mpdat.exe wird nach spybot nicht gefunden

[Postfach]

Hallo zusammen!

Also ich habe hier mal ein ziemlich nervendes Problem. Ich hatte den Virus w32.spybot.worm bei mir auf dem Rechner. Mein Norton hat die infizierten Dateien isoliert. Darunter auch die mpdat.exe aus dem Verzeichnis windows/system...
Und immer, wenn ich nun den Rechner hochfahre, kommt die Meldung: mpdat.exe konnte nicht gefunden werden. Und dann die Verzeichnisangabe. Wenn ich die Datei wieder aus dem Isolationsordner von Norten hole und wieder herstelle, dann habe ich den Virus wieder drauf. Wie kriege ich diese Datei wieder? Und brauche ich die?
Erstmal ein Danke an alle.

[Ritchy]

Hallo,

besorge die ein Tool wie z.Bsp. Startup-Manager und entferne den Aufruf der Datei aus dem Autostart, Run-Schlüssel, oder wo er sonst immer stecken mag...

mfg
Ritchy

[HomerSektor7G]

Hi...

Also ich finde eine solche Datei in meinem Windowsverzeichnis inklusive aller Unterverzeichnisse überhaupt nicht.

Scheinbar ist diese Datei genau der Virus, der sich einfach bei jedem Systemstart selbst geladen hat durch entsprechende Einträge in der Registrierung.

Einfach die Einträge entfernen.

mfg Homersektor7g

[Enrico]

W32/Rbot-WG is a worm which attempts to spread to remote network shares. It also contains backdoor Trojan functionality, allowing unauthorised remote access to the infected computer via IRC channels while running in the background as a service process.
W32/Rbot-WG spreads to network shares with weak passwords and via network security exploits as a result of the backdoor Trojan element receiving the appropriate command from a remote user.
W32/Rbot-WG copies itself to the Windows system folder as MPDAT.EXE and creates an entriy at the following location in the registry so as to run itself on system startup, resetting this value every 2 minutes:
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\
Shell =
"Explorer.exe mpdat.exe"
W32/Rbot-WG will attempt to set the following registry entries:
HKLM\SOFTWARE\Microsoft\Ole\
EnableDCOM =
"N"
HKLM\SYSTEM\CurrentControlSet\Control\Lsa\
restrictanonymous =
1
W32/Rbot-WG may modify the following registry entry to restrict anonymous enumeration of SAM accounts:
HKLM\SYSTEM\CurrentControlSet\Control\Lsa\
restrictanonymousSAM
W32/Rbot-WG can add and delete network shares and users on the infected computer. The worm can also change the network logon rights of accounts in the local system policy.
W32/Rbot-WG may change the security settings of Microsoft Internet Explorer by modifying entries in the registry at the following location:
HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3

http://www.sophos.com/virusinfo/analyses/w32rbotwg.html

Hilft dir das?
Gruss
Enrico