[SammelThread] Viren, Würmer & Trojaner

[Spielkind]

O4 - HKLM\..\Run: [] C:\WINDOWS\Gtwatch.exe

Diese Datei wird beim googlen sowohl als Systemdatei, als auch für einen Mustekscanner, aber auch mit Bazillen in Bezug gebarcht. Auf meinem System konnte ich die Date Gtwatch nicht finden. Kennst du die Datei? Verifiziere sie doch einmal auf
http://virusscan.jotti.org/de/

O20 - Winlogon Notify: App Management - C:\WINDOWS\system32\m8po0i73e8.dll (file missing)

Dieser Eintrag kann gelöscht werden (file missing)

Mir ist noch aufgefallen das
a) dein Acrobat Reader 7 veraltet ist
b) dein IE noch der IE6 ist
c) dein installiertes Java nicht aktuell ist. Die alte Javaversion muß vor der Installation der Neuen deinstalliert werden.

Ein Update schadet nicht.

 

[sc00ty]

gtwatch gehört zu meinem mustek scanner... das war uns schon letztes mal aufgefallen

zu den punkten von dir; acrobat reader und IE benutze ich eig nie... firefox aber ich habe damit eig keine probleme. das problem ist eher:

ich habe heut morgen den rechner neu gestartet und im taskmanager war folgendes: DWLGTI.EXE (nach kurzer google-suche finde ich eig nur infos über trojaner) und es war wieder die UI.EXE dabei, obwohl ich die *.PF-datei davon mit killbox gelöscht habe...? wie bekomme ich das wieder weg?

 

[Spielkind]

> O4 - Global Startup: D-Link AirPlus G+ Wireless Adapter Utility.lnk = C:\Programme\D-Link\D-Link AirPlus G+ Wireless Adapter Utility\DWLGTI.EXE

(C:\Programme\D-Link\D-Link AirPlus G+ Wireless Adapter Utility) DLink-Tool zum konfigurieren der Netzwerkverbindungen , Info

Quelle:
http://www.wintotal.de/Spyware/index.php?Filter=D

Ja, habe ich mir im Log angeguckt. Erschien mir eigentlich als unverdächtig. Mein HiJackThis Log meckert an meinem Wireless Adapter auch immer rum, obwohl ich ihn dort schon länger in die Datenbank eingetragen habe.

Ist dir die Datei verdächtig scanne sie auf
http://virusscan.jotti.org/de/

Leider ist deren Server oft überlastet.

Die UI.exe findet sich in deinem Log nicht. Googeln verbindet die Datei mit Scannertreibern. Würde eigentlich, da du ja einen Scanner hast, zur Gtwatch.exe meines 1. Replys passen, welche mit dem Mustek Scanner in Verbindung gebracht wird.

Ist dir die Datei verdächtig scanne sie wie immer auf
http://virusscan.jotti.org/de/

Treiber befinden sich oft in versteckten Verzeichnissen. Um die Datei zufinden mußt du im Explorer unter Extras - Ordneroptionen - Ansicht den Haken entfernen bei Geschützte Systemdateien ausblenden (empfohlen) und bei Versteckte Dateien und Ordner Alle Dateien und Ordner anzeigen wählen.

 

[ToXiD]

Aus aktuellem Anlass.

Das alte Spielchen mit der Rechnung.pdf.exe. Allerdings ist das hier nicht sofort offensichtlich, da es in einer Zip-Datei versteckt ist.
Zudem ist die "Aufmachung" der E-Mail recht gut und ein gewisser Schockeffekt lässt sich nicht leugnen.

 

[Spielkind]

> In der Grundeinstellung blendet Windows die Erweiterung .exe aus.

Weswegen man in den Ordneroptionen den Haken bei
# Erweiterungen bei bekannten Dateitypen ausblenden
# Geschützte Systemdateien ausblenden (empfohlen)
entfernen, sowie bei Versteckte Dateien und Ordner Alle Dateien und Ordner anzeigen aktivieren sollte. So dürfte der Übertäter nach dem Entpacken leicht zu identifizieren sein. Auch ohne tagesaktuellen Virenscanner.

