NTRootKit

[Unfug]

Bei einem Kollegen hatte sich ein NTRootKit eingeschleust.
Es war so ein Spamscheiss, wo unten Rechts ein Rotes X stand und ständig ein PopUp erzeugte mit : "Your PC ist infected (...)".
Es wurden keine offenen Ports über Active Ports, keine komischen Prozesse über Taskmanager, XP AntiSpy keine komischen Dienste über "Systemstereung -Verwaltung", msconfig entdeckt.
Ich gehe daher stark von aus, daß es so ein NTRootkit war, dass die Dienste und Namen versteckte.
Ad-Aware fand jedesmal auch einen Win32.Trojaner irgendwas. Konnte diesen aber anscheinend nicht ordentlich löschen, da beim nächsten durchlauf alles da war. Auch Abgesicherter Modus half da nicht , da dort das Rote X auch aktiv war.

Meine Frage wie kann man das scheiss Teil löschen ohne Windows platt zu machen?

p.s: Es befand kein Sp2 drauf, weil nur Analog Modem ist ;D

[Lokadamus - nixBock]

mmm...

Virenscanner? und wieso kein SP2 drauf? das kannst du mit DSL doch runterladen und dann bei ihm installieren. Ebenso sollte zumindest eine PFw oder das Tool von Dingens.org genutzt werden, damit Sasser nicht eindringen kann ...

[Aqualon]

Den RootkitRevealer von sysinternals runterladen: http://www.sysinternals.com/Utilities/RootkitRevealer.html

Damit rausfinden, welches Rootkit installiert ist und dann nach einer Möglichkeit suchen dieses zu entfernen.

Installier aber auf jedenfall SP2 auf dem Rechner und eine PFW. Selbst mit Analogmodem ist man gefährdet, wenn man ohne Patches online ist!

Aqua

[[dzp]Viper]

okay


meist laufen bei den rootkits verstecke prozesse

1. verschiedene quellen abarbeiten und die dienste rausfinden die von dem rootkit/Trojaner gestartet werden

2. einfach mal die betaversion von Blacklight nutzen

http://www.f-secure.com/blacklight/

3. die Dateien die die Dienste starten umbenennen

4. Virus entfernen und die umbenannten dateien löschen

[Unfug]

Viper']okay


meist laufen bei den rootkits verstecke prozesse

1. verschiedene quellen abarbeiten und die dienste rausfinden die von dem rootkit/Trojaner gestartet werden

2. einfach mal die betaversion von Blacklight nutzen

http://www.f-secure.com/blacklight/

3. die Dateien die die Dienste starten umbenennen

4. Virus entfernen und die umbenannten dateien löschen
Danke für die Tips.
Inzwischen hab ich ihm ne Kopie von der MS SP2 CD gemacht (nein nicht windows mit integrierten sp2, sondern die damals verschickte CD von MS).
ZoneAlarm und AntiVir(nicht up-to-date) war zwar drauf aber diese Programme werden nicht als Virus erkannt. Sind halt handelsübliche Programme für andere Zwecke verwendet.
Werd die Tips mal durchgehen