irc virus/trojaner? eingefangen

[knallebumm]

moin,

Betriebssystem ist win2kpro sp4

Ich hab gestern wohl in geistiger Umnachtung auf einen irc-Link mit einer *jpg Datei geklickt.

Seitdem passieren folgende Dinge:

1 .svchost.exe will ein Packet nach ownOr.aoloser.com schicken
Dabei ist verwunderlich, daß ich 2 svchost.exe habe. Eine im winnt/system32 -Ordner, die zweite im winnt/system32/os2 Ordner. Diese scheint mir auch die Verdächtige. Dort befindet sich auch noch eine nav.exe (Ich hab kein norton installiert) und 2 dll Dateien in einem weiteren Ordner. Wäre nett, wenn mal win2kpro sp4 Besitzer gucken könnten, obs bei denen genau so ist.

2. Außerdem läuft seitdem nach ner Zeit meine Auslagerungsdatei voll. Dies geschieht auch wenn ich absolut gar keine Programme öffne. Die Mindestgröße der AD ist 850mb, was aber auch egal sein dürfte, da ich dieses Problem vorher nicht hatte.


Die Prozesse nav.exe und svchost.exe (hab 2 davon) lassen sich mit dem taskmanager nicht löschen. Genauer, sie verschwinden und sind nach wenigen Sekunden wieder da.

antivir findet nix.

What to do?

[x-dragon]

"svchost.exe" sind unter Win2000/XP wichtige Systemfunktonen und stehen meistens mehrfach (für verschiedene Diesnte) im Taskmanager. Aber natürlich könnte auch ein Trojaner/Virus/... den Namen annehmen.

[knallebumm]

Die svchost.exe im winnt/system32/os2 Ordner hat als Symbol einen weißen Schädel auf schwarzem Hintergrund. So siehts für mich jeden falls aus.

Das hatte ich noch vergessen zu erwähnen. *g*

Mir wäre evtl schon geholfen, wenn mir einer sagen könnte, wie ich die Datei löschen kann.

[x-dragon]

Original geschrieben von handyman
Die svchost.exe im winnt/system32/os2 Ordner hat als Symbol einen weißen Schädel auf schwarzem Hintergrund. So siehts für mich jeden falls aus.

Das hatte ich noch vergessen zu erwähnen. *g*
... Ach war auch nicht so wichtig, schliesslich verwendet MS solche Icons öfters für wichtige Systemdateien ... :D.

Kannst ja mal mit diesem Tool dir die Prozesse genauer anschauen:
http://www.sysinternals.com/ntw2k/freeware/procexp.shtml

... vielleicht erfährt man das noch was wichtiges. Ansonsten könntest du mal über "msconfig" nachschauen ob bzw wo diese Dateien beim Windows-Start aufgerufen werden.

[edit]
leider spuckt google nix zu diesem problem aus ... scheinst eine der ersten versionen erwischt zu haben :)

[knallebumm]

Danke für den Tip mit der msconfig. Manchmal seh ich den Wald vor lauter Bäumen nicht. Habs aus dem Autostart entfernt und dann konnte ich es auch löschen, wie früher mit win98se.

Zu ownOr.aoloser.com will schon mal nix mehr connecten und das mit der volllaufenden Auslagerungsdatei muß ich jetzt mal abwarten.

Browser war der ie. Ich benutz sonst auch nur mozilla. Hat jemand eine Anleitung, wie ich irc Links mit Mozilla öffnen lasse?

[Siegfried]

ie löschen und in den ordner die mozilla files kopieren
die mozilla exe natürlich umbennen

[sTerK]

das klappt? das wär ja mal klasse :)

[Siegfried]

ja funkt auf jeden fall
geht aber nur mit der holzhammer methode
dh die windows file protection muss erstmal kaputt gemacht werden

[sTerK]

daran bin ich gerade gescheitert... verrat mir mal bitte wie :)

[Siegfried]

du kannst einfach den dllcache ordner löschen
dann kann es nichts wiederherstellen

oder die sfc.dll mit ner alten version austauschen
dann kann man es per registry deaktivieren

oder einfach xp/2klite saugen
das macht alles automatisch

oder wie ich mit nem anderen os booten und alle files die mit der windows file protection zu tun haben löschen
tja dann is der scheiss kaputt hahaha

[sTerK]

harhar, gut, danke ;)

[knallebumm]

http://www.perfectdrivers.com/howto/msconfig.html

Hier noch msconfig für win2k, falls ihr euch gewundert habt.
Das file ist übringens von mir mit antivir auf Reinheit gescannt worden. :ugly: