Virus, Trojaner oder was ist da los?

[morpheus4711 10]

Hi zusammen,

 

ich bin echt am Verzweifeln. Hab hier einen Server vom Kunden, einen W2003. Updates wurden schon ewig nicht mehr durchgeführt.

 

Das eigentliche Problem:

 

Wollte den Trendmicro installieren und konnte nicht updaten, da fiel mir auf, dass der Gateway nicht gesetzt ist, gut, dann setz ich ihn eben.

 

IE auf und als erstes auf google.de......ich komme bei GOOGLE.de.com raus...?!?!?! Häh?

Microsoft.de geht auch ned.

Banale Seiten schon.....?!!?!?!?!!?!?!?!?

OK, Verdacht geht in Richtung Spyware, Adware oder sonstwas.

 

Über Firefos gehts auch ned.... grrr

 

Ich installier Hijackthis, search & destroy, superantispyware (oder wie das heisst). ausser ein paar doof Cookies war da nix.

 

Hab daraufhin mal Spasseshalber einen proxy von T-Offline eingetragen, damit konnte ich ins Internet

 

Wollte Housecall ausführen, das geht aber leider nicht, das Applet scheint nicht zu funzen...

 

mein nächster Schritt wäre jetzt dachte ich mir, Imagesicherung des Systems und am Abend wenn niemand da ist Updates einspielen, dank des Proxys kann ich ja jetzt doch wieder ins Netz.

Irgendwie trau ich der Sache aber ned....da ist doch was faul, oder?

 

wenn ich Google anpinge komme ich hier raus: 72.14.221.104

ist das richtig?

 

bin total ratlos!!!

 

grüße

:confused:

[djmaker 95]

nslookup 66.249.93.104

Server: Obelix

Address: 192.168.0.1

 

Name: ug-in-f104.google.com

Address: 66.249.93.104

 

Die IP scheint zu passen.

 

Eventuell hilft Dir das weiter.

 

http://dlpro.antivir.com/down/vdf/rescuecd/rescuecd.exe

 

EDIT: 72.14.221.104 = google.com

[Taunus 10]

Hm...vieleicht Rootkit installiert, tarnt sich gut, mal mit einer Antirootkit Software versuchen.

Sophos Anti-Rootkit - Kostenlose Erkennung und Entfernung von Rootkits

 

Anti Rootkit Software

[marka 587]

Schau mal in deiner hosts-Datei nach, vielleicht ist hier ja etwas verbogen...

[phoenixcp 10]

Tipp: Schau dir mal deine TCP/IP-Einstellungen an. Ich hatte den Spaß am WE mit dem Rechner meiner Frau. Auch eine Art Rootkit oder ähnliches eingefangen, und statt der eigentlichen DNS-Server-Konfiguration (Nimm das was dir der DHCP mitgibt) hatte der Sauhund dort feste DNS-Serveradressen eingetragen, welche in meinem Fall irgendwo in Russland standen. Kaum hatte ich dir raus, kam ich wieder zu Microsoft.com und Antivirenseiten sowie Anti-Spyware-Seiten durch.

 

Aber komplett konnte ich das Ding nicht eliminieren. Also steht demnächst ein Neuaufsetzen an. Auch wenn ich dafür eigentlich garkeine Zeit habe. Aber was muss, das muss.

[FLOST 10]

Generell würde ich einem solchen System nicht mehr trauen. Du kannst dir nie mehr sicher sein, dass das System sauber ist.

 

Deswegen würde ich eine Sicherung der Daten machen, die Platte komplett löschen und das System neu aufsetzen. Die Daten vor dem Zurückspielen einem intensiven Suchlauf mit diversen Programmen (mehrere Hersteller) unterziehen.

 

Das unangenehme ist ja, dass die Daten gebraucht werden, die kann man nciht so einfach über Bord werfen ;) Es sollte relativ sicher sein, wenn die Daten gecheckt wurden, das System und alle Programme neu installiert wurden.

[Dr.Melzer 191]

Bei einem Server wirst du um ein Neuaufsetzen nicht rum kommen wenn du Spyware, oder ein rootkit drauf hast. Alles andere ist ein zu hohes Risiko.

 

Die interessantere Frage ist aber wie das Teil auf den Server kan. Ihr solltet auf alle Fälle die Zugriffspolicies und die Serversicherheit übedenken!

[morpheus4711 10]

Danke für die Feedbacks,

 

also ob ich einen Rootkit hab ist nicht so sicher. Sophos hat zwar einige Einträge in der Registry gefunden, aber eben nur solche auf die ich keinen Zugriff hab!? weiss ned genau warum, aber mei...

 

Die Einträge im DNS sind auch korrekt. Das kann ich ausschließen, ebenso die Host-Datei. Da ist auch nur der localhost drin.

 

Die anderen Tools haben auch nix gefunden. Ich werde jetzt heute abend erstmal ein Image ziehen und dann SP2 installieren. Mein Vorgängertechniker hat keine Updates installiert!!!! Gib dir das mal! Krass, das ding hat noch nicht mal SP1!!!

Möglichweise bringt das schon was wenn alle Updates drauf sind. SP2 brachte ja sehr viel Neuerungen im IPStack...

Morgen weiss ich mehr...schon komisch das ganze!

[Dr.Melzer 191]

Möglichweise bringt das schon was wenn alle Updates drauf sind.

 

Na die Hoffnung stirbt zuletzt...

[morpheus4711 10]

;-) recht hast

[djmaker 95]

Off-Topic:

;-) Wenn alle Stricke reißen hab ich noch eine Quick Assistance Karte von MS. Dann muss ich die Jungs um Hilfe bitten. Wäre das erste mal für mich....huch...aufregend ;-)

War die Karte der w2k3-CD für eine Neuinstallation beigelegt? :D