Hilfe! Mein Baby hat nen Virus!

[derJulle]

hi!

hab mir grad nen schönen virus aufm laptop gesaugt. im windows startmenü hat er unter autostart die ausführung "empty" eingerichtet (dos symbol wird als verknüpfung angezeigt). diese bekomme ich nicht weg. der virus erstellt neue ordnerverknüpfungen zu ordnern in denen man sich bereits befindet. gerade eben ist der laptop auch einfach so runtergefahen. was wird wohl noch passieren? adaware und norten finden nichts. brauche schnelle hilfe !

habt dank

achso: adaware (ad-watch) blockt alle 5 sekunden jeweils 5 registry modifications...

 

[Maurice]

Also wenn Ad-Aware und Norton nichts finden ist das schonmal sehr schlecht. Hast du denn keine Firewall installiert? Auf was für Seiten warst du? Oder hast du vielleicht irgendwelche komischen eMail-Anhänge geöffnet?

Was genau das für ein Virus ist und ob es überhaupt einer ist kann ich nicht sagen. Jedoch würde ich noch ein paar Stunden warten, ob für Norton vielleicht ein Update rauskommt. Manchmal erledigt sich dann damit das Problem.

 

[derJulle]

tja... hatte eine exe datei auf meiner digi-cam (sd-speicher). getrant als ordner. die hab ich dummerweise angeklickt. die sd-karte hatte nen kumpel zuletzt. der hat sich den virus ausm netz eingeschleppt. das virus speichert sich automatisch auf datenträger, wenn man diese einlegt. hab ich bloß vergessen.
mein kumpel hat seinen rechner platt gemacht. da momentan mein laptop display defekt ist (läuft über alte bildröhre jetzt) und ich in china auf montage bin... keine software für neuinstallation und und und... den muss ich so weg bekommen ohne neuinstallation

 

[StephanOC]

Hi,

besorg dir mal spyware doctor ab version 4, der findet sowas und killt es, allerdings nur als vollversion!

Mfg Stephan

 

[skillless]

probier auch mal ewido, das findet auch seeehr viel und kann sauber cleanen.

 

[vindiesel]

Zieh dir mal die Trial von Kaspersky...

 

[kaBOOOM]

und wenns ein prozess ist dann auch HijackThis versuchen. N Scan + Log machen und die Log dann auch bei HijackThis hochladen und alles was beanstandet wird ausradieren.

 

[derJulle]

so weit so gut.
wollte hijackThis runterladen und siehe da: der rechner fährt runter sobald der auf seiten geht die was mit antivirenkram zu tun haben. der hass!
lasse grad nochmal bit defender 8 (onlie-antivir) durchrasseln. aber das wird auch nichts. der findet allerhand .exe dateien die neu angelegt wurden (die getarnten ordner, wie ich oben beschrieben habe) und eine datei: empty.pif. diese wird zwar gelöscht, legt sich beim neustart von windows aber wieder selbst an...

ok.. muss irgendwie auf registry anwendungen zugreifen können. bin als admin angemeldet aber der editor ist nicht freigeschaltet. wo kann ich diese sperrung aufheben?

 

[dapaul2]

So, habe mich mal etwas schlau gemacht.
Hört sich nach dem W32/VBSilly-B an.
http://www.sophos.de/security/analyses/w32vbsillyb.html

Dort findest du unter "Wiederherstellung" auch eine Anleitung zum entfernen.
Dafür musst du die entsprechende Virenkennungsdatei (IDE) runterladen.

Hoffe, dass es dir hilft.

 

[Tzk]

Da er sagte, das das System runterfährt, wenn er auf Antivir Homepages geht, hier nochmal der Quote von der Sophos Hp (Link oben)

W32/VBSilly-B ist ein Wurm für die Windows-Plattform.

Wenn er erstmals ausgeführt wird, startet W32/VBSilly-B den Windows-Datei-Explorer, um sich als Ordner zu tarnen.

Wenn er erstmals gestartet wird, kopiert sich W32/VBSilly-B nach:

<Benutzer>\Application Data\explorer.exe
<Benutzer>\Local Settings\Application Data\lsass.exe
<Start>\windows.pif
<Start>\Empty.pif

Er kopiert sich in den Start-Ordner, damit er bei der Windows-Anmeldung gestartet wird.

W32/VBSilly-B versucht außerdem, USB-Wechsellaufwerke zu infizieren, indem er sich als "Data <aktueller Benutzername>.exe" in den Stammordner des Laufwerks sowie in alle Ordner mit dem Format <Ordnername>.exe in dem Laufwerk kopiert.

W32/VBSilly-B versucht auch, Sicherheits- und Systemanwendungen zu beenden.

Da bleibt nurnoch gutes gelingen zu wünschen!

Mfg

 

[tux.kult]

wenn sich der comp versucht runterzufahren, dann start-->ausführen-->
shutdown -h (oder wars -a? ) eingeben, dann wird das abgebrpchen. dann wie
dapaul2 beschrieben entfernen, evtl bringt auch systemwiederherstellung unter xp was. zur not hilft nur neu aufsetzen.

 

[derJulle]

ja genau das ist der wurm hab die ganze nacht getüftelt. in der registry hat der nen autostart eingefügt. wincfts.exe oder so. dummerweise hat der virus auch den zugriff auf den reg editor geblockt. ich habs dann so gemacht: 1. task wincfts.exe beendet damit der rechner net abschmiert
2. bit defender 8 (sehr guter kostenloser online virenscanner) gestartet. der hat alle vom virus erstellten .exe dateien und den zweiten übeltäter empty.pif zerschlagen. (die winctfs.exe konnte der nicht löschen)
3. danach die winctfs.exe gelöscht indem ich mit dem brontok washer 1.5 beta die registry neu fixiert habe...

hat super hingehauen. ich und mein baby gehen jetzt ein bier trinken danke!

ps: ... dabei darf keine firewall aktiv sein. rechner nicht neu starten zwischendurch

 

[kaBOOOM]

der parasit war aber harnäckig