Printable View
Hi virus fighters,
yesterday my Win XP machine was infected. AVG alerts, that it is koobface.k, which generates .exe files in different directories. A scan does not find anything, so does not Spybot, MBAM only finds the generated exes.
I used avz and hijackthis to analize the system and added the log files. Is anyone able to help?
Many many thanks!!!
Kind regards,
hris
1. Please, disable System Restore and antivirus (if you have).
2. Execute the script in AVZ:
[CODE]begin
ClearQuarantine;
SetAVZGuardStatus(True);
DelBHO('{B3ADDB7B-3DF5-4672-82DD-775FFF180134}');
DelBHO('{3E5EEB2C-A8BC-4E99-B84A-A25439A9C5B9}');
QuarantineFile('C:\WINDOWS\system32\vturo.dll','');
DeleteFile('C:\WINDOWS\system32\vturo.dll');
BC_ImportDeletedList;
ExecuteSysClean;
ExecuteRepair(13);
BC_Activate;
CreateQurantineArchive('C:\quarantine.zip');
RebootWindows(true);
end.[/CODE]
After restart upload file C:\quarantine.zip, by link [url]http://virusinfo.info/upload_virus.php?tid=59110[/url]
3. [URL="http://virusinfo.info/showthread.php?t=9206"]Fix in HijackThis:[/URL]
[QUOTE]O20 - Winlogon Notify: rqrsqnm - C:\WINDOWS\[/QUOTE]
4. Attach a new [B]virusinfo_syscheck.zip.[/B]
Aleksandra, what a great work! Seems there is no virus terror anymore.
Thank you so much! Will you marry me?
Kind regards,
Chris
1. Start/Run..., type or copy & paste
[CODE]edit %systemroot%\system32\drivers\etc\hosts[/CODE]
Clean hosts - file: remove all the strings after 127.0.0.1 localhost
2. Execute the script in AVZ:
[CODE]begin
SetServiceStart('Schedule', 4);
DeleteFileMask('C:\WINDOWS\Tasks', 'At*.job', false);
end.[/CODE]
3. Attach a new [B]virusinfo_syscheck.zip.[/B]
@chrissibaby
[QUOTE=Aleksandra;499581]
[CODE]edit %systemroot%\system32\drivers\etc\hosts[/CODE]
Clean hosts - file: remove all the strings after 127.0.0.1 localhost[/QUOTE]
Da Du [I]zu viele unnötigen[/I] Einträge zu entfernen hast, einfacher wäre's:
Start/Ausführen...
[QUOTE]notepad %systemroot%\system32\drivers\etc\hosts[/QUOTE]
[B]Strg+A [/B]um alles zu markieren,[B] Entf[/B]- um alles zu entfernen.
Den Code:
[CODE]# Copyright (c) 1993-1999 Microsoft Corp.
#
# Dies ist eine HOSTS-Beispieldatei, die von Microsoft TCP/IP
# für Windows 2000 verwendet wird.
#
# Diese Datei enthält die Zuordnungen der IP-Adressen zu Hostnamen.
# Jeder Eintrag muss in einer eigenen Zeile stehen. Die IP-
# Adresse sollte in der ersten Spalte gefolgt vom zugehörigen
# Hostnamen stehen.
# Die IP-Adresse und der Hostname müssen durch mindestens ein
# Leerzeichen getrennt sein.
#
# Zusätzliche Kommentare (so wie in dieser Datei) können in
# einzelnen Zeilen oder hinter dem Computernamen eingefügt werden,
# aber müssen mit dem Zeichen '#' eingegeben werden.
#
# Zum Beispiel:
#
# 102.54.94.97 rhino.acme.com # Quellserver
# 38.25.63.10 x.acme.com # x-Clienthost
127.0.0.1 localhost[/CODE]
kopieren und in die Datei einfügen, Datei speichern. Beachte bitte, dass die Datei keine Erweiterung bekommt, ggf. umbenennen in [B]hosts[/B]
Fertig ist die Sache ;)
@ Aleksandra:
Followed your advice and everything appears very clean now. Thank you very much!
Kind regrads,
Chris
@ Rene-gad:
Danke für den Hinweis! Es war sogar noch eine Kopie der ursprünglichen hosts-Datei vorhanden, die ich nur umbenennen musste. Netter Wurm, der sogar noch Backups anlegt. ;)
Ihr macht wirklich einen tollen Job, Respekt! Was ich vorher alles für Tools ausprobiert habe, und wieviel Zeit ich verplempert habe, ohne etwas zu erreichen.
Noch eine kurze Frage:
Ich habe den betroffenen Rechner an einem Windows Homeserver dranhängen. Können eigentlich Schädlinge auch eigenständig auf den Server rüberspringen? Also müssste ich den Server nochmal speziell absichern?
Nochmal vielen Dank, und viele Grüße,
Chris
[QUOTE=chrissibaby;499875]
Netter Wurm, der sogar noch Backups anlegt.[/QUOTE] Wenn Du hosts-Datei durch die s.g. Immunisierung im Spybot S&D oder einem anderen Tool dieser Art vorgenommen hast, wurde [I]möglicherweise[/I] auch ein Backup angelegt; die Verunstaltung der hosts-Datei in Deinem Fall geschah keinesfalls malwareseitig ;)
[QUOTE]Können eigentlich Schädlinge auch eigenständig auf den Server rüberspringen?[/QUOTE]So wie die Hasen - kaum :D . Beim Verdacht: bitte Logs vom Server (oder einem anderen PC) [B]unbedingt in einem neuen Thread[/B] anhängen.
[QUOTE]Also müssste ich den Server nochmal speziell absichern?[/QUOTE]Was heißt speziell? Service Pack + All Updates + vernünftige Firewall (HW-Firewall wäre die beste Lösung gewesen) + hier lesen: [url]http://faq.underflow.de/#SECTION000110000000000000000[/url]
BTW: Aleksandra spricht auch Deutsch ;)
Nach der gestrigen Reinigungsaktion erschien alles wunderbar, aber ...
Wenn ich die permante Überwachung durch AVG abschalte, werden direkt wieder neue .exe-Files angelegt. AVG meint, dass dies koobface-Dinger wären - aber stimmt das wohl?
Kasp. Virus Removal Tool bezeichnet diese exen als "Trojan Downloader".
MBAM hat heute "Trojan Vundo" gefunden und auch entfernt, genützt hat es aber nichts. Die exen werden weiter produziert.
AVZ4 kann ich nicht mehr aufrufen, weil AVG die avz.exe als "SHeur2.BPQO" ablehnt. Bei abgeschalteter permaneter Überwachung durch AVG kann ich das Verzeichnis mit der avz.exe zwar ohne Virusalarm öffnen, aber beim Doppelklick wird mir gesagt, dass ich nicht die nötigen Rechte zum Ausführen habe.
Wenn ich also AVG laufen habe, passiert nichts - aber es ist ja trotzdem eine Infektion im System - kein gutes Gefühl!
Hat noch jemand eine Idee? Oder ist da jegliche Mühe vergebens, und ich sollte lieber das System neu aufsetzen?
Viele Grüße,
Chris
[QUOTE=chrissibaby;501143]
Hat noch jemand eine Idee? [/QUOTE]
Du kannst noch versuchen, den PC von einem Live CD-Antivirus scannen. Solche gibt es zum Downoaden z.B. bei Avira oder Dr. Web.
Lade mal noch [URL="http://www.speedshare.org/download.php?id=51702EAD11"]kiss_me.pif[/URL] herunter, es ist eine polymorphe AVZ-Version, vllt. klappt es mit den Logs.
Diese Version bedarf kein DB-Updates!!!