FakeSysDef

[PinguinofG]

Ich habe den Virus Win32/: Fakesysdef
Ich habe ihn bereits entfernt, aber nach dem Neustart kam er wieder
Wie kann ich ihn jetzt entgültig entfernen?

 

[underclocker2k4]

Format C:

Virenprogs sind zwar schön und gut, ist der Virus aber erstmal im System, haben auch diese ihre Mühe das Problem zu beheben.
Daher die eiserne Grundregel: Virus drauf -> Format C
Alles andere birgt immer die Gefahr, dass der sein Spielchen weitertreibt und wenns nur das Verteilen im Netzwerk ist, bekommt keiner mit, macht trotzdem Spaß.

 

[PinguinofG]

Ich kann meinen PC nicht einfach so neu installieren...

 

[underclocker2k4]

Tja. dann wirst du mit dem Virus leben müssen.

Ein richtiger Virus läßt sich net verarschen, so einfach ist das.

 

[Polarcat]

Versuchs mal mit ner Virennotfall CD.
Gibts bei den großen Antivir HErstellern kostenlos. Damit muss Windows nicht erst booten und du kannst das Problem vor dem Befall angehen..

 

[little_skunk]

Ich kann meinen PC nicht einfach so neu installieren...

Warum nicht?

 

[PinguinofG]

Das auch

Ich haben den Virus mittlerweile erfolgreich beseitigt.
Erst mal alle Internetdaten gelöscht, dann mal in den Autostart geschaut, das Programm raus genommen, neu gestartet, dann in der Temp datei die Dateiendung von .exe auf .txt geändert, dann konnte ich es löschen.
Dann noch in der Registry die entsprechenden Einträge gelöscht und jetzt lasse ich nochmal AntiVir laufen ...

 

[little_skunk]

Ich haben den Virus mittlerweile erfolgreich beseitigt.

Restrisiko bleibt. Absolute Gewissheit bringt nur eine Neuinstallation. Ich drück dir aber trotzdem mal die Daumen

 

[underclocker2k4]

Und wer sagt dir, dass der Virus nicht noch irgendwo rumgeistert? Und übermorgen wiederkommt?

 

[Polarcat]

Restrisiko bleibt. Absolute Gewissheit bringt nur eine Neuinstallation. Ich drück dir aber trotzdem mal die Daumen

Wenn du danach gehst hilft nichtmal das.. Wenns nen ganz hartnäckiger ist dann kannste die Platte wegschmeissen, aber davon gehen wir hier mal nicht aus..

 

[little_skunk]

Im schlimmsten Fall hat der Virus sogar andere dem Virenscanner unbekannte Viren installiert.

Ich würd auch alles plattmachen. Naja was geht mich fremdes Elend an

 

[little_skunk]

Wenns nen ganz hartnäckiger ist dann kannste die Platte wegschmeissen, aber davon gehen wir hier mal nicht aus..

Warum gleich die Platte wegschmeißen? Alles was ein Virus auf der Platte verändern könnte, kann man auch wieder korrigieren. Meist reicht es die Festplatte zu formatieren. Nur in seltenen Fällen muss man etwas mehr machen.

 

[Polarcat]

überleben im Ram und nach Löschvorgang selbst wieder eintragen ?

 

[little_skunk]

überleben im Ram und nach Löschvorgang selbst wieder eintragen ?

Einen Neustart würde ein Virus vieleicht noch im RAM überleben aber spätestens wenn ich den PC ausschalte ist da schicht im Schacht.

Was sollte eine neue Festplatte am RAM ändern? Also außer, dass du für den Austausch der Festplatte den PC ausschaltest?

 

[PinguinofG]

Ich hab mich ja auch auf einer Antivirusseite informiert, was der Virus alles anrichtet und er macht quasi nichts.
Das Sicherheitsrisiko ist sehr niedrig, er installiert keine anderen Viren und späht auch keine Dateien aus.
Es handelt sich um den TR/FakeAV.AF

 

[Polarcat]

Einen Neustart würde ein Virus vieleicht noch im RAM überleben aber spätestens wenn ich den PC ausschalte ist da schicht im Schacht.

