Viren, Spyware, Datenschutz 11.240 Themen, 94.621 Beiträge

Verfolgung starten Optionen

ZVHZG - Trojanerordner?

jueki / 9 Antworten / Flachansicht Nickles

Bei einer Freundin findet Eset folgende Einträge:

C:\Documents and Settings\Name\ZVHZG\start.cmd            BAT/Starter.NBI Trojaner
C:\Documents and Settings\Name\ZVHZG\start.vbs             VBS/Runner.NBV Trojaner
C:\Dokumente und Einstellungen\Name\ZVHZG\3562.vbs    VBS/Starter.NAQ Trojaner
C:\Dokumente und Einstellungen\Name\ZVHZG\start.cmd    BAT/Starter.NBI Trojaner
C:\Dokumente und Einstellungen\Name\ZVHZG\start.vbs     VBS/Runner.NBV Trojaner

und, was sicher das Gleiche ist,

C:\Users\Name\ZVHZG\3562.vbs    VBS/Starter.NAQ Trojaner
C:\Users\Name\ZVHZG\start.cmd    BAT/Starter.NBI Trojaner
C:\Users\Name\ZVHZG\start.vbs     VBS/Runner.NBV Trojaner

Ich habe allerdings bislang vergeblich nach einem relevanten Eintrag für "ZVHZG" gegogelt.
Den Inhalt der beiden vbs und der cmd kenne ich allerdings noch nicht.
Was könnte man sich unter diesen Meldungen wohl vorstellen? 

Jürgen

- Nichts ist schwerer und nichts erfordert mehr Charakter, als sich im offenem Gegensatz zu seiner Zeit zu befinden und laut zu sagen "NEIN!" Kurt Tucholsky
bei Antwort benachrichtigen
Hallo, Deine Freundin hat Malware auf dem Rechner. ... Hyperboreal
Ganz selten jedenfalls... Danke für den Hinweis. Von ... jueki
Hallo, Ja, einfach mal doppelklicken und sehen was passiert. ... Hyperboreal
Mache ich mit Sicherheit nicht. Ich prüfe dergleichen, ... jueki
Die haben doch sicher einen Zeitstempel, frag doch deine ... gelöscht_238890
Werde ich tun, besser, ich schau mir die Sache selbst per ... jueki
jueki Nachtrag zu: „Werde ich tun, besser, ich schau mir die Sache selbst per ...“
Optionen

Ich habe mir heut die fraglichen Dateien mal angeschaut:

start.cmd:
@echo off
cd %userprofile%\ZVHZG\
start DOYKF.exe "62321.ZXH"

3562.vbs:
@echo off
cd %userprofile%\ZVHZG\
start DOYKF.exe "62321.ZXH"

start.vbs:
@echo off
cd %userprofile%\ZVHZG\
start DOYKF.exe "62321.ZXH"

Die Datei "62321.ZXH" ist eine 6MB große Datei mit solchem Inhalt:
;34398
;86593
;71740
;30785
;28966
;45566
;62177
;71558
;43736
;3593
;97422
;73896
;19780  usw.

Alles in allem konnte ich keine konkreten Hinweise auf die Wirkungsweise erkennen.

Das ganze wurde im Februar erzeugt. Ich vermute ebenfalls, das es sich um einen noch nicht fertigen Bakentrojaner handelt.
Eine Formatierung und Neuinstallation ist beschlossene Sache.

Jürgen

- Nichts ist schwerer und nichts erfordert mehr Charakter, als sich im offenem Gegensatz zu seiner Zeit zu befinden und laut zu sagen "NEIN!" Kurt Tucholsky
bei Antwort benachrichtigen
Dateien untersuchen mit dem ResourceHacker könnte zu ... gelöscht_238890
Dieses Programm kenne ich - und verwende es seit längerer ... jueki