Hilfe !!!!! DSO Exploit

[Merlin]

[Win32 Wmls Driver] winitr32.exe ist höchstwahrscheinlich der W32/Forbot-C Wurm. Laut Prozessliste ist er aktiv!

Nachlesen kann man das unter meinem 1. Link. Dort sind auch Removal Instructions.

[muertos1]

Kann es sein das sie doch gelöscht wurden Du aber noch einen Trojaner on board hast, der sie gleich wieder installiert wenn Du online gehst?

[Merlin]

Naja, dann eben kurz die Beschreibung des Wurms:

This section helps you to understand how this virus behaves.
W32/Forbot-C is a worm which attempts to spread to remote network shares. The worm also contains backdoor Trojan functionality, allowing unauthorised remote access to the infected computer via IRC channels while running in the background as a service process.

auch anders ausgedrückt:

Turns off anti-virus applications
Allows others to access the computer
Reduces system security
Installs itself in the Registry
Exploits system or software vulnerabilities

andere Bezeichnungen:
Backdoor.Win32.Wootbot.c
W32/Sdbot.worm.gen.h

Zum Entfernen würde ich versuchen im abgesicherten Modus zu starten und alle Prozesse mit "winitr32.exe" zu beenden. Dann Regedit starten und alle Verweise auf "winitr32.exe" löschen. Ausserdem die Datei "winitr32.exe" überall löschen.

[DaRkCh4MP]

hi

das gleiche prob hatte ich auch

nur als ich die betreffenden dateien immunisiert bzw gelöscht hatte

waren sie nach einem neustart wieder da

ad aware und auch spy bot beide keine chance mit

bei mir half nur win neuinstallation

gruss dark

[CaptureX]

selber schuld... es gibt nicht umsonst die Wiederherstellungskonsole oder den Abgesicherten Modus.

[PaniChriZ]

und nicht vergessen dem dani noch schlechtes karma mit dem kommentar "oktron" zukommen zu lassen arzt

win neu installen würde ich wegen sowas nicht empfehlen dani

[Sepuku]

Schei.. s doch aufs Karma wayne interressiert denn das??

Wart mal ich geb dir eben positives Karma, hab ich kein Problem mit.

Erledigt KARMA KARMA KARMA for YOU .
Ich stimme zu und gut ist.

Interessiert echt net oder?
Naja schau halt nach!
Ich hab dir positives gegeben.

Vielleicht können wir dem Frieden untereinander damit mal helfen?!

Die drei sind sauber und sind von INTEL und Mickysoft.
C:\WINDOWS\System32\igfxtray.exe
C:\WINDOWS\System32\hkcmd.exe
C:\WINDOWS\System32\wins.exe

auch sauber

:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe

auch sauber
Druckerprozess und Antivirus

C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe

auch sauber der erste ist sogar sehr wichtig

C:\WINDOWS\System32\alg.exe
C:\Programme\T-Online\Dialerschutz-Software\DFInject.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\DJSNETCN.exe


DER HIER SAGT MIR NIX

C:\WINDOWS\system32\drivers\sys\SysMgnt.exe


Ich geh erstmal auf den von Merlin erkannten ein

Der steht in folgenden Adressen in der regedit und ist zu neu um mit einem tool gecleaned zu werden, weil er die Antivirussoftware abschaltet.

HKLM\Software\Microsoft\Windows\CurrentVersion\Run\
Win32 Wmls Driver = winitr32.exe
HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnce\
Win32 Wmls Driver = winitr32.exe
HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices\
Win32 Wmls Driver = winitr32.exe
HKCU\Software\Microsoft\Windows\CurrentVersion\Run\
Win32 Wmls Driver = winitr32.exe
HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce\
Win32 Wmls Driver = winitr32.exe

per Hand reinigen im abgesicherten Modus.
Am besten du lässt nen spezialisten von deinen Kumpels da dran Dani,
Viel Erfolg

Cem