|
Symptome:
Die albewerten Entfernungsprogramme, wie Hijackthis, Adware oder das neue von Microsoft scheitern an der Datei msdirectx.sys. Nach erfolgreichem entfernen, ist die der Trojaner nach einem Neustart wieder auf dem Rechner. Sogar das Removal Tool von Symantec W32.Mytob.AR@mm-Removal-Tool scheint bei manchen Usern nicht den gewünschten Effekt zu bringen.
Wenn man die Msdirectx.sys per Hand löscht, ist sie binnen 30 Sekunden wieder da. Das deaktivieren der Dienste SCA und NetworkClient bringt anscheint auch nichts.
Will man alle Registry Einträge über Regedit Löschen, weigert Windows sich den Schlüssel "HKLM\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_MSDIRECTX" zu löschen.
Verbreitung:
Der Wurm/Trojaner verbreitet sich über Netzwerkfreigaben und nütz eine Sicherheitslücke im RPC Dienst aus, wie auch schon der Blaster, der LSASS (Sasser) und viele mehr.
Lösung1:
In google findet man leider hauptsächlich Lösungsvorschläge wie Formatieren, aber das wollen ja die wenigsten.
In der Registry befindet sich noch ein Eintrag einer „SYSMON32.EXE“ diese übernimmt den Computer und ermöglicht das sich die MSDIRECTX.SYS immer wieder installiert und der Trojaner so nicht von der Platte verschwindet.
Die Beste Lösung ist es die Platte als SLAVE an einen anderen Rechner anschließen (Knoppix-Start-CD mit NTFS-Zugriff) und dann die Dateien MSDIRECTX.SYS und SYSMON32.EXE löschen, danach alles durch den Virenscanner laufen lassen. Festplatte wieder an den Rechner, Registry Einträge entfernen und noch einen Virenscann und Hijackthis durchlaufen lassen.
Lösung2:
- Starte den Rechner im abgesicherten Modus (F8)
- Starte msconfig
- Entferne aus der Startliste msnt.exe
- Starte neu im abgesicherten Modus
- Dos Eingabe Fenster
- >> suche die msdirectx.sys und lösche sie (Windows/system32
- >> suche die msnt und lösche sie (Windows/prefetch
- lösche aus der Registry alle Einträge mit den entsprechenden Namen
Nachtrag: Inzwischen gab es ja den Sony-Rootkit Skandal indem ein Sicherheitsexperte aufgedeckt hat, das Sony heimlich einen CD-ROM Filtertreiber installiert. Daraufhin kam die ganze Problemtaik ans Licht und es stellte sich herraus, das kein Antivirus Programm einen Rootkit beseitigen kann. Da sich die neuen Rootkits gut verstecken, es gibt bereits welche die sich deaktvieren wenn ein Scan läuft. Der Tipp von den Antiviren Hersteller ist nicht gerade begeisternd. "Lassen sie die Rootkits gar nicht erst auf ihren Rechner". Gar nicht so einfach, wenn man bedenkt, dass einige Rootkits sich als Viren tarnen. Ein gutes Programm gegen Rootkits scheint F-Secure Blacklight (Blacklight Rootkit Revealer) zu finden unter http://www.f-secure.de/blacklight/
|
![[Valid RSS]](valid-rss_1421.png "Validate my RSS feed"){kind=small}
