1. /
  2. Security Response/
  3. W32.Mydoom.M@mm
  4. W32.Mydoom.M@mm
  • Hinzufügen

W32.Mydoom.M@mm - Entfernung

Risikostufe2: Gering

Entdeckt am:
26 Juli 2004
Aktualisiert:
13 Februar 2007 12:28:08 PM
Auch bekannt als:
W32/Mydoom.o@MM [McAfee], W32/MyDoom-O [Sophos], WORM_MYDOOM.M [Trend Micro], Win32.Mydoom.O [Computer Assoc, I-Worm.Mydoom.m [Kaspersky], W32/Mydoom.N.worm [Panda]
Typ:
Worm
Infektionslänge:
28.800 Byte
Betroffene Systeme:
Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows Server 2003, Windows XP

Entfernung mit dem Entfernungsprogramm
Symantec Security Response hat ein Programm zur Entfernung von W32.Mydoom.M@mm-Infektionen entwickelt. Dies ist in den meisten Fällen die beste Entfernungsmethode.

Manuelle Entfernung
Die folgenden Anweisungen gelten für alle aktuellen und kürzlich erschienenen Virenschutzprodukte von Symantec, einschließlich der Produktlinien Symantec AntiVirus und Norton AntiVirus.
  1. Deaktivieren Sie die Systemwiederherstellung (Windows Me/XP).
  2. Aktualisieren Sie Ihre Virusdefinitionen.
  3. Starten Sie den Computer im abgesicherten Modus oder im VGA-Modus neu.
  4. Führen Sie eine vollständige Systemprüfung durch und löschen Sie alle Dateien, die als mit W32.Mydoom.M@mm infiziert erkannt werden.
  5. Entfernen Sie die in die Registrierung geschriebenen Werte.

Detaillierte Informationen zu diesen Verfahren finden Sie in den folgenden Anweisungen.


1. Deaktivieren der Systemwiederherstellung (Windows Me/XP)
Wenn Sie mit Windows Me oder XP arbeiten, empfehlen wir Ihnen, die Option "Systemwiederherstellung" vorübergehend zu deaktivieren. Diese standardmäßig aktivierte Funktion wird in Windows Me und XP verwendet, um auf Ihrem Computer beschädigte Dateien wiederherzustellen. Wenn ein Virus, Wurm oder Trojaner einen Computer infiziert, werden diese durch die Systemwiederherstellung möglicherweise mitgesichert.

Windows verhindert standardmäßig, dass die Systemwiederherstellung durch fremde Programme (einschließlich Virenschutzprogramme) verändert wird. Daher können Bedrohungen im Systemwiederherstellungsordner nicht durch Virenschutzprogramme entfernt werden. Als Ergebnis kann die Systemwiederherstellung eine infizierte Datei auf Ihrem Computer wiederherstellen, nachdem Sie die infizierten Dateien aus allen anderen Bereichen entfernt haben.

Außerdem kann bei einer Virenprüfung eine Bedrohung im Systemwiederherstellungsordner entdeckt werden, selbst wenn Sie die Bedrohung entfernt haben.

Bitte beachten Sie die folgenden Artikel oder Ihre Windows-Dokumentation, um die Systemwiederherstellung zu deaktivieren:
Hinweis: Wenn Sie das Entfernungsverfahren abgeschlossen haben und die Bedrohung erfolgreich entfernt wurde, sollten Sie die Systemwiederherstellung anhand der Anweisungen im zuvor genannten Dokument wieder aktivieren.


Weitere Informationen und eine Alternative zur Deaktivierung der Systemwiederherstellung in Windows Me finden Sie im Microsoft Knowledge Base-Artikel Antivirenprogramme können infizierte Dateien im Ordner "_Restore" nicht bereinigen (Artikelnummer 263455).


