Hallo allerseits,

Diese beiden Dateien haben sich auf meiner Festplatte breitgemacht und lassen sich auch nicht löschen. Dafür wurden sie bei jedem Start in logarithmischer Potenz aufgerufen und es ging natürlich gar nichts mehr. Das habe ich 1 1/2 Tage und ungezählte Wutanfälle später herausgefunden und inzwischen das Problem einigermaßen im Griff, der Computer läuft (fast) wieder normal.
Riecht natürlich meilenweit nach Virus, mein Virenwachhund Norman hat aber weder gebellt noch zugebissen.
Weiß jemand von Euch mehr? Vor allem wie man die beiden Kackdinger wieder los wird? und die Aufrufe aus dem Autostart wieder rauskriegt?

Danke schön schon mal
und schöne Grüße, Mathias

: und die Aufrufe aus dem Autostart wieder rauskriegt?

Hast du auch Registry auf Run/Run Once etc geprüft? Mit anderen Worten: Kontrollierst du das Autostartverhalten mit msconfig (vorrausgesetzt du hast kein Win2000/95)?

Ansonsten würd ich vielleicht mal mit nem 2. Virenscan rangehen (z.b. das kostenlose Antivir) oder nimm dir von nem Kollegen sone Knoppix-CD und entferne damit von ner sauberen Oberfläche aus die möglichen Übeltäter...

Falls dir das alles nicht weiterhilft bin ich glatt überfragt :)


Gruß,
fabian

Hi Mathias,

: Diese beiden Dateien haben sich auf meiner Festplatte breitgemacht und lassen sich auch nicht löschen.

Nur diese beiden? Oder auch andere Dateien mit ähnlichen Namen? Die Namensmuster sind eigentlich typisch für temporäre Dateien, die ein Programm oder das System für alle möglichen Zwecke anlagt und natürlich können sie dann nicht gelöscht werden, weil sie ja in Benutzung sind.

Hast Du denn in den letzten Tagen irgendwas Tolles installiert, was seitdem aktiv ist?

: Riecht natürlich meilenweit nach Virus, mein Virenwachhund Norman hat aber weder gebellt noch zugebissen.

Wenn es sich nicht um einen Virus handelt, dann braucht er das auch nicht zu tun.

: und die Aufrufe aus dem Autostart wieder rauskriegt?

Ja, dazu kann ich Dir was sagen. Zunächst gibt es neben dem Autostart-Ordner und der autoexec.bat Datei jede Menge andere Stellen, an denen Programme automatisch gestartet werden können. Zu MSCONFIG hat Fabian ja auch schon was geschrieben. Eine ganz passable Zusammenfassung findest Du hier in der Windows-FAQ. Bloß all das nützt Dir nichts, solange Du bei den Myriaden an Einträgen nicht unterscheiden kannst zwischen erwünscht oder erforderlich auf der einen Seite und böse oder unerwünscht auf der anderen Seite. (Ich fordere ja da immer den mündigen Anwender, und wenn er dann erst mal mündig ist, kann er sich in dieser neugewonnenen Mündigkeit ja auch direkt für ein vernünftiges Betriebssystem entscheiden. Aber ich schweife ab.)

Mittlerweile gibt es ja etliche Programme, die sich durch Reklame finanzieren und Dich gelegentlich mit Werbe-Popups beglücken, zum Ausgleich dafür, daß Du ein vermeintlich kostenloses Programm nutzen darfst. Solche Zusätze nennt man Ad-Ware und sie sind nicht selten.
Gute Abhilfe liefert hier Spybot Search & Destroy und als Ergänzung dazu Lavasoft Ad-Aware in der kostenlosen Standard-Version. Beide einfach mal runterladen und laufen lassen.

Eventuell kommst Du so dem Bösewicht auf die Spur.

Im Übrigen bin ich der Meinung, daß Windows vermieden werden muß.

