Merkwürdige Viren auf der Festplatte

[Das Verbrechen]

Werte Gemeinde,

Ich habe meine Festplatte geclont.
Jetzt habe ich nach einem Routinescan lauter Virenmeldungen und zwar in den Versteckten Dateien und Verzeichnissen der Partitionen. Ich habe zwei vorhandene Partitionen in der Größe verändert und zwei hinzugefügt. Geclont habe ich mit clonezilla, und die Partitionen mit Paragon geändert.

Bei den als Viren gemeldeten Dateien geht es jeweils im einzelnen um:

• autorun.inf
• RECYCLER/S-5-3-42-2819952290-8240758988-879315005-3665/jwgkvsq.vmx
• System Volume Information/_restore---bla---bla.inf

Die Dateien können nicht gelöscht werden, auch nicht nach wegklicken des Schreibschutzes. Der wird automatisch wieder erstellt. Das Verzeichnis der letzten Datei kann man nicht mal öffnen. Der RECYCLER ist m.W. der Mülleimer. Autorun z.B. will ich gar nicht haben. Immer, wenn ich die Festplatte anschließe, werden automatisch alle Partitionen gescannt und lauter Inhalts-Fenster poppen auf. Das nervt. Wozu habe ich meinen WinCommander?

Was kann ich tun?

[steckl]

Hi,

Ich habe meine Festplatte geclont.

Meinst du mit clonen, dass du ein Image erstellt hast?

Jetzt habe ich nach einem Routinescan lauter Virenmeldungen und zwar in den Versteckten Dateien und Verzeichnissen der Partitionen. Ich habe zwei vorhandene Partitionen in der Größe verändert und zwei hinzugefügt. Geclont habe ich mit clonezilla, und die Partitionen mit Paragon geändert.

Was genau haben die Viren mit dem Clonen zu tun?

Die Dateien können nicht gelöscht werden, ...

Es waere ohnehin nicht gesagt, dass das Loeschen dieser Dateien dein Problem loest. Vielleicht liegt noch irgendwo anders auf deiner Festplatte ein Programm, das diese Dateien immer wieder neu erzeugt (Stichwort Rootkit).

Was kann ich tun?

Sind die Viren nur in den Images, oder auch im Original?
Wenn sie ueberall sind waere es am besten, wenn du den PC neu aufsetzt, also komplett platt machst und das Betriebssystem neu installierst.

mfG,
steckl

[Das Verbrechen]

Meinst du mit clonen, dass du ein Image erstellt hast?

nein, geclont. Eine Festplatte komlett auf eine andere kopiert.

am besten, wenn du den PC neu aufsetzt, also komplett platt machst und das Betriebssystem neu installierst.

äh danke, aber genau dafür habe ich mir nicht eine Sicherheitskopie der gesamten SAUBEREN Platte gemacht, um hinterher das System neu zu installieren.

[Steel]

Hi!

Was kann ich tun?

Mit 9.- in den naechsten Laden spazieren und das aktuelle c't Special mit Knoppicillin drauf kaufen. Knoppicillin booten und nach Viren, Rootkits, etc. scannen. Falls das nichts findet, darfst Du ueber das Linux, das auf der Scheibe drauf sein sollte die Daten weghauen und mal schauen ob was passiert.

[Encoder]

Eine inf Datei ist eigentlich reiner Text. Schau mal mit einem Texteditor oder Hexeditor rein, was da drin steht.
Klingt seltsam.

[Jens Holzkämper]

Tach,

Eine inf Datei ist eigentlich reiner Text. Schau mal mit einem Texteditor oder Hexeditor rein, was da drin steht.

kann allerdings ausführbaren Code enthalten, ähnlich wie .cmd, .bat, .pif.

mfg
Woodfighter

[Das Verbrechen]

Conficker heißt mein Wurm übrigens und kido (wohl eine Variante). scheint besonders pervers zu sein und direkt mit autorun ausgeführt zu werden. Meine autorun.inf sind anscheinend Binärdateien - lauter Rechtecke. Die anderen Dateien kann ich gar nicht erst öffnen.

Hier im iNet-Cafe produzieren sämtliche Links auf Löschtools zu conficker "Seitenladefehler". Hat der Wurm hier auch seine Finger im Spiel?

[Vinzenz Mai]

Hallo,

Conficker heißt mein Wurm übrigens und kido (wohl eine Variante). scheint besonders pervers zu sein und direkt mit autorun ausgeführt zu werden. Meine autorun.inf sind anscheinend Binärdateien - lauter Rechtecke. Die anderen Dateien kann ich gar nicht erst öffnen.

ich sag's ja: es ist eine sehr gute Idee, autorun grundsätzlich abzuschalten.

Hier im iNet-Cafe produzieren sämtliche Links auf Löschtools zu conficker "Seitenladefehler". Wenn der Rechner infiziert ist, ist das denkbar. Nimm übrigens einen neuen USB-Stick, falls Du die Dateien nicht auf CD brennen kannst.

http://de.wikipedia.org/wiki/Conficker#Beseitigung
ein paar Links ausprobiert, gehen.

Freundliche Grüße

Vinzenz

[Das Verbrechen]

ich sag's ja: es ist eine sehr gute Idee, autorun grundsätzlich abzuschalten.

jo, den Thread habe ich auch gefunden ;-) Mittlerweile hab ich den Scheiß auch abgeschaltet. Soll man erstmal drauf kommen, daß das geht. Wer fummelt schon täglich in der Registry rum... Auch ohne Virus nervt Autorun nur ab.

http://de.wikipedia.org/wiki/Conficker#Beseitigung
ein paar Links ausprobiert, gehen.

Genau die gingen in dem besagten iNet-Cafe tatsächlich nicht. Hier in der Bücherei gehen sie. Der Virus scheint wirklich perfide. Mittlerweile habe ich ihn gelöscht. Mit dem Micro$osft-Programm geht das ganz gut. Schon eigenartig - erst programmieren se Sicherheitslücken und dann die Rettungssoftware. Ist doch doppelte Arbeit ;-)