Hallo !

Ich hatte einen Trojaner Namens Silentbanker auf meinem System, der jetzt leider von mir platt gemacht wurde. Nachdem ich Antivir, Norton, Malwarebytes, Kaspersky, gmer, HiJackThis, Combofix und all den anderen zeitraubenden Blödsinn ausprobiert habe, der hier und auf anderen Boards mit wahrer Wonne verbreitet wird und trotzdem nichts ausrichtet - ja teilweise nicht einmal den Trojaner findet ( das sind fast alles Programme zum Auffinden des Duddle41 Virus, den ich 1995 auf Windows 3.1 hatte), ist mir ein Beitrag der Sparkasse Dortmund in die Hände gefallen. Da, mal unter vorgehaltener Hand, der Virus von diesen Institutionen stammen könnte - sind es ja wahrscheinlich auch die einzigen, die wissen wie man ihn bekämpft !

Hier, auszugsweise die Anleitung.

1. Funktionsweise
Das Trojanische Pferd enthält einen MBR-RootKit.
Die Installationsroutine des Trojanischen Pferdes kopiert sich selber in den MBR (Master Boot
Record). Damit wird das Trojanische Pferd bei jedem Systemstart geladen. Das Trojanische Pferd
installiert einen RootKit-Loader sowie weiteren Schadcode auf den letzten Sektoren der Festplatte.
Somit werden keine Manipulationen am normalen File-System vorgenommen und die Virenscanner
finden keinen Befall. Kurz nach der Installation führt das Trojanische Pferd einen Neustart des
Rechners durch und löscht dabei die temporär benötigten Installationsdateien.

2. Entdeckung

Zur Entdeckung des Trojanischen Pferdes steht das Tool GMER zur Verfügung:
http://www2.gmer.net/beta/
Weitere Erkennungs-Tools finden Sie unter:
http://www.trendmicro.com/download/rbuster.asp
ftp://ftp.f-secure.com/anti-virus/tools/fsbl.exe

3. Bereinigung

Für eine weitgehende Bereinigung des Systems ist wie folgt vorzugehen:
• Systemstart (Boot) mit einer Windows-CD
• Bei der Abfrage was gemacht werden soll - Installieren oder Reparieren - auf REPAIR gehen.
Es erscheint der bekannte DOS-Bildschirm.
• Hier das Kommando fixmbr eingeben. Durch diesen Befehl wird der BootSektor (Sektor 0)
neu geschrieben. Dem Trojanischen Pferd fehlt damit der Einstiegspunkt und es kann somit nicht mehr tätig werden.
Da sich ggf. noch weitere Schadsoftware auf dem System befindet, die der Virenscanner nicht findet,
wird zur Sicherheit eine Systemneuinstallation empfohlen. Hierzu ist eine Formatierung (keine
schnelle Formatierung) und anschließend die weitere Neuinstallation durchzuführen.
Ohne Gewähr


Ich hoffe, das kann euch helfen. Ich habe die Prozedur mit dem Bootsektor zweimal hintereinander durchgeführt, dann noch mal Kaspersky drübergejagd, eine Datensicherung ausgeführt ( laut Sparkasse befinden sich die Schädlingfiles auf den letzten Sektoren und sind für das normale Filesystem nicht erkennbar, also auch nicht für eine File-gesteuerte Sicherung. Dann formatieren (schön langsam!) und alles wieder aufspielen.

Viel Erfolg Carsten


PS: Hau den Virus, sonst haut er Dich !!!
Carsten

Also die Neuinstallation bedeutet aber dann, dass alle Daten vom PC gelöscht werden, oder?

Hatte den Trojaner letztens auch und hab den MBR wie angegeben überschrieben. Bislang sind die cpx-Dateien nicht wieder im system32-ordner aufgetaucht, was natürlich nichts heißen muß.

Was mich persönlich nun sehr interessieren würde: Schreibt der Trojaner die weiteren Dateien wirklich auf die letzten Sektoren der Festplatte oder nur auf die letzten sektoren der aktiven Partition C ??? Glaub zwar nich, daß das jemand genau weiß, aber deshalb überleg ich halt noch, was ich mache: komplette festplatte neu formatieren oder nur partition C.

Suche auch hier! Das Thema versuche ich dort einmal zusammenzufassen!
http://www.trojaner-board.de/61452-t...rnt-jetzt.html

Hallo !

Melde mich zurück. Bis jetzt habe ich keine weiteren Meldungen in Bezug auf meinen Liebling "Silentbanker" bekommen. Im übrigen habe ich damals nur eine ganz normale Sicherung der Partition durchgeführt, C: formatiert und die Sicherung wieder aufgespielt. Also nicht wie hier angenommen das Betriebssystem neu installiert. Wie gesagt, er nervt nicht mehr. ( Und bitte den MBR nicht vergessen !! )

PS: Hau den Virus, sonst haut er Dich !!!

Carsten

Hallo !

Möchte mich heute noch einmal in Bezug auf unseren beliebten Freund Silentbanker melden. Nach der damaligen Prozedur ist weder eine Fehlermeldung, noch ein Absturz oder sonstiges aufgetreten. Das Dingen ist definitiv b r e i t ! !

Viel Spaß beim Entfernen !

messerstumpf

P.S. Hau den Virus, sonst haut er Dich !!