Svc.exe

[martin_F2000 10]

Guten Morgen

 

ich würde gern mal wissen, was die SVC.EXE für nen Sinn hat.

Denn dieses nette File möchte sich ständig mit dem Internet verbinden und das obwohl ich nicht mal online bin. Also popt ständig meine DSL Verbindung hoch....

 

Danke Martin

[gr@mlin 10]

hallo martin,

tja - da hast du dir wohl n trojaner gefangen.

schau mal hier: http://securityresponse.symantec.com/avcenter/venc/data/backdoor.madfind.html

[martin_F2000 10]

vielen dank

 

ja das macht alles sinn was da steht und passt wunderbar auf das verhalten meines rechners....

 

und das obwohl ich ne firewall drauf hab, is das ding bei mir auf dem rechner....super NPF

 

danke

 

gruß Martin

[auer 10]

Eine Firewall schützt nicht davor, daß Du dir Dateien herunterlädst. Die schützt nur davor (im Fall einfacher Home-Firewalls), daß ein Programm unberechtigt von innen her Kontakt nach draußen aufnimmt oder umgekehrt. Und auch ein Virenscanner schützt nicht vor Dialern, diese können ja ein gewünschtes Werkzeug zum Abrechnen der Kosten sein.

 

-------------

Gruß, Auer

[martin_F2000 10]

Hi

 

ich hatte gestern erst Zeit, mich mal damit auseinander zu setzen. Also es hat alles darauf hingedeutet, dass es sich um den Trojaner aus dem Link handelt. Aber bei näherem Hinsehen ist mir aufgefallen, dass weder der entsprechende Eintrag in der Registry ist, noch ich eine SVC.EXE auf meinem Rechner finden konnte. Außerdem ist diese BrowserHelp.dll auch nicht da...

 

Aber das es sich um einen Trojaner handelt, bin ich schon fast sicher, denn:

Jedesmal wenn ich mich ins Internet einwähle, schlägt meine Firewall alarm, dass irgendwas mit MC_DCOM_RPC auf meinen Rechner zugreifen will...

Also muss ja irgendwie meine IP an dem Hacker weiter kommen...

 

Kennt jemand das Problem oder kann mir sagen, was es damit auf sich hat??? Oder wo ich Infos zu herbekommen könnte....

 

Ich denke auch, dass die Sache mit dem Outlook Express damit zutun hat, wurde hier schonmal diskutiert.

 

http://www.mcseboard.de/showthread.php?s=&threadid=13263

 

Ich sag schonmal Danke

 

Gruß Martin

[c0smic 12]

Kann es sein, das du dir den Blaster Wurm eingefangen hast?

Vllt. ist es auch eher die svchost.exe die du meinst?

RPC_DCOM klingt mir so danach.

Aktuelle ServicePacks und Patches installiert? (vor allem die Sicherheitsupdates fuer den Blaster)

 

Gruss

c0sMiC

[gr@mlin 10]

hallo martin,

 

du hast doch oben geschrieben, dass sich bei dir die svc.exe mit dem internet verbinden möchte, also wird sich die datei wohl noch in deinem system befinden. hat denn die suche mit nav, spybot und adaware nichts gebracht?

ansonsten gibt's auch noch n trojaner, der u.a. die svc.exe und den dazugehörigen regkey entfernt. wenn du den ie nutzt, hättest du das aber schon gemerkt:

http://securityresponse.symantec.com/avcenter/venc/data/trojan.digits.html

ob und wie weit das mit deinem oe problem zusammenhängt, weiss ich leider auch nicht. aber ich schätze mal, dass dein system wohl "verseucht" sein wird.

 

gruss,

[saracs 10]

Original geschrieben von gr@mlin

hallo martin,

 

 

ansonsten gibt's auch noch n trojaner, der u.a. die svc.exe und den dazugehörigen regkey entfernt.

 

hi gr@amlin,

 

nen trojaner der die svc.exe killt :suspect:

trojaner kills trojaner :rolleyes:

glaub ich nicht! :D

 

gruss saracs

[martin_F2000 10]

hi...

 

nee, den hab ich nicht, denn ich hab die neusten patches drauf und das hat erst hinterher angefangen...

 

Außerdem würde sonst mein antiv-viren-programm durchdrehen. Ich habe den wurm bei meiner freundin auf dem rechner gehabt und nav ist komplett durchgedreht....

 

 

Danke

 

Martin

[gr@mlin 10]

@saracs

 

so stehts auf jeden fall in der erklärung unter dem angegebenen link. ist wahrscheinlich ein egoistischer trojaner, der lieber gern alleine arbeitet ;)

[martin_F2000 10]

hi

 

also die Suche mit NAV, Viren Def vom 09.12.2003 hat nichts gebracht, er hat nicht angeschlagen, werder im normalen modus noch im abgesicherten...

 

was mich eben stöhrt, dass diese Datei, die sich mit mir verbinden möchte, diese MS_DCOM_RCP mich immer gleich findet und einen zugriffsversuch starten möchte...

Angriff auf Port 135.

 

NPF blockiert zwar, aber der versuch kommt immerwieder...

 

Ich habe die IP mal mit Visual Trace zurückverfolgt, liegt in Uruguay, toll super hat mir viel gebracht...

 

 

Gruß Martin

[Fantafisch 10]

Also das ein Trojaner einen andere "tot" macht gibt´s schon.

