Viren & andere nette Haustiere

[cronos]

Hi Leute

habe ein kleines Problem mit meinem Laptop. Hier habe ich XP home am laufen und seit gestern fing das ganze an. Ein kleiner Prozess, im Taskmanger als AVservices.exe angeführt, frisst sämtliche CPU-Zeit und wird speichermäßig immer größer, bis nach einer gewissen Zeit überhaupt nix mehr geht.

Ein Virus? mein Scanner hat nicht angeschlagen, ist immer auf dem neuesten Stand.

hat davon schon wer gehört? wie krieg ich den mist weg. zwar ist ruhe, wenn ich ihn einfach beende, aber nach jedem neustart hab ich das gleiche problem...

edit: bin mir jetzt nicht mehr sicher ob der mist AVserve oder AVservices heisst...

mfg
cronos

[Nager]

Ich glaube nicht, dass das ein Virus ist. Das "AV" könnte eher darauf hindeuten, dass das Teil zu einem Antivirus-Programm gehört. Wenn du nicht weisst, was es ist, solltest du es auf jeden Fall ausschalten. Dazu gehst du auf Start > ausführen und gibst "msconfig" ein. Dort schaust du die Autostartliste durch und nimmst das Häkchen vor "AVservices" weg. In welchem Verzeichnis liegt denn diese Datei? Windows oder ein eigenes Programmverzeichnis?

[cronos]

Hi Nager

tja, dachte ja zuerst auch, dass das irgendwas mit meinem Anti Vir zu tun hat, aber nach einiger zeit konnte ich nicht mal mehr den Taskmanager öffnen. Hab das Mistding, AVserve.exe schließlich im Windows Ordner gefunden...

Aber AVserve.exe ist anscheinend nicht alleine gekomen. habe noch ein paar exes, die sich selbst gestartet haben und die CPU auf Volllast bringen. Doch damit nicht genug, meine W-lan Verbindung ist ausgefallen, musste den Chip Hardware und Softwaremäßig de und aktivieren...

sie haben sich in windows\system32 festgesetzt und nennen sich xxxxx_up.exe, statt xxxx steht eine beliebige Zahl.
ebenfalls ein xxxx_up.exe-yyyyy.pf im Windows\prefetch , statt yyyy steht eine hexzahl...

ausserdem scheinen die generiert zu werden, habe alle gelöscht, jetzt ist schon wieder eine da und kappt mir die Leitung

vielleicht weiss ja wer was näheres.

mfg
cronos

[Nager]

Da scheint wohl doch ein Virus am Werk zu sein.
Update mal die Signatur deines Scanners..

Um das "selbstkopieren" des virus zu verhindern, musst du den Hauptprozess killen, der dafür zuständig ist. Hau mal alle beteiligten Dateien in ein Backupverzeichnis (zur späteren Einsicht) und versuche, wirklich *alle* Prozesse loszuwerden, die da mit drinstecken (via msconfig ganz bequem - alle Windowsprozesse ausblenden und einfach erstmal testeshalber alles ausschalten, was du nicht kennst. Wenn dann irgendwas nicht mehr funktioniert, kannst du das entsprechende Häkchen jederzeit wieder zurücksetzen).

[cronos]

tja, ein neuer scan mit AntiVir hat gebracht:

Agobot.81920
dedler.f

seltsam nur, dass sich über die keine details finden lassen.

das *_up.exe schein ich jetzt los zu sein, aber der avserv.exe hat einfach mit einem avserv2.exe losgelegt, und da schlägt antivir nicht an...

Nachtrag:

nope, mit antivir werd ich dieses viech anscheinend nicht los

gibts da bessere freeware virenscanner? jetzt fangt dieses scheißteil schon an, meine lsass.exe abzuschießen...


mfg
cronos

[mukenukem]

Also:
1. Mit dem Taskmanager alles abschießen, was nicht koscher scheint.

2. Rechte Maustaste auf Arbeitsplatz, "Verwalten" -> Dienste:
dort suchst du nach Diensten, welche keine Beschreibung haben, diese gehst du dann durch, und wenn dir einer Spanisch vorkommt, dann kannst du ihn beenden und die Startart auf "deaktiviert" setzen (du solltest nur die beenden, welche wie dein virus heißen)

3. In der Registry (mit Regedit) My Computer\HKEY_CURRENT_USER\Software&#092 ;Microsoft\Windows\CurrentVersion\R un die Einträge rauslöschen, welche dir unbekannt sind (kannst ja nach den Dateien suchen und schauen, wo sie herkommen).