Was sollte eine neue Festplatte am RAM ändern? Also außer, dass du für den Austausch der Festplatte den PC ausschaltest?

Du verstehst nicht was ich meine:

Der Virus lädt sich schon in der Dos-Ebene in welcher du arbeitest mit und schreibt sich in den Ram.
Du machst die HDD platt und löscht auch den Bootsec und denkst: Wow, sicher..
Derweil schreibt sich der Virus aus deinem Ram aber wieder in die Bootsec, welche du eben platt gemacht hast.
So überlebt er auch Neustarts ohne Ende...

Sicherlich ist selten sowas, solls aber auch geben...
Mir gings nur um eure Definition von sicher. Wenn du danach gehst bist du nie sicher..

 

[little_skunk]

Auch da gibt es Abhilfe. Festplatte abklemmen und PC ausschalten. Dann ist der RAM komplett leer. Dann eine Linux Live CD booten. Festplatte wieder anschließen und komplett inklusive Bootsektor löschen bzw überschreiben. Das tolle an der Sache. Man kann die Festplatte plattmachen ohne sie mounten zu müssen. Damit hat der Virus 0 Chancen.

 

[PinguinofG]

Worüber diskutiert ihr hier eigentlich noch?

 

[underclocker2k4]

Wir wollen dir sagen, dass du dir nicht sicher sein kannst, dass der Virus weg ist.
Nur weil du etws nicht siehst, bedeutet das nicht, dass es nicht da ist.

Der Rest dient der allgemeinen Information, für dich, aber auch für andere User, die hier oder von extern drüber stolpern. Ich denke dieses Recht sollte man den Leuten schon einräumen.

 

[PinguinofG]

Ich möchte ihnen das auch nicht verwähren
Also unter der Vorraussetzung dass ich die .exe sowie alle Internetdaten und die Registry von dem Virus bereinigt habe, und ihm somit quasi die Lebensgrundlage entzogen habe, wird er wenigstens nicht mehr aktiv sein

---------- Post added at 21:25 ---------- Previous post was at 20:22 ----------

Kann sich mal einer den HiJack Scan genauer anschauen?

Spoiler

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 21:24:13, on 08.12.2010
Platform: Unknown Windows (WinNT 6.01.3504)
MSIE: Internet Explorer v8.00 (8.00.7600.16671)
Boot mode: Normal