2. Aktualisieren der Virusdefinitionen
Alle Virusdefinitionen werden von Symantec Security Response umfassenden Qualitätsprüfungen unterzogen, bevor sie auf unseren Servern zur Verfügung gestellt werden. Sie können die aktuellsten Virusdefinitionen auf zwei Arten erhalten:
  • Das Ausführen von LiveUpdate ist die einfachste Methode, um Virusdefinitionen zu beziehen: Diese Virusdefinitionen werden einmal wöchentlich auf den LiveUpdate-Servern abgelegt (üblicherweise mittwochs), soweit kein größerer Virusausbruch vorliegt. Um festzustellen, ob über LiveUpdate Definitionen für diese Bedrohung verfügbar sind, klicken Sie auf den Link Virusdefinitionen (LiveUpdate).
  • Laden Sie die Virusdefinitionen mit dem Intelligent Updater herunter. Virusdefinitionen des Intelligent Updaters werden an Geschäftstagen (montags bis freitags) veröffentlicht. Sie sollten von der Symantec Security Response-Website heruntergeladen und manuell installiert werden. Um festzustellen, ob über den Intelligent Updater Definitionen für diese Bedrohung verfügbar sind, klicken Sie auf den Link Virusdefinitionen (Intelligent Updater).

    Es sind Intelligent Updater-Virusdefinitionen verfügbar: Detaillierte Anweisungen erhalten Sie im Dokument Aktualisieren der Virendefinitionsdateien mit dem Intelligent Updater.

3. Neustarten des Computers im abgesicherten Modus oder im VGA-Modus

Fahren Sie den Computer herunter und schalten Sie ihn aus. Warten Sie mindestens 30 Sekunden und starten Sie den Computer dann im abgesicherten Modus oder VGA-Modus neu.
  • Wenn Sie mit Windows 95, 98, Me, 2000 oder XP arbeiten, starten Sie den Computer im abgesicherten Modus neu. Anweisungen hierzu finden Sie im Dokument Wie wird der Computer im abgesicherten Modus gestartet.
  • Wenn Sie mit Windows NT 4 arbeiten, starten Sie den Computer im VGA-Modus neu.


4. Prüfen des Computers und Löschen der infizierten Dateien
  1. Starten Sie Ihr Symantec Antivirus-Programm und stellen Sie sicher, dass es zur Überprüfung aller Dateien konfiguriert ist.
  2. Führen Sie eine vollständige Systemprüfung durch.
  3. Wenn Dateien als mit W32.Mydoom.M@mm infiziert gemeldet werden, klicken Sie auf "Löschen".


5. Löschen der in die Registrierung geschriebenen Werte


WARNUNG: Wir empfehlen Ihnen nachdrücklich, eine Sicherungskopie der Registrierung anzulegen, bevor Sie Änderungen daran vornehmen. Fehler bei der Änderung von Registrierungseinträgen können zu permanentem Datenverlust oder beschädigten Dateien führen. Bearbeiten Sie nur die angegebenen Schlüssel. Bitte beachten Sie das Dokument Eine Sicherheitskopie der Windows-Registrierung erstellen, bevor Sie fortfahren.

  1. Klicken Sie auf Start > Ausführen.
  2. Geben Sie regedit ein.

    Klicken Sie auf OK.

  3. Suchen Sie den folgenden Schlüssel:

    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

  4. Löschen Sie im rechten Teilfenster folgende Werte:

    "Services" = "%Windir%\services.exe"
    "JavaVM" = "%Windir%\java.exe"


  5. Suchen Sie die Schlüssel

    HKEY_LOCAL_MACHINE\Software\Microsoft\Daemon
    HKEY_CURRENT_USER\Software\Microsoft\Daemon

    und löschen Sie sie.

  6. Schließen Sie den Registrierungseditor.

  7. Starten Sie den Computer im normalen Modus neu. Anweisungen hierzu finden Sie im Dokument Wie wird der Computer im abgesicherten Modus gestartet.


Dokument verfasst von:John Canavan