Leider kann man damit auch das System ziemlich beleidigen, wenn man was falsch macht, deswegen Vorsicht !

Allerdings hab ich so noch jedes Mitsviech erledigt.
Wenn du bei Dateien unsicher bist, laß dir die Eigenschaften (mit rechter Maustaste) anzeigen, wenn es dort Version, Hersteller, etc. gibt, ist es meist ok, Viren haben keine Herstellernagaben).

[Nager]

Wenn es dir die lsass.exe abschiesst, bist du vielleicht Opfer von "Sasser" geworden, der (mal wieder, siehe msblaster / lovesan > RPC-sicherheitslücke) eine Schwachstelle in einem Windowsdienst in WinXP und Win2k ausnutzt (diesmal LSASS).

Microsoft-Patches gibts schon seit zwei Wochen, die sich auch jeder reinziehen sollte, der seinen Rechner nicht per Firewall gesichert hat

Zu deinem "avservice"-Problem:

Auch hier nochmal: Manuelle Griffe in die "Run"-Schlüssel der Registry sind unnötig und sogar gefährlich, da man leicht Dinge entfernt, die vielleicht doch wichtig waren und man nicht so einfach per Hand ersetzen kann. Zu dem Zweck gibts das (undokumentierte) tool "msconfig" das alles bequem zum ausschalten und bei Bedarf wieder anschalten auflistet - und einiges mehr, als nur die "run"-Schlüssel.

Mach dich doch einfach mal daran, wie oben schon beschrieben, dir unbekannte Prozesse testeshalber auszuschalten. Wie Muke schon sagte, lässt sich damit immer noch fast jeder Virus kleinkriegen..

[Drago]

@cronos: das was du beschreibst ist nicht nur vieleicht sasser, sondern es ist die beschreibung von dem was sasser standardmässig macht.
Die Hauptbeschreibung des Vorgangs hab ich in den Newsgroups gelesen, weiss aber leider nicht mehr genau wo. Ansonsten findest du hier eine kürzere Beschreibung.
Löusng und Beschreibung von McAffee
Lösung und Beschreibung von Symantec (Norton)
Und damit das Ganze sich nicht wiederholt hier der Patch von Microsoft


edit: ups, der Link zu Heise von Nager ist der Gleiche wie bei mir, hatte ich beim Posten nicht bemerkt da die Seiten anders aussehen. Der Inhalt ist aber gleich.

edit2: zu der avservice Sache, hier nochmal der wichtigste Abschnitt

The worm spreads with the file name: avserve.exe . Unlike many recent worms, this virus does not spread via email. No user intervention is required to become infected or propagate the virus further. The worm works by instructing vulnerable systems to download and execute the viral code.

edit3: @mod (muke): der Thread sollte in Sasser Wurm umbenannt werden, damit das Thema direkt schon vorhanden ist, und nicht jemand den nächsten Thread zum Thema startet. Ich möchte wetten, das einige Forenuser mit dem Wurm bald infiziert sein werden.

[Nager]

Davon ist auszugehen...

Vielleicht sollte doch mal ein gepinnter Thread erstellt werden, in dem beschrieben wird, wie man seinen PC am besten rundherum absichert, um vor den zahlreichen Gefahren des Internet geschützt zu sein - ohne selbst zwangsläufig grosses Fachwissen mitbringen zu müssen. Hätte Cronos eine Firewall oben gehabt, wäre ihm z.b. gar nichts passiert...

Der Thread zur RPC-Sicherheitslücke könnte dann zugunsten eines umfassenderen Postings wieder unpinned werden, da diese Lücke eh schon etwas älter ist und nur einen kleinen Teil aktueller Gefahren beschreibt.

