Snapple.exe

Firecat

Hallo ich bekam gerade eine Email von meinem bekannten mit folgender Virusnachricht.

Grüß Sie Herr ........

diesmal melde ich mich wegen einer unangenehmen Sache.
Es ist eigentlich das erste Mal, dass ich mir wirklich einen Virus eingefangen habe.
Schon wegen meiner Vorsicht im Internet zu Surfen, ist es mir unerklärlich, auf
welchem Weg sich dieses Teil eingeschlichen hat.

Nicht einmal der Virenscanner kennt ihn, trotz ständiger Aktualisierung !!

Ich habe es eigentlich nur bemerkt, als mein Rechner, bzw. das Modem, lange
Datenpakete nach aussen absetzte.
Beim Hochfahren des Rechners verhielt er sich merkwürdig.

Beim Blick in die verborgenen Autostarts (msconfig, Reiter Systemstarts) fand
ich dann die Einträge 'Snapple.exe' sowie 'syshost32.exe'.
Meine Firewall sowie Virenscanner wurden ständig deaktiviert.

Im Internet fand ich eigentlich nur einen Hinweis (siehe Anlage) welche Einträge
in der Registry betroffen sind.
Das Datum der Herausgabe ist 28.01.2005 !!

Es hat mich eine ganze Weile gekostet, bis ich ihn vom System herunter hatte.
Schlimm ist derzeit nur, dass der Virenscanner nutzlos ist.

Die Anlage:
This file is generated by AppHunter
; Please contact support@cyberdefender.com for more details
[Summary]
Discovered=01/28/2005 04:26:00
ID=152CCFD50539D3206447A5CF55581726
ID2=80384,B6A3F5715C68316D981F99D49D8E41D2
ID3=79360,1AFBEB0B6097955403634CFB801F2667
MD5=2C3C33C53373F0293C65E3F1B8D17A0F
Size=80384
Filename=snapple.exe
Company=N/A
Risk=4.8

[Risk Analyzer]
AutoRun=16
NonBrand=10
FileCreated=4
FileCreatedInWinSys=4
CloneThreat=4
ServiceCreated=10

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\]
snapple=snapple.exe

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce\]
snapple=snapple.exe

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices\]
snapple=snapple.exe

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\]
snapple=snapple.exe

[FileCreated]
c:\windows\system32\snapple.exe=1

[ThreadCreated]
Count=1

Der Virus findet sich in der Registry nicht unbedingt unter dem angegebenen Namen.
Wie es scheint, versteckt er sich auch unter der ausführbaren Datei syshost32.exe.
Auf jeden Fall konnte unter 'Ausführen' msconfig im Reiter Systemstart
in der Spalte Systemstartelement Abx festgestellt werden.
Der dazugehörige Befehl lautet syshost32.exe
Parallel wurde auch snapple.exe ausgeführt.
Beide Befehle scheinen auch mehrfach gestartet zu werden.

Hat jemand diesen Virus schonmal gehabt.