help! ich komme nur sporadisch ins netz - virus?

  • Ersteller edgecrusher
  • Erstellt am
edgecrusher

edgecrusher

Registriert
20.08.04
Beiträge
1.544
Reaktionen
1
Punkte
1.628
hi @all

krise. seit heute nachmittag komme ich nur noch sporadisch ins www. ab und an erschien noch ein "advertisement" popup, aber dies ist mittlerweile verschwunden. dennoch, nach virus-scan, adaware und spybot immer noch keine besserung in sicht. offenbar ist pokapoka70.exe dran schuld - habe gegoogelt, aber die problemlösungen, die ich dort fand, sagten mir nicht viel, da keine ahnung von viren.

kennt jemand eine lösung oder ein gutes forum, an das ich mich wenden kann? ich will wieder surfen können...

danke und grüsse
edgecrusher
 
also wenns wirklich die datei is, dann such halt einfach mal danach und lösch sie?

kannst se im taskmanager beenden? was passiert dann?
 
Nabend,

Ich hab grad mal danach gesucht. Das ganze auf Deutsch zu kriegen ist irgendwie ned so:

salut hat alle. mein PC ist durch den Virus infecte system32 man mich hat verlangt zu kopieren, mein log von HijackThis zu kleben.
????

Nun gut.

Was du versuchen könntest ist folgendes.

Boote im Abgesicherten Modus.

ruf den taskmanager auf und geh auf Prozesse. Such nach der Pokapoke70.exe und markier diese. Dann mit Rechter Maustaste drauf und wähle "Prozess Struktur beenden".

Wenns im Abgesicherten Modus nicht geladen wird, also die Pokafallera, dann halt im Normalen Betrieb.

Als Nächstes musst du im Explorer "Alle Dateien Anzeigen" aktivieren.

Laut Anweisung im Netz musst du jetzt C:WINDOWSetbpokapoka70.exe komplett löschen.

Danach rufst du die Registry auf. Such mal nach etb oder pakapoka70.exe. Dursuche auch den Schlüssel HKEY_Local_Machine/Software/Microsoft/Windows/Run nach seltsamen Einträgen. Sollte sich hier ein Link zu der poka.exe befinden, ebenfalls löschen.

Sollte das alles nicht funzen, weis ich auch nicht mehr weiter. Solche links in der Registry können unter anderem auch auf .exe dateien verweisen die dieses Programm beim Systemstart über eine anders ausgelagerte datei erneut installieren.

haste eigentlich diesen Messenger Plus installiert?

Link Englisch

Hier wird mit adaware beschrieben, wie man das Problem notfalls lösen Könnte. Ist jedoch wohl auch nicht sehr von Erfolg gekrönt.

So Long
Gutes gelingen.

Butterfly

hier gibt´s den Highjackthis zum runterladen link

und hier ne online Auswertung link
 
mmhhh da fällt mir auch nicht viel zu ein

aber du könntest im startmenü unter "ausführen" mal
"msconfig" eingeben und dann erscheint eine liste
der programme, die beim systemstart starten.
dort kann man dann die häkchen wegmachen

vielleicht startet beim systemstart ein programm das stört ?

glaube zwar nicht das du da was erreichst, aber man muss ja alles durchchecken

gruss blitz
 
@Blitzdieter,

wird nicht sehr viel nützen. Da man auch Starteinträge per /hide Verstecken kann. So wie z.B den Windows Messenger in den Software Optionen.

Mach mal Spasseshalber die Sysoc.inf auf und entferne das hide zwischen den / /. Die / müssen dann zusammen sein. Abspeichern,

Edit

Sorry den , ,

Also msmsgs=msgrocm.dll,OcEntry,msmsgs.inf,hide,7 auf

msmsgs=msgrocm.dll,OcEntry,msmsgs.inf,,7

/edit

und geh dann mal auf Start/Systemsteuerung/Software/komponenten Hinzufügen bzw entfernen. Et Voila und schon kannste ihn deinstallieren. :D

Dieser Witz geht halt auch mit der registry. Run ist nämlich genau diese msconfig.

gruß
 
hi und danke@all

mittlerweile geht immer noch nichts. musste auf unseren 2. pc umziehen... kann es überhaupt sein, dass so ein was-es-auch-immer-ist den internetzugang blockiert? und noch krasser: wenn beide pcs laufen, kann keiner ins internet, obwohl offenbar nur meiner betroffen ist (wenn meiner nicht läuft, gehts mit dem anderen problemlos).

ich könnte mal hijackthis ausprobieren. mein problem dabei:

a) was zur hölle ist hijackthis
b) gibt es ein vertrauenswürdiges messageboard wo ich das log zur schau stellen kann?

der trick mit dem häckchen rausnehmen hat übrigens nicht geklappt. der w*chser lädt sich jedes mal neu... und auf der registry herumfeilen... nee, ist schon mal schiefgegangen...

danke und grüsse
edgecrusher
 
edgecrusher,

Schau mal hier:
Pokapoka70.exe, Recurring Malware
Da scheint's ein Remove Tool zu geben (LQFix.exe).
Wie gut diese Tools funktionieren - ist immer so 'ne Frage?!?

