svchost.exe.exe: wie entfernen?
 

Hallo,
ich habe ein akutes Problem. Auf meinem PC hat sich der Schädling "scvhost.exe.exe" breitgemacht. Laut Analyse durch Virus-Total handelt es sich um einen Schädling. Er hat auch gleich meinen AntivirGuard ausgeknipst.
Das Analyseergebnis sieht aus wie unten gezeigt.

Ich bin jetzt ratlos: Antivirensoftware ausgeschaltet und per Hand nicht zu entfernen.
Was kann ich jetzt noch tun?

Dankbar für jeden Tipp

Holger
http://www.osnoxe.de/virusmeldung.jpg

Hallo,
das sieht nicht erfreulich aus. Unter welchem Pfad wurde denn die svchost.exe.exe (scvhost.exe.exe?) gefunden?

Poste bitte ein HijackThis-Logfile nach Anleitung, wie sie in den FAQ zu finden ist. Benenne aber vorher die hijackthis.exe um, z. B. in hjt.exe
(Auch wenn der Schädling vermutlich nicht im HJT-Logfile auftauchen wird).

Poste zusätzlich ein Logfile von Silentrunners. Gehe dabei nach KarlKarls Anleitung vor:
Drittens solltest du die bereits bei Virustotal überprüfte Datei an einige AV-Hersteller zur Analyse einsenden, z. B. an Avira, Kaspersky, Panda, NOD. Erstens, um die Malware zu identifizieren; zweitens, um spätere potenzielle Opfer zu schützen, indem die Signaturen der Malware in die Datenbanken der AV-Hersteller aufgenommen werden. Auch zum Einsenden gibt es eine Anleitung in den FAQ des Boards.

Schneller sollte es gehen, wenn du die Datei bei Norman hochlädst (oben rechts auf der Seite auf "submit file" klicken). In diesem Fall solltest du per Mail ein Ergebnis bekommen, das du bitte hier postest.

Schließlich solltest du den befallenen Rechner möglichst vom Internet trennen (Netzwerkkabel ziehen!), denn dass dein AV-Guard ausgeschaltet wird, lässt darauf schließen, dass du nicht mehr der Herr deines Systems bist.

Danke Franz.
ICh habe zwischenzeitlich die antivirustools von Ikarus geladen und die zeigten den Schädling an und entfernten ihn auch.
So hoffe ich, dass der Trojaner nun beseitigt ist.
(Allerdings haben die auch noch zig andere Dateien gefunden, die definitiv keine Viren sind, aber als solche benannt werden.)

Holger

Und als was zeigten sie ihn an?
Das klingt arg nach Rosinenpickerei: Du vertraust darauf, dass dein AV-Programm Schädlinge entfernt, traust ihm aber nicht zu, sie als solche zu erkennen. Auf nähere Details bin ich gespannt.

Gute Frage. ICh habe nur gesehen, dass die Datei als Trojaner/Wurm erkannt wurde, (ich glaube irgendwas mit love?).

Hihi, das stimmt wohl, auf den ersten Blick sieht das ziemlich unprofessionell aus (nicht, das ich sonst besonders professionell wäre...)
Also, die Sache war folgende: Meine gute Firewall meldete just: "scvhost.exe.exe verlangt Netzwerkzugriff". Na holla, dachte ich, das ist ja wohl klar. Mit der svchost.exe hatte ich mich schon mal beschäftigt, aber eine exe.exe konnte nur was mieses sein.
Also die Datei gesucht und manuell mit meiner Standardsoftware (AVIRA Antivirus Premium) überprüft. Kein Virus erkannt. (Das mag, wie ich mir heute denke, wohl auch daran gelegen haben, dass sie im Speicher geladen war. Später (jedenfalls fiel es mir erst später auf, war dann auch mein Virenschild deaktiviert. Mag aber Zufall gewesen sein.)
Jedenfalls habe ich die datei dann bei Virustotal hochgeladen und testen lassen. Im Ergebnis erkannten nur zwei Programme die Datei als Schädling, eines davon war Ikarus. Das wiederum gibt es als 30 Tage-Trial und so lud und installierte ich es, denn es konnte den Schädling ja erkennen und entfernen.
EIn Systemscan brachte dann noch zig angebliche weitere Schädlinge zutage. Das waren (ungefähr vierzig) Wiederherstellungsdateien (A1234546.exe usw. aus dem System Volume Ordner) und eine Menge exe-Dateien, die ich entweder selbst installiert hatte oder deren Install-Files noch auf der Platte lagen. Außerdem Updates von Paradox-Programmen usw., aber alles Files aus verlässlichen Quellen, die ich z.T. schon sehr lange im Einsatz habe.
Bei Tests hat Ikarus auch nur eine sehr mittelmäßige Erkennungsquote. Daher flog das Programm auch gleich wieder runter von der Platte und mein (bis dahin) bewährtes AVIRA kam wieder drauf.
Ja, so ist das gewesen. Nenn' es ruhig Rosinenpickerei... :-)

Hast du denn den identifizierten und entfernten (?) Schädling mal zur Analyse eingesandt? Und für den Fall, dass Ikarus richtig liegt: Hast du dich hier im Forum oder anderswo mal über die Konsequenzen eines Backdoor-Befalls informiert?

Eingesandt: ja.
Analyse läuft wohl noch.

Konsequenzen: System neu aufspielen.
Darauf freue ich mich schon...

Für den Fall, dass du noch auf das Analyse-Ergebnis wartest, hoffe ich bzw. empfehle dir, dass du mit dem betroffenen Rechner nicht mehr online gehst.