Viren Testberichte

Tests und Erfahrungsberichte

• Wie man ihn erfolgreich beseitigt: Klez.E / W32.Klez ...

  

  24.05.2002, 01:22 Uhr von
  tatoeff
  

  0

  Bewertungen (20) / Kommentar (1)
  Bewerten / Kommentar schreiben

  Pro:

  -

  Kontra:

  -

  Empfehlung:

  Nein

  ....oder wie man zwei Tage in Panik verfallen kann.
  
  Wer kein Windows als Betriebssystem benutzt und nicht die gängige „Kleinweich“-Software nutzt, bleibt meist verschont und für diejenigen ist es wohl uninteressant (ich sehe das müde Lächeln eines jeden Linux-Users vor meinem geistigen Auge ;-)), aber manchmal kann man sich die Rechner eben nicht aussuchen, mit denen man arbeitet...
  
  Eigentlich fing alles ganz harmlos an: gestern bei der Arbeit startete ich den Rechner und irgendwann auch den Explorer, um die Emails abzuholen. Ratz-fatz hatte ich etliche Emails, die eindeutig als „Retouren“ zu erkennen war......obwohl ich nichts gesendet hatte. Das ließ mich stutzig werden.......Schlimmer noch, war die siebte oder achte Mail, die von einer Firewall gesendet wurde, mit dem Vermerk, daß meine versendete Email einen Virus enthalten sollte.....aber ich hatte doch nichts gesendet! Zumindest nicht wissentlich......
  
  Exakt zwei Minuten später klingelte auch schon das Telefon und ein Bekannter war dran: „Du.....Dein Rechner bei der Arbeit hat nen Virus und verschickt verseuchte Emails.“ Super......das fehlte mir gerade noch. Ich dachte immer, daß passiert nicht....zumal im Hintergrund immer der Virenscanner lief. Aber nun hatte ich ihn eben und alles fluchen nütze nichts: das Teil muß wieder runter vom Rechner!
  
  Jetzt kam das „wie“ und mein Bekannter hatte auch gleich einen entsprechenden Link für mich: ein Tool, daß auf der Homepage von Symantec downgeloadet werden kann (link an späterer Stelle). Spitze – dachte ich mir...dann ist das Thema ja gleich hoffentlich erledigt. Das dachte ich aber auch nur.....der Virus hat mir meinen Browser immer fleißig wieder geschlossen, bevor ich etwas machen konnte...Also beschloß ich gestern, mir das Tool zu Hause aus dem Internet zu ziehen und am nächsten Tag – also heute- den Rechner wieder zu „entgiften“.
  
  Auf der Fahrt nach Hause klingelte noch etliche Male mein Handy, alles Warnungen etlicher Bekannte, die eine Email mit Virus bekommen haben....
  Da ich mittlerweile bemerkt hatte, daß der Virus nicht nur das Adreßbuch von Outlook benutzt hat, konnte ich natürlich nicht mehr abschätzen, wo denn nun überall Emails hingeschickt wurden. Somit habe ich meinen Rechner zu Hause gleich getestet und Outlook gar nicht erst geöffnet, bevor ich nicht irgendeinen sicheren Schutz hatte (in weiser Voraussicht, denn "ich" hatte "mir selber" gleich 5 solcher Emails geschickt). Unterdessen habe ich nach weiteren Informationen über diesen Virus gesucht, um den Schaden einigermaßen einschätzen zu können und bin auch fündig geworden. Die Info möchte ich Euch nicht vorenthalten und ist ganz am Ende des Berichts komplett zu lesen; entnommen der Page www.free-av.de.
  
  WAS ABER TUN, WENN MAN DEN VIRUS JETZT HAT
  
  Und das ist schließlich das Wichtigste am ganzen Bericht.
  Auf der Homepage von Symantec ist ein Tool namens „FixKlez“ downzuloaden (url: http://securityresponse.symantec.com/avcenter/venc/data/w32.klez.removal.tool.html)- Eine genaue Verfahrensweise ist dort beschrieben, sogar mit Demo des Vorgangs, allerdings auf Englisch und das ist nicht immer jedermanns Sache.
  
