Diese Links, die " /http://ecc-srv.htw-saarland.de/Professoren/ " enthalten, führen an einer Stelle zu einem Ramnit!a VIRUS!
Hab mir den Virus eingefangen, aber dann gefunden und zur Strecke gebracht.
Tip: Wenn man MS Office 12 benutzt: deaktivieren von Groove.exe und GrooveMonitor.exe !
Das ist eine SW zum Synchronisieren von Verzeichnissen und darf die Firewall überschreiten. Wenn Groovemonitor.exe in der Startup-Prozedur ist, dann kann es kritisch werden.
Man kann den Grove-mist aber einfach abhängen: Einstellen der Module im Control-Panel (install, deinstall, change). Dort im Office12 FileSynchronisieren mit Groove... AUSSCHALTEN.
Zur Sicherheit auch noch Groove.exe und Groovemonitor.exe auf die Blacklist der Firewall setzen.
Das Groove Paket ist eine 3.Partei Software, nicht von MS, aber innerhalb Office12 vertrieben und installiert. Es hat eine Schwachstelle, wo sich Viren einschleichen können.
Das Ding hat jedesmal, nachdem ein Virus Check alles sterilisiert hatte, den Virus sofort wieder von irgendwo im Web wieder 'aufgefrischt' (Synchronisieren von Verzeichnissen...).
Das Groove Paket ist obendrein ein Resourcen-Fresser!
Erst nachdem Groove weg ist, kann McAfee the Ram.nit!a Virus komplett und dauerhaft entfernen.
Außer daß der Virus hinderlich war, Google Suchen umgebogen hat und den Zugang zu Pages zB von McAfee unterbindet, scheint er nicht weiter schädlich zu sein, wenigstens hab ich nichts bemerkt.
Haltet Auschau im McAfee AccessProtectionLog nach
....Blocked by Access Protection rule NT AUTHORITY\SYSTEM System C:\Program Files\McAfee\VirusScan Enterprise\ShStat.exe Common Standard Protection:Prevent termination of McAfee processes Action blocked : Terminate
McAfee Update Process fails:
"Starting update session
Unable to find a valid repository
Update Process failed"
gibt es in C:\Program Files\McAfee\Common Framework ein
UDATERUI.EXE oder ein UPDATERUI.EXE ???
UDATERUI.EXE ist falsch
McAfee findet
Ramnit!rootkit Trojan in Memory
Python25.DLL in C:\Documents and Settings\JO\My Documents\....\bin
kann verseucht sein mit W32/Ramnit.a
Dies ist der Schurke
Located: HK_LM:Run, GrooveMonitor
command: "C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe"
file: C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe
size: 31072
MD5: 644795F6985C740F5E36E9336B837D0B
Gibt es diesen Eintrag in der Registry?
!!!!!!!!!!!!!!!!!!!!!!!!!
Located: HK_CU:Run, WekQxsnj
where: S-1-5-21-2212413462-2589800181-2619313026-1007...
command: C:\Program Files\oxsenpes\wekqxsnj.exe
file: C:\Program Files\oxsenpes\wekqxsnj.exe
size: 117090
MD5: C5ACFFC8FE2B83E336E31F258A5E7C2C
!!!!!!!!!!!!!!!!!!!!!!!!!
der legale Eintrag zu UserInit wird verfälscht zu
HKEY_LOCAL_MACHINE,"\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\","UserInit","<$SYSDIR>\userinit.exe,<$PROGRAMFILES>\oxsenpes\wekqxsnj.exe"
Nochmal
Wenn GrooveMonitor.exe in der Startup-Sequenz ist, dann wird der Virus bei jeden Reboot neu gefüttert.
Erst nachdem GrooveMonitor.exe weg ist kann McAfee den Virus komplett erlegen!
Fazit Linus und Condome schützen vor vielen Sachen...