Ich hab noch nie ne Rechnung von der GEZ bekommen. Die bedienen sich nur alle 1/4 Jahr mit ~50 Talern von meinem Girokonto. Auch eine Form von Trojanern...

 

[sc00ty]

hi, ich bins mal wieder

ich hatte gerade den schock meines lebens ^^ ich war ganz normal aufm desktop als plötzlich die nachricht kam "das system wird heruntergefahren, bitte speichern sie ihre dateien usw..."

mal bei google geguckt und ich habe herausgefunden, dass es vll etwas mit einem "blasser" zu tun hat!? daraufhin soll man updates für windows herunterladen... allerdings sind die alle veraltet!? was soll ich tun... bin momentan etwas ratlos und ich muss zugeben auch in sorge um meinen rechner...

 

[Spielkind]

Du meinst sicher den "Blaster". Blaster ist ein "Netzwerkvirus" der sich automatisch über "offene Ports/ aktive Dienste" verbreitet. Hinter einer Hard-/ Softwarefirewall, oder bei konfigurierten Diensten, oder bei aktuellem Patchlevel von Windows solltest du eigentlich auf der sicheren Seite sein?!

Microsoft bietet ein kostenloses Removal- Tool für u.a. diesen Virus an.
http://www.microsoft.com/germany/technet/sicherheit/tools/msrt.mspx

Diese Viren können erkannt und desinfiziert werden.
http://www.microsoft.com/germany/sicherheit/tools/families.mspx

Jeder einigermaßen aktuelle Virenscanner sollte allerdings auch Alarm schlagen. Blaster ist eigentlich schon einige Jahre her und ich denke nicht, das es sich um diesen handelt.

Wie wäre es dein System vollständig zu überprüfen? Also Virenscan, Spy-/ Adwarescan, und ein HiJackThis- Log. Es gibt Spyware die macht ähnliches um User zur Installation von Software, äh. Bazillen zu animieren.

 

[sc00ty]

schon einmal danke spielkind... irgendwie kann man sich doch immer auf dich verlassen

also ich lasse momentan das "windows microsoft tool zur entfernung bösartiger software" durchlaufen (edler name), außerdem werden jetzt mit allen meinen virenprogs mal suchen gestartet (spysweeper, ad-aware, av-guard) und dann alles verdächtige entfernt. ich habe allerdings gemerkt, dass probleme mit dieser art von virus meistens aus dem jahr 2003 stammen und daher bin ich etwas verwundert...

du hast vorhin gemeint, dass der virus sich übers netzwerk verbreitet; ich wollte über netzwerk die datei "cfg.exe" löschen, die schon einige zeit auf dem andern rechner sitzt. etwa eine minute nach dem löschen, kommt das problem... zusammenhang?

edit: der tool hat nichts gefunden...?

 

[Spielkind]

Hast du einmal nach der Datei cfg.exe gegoogelt? Der 1. Fund ist von Sophos:
http://www.sophos.de/security/analyses/w32bdoorzar.html

W32/Bdoor-ZAR ist ein Netzwerkwurm mit Backdoor-Funktionalität für die Windows-Plattform... Wenn er erstmals gestartet wird, kopiert sich der Wurm als cfg.exe in den Systemordner und registriert sich als Systemdienst. W32/Bdoor-ZAR bleibt aktiv, sobald Windows startet...

Prüfe die Datei doch auf:
http://virusscan.jotti.org/de/

 

[sc00ty]

die ist inwzischen schon gelöscht... kann man nichts mehr durchsuchen. ich habe sie übers netzwerk ganz normal gelöscht und sie hat sich auch nicht neu erstellt

 

[Gelbsucht]

Das alte Spielchen mit der Rechnung.pdf.exe.

Aus aktuellem Anlass und weil jetzt am Sonntag das Problem in Planetopia gezeigt wurde -und ich gestern auch die GEZ zahlen sollte *g*-=

Am vergangenen Sonntag kam in Planetopia eine Kurzreportage über eine Frau, die AntiVir free verwendet hat und zu allem Überfluß auf die gefälschte GEZ-Mail reinfiel. Daraufhin kam ein PC-Experte, der hat halt die übliche Prozedur durchgeführt, um den Trojaner zu entfernen. Er hat auch richtigerweise erklärt, das die betreffende Rechnung.pdf.exe nicht als exe angesehen würde, wenn die Anzeige der bekannten Dateiendungen ausgeschaltet ist, aber...

