Bagle bekämpft. Ist wirklich alles clean?
 

Hallo,
ich hab mich nun endlich mal hier angemeldet.
Hatte gestern Abend ausversehen eine exe gestartet die mir den Bagle bescherte.
Ich hatte erstmal nen richtigen heftigen Schock und hab viel im Internet gelesen. Hab es nun geschafft nach ca 10 Stunden arbeit, die Prozesse sind weg, die hldrrr.exe srosa etc müssten weg sein. Registry Einträge ebenso.

Ich bin mir allerdings immer noch nicht so recht sicher ob wirklich alles weg ist.
Ich möchte wirklich nur ungern mein System neu aufsetzen. Deswegen muss ich es einfach so versuchen. Wenn es dann wirklich keinen Sinn mehr hat, dann sei es eben so.

Das was mich am meisten bedrückt ist die tatsache wenn ich die Windows Reparierkonsole aufrufe ( Xp cd rein starten r drücken...) und dann fixmbr ausführe erstmal eine lange Meldung kommt das irgendetwas mit der Datei nicht stimmt und ich möglicherweise meine partitionstabellen zerstöre.
Habe das mit ja bestätigt. Wenn ich nochmals fixmbr eingebe kommt die Meldung wieder. Irgendwie hab ich dann das Gefühl das er das nicht richtig übernimmt.

EDIT:
Außerdem glaube ich nicht das ich alle Registry einträge raus habe. Dazu müsst ich wissen nach was ich suchen soll. Ich hab schon einiges raus aber sicher nicht alles. Ein Regisrty Backup von früher gibt es leider nicht.

Ich hoffe ihr begleitet mich auf dem weg um mein System Bagelfrei zu bekommen.

Ich werde alles tun was ihr mir befehlt :D


Freue mich auf eure Antworten :)

Greetz


EDIT2:
Hab avg auf allen Partitionen laufen lassen. Alles entfernt. Waren noch ein paar Exe Dateien. Nichts wildes weil die eh schon renamed waren. HJT hab ich auch das Log online prüfen lassen. Ich schätze ich sollte es euch hier auch nochmal posten.

Und das ist das Problem, denn die Zahl der Bagle-Versionen ist zweistellig. So ein komplexes Ding wie Bagle, das teils mit Backdoor- und meist mit Rootkit-Komponenten daherkommt, "händisch" zu bereinigen, ist niemals sicher.
Es ist meiner Meinung nach so.
Das kannst du gern machen (und dann auch einen Blacklight-Report sowie Berichte deines AV-Programms), aber an der Empfehlung ändert das nichts.

Ok klar du hast schon recht aber solange nichts mehr verdächtiges zu finden ist, wird er auch nichts mehr groß machen oder?
Naja probieren wirs einfach mal:

Hijackthis

Das war von combofix

Teil 2


Danach hab ich einige Dateien die unter
((((((((((((((((((((((( Dateien erstellt von 2008-01-17 bis 2008-02-17 )))))))))))))))))))))))))))))) Standen gelöscht. Alles was mir verdächtig vorkam.




Was meinst du mit Blacklight? Bitte ein Bsp mit welchem Programm das geht.



Das log von AVG besteht eigentlich aus nichts großartigem. Sind ein paar Dateien die eh schon renamed waren also unschädlich das hat er nur nochmals gefunden. Ansonsten zeigt AVG keine Virenfunde

Auf diesem Weg ein vertrauenswürdiges System wiederherstellen zu wollen kann ich jetzt nicht wirklich nachvollziehen, denn wer ins Blaue hinein schießt, trifft nicht unbedingt sein Ziel. Ich spekuliere mal, dass dir Einträge wie diese
verdächtig vorkamen, möglicherweise zu Recht, möglicherweise handelt(e) es sich aber auch um Treiber des Rootkit Hook Analyzers, den du ja offenbar benutzt hast.Das kann ich nachvollziehen, aber es bleibt in diesem Fall die Empfehlung, es zu tun. Es dürfte erheblich weniger Zeitaufwand erfordern als die zehn Stunden Arbeit, die du schon investiert hast, und als die unbekannte Anzahl Stunden, die du evtl. noch aufwenden musst, um Symptome wie diese
in den Griff zu bekommen.

PS:
Blacklight kann einige Rootkits, darunter Bagle, aufspüren und sie umbenennen (daher mein Trugschluss, du hättest schon benutzt), aber nicht entfernen. Du findest es bei F-Secure.

@franz:
ja du hast recht ich habe nun mein System neu aufgesetzt. Man fühlt sich einfach besser danach. Es läuft nun wieder alles rund :)

Ja genau das F-Secure hatte ich benutzt.


Vielen Dank an alle!