Neuer Virus ?!: wjserc

[DarK.The.KiD]

hi
ich hab folgendes problem:
beim spielen im internet bekomm ihc immer laggs udn verzögerungen.
aber ich hab viren entfernt, dsl und auch keine andren programme offen.
ich bin mir ziemlich sicher, dass es an folgendem fenster liegt, das immer beim pc start erscheint:

kann mir einer sagen was das ist oder warum die laggs sonst zustande kommen???

[DarK.The.KiD]

also..
wenn ich den task manager öffne wird er sofort geshclossen...
ausführen -> regedit ebenfalls geclost udn ms config auch...

=> es MUSS ein virus sein, den ich aber nicht mit antivir entdecken kann

es hilft:
ein programm (mit delphi oder so gemacht) das helfen würde die autostart einträge in der registry manuell löscht

außerdem wärs gut zu wissen wie ich die datei wjserc.exe löschen kann wobei sie nicht im ordner system32 zu sehen ist und auch dort nicht versteckt ist aber da sein MUSS!!

ich brauche dringend hilfe...

[Die Muhkuh]

Ist das ein neuer Wurm? Bei Google find ich nix. Ich schau aber nochmal bei Symantec vorbei.

[supermuckl]

1. es ist wohl ein linux rechner

Code:

Connecting to 1.xdgz.com
Connected to 1.xdgz.com Port 21
220 ProFTPD 1.2.10rc1 Server (ProFTPD Default Installation) [host.localdomain]
USER anonymous
331 Password required for anonymous.
PASS (hidden)
530 Login incorrect.
Connection failed

2. auf port 80 ( http://1.xdgz.com/ ) meldet sich:

Code:

 hehe

3. auf port 22 rennt SSH -> linux meldet sich

Code:

login as: root
Sent username "root"
[email][e-mail][/email]'s password:
Access denied

4. ist port 53 offen ( domain server )

5. sind bis port 8000 keine weiteren ports offen ( irc server ).. versuch mal einen sniffer zu aktivieren und dann wenn das teil loslegt schauen mit welchem port und mit welchen strings das teil hantiert.. wolmöglich isses nen ircbot ( trojaner )

6. http://www.enom.com ist der hosting service von xdgz.com

weitere offene ports:
9853 -> keine ahnung
10000 -> webmin ( mandrake distri ) -> http://1.xdgz.com:10000/
13000 -> keine ahnung
13001 -> keine ahnung

mach mal tcp-view und schau was für ports connected bzw offen sind durch diese exe.. und mit nem sniffer kannste näheres analysieren

[DarK.The.KiD]

hä wie ich hab kein linux is windows xp

[supermuckl]

ne das was ich da gerade mache ist eine analyse zu welchem host dein trojaner connected.. und das ist halt dieser server

ich bin mir sicher das es n bot ist fürs irc oder so ähnlich wodurch der admin im irc trojaner mäßig deinen pc unter der kralle hat

[flomei]

Er meint auch, dass dieser Server zu dem das Ding hinwill nen Linux-Rechner ist...

MfG Florian

[DarK.The.KiD]

ahh was mach ich denn jetzt??
der kontrolliet mein pc oder wie?

[alcaeus]

Zitat von DarK.The.KiD:

ahh was mach ich denn jetzt??
der kontrolliet mein pc oder wie?

Jedenfalls nicht, wenn du eine Firewall installierst. Ich empfehle Kerio oder ZoneAlarm, zu beiden findest du genug Vor- und Nachteil hier im Forum bzw. Downloadlinks bei Google..

Greetz
alcaeus

[supermuckl]

jo sonst wüsste ich jetzt nix was da noch in frage käme der saugt sich bestimmt grad deine persönlichen dateien, deine DSL zugangsdaten, email passwörter und löscht vielleicht wenn es n scriptkiddy ist einige sachen die ihm nicht gefallen dann macht er noch einige andere trojaner drauf womit er nochmehr kontrolle bekommt und dann kanner dich auch schön für illegale hacking aktivitäten missbrauchen ( dann ists deine IP und nicht seine die da sch**** baut )

ich würde so schnell wie möglich ne firewall druff ballern ( zonealarm trial version z.b. ) und alles sperren erstmal und dann nacheinander freigeben ( diese exe halt nicht.. ) dann bist du erstmal versorgt

dann würde ich nen packetsniffer installieren und das teil *kurz* ins internet lassen und dann anschauen was es ins internet überträgt usw.. damit kann man das irc netzwerk und die logindaten feststellen und sich direkt bei dem **** persönlich bedanken *g*