Schädling?! ICQ sendet selbständig

[h3@d1355_h0r53]

Also Laptop der Mitbewohnerin hat gestern an mehr oder weniger alle Contacts in der Liste eine ICQ-Nachricht geschrieben mit kryptischen Zeichen. Zwischendrin war mal iPod etc. zu lesen.
ICQ wird nicht über Autostart gestartet und wurde zu diesem Zeitpunkt auch nicht benutzt bzw. war nicht geöffnet.

Vorsorglich wurden alle Passwörter geändert. Spybot und Adaware waren entweder zu alt oder sonstwas, jedenfalls konnten beide Programme nicht updaten (bei S&D normal bei zu alter Version) - haben aber auch nichts gefunden im Anschluss.

Hab mir den Laptop (Toshiba Satellite, Win XP) gestern mal genauer angeschaut. Antivir Virenscan, Stinger, Hijackthis, TrendMicro Housecall der Systempartition haben allesamt kein Ergebnis geliefert. Währenddessen immer mit netstat geschaut was denn so ins WWW kommuniziert - aber da auch nichts gefunden. Habe nun noch Bitdefender geladen, wird nachher auch komplett gescannt.
Wollte mit einer Mepis Live CD booten damit sie problemlos Skype/ICQ nutzen kann und da auch noch Virenscanner dabei ist, aber irgendwie bootet der Laptop nicht von der 100% funktionierenden CD. Evtl. probier ich mal Ubuntu aus,...

Frage ist jetzt was man machen kann ?! Die ICQ Nachricht wurde selbständig ohne geöffnetes ICQ verschickt, der PC ist aber augenscheinlich virenfrei. Windows XP SP3 ist auf dem neuesten Stand, jegliche unbekannte Software oder sonstiges wurde mittlerweile deinstalliert. Außer einer älteren Skype Version und einer alten Java Runtime Environment (5.0) eigentlich keine Schwachstellen gehabt, wobei letzteres einladend wirken musste
Es sind noch Images vorhanden, allerdings nicht ganz aktuelle. Soll man formatieren (meine Meinung) oder gibt es noch Möglichkeiten den Rechner noch genauer zu prüfen ?!

 

[Maysi2k]

Vllt wird der Virus nur nicht erkannt ?

Ich würde ihn Plattmachen und auf nummer sicher gehen

 

[Tyr43l]

das ist doch schonmal gut gewesen.
den grund kann ich dir leider auch nicht sagen, aber wenn alles andere keien fehler/viren etc zeigt? Wlche ICQ VErsion isses denn? Die mal geupdated?

 

[charmin]

am besten die HDD ausbauen und an einen anderen PC anschließen (vorzugweise per USB) und dann nochmals scannen. Kann sein das die Scanner nicht auf alle Bereiche zugreifen können.

 

[nug_mug]

Bist Du sicher dass es vom Laptop aus geschickt wurde, oder wurde vielleicht nur der ICQ-Account geklaut? Passiert z.B. bei Eingabe der Daten auf einer Webseite die weiss-nich-was alles kann, Kontakte finden die einem geblockt haben, die einem noch Geld schulden, die gerne heimlich eine Affäre mit einem hätten usw...

 

[h3@d1355_h0r53]

Es war ICQ 6. Mittlerweile durch Trillian ersetzt.
Der Laptop war zu dem Zeitpunkt kurz an und alle in der Contactlist eingetragenen Personen bekamen diese Nachricht obwohl ICQ gar nicht gestartet wurde. Insofern bin ich mir sicher, dass die Nachrichten vom Laptop direkt kamen.
Zwar liegen die Contacts auf der Festplatte irgendwo, aber das Passwort (Verschlüsselung?) ?! Ich bezweifle, dass "nur" jemand das Passwort geklaut hat.

Hab mir auch schon etwas zusammengegoogelt und es gibt definitiv genau solche Viren/Würmer.

Anstatt die Festplatte ausm Laptop auszubauen probier ich lieber nochmal per Boot-CD zu scannen später. Danke schon mal.

 

[Engaged]

Bist Du sicher dass es vom Laptop aus geschickt wurde, oder wurde vielleicht nur der ICQ-Account geklaut? Passiert z.B. bei Eingabe der Daten auf einer Webseite die weiss-nich-was alles kann, Kontakte finden die einem geblockt haben, die einem noch Geld schulden, die gerne heimlich eine Affäre mit einem hätten usw...

der gedanke kam mir auch... account geklaut und selber für spam mit sicher rusischem krams (kryptische zeichen) benutzt... die hacker benutzen auch kein icq sondern son comando zeilen krams ysm oder sowas mein miranda zeigt mir so ein client immer an wenn ich kryptische zeichen als spam bekomme... man kann ein auch nur von icq abraten hab nie sowas spammiges unsicheres auf mein pc gehabt^^

 

[h3@d1355_h0r53]

Ja deswegen läuft jetzt Trillian.
Das man mit anderen Clients bzw. Kommandozeile von irgendwoher bei ICQ mehr anstellen kann ist mir auch klar. Ändert ja aber nichts daran, dass die Nachrichten dann abgeschickt wurden, als der PC mal 5 Minuten im Netz war.

