Ächt böser Geselle-Virus Onboard

    Hi MS-Kundige,


    ich hab ein übles Virenproblem, finde nicht den zielführenden Zugang zur Lösung!X(


    ([OT] OK Michi, ich hab unter der Bank gefegt, die gekühlte Spezi steht bereit, allerdings herrscht absolutes Zigarrenrauchverbot. Ich wünsch Dir ff. {Viel Vergnügen}[/OT])


    Sorry @all das (s.o.) ist leider notwendig, sonst fühlen sich einige User nicht angemessen betreut.:evil:


    Zur Sache:


    Bei mir hat sich, unter tatkräftiger Mithilfe der besten Ehefrau von allen ein übler Wurm eingenistet.:-D) :-D) :-D)


    Sympthome:
    Massive Störung des WLANs, absolute Resitenz gegen Beseitigungsversuche durch Virenscanner und Virentools.


    Ausprägung:
    Sobald ihm ein Antivirentool nahe kommt, veranlasst er einen sofortigen Systemshutdown.


    Bisherige Hilfsmaßnahmen:
    Entfernung aller nicht lebensnotwendigen Prozesse aus mit dem Taskmanager, ich konnte das "Alias" des Übeltäters leider bis jetzt noch nicht identifizieren.
    (Zwischenergebnis, das WLAN läuft bis zum nächsten Neustart relativ stabil, Nachteil, einige Programme versagen die Mitarbeit)


    Mehrfache Blindversuche in der Registry verdächtige Prozesse zu eliminieren, waren nicht erfolgreich.


    (Randinformation, das hier ist mein "Testsystem" voller Ex/Software die nicht immer überschaubar war/ist.)


    Frage:
    Habt ihr so einem Schurken schon mal den Hals umgedreht, wenn ja, wie?

    Hallo,


    hast Du es schon mal mit einem freeware Virenprogramm versucht?
    Antivir ist da ganz gut und vielleicht kennt der Virus das Programm ja nicht?!


    http://www.free-av.de/

    Zitat

    Original von SAXI
    Hallo,


    hast Du es schon mal mit einem freeware Virenprogramm versucht?
    Antivir ist da ganz gut und vielleicht kennt der Virus das Programm ja nicht?!


    http://www.free-av.de/


    Danke Saxi, Antivir läuft bei mir.


    Mit Norton, Stinger, drei Online-Virenscannern, McAffee bin ich durch,
    jeweils der gleiche Effekt,
    sofortiger Systemshutdown.

    Das Ganze riecht nach einer Sasser-Variante, von denen gibt es ja wohl inzwischen mehr als Salz im Ozean...


    Als erstes mal den Shutdown blockieren: Start->Ausführen: shutdown -a
    Du kannst den Rechner dann selber über Strg-Alt-Entf runterfahren.


    Sodann mal eines der Tools drüberlaufen lassen, einer der Alias ist wohl die lsas.exe (Achtung, nicht die lsass.exe, die gehört zum System. Der Wurm nutzt gerne die Ähnlichkeit).


    Nächste Möglichkeit: Neubooten im abgesicherten Modus und PestPatrol drüberlaufen lassen, das Log gibt gute Hinweise, wer da sein Unwesen treibt...


    Viel erfolg.


    Wolfgang

    Einmal editiert, zuletzt von kockie ()

    Danke, shutdown -a hilft leider nicht, da ist der böse Bauer schlauer.
    An Sasser hab ich auch schon gedacht, aber (s.o.), das ist es nicht.
    Wahrscheinlicher scheint mir der Ansatz, das der Bösewicht die Energiesteuerung nutzt, es ist mir aber bis jetzt leider nicht gelungen, sie außer Betrieb zu nehmen.


    Das mit PestPatrol werde ich ausprobieren.


    Der lsas.exe ist es nicht, ich hatte es sogar einmal mit einem modifizierten lsass.exe zu tun (nicht in diesem Fall, bereits abgecheckt.)

    Du hast nicht zufällig die C'T 20/04 zu Hause? Oder kennst jemanden, der die Heft-CD noch hat??


    Ist nämlich eine oberelegante Lösung für sowas, nennt sich Knoppicillin. Eine Linux-Life-Version mit drei Virenscannern drinnen, die sich mal eben über's Netz die neun Signaturen holen und ntfs-Partitionen scannen können...

