Hallo! Hab ein riesen Problem mit dem Wurm W32.Tibick. Als ich ein paar Dateien von meinem PC per USB-Stick auf meinen Laptop kopieren wollte, schlug Norton AntiVirus an und meldete diesen Virus. Laptop ist virus-frei, aber meinen PC hats voll mit diesem Wurm erwischt.
Auf dem PC ist zwar auch Norton AV installiert (ist aktuell), wird aber durch den Wurm blockiert. Der Wurm blockiert so ziemlich alles, was mir bisher gegen ihn eingefallen ist, selbst im abgesicherten Modus. In die Registry komm ich nicht rein, er blockiert viele Internetseiten, die mit (Anti-) Viren zu tun haben (z. B. symantec.de, auch trojaner-board.de). Auch das eScan Antivirus Toolkit Utility lässt sich nicht ausführen (Fenster erscheint nur ganz kurz, wird vom Wurm also sofort wieder geschlossen).
Ich weiß echt nicht, was ich noch machen soll. Bitte flehentlich um Hilfe!!!
Andreas

Lade dir HijackThis runter
http://www.trojaner-board.de/51130-a...ijackthis.html

und poste das log hier

Auch HijackThis wird blockiert. Das passiert auch dann, wenn ich die Datei - wie auf der Internetseite beschrieben - in pruefung.com umbenenne (oder in sonst irgend einen Namen). Es ist zum Verzweifeln! Was nun?

Mit HijackThis schon im abgesicherten Modus probiert?

PS: Beende im Taskmanager mal alle Programme die du nicht kennst und probiers nochmal

Habs versucht:
1) Abgesicherter Modus: Gleiches Problem
2) Abgesicherter Modus + Beenden von Prozessen im Task-Manager (waren aber höchstens 2 oder 3, die sich beenden ließen): Nun konnte ich HijackThis starten (hat gemeckert wegen dem Verzeichnis, von dem aus ich HijackThis gestartet habe [direkt von c:], aber sonst liefs durch.

Was sagt uns das jetzt?

Ganzes logfile:
Logfile of HijackThis v1.98.2
Scan saved at 01:21:34, on 27.10.2004
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\SYSTEM32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\svchost.exe
C:\p.com

