Wollte eben was mit dem Microsoft Baseline Security Analyzer über prüfen u hab festgestellt das alle gifs mit koule jehova überschrieben wurden...

ist das ein Virus?

thanx schonmal im vorraus

Wahrscheinlich, allerdings gibt es dazu wohl noch nicht viel Informationen.
Lass mal E-Scan wie beschrieben durchlaufen, nach einem Update natürlich:

http://www.trojaner-board.de/42731-escan-anleitung.html

Und ein Hijackthis-Log schadet sicher auch nix.

hab ein paar infos bei chip.de gefunden

"Hab gerade den Kampf gegen "WordInfo.doc" gewonnnen, glaube ich zumindest.

Ich hatte zusätzlich noch die "nette" Datei mssys.exe auf meinem Rechner. Obwohl kein aktueller Viren-Scanner (Norton 2004 & AntiVir 6.27) diese als schädlich erkannt hat und ich auch alles andere als ein Experte bin, denke ich, dass diese Datei das Übel war. Die Datei wurde bei jedem Start von XP ausgeführt, allerdings nicht im abgesicherten Modus.

Sie lag bei mir unter C:\WINDOWS\mssys.exe. Zusätzlich gabs noch einen Registry-Eintrag unter HEKY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run.
Beide habe ich gelöscht und beide Dateien (WordInfo.doc & mssys.exe) kamen nicht mehr wieder.

Als "Bonus" mache ich die mssys.exe auch noch für folgende Veränderungen an meinem System verantwortlich:

- viele (komischerweise nicht alle) GIF-Dateien im System werden mit einer Graphik überschrieben, die als Inhalt "Koule Jehova" hat und 1 KB groß ist

- auch wieder viele, nicht alle, TXT-Dateien werden auf den Status versteckt gesetzt und es wird eine EXE-Datei mit dem gleichem Namen erzeugt. Diese Datei ist 348 KB groß und trägt das Erstellungsdatum 20.08.2000 15:30. Ich gehe davon aus, dass diese Dateien Kopien der mssys.exe darstellen.

Fazit: Ob es an der o.g. mssys.exe tatsächlich lag, kann ich nicht sagen. Allerdings sollte jeder, der die Datei "WordInfo.doc" auf seinem Rechner findet, mal schauen, ob nicht noch mehr (siehe oben) fremde Dateien drauf sind. Das Überschreiben der GIF-Dateien ist echt beschissen."

" hallo, mich hat der kuole jehova auch erwischt.
alle gif dateien sind geändert
alle txt dateien sind gleichnamig zu exe mit 348k geworden
auch .log dateien hats erwischt
msdosdrv.exe und mssys.exe werden immer erneuert
alle daten sind am 03.08. geändert worden
anfang september wurde er wieder aktiv
ich habe mal das systemdatum auf 01.10 gestellt und es ging wieder los
kein virenscanner hat angeschlagen norton , kasparsky, thrust antivirus

im internet ist kaum was zu finden also brauchen wir jede info

wer kann mehr infos geben oder sogar gegenmassnahmen bekannt geben.

ich schätze der rechner muß platt gemacht werden aber da bleibt das risiko der ursprungsdatei auf eventuellen datensicherungen"


"hab dfas gleiche proplem bei mir wird auch immer bei allesn gif. datein Koule Jehova(stirb\to Jesus\Gott soll das auf deutsch heißen kommt aus dem Finischen)
beim suchen hab ich "mssys.exe" gefunden aber nicht
"WordInfo.doc"
DAs einzige was dagegen lhelfen soll währe formatieren habs noch nicht gemacht hoffe das es auch ne andere lößung gibt"

Ja, das habe ich auch gelesen, hast du denn diese mssys bei dir? Eigentlich gehört die zu einem bereits bekannten Schädling. Mach mal bitte, was ich vorgeschlagen habe.

Ne hab keine mssys. Hab am Sa mal nen e-scan gemacht im abgesicherten modus. Es wurden 600 dateien gefunden (nehme an das es die .txt dateien waren die automatisch als exe umgewandelt wurden)
gefunden über escan wurde: backdoor.optix.pro13
win32.bacros.a" virus

hoffe das dir das ein wenig weiterhilft

Der "Vorgänger" konnte bereits das anrichten:

http://securityresponse1.symantec.co...tixpro.12.html

Das System ist offensichtlich kompromittiert, du solltest am besten neu installieren.

1.) Neu formatieren und installieren (Anleitung: http://8ung.at/chemikers-home/SETUP.html)
2.) Ein eingeschränktes Benutzerkonto anlegen, mit dem gesurft wird, NICHT mit dem Administratorkonto ins Netz gehen
3). VOR der ersten Onlineverbindung die XP-Firewall für die Verbindung aktivieren (http://www.microsoft.com/germany/ms/...windowsxp.mspx)
4.) Ebenfalls VOR dem Onlinegehen unnötige Dienste deaktivieren siehe www.dingens.org
5.) Danach zuerst www.windowsupdate.com besuchen (dies wöchentlich wiederholen) und alle Updates installieren oder alternativ vorher noch Service Pack 2 downloaden oder von CD installieren
6.) den IE nur noch für diese Updates verwenden, ansonsten auf einen alternativen Browser wie Opera, Firefox oder Mozilla umsteigen
7.) Browser und Emailprogramm (auch hier gibt es Alternativen zu Outlook wie Thunderbird, foxmail)sicher konfigurieren, keine aktiven Inhalte automatisch ausführen lassen (Java-Script, Active-X, VBS)
8.) Vorsichtig bleiben, nur wirklich als sicher bekannte mailanhänge öffnen, nur aus sicheren Quellen Programme herunterladen und vorher überprüfen, ob sie Spyware oder Adware enthalten können (http://virgolamobile.50megs.com/spyware/spyware.htm http://www.spywareguide.com/spywarelist.html), besondere Vorsicht ist bei allen erotischen und Warez-Seiten geboten
9) ein Antivirenprogramm schadet auch nichts (Antivir ist kostenlos und halbwegs brauchbar www.free-av.de ), sollte aber nicht dazu verführen, sich grenzenlos darauf zu verlassen
10) Nicht gleich alle Programme, die früher installiert waren, sofort erneut aufs System lassen, sondern zuerst informieren, ob sie Spy/Adware enthalten (siehe 8.)
11) Bei Infektion mit Trojanern/Keyloggern: keine alten Passworte wiederverwenden, sondern alle neu anlegen