  Also in Kürze:
  - Obiges Tool downloaden und auf dem Desktop des Arbeitsplatzes abspeichern
  - Danach den Rechner herunterfahren und im abgesicherten Modus neu starten (bei Win ME und XP muß vorher der Restore-Modus ausgeschaltet werden)
  - Ist der Rechner im abgesicherten Modus hochgefahren, wird das Tool „FixKlez“ mit einen Doppelklick gestartet
  - Das Programm startet nun und durchsucht alle Dateien auf der Festplatte (Dauer abhängig von der Größe der Platte und der Menge der Daten)
  - Nach dem Durchlauf des Tools bekommt man (auf Englisch) angezeigt, ob und wie viele Dateien dieses Tool gefunden und gelöscht, bzw. repariert hat
  - Danach den Rechner runterfahren und ganz normal wieder starten
  - Jetzt ist der Virus entfernt.
  
  
  Ich habe bei meinem Rechner hinterher noch sicherheitshalber einen aktuellen Virenscanner laufen lassen, aber der hat nichts mehr gefunden. Vorher hab ich aber geschaut, ob der Virus überhaupt von dem Programm erkannt wird, sonst hätte es ja eh nichts genutzt.
  
  Allen, die zu Hause auf Ihrem Privat-PC den kostenlosen Virenscanner „AntiVir“ von H+B EDV laufen haben, kann ich nur dringend raten, die Internet-Update Funktion zu nutzen, denn eine ältere Version erkennt den Virus nicht !
  
  Abschließend hoffe ich, daß keiner von Euch ein Problem mit diesem Virus hat und mein Bericht eigentlich überflüssig ist. Sollte das nicht der Fall sein, so hoffe ich, daß mein Bericht Euch helfen konnte und wenn Ihr Fragen oder was-auch-immer habt, so hinterlaßt mir einfach einen Kommentar oder mailt mir....
  
  Schönen Abend noch....Toeff
  
  Ach ja....vielleicht noch hilfreich: da der Virus bereits aktiv wird, wenn die betroffene Email in der Vorschau angezeigt wird: diese Vorschau läßt sich deaktivieren. Ist zwar nicht bei allen IE Versionen gleich, aber meistens findet man diese Option unter „Ansicht“ -> „Layout“ und dort einfach das Häkchen bei „Vorschau“ entfernen.
  
  
  (Entnommen von der Seite www.free-av.de)
  
  Worm/Klez.E
  alias W32/Klez.G, W32/Klez.H@mm
  Die neue Variante des Worm/Klez kopiert sich als WINKxxx.EXE (’xxx’ = zufällig gewählte Buchstabenkombination) in das Windows Systemverzeichnis und legt folgenden Key in der Registry an:
  HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun
  Winkxxx=C:WindowsSystemWinkxxx.exe
  Worm/Klez.E kopiert sich wahllos in verschiedene Verzeichnisse sowie Unterverzeichnisse auf allen lokalen Laufwerken, sowie alle gesharte Netzlaufwerken mit Schreib-/Lesezugriff. Diese Dateien haben als Dateiextensions .EXE, .PIF, .COM, .SCR, .RAR, .SCR. In einigen Fällen erzeugt der Wurm auch Doppelextension z.B. “Dateiname.txt.exe“
  Der Worm/Klez.E droppt einen neuen Virus in das Programme Verzeichnis (meist C:Programme) und führt diesen aus. Der Dateiname wird mit einer zufällig gewählten Buchstabenkombination erstellt. Bei dem Virus handelt es sich um einen Fileinfektor und wird mit der aktuellen VDF als W32/Elkern.C erkannt.
  Klez.E versendet sich als Email mit Hilfe seiner eigenen SMTP Engine. Die Empfängeradressen erhält der Wurm aus Windows Adressbuch oder aus Dateien mit der Extension .HTM, .HTML, .DOC, .XLS, .BAT, .TXT, .SCR, .CPP, .C, .BAK. Die Betreffzeile einer solchen Email kann folgendermaßen aussehen:
  powful
  WinXP
  IE 6.0
  new
  funny
  nice
  humour
  excite
  Symantec
  Mcafee
  F-Secure
  Kaspersky
  Sophos
  Trendmicro
  W32.Elkern
  W32.Klez.E
  Die Betreffzeile kann auch Variieren. So kann der Betreff der Email auch wie folgt aussehen:
  a new new game
  oder
  nice path
  oder
  a powerful new website
  oder
  a IE 6.0
  
