sysi
Goto Top

Hilfe Virusalarm!

Hi leutz!

Habe nen Virus im Netz der mir langsam aber sicher alle Server vernichtet!
Sieht aus wie ein Blaster/Sasser, jedoch die Anti-Blaster/Sasser - Tools finden nichts.
Es kommt immer wieder die Meldung Pc wird nach 1 min heruntergefahren.

Das Commando: Shutdown -a FUNKTIONIERT NICHT

hoffe mir kann jemand was genaueres darüber sagen

Content-ID: 3007

Url: https://administrator.de/forum/hilfe-virusalarm-3007.html

Ausgedruckt am: 24.12.2024 um 17:12 Uhr

Kessl
Kessl 06.10.2004 um 13:08:06 Uhr
Goto Top
Hi

lass doch mal mcafees stinger drüberlaufen der hat bisher bei mir noch alles entdeckt! ( http://vil.nai.com/vil/stinger/ )

Natürlich schleunigst die entsprechenden Patches aufspielen!

Wahrscheinlich ist es das besten du trennst die entsprechenden Maschinen so lang vom Netz bis sie Wurm frei sind und alle Patches haben!
defcon3
defcon3 06.10.2004 um 15:06:24 Uhr
Goto Top
Hi,

neben Stinger, der wirklich gut und schnell ist, kannst Du auch mal Trend Micros OnlineScanner drüberlaufen lassen. Findest Du unter:

http://de.trendmicro-europe.com/enterprise/products/housecall_launch.ph ...

Viel Erfolg.

Grüsse

defcon3
lou-cypher25
lou-cypher25 06.10.2004 um 15:51:40 Uhr
Goto Top
Wenn Dir ein Wurm o.ä. alle Server vernichtet, solltest Du vieleicht drüber nachdenken ALLES zu trennen und einen Server nach dem Anderen anzugehen ???

Christian
linkit
linkit 07.10.2004 um 07:01:33 Uhr
Goto Top
Hallo,

1. @nowitzki: erstmal diesem Rat folgen... so einen Rechner / Server etc. immer isolieren

2. Dies kann nur durch einen Virus, Wurm etc. ausgeführt werden, wenn nicht die Sicherheitsupdates für RPC installiert wurde => somit wahrscheinlich Fehler von Admin.
=> Also erstmal alle Rechner mit aktuellen Updates versorgen, damit du genügend Zeit hast bei diesem Problem zu suchen, sonst fährt die Kiste ständig runter.

3. Es gibt mehr Würmer, die sich dieser Sicherheitslücke bedienen: beispiel gabot.... teilweise hebeln diese sogar den Virenscanner aus. Aber alle haben hier etwas gemeinsam, entweder stehen diese unter den RUN Einträgen in der Registry oder du findest diese ganz leicht in den laufenden Prozessen.
a) Geh also folgendermaßen vor: Schau alle Prozesse mit dem Taskmanager durch und gib deren Namen bei Google ein und schau, was sich hinter diesem Prozess verbirgt.
Achtung: Genau auf Schreibweise achten: Beispielsweise ist LSASS ein Systemdienst, aber LSAS ein Virus....
b) Schau dir die ganze Registry durch (nicht mit msconfig) nach dem Schlussel RUN (ganze Zeichenfolge vergleichen).... auch hier die einzelnen Calls vergleichen mit Google, falls du nicht weißt, was dahinter steckt.
4. Wenn du den Wurm gefunden hast, bei Symantec etc. den Fix oder Anleitung runterladen, wie man diesen entfernt....
5. Für die Zukunft, Sicherheitsplan ausarbeiten und umsetzen. Updates, Virenscanner, Firewall entsprechend anpassen.
linkit
linkit 07.10.2004 um 07:03:42 Uhr
Goto Top
Anmerkung: Falls der Rechner immer zu schnell runterfährt und du das RPC Sicherheitsupdate nicht installieren kannst...


=> Task manger aufrufen => Prozess liste => hier ein Screenshot oder Digibild machen von allen Porzessen und an einem anderen Rechner wie beschrieben nachgucken, was das alles ist.
=> Wurm gefunden => Prozess beenden oder in der Registry unterbinden.
5398
5398 07.10.2004 um 15:33:26 Uhr
Goto Top
Ich kenne noch keinen Virus, der sich im abgesicherten Modus starten kann ;)

PC vom Netz nehmen und im abgesicherten Modus starten.
Folgende Keys umbenennen:
Local_Machine\Software\Microsoft\Windows\Current Version\Run
Current_User\Software\Microsoft\Windows\Current Version\Run
Falls vorhanen auch RunOnce oder Run Service beachten.

Autostart-Ordner umbenennen und in Win.ini den load und run Eintrag umbenennen (falls gefüllt)

Danach kann der PC normal gestartet werden und mit normalen Virensoftware geprüft und gesäubert werden, da der Virus nicht mehr aktiv ist.
lou-cypher25
lou-cypher25 07.10.2004 um 15:51:05 Uhr
Goto Top
@5398

Deine Aussage halte ich für gewagt und unter Umständen gefährlich.

Sicher muß ein Virus einen auslösenden Mechanismus haben, der ihn zum Start veranlasst.
Aber nur weil dies bei den großen Epidemien der letzten 3 Jahre nicht vorkam, gibt es dennoch Viren die eben nicht an diese Autostartgeschichten gebunden sind und sich an beliebige Prozesse hängen können.
Ein Start im "Abgesicherten Modus" bietet daher genausowenig Sicherheit, wie die Deaktivierung der Autostarteinträge im "Normalen Modus".

Aus meiner Sicht ist die Isolation des befallenen Systems und das Scannen mittels einem sauberen System (z.B. Livelinux mit Einbindung aktueller Virenkennungen), die beste Variante ein System zu bereinigen.

Christian
linkit
linkit 07.10.2004 um 18:56:57 Uhr
Goto Top
@5398

Muß hier meinem Namensvetter Christian absolut folgen... wegen Übelkeit macht keiner eine Magenoperation... ich halte das Umbenennen der Schlüssel nicht nur für gefährlich, sondern außerdem auch für absolut überzogen. Gefährlich deshalb, weil es durchaus in diesen Schlüsseln Werte geben kann, die für einen Netzwerkbetrieb unerlässlich sind, beispielweise nistet sich der Novellclient hier unter anderem gerne mit ein.

Außerdem gibt es sehr wohl viren, denen der abgesicherte Modus absolut wurscht ist und für die der RUN keine Rolle spielt... aktuelle PC-Welt lesen => ausführende Schlüssel...