Viel Glück,
Stefan
 
hallo nochmals

mittlerweile haben wir ein wenig in der registry aufgeräumt. tatsächlich zeigt msconfig keinen ensprechenden eintrag mehr und das internet läuft wieder (yeah).

seltsamerweise zeigt hijackthis den eintrag immer noch (?) und es erscheint ab und an ein dämliches anti-spyware-advertising-popup (?!), aber momentan kann ich damit leben.

sollte sich die lage verschlimmern, muss ich wohl oder übel auf das tool zurückgreifen.

danke an alle und grüsse
edgecrusher
 
ich hoffe du hast keine einwahlverbindung sondern dsl.

hier sind noch ein paar hinweise, programme.
ansonsten kann ich dir dazu raten regelmässig die windowsupdates zu machen und dir einen guten virenscanner und ein gutes antispy programm zuzulegen.

du kannst deine büchse auch online für lau checken.
geh mal auf

http://www3.ca.com/securityadvisor/virusinfo

hier ist noch eine Beschreibung des Virus von dir, scheint ein Trojaner zu sein:

Description
Win32.Betalire are a family of trojans that display popup advertisements when a user is connected to the Internet. The trojan may also download files and modify the user's default Internet Explorer settings, and install an IE toolbar. Most variants are downloaded onto the affected system, while some are dropped onto the system by a Betalire dropper component. These trojans hide their presence from the user, making them difficult to remove.

Method of Infection

The main Betalire executable usually uses the filename pokapoka6<x>.exe, where <x> is a value from 1 upwards. Samples received by CA from the wild have used the following filenames:

pokapoka61.exe
pokapoka62.exe
pokapoka63.exe

When executed, Win32.Betalire adds a value to the following registry key so that it can be executed at each Windows start:

HKLMSoftwareMicrosoftWindowsCurrentVersionRun

Common value names it sets include the following:

System service61
System service62
System service63

These values point to the location the trojan was executed from, which is usually the %Windows%etb directory. For example, some Betalire variants have set the following registry value:

HKLMSOFTWAREMicrosoftWindowsCurrentVersionRunSystem service63 = "%Windows%etbpokapoka63.exe"

The trojan drops a number of DLLs, one of which is used by the trojan to download files. Depending on the variant, this DLL uses one of the following file names:

xud2f.dll
xud_63.dll
xud_62.dll

Another DLL dropped by Betalire is used to hide its presence from the user. It does this by injecting itself into running processes. It avoids injecting itself into any process that contains any of the following strings in its name:

protector
system
msnmgr
mdm
lsass
spoolsv
iexplore
idle
csrss
smss
svchost
pokapoka
temp
test
vmware

The DLL uses one of the following file names, depending on the variant:

nt_hide61.dll
nt_hide62.dll
nt_hide63.dll

The following files are dropped into the %Temp% directory:

<random number>.tmp
<random number>.tmp1

<random number> is usually in a specific format, for example:

197154_364_212_1604_0.41.tmp
66608_1792_1884_2112_0.41.tmp1

Note: %Temp% is a variable location and refers to the directory designated for temporary files. The malware determines the location of the current Temp folder by querying the operating system. A typical path is "C:Documents and Settings<username>Local SettingsTemp", or "C:WINDOWSTEMP".

The trojan also creates the folder "%Windows%etb" and creates the file etb.ini in this folder. This file is used by the trojan to store information such as the trojan version, the executable's filepath, date of infection, etc.

Return to top

Payload
Displays Popups

Betalire downloads a configuration file from the "msupdater.com" domain. This file contains a number of URLs related to advertising sites. The trojan periodically displays popups in Internet Explorer that connect to these sites.
Downloads and Executes Arbitrary Files

Betalire is capable of downloading a number of files from the "searchmiracle.com" domain. Files that may be downloaded include updates of the trojan.
Modifies System Settings

Betalire may modify the following registry entries in order to change the user's default Internet Explorer homepage and/or default start page.

HKCUSoftwareMicrosoftInternet ExplorerMainSearch Page
HKCUSoftwareMicrosoftInternet ExplorerMainSearch Bar
HKCUSoftwareMicrosoftInternet ExplorerSearchURL
HKCUSoftwareMicrosoftInternet ExplorerSearchSearchAssistant

The trojan also installs an Internet Explorer toolbar.

