unsichtbare dateien unter windows xp
 

ich habe gestern einen virus gelöscht, der von kav entdeckt wurde. und auch mit folgendem pfad benannt werden konnte. am ende stand im kav protokoll: "c:\windows\system32\msi332_exe.vir is a Backdor.rbot.gen". und vorher als der virus noch aktiv war war er als prozess msi32.exe zu finden.
ich hatte kav noch nicht installiert und habe mir gedacht ich loesche die datei einfach manuel. also habe ich zu erst den ordner system32 und dann den ganzen
computer nach einer datei mit dem namen msi32 durchsucht und nichts gefunden. selbstverstaendlich habe ich auch nach versteckten datein gesucht.
wie ist das moeglich. gibt es etwa ein weg dateien unter windows xp komplett unauffindbar zu machen? meine andere idee war, dass die datei unter anderem richtigem namen ausgefuehrt wurde und einfach nur der prozess-name geändert wurde. aber warum findet kav dann eine infizierte datei mit einem ähnlichen namen. ich habe das gesamte system nämlich auch nur nach exe datein mit enthaltener buchstabenfolge "msi" durchsucht. leider habe ich dieses forum entdeckt, als der virus bereits vernichtet war und kann deshalb keine weiteren informationen wie hijack logfiles liefern. tut mir leid. vielleicht faellt jemandem ja trotzdem was ein.

Hallo
Lese mal hier: http://www.pestpatrol.com/pestinfo/b/backdoor_rbot.asp und überlege, ob du deinem System noch vertrauen kannst. Weitere Infos : http://faq.underflow.de/#SECTION000120000000000000000 und The Ten Immutable Laws in meiner Signatur.

So ganz komme ich da nicht mit: KAV entdeckt einen Virus, obwohl du es erst danach installiert hast?
Du hast einen ziemlich gefährlichen Backdoor auf dem System (gehabt?), wenn du mit Adminrechten gesurft hast, kann derjenige, der ihn kontaktiert hat, unter Umständen alles mit dem System machen, was du auch darfst inklusive Manipulation sämtlicher Programme.

Hast du denn noch ein anderes Virenprogramm laufen? Der Name "msi332_exe.vir" klingt mir doch stark danach, als ob ein solches einen erkannten Schädling umbenannt hat und KAV findet darin naürlich nach wie vor die Signatur, auch wenn er nicht mehr aktiv ist. Ein Hijackthis-Log kannst du doch trotzdem erstellen und posten.

Hi
KAV ist doch ein starkes Zeug, oder...;)
Ich vermute, es war KAV-Remotecheck im Spiel.

Ah, das könnte natürlich sein....die lange Sonntag-Morgen-Leitung...

nein, bevor ich kav installiert habe, hat mich meine firewall auf den prozess aufmerksam gemacht. nach dem ich gescheitert bin die exe datei ausfindig zu machen, habe ich dan kav installiert und damit die datei beseitigt. ich bin also nicht mehr infiziert. ich frage mich eben nur, wie kann es einen prozess geben ohne das eine datei mit demselben namen existiert? der prozessname war msi32.exe, aber eine datei mit demselben namen war auf der festplatte nicht zu finden!?

Hallo,
Das kann dir leider niemand garantieren.
Die einzig sichere und vernünftigste Lösung imho wäre, wie von Rene-gad bereits vorgeschlagen, ein Neuaufsetzen deines Systems, um wieder einen vertrauenswürdigen Zustand herzustellen.
http://oschad.de/wiki/index.php/Kompromittierung

Wenn ein Malware-Prozess im TaskManager erscheint, dann gibt es auch die dazu gehörige Datei!
Die Datei versteckt sich eben, dazu mußt du die Versteckten Systemdateien anzeigen lassen, sowie Versteckte Dateien und Ordner, dann wirst du sie auch finden.

Wenn du Hilfe bezüglich Neuaufsetzen benötigst, dann meld dich bitte.

Ob du nicht mehr infiziert bist, ist eine ganz andere Frage, wissen kann man lediglich, dass KAV nichts mehr findet. Allerdings habe ich nach wie vor ein Verständnisproblem: KAV sagt, die Datei heisst "msi332_exe.vir" die Datei heisst aber eigentlich "msi332.exe". Hast du die selbst umbenannt? Wenn nicht du, wer/was dann?

Poste trotzdem mal ein Hijackthis log und lass KAV mal im abgesicherten Modus einen Komplettscan machen. Windowsupdate, Wechsel auf alternative Browser, Deaktivierung von aktiven Skripten und Vorsicht beim Download sind definitiv auch in Betracht zu ziehen, irgendwoher musst du diesen Backdoor ja bekommen haben. Im Hinblick auf Sicherheit nicht auf sogenannte Sicherheitsprogramme wie Firewall oder Virenscanner verlassen.

hallo Leute also ich hab nen Proplem mit dem Contant.IE5 das ding geht nicht zu löschen weis auch nicht wie ich das teil wegbekommen soll :confused:

BITTE UM HILFE !!!!!

Hallo rick663,

Du sollst das "Ding" nicht wegbekommen ;-) Das geht nicht. Aber das hast Du ja schon bemerkt. Du kannst aber den Inhalt löschen. Klick mal drauf, rechte Maustaste, Doppelklick. Ist das Verzeichneis (der Ordner) nun offen?

Windows Explorer -> "Extras/Ordneroptionen" -> "Ansicht" -> "Alle Dateien und Ordner anzeigen" aktivieren (Zitat Cidre) und die Option "Geschütze Systemdatein ausblenden (empfohlen)" abschalten. (Zitat Warhawk) .. jetzt siehst Du auch die Dateien, die Du sonst vielleicht nicht siehst.

Nun kannst Du mit die shift-Taste eingedrückt halten und mit der linken Maustaste alle Dateien in diesem Ordner blaufärben und deleten (löschen). Du kannst auch die Unterordner in Content.IE5 löschen. Wenn Dir das zu dubios ist, lade Dir das Clear Prog runter, leere damit die Ordner TEMP, Temorary Internet Files, Cookies und den Verlauf.

Ist es gelungen?

SD

Hi , Jo es hat geklappt danke dir für deine hilfe ! :daumenhoc

HMMM ! Hat doch nicht geklappt verdammt ! :heulen:

Was genau ist denn dein Problem, wird ein Schädling in diesem Ordner angezeigt? Wie SD schon sagte, den Ordner selbst kannst/darfst du nicht löschen, nur dessen Inhalt.

Jo ich wollte ja den inhalt löschen das geht aber auch nicht ! ich hab nur ne 20 GB Festplatte und das ''Ding'' ist über 5 Gb Groß sagt er und das nimmt mir meinen platz weg ! nein eine schädliche datei wird nicht angezeigt habs mit antivir geprüft der hat nix gefunden !

@ rick663
Lösche den kompletten Ordner "Content.IE5":
Öffne den Ordner "Temporary Internet Files" -> Ordner "Content.IE5" löschen (wird automatisch in den Papierkorb verschoben) und anschliessende Sicherheitsmeldung ignorieren -> Neustart (der Ordner "Content.IE5" wird mit allen Unterverzeichnissen vom System automatisch neu erstellt) -> leere deinen Papierkorb

ansonsten nach dieser Anleitung vorgehen:
http://www.zdnet.de/enterprise/os/0,...0000261,00.htm