High Jack Log 21.01.2005 - Paar Fragen
 

Hallo zusammen,

erstmal danke dass es dieses Forum gibt. Hier hab ich schon einiges an Hilfe finden können. Nun aber zu meinem eigentlichen Problem. Nämlich:

Kann ich nicht ganz diese Sachen nachvollziehen:

Habe Win XP Prof. seit vorgestern [ 19.01.2005 ] installiert und sofort alle Updates gemacht. Vielleicht hat jmd. ne Idee, wo ich mir diese Sachen alle erklären lassen kann?

Danke schonmal für die Tips.

Hallo,

dein Problem ist der hier http://www.sophos.de/virusinfo/analyses/w32rbotsv.html

Das bedeutet leider für dich Format c: und zwar nach dieser Anleitung

http://www.trojaner-board.de/showthread.php?t=12154

Gruss

wie kommst du denn auf diese Meldung? Ich würd gern wissen, wie bzw. wo du das gesehen hast :daumenhoc

Einmischung:
Das:
O4 - HKLM\..\RunServices: [Security Agent Manager] mssams.exe
ist er.

Hab ich mir gedacht. Also muss ich net alles löschen?

Eben gerade deswegen schon!
cacatoa

Reicht es nicht, den Wurm und die dazugehörenden Registry Einträge zu löschen und ein von dir empfohlenes Antivirus Scan Programm laufen zu lassen?

@L. S. G.
nein! du bist dir dann nicht sicher wirklich alles aus der registry zu entfernen.

W32/Rbot-SV ist ein Wurm, der versucht, sich auf remote Netzwerkfreigaben zu verbreiten. Er verfügt außerdem über Backdoor-Funktionalitäten und ermöglicht unbefugten Fernzugriff auf den infizierten Computer mittels IRC-Kanälen, während er im Hintergrund als Dienstprozess aktiv ist.

W32/Rbot-SV verbreitet sich auf Netzwerkfreigaben mit einfachen Kennwörtern und über Netzwerkschwachstellen, wenn das Backdoor-Element den entsprechenden Befehl von einem remoten Benutzer erhält.

W32/Rbot-SV kopiert sich in den Windows-Systemordner unter mssams.EXE und erzeugt Einträge an folgenden Stellen in der Registrierung, so dass er beim Systemstart aktiviert wird und versucht, diese jede Minute zurückzusetzen:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run\
Security Agent Manager
mssams.EXE

HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices\
Security Agent Manager
mssams.EXE

HKCU\Software\Microsoft\Windows\CurrentVersion\Run\
Security Agent Manager
mssams.EXE

HKCU\Software\Microsoft\Windows\CurrentVersion\RunServices\
Security Agent Manager
mssams.EXE

W32/Rbot-SV fügt folgende Registrierungseinträge hinzu und versucht, sie alle 2 Minuten zurückzusetzen.

HKLM\SOFTWARE\Microsoft\Ole\
EnableDCOM
"N"

HKLM\SYSTEM\CurrentControlSet\Control\Lsa\
restrictanonymous
"1"

W32/Rbot-SV versucht, die Netzwerkfreigaben C$, D$, E$, IPC$ und ADMIN$ zu löschen.

W32/Rbot-SV versucht, Prozesse zu beenden, die mit Antiviren- und Sicherheitsprogrammen im Zusammenhang stehen, dazu gehören SWEEP.EXE, REGEDIT.EXE, MSCONFIG.EXE und NETSTAT.EXE.

mache format C

scnr

chaosman

@ L.S.G.
Nein, das reicht leider nicht.
Du weißt nicht, was der Troj schon verändert, neu eingetragen oder sonst schon gemacht hat. Damit ist Dein System nicht mehr vertrauenswürdig. Bei Backdoor-Trojanern gilt: Neu aufsetzen.
Sorry
cacatoa

Hmm...Schade Schade Schade!

Und wieder einen unwissenen gekriegt. Worüber fang ich mir denn sowas ein? Über IE oder irgendwas anderes?

L.S.G

Lies doch bitte einfach mal den Link den ich unten von Cidre gepostet habe,da steht alles drin!


Gruss