Rimecud.B bzw Palevo Wurm
 

Hi.

Vor einigen Tagen meinte mein Avira AntiVir plötzlich auf einen Wurm namens "Palevo" gestoßen zu sein. Er befindet sich anscheinend in
"C:\Users\meinusername\AppData\Local\Temp\872.exe"
als auch in:
"C:\Users\meinusername\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\97DU1V35\quit79[1].exe"

Das letztere ist eigenartig, denn eigentlich benutze ich nur den Firefox, und nie den IE (höchstens wenn irgendein Programm automatisch nen Browser startet aus irgendeinem Grund, z.B. um auf eine FAQ Seite zu gehen, und manchmal dann den IE nimmt).

Hatte Avira gesagt es sollte die Dateien löschen, dann nochmal per Hand beiden Browsern gesagt sie sollen komplett die Caches löschen. Dann habe ich noch nachgegoogelt um mehr über den Wurm herauszufinden. Da wurde was von Registry-Einträgen erwähnt, die er anlegt. Also habe ich per Regedit danach gesucht, aber nix gefunden. Ich dachte das wäre damit erledigt. Beim nächsten PC Start jedoch kam die gleiche Meldung wieder.

Ich bin auch etwas verwirrt, weil in dem Ereignisbericht von Avira der Wurm als "Rimecud.B.532" bezeichnet wird, jedoch in dem Warn-Fenster das nach der Anmeldungin Windows angezeigt wird, "Palevo" heißt.

In dem einen Guide hier im Forum hieß es, man solle sich ein Anti-Malware-Programm installieren und laufen lassen, aber beißen sich solche Scanner nicht untereinander? Glaube das mal irgendwo gelesen zu haben. Muss ich dafür meinen Avira abschalten? Würde ich ziemlich ungern.

Ebenso: ich hätte per Online-Banking einiges wichtiges zu erledigen, aber irgendwo lass ich etwas über Sicherheitslücken in Bezug auf den Wurm, und nun weiß ich nicht ob ich sowas derzeit noch auf diesem PC erledigen kann.

Würde mich über Hilfe freuen. :)

Hallo und :hallo:

bitte nen Vollscan mit malwarebytes machen und Log posten. Danach OTL:

Systemscan mit OTL

Lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop

• Doppelklick auf die OTL.exe
• Vista User: Rechtsklick auf die OTL.exe und "als Administrator ausführen" wählen
• Oben findest Du ein Kästchen mit Output. Wähle bitte Minimal Output
• Unter Extra Registry, wähle bitte Use SafeList
• Klicke nun auf Run Scan links oben
• Wenn der Scan beendet wurde werden 2 Logfiles erstellt
• Poste die Logfiles hier in den Thread.

Hi, danke für die Antwort. Hier schonmal das Log vom Anti-Malware. Komischerweise werden die Dateien, die Avira Anti-Vir beim Windows-Start als infiziert identifizierte nicht aufgelistet. Hm... Und von Rimecud oder Palevo steht da auch nix, aber von einem andren Wurm.



Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Datenbank Version: 4174

Windows 6.0.6002 Service Pack 2
Internet Explorer 7.0.6002.18005

07.06.2010 12:12:12
mbam-log-2010-06-07 (12-12-12).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|)
Durchsuchte Objekte: 543837
Laufzeit: 1 Stunde(n), 58 Minute(n), 38 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 1
Infizierte Dateiobjekte der Registrierung: 1
Infizierte Verzeichnisse: 0
Infizierte Dateien: 1

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\shell (Worm.AutoRun) -> No action taken.

Infizierte Dateiobjekte der Registrierung:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell (Hijack.Shell) -> Bad: (explorer.exe,C:\RECYCLER\S-1-5-21-7204055769-6580966995-023815765-8416\nissan.exe) Good: (Explorer.exe) -> No action taken.

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
C:\RECYCLER\S-1-5-21-7204055769-6580966995-023815765-8416\nissan.exe (Worm.Autorun.B) -> No action taken.


Die OTL Dateien habe ich angehängt.