Hallo,

da ich nach etwa 2 Jahren Trojanerforschung schon so ziemlich jeden Trojaner, Virus und und und gehabt habe und sehr viel selber teste um daraus zu lernen, stehe ich Heute vor einem kleinen Problem und frage Euch um Rat.

Habe vor etwa 2 Tagen ein Mail erhalten, wo ein Anhang mit: mail-packed-password.zip dran war.
Ich natürlich, der Obertester mache das Programm auf, darauf wurde im WINNT (Habe Betriebssystem WIN2000) Ordner, Unterordner WinSecurity folgende Dateien abgelegt:
SMSS (55 KB)
SERVICES (55 KB)
CSRSS (55 KB)
SOCKET1
SOCKET2
SOCKET3
WINMEM3.ORY
WINMEM2.ORY
WINMEM1.ORY
STARTER.RUN
MSSOCK3.DLI
MSSOCK2.DLI
MSSOCK1.DLI

Wenn ich nun der Firewall lausche, schreit diese sofort auf ROT MARKIERTER BEREICH = ABSOLUT GEFÄHRLICHER KONTAKT !!!! (Habe Symantech Firewall 2004 und Symantech Antivirus 2005 installiert).

Unter Eingabeaufforderung zeigt er mir unter Befehl: netstat -a
reverse.valueserver.de: http SCHLIESSEN_WARTEN

Reverse.Valueserver.de sollte nach meiner Information irgendwas mit IRC zutun haben, aber ganz genau habe ich es noch nicht herausbekommen.

Sind diese Dinge ein Trojaner, Virus oder sonstiger Schädling oder nur ein Fake eines lustigen Mailversenders ?

Bitte gebt mir kurz bescheid.

Achja, bin hier neu in diesem Forum.
Wenn wer mal Probs. mit anderen Dingen hat, wie Beispiel Festplattenwiederherstellungen oder sowas, oder andere Dinge helfe ich gern.

Danke und lg. aus Österreich :aplaus:

Chris

Hallo,
überprüfe doch mal die im WinSecurity Ordner abgelegten Dateien hier. Hört sich für mich nach Sober.x (oder w) an, könnte aber auch ein bot sein, poste mal das Ergebnis.



Grüße Wildone

Wildone


JIPIEEEEEEEEEEEEEEEEEEEEEEEEEEEEEEEEE ich bin SOBER Infiziert.

Siehe Anhang:

Auslastung: 0% 100%

Datei: mail-packed_password.exe
Status: INFIZIERT/MALWARE
Entdeckte Packprogramme: PACKMAN

AntiVir Dropper/Sober.AA gefunden
ArcaVir Worm.Sober.T4 gefunden
Avast Win32:Sober-Z gefunden
AVG Antivirus I-Worm/Sober.CD gefunden
BitDefender Win32.Sober.AA@mm gefunden
ClamAV Worm.Sober.T-9 gefunden
Dr.Web Win32.HLLM.Sober gefunden
F-Prot Antivirus dropper for W32/Sober.Y@mm gefunden
Fortinet W32/SOBER.AC-dr gefunden
Kaspersky Anti-Virus Email-Worm.Win32.Sober.z gefunden
NOD32 Win32/Sober.T gefunden
Norman Virus Control W32/Sober.Z@mm gefunden
UNA Keine Viren gefunden
VBA32 Email-Worm.Win32.Sober.z gefunden



Danke für den super Hinweis, jetzt weiss ich endlich was ich gleich löschen werde.

Lg.

Chris

ich nehm dir das mit dem forschen nicht ganz ab, denn sogar
ein halbwegs informierter mensch weiß, dass das sober ist.

Tipp: bei folgenden sachen brauchst du nicht zu "forschen", das
ist auch sober, bevor du dir die halbe platte wegrauchst:

-dir will jemand ein uralt klassenfoto anhängen
-jemand meint, du hättest ihm eine mail geschickt und schickt dir diesen
inhalt vorsichtshalber als zip zurück
-du hast jemandem angeblich perverse dolumente geschickt (genauer:
einer ominösen tochter, deren vater sich jetzt meldet) und dir werden die
dokumente umseitig als zip gesendet mit der aufforderung zur entschuldigung