Viren-Frage

[Mr. Sputnik]

Hi,

Ich hoff mal, des würde hierein gehören...

Ich hab mir heut 2 Viren eingefangen, weil ich in nem andren Forum in nem Thread nen Link zu nem Video angeklickt hab...

Anschließend hats gepiepst und Antivir hat mir 2 Virenmeldungen gegeben, beide sofort gelöscht.
Der Virus hieß in beiden Fällen DR/Zlob.Gen!

Danach hab ich sofort die Internetverbindung deaktiviert und wieder aktiviert und die neuste Antivir-Datei runtergeladen, danach hab ich noch durch Antivir die Festplatte nach Viren durchsucht, komisch dabei nur, dass es nur 2 Warnungen gab, sonst warens immer mehr?
Erst danach hab ich Neugestartet!

Gefunden hat in Antivir da:
C:\Dokumente und Einstellungen\Michael\Anwendungsdaten\Mozilla\Firefox\Profiles\nxjmh96e.default\Cache\9677AC21d01

und da:
C:\DOKUME~1\MICHAEL\LOKALE~1\TEMP\52s9osjy.exe

Auf der Antivir Homepage heißt es zu dem Virus:
http://www.avira.de/de/threats/section/details/id_vir/2803/dr_zlob.gen.html

Und Wikipedia meint zu Virenart Dropper:
http://de.wikipedia.org/wiki/Dropper

Ich kapier bloß nicht was ein Dropper bringen soll?! Viren brachen doch keine "Plattform" um reinzukommen?!

Meint ihr, der hat was zerstört, oder es sind noch andre Viren durch die einen reingekommen, die Antivir nicht erkannt hat?
Weiß jemand genaueres zu dem Virus?

Danke schon mal und SG,
Güthi

 

[Spielkind]

Der von dir auf Wikipedia verlinkte Link erklärt den Dropper und dessen Funktionsweise.

Die von dir angegebenen Speicher-/ Fundorte zeigen jeweils a) den Browsercache von Firefox und b) das Windowstempverzeichnis. Beide Ordner können geleert werden, wodurch der Dropper eigentlich entfernt werden müßte. Zum Cache leeren eignet sich imo das Clearprog:
http://www.clearprog.de/

Anders sieht es aus, wenn er bereits Schadcode auf dem System installiert hat. Das läßt sich nur ausschließen indem du
a) deinen Netzwerkverkehr (->TCPView) beobachtest/ protokollierst
http://www.microsoft.com/technet/sysinternals/utilities/TcpView.mspx
oder du b) prüfst welche Programme auf das Netzwerk/ Internet zugreifen (->HiJackThis). Anleitung und DL: http://hjt.klaffke.de/; automatische Analyse: http://www.hijackthis.de/

Ein Virenscan jeder Datei mit AntiVir und neusten Signaturen schadet aber nicht.

 

[Mr. Sputnik]

Also, vor dem Neustart hab ich mir die neuste Antivir-Datei geholt und die (einzige) Fetplatte komplett geprüft, Fund:0

Sollte ich des andrer was du gesagt hast trotzdem machen, oder kann ich ausschließen, dass da noch was is, ich hab ihn mittels Antivir unmittelbar nach der Meldung gelöscht?

Des auf Wikipedia hab ich durchgelesen, mir ist bloß nicht klar, warum Viren so einen Dropper brauchen.
Edit ---------------------
Ergänzung: Wie komm ich an den Logfile-Inhalt an?

 

[Spielkind]

Es liegt an dir. Die Wahrscheinlichkeit ist gering, da der Virus im Browsercache gefunden wurde.

Das Browsercache zu löschen sollte nie ein Problem sein (außer du bist auf eine Modem-/ ISDN- Verbindung angewiesen). Das Clearprog ist dazu ein empfehlenswertes Programm.

Trojaner kommunizieren mit dem Netzwerk/ Internet. Um rauszufinden, ob sie das tun, mußt du eben auch da suchen. Die genannten Programme machen das. TCPView zeigt dir alle Programme, die auf das Netzwerk zugreifen. HiJackThis listet in einem Logfile alle Prgramme und Registryeinträge auf, welche auf das Netzwerk zugreifen. Dieses muß analysiert werden. Anschließend können die suspekten Dateien im Explorer und deren Registryeinträge mit HiJackThis gelöscht (gefixt) werden. Da Viren i.d.R. in Benutzung sind müssen diese vor dem Löschen beendet werden. Dazu kann dir die Killbox helfen.
http://www.bleepingcomputer.com/files/killbox.php

Der Dropper ist der Träger/ die Hülle für den eigentlichen Virus.

Edit:
Im obigen Post habe ich den Link zur Anleitung berichtigt. Diese erklärt das besser als ich es hier beschreiben könnte.
http://hjt.klaffke.de/

 

[Mr. Sputnik]

Danke für die Hilfe!

Dieser Dropper ist ja dann die Plattform für andre Viren, aber AntiVir würde des schon bemerken, wenn ein gefährlicher Virus über des reinkommt?

Zerstören tut der Dropper ja nix, oder?

Welches ClearProg sollte ich nehmen (Version)?

 

[Spielkind]

Ja, aber nie mit letzter Sicherheit. Nein, wenn du deinen Browsercache/ Tempfiles/ Papierkorb löscht, ist diese Bazille weg. AntiVir dürfte dies, da du ja Löschen geklickt hast, beim Fund schon erledigt haben. Wichtig bei Virenscannern ist, das sie tagesaktuell sind, sonst stehen sie innerhalb 1, 2 Wichen dem möglichen Virenbefall hilflos gegenüber.

 

[Mr. Sputnik]

Echt Danke nochmal, für deine super Hilfe!

O.K. Dann lass ich des Mit Cache säubern, HiJackthis, etc.

Aber eins würde mich noch interessieren dieses Virus installiert ja diesen Maschinencode nur in Firefox und Tempfiles, oder?
Ist dieser Code dann automatisch gelöscht worden, als ich diese DR/Zlob.Gen gelöscht hab, oder ist der dann noch drauf?