OFF TOPIC: Hilfe gesucht zur Virenbeseitigung

Hallo,

vielleicht kann mir jemand aus dem Forum helfen, es sind ja etliche Leute hier, die sich gut mit Computers auskennen.
Ich sitze hier bei Verwandten vor einem völlig vervirten/verwirrten Computer und habe versucht, mittels AntiVir und Ad-Aware diesen zu säubern. Ersteres Programm hatte rund 70 Meldungen, Ad-Aware immerhin 660, wobei da auch viel Cookies etc. dabei waren. Naja, dachte alles sei in Ordnung, doch müssen immer noch Spy-Programme im Computer existieren, die sich immer wieder neu regenerieren.
Sie treten immer nur bei Benutzung des InternetExplorers auf, nicht bei Netscape. Oberfläche ist übrigens Windows 98. Es handelt sich wohl um zwei Programme, von denen eines "Ebates" oder ähnlich heißt, das andere "180Solutions". Die erste Meldung die immer bei Benutzung des IE kommt lautet:
C:/windows/temp/SE.DLL ist das Trojanische Pferd TR/StartPage.qr.DLL
Dann sagt mir AntiVir, dass die Datei gemäß den Standardeinstellungen blockiert sei. Anschließend kommen meist eins oder zwei Popup-Fenster mit Warnhinweis, der COmputer sei "exposed to parasites known as spy-ware" und man möge doch bitte hier den entsprechenden Virenschutz herunterladen. Was ich unterlassen habe, ich hab' ja zwei Virenprogramme. Diese SE.DLL Datei habe ich manuell im entsprechenden Ordner gelöscht, aber die Meldungen kommen weiterhin
Übrigens hatte Ad-Aware sehr viele infizierte Dateien einem verzeichnis "C:/_RESTORE/ARCHIVE/...." gefunden, das wohl ein verborgener Ordner sein muss, denn ich kann ihn nicht finden. Ad-Aware konnte diese Dateien nicht löschen, doch werden diese nun bei einem Suchlauf nicht mehr angezeigt. Also sind sie wohl doch gelöscht??

Hat irgendjemand Erfahrung mit diesem "Ebates" bzw. mit dem problem an sich? Ich weiß leider nicht, wie ich das anpacken soll. Es werden übrigens noch mehr Trojanische Pferde oder Viren während der IE-Benutzung angezeigt, insgesamt ca. 6. Zwar seien diese Dateien laut AntiVir immer blockiert, doch die alle paar Minuten wiederkehrende Meldung nervt und zudem ist es nun so, dass der IE danach immer auf eine Anfangsseite "blank" zurückgesetzt wird - ein Surfen mit IE ist also derzeit nicht möglich. Mit Netscape keine Probleme ....

beste Dank für Hinweise,
Andreas

Hallo Andreas,

hier eine Beschreibung zum Entfernen von Ebates:

Troj/Ebates-A is a backdoor Trojan which runs in the background and allows unauthorised remote access to the computer via a network. The Trojan may also display browser popups related to web advertising.

The main SFX dropper creates a folder called EBATESMOEMONEYMAKER within the Program files folder and creates several files within the new folder.

Two of the EXEs dropped, EBATESMOEMONEYMAKER.EXE and EBATESMOEMONEYMAKERRUN.EXE, run in the background listening for commands from a remote location.

Troj/Ebates-A creates the following entry in the registry to run EBATESMOEMONEYMAKERRUN.EXE on system restart:

HKLM\Software\Microsoft\Windows\CurrentVersion\
Run\ EbatesMoeMoneyMaker =

EBATESMOEMONEYMAKERRUN.EXE then runs EBATESMOEMONEYMAKER.EXE after several minutes have elapsed.

Troj/Ebates-A also drops the file MSBB.EXE within the Programs files folder.

Troj/Ebates-A can be uninstalled via "Add/Remove" in within the Control Panel but this may not remove all files and registry entries created by the Trojan.

Windows NT/2000/XP/2003

In Windows NT/2000/XP/2003 you will also need to edit the following registry entry. The removal of this entry is optional in Windows 95/98/Me. Please read the warning about editing the registry.

At the taskbar, click Start|Run. Type 'Regedit' and press Return. The registry editor opens.

Before you edit the registry, you should make a backup. On the 'Registry' menu, click 'Export Registry File'. In the 'Export range' panel, click 'All', then save your registry as Backup.

Locate the HKEY_LOCAL_MACHINE entry:

HKLM\Software\Microsoft\Windows\CurrentVersion\
Run\ EbatesMoeMoneyMaker =

and delete it if it exists.

Close the registry editor.

Nach nem Reboot sollte dat Dingens dann weg sein.

Grüsse
Christian

Hallo Andreas,

während sich der Ebates wie oben beschrieben, noch relativ problemlos
entfernen lässt, handelt es sich bei dem 180solutions um ne ganz schön
harte Nuss. Gib mal im Google: 180solutions virus ein und lies mal
die diversen Forumthreads zu Entfernung. Die ziehen sich Seitenlang.
Da kann ich nur viel Glück und Geduld wünschen.

Achja, und Frohe Ostern noch an alle ;)
christian

hallo andreas,

ich kenne mich zwar mit beiden genannten viren/trojanern nicht aus, aber wenn ich in der uni sowas drauf habe, kriegt die edv-kollegin die dinger meist mit einem programm weg, dass sich "ERD Commander" nennt. dieses (irgendwoher bekommen,) als cd reinlegen, von cd booten, der commander "überlagert" dann gewissermaßen windows. man kommt wie im windows explorer an die dateien ran und kann sie dort löschen (was unter windows nicht geht).
da ich kein experte bin, hab ich keine ahnung, ob es noch andere, ähnliche programme gibt.

viel glück & frohe ostern!
simon

Hallo Andreas,

hatte schon mehrmals "das Vergnügen" mit solchen Virenschleudern.

