Trojan.Vundo - Hilfe entfernen

Entfernung mit dem Entfernungsprogramm
Symantec Security Response hat ein Entferungsprogramm entwickelt, umd Trojan.Vundo-Infektionen zu entfernen. Dies ist in den meisten Fällen die beste Entfernungsmethode.

Manuelle Entfernung
Die folgenden Anweisungen gelten für alle aktuellen und kürzlich erschienenen Virenschutzprodukte von Symantec, einschließlich der Produktlinien Symantec AntiVirus und Norton AntiVirus.

1. Deaktivieren Sie die Systemwiederherstellung (Windows Me/XP).
2. Aktualisieren Sie Ihre Virendefinitionen.
3. Starten Sie den Computer im abgesicherten Modus oder im VGA-Modus neu.
4. Führen Sie eine vollständige Systemprüfung durch und löschen Sie alle Dateien, die als mit Trojan.Vundo infiziert erkannt werden.
5. Machen Sie die an der Registrierung vorgenommenen Änderungen rückgängig.
   

Detaillierte Informationen zu diesen Verfahren finden Sie in den folgenden Anweisungen.

1. Deaktivieren der Systemwiederherstellung (Windows Me/XP)
Wenn Sie mit Windows Me oder XP arbeiten, empfehlen wir Ihnen, die Option "Systemwiederherstellung" vorübergehend zu deaktivieren. Diese standardmäßig aktivierte Funktion wird in Windows Me und XP verwendet, um auf Ihrem Computer beschädigte Dateien wiederherzustellen. Wenn ein Virus, Wurm oder Trojaner einen Computer infiziert, wird dieser in der Systemwiederherstellung möglicherweise mitgesichert.

Windows verhindert standardmäßig, dass die Systemwiederherstellung durch fremde Programme (einschließlich Virenschutzprogramme) verändert wird. Daher können Bedrohungen im Systemwiederherstellungsordner nicht durch Virenschutzprogramme entfernt werden. Als Ergebnis kann die Systemwiederherstellung eine infizierte Datei auf Ihrem Computer wiederherstellen, nachdem Sie die infizierten Dateien bereits aus allen anderen Bereichen entfernt haben.

Außerdem kann bei einer Virenprüfung eine Bedrohung im Systemwiederherstellungsordner entdeckt werden, selbst wenn Sie die Bedrohung entfernt haben.

Bitte beachten Sie die folgenden Artikel oder Ihre Windows-Dokumentation, um die Systemwiederherstellung zu deaktivieren:

• Aktivierung oder Deaktivierung der Systemwiederherstellung in Windows Me
• Aktivierung oder Deaktivierung der Systemwiederherstellung in Windows XP

---

Hinweis: Wenn Sie das Entfernungsverfahren abgeschlossen haben und die Bedrohung erfolgreich entfernt wurde, sollten Sie die Systemwiederherstellung anhand der Anweisungen in den zuvor genannten Dokumenten wieder aktivieren.

---

Weitere Informationen und eine Alternative zur Deaktivierung der Systemwiederherstellung in Windows Me finden Sie im Microsoft Knowledge Base-Artikel Antivirenprogramme können infizierte Dateien im Ordner "_Restore" nicht bereinigen (Artikelnummer: Q263455).

2. Aktualisieren der Virendefinitionen
Alle Virendefinitionen werden von Symantec Security Response umfassenden Qualitätsprüfungen unterzogen, bevor sie auf unseren Servern zur Verfügung gestellt werden. Sie können die aktuellsten Virendefinitionen auf zwei Arten erhalten:

• Das Ausführen von LiveUpdate ist die einfachste Methode, um Virendefinitionen zu beziehen: Diese Virendefinitionen werden einmal wöchentlich auf den LiveUpdate-Servern abgelegt (üblicherweise mittwochs), soweit kein größerer Virusausbruch vorliegt. Um festzustellen, ob über LiveUpdate Definitionen für diese Bedrohung zur Verfügung stehen, klicken Sie auf den Link Virendefinitionen (LiveUpdate).
• Laden Sie die Virendefinitionen mit dem Intelligent Updater herunter. Die Intelligent Updater-Virendefinitionen werden täglich veröffentlicht. Die Definitionen sollten von der Symantec Security Response-Website heruntergeladen und manuell installiert werden. Um festzustellen, ob über den intelligent Updater Definitionen für diese Bedrohung zur Verfügung stehen, klicken Sie auf den Link Virendefinitionen (Intelligent Updater).
  
  Die Intelligent Updater-Virendefinition sind verfügbar: Detaillierte Anweisungen erhalten Sie im Dokument Aktualisieren der Virendefinitionsdateien mit dem Intelligent Updater.

3. Neustarten des Computers im abgesicherten Modus oder im VGA-Modus

Fahren Sie den Computer herunter und schalten Sie ihn aus. Warten Sie mindestens 30 Sekunden und starten Sie den Computer dann im abgesicherten Modus von einer Befehlszeile oder im VGA-Modus neu.