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://windowsupdate.microsoft.com/
F2 - REG:system.ini: Shell=Explorer.exe,chkconf.exe -shell
O1 - Hosts: 127.184.66.187 www.symantec.com
O1 - Hosts: 127.134.151.38 securityresponse.symantec.com
O1 - Hosts: 127.112.131.162 symantec.com
O1 - Hosts: 127.103.213.110 www.mcafee.com
O1 - Hosts: 127.44.226.146 mcafee.com
O1 - Hosts: 127.46.212.142 us.mcafee.com
O1 - Hosts: 127.41.90.77 www.sophos.com
O1 - Hosts: 127.45.219.77 sophos.com
O1 - Hosts: 127.238.103.114 www.viruslist.com
O1 - Hosts: 127.152.150.22 viruslist.com
O1 - Hosts: 127.213.177.192 f-secure.com
O1 - Hosts: 127.72.169.243 www.f-secure.com
O1 - Hosts: 127.77.199.89 kaspersky.com
O1 - Hosts: 127.32.14.62 www.avp.com
O1 - Hosts: 127.180.174.20 www.kaspersky.com
O1 - Hosts: 127.79.218.145 avp.com
O1 - Hosts: 127.232.49.51 www.networkassociates.com
O1 - Hosts: 127.228.46.155 networkassociates.com
O1 - Hosts: 127.218.48.35 www.ca.com
O1 - Hosts: 127.118.132.220 ca.com
O1 - Hosts: 127.200.95.17 my-etrust.com
O1 - Hosts: 127.202.162.130 www.my-etrust.com
O1 - Hosts: 127.236.58.105 secure.nai.com
O1 - Hosts: 127.186.204.214 nai.com
O1 - Hosts: 127.188.26.171 www.nai.com
O1 - Hosts: 127.209.17.247 trendmicro.com
O1 - Hosts: 127.25.162.23 www.trendmicro.com
O1 - Hosts: 127.80.199.222 housecall.trendmicro.com
O1 - Hosts: 127.244.13.24 www.pandasoftware.com
O1 - Hosts: 127.156.148.215 www.bitdefender.com
O1 - Hosts: 127.90.251.120 www.ravantivirus.com
O1 - Hosts: 127.74.148.250 www3.ca.com
O1 - Hosts: 127.225.206.203 v4.windowsupdate.microsoft.com
O1 - Hosts: 127.59.119.68 v5.windowsupdate.microsoft.com
O1 - Hosts: 127.237.191.137 v5windowsupdate.microsoft.nsatc.net
O1 - Hosts: 127.138.182.98 windowsupdate.microsoft.com
O1 - Hosts: 127.75.41.208 www.windowsupdate.com
O1 - Hosts: 127.59.46.81 windowsupdate.com
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\d\systemprogramme\Norton SystemWorks 2003\Norton AntiVirus\NavShExt.dll
O2 - BHO: UCmore toolbar - {ED8DB0FD-D8F4-4b2c-BB5B-9EF040FE104D} - C:\Programme\UCmore\UCMIE.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: UCmore Toolbar - {53CBEE82-D747-11d3-9ED0-005004189684} - C:\Programme\UCmore\UCMIE.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\d\systemprogramme\Norton SystemWorks 2003\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [nForce Tray Options] sstray.exe /r
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [LWBKEYBOARD] C:\Programme\MultiMedia Keyboard\MultiMedia Keyboard\1.1\KbdAp32A.exe
O4 - HKLM\..\Run: [IW_ControlCenter] C:\Programme\Pinnacle\InstantCDDVD\InstantWrite\iwctrl.exe
O4 - HKLM\..\Run: [PinnacleDriverCheck] C:\WINDOWS\system32\PSDrvCheck.exe -CheckReg
O4 - HKLM\..\Run: [LWBMOUSE] C:\Programme\Browser Mouse\Browser Mouse\1.1\MOUSE32A.EXE
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] REM C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb04.exe
O4 - HKLM\..\Run: [MaxtorOneTouch] C:\PROGRA~1\Maxtor\OneTouch\Utils\OneTouch.exe
O4 - HKLM\..\Run: [MXO Auto Loader] C:\WINDOWS\MXOALDR.EXE
O4 - HKLM\..\Run: [PhoneWatch] C:\Programme\PhoneWatch\fw.exe
O4 - HKLM\..\Run: [Agent] REM C:\Programme\CyberLink\PowerVCRII\Agent.exe
O4 - HKLM\..\Run: [Remote_Agent] C:\Programme\CyberLink\PowerVCRII\RemoteAgent.exe
O4 - HKLM\..\Run: [CARPService] carpserv.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [WFXSwtch] C:\PROGRA~1\WinFax\WFXSWTCH.exe
O4 - HKLM\..\Run: [WinFaxAppPortStarter] REM wfxsnt40.exe
O4 - HKLM\..\Run: [T-DSL SpeedMgr] "C:\Programme\DSL-SpeedManager\SpeedMgr.exe"
O4 - HKLM\..\Run: [Seticons] \Programme\WDC\SetIcon.exe
O4 - HKLM\..\Run: [TotalRecorderScheduler] "C:\Programme\TotalRecorder45\TotRecSched.exe"
O4 - HKLM\..\Run: [I/O Controllers] REM svcnet.exe
O4 - HKLM\..\Run: [DriveService] chkconf.exe -services
O4 - HKLM\..\RunServices: [DriveService] chkconf.exe -services
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NVMCTRAY.DLL,NvTaskbarInit
O4 - HKCU\..\Run: [EzAgent] C:\Programme\ASUS\ASUS FM Radio\ezagent.exe
O4 - HKCU\..\Run: [DriveService] chkconf.exe -drivers
O4 - Global Startup: Acrobat Assistant.lnk = C:\Programme\Adobe\Acrobat 6.0\Distillr\acrotray.exe
O4 - Global Startup: CleanSweep Smart Sweep-Internet Sweep.LNK = C:\d\systemprogramme\Norton SystemWorks 2003\Norton CleanSweep\csinsmnt.exe
O4 - Global Startup: COMsuite ALARM.LNK = C:\Programme\Auerswald\COMsuite\program\Auersalm.exe
O4 - Global Startup: Date Manager.lnk = C:\Programme\Date Manager\DateManager.exe
O4 - Global Startup: EPSON Status Monitor 3 Environment Check(3).lnk = C:\WINDOWS\system32\spool\drivers\w32x86\3\E_SRCV03.EXE
O4 - Global Startup: GetRight - Tray Icon.lnk = C:\Programme\GetRight\getright.exe
O4 - Global Startup: GStartup.lnk = C:\Programme\Gemeinsame Dateien\GMT\GMT.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: Norton System Doctor.LNK = C:\d\systemprogramme\Norton SystemWorks 2003\Norton Utilities\SYSDOC32.EXE
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.co...?1093772033795
O16 - DPF: {F00F4763-7355-4725-82F7-0DA94A256D46} (IMDownloader Class) - http://www2.incredimail.com/contents...r/imloader.cab

Versuche mal auf die gleiche weise escan zu starten (konntest du es über die kavupd updaten?)