[cronos]

Hallo Leute

danke, bin ihn jetzt los...

jedesmal, als ich ihn gekillt habe, hat er sich wieder neu installiert, dank des hotfixes kommt er auch nicht nochmal.

zu erwähnen wäre noch, dass er später keine performance gefressen hat, und nach *_up.exe* suchen soll und sämtliche dateien die mit einer 3 oder vierstelligen zahl gefolgt von _up.exe findet, ebenfalls löscht.

ich finde es auch eine gute idee, das thema umzubenennen. am besten gleich ganz oben eine symtombeschreibung und anleitung zum entfernen einfügen.

mfg
cronos

[Nager]

Das ist im übrigen wieder einmal ein deutliches Zeichen dafür, dass Antivirenprogramme allein noch nicht für Sicherheit sorgen - selbst mit aktuellen Signaturen nicht. Bei neuen Viren (wie eben wieder Sasser) dauert es oft Tage, bis die Antivirensoftware-Hersteller reagieren. Der Gedanke dass der PC mit einem Antivirprogramm sicher ist und man sich daher selbst um Sicherheit nicht mehr kümmern muss, ist ein Trugschluss.

Viel wichtiger, als die Viren auf seinem PC zu bekämpfen ist doch, sie gar nicht erst drauf zu lassen..

Ich habe gestern auf dem PC eines Bekannten mit aktivem Virenscanner (8 Monate alte Signatur) sagenhafte 11 (&#33 unterschiedliche Trojaner, Spyware, Dialer und Backdoor-Programme beseitigt... Das passiert, wenn man mit ungepatchtem IE 5.0 mit "active scripting" und ohne Firewall im Netz rumsurft.

[Haplo]

Ich habe gestern auf dem PC eines Bekannten mit aktivem Virenscanner (8 Monate alte Signatur) sagenhafte 11 (&#33 unterschiedliche Trojaner, Spyware, Dialer und Backdoor-Programme beseitigt... Das passiert, wenn man mit ungepatchtem IE 5.0 mit "active scripting" und ohne Firewall im Netz rumsurft.

Ist zwar ein bisschen Offtopic, aber langsam entwickelt sich das Internet zum Tummelplatz für halbidiotische Scriptkiddies und Hobbyhacker. Ich meine ich will ja nicht der "guten alten Zeit" nachtrauern, aber ich kann mich noch an eine Zeit erinnern (etwa 2 Jahre und vorher), da konnte man problemlos wochen- oder gar monatelang ohne Virenscanner (von Firewall mal ganz zu schweigen) im Internet surfen! Da musste man schon von irgendwelchen dubiosen Seiten etwas runterladen um sich nen Virus einzufangen. Und email-Würmer gab es damals noch so gut wie keine. Ich interessiere mich ja für Computer und Netzwerke, daher fällt es mir nicht besonders schwer meinen Computer gegen Würmer/Viren etc. abzusichern. Aber kann man wirklich von jemandem, der vielleicht 1 Std/Tag im Internet surft und sich für Technik einen Dreck interessiert, erwarten das er nen Virenscanner und ne Firewall installieren und aktuell halten kann. Ich finde nicht!

[Drago]

Originally posted by cronos@03.05.2004, 15:03

jedesmal, als ich ihn gekillt habe, hat er sich wieder neu installiert, dank des hotfixes kommt er auch nicht nochmal.

auf der mcafee (nai) seite steht was davon das man den system restore deaktivieren muss vor der säuberung, damit das system nicht den wurm automatisch wiederherstellt

[Haplo]

Originally posted by Drago@03.05.2004, 17:22
auf der mcafee (nai) seite steht was davon das man den system restore deaktivieren muss vor der säuberung, damit das system nicht den wurm automatisch wiederherstellt

Tja die Systemwiederherstellung ist ein echter Hit!
Das ist das erste, das ich nach einer Neuinstallation ausschalte.

[cronos]

auch ich deaktivier die sofort, also kann er nicht davon kommen...

mfg
cronos

[Drago]

auch wenns jetzt OT ist: ich find die systemwiederherstellung im allgemeinen sehr praktisch. Ich erstelle immer einen wiederherstellungspunkt vor jeder neuinstallation. Das hat mir schon ein par mal Neuinstallationen erspart.

