verzeichnisse die mit Q anfangen verschwinden nach der neuanlage (trojaner ?)

[itecno-de 10]

ich habe das gemerkt, nachdem meine quick launch nicht mehr änderbar war.

im verzeichnis ... \Anwendungsdaten\Microsoft\Internet Explorer

gibt es nur noch 3 dateien: brndlog.bak, brndlog.txt und desktop.htt

wenn ich ein verzeichnis "quick launch" anlegen möchte, sagt er mir: gibts schon ...

 

dann kam ich auf die idee: das verzeichnis auf c:\ anzulegen. ich konnte es anlegen,

anschliessend wurde es aber nicht mehr angezeigt .....

dann hab ich ein verzeichnis "q" angelegt, auch das war verschwunden .....

 

auch eine textdatei: q.txt wird anschliessend nicht mehr angezeigt

 

ich arbeite mit WXP PRO SP1a

spyware-vanisher fullversion und avg antivirus findet nichts .....

 

für einen hinweis, der eine neuinstallation verhindern würde, wäre ich dankbar ....

[ElCativo 10]

Test mal Spybot Searcg and Destroy.

Hab damit gute Erfahrung gemacht und AdAware..

Beide Freeware..

Und Scan die Platte mal im Abgesicherten Modus ;)

[Monarch 10]

Das hört sich stark nach einem (schlechten) Rootkit an.

 

Eventl. kannst du mit dem Rootkit-Revealer etwas finden.

[solinske 10]

ich würde hier auch auf eine einfache version eines root kits tippen.

 

mal ganz plump: net stop q

 

vielleicht tauchen dann neue verzeichnisse auf deiner hdd auf. nimmt deine kapazität ab, wenn du eine grosse datei auf diese partition kopierst ?

[itecno-de 10]

ich würde hier auch auf eine einfache version eines root kits tippen.

 

mal ganz plump: net stop q

 

vielleicht tauchen dann neue verzeichnisse auf deiner hdd auf. nimmt deine kapazität ab, wenn du eine grosse datei auf diese partition kopierst ?

 

_______________________________________________________________________

 

ergebnis:

 

C:\>net stop q

Systemfehler 1060 aufgetreten.

 

Der angegebene Dienst ist kein installierter Dienst.

[itecno-de 10]

Test mal Spybot Searcg and Destroy.

Hab damit gute Erfahrung gemacht und AdAware..

Beide Freeware..

Und Scan die Platte mal im Abgesicherten Modus ;)

 

hab ich im abgesicherten modus beides laufen lassen,

hat leider nichts gefunden .....

[Champ 10]

Hey

 

Boote mal mit einer Live CD (Bart-PE, oder Knoppix) und schau dir erstmal die Ordner/ Dateien an.

Wenn das rootkid aktiv ist ist es immer schwer zu schauen obs aktiv ist. Ich habe bei einem Kunden so eine Teil nur mit einer Live CD wegbekommen.

 

M$ bietet auch Tools an (beta)

http://www.microsoft.com/germany/athome/security/viruses/malware.mspx

 

direkter downloadlink (der is bissel versteckt)

http://www.microsoft.com/downloads/details.aspx?FamilyId=AD724AE0-E72D-4F54-9AB3-75B8EB148356&displaylang=de

 

By Champ

[itecno-de 10]

Das hört sich stark nach einem (schlechten) Rootkit an.

 

Eventl. kannst du mit dem Rootkit-Revealer etwas finden.

 

 

der rootkit-revealer hat alle dateiten und verzeichnisse als

 

"Hidden from Windows API"

 

gekennzeichnet, die mit R oder Q anfangen ....

also noch ein buchstabe mehr ......

 

.... bin aber noch am suchen, wie ich den finden bzw. killen kann ......

[itecno-de 10]

Hey

 

M$ bietet auch Tools an (beta)

http://www.microsoft.com/germany/athome/security/viruses/malware.mspx

 

direkter downloadlink (der is bissel versteckt)

http://www.microsoft.com/downloads/details.aspx?FamilyId=AD724AE0-E72D-4F54-9AB3-75B8EB148356&displaylang=de

 

By Champ

 

 

diese beiden haben mir versprochen: dein system ist sauber ...... :)

ich halt euch weiter auf dem laufenden

danke für eure bisherige unterstützung ....

(hab mir heute zur sicherheit bereits ne neue notebookplatte bestellt ....)

[Champ 10]

Hey

 

Poste mal die rootkit revealer Logdatei. Scane mal mit hijackthis und poste die Log.

Wenn bei "Hidden from Windows API" auch Regeinträge betroffen sind (z.B. unter sptd) dann siehts böse aus. ---> Live CD

 

noch ein rootkitscanner --> blacklight fon f-secure http://www.f-secure.com/blacklight/

noch einer ---> Strider GhostBuster http://research.microsoft.com/rootkit/

 

Heise hatte auch mal paar Tipps dazu geschrieben

 

 

 

By Champ