Im abgesicherten Modus kann ich keine Verbindung ins Internet aufbauen (keine Netzwerkverbindungen in Windows zu sehen). Ich hab aber jetzt auf meinem (virenfreien) Laptop eScan entpackt und erfolgreich aktualisiert. Jetzt könnte ich doch einfach die Dateien aus c:\bases vom Laptop ins gleiche Verzeichnis auf dem PC kopieren, dann brauch ich auf dem PC eScan nicht mehr aktualisieren und eScan sofort im abgesicherten Modus starten. Müsste doch so gehen, oder?

Das dürfte kein Problem darstellen

eScan läuft gerade. Dauert wohl ne Weile.
Weitere Frage: Der Wurm (W32.Tibick) befindet sich ja in irgendeiner *.exe Datei. Dadurch, dass ich diese Datei irgendwann ausgeführt habe, hat er sich entfaltet, also in die Registry eingetragen, blockiert Anti-Viren-Programme usw.
Wenn ich nun ein Anti-Viren-Programm (z.B. Norton AV) laufen lasse, löscht dieses dann nur den Wurm/Virus in der *.exe Datei (bzw. die ganze exe-Datei) oder bereinigt es dann auch die durch das Ausführen der exe-Datei im System entstandenen Änderungen?

Nicht unbedingt, deswegen gibt es ja hijackthis, damit kann man dann die in der Registry Starteinträge des Schädlings löschen.

HijackThis ist nun durch und hat eine fast endlose Liste an Viren, Würmern usw. gemeldet. Teil der Logfile siehe unten. Sieht nicht gut aus...
File C:\WINDOWS\system32\cd_clint.dll tagged as not-a-virus:AdWare.Cydoor. No Action Taken.
File C:\WINDOWS\system32\msview\Ad-aware Pro Crack.exe infected by "Worm.P2P.Tibick.b" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\msview\Ad-aware Professional.exe infected by "Worm.P2P.Tibick.b" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\msview\Ad-aware.exe infected by "Worm.P2P.Tibick.b" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\msview\Adobe Acrobat Reader crack.exe infected by "Worm.P2P.Tibick.b" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\msview\Adobe Acrobat Reader.exe infected by "Worm.P2P.Tibick.b" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\msview\Adobe Golive v6.0 Keygen.exe infected by "Worm.P2P.Tibick.b" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\msview\Adobe Illustrator v10.0 Time Limit Crack.exe infected by "Worm.P2P.Tibick.b" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\msview\Adobe ImageReady v1.0 crack.exe infected by "Worm.P2P.Tibick.b" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\msview\Adobe PageMaker v7.0 Keygen.exe infected by "Worm.P2P.Tibick.b" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\msview\Adobe Photoshop 7 keygen.exe infected by "Worm.P2P.Tibick.b" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\msview\Adobe Photoshop all.exe infected by "Worm.P2P.Tibick.b" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\msview\Adobe Serial Generator v2.0.exe infected by "Worm.P2P.Tibick.b" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\msview\Age of Empires II The Age of Kings NO CD crack.exe infected by "Worm.P2P.Tibick.b" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\msview\Age Of Mythology - The Titans no cd crack.exe infected by "Worm.P2P.Tibick.b" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\msview\Age Of Mythology no cd crack.exe infected by "Worm.P2P.Tibick.b" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\msview\Alias Acclaim crack.exe infected by "Worm.P2P.Tibick.b" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\msview\All Macromedia Products Keygen.exe infected by "Worm.P2P.Tibick.b" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\msview\All-in-One Secretmaker.exe infected by "Worm.P2P.Tibick.b" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\msview\Anti-Trojan 4.0.exe infected by "Worm.P2P.Tibick.b" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\msview\AOL Instant Messenger (AIM).exe infected by "Worm.P2P.Tibick.b" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\msview\Ares Galaxy.exe infected by "Worm.P2P.Tibick.b" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\msview\Ares Lite.exe infected by "Worm.P2P.Tibick.b" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\msview\Avant Browser.exe infected by "Worm.P2P.Tibick.b" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\msview\Backyard Baseball 2003 no cd crack.exe infected by "Worm.P2P.Tibick.b" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\msview\Backyard Wrestling 2 - There Goes the Neighborhood Eidos Interactive crack.exe infected by "Worm.P2P.Tibick.b" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\msview\Battlefield 1942 no cd crack.exe infected by "Worm.P2P.Tibick.b" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\msview\Battlefield Vietnam EA Games crack.exe infected by "Worm.P2P.Tibick.b" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\msview\Battlefield Vietnam Multiplayer Online Crack.exe infected by "Worm.P2P.Tibick.b" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\msview\Besieger DreamCatcher Interactive crack.exe infected by "Worm.P2P.Tibick.b" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\msview\BitComet.exe infected by "Worm.P2P.Tibick.b" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\msview\Blinx 2 - Masters of Time & Space Microsoft crack.exe infected by "Worm.P2P.Tibick.b" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\msview\Blitzkrieg - Burning Horizon CDV Software GmbH crack.exe infected by "Worm.P2P.Tibick.b" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\msview\Call of Duty Activision crack.exe infected by "Worm.P2P.Tibick.b" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\msview\Call Of Duty no cd crack.exe infected by "Worm.P2P.Tibick.b" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\msview\CCALG - Credit Card Generator.exe infected by "Worm.P2P.Tibick.b" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\msview\City of Heroes NCsoft crack.exe infected by "Worm.P2P.Tibick.b" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\msview\Civilization III crack.exe infected by "Worm.P2P.Tibick.b" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\msview\Classic NES Series - The Legend of Zelda GBA Nintendo crack.exe infected by "Worm.P2P.Tibick.b" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\msview\CloneCD 2.x Crack.exe infected by "Worm.P2P.Tibick.b" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\msview\CloneCD 3.x Crack.exe infected by "Worm.P2P.Tibick.b" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\msview\CloneCD All Version KeyGen.exe infected by "Worm.P2P.Tibick.b" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\msview\CloneDVD v1.x crack.exe infected by "Worm.P2P.Tibick.b" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\msview\Command & Conquer - Generals no cd crack.exe infected by "Worm.P2P.Tibick.b" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\msview\Command & Conquer - Generals Zero Hour EA Games crack.exe infected by "Worm.P2P.Tibick.b" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\msview\Command & Conquer - Generals Zero Hour no cd crack.exe infected by "Worm.P2P.Tibick.b" Virus. Action Taken: No Action Taken.
File C:\WINDOWS\system32\TFTP3460 infected by "Worm.Win32.Lovesan.a" Virus. Action Taken: No Action Taken.
usw.usw.usw.