[CharNode]

Originally posted by Haplo@03.05.2004, 16:56
Ist zwar ein bisschen Offtopic, aber langsam entwickelt sich das Internet zum Tummelplatz für halbidiotische Scriptkiddies und Hobbyhacker. Ich meine ich will ja nicht der "guten alten Zeit" nachtrauern, aber ich kann mich noch an eine Zeit erinnern (etwa 2 Jahre und vorher), da konnte man problemlos wochen- oder gar monatelang ohne Virenscanner (von Firewall mal ganz zu schweigen) im Internet surfen! Da musste man schon von irgendwelchen dubiosen Seiten etwas runterladen um sich nen Virus einzufangen. Und email-Würmer gab es damals noch so gut wie keine. Ich interessiere mich ja für Computer und Netzwerke, daher fällt es mir nicht besonders schwer meinen Computer gegen Würmer/Viren etc. abzusichern. Aber kann man wirklich von jemandem, der vielleicht 1 Std/Tag im Internet surft und sich für Technik einen Dreck interessiert, erwarten das er nen Virenscanner und ne Firewall installieren und aktuell halten kann. Ich finde nicht!

Naja. Die Gefahren sind nunmal da und derjenige, der sich entscheidet, online zu gehen, muss sich eben auch darüber informieren. Genauso, wie ich mich vorher über gefährliche Plätze informiere, wenn ich verreise. So würde ich nachts in New York nicht unbedingt den Central Park aufsuchen.

Es sind ja wirklich ein nur ein paar recht einfache Schritte, die den PC schon relativ sicher machen. Eine popelige Firewall, recht schnell konfiguriert ("du darfst raus, du musst fragen, und du gar nicht"), schirmt schon viel ab. Über die Windows-Update-Seite können rechtmässige und schlaue unrechtmäßige Besitzer von Windows XP regelmäßig Sicherheitsupdates herunterladen. Außerdem noch ab und an einen Scan mit einem Antispyware-Tool.

Schlussendlich noch einen aktuellen Virenscanner, der sich vorzugsweise automatisch updatet. Es obliegt dem Benutzer, sich über diese notwendigen Dinge zu informieren. Ich hatte gestern auch mit meinem Dad eine Diskussion, von wegen Virenprogrammierer sollten am besten auf den elektrischen Stuhl. Das ist zwar witzig zum ausmalen, funktioniert aber nicht wirklich. Die Würmer sind nunmal da, die Massenmedien berichten ausgiebig über die Gefahr und sensibilisieren (und manchmal terrorisieren sie sogar) die Bevölkerung. Wer die wichtigsten Schritte unternimmt, sollte kaum Probleme mit Würmern, Spyware und Viren haben.

[Ghettomaster]

Das leidige Thema wieder, es braucht eigentlich nur wenige Dinge um ein System halbwegs sicher zu machen:

• Keinen Internet Explorer und kein Outlook verwenden, es gibt viele kostenlose Alternativen die darüber hinaus um Welten besser sind.
• Bei XP die Internetverbindunsfirewall aktivieren, die schützt momentan auch gegen Sasser.
• Hin und wieder das Windows Update Center besuchen.
• Einen Virenscanner falls doch mal was durchkommt.
• Klaren Menschenverstand und ein gesundes Mißtrauen.

Allein mit diesen wenigen Dingen kann man fast völlig ohne Fachwissen sein System gegen Viren absichern. Leute die auf gutdünken Programme installieren und alles was blinkt anklicken sind doch irgendwo selber schuld.

Im Strassenverkehr muß ich auch Regeln beachten damit es nicht zu einem Unfall kommt, genauso wie im alltäglichen Leben. Ich denke wenn sich jeder Internetnutzer nur 2 Stunden im Monat mit der Thematik auseinandersetzen würde hätten Viren udn Würmer kaum noch eine reele Chance.


CU
Ghettomaster

[SLASH]

Originally posted by Ghettomaster@04.05.2004, 09:27
Keinen Internet Explorer und kein Outlook verwenden, es gibt viele kostenlose Alternativen die darüber hinaus um Welten besser sind.

hier habe ich bereits deinen rat beherzigt und opera installiert. kann ich jedem nur empf.! bisher bin ich sehr zufrieden - bis auf eine paar wenige probleme z.b. beim onlinebanking...
kannst du mir einen tipp geben was ich als alternative zu outlook - expresse verwenden kann?

thx a lot

[Lars]

Moin!

Auf der "Amelfin"-Site findest Du auf der Startseite oben in der Link-Sammlung "E-Mail-Clients" - folge ihm, und Du findest zu diesem Thema Testberichte.


Mit freundlichen Grüßen
Lars