PC: Hilfe bei Spyware/Trojaner erbeten
Verfasst: Mi 10. Mai 2006, 08:14
Hallo!
Leider hat sich gestern bei mir durch Software-Firewall und AV Programm ein Trojaner installiert, der das Nutzerverhalten ausspioniert. Er lud sich aus dem Netz dann noch jede Menge Zeugs nach, so dass ich später mit "Spybot" und "AntiVir" fast 8 Treffer hatte, die Registry diverse neue Einträge hatte. Laut Vireninfo sammelt er Passwörter und verschickt sie.
Trotz Scannen ist er bei jedem Systemstart wieder da, immer ein neuer Dateiname, immer woanders. Kille ich den Prozess taucht der sofort wieder neu auf oder spätestens beim Neustart liegt die Datei "atmclk.exe" (140 kb) wieder im System32 Verzeichnis. Klickt man auf ihre Eigenschaften so steht da drin "Catch me if you can
was ja schon sehr vielsagend ist. Auch Dateinamen wie "wuctrl.exe" entstehen wie aus dem Nichts. Direktes Löschen im system32 Verz. bewirkt, dass sie 2-3 Sekunden später wieder da sind.
Was ich bisher versucht habe:
- Trojaner Prozesse killen und dann mit Reset Neustart und sofortiger Scan vor dem Laden der Treiber indem ich den Virenscanner in die Registry als erstes Startup eingetragen habe. Der läuft dann los bevor der Desktop kommt.
- manuelles Löschen aller Trojanerdateien sofern es ging. (neuestes Datum nach Systemstart suchen)
- Registry Startup gesäubert, da hing er auch drin.
- Registry nach allen bekannten Dateinamen durchsucht, die ich im Laufe der Jagd aufgeschrieben habe.
- beide Virencanner finden die Dateien und löschen sie aber sie finden nicht den eigentlichen Erzeugerprozess der Dateien, sie entstehen bei jedem Booten wieder neu. Verbinde ich DSL saugt er sich sofort neue Programmteile nach, sind die komplett baut er sogar eigenständig Verbindungen auf.
Jetzt sitzt er neuerdings im "System Volume Information" Verzeichnis auf das der User keine Rechte hat, nur das System. Ich kann da nicht dran, auch der Scanner nicht.
Folgende Info aus dem Netz trifft es ganz gut:
--------
Spyware wird häufig von Unternehmen programmiert. Mitunter werden ganze Entwicklungsabteilungen damit beauftragt. Diese Spyware hat demzufolge oft auch ein sehr hohes technisches Niveau. Beispielsweise schützt sich Spyware gegen Löschung dadurch, dass mehrere Prozesse gleichzeitig laufen, die bei Beendigung gleich wieder einen neuen aufmachen und sich selbst kopieren. Auf der Festplatte entziehen sie beispielsweise dem Administrator die Schreib- und damit die Löschberechtigung usw.
----------
Bevor ich ein 4 Wochen altes Image vom Band zurückspiele wollte ich mal fragen ob da jemand noch eine Idee hat? So einen hartnäckigen Bruder hatte ich noch nie.
Beitrag bearbeitet (10.05.06 09:28)
Leider hat sich gestern bei mir durch Software-Firewall und AV Programm ein Trojaner installiert, der das Nutzerverhalten ausspioniert. Er lud sich aus dem Netz dann noch jede Menge Zeugs nach, so dass ich später mit "Spybot" und "AntiVir" fast 8 Treffer hatte, die Registry diverse neue Einträge hatte. Laut Vireninfo sammelt er Passwörter und verschickt sie.
Trotz Scannen ist er bei jedem Systemstart wieder da, immer ein neuer Dateiname, immer woanders. Kille ich den Prozess taucht der sofort wieder neu auf oder spätestens beim Neustart liegt die Datei "atmclk.exe" (140 kb) wieder im System32 Verzeichnis. Klickt man auf ihre Eigenschaften so steht da drin "Catch me if you can
was ja schon sehr vielsagend ist. Auch Dateinamen wie "wuctrl.exe" entstehen wie aus dem Nichts. Direktes Löschen im system32 Verz. bewirkt, dass sie 2-3 Sekunden später wieder da sind.Was ich bisher versucht habe:
- Trojaner Prozesse killen und dann mit Reset Neustart und sofortiger Scan vor dem Laden der Treiber indem ich den Virenscanner in die Registry als erstes Startup eingetragen habe. Der läuft dann los bevor der Desktop kommt.
- manuelles Löschen aller Trojanerdateien sofern es ging. (neuestes Datum nach Systemstart suchen)
- Registry Startup gesäubert, da hing er auch drin.
- Registry nach allen bekannten Dateinamen durchsucht, die ich im Laufe der Jagd aufgeschrieben habe.
- beide Virencanner finden die Dateien und löschen sie aber sie finden nicht den eigentlichen Erzeugerprozess der Dateien, sie entstehen bei jedem Booten wieder neu. Verbinde ich DSL saugt er sich sofort neue Programmteile nach, sind die komplett baut er sogar eigenständig Verbindungen auf.
Jetzt sitzt er neuerdings im "System Volume Information" Verzeichnis auf das der User keine Rechte hat, nur das System. Ich kann da nicht dran, auch der Scanner nicht.
Folgende Info aus dem Netz trifft es ganz gut:
--------
Spyware wird häufig von Unternehmen programmiert. Mitunter werden ganze Entwicklungsabteilungen damit beauftragt. Diese Spyware hat demzufolge oft auch ein sehr hohes technisches Niveau. Beispielsweise schützt sich Spyware gegen Löschung dadurch, dass mehrere Prozesse gleichzeitig laufen, die bei Beendigung gleich wieder einen neuen aufmachen und sich selbst kopieren. Auf der Festplatte entziehen sie beispielsweise dem Administrator die Schreib- und damit die Löschberechtigung usw.
----------
Bevor ich ein 4 Wochen altes Image vom Band zurückspiele wollte ich mal fragen ob da jemand noch eine Idee hat? So einen hartnäckigen Bruder hatte ich noch nie.
Beitrag bearbeitet (10.05.06 09:28)