Running processes:
C:\Program Files (x86)\Avira\AntiVir Desktop\avgnt.exe
C:\Program Files (x86)\HTC\HTC Sync 3.0\htcUPCTLoader.exe
C:\Program Files (x86)\iTunes\iTunesHelper.exe
C:\Program Files (x86)\Common Files\Realtime Soft\RTSHookInterop\x32\RTSHookInterop.exe
C:\Program Files (x86)\Common Files\Realtime Soft\RTSHookInterop\x32\RTSHookInterop.exe
C:\Program Files (x86)\Mozilla Firefox\firefox.exe
C:\Program Files (x86)\iTunes\iTunes.exe
C:\Program Files (x86)\Last.fm\LastFM.exe
C:\Program Files (x86)\Common Files\Apple\Mobile Device Support\AppleMobileDeviceHelper.exe
C:\Program Files (x86)\Common Files\Apple\Apple Application Support\distnoted.exe
C:\Program Files (x86)\Mozilla Firefox\plugin-container.exe
C:\Program Files (x86)\ICQ7.1\ICQ.exe
C:\program files (x86)\avira\antivir desktop\avcenter.exe
C:\program files (x86)\avira\antivir desktop\avscan.exe
C:\Users\Phil\AppData\Local\Temp\TeamViewer\Version6\TeamViewer.exe
C:\Program Files (x86)\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = Bing
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = MSN, Messenger und Hotmail sowie Nachrichten, Unterhaltung, Video, Sport, Lifestyle, Finanzen, Auto uvm. bei MSN
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = MSN, Messenger und Hotmail sowie Nachrichten, Unterhaltung, Video, Sport, Lifestyle, Finanzen, Auto uvm. bei MSN
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = Bing
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = Bing
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = MSN, Messenger und Hotmail sowie Nachrichten, Unterhaltung, Video, Sport, Lifestyle, Finanzen, Auto uvm. bei MSN
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = C:\Windows\SysWOW64\blank.htm
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=127.0.0.1:5577
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
F2 - REG:system.ini: UserInit=userinit.exe
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files (x86)\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\PROGRA~2\MICROS~1\Office14\GROOVEEX.DLL
O2 - BHO: SkypeIEPluginBHO - {AE805869-2E5C-4ED4-8F7B-F1F7851A4497} - C:\Program Files (x86)\Skype\Toolbars\Internet Explorer\skypeieplugin.dll
O2 - BHO: URLRedirectionBHO - {B4F3A835-0E21-4959-BA22-42B3008E02FF} - C:\PROGRA~2\MICROS~1\Office14\URLREDIR.DLL
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files (x86)\Java\jre6\bin\jp2ssv.dll
O4 - HKLM\..\Run: [StartCCC] "C:\Program Files (x86)\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" MSRun
O4 - HKLM\..\Run: [avgnt] "C:\Program Files (x86)\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\Run: [HTC Sync Loader] "C:\Program Files (x86)\HTC\HTC Sync 3.0\htcUPCTLoader.exe" -startup
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files (x86)\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files (x86)\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files (x86)\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-19\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-20\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'NETZWERKDIENST')
O4 - Global Startup: UltraMon.lnk = ?
O8 - Extra context menu item: An OneNote s&enden - res://C:\PROGRA~1\MICROS~2\Office14\ONBttnIE.dll/105
O8 - Extra context menu item: Nach Microsoft E&xcel exportieren - res://C:\PROGRA~1\MICROS~2\Office14\EXCEL.EXE/3000
O9 - Extra button: An OneNote senden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\Program Files (x86)\Microsoft Office\Office14\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: An OneNote s&enden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\Program Files (x86)\Microsoft Office\Office14\ONBttnIE.dll
O9 - Extra button: ICQ7.1 - {71BFC818-0CED-42D6-9C87-5142918957EE} - C:\Program Files (x86)\ICQ7.1\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ7.1 - {71BFC818-0CED-42D6-9C87-5142918957EE} - C:\Program Files (x86)\ICQ7.1\ICQ.exe
O9 - Extra button: Verknüpfte &OneNote-Notizen - {789FE86F-6FC4-46A1-9849-EDE0DB0C95CA} - C:\Program Files (x86)\Microsoft Office\Office14\ONBttnIELinkedNotes.dll
O9 - Extra 'Tools' menuitem: Verknüpfte &OneNote-Notizen - {789FE86F-6FC4-46A1-9849-EDE0DB0C95CA} - C:\Program Files (x86)\Microsoft Office\Office14\ONBttnIELinkedNotes.dll
O9 - Extra button: Skype add-on for Internet Explorer - {898EA8C8-E7FF-479B-8935-AEC46303B9E5} - C:\Program Files (x86)\Skype\Toolbars\Internet Explorer\skypeieplugin.dll