Keep rockin'
Friedlieb

Moin,

Ein paar präzisere Informationen wären hilfreich:

• In welchem Verzeichnis befinden sich die Dateien?


• Welche Dateiendung haben die Dateien? Die Dateiendung wird in der Standardeinstellung ausgeblendet (Danke, Microsoft). Du kannst sie z.B. anzeigen, indem Du die Datei mit der rechten Maustaste anklickst und dann "Eigenschaften" anwählst.
  Wenn es sich um ausführbare Dateien handelt (z.B. *.exe, *.com, *.pif u.a.), sieht das sehr stark nach dem Werk eines Wurms aus.


• Ist Dein Virenscanner auf dem aktuellsten Stand?


• Welche Windoof-Version benutzt Du?

Wenn Du die Dateien nicht löschen kannst, liegt das daran, dass sie gerade von einem laufenden Programm geöffnet sind. Wenn es sich um Programmdateien handelt, können sie nicht gelöscht werden, während das Programm läuft.
Mach mal den Affengriff (Strg+Alt+Entf) und schau Dir die Liste der gerade laufenden Tasks und Prozesse an. Falls die Quälgeister hier auftauchen, kannst Du sie abschießen.
Noch sicherer: Starte die Kiste im abgesicherten Modus (wie das geht, hängt von der Windoof-Version ab). Dabei werden viele Autostart-Optionen ignoriert, so dass das bösartige Programm evtl. gar nicht erst zum Zuge kommt.

Gruß,
Holger

Mojn Holger,

: Ein paar präzisere Informationen wären hilfreich:

:

In welchem Verzeichnis befinden sich die Dateien?

in Windows

:

Welche Dateiendung haben die Dateien? Die Dateiendung wird in der Standardeinstellung ausgeblendet (Danke, Microsoft). Du kannst sie z.B. anzeigen, indem Du die Datei mit der rechten Maustaste anklickst und dann "Eigenschaften" anwählst.

.exe (sorry, ich vergaß). Größe 68 kb. Und - soviel habe ich inzwischen rausgefunden - besteht ihre Hauptfunktion darin, sich selber beim Auslösen in den Autostart zu pflanzen, sich aufrufen zu lassen und sich so zu multiplizieren.

: Wenn es sich um ausführbare Dateien handelt (z.B. *.exe, *.com, *.pif u.a.), sieht das sehr stark nach dem Werk eines Wurms aus.

:

Ist Dein Virenscanner auf dem aktuellsten Stand?

Dachte ich bisher. Norman datet sich automatisch up. Aber das von Friedlieb empfohlene Programm Spybot brachte reiche Beute.

:

Welche Windoof-Version benutzt Du?

98

: Wenn Du die Dateien nicht löschen kannst, liegt das daran, dass sie gerade von einem laufenden Programm geöffnet sind. Wenn es sich um Programmdateien handelt, können sie nicht gelöscht werden, während das Programm läuft.
: Mach mal den Affengriff (Strg+Alt+Entf) und schau Dir die Liste der gerade laufenden Tasks und Prozesse an. Falls die Quälgeister hier auftauchen, kannst Du sie abschießen.

Tun sie jetzt nicht mehr. Aber von der Festplatte runterschmeißen kann ich sie immer noch nicht.

: Noch sicherer: Starte die Kiste im abgesicherten Modus (wie das geht, hängt von der Windoof-Version ab). Dabei werden viele Autostart-Optionen ignoriert, so dass das bösartige Programm evtl. gar nicht erst zum Zuge kommt.

Habe ich in meiner Verzweiflung bereits getan und so die Aufrufe im Autostart (inzwischen wohl um die 1000) weggeklickt. Und inzwischen läuft die Kiste wieder.