Unbedingt auch Punkt 11 beachten, da dieser Trojaner wahrscheinlich auch sehr gezielt Passworte ausspioniert.

Ich schließe mich der Meinung von MountainKing an.
Hier findest du eine genaue Erklärung, was dieser OptixPro.13 durch seine Client und Server Komponenten alles anstellt:

Server Component

Upon execution, the server component drops a copy of itself as SERVER OPTIX PRO 131.EXE in the default Windows system folder.

It creates the following registry entry to ensure its automatic execution at system startup:

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
GLSetlT32 = %System%\server optix pro 131.exe

(Note: %System% refers to the Windows system directory, which is usually the folder C:\Windows\System for Windows 95, 98, and ME, C:\WINNT\System32 for Windows NT and 2000, and C:\Windows\System32 for Windows XP.)

Then, it opens and listens to port 3410, where it waits for any command coming from the remote malicious user.

The server also allows the following features to be configured, depending on the user's preference:

* Notification information separators
* IP address separator
* Information included in any notification
* Identification name
* Server port
* Server password
* Fake error message
* Server icon
* Startup registry entry
* Registry RunServices startup
* Win.ini startup
* System.ini startup
* S7 special method startup
* Server file name
* Start directory (windir/sysdir)
* Melt server
* Unlimited ICQ number notification
* Unlimited CGI script notification
* Unlimited MSN account notification
* Unlimited IRC server/channel notification
* Unlimited PHP script notification
* Unlimited SMTP notification
* Toggling killing of in-built exe/service list for firewalls
* Toggling killing of in-built exe/service list for Anti-Virus
* Toggling killing of in-built exe/service list for packages classifed as both anti-virus and firewall!
* Unlimited Number of custom exe's to kill
* Unlimited Number of custom services to kill
* File name and registry value cloaking

Client Component

The client component is the part of the backdoor package which is with the remote malicious user. It attempts to connect to the target system via the port opened by the server, which is port 3410. When the connection attempt is successful, it allows the malicious user to utilize the following backdoor functionalities through a GUI (Graphical User Interface):

* User these power options:
o Logoff
o Suspend
o Reboot
o Shut down
* Get server information
* Get computer information
* Get passwords
* Log keys
* Capture screen with left click mouse manipulation
* Manipulate keyboard
* Get camera capture
* Send keys
* Flash keyboard lights
* Turn the monitor on/off
* Disable keyboard
* Disable mouse
* Print text to their screen

Quelle: http://de.trendmicro-europe.com/ente...RO.131&VSect=O

sprich windows xp neu installieren? Gibt es keine andere Möglichkeit?

Die Updatefunktion von windows funktioniert auch nicht mehr... es kommt folgende meldung:

[Fehlernummer: 0x8DDD0002]
Sie müssen als Administrator oder Mitglied der Administratorgruppe angemeldet sein, um Produkte von Windows Update zu installieren. Wenn der Computer mit einem Netzwerk verbunden ist, können Einstellungen für Netzwerkrichtlinien das Ausführen dieses Vorgangs verhindern.

Du siehst ja selbst, wie weitreichend bereits in dein System eingegriffen wird.
Die Neuinstallation ist die einfachste und schnellste Methode ein definitiv wieder vertrauenswürdiges System herzustellen, zumindest für den normalen user, der sich mit Rootkits und Backdoorprogrammen nicht wirklich auskennt.

Wie kann ich meine dateien/programme am besten sichern? Hab den rechner noch nicht lange u hab noch nie ne Neuinstallation durchgeführt

das hört sich ja echt übel an

Hier findest du eine bebilderte Anleitung zur Neuinstallation von XP:
http://8ung.at/chemikers-home/SETUP.html
und
http://chip-faq.rufisplanet.ch/installation.html

Wie kann ich meine dateien/programme am besten sichern?

Am besten auf CD/DVD sichern. Achte aber darauf, welche Dateien du sicherst, siehe http://oschad.de/wiki/index.php/Dateiendungen

kann ich auch die mir wichtig erscheinenden dateien auf festplatte d: speichern?

Das kannst du natürlich auch machen.

muss man vom schlimmsten ausgehen oder könnte es auch harmlos sein?

Falls ihr noch Tips habt wär ich euch sehr dankbar

Zur deiner eigenen Sicherheit solltest du vom schlimmsten einzutretenden Fall ausgehen.
Harmlos ist Optix.Pro mitnichten. Du hast die Links gelesen, oder?

Aber es obliegt natürlich dir, wie du dich entscheidest.