Virus backdoor.agent.b

[schera]

Hallo habe ein dummes Problem mit einen Trojaner ....
OS: W2K prof.
Dieser Kerl ist automatisch beim Start geladen und lässt sich nicht löschen.
Es kommen andauernd Virusmeldungen vom Symantec-Client.
Habe nun die Instruktionen von Symantec und weiteren Seiten probiert, allerdings lässt sich der Kerl einfach nicht entfernen.
z.B. in der Registry HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows
trägt er automatisch den Wert "AppInit_DLLs"="%System%\resmnt.dll" ein.
Wenn ich nun diesen Wert löschen möchte, erstellt sich dieser sofort wieder.
Also habe ich die Kiste im abgesicherten Modus hochgefahren (wo der Trojaner nicht mitgestartet wird) und versucht die dll-Datei manuell zu löschen, welche er mich ja unter einem normalen Start nicht löschen lässt.
Allerdings ist diese nicht mehr vorhanden !?!?
Etwaige Removal tools haben mir auch nichts gebracht.

Hat jemand einen Rat,

Danke & lG, schera

[martin1190]

Hallo

Hatte auch das Problem mit dem Trojaner weder mit Anti VirenKit 2004 oder mit Ad-aware habe ich das Ding weg bekommen nur eine neuinstallation mit sofortigen Virenupdate brachte den erfolg !!

MFG: MArtin

[schera]

Phuu, also das ist ein Firmenrechner und den möchte ich sehr ... sehr ungern neu aufsetzen, da ja ansonsten alles funktioniert.
Eigentlich kommt ja nur diese Virenmeldung und der Antivirus ist auf aktuellsten Stand. Nur Symantec kann ihn nicht isolieren geschweige irgendwie säubern.

Gibts da keine andere Möglichkeit??

[holzi]

schon mal die onlinescans diverser antivirenhersteller probiert? (mcafee, bitdefender usw.)

[schera]

nein eigentlich nicht, aber diverse Removaltools diverser Hersteller.
Die Tools habe ich auch im Abgesicherten Modus ausgeführt ... aber da ist die Datei ja nicht vorhanden bzw. der Trojaner nicht aktiv.

Werde ich aber mal ausprobieren ... wobei mein Optimismus schwindet, da eben besagte Removaltools auch nichts brachten.

[holzi]

hilft das auch nicht, probier folgendes:
mcafee superdat file downloaden, auf eine BartPE boot-CD kopieren, damit booten und das system scannen und ggf. bereinigen.

weiters probier noch alle spyware-remover (spybot, cwshredder, hijackthis ...)

[holzi]

möglicherweise hast du auch schon irgendeine mutation von dem trojaner erwischt...

hast du schon removal tools von sophos oder datafellows probiert

[martin1190]

Hallo

Anbei ein Link scheinbar bist dun icht der einzige wie schon oben geschrieben bei mir hat nur eine neuinstallation gefunkt !!

http://www.virus-aktuell.de/frame.ph...tml?1090528839


MFG: MArtin

[Nando]

Original geschrieben von schera
Die Tools habe ich auch im Abgesicherten Modus ausgeführt ... aber da ist die Datei ja nicht vorhanden bzw. der Trojaner nicht aktiv.

In irgendnem File muss er ja sein...auch im abgesichterten Modus...er kann ja nicht aus heiterem Himmel kommen. Er ist wahrscheinlich nur nicht aktiv, da ja im abgesichterten Modus nur eine Minimalkonfiguration geladen wird. Aber auf der Festplatte selbst muss er in irgendeiner Form vorliegen.

EDIT: Eine Möglichkeit wäre über Knoppix (oder ähnliches) zu booten, und von dort das dll-File zu löschen. Das müsste auf jeden Fall hinhauen.

[schera]

Tja, das ist ja das extrem komische.
Ich weiss ja welche DLL da spinnt, allerdings im abgesicherten Modus ist die Datei futsch ...
Werde mal die Removaltools von Shopos & co starten.
Hat da irgendwer einen direktlink ...

danke schera