Problem mit Backdoorprogramm

[Doswork 10]

Hallo,

 

Seit Neustem habe ich das Problem, dass ich das Backdoorprogramm, welches durch nkunpack.dll hervorgeht, nicht fixen kann.

Folgendes geht aus meinem Hijackthis-Log hervor:

 

O20 - Winlogon Notify: nkunpack - C:\WINDOWS\SYSTEM32\nkunpack.dll

 

Diese Datei ist böse und soll dementsprechen mit Hijackthis gefixt werden. Jedoch bleibt die Datei bestehen, kann also nicht gelöscht werden. Sobald ich mein Antivir aktiviere, erscheint bei mir zig Mal die Warnung, dieses Backdoorprogramm zu löschen - dies funktioniert jedoch auch nicht.

 

Was kann ich da noch machen?

 

 

Gruß

Doswork

[Gadget 37]

Hi Doswork,

 

starte mit der Wiederherstellungskonsole damit kannst du die Datei löschen u. nach einem Neustart die Reste aus der Registry löschen:

http://support.microsoft.com/default.aspx?scid=kb;de;314058

 

LG Gadget

[Doswork 10]

Hm, die Seite funktioniert irgendwie nicht richtig - wie öffne ich denn die Wiederherstellungskonsole und welche Einträge müssen gelöscht werden?

[Gadget 37]

Um welches OS gehts?

 

EDIT: Öffne meinen Link mal mit dem IE oder benutze IETab:

http://www.mcseboard.de/showthread.php?t=78271

 

LG Gadget

[Doswork 10]

Ich benutze Windows XP (steht auch im Topic).

Ich finde allerdings deine Methode etwas kompliziert - kann man die Datei nicht irgendwie im Abgesicherten Modus löschen?

[Gadget 37]

Du könntest natürlich auch nachdem du normal gestartet hast, versuchen, die DLL-Registrierung aufzuheben u. dann die DLL löschen:

 

Windows+Key +R => cmd

 

C:\WINDOWS\SYSTEM32\Regsvr32 /u nkunpack.dll

 

u. dannach nochmal nen Löschversuch unternehmen.

 

Aber btw die Wiederherstellungskonsole is ned umständlich sondern ´n wichtiges hilfsmittel u. man sollte sich unbedingt mit ihr beschäftigen.

 

LG Gadget

[XP-Fan 220]

Hallo Doswork,

 

du willst die Datei löschen beim Neustart. Dann kannst du es mit diesem Tool versuchen, nachdem du den Schritt von Gadget gemacht hast.

 

 

http://virus-protect.org/killbox.html

 

Die Erkärung auf der Seite aber bitte vorher lesen !

[Doswork 10]

okay - ich probiers mal aus danke

[Doswork 10]

Du könntest natürlich auch nachdem du normal gestartet hast, versuchen, die DLL-Registrierung aufzuheben u. dann die DLL löschen:

 

---> Folgende Meldung:

 

RegSvr32

 

nkunpack.dll wurde geladen, aber der DLLUnregisterServer-Eingangspunkt wurde nicht gefunden.

Diese Datei kann nicht registriert werden.

[Gadget 37]

Dann starte die Wiederherstellungskonsole ... is ja nix dabei ...

 

u. suche in der Registry nach der DLL

[Doswork 10]

So, ich denke, ich habe das Backdoorprogramm nun beseitigt, ganz ohne Wiederherstellungskonsole (die bei mir übrigens nicht starten wollte).

 

Habe zunächst Registry nach nkunpack durchsucht, und den kompletten nkunpack Ordner gelöscht.

Danach habe ich mit dem Programm Killbox nkunpack.dll on reboot gelöscht.

 

nkunpack.dll ist nun aus meinem Hijackthis Log raus und Antivir meldet mir keine Funde.

 

 

Gruß

Doswork

[zahni 562]

Das zeigt alle möglichen Autostart-Einträge:

 

http://www.sysinternals.com/Utilities/autoruns.html

 

-Zahni

[XP-Fan 220]

Hallo Doswork,

 

schön das du den losgeworden bis, kannst du einschätzen wie das Teil auf deinen PC kam ?

Web oder Mail ?

Wäre vielleicht hilfreich zu wissen zwecks Prävention anderer Systeme.

[Gadget 37]

@Doswork,

 

naja normalerweise macht man so ein infiziertes System aber platt ...

 

Wir halten dafür Riprep-Images vor d.h. bei Infizierung jeglicher Art wird das System überbügelt.

 

u. für Heimanwender-PC´s tuts ein einfaches Image mittels Acronis o. ähnlichen Programmen.

 

Ich würde mich halt nicht in der trügerischen Sicherheit wiegen, dass dieses System wirklich gesäubert ist.

 

LG Gadget

[Doswork 10]

@XP-Fan:

Der Virus stammt wahrscheinlich von irgendeiner Seite im Netz, frag mich aber nicht welche. Meine Mails empfange ich üblicherweise mit Hotmail, das einen integrierten Virenscanner enthälft (McAffee glaub ich).

 

@Kohn:

Naja, der PC sollte jetzt schon sauber sein, ich lasse genug Virenscanner meine Festplatte checken - und wenn ich nunmal keine Meldung kriege, so ist das doch ein Zeichen, dass das System sauber ist. Ansonsten werde ich's ja noch merken ;-)