1. Liebe Forumsgemeinde,

    aufgrund der Bestimmungen, die sich aus der DSGVO ergeben, müssten umfangreiche Anpassungen am Forum vorgenommen werden, die sich für uns nicht wirtschaftlich abbilden lassen. Daher haben wir uns entschlossen, das Forum in seiner aktuellen Form zu archivieren und online bereit zu stellen, jedoch keine Neuanmeldungen oder neuen Kommentare mehr zuzulassen. So ist sichergestellt, dass das gesammelte Wissen nicht verloren geht, und wir die Seite dennoch DSGVO-konform zur Verfügung stellen können.
    Dies wird in den nächsten Tagen umgesetzt.

    Ich danke allen, die sich in den letzten Jahren für Hilfesuchende und auch für das Forum selbst engagiert haben. Ich bin weiterhin für euch erreichbar unter tti(bei)pcwelt.de.
    Dismiss Notice

Sdbot????

Discussion in 'Sicherheit' started by NewEnd, Sep 27, 2003.

Thread Status:
Not open for further replies.
  1. NewEnd

    NewEnd Byte

    Hi@ll
    Ich habe gestern mein Pc durchgescannt(Norton Antivirus 2003),und dabei einen virus gefunden der sich 'Sdbot 'nennt.Leider lässt sich der Virus nicht löschen oder der gleichen,also was muss ich machen damit er gelöscht wird???
    Der Virus ist auf der Datei C:/windows/system32/system32.exe


    Danke jetzt schonmal für die Hilfe(hoffe mal das mir einer helfen kann):aua: :confused:
     
    NewEnd, Sep 27, 2003
    #1
  2. NewEnd

    NewEnd Byte

    Hat alles bestens geklappt.Danke!:D :bet:
     
    NewEnd, Sep 27, 2003
    #2
  3. Wolfgang77

    Wolfgang77 Ganzes Gigabyte

    Wolfgang77, Sep 27, 2003
    #3
  4. ManniBear

    ManniBear Megabyte

    http://www.tu-berlin.de/www/software/virus/savemode.shtml

    "Windows XP
    Schalten Sie den PC ein, warten Sie auf die Meldung

    Windows wird gestartet...

    und drücken Sie dann sofort die Taste [F8]."

    Mfg Manni
     
    ManniBear, Sep 27, 2003
    #4
  5. NewEnd

    NewEnd Byte

    Wie bekomm ich Windows Xp im Abgesicherten modus??
     
    NewEnd, Sep 27, 2003
    #5
  6. ManniBear

    ManniBear Megabyte

    Infos hier:
    http://securityresponse.symantec.com/avcenter/venc/data/backdoor.sdbot.html
    http://www.f-secure.fi/v-descs/sdbot.shtml

    Symantec empfiehlt den Rechner im abgesicherten Modus zu starten und dann im Taskmanager den entsprechenden Prozess zu beenden. Danach sollte sich die Datei System32.Exe löschen lassen.

    Anschließend sollten noch diese veränderten Einträge (in denen die System32.Exe vorkommt) in der Registry bearbeitet werden:

    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
    HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersionRunServices

    Mfg Manni
     
    ManniBear, Sep 27, 2003
    #6
  7. Wolfgang77

    Wolfgang77 Ganzes Gigabyte

    Hallo,

    versuche den Virus mit dem Tool "AntiK0wBot.exe" auf dieser
    Website erhältlich zu entfernen.

    http://www.pro-support.de/antivirus.shtml

    Im Kazaa-Tausch-Verzeichnis vorhandene Dateien (die auch vom Wurm angelegt werden) sind mit fast 100prozentiger Sicherheit ebenfalls infiziert, daher dort am besten auch alles loeschen.

    Gruss
    Wolfgang

    Falls du Kazza benutzt.. lösche den Müll endlich von deinem Rechner.. das ist nur ein Problem dass du dir damit einfängst.
     
    Wolfgang77, Sep 27, 2003
    #7
  8. Wolfgang77

    Wolfgang77 Ganzes Gigabyte

    Info zum Trojaner:

    Typ: Trojaner
    Betroffen: alle ungesicherten 32-Bit Windows-Systeme
    Verbreitung: Port 6667 (Standard IRC Port)
    Kodelänge: k.A.

    Beschreibung: kopiert sich als folgende Dateien nach %System%
    ("%System%" steht für die Verzeichnisse \System\ oder \System32\ im Windowsstammverzeichnis):
    Aim95.exe
    Cmd32.exe
    Cnfgldr.exe
    Explorer.exe
    FB_PNU.EXE
    IEXPL0RE.EXE
    iexplore.exe
    Mssql.exe
    MSTasks.exe
    sock32.exe
    Svchosts.exe
    Sys32.exe
    Sys3f2.exe
    Syscfg32.exe
    Sysmon16.exe
    modifiziert die Registry, sodaß der Wurm bei jedem Systemstart automatisch gestartet wird (s.u.)
    enthält seinen eigenen IRC-Klienten, womit er sich mit fest definierten IRC-Channels verbinden kann und auf Kommandos des Hackers wartet. Der Hacker hat über ein Kennwort Zugriff auf den Trojaner und kann folgende Kommandos ausführen:
    die Trojaner-Installation kontrollieren
    den IRC-Klienten auf dem infizierten System steuern
    den Trojaner dynamisch aktualisieren
    den Trojaner zu weiteren IRC-Channels senden, um weitere Systeme anzugreifen
    Dateien herunterladen und ausführen
    System- und Netzwerkinformationen an den Hacker senden
    DoS- (Denial of Service-) Attacken gegen beliebige Ziele ausführen
    sich vollständig deinstallieren durch Löschen der relevanten Registry-Einträge


    Registry: einen der untenstehenden oder ähnliche Werte in die beiden Schlüssel:
    HKLM\Software\Microsoft\Windows\CurrentVersion\Run:
    HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices:
    Configuration Manager = Cnfgldr.exe
    System Monitor = Sysmon16.exe
    MSSQL = Mssql.exe
    Configuration Loader = aim95.exe
    Internet Config = svchosts.exe
    System33 = %System%\FB_PNU.EXE
    Configuration Loader = cmd32.exe
    Windows Explorer = Explorer.exe
    Configuration Loader = IEXPL0RE.EXE
    Configuration Loader = %System%\iexplore.exe
    Sock32 = sock32.exe
    Configuration Loader = MSTasks.exe
     
    Wolfgang77, Sep 27, 2003
    #8
  9. Wolfgang77

    Wolfgang77 Ganzes Gigabyte

    Hallo,

    mit der Maschine nicht mehr ins Internet gehen, das ist ein Trojanisches Pferd Backdoor der deinen Rechner aufmacht.
    Wieso hat deine Firewall keinen Alarm gegeben. Hast du dir den über das KaZa-Netz eingefangen ??.

    Gruss
    Wolfgang
     
    Wolfgang77, Sep 27, 2003
    #9
Thread Status:
Not open for further replies.

Share This Page