Hallo!
Habe lt Antivir zwei Trojaner auf meinen Computer. Was kann ich jetzt tun? Antivir sagt mir das er die Dateien nicht löschen kann. Habe davon nicht so sehr viel Ahnung ;-)

Nachstehend der Report

WIN ME

C:\_RESTORE\ARCHIVE
FS193.CAB
ArchiveType: CAB (Microsoft)
--> A0032196.CPY
[FUND!] Ist das Trojanische Pferd TR/Krepper.C
FS333.CAB
ArchiveType: CAB (Microsoft)
--> A0054067.CPY
[FUND!] Ist das Trojanische Pferd TR/Dldr.Stubby.B
C:\Recycled
Dc2.cab
ArchiveType: CAB (Microsoft)
--> twaintec.dll
[FUND!] Ist das Trojanische Pferd TR/Krepper.C
Dc10.cab
ArchiveType: CAB (Microsoft)
--> ipinsigt.inf
HINWEIS! Der Archivheader ist defekt
--> ipinsigt.dll
HINWEIS! Der Archivheader ist defekt
C:\Recycled\Dc7.TMP
twaintec.cab
ArchiveType: CAB (Microsoft)
--> twaintec.dll
[FUND!] Ist das Trojanische Pferd TR/Krepper.C
C:\Recycled\Dc8.TMP
twaintec.cab
ArchiveType: CAB (Microsoft)
--> twaintec.dll
[FUND!] Ist das Trojanische Pferd TR/Krepper.C

Ende des Suchlaufs: Montag, 7. November 2005 20:22
Benötigte Zeit: 12:50 min


1218 Verzeichnisse wurden durchsucht
48381 Dateien wurden geprüft
0 Warnungen wurden ausgegeben
0 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
5 Viren bzw. unerwünschte Programme wurden gefunden



Gruß Uetze

Hallo,

deaktiviere die Systemwiederherstellung -> Neustart-> aktiviere die SWH
Dann dürften sie gelöscht sein. Scannne zur Sicherheit noch mit eScan und poste die Ergebnisse.

Hallo!
Mal ne dumme Frage
Wo deaktiviere ich die Systemwiederherstellung?

Hallo Uetze,

schau hier:
http://www.bsi.bund.de/av/texte/wiederher_me.htm

dartus

Hallo,

Ein Trojaner bzw. ein Programm und seine DLLs können nicht gelöscht werden, wenn es läuft. Dann sperrt Windows diese Dateien. Also muß das betreffende Programm zuerst einmal gestoppt werden. Dazu kann man den Taskmanager verwenden, unter Prozesse den passenden Prozess suchen und versuchen, diesen zu killen. Ist das Programm gut geschrieben, dann wird das nicht so ohne weiteres klappen, weil
- das Program versteckt ist
- nicht zu identifizieren ist
- gut programmmiert wurde
- zwei Prozesse sich gegenseitig überwachen und neustarten (vgl. Webrebates.exe)
Wenn sich das Programm nicht beenden läßt, dann kann man Windows im abgesicherten Modus starten. Dabei werden Einträge im Run und Autostart nicht ausgeführt.
Wenn das betreffende Programm nicht läuft, dann kann man es löschen. Wichtig ist, auch, daß die Autostarteinträge in der Registry
- HKLM\Software\Microsoft\CurrentVersion\Run
- HKCU\Software\Microsoft\CurrentVersion\Run
die das betreffende Programm starten, auch gelöscht werden (Das sieht dann einfach besser aus).

Mit der Systemwiederherstellung habe ich zugegebenermaßen wenig Erfahrung. Daher weiß ich nicht wie die reagiert.

@Dirk Gently
Die Schädlinge befinden sich im SWH-Ordner. Um sie zu löschen muss die SWH kurzzeitig deaktiviert werden.

Wichtig ist, auch, daß die Autostarteinträge in der Registry
- HKLM\Software\Microsoft\CurrentVersion\Run
- HKCU\Software\Microsoft\CurrentVersion\Run
die das betreffende Programm starten, auch gelöscht werden

Prinzipiell richtig, nur gibt es sehr viele weitere Autostartmöglichkeiten.
-> http://www.sysinternals.com/Utilities/Autoruns.html
Vorsicht, bei falscher Handhabung kann es passieren, dass sich Windows nicht mehr starten lässt!

@Haui45
Danke für den Hinweis. Bei der nächsten Infektion werde ich es beachten!

Dirk

Hi! Leihe braucht HILFE!
habe mit eScan gescannt, aber jetzt wollte ich das Ergebnis posten aber irgendwie funktioniert das nicht.
Habe laut Anleitung unten Find.rar gespeichert, aber es kommt ne Fehlermeldung das er die Datei nicht finden kann:

[5] Rechtsklick auf die Find.rar -> Ziel speichern unter… z.B. 'C:\Find.rar' -> 'Find.rar' entpacken z.B. 'C:\Find.bat' -> 'Find.bat' doppelklicken und den Scan abwarten -> den Inhalt [6] der automatisch erstellten 'C:\eScan_neu.txt' posten.

Habe dann noch versucht mwav.log zu öffnen, aber da kommt die gleiche Fehlermeldung.

Was muß ich jetzt tun?


Gruß Uetze