  Worm/Klez.G erstellt eine HTML-Mail, die eine base64 enkodierte Kopie von sich selbst enthält. Beim Email-Empfang führt sich Klez.E aus, auch wenn dieser nicht aktiv geöffnet wird, sondern nur in der Vorschau angezeigt wird. Dies Betrifft I.E.-basierten E-Mail-Clients (z.B. Microsoft Outlook). weiterlesen schließen

  Kommentare & Bewertungen

  • 

    katze35, 24.05.2002, 12:10 Uhr

    Bewertung: sehr hilfreich

    Firewall hin oder her. Auch ich ärgere mich oft genug mit einigen Ungereimtheiten im Outlook-Bereich herum. Aber wir haben ja gute Leute im Betrieb, die solche System- und Programmfehler immer wieder beheben. gruss Katze

• Dies war mein erster Virus

  

  28.02.2002, 22:53 Uhr von
  funnyy
  Normal bin ich ein sehr lustiger Typ. Stehe auf Musik und alles was sich um Computer dreht. Liebe...

  0

  Bewertungen (10) / Kommentar (1)
  Bewerten / Kommentar schreiben

  Pro:

  -

  Kontra:

  -

  Empfehlung:

  Nein

  Die meinung ist leider nicht mehr neu, doch durch den Datenverlust will ich sie dennoch wieder einsetzen, denn den virus gibt es immer noch und das nicht selten.
  
  
  Huch funnyy hatte ihren ersten Virus pfui Teufel so ein Schlawiner.
  Wie konnte das passieren? Tja gute Frage normalerweise ist die liebe funnyy stets sehr vorsichtig beim Öffnen von Mails und deren Anhängen, doch irgendwie muss die funnyy die Warnung vergessen haben oder sonstiges.
  Es war ein Mail von einem Rechtsanwalt naja zuerst stutze funnyy schon, aber dann na ja ist doch eh keine exe sondern ein doc. machen wir es halt auf. Hm komisch es war ein Kaufvertrag oder ähnliches. Damit konnte die funnyy nix anfangen und schrieb dem lieben Herrn eine Mail in der sie um Aufklärung bat. Nix noch einmal das gleiche Mail, funnyy konterte etwas forscher. Gestern am Abend erhielt sie dann die Antwort des Rechtsanwaltes er meinte ich solle die Mails sofort löschen hier handelt es sich um den Sircam32 nach seinen Nachforschungen nach. Warum ich die mail von ihm bekam, da er mich ja nicht kannte und wir noch nie Kontakt hatten verstand er auch nicht.
  So klasse das glaubte ihm die funnyy gleich mal, da in letzter Zeit der Rechner auf der Festplatte grabte beim Öffnen des Wordpads, wie wenn er was weiß ich was suchen würde und auch noch eine Meldung kam: "Diese Anwendung kann nicht geöffnet werden da die dazu notwendige Datei Scam nicht gefunden werden konnte." So ähnlich lautete die Fehlermeldung. Hm komisch dachte sich funnyy gestern vormittag noch. Dem Virus zu liebe, sie wusste da ja noch nichts von ihm, fuhr sie den Rechner neu hoch. Ah jetzt funktioniert wieder alles nur suchen tut er immer noch. Sie erzählte es ihrem Freund gleich mal, aber der kommt so schnell nicht auf einen Virus, die funnyy hat da stets schneller einen Verdacht.
  Auf jeden Fall sufte funnyy auf die Seite von norton.com und scannte den Computer auf Viren. Tatsächlich 3x wurde der Virus gefunden sie löschte die Dateien und dachte damit hat es sich. Nene nix da.
  Aber dazu gleich mehr.
  