@ andihu,

es sieht nicht gut aus.

Win32.Tibick.A:"Win32.Tibick.A is a worm that spreads via Peer-to-Peer file sharing networks. It also contains limited backdoor functionality that allows its controller to download and execute arbitrary files on an affected machine." Ein Wurm mit Backdoor-Funktion.

Cleanertool für: Worm.Win32.Lovesan.a

Ich betrachte Dein System als komplett verseucht und empfehle Dir analog dieser Beschreibung vorzugehen: die 10 Schritte-Lösung bzw. analog Hilfestellung und Beratung

SD

Von Symantec gibt es Anweisungen, wie man bei einem Befall des PC mit W32.Tibick vorgehen sollte:
http://securityresponse.symantec.com...32.tibick.html
(kurz zusammengefasst: gesamtes System scannen, entdeckte Viren/Würmer löschen, Registry-Einträge korrigieren)
Ist das jetzt naiv, wenn ich annehme, dass ich mich ja „nur“ an die von Symantec empfohlene Vorgehensweise halten muss, um zumindest mal von W32.Tibick befreit zu sein?

Shadowdance hat es dir ja schon gesagt: http://www.trojaner-board.de/showpos...8&postcount=12


Du solltest das nächste mal nicht von Kazaa etc. irgendwelche Dateien runterladen.

Zitat von andihu

Von Symantec gibt es Anweisungen, wie man bei einem Befall des PC mit W32.Tibick vorgehen sollte:
http://securityresponse.symantec.com...32.tibick.html
(kurz zusammengefasst: gesamtes System scannen, entdeckte Viren/Würmer löschen, Registry-Einträge korrigieren)
Ist das jetzt naiv, wenn ich annehme, dass ich mich ja „nur“ an die von Symantec empfohlene Vorgehensweise halten muss, um zumindest mal von W32.Tibick befreit zu sein?

die verfahrensweise von symantec hat bei mir schon garnet geklappt da norton ausser kraft gesetzt war. hab erstmal alle dateien von denen ich wusste das se den virus haben gelöscht, danach antivir und dann den scanner von hier. so langsam funzt alles wieda ausser der registry. ich würde sagen du kannst dich schon auf die leute verlassen die dir hier helfen da die scheinbar wissen wovon se reden. ohne des forum hier wär ich nämlich aufgeschmissen gewesen