Hallo!

Ich habe eben, als ich die 'Suchen'-Funktion meines Rechners benutzt habe, zufällig einen Ordner mit dem Namen Dialer gefunden. Wenn ich ihn öffne, finde ich in ihm eine Datei mit dem Namen 'hot_tarts_de.exe'. Wenn es wirklich ein Dialer ist, sollte ich ja eigentlich keine Probleme bekommen, da ich DSL benutze, oder? Dennoch würde ich gerne wissen, ob es wirklich ein Dialer ist oder nicht doch etwas anderes. Und vor allen Dingen, wie ich das Teil am besten entferne.

Spybot schimpft nicht, Sygate meckert auch nicht, etwas verwirrend das Ganze, ich werd jetzt mal den Virenscanner laufen lassen.

Ich wäre euch dankbar, wenn ihr mir Tipps geben könntet, wie ich jetzt am besten vorgehe. Ich falle als Rechnerbenutzer wohl am ehesten in die Kategorie 'gefährliches Halbwissen', also erwartet bitte nicht zu viel Fachwissen von mir :-)

Gruß

Emma

PS: Bringt euch der Dateipfad etwas?
Wenn ja, bitte sehr: C:\Program Files\mpb\dialers\hot_tarts_de\hot_tarts_de.exe

Hi!

Mach mal folgende 3 Punkte:

1.) Du schickst deinen Virus an kompetente Leute (Antiviren-Hersteller). Einerseits würd ich dir ClamAV (GPL) vorschlagen, andererseits KAV. Schick die Datei an beide Adressen - du wirst dann auch in einigen Tagen (spätestens) eine Antwort bekommen, was das Programm ist.

2.) Du löschst die Datei. Schau ob der Prozess mit diesem Dateinamen aktiv ist - wenn ja, dann beendest du den Prozess (im Taskmanager -> strg+alt+entf)

3.) Du musst dir überlegen, warum du diesen Virus/wurm/trojaner/dialer eingefangen hast. Aktualiere dein Windows (Windows-Update) und deinen Internet-Explorer. Auch ein Broswerwechsel wäre stark zu überlegen. Ich würde dir, falls du das amchen willst (und damit sicher sein willst), FireFox vorschlagen.

[ 4.) Du kannst auch in google selbst nach dem Dateinamen suchen - bin mir sicher du findest etwas ]

grüsse,
Mario

Hallo!

Ärgerlich, jetzt hab ich mir gerade den Wolf getippt und war nicht mehr eingeloggt und nun ist der Text weg und ich müde

Erst mal vielen tausend Dank für die schnelle Antwort!!

Es ist dieser Wurm: Worm.Mytob.FJ

Tolle Wurst. Ich werde mich morgen drum kümmern...und mich dann ausführlicher zu der Sache äußern.

Gute Nacht

Emma

PS: Mal was anderes. Mein Traffic war höher als sonst diesen Monat, kann es was mit dem Wurm zu tun haben??

Zitat von Emma

Es ist dieser Wurm: Worm.Mytob.FJ
[...]
PS: Mal was anderes. Mein Traffic war höher als sonst diesen Monat, kann es was mit dem Wurm zu tun haben??

Das ist sehr gut möglich. Der Wurm hat Backdoorfunktionalität. Bereinigung ist leicht über Formatierung und Neuinstallation möglich. Andere Möglichkeiten gibt es nicht.

Beachte die Anleitung genauestens:
http://www.trojaner-board.com/showthread.php?t=12154

Grund für die Infektion ist vermutlich ein veraltetes Betriebssystem.

Gruß
Yopie

Ja, das wird ziemlich sicher der grund sein. Der Wurm versucht sich ja selbst andauernt nach außen zu schicken. Und wenn sich eine eine solche ~40.kb datei 1.000 rausschickt, dann kannst dir ausrechnen, welchen traffic du hast...

also, am besten die datei löschen udn nochmal mit aktualisiertem programm PC scannen, dann passts...


grüsse,
Mario

Yopie:

Bereinigung ist leicht über Formatierung und Neuinstallation möglich. Andere Möglichkeiten gibt es nicht.

da bin ich mal ganz anderer meinung...
Man muss nur eine Datei löschen, soweit ich das in den beschriebungen richtig mitbekommen habe, und das kann man mit abgesicherten Modus machen...

wenn ich falsch liege (was ich in diesem fall nicht glaube), schreibs mir!

Zitat von snooby

Man muss nur eine Datei löschen, soweit ich das in den beschriebungen richtig mitbekommen habe, und das kann man mit abgesicherten Modus machen...

Eine Beschreibung von Mytob (zum konkreten hab ich keine gefunden, ich glaube aber nicht, dass sie sich grundlegend unterscheidet):

"# Connects to an IRC channel on the server hack3rz.turanduygu.com on TCP port 3344. The worm listens for commands that allow the remote attacker to perform any of the following actions:

* Execute files
* Download files
* Perform other IRC commands determined by the attacker
* Reboot the compromised computer"

http://securityresponse.symantec.com...tob.gp@mm.html

Selbst wenn die Analyse vollständig wäre (sicher wäre ich mir nie!), könnten also beliebige Dateien auf den Rechner geladen und ausgeführt worden sein; die dadurch hervorgerufenen Manipulationen sind aber auch mit einem AV-Programm nicht mit Sicherheit herauszubekommen. Es sei denn, man hat Prüfsummen zum Vergleichen, was zumindest bei Homeusern die absolute Ausnahme sein dürfte.

Gruß
Yopie