sfera-haiza
Goto Top

Virus löscht ntoskrnl.exe und verlangsamt das System

Undzwar hatte ich ein screenshot Tool angeklickt und zack schon hatte ich das Desaster. NOD32 schaltete sich ab und Symatic beendete sich auch.
Von nunan as System langam.
Es wurden alle NOD32 dateien gelöscht. Ich scannte von einem zweitem PC aus mit NOD32 den Programme Ordner und den Windows Ordner doch der zeigte nix an nur ein Par dateien die er nicht scannen konnte da sie verwendet wurden.
Dann packte ich mir den Ordner von NOD32 auf den betroffenen PC und die Exe Dateien wurden sofort gelöscht. Als ich sie umbenannte konnte ich sie draufpacken und z.T. ausführen aber nur z.B. da Programmteile nicht gefunden wurde ( warscheinlich durch die falschen namen). Habe ich die Dateien mit dem Attribut versehen "Verschlüsselt" konnte ich die Datei in den Originalnamen umwandeln doch das normale Programmsymbol verschwand und es kam das einer DOS Anwendung. Als ich NOD startete zeigte er an, dass die Datei möglicherweise von einem Virus befalen wurde konnte aber nix machen.

Dann wollte ich gerade hier den Bericht schreiben und zack war der PC aus, bzw. ich sah nurnoch das Hintergrundbild.

(Hinweis meine OS ist Windows Server 2003 umdie es geht)
Ok, neu gebootet bzw versucht, denn sobald ich Win zu starten kam der Fhler:
Windows kann nicht gestartet werden , da die folgende Datei fehlt oder beschädigt ist:
<Windows root > \system32\ntoskrnl.exe

Ok, ich startete als mit Winternals Admin Pack um zu schauen was da ist und was nicht. ntoskrnl fehlte komplett.
Ok ich holte sie mir von einem Zweitpc und legte sie drauf und starte Win neu und es klappte (klappt gerade noch).
Jetzt hatte ich den Verdacht auf Funlove aber der soll ja wohl garnicht die ntoskrnl.exe löschen.

Welcher kanns noch sein?

Content-ID: 71932

Url: https://administrator.de/contentid/71932

Ausgedruckt am: 22.11.2024 um 14:11 Uhr

Gagarin
Gagarin 25.10.2007 um 16:56:28 Uhr
Goto Top
Ich wuerde dir mal raten mit einer bootbaren Linuxversion (Knoppix) zustarten und damit einen Virenscan durchzufuehren.
sfera-haiza
sfera-haiza 25.10.2007 um 17:03:44 Uhr
Goto Top
Ich habe SuSE Linux 10.2 nebenher installiert drauf.

Ich brauche dahingehend Antworten , dass ich einen Remover brauche. Um welchen kann es sich handeln?

Der Aktuelle und auch geupdatete NOD32 von einem anderen PC aus hatte keine Viren gefunden, dass ist ja das komische.

Die Speicherauslastung liegt bei 1,52GB, das System ist lahm wie eine Ente. Dann war eben wieder die ntoskrnl.exe gelöscht worden vom Virus.
Gagarin
Gagarin 25.10.2007 um 17:13:11 Uhr
Goto Top
Okay nochmal,

auch wenn du Linux drauf haben solltest. Du bist der Meinung das dein System komprimitiert ist. Also gehst du von einem System welches definitiv infiziert ist auf die Jagd. Das ist bei Knoppix der Fall. Wenn du dir die Knoppix CD oder ein andere Derivat erstellst laedst du dir vorher natuerlich die neusten Definitionen runter.

Damit Scannst du dann dein System und hoffst (!) das eine der AV Awendung die auf der CD sind auch es schafft die Malware zu beseitigen.

Ansonsten holst du deine Datensicherung raus und installierst den Server neu. Das ist meistens die einfachere Methode.
sfera-haiza
sfera-haiza 25.10.2007 um 17:48:39 Uhr
Goto Top
Ok ich versuche es mit dem Knoppix, ist die Version: KNOPPIX_V5.1.1DVD-2007-01-04-DE.iso tatsächlich die neuste?
Gagarin
Gagarin 25.10.2007 um 18:37:51 Uhr
Goto Top
Die Definitionsdateien der AV Software muss aktuell sein, nicht die Knoppix version.