  Wie erkenne ich den Virus:
  ^^^^^^^^^^^^^^^^^^^^
  Er kommt via Mail zu dir entweder in englisch oder spanisch.
  "Hi how are you? I send you this file in order to have your advice. See you later thanks."
  Jaja gesehen hat ihn funnyy aber sehr viel später *schimpf*
  Diesem Mail ist noch ein Anhang beigefügt man kann aber nicht sagen welches, da der Virus es durch Zufall wählt. Bei funnyy war es ein doc.pif. Dieser Virus schleppt eine Datei seine Vorliebe ist es aus "eigene Dateien" eine zu wählen und an alle E-Mail Adressen weiter zu schicken aber auch duch die Internet files.
  http://www.sophos.de/virusinfo/analyses/w32sircama.html
  
  Unter diesem link könnt ihr mehr zu dem Wurm erfahren und auch wie man ihn löscht. Denn wie funnyy schon sagte mit dem Löschen der drei Dateien war es noch nicht getan.
  Sie musste in der Registrie die Keys überprüfen und zwar gibt es da den HKEY_CLASSES_ROOT dort muss man exefileshellopencommandDefault="C:recycledSirC32.exe" "%1" %* suchen und dieses sirC32.exe löschen.
  http://vil.nai.com/vil/virusSummary.asp?virus_k=99141
  unter dieser Seite und deren Anweisungen entfernte funnyy diesen Virus-Wurm.
  Was richtet dieser Wurm an?
  Er verbreitet sich über Mail weiter und nimmt persönliche Daten mit ins Netz, auch soll er am 16. Oktober die Festplatte löschen. Das steht zumindest auf den Seiten im Netz so. Er ist unter mittel gefährlich eingestuft. Ach ja noch etwas er versucht die rundll32.exe in eine run32.exe umzuwandeln. Die rundll32 dürft ihr auf keinen Fall löschen, denn sie ist wichtig für das System. Am besten am hält sich genau an die Anweisungen auf den Seiten auf denen Hilfe geboten wird.
  Funnyys Fazit:
  Tja funnyy wird wohl noch vorsichtiger sein als sonst und ist froh, dass sie ihn entfernt hat und nicht mehr passiert ist. Hoffentlich wurden anderen nicht zuviel Schaden angerichtet. Funnyy hat zwar keine Outlook-Adresse zumindest benutzt sie sie nicht und hat dort auch keine Adressen, aber wer weiß das schon so genau.
  Funnyys Tipp:
  Auf jeden Fall sehr vorsichtig sein mit Mails von unbekannten Absendern und aber auch bei Freunden, denn oft wissen sie nicht, dass ihr PC infesziert ist und man kommt ja nicht gleich darauf und schon ist das Chaos perfekt.
  eure funnyy weiterlesen schließen

  Kommentare & Bewertungen

  • 

    DirkWG, 01.03.2002, 03:25 Uhr

    Bewertung: sehr hilfreich

    Puh, bei diesem grottenschlechten Schreibstil war ich kurz davor, auch hier nur nützlich zu vergeben ... Wenn man hier nachträglich die Meinungen noch ändern könnte, hätte ich es auch getan mit der Bitte darum, das Teil umzuschreib

• PC-Viren - kranke Hirne leisten Geniales - würden Sie es doch nutzbringend anwenden !!!

  

  28.02.2002, 00:05 Uhr unknown Dieser Nutzer ist nicht mehr auf yopi.de aktiv.

  0

  
  Bewerten / Kommentar schreiben

  Pro:

  -

  Kontra:

  -

  Empfehlung:

  Nein

  VORWORT:
  Dieser Bericht ist zwar ein halbes Jahr alt, und dieser Virus (W32 SirCam worm) ist NICHT mehr der Neueste, aber das Thema an sich bleibt leider immer aktuell !!!
  Da es keine bessere Rubrik gibt, habe ich den Bericht hier gepostet, und bitte Euch nicht nur nach der Aktualität auf diesen Virus bezogen zu bewerten, sondern nach Nützlichkeit der Erfahrung und der Tipp’s. -Danke-
  
  
  Liebe Leser,
  
  heute will ich mal ein aktuelles Thema aufgreifen, dass mich die letzten zwei Tage zum Wahnsinn gebracht hat.
  
