le trojan?

by nicon • 24 Jul 2010, 12:11 • Journals
hello,
i had a weird popup after boot recently, titled '#' saying 'BOT NOT CRYPTED' with clickable 'OK', but google didnt give me any results, so i let hijackthis do a system scan which gave me one malicious file, which i checked with both antivir & malwarebytes with no result, therefore i just simply shift+del'ed the file..
now the popup is gone on startup, but in the running processes theres only the filepath gone, not the 04-HKCU/.../Run: [{E32randomlettersnumbers}] "C://..old deleted filepath"
analysis says 'Schädlich[means 'bad'] (2.6 / 5.00)'

so how can i get also this out of my running processes and is it rly harmful?

(it was "Izgec\ihim.exe" in the application folder, but as google didnt give any results, i doubt you know it)
Comments
35
▼
Jonasty 24 Jul 2010, 13:11
your bot expired
▼
yellowparrot 24 Jul 2010, 13:20
you sir are ingenious. you just solved a problem
Parent
▼
Jonasty 24 Jul 2010, 13:31
ga me u velo rijde n oob
Parent
▼
yellowparrot 24 Jul 2010, 13:38
alleen als gij meegaat :(
Parent
▼
strN 24 Jul 2010, 13:12
format :/
▼
HellHammer 24 Jul 2010, 13:12
Has anyone really been far even as decided to use even go want to do look more like?
▼
Sungi 24 Jul 2010, 13:17
what is this
i dont even
Parent
▼
nicon 24 Jul 2010, 13:20
:DDDDDDDDDDDDDDd wat
e: oh its 4chan-post:(
Parent
▼
luuurtz 24 Jul 2010, 13:45
There were four people named Everybody, Somebody, Anybody, and Nobody. There was an important job to be done and Everybody was sure that Somebody would do it. Anybody could have done it, but Nobody did it. Somebody got angry about that because it was Everybody’s job. Everybody thought Anybody could do it, but Nobody realized that Everybody wouldn’t do it. It ended up that Everybody blamed Somebody when Nobody did was Anybody could have done.
Parent
▼
strN 24 Jul 2010, 13:21
image: 19637_221229818756_668813756_3124050_6452608_n
▼
Predje 24 Jul 2010, 13:22
what the o.0
Parent
▼
pala 24 Jul 2010, 13:27
i remember a better picture of this sentence in something similar :o
Parent
▼
cutee 24 Jul 2010, 13:59
image: lolol1274999802190
fuck censorship :p
Parent
▼
strN 24 Jul 2010, 14:03
image: trollface
Parent
▼
cutee 24 Jul 2010, 14:04
xD
searched that pic :Pp
Parent
▼
Panda 24 Jul 2010, 14:16
lol was about to post that :D
Parent
▼
INSTi 24 Jul 2010, 13:27
complete wipe imo
▼
Saevio 24 Jul 2010, 13:27
Try asking there www.trojaner-board.de they usually help and know better than us here. :)
▼
nicon 24 Jul 2010, 13:29
joar, hasse es nur mich überall zu reggen, deswegen wollt ick erstma hierfragen :s
Parent
▼
Saevio 24 Jul 2010, 13:33
Sieht für mich nach nem Bootkit aus.

Lad dir den hier: http://www.esagelab.com/resources.php?n=4
Dann kopier remover.exe zu C:\Windows\System32
Ausführen -> cmd -> remover (da das in deinem system32 ist, musst du nicht nen Ordner suchen).

Sag uns, was der remover so über deine Partition aussagt ;)
Parent
▼
nicon 24 Jul 2010, 13:38
'unknown boot code'
blabla remover.exe dump/fix
Parent
▼
Saevio 24 Jul 2010, 13:42
Also hat sich da echt ein Bootkit eingeschlichen.

remover.exe fix \\.\PhysicalDriveX

X mit der Zahl des Drives ersetzen bei dem der bootcode ist, notfalls mit allen. Danach beim ersten Boot sofort Virenscan.
Parent
▼
nicon 24 Jul 2010, 13:47
ich kenn mich mit sowas nicht im geringsten aus:D
drive?bootcode? :s
Parent
▼
Saevio 24 Jul 2010, 13:49
Ähm

Das ganze mit dem Remover sieht doch so aus:

Size Device Name MBR Status

149GB \\.\PhysicalDrive0 OK Unknown Boot Code
149GB \\.\PhysicalDrive1 OK Unknown Boot Code

Und du machst jetzt remover fix \\.\PhysicalDrive0
remover fix \\.\PhysicalDrive1

etc bis du alle durch hast

dann neu starten und virenscannen, und zwar beim ERSTEN pc start
Parent
▼
nicon 24 Jul 2010, 14:10
hab nur PD0, gibt nischt mehr, also nur den nehm ich ma an
antivir-scan, nicht hjt!?
Parent
▼
nicon 24 Jul 2010, 14:16
kann den nur über den bootkit-remover ordner ausführen, (nich mit cmd..) da is er aber schon bei 'press any key to exit' :s
Parent
▼
Saevio 24 Jul 2010, 14:18
Du tust die remover.exe ins c:\windows\system32

dann start -> ausführen -> cmd

da tippste das ein:
remover fix \\.\PhysicalDrive0
Parent
▼
nicon 24 Jul 2010, 14:35
änderung in systemkonfiguration nach neustart festgestellt und will jetz nochmal neustarten, tun oder erst virenscan? :o
Parent
▼
Saevio 24 Jul 2010, 14:38
sofort virenscan. da versucht der trojaner sich wieder in den bootsektor reinzuschreiben, damit der nicht gelöscht werden kann. einfach nicht neustarten, sofort scannen.
Parent
▼
nicon 24 Jul 2010, 14:45
damn it:s dann das ganze nochmal
Parent
▼
Saevio 24 Jul 2010, 14:46
ach und logg dich ned in e-Banking oder so ein, wer weiß was das Teil so macht ;)
Parent
▼
nicon 24 Jul 2010, 14:54
mach grundsätzlich nichts was priv. daten zu tun hat am pc=)
antivir sowie malwarebytes läuft jetz mal durch
Parent
▼
wsk 24 Jul 2010, 13:40
le nicon est très bon
Back to top