Informiere dich auf der Knoppixseite oder bei Googel ob es nicht auch fuer Virensuche optimierte Knoppix Geschichten gibt. Ich weiss das C't sowas rausgebracht hatte.
thekingofqueens
thekingofqueens 25.10.2007 um 19:54:18 Uhr
Goto Top
Also gehst du von einem
System welches definitiv infiziert ist auf
die Jagd.

Da fehlt doch definitiv ein Wort? face-smile

Informiere dich auf der Knoppixseite oder bei Googel ob es nicht auch fuer Virensuche optimierte
Knoppix Geschichten gibt. Ich weiss das C't sowas rausgebracht hatte.

Und das System das du suchst heisst Knoppicillin.
Gagarin
Gagarin 25.10.2007 um 20:21:45 Uhr
Goto Top
@thekingofqueens

Ja du hast recht! Es tut mir ja leid. Mea Culpa. face-smile Aber recht habe ich trotzdem.
sfera-haiza
sfera-haiza 25.10.2007 um 20:23:37 Uhr
Goto Top
Also lade ich gerade mit meiner DVD die falsche Version?

Ich habe das System gerade laufen im Diagnosesystemstartmodus laufen also nur die wichtigsten Dienste am laufen.
Ich habe dem Kernel ein Paar andere Atribute gegeben, bisweilen bleibt sie auf der Platte.
gnarff
gnarff 26.10.2007 um 01:14:30 Uhr
Goto Top
Hallo sh,
welcome back!

Wie heißt das Screenshot Tool bzw. die Datei über die Du Deine Windows 2003 Workstation mal wieder infizieren durftest?

saludos
gnarff
sfera-haiza
sfera-haiza 26.10.2007 um 01:57:22 Uhr
Goto Top
K.a. welche es genau war ich googelte einfach nach "screenshot tool freeware download".

So nun bleibts System stabil nur irgentwie muss noch was drauf sein welches die Installation von Anti Viren Programmen verhindert , denn wenn ich die Files aufspiele werden sie gelöscht.

Kann man herausbekommen welche Instanz das macht? Mus doch eigendlich auch nen Dienst sein der läuft der normal nicht laufen dürfte.. Ein Virus wurde von einem Onlinescanner gefunden und entfernt: W32/bagle.KMworm der saß in der Win\exefld\

Nur wie witer bin ich am überlegen das Koppix von CT habe ich geladen und teste es mal morgen.
gnarff
gnarff 26.10.2007 um 03:20:54 Uhr
Goto Top
Der W32/Bagle.KM auch bekannt unter den Namen
Email-Worm.Win32.Bagle.fy (Kaspersky), W32/Bagle.fb@MM (McAfee), W32.Beagle.FF@mm (Symantec), Worm/Bagle.GK (Avira), W32/Mitglieder.TL (F-Prot), W32/Bagle-KM (Sophos), Worm:Win32/Bagle.EG@mm (Microsoft)

laedt einen Trojaner mit Rootkit-Funktionen nach, den TROJ_ROOTKIT.FN auch bekannt unter den Namen
NTRootKit-W (McAfee), Trojan.Rootserv (Symantec), RKit/Bagle.GL (Avira), W32/Rootkit.CN (F-Prot), W32/Bagle-KN (Sophos), VirTool:Win32/Rootkit.B (Microsoft)

Letztgenannten deshabilitierst Du zuerst, danach kannst du die Bagle-Reste aufkehren.

saludos
gnarff
sfera-haiza
sfera-haiza 28.10.2007 um 12:51:17 Uhr
Goto Top
Ich hatte es nicht in den Griff bekommen ich installierte neu.
thekingofqueens
thekingofqueens 28.10.2007 um 13:19:24 Uhr
Goto Top
Ich hatte es nicht in den Griff bekommen ich
installierte neu.

Bei Virenbefall eh die beste Lösung.
gnarff
gnarff 28.10.2007, aktualisiert am 18.10.2012 um 18:32:38 Uhr
Goto Top

Ich hatte es nicht in den Griff bekommen ich installierte neu.

Das hatten wir ja schon mal:

So das Ende vom Lied: Es half nur Neuinstallation
Der Virus wurde nicht entdeckt.

Komischer Virus oder Wurm

Du wirst einzusehen haben, dass 2003 Server nicht dazu taugt als Workstation eingesetzt zu werden...

saludos
gnarff
sfera-haiza
sfera-haiza 28.10.2007 um 17:48:25 Uhr
Goto Top
Doch wird weiterhin als solches eingesetzt.