• Wenn Sie mit Windows 95, 98, Me, 2000 oder XP arbeiten, starten Sie den Computer im abgesicherten Modus neu. Anweisungen hierzu finden Sie im Dokument Starten Ihres Computers im abgesicherten Modus.
• Wenn Sie mit Windows NT 4 arbeiten, starten Sie den Computer im VGA-Modus neu.
  

4. Prüfen des Computers und Löschen infizierter Dateien

1. Starten Sie Ihr Virenschutzprogramm von Symantec und stellen Sie sicher, dass es zur Überprüfung aller Dateien konfiguriert ist.
   • Für Norton AntiVirus-Endanwenderprodukte: Lesen Sie das Dokument Norton AntiVirus zum Prüfen aller Dateien einstellen.
   • Für Symantec AntiVirus Enterprise-Produkte: Lesen Sie das Dokument Überprüfen, ob ein Symantec AntiVirus Corporate Edition-Produkt zum Prüfen aller Dateien eingestellt ist .
2. Führen Sie eine vollständige Systemprüfung durch.
3. Wenn Dateien als mit Trojan.Vundo infiziert gemeldet werden, klicken Sie auf Löschen.

5. Rückgängigmachen der an Registrierung vorgenommenen Änderungen

---

Wichtig: Wir empfehlen Ihnen nachdrücklich, eine Sicherungskopie der Registrierung anzulegen, bevor Sie Änderungen daran vornehmen. Fehler bei der Änderung der Registrierung können zu einem permanenten Datenverlust oder beschädigten Dateien führen. Bearbeiten Sie nur die angegebenen Schlüssel. Anweisungen finden Sie im Dokument Erstellen einer Sicherheitskopie der Windows-Registrierung.

---

1. Klicken Sie auf Start > Ausführen.
2. Geben Sie regedit ein.
   
   Klicken Sie dann auf OK.
   
   
3. Suchen Sie die Schlüssel
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Classes\ATLEvents.ATLEvents\CLSID
   HKEY_LOCAL_MACHINE\SOFTWARE\Classes\ATLEvents.ATLEvents.1\CLSID
   
   
4. Löschen Sie im rechten Teilfenster den Wert:
   
   " [Standardwert]" = "{02F96FB7-8AF6-439B-B7BA-2F952F9E4800}"
   
   
5. Suchen Sie den Schlüssel
   
   HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Runonce
   
   
6. Löschen Sie diesen Wert im rechten Teilfenster, falls vorhanden:
   
   "*WinLogon = "[Vollständiger Pfad zur Trojaner-Datei] ren time:[Willkürliche Zahl]"
   
   
7. Suchen Sie den Schlüssel
   
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
   
   
8. Löschen Sie diesen Wert im rechten Teilfenster, falls vorhanden:
   
   "*[Dateiname des Trojaners]" = "[Vollständiger Pfad zur Trojanerdatei] rerun"
   
   
9. Suchen Sie den Schlüssel:
   
   HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\
   
   
10. Löschen Sie diesen Wert im rechten Teilfenster, falls vorhanden:
    
    "*[Dateiname des Trojaners]" = "[Vollständiger Pfad zur Trojanerdatei]"
    
    
11. Suchen Sie die folgenden Registrierungseinträge und löschen Sie sie:
    
    HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\ActiveState
    HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{02F96FB7-8AF6-439B-B7BA-2F952F9E4800}
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\
    Browser Helper Objects\{02F96FB7-8AF6-439B-B7BA-2F952F9E4800}
    HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{2353FCBC-012D-487B-8BF3-865C0929FBEB} HKEY_LOCAL_MACHINE\SOFTWARE\Classes\ATLDistrib.ATLDistrib\CLSID\
    HKEY_LOCAL_MACHINE\SOFTWARE\Classes\ATLDistrib.ATLDistrib.1\CLSID\
    HKEY_USERS\S-1-5-21-2068663838-1736639611-1443527720-500\Software\Microsoft\Windows
    \CurrentVersion\Ext\Stats\{2353FCBC-012D-487B-8BF3-865C0929FBEB}
    HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{22E85F2A-4A67-4835-B2C3-C575FE4EC322}
    HKEY_LOCAL_MACHINE\SOFTWARE\Classes\ADOUsefulNet.ADOUsefulNet
    HKEY_LOCAL_MACHINE\SOFTWARE\Classes\ADOUsefulNet.ADOUsefulNet.1
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{22E85F2A-4A67-4835-B2C3-C575FE4EC322}
    HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{DE8BDE42-16D9-4CCC-9F4F-1C3167B82F60}
    HKEY_CLASSES_ROOT\CLSID\{DE8BDE42-16D9-4CCC-9F4F-1C3167B82F60}
    HKEY_LOCAL_MACHINE\SOFTWARE\Classes\DPCUpdater.DPCUpdater
    HKEY_LOCAL_MACHINE\SOFTWARE\Classes\DPCUpdater.DPCUpdater.1
    
    
    
12. Schließen Sie den Registrierungseditor.
    
    
13. Starten Sie den Computer im normalen Modus neu. Anweisungen hierzu finden Sie im Dokument Starten Ihres Computers im abgesicherten Modus.

Technische Details