  Es geht um VIREN und WORMS, genauer gesagt um einen der Neuesten und Gemeinsten !!!
  
  *W32 SirCam worm*
  
  Kurz vorweg:
  Vor 3 Tagen habe ich in der Firma, wie üblich den E-Mail-Eingang für die Buchungen gelesen und als ich dann anfangen wollte, sie zu beantworten und in verschiedenen Programmen (word, access, exel u.s.w.) arbeiten wollte, ging gar nichts mehr und NORTON meldetet mir, dass ein Virus Namens w32.SirCam gefunden worden ist.
  (Ich öffne in der Firma NIEMALS angehängte Dateien, sondern lese nach Absender-Check nur die Mitteilungen).
  
  Da hatte es mich also erwischt, Schei.... dachte ich noch und wollte dann auf reparieren gehen, wie das Norton-Anti-Viren-Programm vorschlug. Leider ein Schuß in den Ofen !
  Kaum hatte ich *reparieren* angeklickt, schon kam die Meldung, die Datei sei nicht reparabel (windows-system-Datei) und immer noch aktiv. Dann kam die Frage, was ich weiter tun möchte: löschen, Quarantäne u.s.w.
  Ich entschloß mich dann für die Quarantäne, damit 1. nichts Wichtiges verloren geht und 2. der Virus sich nicht weiter ausbreitet.
  So weit , so gut! Nur leider ging jetzt gar nichts mehr und auch ein erneutes Hochfahren ergab nur einen blauen Bildschirm mit dem Norton-Fenster was wollen Sie tun.
  
  Tja, ich war mit meinem Latein am Ende und rief eine mir bekannte EDV-Spezialistin an, die auch vorbei kam und nach einiger Zeit den Rechner mitnahm (die Haare standen Ihr zu Berge).
  ZWEI Tage ohne Rechner – der Betrieb kam fast zum erliegen, weil die ganze Datenflut nicht bearbeitet werden konnte und die Verluste, die durch die Verzögerungen der handschriftlichen und fernmündlichen (Telefon) Datenaufnahme entstanden, gingen in die Tausende. Hinzu kommt noch die Reparatur, die als Freundschaftspreis schon über 1000 DM kostet (ohne Sonntags- und Nacht- Zulage).
  Gestern Abend hat Sie dann den Rechner wieder funktionsfähig vorbei gebracht und sogar alle Firmendateien retten könne (jede einzelne manuell korrigiert). Wenn ich *normaler* Kunde gewesen wäre hätte mich die Reparatur ca. 2500,-DM gekostet.
  
  Aber nun zu „w32 SirCam“:
  
  Was ist das ? Tja, schwierig, schwierig, denn es ist weder Virus, noch Worm – sondern eine Kombination aus Beidem !
  Dieser Virus-Worm wurde zum ersten Mal am 17.07.2001 gesichtet und ist zur Zeit einer der AKTIVSTEN und GEMEINSTEN !
  Er hat inzwischen sogar die Systeme des FBI befallen und breitet sich erschreckend aus (Erklärung warum folgt etwas später).
  Was die Verbreitung anbetrifft, so scheint er rekordverdächtig zu sein, denn er hat bislang schon sämtliche Ausmaße anderer Viren überholt.
  
  Bevor ich jetzt ein paar technische Sachverhalte und Erläuterungen anführe, sei noch erwähnt, wie die Mails aussehen können, jedoch nicht müssen, da dieser Virus-Wurm sich selbständig macht und mutiert.
  
  Die folgenden Erklärungen habe ich sowohl von meiner Bekannten, als auch aus dem Internet bekommen.
  
