BKDR_ircflood.X

[stCh]

Jo wie es schon om topic steht, hab ichn maleur mit dem "BKDR_ircflood.X". den hatte ich mir per irc eingefangen, so schln und so gut, nachdem ich heut endlich wieder formatiert habe und irc installiert habe, wurde der wurm wieder gefunden vom trend micro-av-scanner, er löscht ihn auch bei jedem scan, aber sobald irc neugestartet wird taucht er wieder auf...
hab mir den thread ma durch gelesen ( http://www.gamesurge.net/forums/read/Ge ... 0Ljk5NzM5/ ), aber die dateien/einträge existieren bei mir gar nicht.
bitte um hilfe

MfG
stCh

[Nikita]

http://de.trendmicro-europe.com/enterpr ... launch.php
--------------------------------------------------------------------------------------------------------------------
Manuelle Entfernung:

Start<Ausfuehren<reinschreiben: msconfig<Systemstart<

dort suchst du den Prozess: IEEXEC.EXE und den mIRC.
Haken rausnehmen ....booten

Falls du die IEEXEC.EXE dort nicht findest, musst du sie ueber den Taskmanger suchen und dort den Prozess beenden./ denn solange die exe in der Memory aktiv ist, kann man sie nicht loechen.
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
http://de.trendmicro-europe.com/enterpr ... .x&x=0&y=0

Es gibt verschiedene IRCFLOOD.X, manchmal treten sie kombiniert auf.
Auf der Site von Trendmicro sind alle Varianten aufgefuehrt, und auch die Vorgehensweise zur manuellen Entfernung.



MfG
Nikita

[ToB]

versuchs mal mit adaware,


http://download.com.com/3000-2144-10045 ... tag=button

des löscht gleich automatisch die einträge in der reg

[Nikita]

Hallo ToB,

Erstens ist AdAware kein Virenscanner und zweitens ist nichts in der Registry zu loeschen, sonder nur umzubenennen.


Nikita

[stCh]

# Open a command prompt in this location.
# Type the following:

C:\ieexec.exe – uninstall


hm , wo genau soll ich "C:\ieexec.exe – uninstall " eingeben?! das hab ich noch so verstanden
HiJackthis aht das ausgespuckt:
Logfile of HijackThis v1.97.7
Scan saved at 03:40:30, on 18.04.2004
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\tcpsvcs.exe
C:\WINDOWS\System32\snmp.exe
C:\WINDOWS\Explorer.EXE
C:\programme\powerstrip\pstrip.exe
C:\WINDOWS\System32\wuamgrd.exe
C:\Programme\Steam\Steam.exe
C:\Program Files\mIRC\mirc.exe
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\Ventrilo\Ventrilo.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\WINDOWS\System32\msiexec.exe
D:\ToolZ\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.mymtw.de/
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [Microsoft DirectX] wuamgrd.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [PowerStrip] c:\programme\powerstrip\pstrip.exe
O4 - HKLM\..\Run: [VortexTray] C:\WINDOWS\au30setp.exe 3
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
O4 - HKLM\..\RunServices: [Microsoft DirectX] wuamgrd.exe
O4 - HKCU\..\Run: [Microsoft DirectX] wuamgrd.exe
O4 - HKCU\..\Run: [Steam] "c:\programme\steam\steam.exe" -silent
O4 - Global Startup: GStartup.lnk = C:\Programme\Gemeinsame Dateien\GMT\GMT.exe
O9 - Extra button: ICQ Pro (HKLM)
O9 - Extra 'Tools' menuitem: ICQ (HKLM)
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/SSC/Shared ... vSniff.cab
O16 - DPF: {74D05D43-3236-11D4-BDCD-00C04F9A3B61} (HouseCall-Kontrolle) - http://housecall.trendmicro-europe.com/ ... scan53.cab
O16 - DPF: {9F1C11AA-197B-4942-BA54-47A8489BB47F} (Update Class) - http://v4.windowsupdate.microsoft.com/C ... 3989814815
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://download.macromedia.com/pub/shoc ... wflash.cab

[Computerdirk]

Hallöchen,

also folgende Tipps kann ich dir geben:

Dein Rechner ist von einem Wurm befallen: W32/RBot-A, der ist unter dem Dateinamen wuamgrd.exe in deinem System unterwegs. Den solltest du mal entfernen. Anleitung dazu findest du unter:

http://www.sophos.de/virusinfo/analyses/w32rbota.html

Dann solltest du auf jeden Fall dein Antivirenprogramm mal auf den aktuellsten Stand bringen.

