ICQ Virus

[Heimdall]

Es ist ein gefährlicher ICQ Virus im Umlauf!

Wenn ihr also eine Nachricht erhalten solltet von irgendwem, in dem es um ein brutales Mini Spiel geht, und eine URL mit dem Spiel:

Auf keinen Fall runterladen, und starten!
Avira AntiVir erkennt diesen Virus nicht. Kaspersky Internet Security schon!
Egal von wem die Nachricht ist! Nicht öffnen! Und den jeweiligen User darauf hinweisen, dass er sich einen Virus eingefangen hat.

MfG HeimDaLL

 

[Compiler]

Vielen Dank für die Nachricht Heimdall,
wenn ich einen Patch gegen den Virus finde, werde ich ihn hier veröffentlichen.

Interessant wäre ein HiJackThis Log von einem infiziertem System.

 

[z0Ink]

Wie gesgt, ich habe ja im Eifer des Gefechts einen Thread dazu geöffnet unter Ankündigungen und Regeln. Kann in dem Fall gelöscht werden. Ich habe mir das Teil eingefangen.

Frage: Reicht es wenn ich ICQ deinstalliere oder sollte ich Windows neu drauf machen?

 

[Compiler]

Wie gesgt, ich habe ja im Eifer des Gefechts einen Thread dazu geöffnet unter Ankündigungen und Regeln. Kann in dem Fall gelöscht werden. Ich habe mir das Teil eingefangen.

Frage: Reicht es wenn ich ICQ deinstalliere oder sollte ich Windows neu drauf machen?

Mach mal ein HiJackThis Logfile und poste es bitte hier. Ich will gerne mal gucken was da genau passiert.
Ansonsten würde es reichen, wenn du dir QIP installierst und das Passwort von deinem ICQ Account ändern würdest. Der Virus wird wohl solche Exoten wie QIP nicht kennen.

 

[Heimdall]

Logfile of HijackThis v1.99.1
Scan saved at 17:33:15, on 20.01.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Mozilla Firefox 3 Beta 1\firefox.exe
D:\Ashampoo Magical Defrag\bin\aDefragService.exe
D:\Kaspersky Internet Security 7.0\avp.exe
D:\NVIDIA Corporation\nTune\nTuneService.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\PnkBstrA.exe
C:\Programme\Virtual CD v8\System\VC8SecS.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
D:\Kaspersky Internet Security 7.0\avp.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\wuauclt.exe
D:\MirandaX 4Gamers 1.5\miranda32.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Dokumente und Einstellungen\HeimDaLL\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = 
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {2F364306-AA45-47B5-9F9D-39A8B94E7EF7} - (no file)
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O4 - HKLM\..\Run: [Win32 Service] C:\WINDOWS:Win32Service.pif
O4 - HKCU\..\Run: [Adobe Update] C:\WINDOWS:Win32Service.pif
O8 - Extra context menu item: Alles mit FlashGet laden - E:\d\FlashGet\jc_all.htm
O8 - Extra context menu item: Hinzufügen zu Kaspersky Anti-Banner - D:\Kaspersky Internet Security 7.0\ie_banner_deny.htm
O8 - Extra context menu item: Mit FlashGet laden - E:\d\FlashGet\jc_link.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: Statistik für Web-Anti-Virus - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - D:\Kaspersky Internet Security 7.0\SCIEPlgn.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O11 - Options group: [INTERNATIONAL] International*
O20 - AppInit_DLLs: D:\KASPER~1.0\adialhk.dll,wbsys.dll
O20 - Winlogon Notify: klogon - C:\WINDOWS\system32\klogon.dll
O20 - Winlogon Notify: WBSrv - D:\WIC114~1\wbsrv.dll
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: Ashampoo Defrag Service (AshampooDefragService) -   - D:\Ashampoo Magical Defrag\bin\aDefragService.exe
O23 - Service: Kaspersky Internet Security 7.0 (AVP) - Unknown owner - D:\Kaspersky Internet Security 7.0\avp.exe" -r (file missing)
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: nTune Service (nTuneService) - NVIDIA - D:\NVIDIA Corporation\nTune\nTuneService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe
O23 - Service: Virtual CD v8 Management Service (VC8SecS) - H+H Software GmbH - C:\Programme\Virtual CD v8\System\VC8SecS.exe

Es ist halt jetzt nichts gestartet da des mir meinen ganzen Systemstart geschrottet hat. Nichts außer Sound und mein WindowBlinds startet...

 

[Compiler]

Für mich sieht es danach aus, dass die Datei "C:\WINDOWS:Win32Service.pif" der ICQ Virus ist.

 

[Heimdall]

Ich hab ihn, dank dem Tipp von Compiler, wegbekommen:

Abgesicherter Modus starten
Regedit ausführen, dort alles mit den Namen Win32Service suchen und löschen.
msconfig ausführen und dort auch alles mit Win32Service rauslöschen.
Neustarten. Fertig.

 

[z0Ink]

Gut, ich habe Windows neu draufgemacht, war wohl zu voreilig, startet jetzt dein Antiviren Proggie wieder Heimdall?

 

[Heimdall]

Naja, habs halt wieda in Autostart machen müssen. Jetzt wurde wenigstens mal der Autostart ausgeräumt 😀