  Der Dateiname wechselt zwischen : bat , pif , exe , com und ink (durch die Verselbständigung bedingt).
  Der Betreff ist ebenfalls immer abweichend.
  Der Mailtext (wenn gelesen, ist es schon zu spät !!! ) ist in englisch oder spanisch verfasst und beinhaltet folgendes:
  
  „Hi! How are you? I send you this file in order to have your advice.”
  oder
  “I hope you can help me with this file that I send.”
  oder
  “I hope you like the file that I send you”
  oder
  “This is the file with the information you ask for.”
  und dann noch das nette Schlußwort:
  „See you later. Thanks.”
  
  Die Dateilänge variiert zwischen 137.216 Byte (bei Originaldatei) und 200KB – je nachdem, wie viele Dateien und Informationen der Virus-Wurm angehängt hat.
  
  Wie „w32.SirCam“ arbeitet und funktioniert, will ich hier nur ganz kurz und allgemeinverständlich erwähnen, denn es würde den Rahmen sprengen. Für alle Mehr-Interessierten und Profi’s verweise ich auf die gleiche Seite, die ich zum Schluß für ein kostenloses Upload eines inzwischen entwickelten Schutzprogramms erwähne .
  
  Also, dieser Virus-Wurm führt sich teils auch selbst aus, ohne dass die angehängte Datei geöffnet wird – also es reicht manchmal schon ein einfaches Lesen der Mail. (Ist besonders gemein, da der Adressat und das Thema einem bekannt sein können und man nichts Böses ahnt).
  Er beginnt sofort sich an die Systemdateien zu hängen und sie umzuschreiben.
  Er hängt sich auch VOR die Datei, so dass diese (Beispiel Norton) ihn zwar noch erkennt, aber nicht mehr reagieren (also arbeiten) kann.
  Er verschickt sich selbst an alle Internet- und E-Mail-Adressen, die er auf seinem neuen „Gastrechner“ findet und hängt sich an jede ausgehende Mail – also auch an die, die für den Empfänger „normal“ aussehen !!!!!
  Er kopiert sich in die Systemdateien, in „recycelt“ auch Papierkorb genannt (wo normalerweise kein Anti-Viren-Programm sucht, es sei denn der User hat es speziell konfiguriert) und er startet sofort seine Aktivität im DOS.
  
  Tja, soviel erst mal von mir und wer sich jetzt davor schützen will, beziehungsweise die Gefahr möglichst weit einschränken will, sollte folgende Punkte ausführen und beachten !!!
  
  1. Zur Zeit (solange noch kein Anti-Virus-Programm etwas Wirksames bietet (dauert wohl noch ein paar Tage)) keine unbekannte Mails öffnen.
  2. KEINE angehängte Datei downloaden.
  3. Sofort ein Update des eigenen Viren-Schutz-Programms durchführen.
  4. folgende Seite besuchen und sich informieren :
  5. http://trojaner-info.de
  6. auf dieser Seite gibt es auch eine genaue technische Erklärung der Arbeitsweise von SirCam und einen kostenlosen Download eines inzwischen erstellten Reparatur-tools
  
  Tja, ich kann abschließend nur sagen, dass mich dieser Vorfall viel Geld , Zeit und Nerven gekostet hat und ich den Müll bekommen habe, obwohl ich immer sehr vorsichtig bin.
  Es ist halt ein immerwährender Wettlauf um die Zeit zwischen diesen „psychisch kranken Virus-Produzenten“ und den Anti-Virus-Programm-Herstellern.
  Mal gewinnt der Eine, mal der Andere – nur der User bleibt auf der Strecke.
  
  Ich hoffe, Euch ein wenig geholfen zu haben und darum noch einmal meine Bitte!:
  Verweist Eure Freunde doch bitte auf diesen Bericht!!!
  Das soll jetzt keine Werbung sein,
  SONDERN WEIL ES EUCH ALLLE, DIE IHR IM INTERNET SEID, BETRIFFT !!!!!
  
  Liebe Grüße und bis bald
  Euer Mirco (Koh-i-Noor) weiterlesen schließen