Virus den kein Prog erkennt?!?

[Whistle]

Hallo Leute,

es gibt zwar schon einen Thread über Viren, aba mein Virus der mich momentan in Schach hält muss schon was besonderes sein.

Kurz gesagt: Sasser ohne Sasser zu sein.

Bin am Sonntag aus Ulruab wiedergekommen und war seitdem auf unspektakuläre weise online. web.de, ebay.de nix anderes. trotzdem hab ich seitdem ein problem. wenn ich online bin kommt irgendwann die meldung, dass das NT/AUTORITAET/SYSTEM einen Fehler in system32/services.exe verursacht hat und der PC in 1:00 neu startet... Countdown läuft. Diese Meldung kommt unregelmäßig. Mal nach 25 Minuten online, mal nach 10 Sekunden.

Der Gag ist, dass ich das neueste Antivir, das neueste Norton Internet Security, das aktuellste Windoof Patch, des von August 2005 herausgegebene Windoof Virenerkennungstool, und noch 4 andere Virenerkennungsteile hab durchlaufen lassen und mir alle sagen, dass alles okay ist.

Die ganze Sache erinnert mich an Sasser, habe aber nicht die typische Kennzeichungen, also keine avserve.exe bzw beziffterte_up.exe dateien m system32 ordner bzw befallen.

HAT JEMAND EINE AHNUNG?

Danke! :-)

[Senopizzy]

hmm weiss nicht aber vllt., hat mit dem was zu tun :

http://webmasterpro.de/content_news-8554.php

[acido]

ist dass nen win 2000 system????

der virus ist zur zeit ganz neu.

[acido]

das is der patch

Microsoft said a patch for the security hole is available at www.microsoft.com/technet/security/Bulletin/MS05-039.mspx

keine ahnung ob der auch bei nem Deutschen windoof 2000 anwendbar ist

[Whistle]

Danke! Hab gleich mal nachgeschaut, aber bei mir gibt es leider keine solchen Registry Einträge in den Verzeichnissen, wie es diese Beschreibung angibt! :-(

[Whistle]

das is der patch

Microsoft said a patch for the security hole is available at www.microsoft.com/technet/security/Bulletin/MS05-039.mspx

keine ahnung ob der auch bei nem Deutschen windoof 2000 anwendbar ist

Ja des ist ein 2000er! Ich glaub dich schickt der Gott! ^^ Ich probier es gleich mal aus! Woher kommt der Wurm?

[acido]

weiß nicht ob der patch auch bei dem deutschen windows 2000 geht da die filez meistens nicht übereinstimmen meckert der dann und lässt das update nicht zu.

hab durch zufall nen bericht von dem virus im TV vorgestern gesehen.

wusste direkt was du meintest.

gab ja schon mal früher so ein virus der das system runter fährt , keine firewall an und bist 40sec online war der virus schon drauf.

die viren kommen noch nich mal über direkte internet seiten die verbreiten sich weiter die scannen ips ab ,und versuchen sich da drauf anzugreifen.

der virus war in den letzen tagen in den USA sehr verbreitet .

http://www.theinquirer.net/?article=25455

gruss

[acido]

und hier noch was auf deutsch ^^

Der Wurm namens Zotob nutzt die Schwachstelle der Plug&Play-Schnittstelle, um Windows-Systeme übers Netz zu infizieren. Microsoft hat letzte Woche einen Patch für dieses Problem bereit gestellt; bereits wenige Tage danach sind erste Exploits veröffentlicht worden. Mittlerweile zählt beispielsweise Symantec bereits die Variante E des Wurms, Nach Informationen der Antiviren-Hersteller läuft der Wurm nicht nur auf Windows 2000, sondern kann, auf Systemen mit Windows 95/98/Me, NT4 und Windows XP gestartet, diese Systeme nutzen, um andere Rechner, die übers Netz erreichbar sind, zu infizieren. Die Backdoor-Funktionen etwa entfaltet Zobot bislang nur unter Windows 2000. Trend Micro warnt zudem vor dem Wurm unter dem Namen WORM_RBOT.CBQ, der an den Infektionen der US-Systeme über die Plug&Play-Sicherheitslücke beteiligt sein soll und auf infizierten Systemen über IRC-Channel auf Befehle wartet. McAfee beschreibt diesen Wurm als W32/IRCbot.worm!MS05-039.

