im endefeckt wieder. ^^

Wie gesagt werd wenn gleich mein aktueller Sacan durch is erstmal noch die beiden sachen testen mit Malwarebytes Anti-Malware und der registry.

 

[Seth666]

01 Im Abgesichertenmodus starten.
02 MSCONFIG aufrufen, das Teil deaktivieren und schauen wo sich die .exe befindet.
03 Datei an diesem Ort löschen. (ggf. den ganzen Ordner)
04 Registry nach dem Dateinamen durchsuchen und den entsprechenden Eintrag löschen.
05 Rechner neu starten (sollte problemlos klappen) und mit einem Virenscanner die Reste aufspüren und vernichten lassen.

hat bis jetzt bei allen betroffenen Systemen, die mir untergekommen sind 100% funktioniert.

 

[green-e]

Von einem solchen Kunden würde ich mich unter Umständen distanzieren. Selbst wenn der Trojaner "entfernt" wurde, ist das System nicht mehr zuverlässig. Wer weiß, was der Schädling schon nachgeladen, gesendet und manipuliert hat?
Das ist wie als wenn der Mechaniker in der Werkstatt sagt, du ich habe den Reifen wo keine Luft mehr drauf war entfernt, kannst jetzt wieder fahren.

 

[^Dodo.bW]

Hier hast du die Lösung, wenn du mit dem abgesicherten Modus nicht weiter kommst, gibt mittlerweile Abwandlung bei denen man auch im abgesicherten Modus nichts machen kann:

http://blogpirat.de/bundespolizei-o...nervirus-wie-bekomm-ich-den-virus-wieder-weg/

Einfach die erweiterte Lösung anschauen, bereits über 10 Rechner somit wieder flott gemacht.


Greetz dodo

 

[mayokitty]

HDD an nen anderen Rechner hängen und mit Malwarebyte entfernen. Trotzdem ist eine Neuinstallation meist am sinnvollsten, vor allem wenn man 100% ausschließen will, dass Reste übrig sind.

 

[Seth666]

@AMDBoy

Wenn man sich mit Win auskennt, kann man schon erkennen ob das Ding was nachgeladen hat. Sowas passiert nicht spurlos Und der BKA Trojaner hat auf den betroffenen Systemen die ich gesehen habe bis jetzt nichts nachgeladen. Alberne Scareware ist es und sonst nichts

 

[kaiwoon78]

Also BKA Virus ist das nun nicht. Wenn Du Kinderpornos auf dem Rechner hast, dann würde schon längst jemand von der Polizei vor der Tür stehen und das Ding mitnehmen. Das hört sich mehr nach Abzocke an. Allein der Vorwurft, so etwas scheckliches auf dem PC zu haben, kann zu seltsamen Reaktionen führen (zB Verlust des Jobs, Probleme in der Partnerschaft) Da überweist man dann schnell 100 Euro um dann von den Vorwürfen frei zu sein. Dies ist vielmehr eine strafbare Handlung, zB Betrug, Nötigung und Erpressung.

Neben der Beseitigung des Schadprogramms, würde ich evtl auch Polizei, Staatsanwaltschaft und Verbraucherschutz darüber informieren. Letztere gerade deswegen, damit sie weitflächig vor solchen illegalen Aktivitäten warnen kann.