Spoolsv.exe Trojan Horse Problem

[Mackhack]

Hi,

ich habe hier n Rechner von einem Freund stehen mit einem Spoolsv.exe Trojan Horse. Alle Virenscanner sagen er ist in C:\Program Files\Common Files\?ystem.

Das Verzeichnis kann man aber nur sehen wenn man im DOS-Mode (CMD) ist. Man kann es aber nicht loeschen. Auch nicht wenn man alle Attribute aufhebt.

Wenn es von einem Virenscanner geloescht wird kommt es nach einem Reboot wieder. Weis jemand wie man nachsehen kann welches andere Programm ueberwacht ob diese Spoolsv.exe noch da ist und es dann ggf. wieder in dieses besagte Verzeichnis kopiert? Ich habe gestern ungefaehr 5h lang gegoogled aber jeder scheint andere Probleme und Sympthome zu haben und nichts hilft. Wir haben alle moeglichen Spyware/Adware/Virenscanner ausprobiert hier. Nichts scheint wirklich zu helfen!

Eine Repair-Installation will er partou nicht haben auch keine Neuinstallation!

Weis mir vlt. jemand weiter?

Danke

[Martin K]

Hallo,
evtl. lässt sich der Ordner im abgesicherten Modus löschen?

Wenn der Ordner nicht sichtbar ist:
Einfach mal in den Ordneroptionen alle Dateien anzeigen lassen und die Hächen da weg machen, wo irgendwas von ausblenden steht.

Um den Ordner zu löschen, evtl. auch mal im Taskanager unter Prozesse gucken, ein paar "verdächtige" Prozesse killen, vielleicht lässt sich er dann löschen.

Wenn der Ordner beim Neustart wieder kommt, mal in msconfig nachsehen was so alles im Autostart steht und verdächtiges rausnehmen.

Das wären nur ein paar Vorschläge meinerseits...

[TKC]

Hi,

wenn du mit dem Rechner noch ans Inet kommst und nichts gegen einen Remotzugriff von mir hast, dann kann ich da mal
nachschauen .

[Mackhack]

Hi,

die Registry hat nichts in Run, RunOnce drin. Die Haeckchen sind alle weg, nichts zu sehen ausser wenn man im DOS ist. Im Safe Mode booten geht. Man kann es loeschen, rebooten und die File und der Folder sind wieder da!

[TKC]

Naja ...
ich könnte jetzt hier 20 Seiten voll schreiben um dir zu erklären was du machen musst, doch dazu habe ich wirklich keine Lust sorry !

Mein Angebot von oben gilt noch.

[Martin K]

Also ist das Problem, dass die Datei/Ordner beim Neustart wieder da ist?
Da muss sich doch was im Autostart drehen lassen, hatte mal ein Programm dazu geschrieben:
http://www.delphipraxis.net/internal...ct.php?t=85450
Vielleicht findest Du ja doch noch den ein oder anderen verdächtigen Eintrag...

Wenn Du die Datei/Ordner nicht siehst:
schon mal mit FileExists / DirectoryExists probiert?

[Balu der Bär]

Zitat von ACE-ppc:

ich könnte jetzt hier 20 Seiten voll schreiben um dir zu erklären was du machen musst, doch dazu habe ich wirklich keine Lust sorry !

Zwanzig Seiten sind zwanzig zu viel, es reicht eine einzige Zeile:

Formatiere die Festplatten und installier WinXP neu!

Alles andere ist unsicher du kannst niemals sicher gehen das wirklich alles von deinem Störenfried beseitigt ist. Linux-Live-System => Daten sichern und dann installiere neu.

[Daniel G]

Zitat von Balu der Bär:

Alles andere ist unsicher du kannst niemals sicher gehen das wirklich alles von deinem Störenfried beseitigt ist.

Weshalb?

[Neotracer64]

Zitat:

Formatiere die Festplatten und installier WinXP neu!

Meine Rede.

Ja sogar Microsofts Rede:
http://www.microsoft.com/technet/com...mt/sm0504.mspx

Du kannst ,auch wenn alle Symptome eines Schädlings nicht mehr da sind, nicht sicher sein ob er wirklich nicht mehr exisitiert oder ob andere Schädlinge noch vorhanden sind.

Hier nochetwas nützliches:
http://www.buha.info/board/showthread.php?t=49588

[Martin K]

Bevor Du das hier machen solltest:

Zitat von Balu der Bär:

Formatiere die Festplatten und installier WinXP neu!

könntest Du ja noch die Windows-Systemwiederherstellung ausprobieren, zu einem Zeitpunkt als der Trojaner noch nicht drauf war.
Einen Versuch wärs ja wert...