Doch zunächst ein paar Sicherheitstipps:

Grundsätzlich sollten alle verfügbaren Windows-Updates eingespielt werden, um die bereits bekannten Sicherheitslücken des Betriebssystems zu schließen. Möchte man sich die vielen Einzel-Downloads und Installationen ersparen, lohnt es sich, eines der inoffiziellen Update-Packs runterladen und damit alle Updates auf einen Streich zu installieren:

http://download.winboard.org/downloads.php?release_id=586
http://www.nandlstadt.com/win98sp/beta.htm

Desweiteren sollten folgende Programme auf dem Rechner laufen: ein Antivirenprogramm (Antivir, hast Du ja bereits erwähnt), ein Antispywareprogramm (Ad-aware, hast Du ja bereits erwähnt) und eine Firewall (ich empfehle die Sygate Personal Firewall - http://www.sygate.de/ - für den Privatgebrauch kostenlos).

Mit diesen Vorsorgemaßnahmen kann eigentlich nichts mehr schief gehen.

Jetzt zur Säuberung des Systems. Leider kann ich Dir keine detaillierte Schritt-für-Schritt-Anleitung liefern, aber ich kann Dir grob sagen, wie ich der Lage Herr wurde:

1. Alle laufenden Prozesse anzeigen lassen
2. Schädliche Tasks aufspüren und beenden
3. Autostarteinträge in der Registrierung löschen
4. Schädliche Dateien von der Festplatte löschen

Erläuterung: Im Windows Task Manager werden nicht alle laufenden Prozesse angezeigt. Außerdem blockieren manche Schädlinge den Zugriff auf den Taskmanager, indem sie ihn nach dem Start gleich wieder beenden. Aus diesem Grund empfehle ich das alternative Tool "Proccess Explorer", das auf http://www.sysinternals.com/ntw2k/freeware/procexp.shtml kostenlos runtergeladen geladen werden kann. Im nächsten Schritt gilt es, nach den laufenden Tasks zu googeln, denn oftmals sind die Funktionen der Tasks unbekannt. So kommt man schnell dahinter, welche laufenden Prozesse schadhaft sind. Diese gilt es dann im Process Explorer zu killen. Ansonsten machen einige Schädlinge, die noch im Arbeitsspeicher geladen sind, den nächsten Säuberungsschritt einfach rückgängig. Denn jetzt müssen die Autostarteinträge, mit denen die Schädlinge beim Systemstart in den Arbeitsspeicher geladen werden, aus der Registrierung gelöscht werden. Dazu klickt man auf "Start", "Ausführen" und öffnet mit dem Befehl "regedit" den Registrierungseditor. Beim Löschen von Einträgen in der Registrierung bitte Vorsicht walten lassen! Die Registrierung ist quasi das Rückenmark von Windows.

Die Einträge der Tasks, die beim Systemstart geladen werden, findet man in diesen "Ordnern":

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnceEx

Im letzten Schritt werden schließlich die Schädlinge von der Festplatte gelöscht und der Rechner ist wieder sauber.

Ich hoffe, das hilft Dir ein wenig weiter.

Viele Grüße

Andreas

Hallo Andreas,
während sich der Ebates wie oben beschrieben, noch relativ problemlos
entfernen lässt, handelt es sich bei dem 180solutions um ne ganz schön
harte Nuss. Gib mal im Google: 180solutions virus ein und lies mal
die diversen Forumthreads zu Entfernung. Die ziehen sich Seitenlang.
Da kann ich nur viel Glück und Geduld wünschen.
Achja, und Frohe Ostern noch an alle ;)
christian

Hallo Christian und alle anderen,

besten Dank für die Tipps. Ich habe mich an das Forum Trojaner-Board gewandt und dort zwei verschiedene Hilfen bekommen. Zum einen ein Kurzprogramm zur Beseitigung, zum anderen der ausführliche Weg zur Erkennung und Entfernung mittels HiJackThis.
Scheint so als ob jetzt Ruhe eingekehrt wäre, aber bevor der IE nicht 24 Stunden ohne Meldung gelaufen ist glaub ich's noch nicht so recht ....

War ja zum Glück nicht mein Computer, der da betroffen ist sondern der von Tanjas Vater, aber schließlich wollen wir ja in den Ferien auch hier surfen können. Das gute Stück hatte weder ein Virenprogramm noch eine Firewall oder ein Spyware-Programm ....

beste Grüße,
Andreas

Hi Andreas,

Du hast ja schon ganz viele Antworten bekommen.
Etwas fehlte da aber:
http://www.linkblock.de

Les Dir das mal alles durch. Ist bestimmt eine gute Ergänzung. Man sollte doch alles immer aus wenigstens 2 Blickwinkel betrachten

Die Seite ist ebenfalls nett:
http://www.ulm.ccc.de/

Was nun richtige ist, das was du in Foren gelesen hast, oder das was ich Dir an links gegeben habe, muss Du entscheiden (ist ja "dein" Rechner)

Christophe

Vielen Dank,

habe mittlerweile dank des tollen Forums Trojaner-board alles soweit entfernen können (glaube ich). Und wenn der Besitzer dieses Computers statt IE zukünftig brav weiter den Netscape benutzt, so sollte es wohl auch so bleiben.
Für mich war's ne nette Übung am gott sei Dank nicht eigenen PC und außerdem ne interessante Erfahrung, was sich bei ein paar Jahren surfens ohne Virenschutzprogramm so alles ansammeln kann. Alleine in den temporären Internet files "Content.IE5" hatten sich rund 30.000 nutzlose files angesammelt .....

beste Grüße,
Andreas