    Zitat

    Original von kockie
    Du hast nicht zufällig die C'T 20/04 zu Hause? Oder kennst jemanden, der die Heft-CD noch hat??


    Ist nämlich eine oberelegante Lösung für sowas, nennt sich Knoppicillin. Eine Linux-Life-Version mit drei Virenscannern drinnen, die sich mal eben über's Netz die neun Signaturen holen und ntfs-Partitionen scannen können...


    Interessante Idee kockie, das sollte sich "ergoogeln" lassen, nur nicht mehr, nachdem heute - gestern - morgen war.


    CU

    Zitat

    Original von Lucky-Felix



    Mit Norton....


    bei norton gibts doch die möglichkeit den virenscanner direkt beim booten zu starten. d.h. nicht auf der ntfs partition starten sondern mit der boot-cd, damit konnte ich neulich so einen gesellen abtöten (bzw. es waren mehrer verschiedene - beim pc meiner schwester)


    hast du die möglichkeit die partitionen auf der festplatte freizugeben und von einem anderem pc dann den scan zu starten?


    dIdI

    Hi L-F


    Kockie's Tipp dürfte der einzige sein, der zum Ziel führt.


    Offline booten von CD, und dann die Platte scannen. Knoppicillin ist dafür ausgesprochen gut geeignet.


    Du kannst die Platte auch ausbauen, und in einen sauberen Windowsrechner einhängen, und dann dort scannen.


    Sobald Du aber von der Platte bootest, hängt der Wurm im System.


    Gruß
    H.-J.

    Bitte keine Supportanfragen per PN oder Mail, dafür ist das Forum da.

    im zweifelsfall hilft auch ne alte dosbootdisk und das laufwerk formatieren

    Zitat

    Original von Familievierfuss
    Mit Bart's PE Builder kann man sich auch eine Windows XP Boot CD erzeugen und z.B. Antivir etc. einbinden. Habe ich selber schon mehrfach erfolgreich bei KollegenPC's angewendet.


    http://pcfreaks.big-clan.net/bartpe/index.shtml


    so jetzt hab ich ne cd gebrannt. wollte damit booten doch ich kann lesen, bartpe wird gestartet es kommt ein fortschritts"balken" doch passieren tut überhaupt nichts. ist das normal oder bin ich einfach zu blöd dafür ?(
    was hab ich falsch geamcht? (ich weiss, falsches forum, etc .. aber wir sind ja im offtopic!)

    @ kockie,
    @ Kleinstwagen,
    @ all,


    jetzt ist es wirklich interessant,


    kockie sei Dank, hab ich mir ne Koppicillin-CD gebaut, angeworfen, gewartet und bin wieder auf die Schnau.... gefallen.


    Auch der Virenscan mit dem Linuxderivat verursacht den sofortigen Systemshutdown, OK, die Zusammenhänge kann ich mir zusammenreimen..


    Ich hab inzwischen die Registry so "durcheinandergebracht", daß die Auswirkungen des Bösewichts auf das WLAN stark zurückgegangen sind.


    Aber dieser Schurke versteckt sich funktionell in irgendeinem funktionellem Systemprozess. Da ist ohne treffenden Verdacht beim Ausprobieren viel Frust in Aussicht.


    Aber am Schlawittchen hab ich ihn noch nicht. ?(


    Gibt es noch Ideen, außer Neuinstallation?

    8o


    Kaum zu glauben...


    Einzige Stelle, wo er denn dann sein könnte, wäre das BIOS, besser CMOS. Windows-Shutdownbefehle können Linux nicht runterfahren?!?
    Ein solcher Fiesling ist mit (und die soeben befragten datenbanken) nicht bekannt-but who knows?


    Was ich jetzt: Rechner vom Strom weg, CMOS-Batterie für 10min raus, neu rein. Dann Boot rnur auf CD setzen und dann die CD nochmal...


    Nächster Versuch meinerseits: PC zu ... in's Virenlabor schicken...


    Die Sache gibt zu keinem Drama Anlaß,


    hier geht es um meinen privaten "Spaßrechner" auf dem keine wichtigen Programme oder Daten sind und die lokalen Daten werden systemisch extern gesichert.


    Nur, dieser Schlingel interessiert mich,
    sozusagen EDVler gegen Wurm, das muß doch zu schaffen sein,
    auch wenn ich kein direkt Angehöriger der Security-Fraktion bin.