Merkwürdiger Virusbefall?

[Nightflyer2000]

Hi Leute,

habe ein größeres Problem mit einem WinXP-Pro-Rechner.

Der macht so merkwürdige Dinge, dass man fast von einem Virus ausgehen könnte.

Also es ist Norton Antivirus drauf und "angeblich" mit Live-Updates auf dem neuesten Stand gehalten worden.

Allerdings startet der Virenwächter nach dem Booten gar nicht erst und wenn man Norton Antivirus manuell starten will, lässt er sich nicht starten.

Wenn ich in des Taskmanager gehen will, öffnet er sich kurz und geht dann nach einer Sekunde sofort wieder zu, dasselbe passiert, wenn ich in die Registry will.

Als wenn irgendwas die Prozesse sofort nach dem starten wieder abschießt...

Alles Dinge, wo man Viren aufspüren oder löschen könnte funktioniert nicht.

Als ich versucht hatte, die Patches für XP gegen Sasser und so zu installieren, das selbe Spiel. Er bricht nach ein paar Sekunden nach dem Entpacken des Patches einfach ab...

Im abgesicherten Modus komme ich in alle oben genannten Programme rein, habe in der Registry im Run-Ordner aber nichts auffälliges entdecken können.

Im abges. Modus habe ich aber wenigstens die Patches gegen Sasser und Blaster installieren können. Man weiß ja nie...

Als ich im abgesicherten Modus Norton durchlaufen lassen habe, hat er einen Virus gefunden: W32-Korgo.S

Laut Virenlexikon von www.sophos.de ein Netzwerkwurm von Juli / August 2004, der die LSASS-Lücke ausnutzt und bestimmte Prozesse killt:

http://www.sophos.de/virusinfo/analyses/w32korgos.html

Da der Router dort vor kurzem ausgestiegen war, mussten sie kurze Zeit mit ISDN online gehen und meinten, in der Zeit hatte sich auch der Virenscanner mit einem Virusinfekt gemeldet und konnte ihn wohl nicht richtig löschen.

Da waren wohl noch Überreste übrig...

Seit dem gibt es auch Probleme mit der Online-Banking-Software. Die funktioniert wohl unabhängig vom DSL-Router über die eingebaute Fritz-Card.

Allerdings schmiert diese Software jedesmal ab, sobals versucht wird, eine ISDN-Verbindung auszubauen...

Da der Virus jetzt im abgesicherten Modus gelöscht wurde und die Probleme immer noch sind, brauche ich doch langsam Hilfe und Tipps von Euch...

Also wie ihr seht, ist auf dem PC echt "der Wurm drin" und ich will / muss mir eine Neuinstallation ersparen.

Was kann ich tun?

Kennt jemand diese Probleme?

Schon einmal vielen Dank für Eure Bemühungen.

:confused:

[hades]

Wahrscheinlich wird hier der Aufwand fuer eine Neuinstallation geringer ausfallen als dieses System zu saeubern.

Boote von einem garantiert virenfreien Medium (z.B. knoppix) und scanne von dort aus mit einem aktuellen Virenscanner auf Viren.

Spiele alle kritischen MS-Patches ein.

Scanne das System auf Dialer/Spyware mit Adaware, Spybotsd und cwshredder (Links siehe Linkliste im Securityforum).

Installiere einen 0190Warner (z.B. a2) oder besser, lasse vom Telefonprovider die Rufnummerngasse 0190/0900 sperren.

Welche Software wird fuer Onlinebanking genutzt?

[Nightflyer2000]

Danke für die schnelle Antwort!

Von Knoppix booten ist kein Problem, aber wie scanne ich von dort aus mit einem aktuellen Virenscanner?

Hat Knoppix einen im Gepäck?

Das Online-Banking-Programm ist Dialog 24 von der deutschen Bank.

Ein sehr "mickriges" Programm mit nicht vielen Konfigurationsmöglichkeiten.

Aber StarMoney arbeitet ja glaub ih nicht mit der Deutschen Bank zusammen...

Danke schon mal.

Ach so, eine Neuinstallation würde ich am liebsten vermeiden, da es ein sehr wichtiger Büro-PC mit viel wichtigem Zeuch und Applikationen ist...

[hades]

Knoppix bringt selbst keinen Virenscanner mit. Dieser laesst sich aber nachtraeglich einbinden. Nachtraeglich muss auch der schreibende Zugriff auf die Windowspartitionen eingerichtet werden.

Virenscanner fuer Linux: F-Prot, AntiVir, Bitdefender

Einfacher gehts mit knoppicillin, ein abgespecktes knoppix mit integriertem F-Prot, wo nur die aktuellen Virendefinitionen nachgeladen werden muessen.

Knoppicillin lag der ct 9/2003 bei: http://www.heise.de/ct/03/09/210/

[Nightflyer2000]

Danke, klingt interessant.

Erkennt denn dieses knoppicillin auch Adware / Spyware / Dialer?

Und mit NTFS-Laufwerken muss man ja noch ein wenig konfigurieren.

Aber ich bin für alles offen.

Da ich den Rechner nicht vor mir habe, muss ich erst mal Ideen sammeln...

Danke schon mal!

:cool:

[Gerner]

100%-ig Sicherheit das der Wurm weg ist bekommst Du nur mit einer Neuinstallation des Systems. Denn Du kannst Dir nicht sicher sein, dass der Wurm nicht noch anderen Code nachgeholt hat bzw. ein anderes Programm installiert hat.