Bin ich befallen?

[himitsu]

Eventuell ist der Rechner meine Mom von Gozi befallen ... AntiVir hat aber noch nichts gemeldet.

Die letzen Tage ist eine Mail bei meiner Mom von web.de eingetroffen, mit dieser Warnung.

Auch bei mir sind Mails von web.de und eBay eingetroffen. (war zuletzt bei ihr auf diesen Seiten online und hoffe mal, daß diese Warnungen somit nicht auf mein System bezogen waren)


Kann man diesen Trojaner irgendwie entdecken?

Soll ich denn einer netten Webseite wie https://www.botfrei.de/decleaner.html trauen? (nicht das man sich damit erst was einfängt )


Oder waren das eher nur allgemeine Warnungen dieser Betreiber und deuten nicht unbedingt auf einen Befall hin?

[manfred_h]

Hallo himitsu

teste doch das System mit einem Onlinescanner von Norton, Eset oder Kasperky. Du könntest auch die Kaspersky Rescue Disk 10 runterladen und einen Testlauf machen.

Shalom
Manfred

[OldGrumpy]

Zu botfrei.de siehe hier.

[s.h.a.r.k]

Such halt mal via Google, welche Dateien der Trojaner anlegt -- meist ist das ja der Fall. Und dann siehst ja schon selbst, ob der Trojaner da ist. Welches Programm man verwenden sollte ist da immer so eine Sache. Hol dir zur Not eine Demo-Version von Kaspersky oder einem anderen namhaftern Hersteller.

Hier noch etwas, was dir helfen könnte.

[himitsu]

Die Rescue Disk läd noch 'nen Weilchen

und der super DE-Cleaner von botfrei hat zwar 10 (eigentlich nur 3, da Kopieen) Dateien gefunden und als bösartig eingestuft.

Zwei Dateien kenn ich genau, da sie selbsgeschrieben sind und die andere ist von einem DP-Mitglied der Codepad 2.0.



Die eine Datei macht übrigens nix anderes, als

Delphi-Quellcode:

Procedure TForm1.Button1Click(Sender: TObject);
  Procedure Search(Const Dir, Name: String);
    Var SR: TSearchRec;

    Begin
      Caption := Dir;
      Application.ProcessMessages;
      If FindFirst(Dir + Name, faAnyFile, SR) = 0 Then Begin
        Repeat
          If (SR.Name = '') or (SR.Name = '.') or (SR.Name = '..') Then Continue;
          If SR.Attr and faDirectory = 0 Then Memo1.Lines.Add(Dir + SR.Name)
          Else Memo1.Lines.Add(Dir + SR.Name + '\');
        Until FindNext(SR) <> 0;
        FindClose(SR);
      End;
      If FindFirst(Dir + '*.*', faDirectory, SR) = 0 Then Begin
        Repeat
          If (SR.Name = '') or (SR.Name = '.') or (SR.Name = '..') Then Continue;
          If SR.Attr and faDirectory <> 0 Then Search(Dir + SR.Name + '\', Name);
        Until FindNext(SR) <> 0;
        FindClose(SR);
      End;
    End;

  Begin
    Button1.Enabled := False;
    Memo1.Lines.Clear;
    Search('', Edit1.Text);
    Caption := 'Form1';
    Button1.Enabled := True;
  End;

Procedure TForm1.Edit1KeyPress(Sender: TObject; Var Key: Char);
  Begin  If Key = #13 Then Button1.Click;  End;

(die XP-Suche war halt nicht unbedingt zuverlässig/schnell)


Also 'nen reines Delphi-Gebashe ... weil Delphi-Programme ja immer sooooo böse sind.

[s.h.a.r.k]

Und Codepad hat doch so nen Hook in einer DLL, soweit ich das noch einschätzen kann.

BTW: Schon mal nach auffälligen Dateien gesucht? Wie oben beschrieben.

[himitsu]

Zitat von s.h.a.r.k:

BTW: Schon mal nach auffälligen Dateien gesucht?

Nix zu finden, auch in der Registry nicht.

Allerdings stand irgendwo, daß dieses Teil schwer zu entdecken sein soll.

[Luckie]

Und wenn du ihn findest, nicht reinigen, sondern neu aufsetzen.

[Assarbad]

Zitat von himitsu:

und der super DE-Cleaner von botfrei hat zwar 10 (eigentlich nur 3, da Kopieen) Dateien gefunden und als bösartig eingestuft.

Wie genau werden sie denn gemeldet?

[himitsu]

Zitat von Luckie:

Und wenn du ihn findest, nicht reinigen, sondern neu aufsetzen.

Ist schon OK, aber wenn nichts da ist, dann würde ich dieses gerne vermeiden.

Steht nicht grad viel Informatives drin und in Bedrohungdetails steht nur der Dateiname+Pfad.
Was ich komisch finde, ist, daß ich gefährlichere Dateien auf der Platte hat, welche nicht bemängelt werden.