Hi zusammen,

ich hoffe, jemand von Euch kann mir weiterhelfen... Ich hab gestern einen neuen Virus auf meinem PC ausgemacht.
Meldung v. Norton: Virus W32.Spybot.Worm in
C:\WINDOWS\SYSTEM32\WINSVC.EXE


Keine Chance bisher das Teil zu entfernen, Norton ist machtlos [img]graemlins/heulen.gif[/img]
Dann hab ich mir gestern was runtergeladen, für diesen Spybot zu kicken, das ist aber auf englisch und damit komm ich absolut nicht klar.

Weiss jemand mit diesem Virus umzugehen ???
Ich wär echt dankbar dafür !!

LG
Cindy

</font><blockquote>Zitat:</font><hr />Original erstellt von cindy61:

Keine Chance bisher das Teil zu entfernen, Norton ist machtlos </font>[/QUOTE]Glaube ich nicht, da Norton das Zeug seit über einem Jahr kennt.

Hast Du vieleicht WindowsXP? (oder WinME)
Wo wird den der Wurm gefunden?
Schon mal die Systemwiederherstellung deaktiviert?

Hi,

ja, ich hab XP ... Und Norton hat den gefunden, kann ihn aber weder löschen, noch isolieren !
Systemwiederherstellung ist deaktiviert, hab ich alles schon durch !

Gefunden wurde das Teil wie schon gesagt in :
C:\WINDOWS\SYSTEM32\WINSVC.EXE

Hast Du ne Idee ?

Hallo Cindy,

bin zwar kein Experte und auch neu hier, habe aber eben ein ähnliches Problem, wie Du es hast, mit Hilfe der Leute hier lösen können. Ich habe Win2000 und glaube, dass es mit XP auch so gehen müsste:

Fahr den Rechner doch mal im abgesicherten Modus hoch und versuche dann zu löschen. Bei mir hats auch erst so geklappt (konnte vorher auch nicht löschen).

Gruß

Hallo!

</font><blockquote>Zitat:</font><hr />Original erstellt von cindy61:
ja, ich hab XP ... Und Norton hat den gefunden, kann ihn aber weder löschen, noch isolieren !</font>[/QUOTE]Das geht deswegen nicht, weil die Schadsoftware aktiv (d.h. in Verwendung ist), und daher der laufende Prozess von Windows geschützt wird. Deine "Schutzeinrichtungen" haben versagt, schließlich konnte eine Schadsoftware auf dein System gelangen und dort auch aktiv werden.

</font><blockquote>Zitat:</font><hr />Systemwiederherstellung ist deaktiviert, hab ich alles schon durch !</font>[/QUOTE]Du müsstest den laufenden Prozess dieser Datei beenden (dazu zuvor über Strg Alt Entf den Taskmanager aufrufen), um die Datei dann von Hand aus dem System herauszunehmen und zu sichern. Immerhin bedeutet ein aktiver Spybot auch von der Funktion her immer einen aktiven Backdoor. Mit anderen Worten: Alarmstufe Rot! Ein Backdoor ermöglicht nämlich dir unbekannten Usern aus dem Internet volle Kontrolle über dein System. Das Ändern der Passwörter ist somit das Mindeste, das Neuaufsetzen des Systems die sicherste Lösung.


Nachtrag: Zum Verbreitungsweg: Dieser Wurm ist u.a. als Netzwerkwurm zu klassifizieren. Somit würde ich dringend raten, dass du hier mal einen kompletten Scan machst und dessen Ergebnisse dann hier postest:

http://check.lfd.niedersachsen.de/start.php

Bei diesem Scan sind vor allem die Stufen zwei und drei interessant. Wähle für den Portscan in Stufe z.B. einen freien Bereich von 0 bis 5000.

[ 21. Mai 2004, 19:47: Beitrag editiert von: mmk ]

Au Backeeeee [img]graemlins/nixda.gif[/img] [img]graemlins/heulen.gif[/img]

Markus, das hört sich nich wirklich gut an ...

Ok, ich werd heut nacht noch diesen Scan durchführen und stell die Ergebnisse dann hier rein... So ein Scheiss, Mensch, ist das erste Mal, das mir so was passiert ! [img]graemlins/koch.gif[/img]

Vielen Dank erst mal für den Tip !!

Und auch danke an Dich, Rudi ! Im abgesicherten Modus starten, das kann ich grad noch aber wie bzw. wo ich den Schrott dann löschen kann, ist mir noch nicht klar...

Bis denne, mal schaun ob ich das mit Eurer Hilfe geregelt kriege ! [img]graemlins/headbang.gif[/img]

Tja... nix bei rausgekommen, man sagt mir, es wäre kein offener Port gefunden worden. Das Timeout hatte ich eingeschaltet und der Scan dauerte 1052 Sekunden.
Ich hab dieses Mistviech immer noch drauf.
Und jetzt kommt der nächste Hammer :
Hab grad Mails abgerufen und ich bekam 53 !!!! irgendwelche Mails von Absendern irgendwelcher Leute, alle datiert von heute nachmittag 16.10 Uhr. [img]graemlins/headbang.gif[/img] [img]graemlins/koch.gif[/img] [img]graemlins/schrei.gif[/img]

Inhalt immer der gleiche (hab aber nur in 3 ganz kurz reingeschaut) "jemand" will mich kennenlernen
Hab dann alle ungelesen ratzifatzi im Schnellklickverfahren gelöscht !
Irgendwelche Anhänge waren da auch noch mit dran, aber ich hab keinen einzigen aufgemacht...
So was hatte ich auch noch nich... hängt das evtl. auch mit diesem Spybot zusammen ?
Un nu ? *ratlos kuck* Ich kenn mich nich mehr aus, echt nich... [img]graemlins/heulen.gif[/img] [img]graemlins/heulen.gif[/img]

Was mach ich`n jetzt ??????

Yeeeaaah [img]graemlins/huepp.gif[/img]

Ich hab ihn.. ich hab ihn [img]graemlins/kloppen.gif[/img]

Wech isser... [img]graemlins/daumenhoch.gif[/img]

Danke an alle, die mir geholfen haben mit Tipps !
Auch in PN`s ...

LG
Cindy

</font><blockquote>Zitat:</font><hr />Danke an alle, die mir geholfen haben mit Tipps !
Auch in PN`s ...</font>[/QUOTE]Hi Cindy,
das folgende richtet sich nicht gegen Dich!
Ich 'muss' es aber trotzdem mal loswerden:

Leider wird die Unsitte (zumindest ist es in meinen Augen eine!) langsam Mode, nur noch via PrivatMessage zu helfen.... [img]graemlins/pfui.gif[/img]
Mensch Leute, dieses Forum bzw. die Hilfe lebt davon, dass wir das ÖFFENTLICH machen, so das andere User mit dem gleichen Problem auch etwas davon haben. Wieso kann man seine Tipps nicht in den Thread schreiben... *kopfschüttel*