Top-Themen

AppleEntwicklungHardwareInternetLinuxMicrosoftMultimediaNetzwerkeOff TopicSicherheitSonstige SystemeVirtualisierungWeiterbildungZusammenarbeit

Aktuelle Themen

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit

Hilfe Virusalarm!

Frage Netzwerke

Mitglied: Sysi

Sysi (Level 1) - Jetzt verbinden

06.10.2004, aktualisiert 07.10.2004, 5381 Aufrufe, 8 Kommentare

Hi leutz!

Habe nen Virus im Netz der mir langsam aber sicher alle Server vernichtet!
Sieht aus wie ein Blaster/Sasser, jedoch die Anti-Blaster/Sasser - Tools finden nichts.
Es kommt immer wieder die Meldung Pc wird nach 1 min heruntergefahren.

Das Commando: Shutdown -a FUNKTIONIERT NICHT

hoffe mir kann jemand was genaueres darüber sagen
Mitglied: Kessl
06.10.2004 um 13:08 Uhr
Hi

lass doch mal mcafees stinger drüberlaufen der hat bisher bei mir noch alles entdeckt! ( http://vil.nai.com/vil/stinger/ )

Natürlich schleunigst die entsprechenden Patches aufspielen!

Wahrscheinlich ist es das besten du trennst die entsprechenden Maschinen so lang vom Netz bis sie Wurm frei sind und alle Patches haben!
Bitte warten ..
Mitglied: defcon3
06.10.2004 um 15:06 Uhr
Hi,

neben Stinger, der wirklich gut und schnell ist, kannst Du auch mal Trend Micros OnlineScanner drüberlaufen lassen. Findest Du unter:

http://de.trendmicro-europe.com/enterprise/products/housecall_launch.ph ...

Viel Erfolg.

Grüsse

defcon3
Bitte warten ..
Mitglied: lou-cypher25
06.10.2004 um 15:51 Uhr
Wenn Dir ein Wurm o.ä. alle Server vernichtet, solltest Du vieleicht drüber nachdenken ALLES zu trennen und einen Server nach dem Anderen anzugehen ???

Christian
Bitte warten ..
Mitglied: linkit
07.10.2004 um 07:01 Uhr
Hallo,

1. @Nowitzki: erstmal diesem Rat folgen... so einen Rechner / Server etc. immer isolieren

2. Dies kann nur durch einen Virus, Wurm etc. ausgeführt werden, wenn nicht die Sicherheitsupdates für RPC installiert wurde => somit wahrscheinlich Fehler von Admin.
=> Also erstmal alle Rechner mit aktuellen Updates versorgen, damit du genügend Zeit hast bei diesem Problem zu suchen, sonst fährt die Kiste ständig runter.

3. Es gibt mehr Würmer, die sich dieser Sicherheitslücke bedienen: beispiel gabot.... teilweise hebeln diese sogar den Virenscanner aus. Aber alle haben hier etwas gemeinsam, entweder stehen diese unter den RUN Einträgen in der Registry oder du findest diese ganz leicht in den laufenden Prozessen.
a) Geh also folgendermaßen vor: Schau alle Prozesse mit dem Taskmanager durch und gib deren Namen bei Google ein und schau, was sich hinter diesem Prozess verbirgt.
Achtung: Genau auf Schreibweise achten: Beispielsweise ist LSASS ein Systemdienst, aber LSAS ein Virus....
b) Schau dir die ganze Registry durch (nicht mit msconfig) nach dem Schlussel RUN (ganze Zeichenfolge vergleichen).... auch hier die einzelnen Calls vergleichen mit Google, falls du nicht weißt, was dahinter steckt.
4. Wenn du den Wurm gefunden hast, bei Symantec etc. den Fix oder Anleitung runterladen, wie man diesen entfernt....
5. Für die Zukunft, Sicherheitsplan ausarbeiten und umsetzen. Updates, Virenscanner, Firewall entsprechend anpassen.
Bitte warten ..
Mitglied: linkit
07.10.2004 um 07:03 Uhr
Anmerkung: Falls der Rechner immer zu schnell runterfährt und du das RPC Sicherheitsupdate nicht installieren kannst...


=> Task manger aufrufen => Prozess liste => hier ein Screenshot oder Digibild machen von allen Porzessen und an einem anderen Rechner wie beschrieben nachgucken, was das alles ist.
=> Wurm gefunden => Prozess beenden oder in der Registry unterbinden.
Bitte warten ..
Mitglied: 5398
07.10.2004 um 15:33 Uhr
Ich kenne noch keinen Virus, der sich im abgesicherten Modus starten kann ;)

PC vom Netz nehmen und im abgesicherten Modus starten.
Folgende Keys umbenennen:
Local_Machine\Software\Microsoft\Windows\Current Version\Run
Current_User\Software\Microsoft\Windows\Current Version\Run
Falls vorhanen auch RunOnce oder Run Service beachten.

Autostart-Ordner umbenennen und in Win.ini den load und run Eintrag umbenennen (falls gefüllt)

Danach kann der PC normal gestartet werden und mit normalen Virensoftware geprüft und gesäubert werden, da der Virus nicht mehr aktiv ist.
Bitte warten ..
Mitglied: lou-cypher25
07.10.2004 um 15:51 Uhr
@5398

Deine Aussage halte ich für gewagt und unter Umständen gefährlich.

Sicher muß ein Virus einen auslösenden Mechanismus haben, der ihn zum Start veranlasst.
Aber nur weil dies bei den großen Epidemien der letzten 3 Jahre nicht vorkam, gibt es dennoch Viren die eben nicht an diese Autostartgeschichten gebunden sind und sich an beliebige Prozesse hängen können.
Ein Start im "Abgesicherten Modus" bietet daher genausowenig Sicherheit, wie die Deaktivierung der Autostarteinträge im "Normalen Modus".

Aus meiner Sicht ist die Isolation des befallenen Systems und das Scannen mittels einem sauberen System (z.B. Livelinux mit Einbindung aktueller Virenkennungen), die beste Variante ein System zu bereinigen.

Christian
Bitte warten ..
Mitglied: linkit
07.10.2004 um 18:56 Uhr
@5398

Muß hier meinem Namensvetter Christian absolut folgen... wegen Übelkeit macht keiner eine Magenoperation... ich halte das Umbenennen der Schlüssel nicht nur für gefährlich, sondern außerdem auch für absolut überzogen. Gefährlich deshalb, weil es durchaus in diesen Schlüsseln Werte geben kann, die für einen Netzwerkbetrieb unerlässlich sind, beispielweise nistet sich der Novellclient hier unter anderem gerne mit ein.

Außerdem gibt es sehr wohl viren, denen der abgesicherte Modus absolut wurscht ist und für die der RUN keine Rolle spielt... aktuelle PC-Welt lesen => ausführende Schlüssel...
Bitte warten ..
Neuester Wissensbeitrag
Windows 10

Powershell 5 BSOD

(8)

Tipp von agowa338 zum Thema Windows 10 ...

Heiß diskutierte Inhalte
Microsoft
Ordner mit LW-Buchstaben versehen und benennen (21)

Frage von Xaero1982 zum Thema Microsoft ...

Netzwerkmanagement
gelöst Anregungen, kleiner Betrieb, IT-Umgebung (18)

Frage von Unwichtig zum Thema Netzwerkmanagement ...

Windows Update
Treiberinstallation durch Windows Update läßt sich nicht verhindern (17)

Frage von liquidbase zum Thema Windows Update ...