 

Schau dir mal die Links durch vielleicht ist da ja was dabei:

 

http://securityresponse.symantec.com/avcenter/venc/data/w32.hllw.gaobot.dk.html

http://securityresponse.symantec.com/avcenter/venc/data/w32.hllw.gaobot.dj.html

http://securityresponse.symantec.com/avcenter/venc/data/w32.hllw.gaobot.p.html

http://securityresponse.symantec.com/avcenter/venc/data/w32.hllw.gaobot.gen.html

http://securityresponse.symantec.com/avcenter/venc/data/w32.hllw.gaobot.cb.html

http://securityresponse.symantec.com/avcenter/venc/data/w32.hllw.gaobot.ca.html

http://securityresponse.symantec.com/avcenter/venc/data/w32.hllw.gaobot.bz.html

http://securityresponse.symantec.com/avcenter/venc/data/w32.hllw.gaobot.bv.html

http://securityresponse.symantec.com/avcenter/venc/data/w32.hllw.gaobot.bt.html

http://securityresponse.symantec.com/avcenter/venc/data/w32.hllw.gaobot.bm.html

http://securityresponse.symantec.com/avcenter/venc/data/w32.hllw.gaobot.bi.html

http://securityresponse.symantec.com/avcenter/venc/data/w32.hllw.gaobot.bh.html

http://securityresponse.symantec.com/avcenter/venc/data/w32.hllw.gaobot.bf.html

http://securityresponse.symantec.com/avcenter/venc/data/w32.hllw.gaobot.be.html

http://securityresponse.symantec.com/avcenter/venc/data/w32.hllw.gaobot.bc.html

http://securityresponse.symantec.com/avcenter/venc/data/w32.hllw.gaobot.bb.html

http://securityresponse.symantec.com/avcenter/venc/data/w32.hllw.gaobot.az.html

http://securityresponse.symantec.com/avcenter/venc/data/w32.hllw.gaobot.ap.html

http://securityresponse.symantec.com/avcenter/venc/data/w32.hllw.gaobot.ao.html

http://securityresponse.symantec.com/avcenter/venc/data/w32.hllw.gaobot.an.html'>http://securityresponse.symantec.com/avcenter/venc/data/w32.hllw.gaobot.an.html

http://securityresponse.symantec.com/avcenter/venc/data/w32.hllw.gaobot.an.html

http://securityresponse.symantec.com/avcenter/venc/data/w32.hllw.gaobot.ag.html

http://securityresponse.symantec.com/avcenter/venc/data/w32.hllw.gaobot.af.html

http://securityresponse.symantec.com/avcenter/venc/data/w32.hllw.gaobot.ae.html

http://securityresponse.symantec.com/avcenter/venc/data/w32.hllw.gaobot.aa.html

http://securityresponse.symantec.com/avcenter/venc/data/w32.hllw.gaobot.html

http://securityresponse.symantec.com/avcenter/venc/data/w32.welchia.worm.html

http://securityresponse.symantec.com/avcenter/venc/data/w32.blaster.b.worm.html

http://securityresponse.symantec.com/avcenter/venc/data/w32.blaster.c.worm.html

http://securityresponse.symantec.com/avcenter/venc/data/w32.blaster.d.worm.html

http://securityresponse.symantec.com/avcenter/venc/data/w32.blaster.e.worm.html'>http://securityresponse.symantec.com/avcenter/venc/data/w32.blaster.e.worm.html

http://securityresponse.symantec.com/avcenter/venc/data/w32.blaster.e.worm.html

http://securityresponse.symantec.com/avcenter/venc/data/w32.blaster.f.worm.html

http://securityresponse.symantec.com/avcenter/venc/data/w32.blaster.worm.html

 

Und das sind glaub ich nicht alle - Du sieht´s man kann sich da nen Menge üble Dinge einfangen

 

Gruß Fantafisch

[martin_F2000 10]

Danke...

 

ich werd da jetzt mal zu meinem Chef gehen und sagen das ich mir da mal ein paar Def über Trojaner durchles *GRINS*

 

Danke!!!

 

Martin

[AMDathlon 10]

Hallo

 

ich hatte es jetzt bei 2 Kunden, dass es Probleme gab mit dem RPC Dienst und Angriffe auf den DCOM 135. Und bei BEIDEN Systemen lief outpost und Symantec Antivirus Corporate und es hat trotzdem geknallt.

 

Ich denke mal nicht, dass es sich um einen Trojaner handelt, sondern um irgendein Derivat des Blaster Worms. Versuch mal folgendes:

 

Download FixBlast

 

http://securityresponse.symantec.com/avcenter/FixBlast.exe

 

Hier der Passende Artikel von Symantec:

 

http://securityresponse.symantec.com/avcenter/venc/data/w32.blaster.worm.removal.tool.html

 

und hier noch nen passenden Artikel von Microsoft:

 

http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/bulletin/MS03-026.asp

 

Wenn es nix gebracht hat denn hilft nur eines.. Daten sichern und Rechner plätten *fg*

 

mfg

 

derAMD

[martin_F2000 10]

danke

 

ich bin mir nicht sicher, ob es sich um ein abkömmling des blasters handelt. Weil NAV ja gleich mal gar nicht anschlägt. Sonst würde NAV ja wenigstens sagen, halt stop, heir fummelt ein Virus rum...

 

ich werd das auf jeden fall mal testen

 

Danke für deine Hilfe

 

Gruß Martin