Der Hinweis mit Adaware ist auch sehr nützlich, da sich auf deinem System auch Spyware befindet z.b. Gator (gmt.exe)

Und dann schauen wir mal weiter...

[stCh]

ok danke schonmal, habe aber immer das neueste antivir draufgehabt, adaware is auch schon zig mal durchgelaufen, aber ich werd jez erstma die anleitung da befolgen
mfg
stCh

/edit so nachdem ich trend mirco housecall nochma hab durchlaufen lassen, hat er trotz entfernen aller wuamgrd.exe den BKDR_IRCFLOOD.X
gefunden. als ich eben adaware nochma durchgepfeffert hab, hat mein antivir-guard folgendes gefunden:
Datei C:\DOKUME~1\STCH\LOKALE~1\TEMP\V2FG3BA01692:
Enthält eine Signatur des Wurms Worm/Sdbot.39936.B!

Naja das komische is, das ich den Rechner erst gestern nochma formatiert hab, hoffentlich is es möglich ihn wieder von allen Viren & spywares zu befreien.

[Nikita]

Start<Ausfuehren< C:\ieexec.exe – uninstall < reinschreiben

enter

MfG
Nikita

[Nikita]

1. Start<Ausfuehren <msconfig< reinschreiben ..Systemstart...

wuamgrd.exe den Haken rausnehmen ....booten

2. Löschen Sie die Protokolldatei \debug.txt, sofern sie existiert.

3. Klicken Sie in der Taskleiste auf Start|Ausführen. Geben Sie "Regedit" ein und drücken Sie Enter. Es öffnet sich der Registrierungseditor.

Bevor Sie die Registrierung verändern, sollten Sie ein Backup erstellen. Klicken Sie im Menü "Registrierung" auf "Registrierungsdatei exportieren", wählen Sie als Exportbereich "Alles" und speichern Sie Ihre Registrierung als Backup.

Suchen Sie unter HKEY_LOCAL_MACHINE die Einträge:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run\
Microsoft Update = wuamgrd.exe

HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnce\
Microsoft Update = wuamgrd.exe

HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices\
Microsoft Update = wuamgrd.exe

Löschen Sie die Einträge, sofern sie existieren.


4.Jeder Benutzer hat einen Registrierungsbereich namens HKEY_USERS\[Codeziffer des Benutzers]\. Suchen Sie für jeden Benutzer die Einträge:

HKU\[Codeziffer]\Software\Microsoft\Windows\
CurrentVersion\Run\Microsoft Update = wuamgrd.exe

HKU\[Codeziffer]\Software\Microsoft\Windows\
CurrentVersion\RunRunOnce\Microsoft Update = wuamgrd.exe

Löschen Sie die Einträge, sofern sie existieren.

Schließen Sie den Registrierungseditor.


Namen: Backdoor.Agobot.gy, W32.Randex.gen, BKDR_SDBOT.GEN
Dirks geposteter Link: noch mal : ..war ne zeitliche Ueberschneidung.....)(http://www.sophos.de/virusinfo/analyses/w32rbota.html

MfG
nIKITA

[stCh]

er findet da keine ieexec.exe -> er kann sie nicht deinstallieren, auch nicht die einzige ieexec.exe in C:\WINDOWS\Microsoft.NET\Framework\v1.1.4322 lässt sich durch den command nicht löschen

/edit ja danke nikita dass du es nochma postest, das hab ich alles schon gemacht, aber trend micro hosuecall findet den immer noch oO, die wuamgrd.exe taucht jez aber nirgendswo mehr auf

[Nikita]

Du sagst die exe ist unter C:\WINDOWS\Microsoft.NET\Framework\v1.1.4322

versuche mal, so wie bei den anderen Angaben im anderen Post, die Eintragung in der Registry umzubenennen.(die Registry abgrasen und alles umbenennen, wo noch die exe auftaucht.....in C:\mIRC\ mIRC32.exe.