-AntiVir als Freeware prüft keine eingehenden Emails (wurde verschwiegen). Leider ist AntiVir in etwa genausoviel verbreitet wie der IE6, von daher kam und kommt der Trojaner auf Millionen PCs drauf.
-die Anzeige der bekannten Dateiendungen ist standardmäßig im Windows AUS (wurde auch verschwiegen)

Und die Moral von der Geschicht= AntiVir in der Freewareversion nutzt man als Otto-Standarduser nicht. Jedenfalls dann nicht mehr, wenn man per Mailproggi die Emails nach Hause holt. Schon peinlich für den für die Reportage verwendeten PC-Experten, wenn solche wichtigen Fakten im TV auch noch verschwiegen werden.

Ich frag mich immernoch, hat ers nicht gewußt oder bewußt verschwiegen/wurde es rausgeschnitten, weil als nächstes ein Trojanerversuch in den Räumen von Avira durchgeführt wurde (auch per Email, also schamlos den Schwachpunkt der eigenen Freeware ausgenutzt, ohne darauf einzugehen)? Wie auch immer, die 100% einer wirklich kompetenten Berichterstattung wurden verfehlt. Wie soll unser Volk denn bei solchen Berichten was dazulernen?

 

[Gonzo71]

Frag das doch mal die Planetopia Macher!
Die Antwort von denen würde mich mal interessieren oder ob sie überhaupt dazu Stellung nehmen.

 

[Spielkind]

Nicht das ich AntiVir mögen würde, aber die Freeversion von AntiVir hat einen aktiven Virenwächter. Dieser hätte, wenn AntiVir uptodate gewesen wäre, dann anschlagen müssen, wenn der Benutzer den Emailanhang angeklickt hätte. Ein Dateianhangscanner, der Emails scannt, hätte wohl aber verhindert, das der Anhang überhaupt auf die Platte kommt. Aber bei einem aktiven Virenwächter ist der Dateianhangsscanner eigentlich unnütz.

Viel prekärer empfinde ich die Defaulteinstellung von Windows, welche Dateiextensionen von bekannten Anwendung nicht anzeigt. Eigentlich fast gemeingefährlich. Imo wichtig diese Einstellung zu ändern.

Tests der Erkennungsraten von Antivirenprogrammen, z.B. auf http://www.av-comparatives.org/, bescheinigen dem AntiVir in letzter Zeit eine sehr gute Erkennungsleistung. Das Hauptproblem, das ich bei AntiVir sehe, ist dessen Updatefrequenz. Jedesmal wenn ich über ein AntiVir stolpere, ist die Virenerkennungssignatur mehrere Wochen/ Monate alt! Manche 'normale' User sind mit den Updates des Virenscanner schlicht überfordert. Was auch für das seltenst aktuelle Patchlevel bei vielen Windowsbetriebssystemen von 'normalen' Usern gilt. Hier lobe ich mir den Komfort meines Virenscanners, der seine Signaturen per Default mehrmals täglich automatisch nachlädt.

Planetopia richtet sich weder an den professionellen noch an den ambitionierten Hobbyuser. Hier wird versucht Wissen in kleinen, leicht verdaulichen Häppchen an 'normale' User zu bringen. Man mag den Sinn dahinter natürlich hinterfragen.

 

[Gelbsucht]

Eigentlich fast gemeingefährlich.

...av-comparatives bescheinigen dem AntiVir in letzter Zeit eine sehr gute Erkennungsleistung. Das Hauptproblem, das ich bei AntiVir sehe, ist dessen Updatefrequenz. Jedesmal wenn ich über ein AntiVir stolpere, ist die Virenerkennungssignatur mehrere Wochen/ Monate alt!

Was auch für das seltenst aktuelle Patchlevel bei vielen Windowsbetriebssystemen von 'normalen' Usern gilt.