Auf jeden Fall vielen Dank und Grüße,

Mathias

Hallo Friedlieb,

: Nur diese beiden? Oder auch andere Dateien mit ähnlichen Namen? Die Namensmuster sind eigentlich typisch für temporäre Dateien, die ein Programm oder das System für alle möglichen Zwecke anlagt und natürlich können sie dann nicht gelöscht werden, weil sie ja in Benutzung sind.

Zwei andere exe Dateien mit ähnlichem Namen hat Norman in Quarantäne gestellt.
:
: Hast Du denn in den letzten Tagen irgendwas Tolles installiert, was seitdem aktiv ist?

Absolut nicht. Im Gegenteil, ich habe gerade den Beginn der Semesterferien für einen Festplatten-Frühjahrsputz genutzt und war nicht schlecht überrascht von der Bescherung.

: Gute Abhilfe liefert hier Spybot Search & Destroy und als Ergänzung dazu Lavasoft Ad-Aware in der kostenlosen Standard-Version. Beide einfach mal runterladen und laufen lassen.

Spybot hat insgesamt 40 faule Eier gefunden. Das passt gut zu den sich in letzter Zeit mehr und mehr 'selbsttätig' öffnenden Seiten beim Surfen.
:
: Eventuell kommst Du so dem Bösewicht auf die Spur.
:
Wahrscheinlich war es das.

: Im Übrigen bin ich der Meinung, daß Windows vermieden werden muß.

So ist es. Schickt Bill Gates in Rente, er ist schließlich reich genug.

Vielen Dank und Grüße, Mathias

Mojn Fabian,

: : und die Aufrufe aus dem Autostart wieder rauskriegt?
:
: Hast du auch Registry auf Run/Run Once etc geprüft? Mit anderen Worten: Kontrollierst du das Autostartverhalten mit msconfig (vorrausgesetzt du hast kein Win2000/95)?
:

Hab ich, und hab sie deaktiviert. Aber drinstehen tun sie immer noch.

: Ansonsten würd ich vielleicht mal mit nem 2. Virenscan rangehen (z.b. das kostenlose Antivir) oder nimm dir von nem Kollegen sone Knoppix-CD und entferne damit von ner sauberen Oberfläche aus die möglichen Übeltäter...

Spybot brachte eine Menge. Und ich werde mal McAfee und BSI versuchen.

Dank und Grüße, Mathias

Helau stooge,

wenn Du die Dateien wirklich löschen möchtest (und dies auch nicht zu einem anschließendem Abkacken des Systems führt, dann starte den Rechner doch im DOS-Modus, und benutze so altehrwürdige Befehle wie cd\windows und del s4d5f8dss.pif oder wie die Dinger heißen.

Aber nur wenns erlaubt ist! Keine Garantie. Nicht, dass Windows hinterher garnicht mehr läuft.

Clampf on

Yeti

Für alle, die mal in Linux schnuppern wollen, ohne gleich Ihr bestehendes System zu ändern, emfehle ich die aktuelle Ausgabe der PC-Welt (Linux Extra,incl. 3CD) !

Neben Knoppix, ist hier auch eine bootable Mandrake dabei !

Helau Friedlieb,

kennst Du den Spybot etwas? Seit einer Stunde scheint er bei Datei 2957 C2.lop zu "stehen" bei Search & Destroy". Wenn ich das Programm beende, und starte es wieder neu, rödelt er munter los, um dann wieder dort entweder einzuschlafen oder endlos zu suchen. Da mir C2.lop nix sagt, weiß ich nicht, was das Programm da macht. Vielleicht noch einige Tage warten? ;)

Clampf on

Yeti

Nachschlach.

Alaaf Friedlieb,

habs in den FAQs des Herstellers gefunden: Das Problem ist denen aus unbekannten Gründen bekannt. Man startet dann Spy-Bot im advanced Mode und klickt die Dateisuche auf C2.lop wech. Wech isses, dann funzts.

Clampf on

Yeti

na ups.... ich dachte immer garantiert spionfrei zu sein.... 6 infizierte entries.

muchas gracias für die links
MIKE