MfG
Nikita

[stCh]

ehm sorry hab da n verständnis problem, soll ich die registry jez nach ieexec.exe oder nach mirc32.exe (oder wuamgrd.exe ) durchforsten und wenn ich diese finde, was ist dann zu tun?!
ich bin nicht so bewandert auf dem gebiet

Vllt. hilft gg zukünftige Angriffe ne gute Firewall. Welche empfehlt ihr denn so?

[Computerdirk]

Hallöchen,

hast du die Systemwiederherstellung aktiviert? Diese musst du mal deaktivieren und alle Systemwiederherstellungspunkte löschen lassen. Dann bereinigst du dein System und erst wenn alles tipp topp ist, dann aktivierst du deine Systemwiederherstellung wieder... Ansonsten bleibt der Virus/Wurm immer in einem Wiederherstellungspunkt erhalten ( bzw. Einträge die zu diesem Virus/Wurm gehören )

Virenscan kann man auch mal im abgesicherten Modus durchführen, da sind die ganzen Autostart-Einträge nämlich nicht aktiv und können den Virenscan blockieren...

[stCh]

hab die Systemwiederherstellung jetzt deaktiviert, ich hoffe dadurch löscht er die bisherigen Systemwiederherstellugnspunkte automatisch, da ich sonst keine Möglichkeit gefunden dies zu tun.
so virenscan is im abgesicherten Modus durchgelaufen und hat nichts gefunden, aber als ich mich als administrator einegloggt hatte, war in der msconfig im systemstart die wuamgrd.exe noch aktiviert, hab halt das häkchen dort entfernt ..

[Nikita]

1. Start<Ausfuehren <msconfig< reinschreiben ..Systemstart...

wuamgrd.exe den Haken rausnehmen ....booten

2. Löschen Sie die Protokolldatei \debug.txt, sofern sie existiert.



Du musst die wuamgrd.exe auch in der Registry loeschen.

3. Klicken Sie in der Taskleiste auf Start|Ausführen. Geben Sie "Regedit" ein und drücken Sie Enter. Es öffnet sich der Registrierungseditor.

Bevor Sie die Registrierung verändern, sollten Sie ein Backup erstellen. Klicken Sie im Menü "Registrierung" auf "Registrierungsdatei exportieren", wählen Sie als Exportbereich "Alles" und speichern Sie Ihre Registrierung als Backup.

Suchen Sie unter HKEY_LOCAL_MACHINE die Einträge:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run\
Microsoft Update = wuamgrd.exe

HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnce\
Microsoft Update = wuamgrd.exe

HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices\
Microsoft Update = wuamgrd.exe

Löschen Sie die Einträge, sofern sie existieren.


4.Jeder Benutzer hat einen Registrierungsbereich namens HKEY_USERS\[Codeziffer des Benutzers]\. Suchen Sie für jeden Benutzer die Einträge:

HKU\[Codeziffer]\Software\Microsoft\Windows\
CurrentVersion\Run\Microsoft Update = wuamgrd.exe

HKU\[Codeziffer]\Software\Microsoft\Windows\
CurrentVersion\RunRunOnce\Microsoft Update = wuamgrd.exe

Löschen Sie die Einträge, sofern sie existieren.

Schließen Sie den Registrierungseditor.

Dieser Beitrag ist nur fuer die wuamgrd.exe.
Weil du mehrere Probleme gleichzeitig loesen willst, schreiben wir aneinander vorbei....

MfG
Nikita