WCM Forum - backdoor.win32.SdBot.ada

WCM Forum (http://www.wcm.at/forum/index.php)

- IT-Security (http://www.wcm.at/forum/forumdisplay.php?f=70)

- - backdoor.win32.SdBot.ada (http://www.wcm.at/forum/showthread.php?t=173014)

backdoor.win32.SdBot.ada

ich glaub ich hab da ein problem mit diesem scheiss virus!

ich ziemlich oft eine meldung von meinen virus proggi das eine sogenannte boot.pif oder winlogon.pif geblockt und gelöscht wurde!

nach ein bisschen herumschaun kommt ma drauf das das der backdoor.win32.SdBot.ada virus is!
nur is die frage... warum hab ich den immer wieder!?

ganz computer scan sagt ich bin sauber!
aba immer wieder popt der scanner auf und schreit!

hab kaspersky mit allen updates
winXP mit allen updates
sitz hinter an router mit NAT firewall

edit:
hab weder winlogon.pif oder boot.pif deryeitig am system!

http://www.f-secure.de/v-desk/sdbot_ada.shtml

Schreibgeschützte und Systemdateien zeigt dein Explorer an, oder ?

ja er zeigt absolut alle dateien an! und immer wieder hab ich die virus meldung! hab jetzt mit antivir und neuester def auch mal an system check durhcführn lassn, ohne ergebnis!

also virenfrei! dann surf ich 3 min und hab die erste meldung!

was ich mir noch vorstellen könnte, dass du eine Datei hast, die die beiden genannten immer wieder runterlädt und damit die Virenmeldung erscheint, dass die Dateien im Cache vom Browser noch liegen, bzw. im dllcache zu finden wären.

Zeigt der Virenscanner nicht an, wo die Dateien liegen sollen, bzw. wenn die Meldung erscheint, findest du auch keine Dateien?

hmm
es sind ja nicht nur die 2 dateien!
es is auch:

nokiacheck.exe
updates.pif
A0176869.pif

usw..

ich hab noch nicht genau gschaut ob die datei da is wenn der scanner schreit, weil ich sie gleich über den scanner lösch! werd ich aba es nächste mal machen!

hab jetzt alle caches und temp files und so gelöscht und werd mal schaun obs wieda kommt!

kommt trotzdem noch!

schon mal spydoctore oder adware probiert ??? hatte so ein ähnliches problem.

ChrisM

die nokiachek.exe klingt nach einem wurm: http://de.trendmicro-europe.com/smb/...=WORM_RBOT.CDC
probier einmal einen log mit hijackthis und dann eine aut. auswertung.

ok!
adaware is ein paar mal drüber glaufn, hat 3 files gfundn, aba nix hagliches!

und hijack auswertung hab ich gmacht:

Code:

 

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - E:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: bho2gr Class - {31FF080D-12A3-439A-A2EF-4BA95A3148E8} - E:\Programme\GetRight\xx2gr.dll

O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_02\bin\jusched.exe

O4 - HKLM\..\Run: [KAVPersonal50] E:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Personal\kav.exe /minimize

O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe

O4 - HKLM\..\Run: [DAEMON Tools-1033] "E:\Programme\D-Tools\daemon.exe"  -lang 1033

O4 - HKCU\..\Run: [Skype] "E:\Programme\Skype\Phone\Skype.exe" /nosplash /minimized

O4 - HKCU\..\RunOnce: [ICQ] E:\Programme\ICQ\ICQ.exe -trayboot

O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: EPSON Status Monitor 3 Environment Check 2.lnk = C:\WINDOWS\system32\spool\drivers\w32x86\3\E_SRCV02.EXE

O8 - Extra context menu item: Download with GetRight - E:\Programme\GetRight\GRdownload.htm

O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://E:\PROGRA~1\MICROS~1\OFFICE11\EXCEL.EXE/3000

O8 - Extra context menu item: Open with GetRight Browser - E:\Programme\GetRight\GRbrowse.htm

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_02\bin\npjpi150_02.dll

O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_02\bin\npjpi150_02.dll

O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - E:\Programme\ICQ\ICQ.exe

O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - E:\Programme\ICQ\ICQ.exe

O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - E:\PROGRA~1\MICROS~1\OFFICE11\REFIEBAR.DLL

O16 - DPF: {4C39376E-FA9D-4349-BACC-D305C1750EF3} (EPUImageControl Class) - http://tools.ebayimg.com/eps/wl/acti..._v1-0-3-18.cab

O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://spaces.msn.com//PhotoUpload/MsnPUpld.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsu...?1121535270566

O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Help\hxds.dll

O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - E:\Programme\AVPersonal\AVGUARD.EXE

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - E:\Programme\AVPersonal\AVWUPSRV.EXE

O23 - Service: Crypkey License - Kenonic Controls Ltd. - C:\WINDOWS\SYSTEM32\crypserv.exe

O23 - Service: EPSON Printer Status Agent2 (EPSONStatusAgent2) - SEIKO EPSON CORPORATION - C:\Programme\Gemeinsame Dateien\EPSON\EBAPI\SAgent2.exe

O23 - Service: kavsvc - Kaspersky Lab - E:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Personal\kavsvc.exe

O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - E:\Programme\TuneUp Utilities 2004\WinStylerThemeSvc.exe

laut aut auswertung alles ok!
also alles auf SAFE!
hmm eigentlich ein recht sauberes system!

aja... ich habs noch immer!

ich verstehs nicht, das ich diesen scheiss virus nicht wegkrieg!
hat keiner ne ahnung!?!
ich hab scho alles mögliche gmacht (siehe oben)
aba die meldung kommt immer wieder!

mein damaliges (ähnliches) problem habe ich folgend gelöst:

1. Spydoctor besorgt
2. Spydoctor installiert
3. XP- im gesicherten Modus starten
4. Spydoctor starten und säubern
5. XP- Starten -- virus futsch --> seit dem keine Meldung mehr von kaspersky und spydoctor --> System sauber.

(auf der norton Homepage wurde mir damals empfohlen mein system neu aufzusetzen, aber es ging auch anders)

villeicht ist das eine Lösung für Dich.

probieren geht über studieren!

lg ChrisM