Analysis by Amir Fouda

Return to top


GRUß, Sofia Loreen
 
Spybot und/oder Ad-Aware installieren (findest du bei Google sofort),
updaten und durchlaufen lassen.
Ich befürchte da wird noch mehr zu Tage kommen...
Einen aktuellen Virenscanner hast du aber?
 
hi wiederum an alle.

das problem hat sich, wie erwartet, nicht gelöst. zumindest geht jetzt das netz wieder, popups tauchen seit dem letzten neustart nicht mehr auf (soll aber nichts heissen). mitti ist schon nah dran, aber ich glaube die "6er" version ist noch was anderes, geht jedoch wohl in die selbe richtung.

adaware und spybot laufen lassen. alles ok, bis auf das. heute habe ich antivir upgedated und siehe da! fehlermeldungen en masse, die sich ständig von selbst erneuern, bis ich einen ersten rudimentären scan und einen restart gemacht habe (eben seit diesem restart kommen keine popups mehr). nun läuft ein vollständiger antivir-scan, zwei meldungen bisher, beide dateien gelöscht. mal schauen, wie es auskommt.

mittlerweile habe ich das antivir.de-forum entdeckt - falls hijackthis weiterhin den pokapoka-schrott anzeigt (nach dem scan) werde ich dort mal nachfragen.

thanx für den support und grüsse
edgecrusher
 
yes yes yes!

das ding ist aus dem hijackthis protokoll raus. keine popups mehr, alles läuft ok.
hoffe das bleibt so.

danke für jedwede unterstützung und keep rockin
edgecrusher
 
Nabend edgecrusher,

Hab noch nen kleinen Tipp.

Diese Dateien schreiben sich auch bei Aktivierter Systemwiederherstellung, in eben dieser, auch ab. Antivir hat bei mir letztens auch was endeckt. Dachte das sys wäre sauber und urplötzlich ne Warnmeldung Datei irgendwas Trojaner Dingsbumms in C:System Volume Information.

Am besten deaktivierst du die Syswiederherstellung, Bootest nochmal neu und Aktivierst sie danach wieder. Dann müsste diese auch komplett Resettet sein.

Gruß
 
hi butterfly

die systemwiederherstellung ist bei mir ohnehin deaktiviert aus performancegründen. high risk, aber was solls.

eben kam bei mir auch die meldung in system volume information! und ich dachte schon, es hätte sich erledigt...
bin wieder am scannen - hijackthis zeigt aber immer noch nichts an.

odyssee...

thanx und grüsse
edgecrusher
 
hi nochmal,

Ich hab noch ein bisschen rumgesucht. Haste den Indexdienst aktiviert, bzw. steht der auf Manuell?

Start/Systemsteuerung/Verwaltung/Dienste

Indexdienst mit rechter Maustaste aufrufen, auf Beenden gehen und dann auf Deaktiviert setzen. Könnte sein das noch irgendwelche Reste dort rumschwirren. Bei nem schnellen PC brauch man diesen Dienst sowieso nicht.

Mehr kann ich dazu jetzt auch nicht sagen.

Ansonsten das Wundermittel benutzen

C:Format :D

Hoffen wir, das es nicht soweit kommt.

Grüsse
 
gemacht - danke für den tipp!

ma schaun ob der pc jetzt in den keller geht ;)

thanx und gruss
edgecrusher
 
was du auch noch kontrollieren solltest sind die einträge in der datei:

C:WINNTSystem32driversetchosts
(keine dateiendung). Da sollte folgendes, UND NUR folgendes drinstehen:

# Copyright (c) 1993-1999 Microsoft Corp.
#
# Dies ist eine HOSTS-Beispieldatei, die von Microsoft TCP/IP
# für Windows XP verwendet wird.
#
# Diese Datei enthält die Zuordnungen der IP-Adressen zu Hostnamen.
# Jeder Eintrag muss in einer eigenen Zeile stehen. Die IP-
# Adresse sollte in der ersten Spalte gefolgt vom zugehörigen
# Hostnamen stehen.
# Die IP-Adresse und der Hostname müssen durch mindestens ein
# Leerzeichen getrennt sein.
#
# Zusätzliche Kommentare (so wie in dieser Datei) können in
# einzelnen Zeilen oder hinter dem Computernamen eingefügt werden,
# aber müssen mit dem Zeichen '#' eingegeben werden.

127.0.0.1 localhost


wenn da noch andere einträge drinstehen (was bei diesen POPUP gewürmse oft der Fall ist) dann löschen. und die datei sollte schreibgeschützt sein.

öffnen kannst du die mit dem editor.

gruß, mitti
 

Oft gelesene Themen

Zurück
Oben