Hallo!
Ich brauche Hilfe! Ich habe einen cervivec worm erwischt. Er ist jetzt noch in einer system32 Datei und mein Virenscanner sagt, diese Datei kann nicht gelöscht werden.
Weiss jemand einen Rat, wie ich diese Datei, die da heißt worm.zip: worm.exe eliminieren kann?
Vielen Dank im Voraus.
Usch
Hi!
was meinst du, eine datei oder einen ordner?
Der system32 ordner ist normal, eine datei soweit ich weiss nicht.
wenns ein i-worm ist, dann verschicke bitte keine mails mehr und geh offline…
ich schicxke dir per mail ein tool das den burschen entfernen kann, ansonsten lies mal die beschreibungen hier
http://www.avp.ch/
HH
[Bei dieser Antwort wurde das Vollzitat nachträglich automatisiert entfernt]
Hi
ich hab gerade gelesen, der wurm sitzt in der NTKRNL.exe im verzeichnis windows\system32.
ausserdem packt er sich in den autostart.
also, im abgesicherten hoch, autostart säubern hochfahren und die exe löschen könnte klappen.
hau ihn von hand weg.
leider kein tool zum entfernen zu finden.
HH
hier ne Beschreibung des Burschen.
This is a worm virus spreading via the Internet being attached to infected emails. The worm itself is Windows PE EXE file about 230Kb of length (compressed by UPX, decompressed size - about 670Kb), written in Delphi.
The infected messages have the Subject/Body:
Vtip
Cau posilam ti cerviky tak se na to podivej (virus to neni)
Vtip
Cau posielam ti cerviky tak sa na to pozri (virus to neni)
Witz
Hallo, Ich habe ein guter Witz-Wurm so sieh! (kein virus)
blague
J’ai une bonne blague ca s’appelle verre de terre alors jette un coup d’oeil
(il n’y a pas de virus)
èãâª
ਢ¥â, “ ¬¥ï ¥áâì ¯à¨ª®«ì ï èâãçª ¢à®¤¥ ç¥à¢ïª (íâ® ¥ ¢¨àãá)
Joke
Hi, I have some cool joke - worms so have a look at it (no virus)
Zart
Czesc, mam swietnz dowcip - robaka. Obejrzyj go sobie (to nie jest wirus)
Chiste
Hola te mando los gusanilloes. Pues mirarlos (no es un virus)
The attached file is ZIP archive „worms.zip“ 224K of lenfth, with archived worms.exe (worm copy) file inside.
The worm activates from an infected email only if a user clicks on the attached file. The worm then installs itself to the system, runs its spreading routine and effect routine (coloured „worms“ eating the desktop).
While installing the worm copies itself to Windows directory to \SYSTEM32 subdirectory with the „ntkrnl.exe“ name and registers that file in system registry auto-run key:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run
Kernel Loader = %WindowsDir%\system32\ntkrnl.exe -LOADDRIVERS=TRUE
Hi, danke!
die ntkernel.exe hab ich schon entfernt. jetzt sitzt er nur
noch im w32 ordner. Da gibt eine Datei, die heisst system32
worm.zip: worm exe. Wie gesagt, der Virenscanner hat sie zwar
entdeckt, sagt mir aber, ich könne sie nicht löschen und im
Explorer finde ich sie nicht??!!
keine emails heute 
Usch
Gerade hat mir meine Tochter gebeichtet, dass ihr ein Kumpel über das ICQ einen Wurm geschickt hat, der den Monitor in bunten Farben erstrahlen ließ!!! Nur wusste, der gar nichts von einer abgeschickten email. cervivec heisst der böse W32 Wurm. Das sagt jedenfalls der Virenscanner
Schau mal ob er dir die datei im dosfenster zeigt. ev im dosmode hochfahren, die datei suchen und löschen. kann sein dass der sich in der windowsumgebung nicht killen lässt???
Gerade hat mir meine Tochter gebeichtet, dass ihr ein Kumpel
über das ICQ einen Wurm geschickt hat, der den Monitor in
bunten Farben erstrahlen ließ!!! Nur wusste, der gar nichts
von einer abgeschickten email. cervivec heisst der böse W32
Wurm. Das sagt jedenfalls der Virenscanner
Sag mal
system32worm.zipworm exe.
was ist denn das für ein datei name?
oder meinst du Verzeichnisse >>
c:\windows\system32\
aber dann begreif ich immernochnicht was der rest sein soll:
worm.zipworm exe
Dateiname mit leerstellen und zwei punkten?
oder soll das ein worm.zip sein in dem worm.exe enthalten ist?
Hallo Helge!
Keine Panik - er ist weg puuuuh!!! Du hast natürlich recht, es hiess windows\system32\worm.zip :worm.exe. War in der Aufregung -
entschuldigung!
Vielen Dank für Deine email. Die hat den Virus nicht gefunden, ich werde sie aber für zukünftige (hoffentlich nicht) Attacken gut aufheben.
Ich habe mich auch noch mal bei Symantec schlau gelesen. Dieser elende Wurm verbreitet sich wohl über ICQ-emails. Er legt diese ntkernel.exe an und sucht sich im ICQ email-Adressen, um andere zu „beglücken“.
Offensichtlich war der Wurm schon außer Gefecht gesetzt, als ich die ntkernel.exe gelöscht habe. Heute morgen war nämlich die befallene system32 Datei nicht mehr vorhanden und ich fand nur noch in Recycled\DC159.zip:worms.exe. Das habe ich sofort gelöscht und nun scheint alles okay.
Noch mal vielen Dank für die prompte Unterstützung!
Liebe Grüße
Usch