Hilfe bei einem Virus

[Uncle Cracker]

Ich habe gestern eine Datei in meinem System32-Ordner gefunden, mit dem Namen etwas mit rofl.exe. Ich habe die Datei rein interesse halber aus geführt. Kurz nach dem starten hat sich die EXE-Datei dann unsichtbar gemacht (Versteckt), das hat mich dann stutzig gemacht, denn ich dachte es wäre ein Virus und das erste was ich mache ist, per 'msconfig' zu gucken, was sich im Autostart so alles macht. Doch da bekam ich die Meldung:

Zitat:

Zitat von Fehlermeldung

msconfig konnte nicht gefunden werden. Stellen Sie sicher, dass Sie den Namen korrekt eingegeben haben und wiederholen Sie den Vorgang. Klicken Sie auf "Start" und anschließend auf "Suchen", um eine Datei zu suchen

Dann habe ich natürlich auch 'regedit' eingegeben und bekam die selbe Meldung.
Darauf hin wollte ich einen Virenscanner installieren, da ich keinen drauf hatte, jedoch bekam ich von der Setup.exe wieder die selbe Meldung. Nun probierte ich ein bisschen rum, bis ich dann merkte, dass nur die EXE-Datei nicht zu starten sind.
Denn wenn ich den Mediaplayer öffnen will, bekomme ich wieder die Meldung, doch wenn ich auf eine MP3-Datei klicke, öffnet sich der Player und spielt die Musik ohne Porblem ab.

Genauso ist das bei Delphi. Wenn ich Delphi öffnen will (Delphi32.exe) kommt die Meldung. Wenn ich jetzt jedoch ein Projekt öffnen dann geht es. Ich kann sogar das Projekt kompilieren und dann startet auch die kompilierte Datei, wenn ich jedoch die kompilierte Datei direkt öffnen will, geht das nicht.


Weiß jemand vielleicht wo das Problem liegt? Ich würde denken, das in der Registry was geändert wurde, da ich jedoch nicht darauf zu greifen kann, müsste ich irgendwo einen Registry-Editor finden, den ich dann per Delphi kompilieren kann um auf die Registry zu zugreifen.

Wäre für Hilfe sehr dankbar. Es reicht auch schon, wenn jemand einen Open Source Registry-Editor kennt, den ich dann kompilieren kann.



:love: Danke UC



PS: Könnte es vielleicht daran leigen, dass am Anfang die Datei USERINIT.exe geladen wird, die sich dann nach 10 Sekunden beendet oder ist diese Datei bei Windows XP Home Edition normal, doch das wäre komischen, denn keine anderen EXE-Dateien können starten

[X-Dragon]

Kannst du die Exe-Datei vielleicht über ein Umweg starten? Also entweder per BAT-Datei oder von einem eigenen Programm aus?

Eine Datei namens userinit.exe gehört zu Windows, aber das schließt natürlich nicht aus das es sich dabei nicht doch um einen Trojaner oder ähnliches handelt.

[Tyrael Y.]

Schon mal versucht regedit über nen Kommandozeileninterpreter aufzurufen?

[Uncle Cracker]

Über den Umweg werde ich mal versuchen, ich glaube schon das das möglich ist, denn ich kann manche Programme sogar über das Kontextmenü öffnen, wie zum Beispiel TuneUp Utilites.

Doch die Intern geöffneten EXE-Dateien, die TuneUp öffnet, gehen dann wiederum nicht :?

[Uncle Cracker]

Zitat:

Zitat von Tyrael Y.

Schon mal versucht regedit über nen Kommandozeileninterpreter aufzurufen?

Wie soll das gehen?

[X-Dragon]

Zitat:

Zitat von Uncle Cracker

Zitat:

Zitat von Tyrael Y.

Schon mal versucht regedit über nen Kommandozeileninterpreter aufzurufen?

Wie soll das gehen?

Einfach bei Start/Auführen "cmd" eintippen und dort dann im Fenster einfach "regedit".

[Uncle Cracker]

Stimmt ja, werde das mal testen. Bin jetzt aber nicht an meinem Rechner, da ich schließlich keinen IE öffnen kann :evil:

[X-Dragon]

Zitat:

Zitat von Uncle Cracker

Stimmt ja, werde das mal testen. Bin jetzt aber nicht an meinem Rechner, da ich schließlich keinen IE öffnen kann :evil:

Wieso geht das nicht? Erstell doch einfach eine leeere HTML-Datei und öffne ihn damit :).

Aber ich hab jetzt sowieso gerade Feierabend, vielleicht schau ich nachher nochmal vorbei :hi: und viel Glück noch.

[Pseudemys Nelsoni]

du hast nicht zufällig einen link namens "http://mitglied.lycos.de/astermi/rofl" angeklickt?
dann öffnet sich nämlich eine 10sekundenlange animation und der virus/trojaner deleted deine hd.

genau wie das:

Zitat:

matrix.pps nicht öffnen sofort vernichten! Ein neuer Virus..
Microsoft kann nix dagegen tun und die ganzen Norton und Mcaffees auch nicht! Wenn du die Mail öffnest kommt eine Animation 10 Sekunden lang dann hat der Virus deine ganze Platte gelöscht und der Pirat hat deine
ip-adresse und deine Email-Addy.

[Uncle Cracker]

So was ist doch gar nicht möglich, dass sich ein Virus bzw. Trojaner über eine Seite aktiviert.