Anwender sollten so schnell wie möglich die von Microsoft herausgegebenen Patches für die jüngst bekannt gewordenen Sicherheitslücken, darunter das Leck in der Plug&Play-Schnittstelle, installieren. Weitere Hinweise zum Schutz vor Viren und Würmen bieten die Antiviren-Seiten von heise Security

link zu den anderen updates

http://www.heise.de/security/news/meldung/62641

[acido]

Antivirenhersteller melden eine Flut neuer Würmer und Bots, die die Plug&Play-Schwachstelle unter Windows 2000 ausnutzen. Derzeit benutzen die Hersteller für die verschiedenen Varianten die Namen Zotob, Bozori, IRCBot, RDBot, Esbot, Mytob, CodBot, SDBot und Drudgebot -- jeweils mit verschiedenen Suffixes. Allerdings gibt es hier zahlreiche Überschneidungen. Während Bitdefender den Wurm Zotob.D nennt, heißt er bei Kaspersky Bozori.A, bei Panda IRCbot.KC und bei Sophos sogar Tpbot-A.

Trotz der Dubletten ist die Zahl der Zotob-Varianten beeindruckend. Offenbar stammen die Schädlinge von mehreren konkurrierenden Programmierern. Nach Einschätzung von F-Secure könnte es sich um einen Wettstreit von zwei oder drei Gruppen von Virenschreibern handeln, die um das größte Netzwerk infizierter PCs streiten. So versucht beispielsweise Zotob.F nach einer Infektion eventuell bereits laufende Bozori- und IRCBot-Würmer abzuschalten. Im Gegenzug machen Bozori-Ableger die Runde, die Zotob-Prozesse und weitere Plug&Play-Würmer abschießen. Einen ähnlichen Kleinkrieg gab es bereits 2004 zwischen den Autoren von Netsky und MyDoom.

Zusätzlich zum Exploit zur Plug&Play-Lücke verfügen einige der Würmer über weitere Tricks. So nutzen die RDBots laut F-Secure auch die über ein Jahr alte LSASS-Lücke aus. Zotob.C soll zudem in der Lage sein, sich über eine eigene SMTP-Engine zu versenden. Allein Trend Micro weist aber darauf hin, dass die Engine nicht richtig arbeitet. Anderfalls wären auch andere Windows-Systeme gefährdet, die nach einer Infektion als Ausgangsbasis für weitere Angriffe fungieren. Bislang wurden auch noch keine Samples per Mail registriert.

Wie stark sich die Schädlinge bislang verbreitet haben ist nicht klar. Nach den ersten Berichten über Infektionen von CNN, ABC, Walt Disney und der New York Times sind die Berichte über weitere neue Fälle abgeflaut. Einige Hersteller von Antivirensoftware sind auf der höchsten Alarmstufe, andere dagegen nur auf "Yellow" oder "Mittel".

Um das Risiko einer erfolgreichen Infektion durch das PnP-Gewürm zu beseitigten, genügt es, den von Microsoft zu Verfügung gestellten Patch zu installieren. Wer sich bereits infiziert hat, kann eine Desinfektion unter anderem mit McAfees kostenlosem Stinger-Tool oder Trend Micros Sysclean Package wagen.

Update

Trend Micro hat seine Beschreibung zu Zotob.C korrigiert. Demnach ist der Wurm durchaus in der Lage sich per SMTP zu verbreiten.

Der Hersteller Kaspersky übt derweil gemäßigte Kritik an der Berichterstattung einiger Medien. So habe Kaspersky zwar recht früh Signaturen für Zotob veröffentlicht, aber noch keine einzige Infektion registiert. Auch sei der Netzwerkverkehr nicht nennenswert in die Höhe gegangen. Vergleiche einiger Publikationen mit der früheren Sasser-Epidemie seien daher unzulässig. Einige der veröffentlichten Informationen sind nach Meinung des Herstellers zu spekulativ und nicht durch Fakten zu untermauern.

[DJF-O-G]

Wie ich schon allzu oft zu sagen pflegte, verzichte auf teure Programme und hol dir Avast (www.alwil.com).

Erkennt dir den Zotob, hat einen netten Autoupdater, nur dreh die Boxen in der Nacht nicht auf *gg*