Beagle-Attacke wintems.exe, srosa.sys und hldrrr.exe

#31 Hallo Provisitor
mir ist der Bagle in einem anderen Forum "begegnet" - wahrscheinlich aufs System gelangt über USB. (im besagten Fall war es eine Digi-Kamera)

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{a60ab003-b15f-11dc-9f82-00308423932e}]
\Shell\AutoRun\command - H:\nideiect.com

-------

'TR/Dldr.Bagle.MN [TR/Dldr.Bagle.MN]'

[AutoRun]
open=nideiect.com
;shell\open=Open(&O)
shell\open\Command=nideiect.com
shell\open\Default=1
;shell\explore=Manager(&X)
shell\explore\Command=nideiect.com

--------------

und das war auch verseucht:
C:\Programme\MAGIX\Video_deluxe_2008_e-version\Trayserver.exe
Infected with: Win32.Bagle.SVM@mm

http://virus-protect.org/artikel/spyware/beagle.html

«
Dort muss man also auch nachsehen, sonst erstellt er sich trotz ausdauerndem Löschen immer wieder neu.
Vom Task wusste ich nichts, danke für die Info !
__________
MfG Sabina

rund um die PC-Sicherheit

#32 Hallo Sabina !
Der Gedanke mit den Fotos könnte ein Wink sein.
Ich habe zwar keine Digicam oder dergleichen angedockt gehabt (auch das Magix-Programm habe ich nicht) aber mir ist vorige Woche folgendes aufgefallen (jetzt wo Du's sagst):
Ich lasse meinen PC durch einige Sicherheitstools überwachen bzw. regelmäßig manuell durchscannen (u.a.Norton,Hijackthis, Ad Aware,Spybot,Security Task Manager),-letzteren benutze ich um sämtlicheTemporäre Dateien,in Windows, im IE,Gebrauchsspuren im System mit einem Mausclick (gründlicher als über die Windows-Funktionen!!!)zu löschen.
Da war vorige Woche ein paar Tage vor dem "Gau" eine .jpg Datei im Unterordner des Ordners "ContentIE" die einfach nicht mit verschwinden wollte. Der Unterorder der normalerweise mit allen anderen verschwindet blieb deshalb auch erhalten.Letztlich habe ich ihn aber mit Start über mein zweites OS manuell gelöscht bekommen.Sollte da das Elend seinen (An)Lauf genommen haben ?? --nur soviel; ein richtiges (normales) Foto war das nicht.
Ich habe hier irgendwo gelesen, dass Dateien namens 64_1..?.jpg (o.ä.) auch das böse Blut in sich tragen, und Befehle in sich haben die von irgenwelchen schwarzen Servern dann Stück für Stück den Virus zusammenpuzzeln.Ich bin mir sicher, dass ich danach aber einen Virentest und einen Test mit Hijackthis über deren logfile Auswertung gemacht habe,die beide positiv (im Sinne von nichts kritisches gefunden) waren.Ich wette mal, das wir von diesen Virus hier noch öfter berichten werden, der ist in seiner Grundversion zwar schon 2 Jahre alt, aber selbst Symantec hat seine Beschreibung erst vor kurzem aktualisiert, weil das Ding in den letzten Wochen wieder häufiger auftritt und er regelrecht aufgerüstet worden ist.Ich bin, was die Sicherheit anbelangt auch immer bemüht alles peinlichst up to date zu halten, und trotzdem hat's mich erwischt (habe fünf Jahre -bis vorige Woche-keine Totalformatierung mehr machen müssen) bisherige Viren und Spyware habe ich immer mit besagter Software in den Griff bekommen.Mein System lief immer zuverlässig. Wenn ich woanders google, und lese wie dieser Genosse reihenweise auch Vista Systeme ausknipst, mache ich mir schon Gedanken.Warten wir's mal ab, das Ding hat eine Qualität über die noch nicht das letzte Wort gesprochen ist.

#33 An einen Moderator oder Admin hier (oder anderen Helfer)!
könntet ihr mal bitte den Bericht von "jcb" vom 22.01.08 hier in seinen Grundzügen übersetzten, leider ist nicht jeder (auch ich) der englischen Sprache in Wort und Sinn 100% gewachsen, sodass die Gesamtbotschaft des Hilfe-Berichts nicht für jeden "Virusgeschädigten" rüberkommt.Ansatzweise kann ich in jenem Beitrag nämlich wichtige Hinweise ersehen,die ich der Gemeinde nicht vorenthalten würde!

Danke Euch im Voraus

#34 Dort steht auch nichts anderes als in anderen Themen hier.
Er schlaegt halt die Moeglichkeit ueber eine Bootcd vor.
Im Grunde reicht, sofern man Bagle entfernen moechte, ein umbenanntes Combofix aus. Wahlweise funktioniert auch die Antivir Bootcd, die man sogar auf dem infizierten Rechner erstellen koennte. Vorausgesetzt, Antivir erkennt diese Variant.

http://board.protecus.de/files/avira-bootcd-info/index_de.html

Achso, was in dem englischsprachigen Text auch etwas durchkommt, er nutzt Backups!
__________
MfG Ralf
SEO-Spam Hunter

#35 Danke für die schnelle Antwort!
....und ----> er vermutete, dass der Virus ausserhalb von Windows gestartet wurde, er führte fixmbr durch, das half !!! ...wenn ich das mit meinem "Baumarkt-Englisch" richtig verstanden habe !

#36 Es gibt zwar Malware, die sowas macht, aber Bagle gehoert nicht dazu. Also war es in dem Fall unnoetig, aber es schadet auch nicht.
__________
MfG Ralf
SEO-Spam Hunter