[GELÖST] Wurm auf USB Stick?

Daywalker1965 · 26.01.2010, 15:48

Hallo,

habe gestern einen Stick vom Kollegen an meinen PC gehabt und vorsichtshalber vor dem öffnen mal gescannt.

Folgende Dateien werden als Virus/Trojaner erkannt.

autorun.inf Generic! atr
desktop.exe W32/Autorun

habe den Stick wieder entfernt und meinen PC gescannt, alles ohne Fund.
Habe nochmal zur Sicherheit Hyjack drüberlaufen lassen und kann da aber auch nix feststellen. Scan hänge ich an.

Vielleicht schaut ja mal einer drüber der sich da besser auskennt

Meine Frage wäre noch, kann sich der Virus Trojaner überhaupt auf den Rechner ausbreiten wenn ich den Stick nicht öffne ?

Danke und Gruß Walker

Spoiler:

grunzer · 26.01.2010, 16:14

Zitat:

Meine Frage wäre noch, kann sich der Virus Trojaner überhaupt auf den Rechner ausbreiten wenn ich den Stick nicht öffne ?

Nur wenn die Autostartfunktion aktiviert ist. Denn dafür ist die "autorun.inf" Datei gedacht (die ist nicht selber der Virus, aber dadurch wird er startbar!).

USB-Sticks und ähnliche Datenträger sind zur Zeit ein beliebter Verbreitungsweg von Schädlingen.

Dein Logbuch sieht soweit OK aus.

Sag Deinem Spezl, daß er vermutlich die Pest im Rechner hat und daß er am besten allen Bekannten (die nicht so vorsichtig wie Du sind!) mit denen er vielleicht "ungeschützten Verkehr":herzsmil: hatte ebenfalls bescheid gibt!
(Das klingt schon wie bei Geschlechtskrankheiten)

Was er aber unbedingt auch machen sollte ist den Stick zu formatieren!

Grüße Grunzer

Daywalker1965 · 26.01.2010, 17:24

Hi Grunzer,

ich sag ihm er soll allen Bescheid geben mit denen er ungeschüzten Verkehr hatte

Autostart ist in soweit aktiviert das mich Windows fragt was ich machen will also Ordner öffnen Dateien abspielen oder sonstiges.

Was mich eh stutzig gemacht hat, das Windows mich da gefragt hat ob ich den Sick mit dem darauf enthaltenen Programm öffnen will

Diese Frage hatte ich noch nie.

Gruß Walker

flummiflamme · 26.01.2010, 19:55

Ich hatte mal einen der war versteckt und hat sich über Autorun.inf auf jeden USB Stick kopiert

der hieß ravmon.exe
die unter der registry stand und sich über autorun.inf kopiert hat

grunzer · 26.01.2010, 21:13

Zitat:

Autostart ist in soweit aktiviert das mich Windows fragt was ich machen will also Ordner öffnen Dateien abspielen oder sonstiges.
Was mich eh stutzig gemacht hat, das Windows mich da gefragt hat ob ich den Sick mit dem darauf enthaltenen Programm öffnen will

Da ich diese Funktion bei mir überall aus bekannten Gründen komplett abgedreht habe, weiß ich das nicht mehr so richtig...
Aber ist das nicht so, daß abhängig von den gefundenen Dateien die Einblendung anders aussieht (Programme<>andere Daten)?
Solange Du nicht auf "mach doch" geklickt hast sollte es da kein Problem geben.
Außerdem hat Dein Virenscanner ja auch bei dem Suchlauf angeschlagen, was mich zuversichtlich stimmt, daß der die Ausführung auch verhindert hätte wenn sie gestartet worden wäre (aber das weiß man ja nie sicher).

Grüße derweil
Grunzer

PS:
Tipparchiv - Autorun/Autoplay gezielt für Laufwerkstypen oder -buchstaben abschalten - WinTotal.de

Daywalker1965 · 27.01.2010, 15:38

Zitat:

Zitat von grunzer

Da ich diese Funktion bei mir überall aus bekannten Gründen komplett abgedreht habe, weiß ich das nicht mehr so richtig...
Aber ist das nicht so, daß abhängig von den gefundenen Dateien die Einblendung anders aussieht (Programme<>andere Daten)?
Solange Du nicht auf "mach doch" geklickt hast sollte es da kein Problem geben.

Hi Grunzer,
ja natürlich hast du recht

wollte aber nicht alle Funktionen auflisten

Ich denk auch das ohne Betstätigen der Funktion nichts passiert.

Zitat:

Zitat von flummiflamme

Ich hatte mal einen der war versteckt und hat sich über Autorun.inf auf jeden USB Stick kopiert

der hieß ravmon.exe
die unter der registry stand und sich über autorun.inf kopiert hat

Hi flummiflamme

Das find ich interessant, weil das da wohl auch so zu sein scheint, sobald der Stick auf dem Rechner geöffnet wird installieren sich die Schädlinge, irgend eine Idee ob man da manuell was machen kann? Also ohne Programm, Problem wär natürlich, nach was soll ich suchen

Gruß Walker

flummiflamme · 28.01.2010, 07:15

Alle Dateien unter ordneroptionen sichtbar machen
und dann die Dateien auf allen USB sticks löschen jenachdem wie die Datei heißt ( steht in der autorun) Must du die in der registry suchen ( regedit bei ausführen eingeben) Strg+F um nach der datei zu suchen und alle einträge dazu löschen
gruß Flummiflamme

Daywalker1965 · 28.01.2010, 18:19

Hi Flummiflamme,

ja das wär toll wenn das ginge

wenn ich alle Daten sichtbar mache und den Stick öffne, ist er leer nix ist zu sehen, aber wenn ich ein Virusprogramm drüberlaufen lasse findet das eben die autorun und die desktop.exe?

