die Datei kann nun unter anderem auch “vasja” heißen

Zu finden in der Registry, Versteckt sich in den lokalen Nutzerdaten im Tempverzeichnis.

ist eine Datei die meist mit 0 beginnt. zB. 0.0348934892999543.exe

Der Ordner “Anwendungsdaten”, wo sich diese Datei befindet, bei dem Pc meines Kollegen war es der Ordner C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten ( ein XP System), ist per default ein versteckter Ordner.
Eine Einfache Dateisuche ist hier nciht möglich, da in versteckten ordnern nciht gesucht wird.
Du must zuerst im Explorer auch die versteckten Dateien anzeigen lassen.

Einfach im Explorer auf Extras -> Ordneroptionen -> Ansicht und dort dann den Hacken bei dem Eintrag “Geschützte Systemdateein ausblenden entfernen.
Dann noch die Optionen benutzen “Ausgeblendete Dateien, Ornder und Laufwerke anzeigen” benutzen.

Dann solltest du auf den oben erwähntn Ordner zugreifen könen.

In dem Ornder Anwendungsdaten selbst sollten keine Ausführbare Dateien zu finden sein.
Bei dem PC oben war dort dann die Datei mahamud.exe und drei weitere .exe Dateien, die als Dateinamen nur Zahlen hatten. Diese waren auch Virendateien. habe dann einfach diese 4 .exe Dateien vom System geschmissen.

Der Registrypfad brauchte ich manuell nciht mehr zu korrigieren, da dieser bereits durch das Reparatursetup repariert wurde. Nur must ich hier halt alle neuen Servcepacks und Sicherheitspatches seit SP2 von XP neu installieren.

Aber seit dem läuft der Rehner wieder ohne Probleme.

MfG
Michael

mich hats jetzt auch erwischt,
hab den “Trojaner” auch, jedesmal wenn ich den Pc starte kann ich nichteinmal in den Task Manager. Das einzigste was geht ist die Eingabeaufforderung. Da hab ich auch schon versucht den dienst iexplore.exe zu schließen weil der Trojaner über den startet. Habe auch direkt das Internetkabel gezogen und ihn nochmla gestartet jetzt kam die meldung vom internet explorer das die Angeforderte Seite nicht angezeigt werden kann.

Ich hab aber auch schon nach den ganzen Dateien wie “mahmud.exe” “mahamud.exe” “mahumud.exe” oder “jashla.exe” gesucht. Auch im msconfig fand ich keinen Dienst der mir ungewöhnlich erschien.

Ich habe jetzt einfach ne Systemwiederherstellung gemacht und da Tadaa ich bin wieder Herr über mein Pc. Ich denke aber das der nicht unten ist und hoffe das mir hier ein paar Tips gegeben werden wie ich den “runtergeworfen” bekomme, ohne das ich gezwungenermaßen den Pc formatieren muss.

mfg
Christian

Bin diesen Überltäter los geworden, aber mangels einer LiveCD muste ich die Windows XP Reparaturinstallation benutzen. Das hat den falschen registry EIntrag ebenfalls repariert. Danach die Datei gelöscht, es war die Datei mahamud.exe im Ordner User/Anwendungsdaten

Danach durfte ich lediglich wieder alle neuen Servicepacks von XP einsopielen. So an die 113 Stück.
Die SetupCD war eine OEM mit integr. SP2.

Das ganze hatte über 3 Std. Gedauert.

Aber weg ist weg. Und der Rechner tut es wieder.

MfG
Michael

Danke für deine Anleitung. Habe bei einem Bekannten genau das gleiche.
Nur leider keine LiveCD. Aber man kann ja mit Windows CD booten und dort eine Reparaturkonsole benutzen. Hoffen wir mal das es klappt.

MfG
Michael

vielen Dank für deinen Tipp… Ich war selber von dem Virus betroffen und dachte ich müsste formatieren, bis ich deinen Artikel gefunden hatte. Deine Anleitung hat nicht zu 100% auf meinen VIrus zugetroffen, aber er hat mir geholfen in der MSCONFIG von Windows eine komische .exe zu finden:

0.5316369011378842.exe

Bei einem anderen PC hieß sie so ähnlich. Diese muss man einfach rausnehmen und anschließend in dem angegebenen Pfad löschen: C:\Users\Benutzernamen\AppData\Local\Temp.5316369011378842.exe

Blöderweise hatte ich 2 Tage später wieder einen ähnlichen Virus der mein Windows wieder blockierte. Allerdings sah dieser anders aus als der “Bundestrojaner” Der Bildschirm wurde schwarz und dort stand mit roter Schrift mittig “Windows wurde deaktiviert – Hier bezahlen und freischalten”

Im abgesicherten Modus (F8) hochgefahren konnte ich folgenden key finden, der mir merkwürdig vorkam:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\
VMApplet REG_SZ mit dem Wert “SystemPropertiesPerformance.exe /pagefile”

Kurz gegoogelt findet man den Standardwert: “rundll32 shell32,Control_RunDLL “sysdm.cpl”

Einfach diesen Standardwert durch die SystemPropertiesPerformance.exe ersetzen und man kann den Rechner wieder starten.

Allerdings ist es ratsam den Rechner trotzdem zu formatieren. Denn man hat so nur das Symptom behoben, allerdings nicht die Ursache und die Quelle. Ein Rechner der einmal verseucht war kann mMn nur durch eine saubere Neuinstallation wieder richtig sicher sein.

Grüße

mHinz

Vielen Dank schonmal