Also zuerst mal weiß ich nicht mehr genau, ob und wie aktuell ihre Signaturen waren zu dem Zeitpunkt der GEZmail. Fakt ist, der Antivir sprang nicht an. Fakt war aber auch mal, das AntiVir sich nicht automatisch per default updatet. Allerdings bin ich seit v7 nicht mehr dabei, weil noch zu Zeiten der v6 er einige Viren durchließ und ich umstieg auf NortonAV 2004 (Spaß- und Systembremse pur damals).

MS hat schon seit langem die Erweiterungen verborgen, weil schon zu Win9x-Zeiten manche Leute die Endungen wohl verdreht haben müssen beim umbenennen -und damit sich mehr geschadet als genützt haben. Zumindest wäre das eine Erklärung dafür, das mein Vista RC2 bei aktivierten Endungen immer die Endung NICHT mit markiert, sobald man auf umbenennen klickt.

Natürlich ist es in solchen Fällen gefährlich, fast so schlimm wie die Maskierung von .com / .pif etc. Allerdings wurde ind em Bericht auch gezeigt, das diese EXE das Standardsymbol von Windows hatte (weil der exe kein Icon zugewiesen war von innen her), also das weiße Fenster mit der blauen Umrandung. Hätte die gute Frau nur mal kurz daran gedacht, das PDFs symbolmäßig Rot verziert sind, wäre sie wohl stutzig geworden. Abgesehen davon, das der Rechnungsbetrag völlig übertrieben war.

Mag sein, das Avira gut nachgebessert hat in der letzten Zeit und sicher ist ein Emailscan-Modul kein KO-Kriterium für eine Freeware. Nur bieten andere Freewaretools das gleich mit an. Mein Avast spricht sogar zu mir.

Das mit den schlecht gewarteten Systemen kenne ich von fast allen Kunden. Bei den meisten sollten Updatefunktionen automatisch gesetzt werden, um nicht ganz in Vergessenheit zu geraten. Von den richtigen Einstellungen der Programme und periodische Löschung nicht benötigter Dateien mal abgesehen.

Ausnahmen gibts aber auch: War heute bei einem, der hatte Bitdefender 10 und ZoneAlarm pro. Mein heutiger "Wow"-Effekt (finde das Wort dank Microsoft geil).

 

[Gelbsucht]

*Schubs*

Warum man immer das Routerpasswort ändern sollte, gerade bei den am meisten verbreiteten=

http://www.pcwelt.de/news/sicherheit/72176

 

[Gelbsucht]

Aus aktuellem Anlass. Habe selbst diese tolle Rechnung erhalten, konnte aber mit dem koreanischen Link nix anfangen=

http://www.pcwelt.de/news/sicherheit/73336

Wie immer, nix anfassen und gleich löschen.

 

[Gonzo71]

pff, die schreiben seit gestern
hatte den dreck schon letzte woche im virtuellen briefkasten

 

[Andy.mann]

Hi Leute,
Habe mal ne Frage und zwar klopft seit einiger Zeit immer ein Trojaner Namens:
WIN.Intrusion.Exploit.LSASS oder so ähnlich an meiner Firewall.
Ist wohl sowas wie der HELLKERN. Wird zwar auch abgeblockt aber wenn ich jetzt unter KIS 6
meine Offenen Ports anschaue steht dort auf einmal das:
500 UDP LSASS.EXE 0.0.0.0 01:53:21
4500 UDP LSASS.EXE 0.0.0.0 02:01:18

So wat ist das jetzt? Hat sich da wer auf mein System geschmuggelt

Ich hoffe hier kann mir jemand helfen?

MFG Andy.mann

 

[Gonzo71]

lsass.exe ist eine Systemdatei von Windows.

Schau aber mal ob du folgende Datei auf deinem System hast: avserve.exe

Falls ja, Stinger runterladen und laufen lassen.

 

[Andy.mann]

Ja Danke schön,da bin ich ja dann beruhigt.
Die Datei die du gesagt hast wurde unter der Suchfunktion nicht gefunden!
Lasse trotzdem mal Stinger laufen.

p.s. sollte nicht Kaspersky diese Dateien auch finden?

MFG Andy.mann