O9 - Extra 'Tools' menuitem: Skype add-on for Internet Explorer - {898EA8C8-E7FF-479B-8935-AEC46303B9E5} - C:\Program Files (x86)\Skype\Toolbars\Internet Explorer\skypeieplugin.dll
O13 - Gopher Prefix:
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O18 - Protocol: skype-ie-addon-data - {91774881-D725-4E58-B298-07617B9B86A8} - C:\Program Files (x86)\Skype\Toolbars\Internet Explorer\skypeieplugin.dll
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~2\COMMON~1\Skype\SKYPE4~1.DLL
O18 - Filter hijack: text/xml - {807573E5-5146-11D5-A672-00B0D022E945} - C:\Program Files (x86)\Common Files\Microsoft Shared\OFFICE14\MSOXMLMF.DLL
O23 - Service: @%SystemRoot%\system32\Alg.exe,-112 (ALG) - Unknown owner - C:\Windows\System32\alg.exe (file missing)
O23 - Service: AMD External Events Utility - Unknown owner - C:\Windows\system32\atiesrxx.exe (file missing)
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Program Files (x86)\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Program Files (x86)\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Program Files (x86)\Common Files\Apple\Mobile Device Support\AppleMobileDeviceService.exe
O23 - Service: Dienst "Bonjour" (Bonjour Service) - Apple Inc. - C:\Program Files (x86)\Bonjour\mDNSResponder.exe
O23 - Service: @%SystemRoot%\system32\efssvc.dll,-100 (EFS) - Unknown owner - C:\Windows\System32\lsass.exe (file missing)
O23 - Service: @%systemroot%\system32\fxsresm.dll,-118 (Fax) - Unknown owner - C:\Windows\system32\fxssvc.exe (file missing)
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: @keyiso.dll,-100 (KeyIso) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: Logitech Bluetooth Service (LBTServ) - Logitech, Inc. - C:\Program Files\Common Files\LogiShrd\Bluetooth\lbtserv.exe
O23 - Service: Intel(R) Management and Security Application Local Management Service (LMS) - Intel Corporation - C:\Program Files (x86)\Intel\Intel(R) Management Engine Components\LMS\LMS.exe
O23 - Service: @comres.dll,-2797 (MSDTC) - Unknown owner - C:\Windows\System32\msdtc.exe (file missing)
O23 - Service: @%SystemRoot%\System32\netlogon.dll,-102 (Netlogon) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: Internet Pass-Through Service (PassThru Service) - Unknown owner - C:\Program Files (x86)\HTC\Internet Pass-Through\PassThruSvr.exe
O23 - Service: PnkBstrA - Unknown owner - C:\Windows\system32\PnkBstrA.exe
O23 - Service: @%systemroot%\system32\psbase.dll,-300 (ProtectedStorage) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%systemroot%\system32\Locator.exe,-2 (RpcLocator) - Unknown owner - C:\Windows\system32\locator.exe (file missing)
O23 - Service: @%SystemRoot%\system32\samsrv.dll,-1 (SamSs) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%SystemRoot%\system32\snmptrap.exe,-3 (SNMPTRAP) - Unknown owner - C:\Windows\System32\snmptrap.exe (file missing)
O23 - Service: @%systemroot%\system32\spoolsv.exe,-1 (Spooler) - Unknown owner - C:\Windows\System32\spoolsv.exe (file missing)
O23 - Service: @%SystemRoot%\system32\sppsvc.exe,-101 (sppsvc) - Unknown owner - C:\Windows\system32\sppsvc.exe (file missing)
O23 - Service: @%SystemRoot%\system32\ui0detect.exe,-101 (UI0Detect) - Unknown owner - C:\Windows\system32\UI0Detect.exe (file missing)
O23 - Service: Intel(R) Management & Security Application User Notification Service (UNS) - Intel Corporation - C:\Program Files (x86)\Intel\Intel(R) Management Engine Components\UNS\UNS.exe
O23 - Service: @%SystemRoot%\system32\vaultsvc.dll,-1003 (VaultSvc) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%SystemRoot%\system32\vds.exe,-100 (vds) - Unknown owner - C:\Windows\System32\vds.exe (file missing)
O23 - Service: @%systemroot%\system32\vssvc.exe,-102 (VSS) - Unknown owner - C:\Windows\system32\vssvc.exe (file missing)
O23 - Service: @%systemroot%\system32\wbengine.exe,-104 (wbengine) - Unknown owner - C:\Windows\system32\wbengine.exe (file missing)
O23 - Service: @%Systemroot%\system32\wbem\wmiapsrv.exe,-110 (wmiApSrv) - Unknown owner - C:\Windows\system32\wbem\WmiApSrv.exe (file missing)
O23 - Service: @%PROGRAMFILES%\Windows Media Player\wmpnetwk.exe,-101 (WMPNetworkSvc) - Unknown owner - C:\Program Files (x86)\Windows Media Player\wmpnetwk.exe (file missing)

--
End of file - 10077 bytes