Oder ist dies eine falsche Einstellung von mir :roll:

[s14]

@Uncle Cracker
ich halte das auch für einen Hoax

[Uncle Cracker]

Ich habe mal auf den Link geklickt und da kam, dass die Seite nicht existiert :oops:

[Pseudemys Nelsoni]

weil sie down ist, gestern ging sie und es hat sich ne animation(mediaplayer) links im ie geöffnet

[flomei]

LOL! Das geht nicht wirklich, oder? Obwohl bei den Exploits im IE... Wer weiss... :roll:

MfG Florian :hi:

[Pseudemys Nelsoni]

http://www.webmasterpro.de/content_news-6071.php

[flomei]

HOAX!!! Also keine wirkliche Gefahr oder hab ich den Text falsch verstanden?

MfG Florian :hi:

[s14]

Also doch ein Hoax :wink:

Was ist nun mit dem eigentlichen Problem, gibt es da bereits neuere Erkenntnisse :?:

[Pseudemys Nelsoni]

jo hoax ^^, hab ich bei der site erst bemerkt :)

[Frank Bicking]

Zitat:

Ich habe die Datei rein interesse halber aus geführt.

Da wird selbst im Fernsehen in jeder Sendung dazu gesagt, man solle keine ausführbaren Dateien deren Herkunft oder Funktion man nicht kennt öffnen, und einige klicken doch wieder darauf...

[Uncle Cracker]

Zitat:

Zitat von Frank Bicking

Man solle keine ausführbaren Dateien deren Herkunft oder Funktion man nicht kennt öffnen, und einige klicken doch wieder darauf...

Werde ich mir merken müssen, außerdem sollte ich mir irgendwann mal ein AV-Programm und 'ne Firewall installieren.

Jetzt nochmal zu meinem Problem: Ich habe es gescahfft in die Registry zu kommen, über eine BAT-datei. Per CMD gings nicht, da CMD auch eine EXE-datei ist.

Unter dem Schlüssel HKEY_CLASSES_ROOT\.exe\PersistentHandler unter Content Type steht: application/x-msdownload

Wurde dieser Wert vielleicht geändert und deshalb startet es nicht?


PS: Habe WinXP Home

[X-Dragon]

Zitat:

Zitat von Uncle Cracker

Zitat:

Zitat von Frank Bicking

Man solle keine ausführbaren Dateien deren Herkunft oder Funktion man nicht kennt öffnen, und einige klicken doch wieder darauf...

Werde ich mir merken müssen, außerdem sollte ich mir irgendwann mal ein AV-Programm und 'ne Firewall installieren.

Jetzt nochmal zu meinem Problem: Ich habe es gescahfft in die Registry zu kommen, über eine BAT-datei. Per CMD gings nicht, da CMD auch eine EXE-datei ist.

Unter dem Schlüssel HKEY_CLASSES_ROOT\.exe\PersistentHandler unter Content Type steht: application/x-msdownload

Wurde dieser Wert vielleicht geändert und deshalb startet es nicht?


PS: Habe WinXP Home

Dieser Eintrag ist soweit in Ordnung, aber such mal nach "runonce" und schau dir dann die RUN-Einträge darüber und darunter durch, also welche Dateien mit Windows beim Start mitgeladen werden.

[edit]
Lad dir am besten so schnell wie möglich unter http://www.free-av.de den kostenlosen Virenscanner runter, der ist recht gut, benutzte ihn selber seit einigen Monaten.

Achja ganz wichtig! Auch wenn das oben ein Hoax war, können trotzdem über den IE beispielsweise Trojaner auf den Rechner gelangen, sie brauchen ja "nur" eine der Sicherheitslücken ausnutzen, also einen aktuellen Virenscanner sollte man immer installiert haben!

[Uncle Cracker]

Habe bereits 4 andere Virenscanner auf dem Parallel OS installiert und laufen lassen.

Das mit den .exe Eintrag hat mir himitsu auch nochmal bestätigt, er meinte, die Suchpfade könnten defekt sein, nur weiß er nicht wo diese sind.

Das komische ist ja, dass ich wirklich nicht die EXE-Dateien direkt ausführen kann, nur indirekt. Geht zwar auch, ist aber nevig, wenn man ständig für jede Anwendung immer eine BAT-Datei erstellen mus :(

[X-Dragon]

Falls wirklich im Hintergrund ein böses Programm mitläuft dann kannst du es hiermmit auf jeden Fall finden und beenden:
http://www.sysinternals.com/ntw2k/fr.../procexp.shtml

[Christian Seehase]

Moin UC,

Zitat:

Zitat von Uncle Cracker

So was ist doch gar nicht möglich, dass sich ein Virus bzw. Trojaner über eine Seite aktiviert.

Oder ist dies eine falsche Einstellung von mir :roll:

zumindest wenn Du einen IE 5.x oder 6.x verwendest ist das eine falsche Einstellung.
Geh' mal auf www.heise.de und schau Dir mal unter Browsercheck, welche Möglichkeiten bestehen...

[devnull]

Ich würde sagen, dass er sich den CONCON-Bug eingeholt hat; weil er keine EXE-Dateien mehr öffnen kann. Das Proggi hat einfach einen Wert in der registry ersetzt. Weis jetzt aber nich mehr, welcher das war !
Googeln hilft da !

PS: ".Com" und ".Bat" - Dateien werden dann aber auch nich mehr laufen / starten :roll:

denvull

[Uncle Cracker]

Hab's hinbekommen, durch TuneUp Utilies. Wusste ich doch warum sich der kauf doch lohnt.

Jetzt bekomme ich leider nur noch diese Meldung, wenn ich ein Programm starte, jedes mal, kann man das vielleicht irgendwie abstellen?
Habe glaube ich mal von Assarbad ein Programm gesehen, was das auch kann, bin mir aber nicht so sicher.

PS: Soll ich für die Frage lieber einen neuen Thread aufmachen oder ist das nicht so schlimm :roll: