Hvilken virus er dette (CFGWIZ32.EXE)?

http://www.ing.dk/konf/root/pcit/html/4448.all.html

http://vil.nai.com/vil/virusSummary.asp?virus_k=99040

Hvordan kan det så være at den fil var vedhæfted deres e-mail?

Har du læst noget i de 2 links jeg gav dig...der står det.

Jeg tvivler MEGET på cfgwiz32.exe er en virus. Jeg kan se jeg har den liggende i C:\\Windows\\System dateret 5.5.99 kl. 22.22... som de øvrige filer der! Desuden er der også en .dll fil og - jeg har svannet mange gange samt ikke haft nogen problemer.
Jeg tvivler desuden på en virus lægges i system, hvem går ind og åbner en ubekendt EXE i system?

svannet = scannet

Har også modtaget cfgwi9232.exe som vedhæftet fil i dag, fra en som jeg ikke kender, den blev fanget af Norton AV, filen indeholdt ifølge Norton en virus ved navn w32.Magistr.24876@mm.

hy> Hvad har cfgwi9232.exe med det her at gøre?

zhark >> Du vil måske påstå at de tilfældigvis er kommet til at vedhæfte en fil der ligger under windows mappen? Jeg kan også godt se at den ligger i på computeren. Men hvis de ikke selv har vedhæfted den må der vel være noget der har ?!?

prodic >> Har læst dem. Den ene siger at det er noget pjat. Den anden at den er yderst farlig.
Hvis den nu IKKE er farlig ville det være en forklaring på hvorfor mit AV ikke fangede den. Men hvis den ER farlig vil det være forklaringen på at den vedhæftede sig selv.
Har ikke haft tid til at lærlæse det, men læser videre i morgen.

zhark > jeg mente CFGWIZ32.EXE

TommyF->Tror du skal have kigget lidt nærmere på dit AV-program. Evt. krydstjekke med et andet program.

Indtil videre kan jeg ikke se at det er en virus. Er der noget gratis anti-virus program som kan fange den?
Har en gammel version af McAffe...

Magistr.24876 

(also known as Win32.Magistr.24876, W32/Magistr@MM, PE_MAGISTR.A, 
W32.Magistr.24876 and I-Worm.Magistr)

This virus is very dangerous.  Its payload depends on several 
conditions but it can erase hard drive data, CMOS memory and 
Flash Bios contents in the same way the Win95.CIH (aka Chernobyl) 
virus does.

Magistr is a polymorphic binary virus/worm targeting Windows 
95/98/ME/2K systems.  Originally It had been observed in the field 
mainly in Europe, and most recently here in North America. 

According to the Data Fellows website, the virus spreads by email 
using data from email clients Outlook Express, Netscape Messenger, 
Internet Mail and News.   

The infected messages may have no body (no text in the message), 
or a random text, like \"À=!\"#? $?\".  The same applies to the Subject 
line.  The attached file name is also variable, it can have an EXE or 
SCR extension.  The virus looks in the system for certain  EXE files of 
up to 132K of length, infects it and attaches to the message.  Thus 
the attachment is usually an EXE file of a Windows command (examples 
are QuickLnk.EXE, MKCOMPAT.EXE, CFGWIZ32.EXE, SNDVOL32.EXE).

There have also been reports of attachments masquerading as a GIF 
image.  The messages sent can have a second attachment, usually 
a .doc or .txt file.  In some cases, also the sender\'s address is slightly 
changed, in particular the second letter of the emailaddress (in the first 
line of the mailmessage, not in the From: header).  Also, when 
examining a header\'s message, the FROM and SUBJECT headers may 
be in capital letters.  It is of course possible that any of the above 
elements are NOT present yet the attachment contains the virus.

When run, this virus will make a copy of an EXE or SCR file in the system 
directory, give it a slightly different name and infect the copy.  The virus 
then adds a reference to this infected file to the following registry key:

HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Run\\
For example, under test conditions the virus copied \"CFGWIZ32.EXE\" to 
\"CFGWIZ31.EXE\" and added the key:
HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Run\\
CFGWIZ31=\"C:\\WINDOWS\\SYST EM\\CFGWZ31.EXE\"
It may also add the filename to the \"run=\" line in WIN.INI.
On the next reboot, the infected copy will infect other .EXE and .SCR files in 
the System directory and its subdirectories.

The virus searches for e-mail addresses in Outlook Express and Netscape 
mailboxes, as well as the Windows address book (.WAB) files. It stores 
information about the location of these mailboxes in a hidden file in the 
Windows directory with the extension \".dat\". The rest of the filename is 
randomly generated based on the computer name.

Using its own SMTP code (by connecting to the mailserver directly), the 
virus then sends an e-mail message to all of the addresses it has found. 
The subject and body of the e-mail are taken from files on the infected 
machine\'s hard drive, and therefore may be any collection of ASCII 
characters.  An infected file is attached to the e-mail.

Besides using SMTP to spread, Magistr also tries to connect to shares in 
the network neighborhood. If it can connect to a network drive, it will try 
to copy itself to the following directories and add a \"run=\" line to the 
WIN.INI file on the remote machine to infect it on the next startup:

WIN95  WIN98  WINDOWS  WINNT

The virus code contains a procedure to overwrite files on the hard drive 
as well as the CMOS data and Flash BIOS code. Whilst the CMOS data is 
recoverable, the loss of the Flash BIOS code could potentially render a 
computer unbootable. 

IMPORTANT NOTE FOR ****** Virus Scan Software Users:  It has been reported from a certain manufacturer, that ****** was unable to detect this virus, even with the most recent DAT files  (virus definitions files).

NanoQ

TommyF->http://housecall.antivirus.com/housecall/start_corp.asp

Det er en virus, fra Norton AV log :

Date: 21-07-01, Time: 14:46:54, xxxxxx on xxxxxxx
The file
C:\\DOCUME~1\\HENNIN~1\\LOKALE~1\\Temp\\CFGWIZ32.EXE
was infected with the W32.Magistr.24876@mm virus.
The file was repaired.

hyde

Som jeg fortsår det KAN... CFGWIZ32.EXE indeholde virus, men - Jeg havde både ovennævnte og en anden nævnt \"SULFNBK.EXE\".
Jeg har scannet alle disketter, lige omformateret (ikke grundet dette) og har nu begge filerne! En ven der er MEGET omhyggelig med opdatering af Norton har ligeledes begge filerne, såååe de filer må være OK, at virus så evt. vil/kan knytte sig til netop disse filer må være noget helt andet ik\'??

Tak til jer allesammen for hjælpen, især Prodic.
De kom hjem idag, så med det program Prodic henviste til lykkedes det at fjerne virusen (havde inficeret 20 filer).