Thread
Menü

Infos zum TR.Dearh.23.srv Trojaner


13.08.2001 16:59 - Gestartet von maetsch
Von H+BEDV erhielt ich soeben folgende Beschreibung des fälschlicherweise gefundenen Virus:

"Der Trojer TR/Dearh.23.Srv kopiert seinen Serverprogrammteil
in das Windowsverzeichnis als WINSOCK.EXE und erstellt
folgenden Registry Eintrag, welcher gewährleistet, dass er
bei jedem Systemstart geladen wird:
HKLM\Software\Micro­soft\Windows\Current Version\Run\
---> winsockexe = "C:\WINDOWS\WINSOCK.EXE"
Weiterhin legt er folgenden Eintrag an, welcher aber keine
Schadensroutine beinhaltet:
HKLM\Software\M­icrosoft\Socket\
HKLM\Software\M­icrosoft\S­ocket\Settings\

Eine Schadensroutine ist (noch) nicht vorhanden."

Bisher muß man vor diesem Virus also noch keine Angst haben. Eine Modifikation, welche dann Paßwörter und Dateiinhalte übermittelt, kann jedoch problemlos von bösen Zeitgenossen durchgeführt werden. Trojaner darf man daher durchaus immer als großes Sicherheitsrisiko ansehen.
Menü
[1] Tentakinuh antwortet auf maetsch
13.08.2001 17:12
Hallo Maetsch !

Ich lese gerade den Beitrag,... bin sehr verwundert, da ich das gleiche Problem habe ! Zone Laps zeigt es mir auch an !

Wie kann ich alles löschen !?

Habe mir eigentlich nichts dabei gedacht, da Norton Anti Virus nichts negatives angezeigt hat !

Über Hilfe wäre ich sehr dankbar,... am einfachsten, wenn Du mir eine E-Mail sendest,... oder hier im Forum !


Vielen Dank im vorraus !



Viele Grüße
Tentakinuh
Menü
[1.1] Letzte Informationen zum Thema
maetsch antwortet auf Tentakinuh
14.08.2001 22:52
Benutzer Tentakinuh schrieb:
Ich lese gerade den Beitrag,... bin sehr verwundert, da ich das gleiche Problem habe ! Zone Laps zeigt es mir auch an !
Über Hilfe wäre ich sehr dankbar,... am einfachsten, wenn Du mir eine E-Mail sendest,... oder hier im Forum !

Hallo Tentakinuh,

hatte Dir eine E-Mail geschrieben (und versucht anzurufen). Das ist aber inzwischen überholt.

Nachdem Strato Montag früh heimlich die Dateien auf ihrer Homepage austauschte, wurden wir stutzig. Da auch das angekündigte Update von AntiVir ausblieb und sich anscheinend der Vertrieb (nicht die Entwicklungsabteilung oder Pressestelle) des Problems bei H+BEDV annahmen, haben wir weiter recherchiert. Eine Vertuschung war ja naheliegend.

Wir haben also die (alte) Datei pop3check.exe getestet (Quellcode, Registry und IP-Zugriffe) und mußten feststellen, daß das Programm eigenmächtig eine Verbindung zum Internet aufbaut, um ein Werbebild zu laden (0.gif).
Aus diesem Grund warnten auch Programme wie ZoneAlarm. Da aber keine Daten ins Internet übertragen wurden, war auch dies nur ein Fehlalarm.

Zwei Fehlalarme von zwei unterschiedlichen Sicherheitssystemen waren uns sehr verdächtig und auch Stratos Schweigen trug nicht gerade zur Aufklärung bei. Wir machten uns daher viel Mühe, um die Angelegenheit aufzuklären.

Fakt ist jedenfalls:
Die erste Programmversion (1.5) enthält nach unserer Erkenntnis keinen Trojaner und muß folglich auch nicht entfernt werden. Wer Fehlalarme vermeiden will, sollte sich einfach die neue Programmversion laden (1.5.1). Ein Update von AntiVir ist wegen dieser Geschichte auch nicht notwendig (sollte aber trotzdem regelmäßig gemacht werden, den es gibt ja laufend neue Viren).

Hoffen kann man nur, daß Strato und der Programmierer etwas daraus gelernt haben ...