Gruß Walker

grunzer · 28.01.2010, 20:43

Zitat:

Zitat von Daywalker1965

wenn ich alle Daten sichtbar mache und den Stick öffne, ist er leer nix ist zu sehen, aber wenn ich ein Virusprogramm drüberlaufen lasse findet das eben die autorun und die desktop.exe?

Genau deshalb schrieb ich formatieren

Die sind gewitzer als man denkt!

flummiflamme · 29.01.2010, 07:03

Dann ist der Wurm Desktop.exe

Daywalker1965 · 29.01.2010, 15:44

Hi Grunzer und Flummiflamme,

USB Stick hab ich formatiert und auch gescannt der ist wieder sauber.

Und der Wurm heißt Desktop.exe auf dem Stick.
Soll ich in der Registry alle Einträge zu Desktop.exe löschen?

Oder zerschieß ich dann noch was?
Weil es halt nicht mein Rechner ist und wär blöd wenn ich das Ding zerschieße

Danke und Gruß Walker

grunzer · 29.01.2010, 17:00

desktop.exe - Was ist desktop.exe?

Also ich wäre sehr vorsichtig bei solchen Bereinigungen.
Man übersieht leicht was und die Dinger werden immer gerissener! Im schlimmsten Fall geht dann erst mal nichts mehr, da man "zu viel" bereinigt...

Deshalb würde ich Laien immer eine Neuinstallation empfehlen:
Verbindung mit google-analystiks.us und PWStealer
R/Crypt.ZPACK.Gen
Das sind nur zwei Beispiele wo ich Gründe (und Erklärungen wie es am "besten" geht) nenne, warum eine Neuinstallation angebracht ist.

Sollte Dein Spezl wirklich keine Neuinstallation machen wollen, dann macht wenigstens das hier:
Du könntest natürlich noch die AviraRescueDisk versuchen, aber ob dann wirklich alles bereinigt ist kann ich Dir nicht sagen!!
Support Downloads
Hier ein wenig Text von der Netzwelt dazu:
http://www.netzwelt.de/download/6519...ue-system.html

Danach dann den Hijackthis laufen lassen und hier mal das Logbuch posten. Dann schauen wir mal weiter, aber versprechen tue ich nix

Grüße Grunzer

Daywalker1965 · 29.01.2010, 17:44

Hallo Grunzer,

ich gebe dir natürlich voll und ganz recht.

Ich würd auch wenn ich mir nicht 100% sicher wäre eine Neuinstallation machen.
Problem ist folgendes, der Wirt ist sein Arbeitsrechner im Büro

Das heißt er hat weder Internetzugang noch dürfen auf dem Rechner Programme installiert werden.
Da aber jeder da völlig unbedarft seinen USB Stick reinstoppt, hat nachher auch jeder den Schädling drauf :bedrueck:

Deshalb ist die einzigste Lösung event. die Rescue Disk aber auch nur dann wenn der Rechner von CD bootet, denn ich werd daran sicher nix verstellen.
Wenn alle Stricke reißen muß er eben sehn

was er dann macht.

Gruß Walker

grunzer · 29.01.2010, 18:30

Zitat:

der Wirt ist sein Arbeitsrechner im Büro...
Das heißt er hat weder Internetzugang noch dürfen auf dem Rechner Programme installiert werden.

Dann haben die doch sicher EDV-ler, oder wenigstens einen. Der muß sich sicher drum kümmern!
Gerade in einer Firma ist das besonders schrecklich, da auch Betriebsspionage möglich wird!

Viel Glück!

Daywalker1965 · 29.01.2010, 19:49

Hi Grunzer,

ich denk das wird das beste sein.
Wobei ich nicht glaube das der Trojaner sehr gefährlich ist.

Dazu ist er einfach zu leicht auszumachen

Das können andere weitaus besser, leider

Das Problem ist halt, da läuft nicht mal ne Virensoftware drauf?
Aber muß eben jeder selber wissen.

Thx nochmal und schönes we

Walker

butano · 30.01.2010, 15:11

Zitat:

Zitat von Daywalker1965

Hi Grunzer,

ich sag ihm er soll allen Bescheid geben mit denen er ungeschüzten Verkehr hatte

Autostart ist in soweit aktiviert das mich Windows fragt was ich machen will also Ordner öffnen Dateien abspielen oder sonstiges.

Was mich eh stutzig gemacht hat, das Windows mich da gefragt hat ob ich den Sick mit dem darauf enthaltenen Programm öffnen will

Diese Frage hatte ich noch nie.

Gruß Walker

Vielleicht wollte sich Dein Kollege auch nur einen Spaß mit Dir erlauben, weil er möglicher Weise ahnte, daß Du Dich mit solchen Dingen beschäftigst.

Wird ein ungewolltes Programm auf dem USB-Stick gefunden, kann man alternativ das Programm in Quarantäne stellen, entfernen, oder den USB-Stick nicht benutzen und an den Kollegen zurück geben.