Bekannter hatte evtl. dasselbe für MSN: Bei mir und anderen aus seiner Contactlist kam jeden Tag einmal eine Nachricht zur ner Handy Abzockseite über sein MSN Account - aber nur wenn er den Rechner das erste Mal anschaltete an diesem Tag. MSN lief dort auch nicht im Autostart bzw. war nicht geöffnet und hat einfach nebenbei mal die Abzocklinks gesendet.

 

[BrollyLSSJ]

Du kannst ja sonst nochmal die Kaspersky Rescue CD und die von Avira testen. Du musst aber eine Internetverbindung haben, damit die, waehrend die gebootet sind, die Signaturen aktualisieren koennen. Die duerften auch recht schnell scannen. Wenn du aber sicher gehen willst, wuerde ich die wichtigen Daten sichern und das Ding plattmachen.

 

[Engaged]

Bekannter hatte evtl. dasselbe für MSN: Bei mir und anderen aus seiner Contactlist kam jeden Tag einmal eine Nachricht zur ner Handy Abzockseite über sein MSN Account - aber nur wenn er den Rechner das erste Mal anschaltete an diesem Tag. MSN lief dort auch nicht im Autostart bzw. war nicht geöffnet und hat einfach nebenbei mal die Abzocklinks gesendet.

das bei msn is n virus auf den pc von dem der spam kommt das macht antivir locker platt hab hier auch son paar leute in der liste die mir nich glauben wollan -.- da kommt auch alle paar tage hier was an, ich sag "mach das mal wech das gefährdet mich" "ja hm ne ich hab keine ahnung von sowas" ok flüchtige bekannte -> löschen

 

[h3@d1355_h0r53]

OK Antivir-CD scannt gerade. Wo finde ich vergleichbares von Bitdefender ? Finde auf deren Seite nichts. Bzw. sonstige Alternativen ?!

Will ihr ja Ubuntu aufschwätzen, aber das will sie nicht. Würde dann den Rechner komplett neu machen mit XP wenn die Virenscanner nicht anschlagen.

 

[royneary]

OK Antivir-CD scannt gerade. Wo finde ich vergleichbares von Bitdefender ? Finde auf deren Seite nichts. Bzw. sonstige Alternativen ?!

Will ihr ja Ubuntu aufschwätzen, aber das will sie nicht. Würde dann den Rechner komplett neu machen mit XP wenn die Virenscanner nicht anschlagen.

Die Rescue CD von Bitdefender bekommst du glaube ich nur, wenn du es im Laden kaufst. Ich würde noch mal Malwarebytes' Anti-Malware laufen lassen, das ist neben Spybot und Adaware immer meine dritte Waffe gegen Ungeziefer.

 

[Janitor]

Mahlzeit, also ich hab jetzt auch schon von zwo Kollegen so Nachrichten bekommen.
Als ich dann zurück geschrieben habe, ob sie das geschieckt haben, waren sie plötzlich wieder offline!

Der eine war ein ICQ 2000 client, wurde mir zumindest so angezeigt.

 

[h3@d1355_h0r53]

Also vielen Dank für die Empfehlung für Malwarebytes. Sämtliche Virenscanner & Boot-CDs haben versagt, Malwarebytes hat dann "Trojan.Agent" entdeckt und entfernt. Dieser Trojaner kann sich vor Virenscannern verstecken - hat in diesem Fall auch sehr gut geklappt.

Würde zwar immer noch den Laptop komplett neu aufsetzen aber sie belässt es mal beim Wechseln der Passwörter. Wer weiß was das Ding aber so alles an "Updates" bekommen hat :/

 

[BrollyLSSJ]

Also vielen Dank für die Empfehlung für Malwarebytes. Sämtliche Virenscanner & Boot-CDs haben versagt, Malwarebytes hat dann "Trojan.Agent" entdeckt und entfernt. Dieser Trojaner kann sich vor Virenscannern verstecken - hat in diesem Fall auch sehr gut geklappt.

Dann haettest du ja die Dateien, die die Virenscanner nicht gefunden haben, an die Antiviren-Spezialisten hinschicken koennen, wie z.B. newvirus@kaspersky.com. Denn jeder Schädling mehr, der erkannt wird, ist ein Problem weniger . Hast du denn auch die von Kaspersky durchlaufen lassen oder nur die von Avira? Wuerde mich naemlich interessieren, ob der die auch nicht gefunden hat.

 

[h3@d1355_h0r53]

Also Antivir Xp und Boot-CD, Kaspersky & Trendmicro Online Scan, Spybot S&D, Adaware, Bitdefender und irgendein Scanner von ner Linux-Boot CD haben nichts gefunden oder funktionierten nicht richtig. Das mit den Dateien (2 .dll) hochladen hätte ich machen können - ist aber zu spät.

Allerdings ist das Ding auch schon hinreichend dokumentiert: http://www.virenschutz.info/antivirus-Agent-IUU-315.html & http://research.sunbelt-software.com/threatdisplay.aspx?name=Trojan.Agent&threatid=41353