Hi Leute

hab folgendes mega nervendes Problem:

Mein pc verbindet sich ständig mit einem mir fremden Netzwerk dass immer mit
196.254.XXX.YYY
anfängt.
Wenn sich dieses netzwerk durchgerungen hat hab ich kein internet mehr und bin in einem "nicht identifiziertem Netzwerk"

Hatte nen mega Virenbefall. Tausende von Exe Dateien waren mit nem virus besetzt. Die gelöscht und nun hab ich das problem mit dem fremden netzwerk.

Irgendwann hab ichs mal nach ner Neuinstallation geschafft die Viren zu identifizieren.

Logauszug aus Malware Scanner:

Infizierte Dateien: 8
C:\Windows.old\Windows\System32\conime.exe (Backdoor.Bot) -> Keine Aktion durchgeführt.
C:\Windows.old\Windows\System32\dllhost.exe (Spyware.Banker) -> Keine Aktion durchgeführt.
C:\Windows.old\Windows\Temp\001329dd.exe (Trojan.Agent.TRGen) -> Keine Aktion durchgeführt.
C:\Windows.old\Windows\winsxs\x86_microsoft-windows-com-surrogate_31bf3856ad364e35_6.0.6000.16386_none_41ed2cb9f696f0a2\dllhost.exe (Spyware.Banker) -> Keine Aktion durchgeführt.
C:\Windows.old\Windows\winsxs\x86_microsoft-windows-consoleime_31bf3856ad364e35_6.0.6002.18005_none_b826026c54dd064c\conime.exe (Backdoor.Bot) -> Keine Aktion durchgeführt.
C:\Windows.old\Windows\winsxs\x86_microsoft-windows-services-svchost_31bf3856ad364e35_6.0.6001.18000_none_b5bb59a1054dbde5\svchost.exe (FakeMS) -> Keine Aktion durchgeführt.
C:\Windows.old\Windows\winsxs\x86_microsoft-windows-tcpip-utility_31bf3856ad364e35_6.0.6002.18091_none_344d1c424c4c841c\ROUTE.EXE (Backdoor.Bot) -> Keine Aktion durchgeführt.
C:\Windows.old\Windows\winsxs\x86_microsoft-windows-at_31bf3856ad364e35_6.0.6001.18000_none_4d01a46983e485b5\at.exe (Trojan.Downloader) -> Keine Aktion durchgeführt.

Hab drei infizierte Systeme und nirgends aber auch wirklich nirgends krieg ichs raus.
Scheisegal ob ich formatiere und neu installiere. Ich krieg das problem immer und immer wieder. Malware zeigt mir nichts an. Avira zeigt mir nichts an und meine Comodo Firewall meldet sich immer wenn das fremde Netzwerk wieder zugriff will.

Bei allen drei System sind diese winsxs einträge vorhanden und jedes System meldet das fremde Netzwerk.

Momentan nutze ich immer nur ein System und versuche es clean zu kriegen, aber es geht einfach nicht.

Wie genau krieg ich das ganze Zeugs los?

Eset Online Scan geht irgendwie nicht. Defogger wurde ausgeführt.
Malwarebytes ist aktuell. Scannen im abgesicherten modus bringt keine ergebnisse. Einträge sind im system aber vorhanden.

hi, du hast ja auch nicht richtig formatiert.
wir machens mal richtig.
der pc muss neu aufgesetzt und dann abgesichert werden
1. Datenrettung:

• deaktiviere Autorun: http://www.trojaner-board.de/83238-a...sschalten.html
• dann sichere Daten auf nen externen datenträger: http://www.trojaner-board.de/82533-d...ted-magic.html
  Bilder, Dokumente, Musik Videos (persönliches) http://www.trojaner-board.de/71715-k...iendungen.html

2. Formatieren, Windows neu instalieren:

• nutzt du eine Windows CD: http://www.trojaner-board.de/51262-a...sicherung.html
• recovery cd oder recovery partition.
• falls dies ein fertig pc ist, nenne hersteller + typ.
• Keine Windows 7 DVD? http://www.trojaner-board.de/100776-...-download.html

3. PC absichern: http://www.trojaner-board.de/96344-a...-rechners.html
ich werde außerdem noch weitere punkte dazu posten.
4. alle Passwörter ändern!
5. nach PC Absicherung, die gesicherten Daten prüfen und falls sauber: zurückspielen.
6. werde ich dann noch was zum absichern von Onlinebanking mit Chip Card Reader + Star Money sagen.

hab mal nach meinen viren gegoogelt und mir wissen drüber angeeignet und hab die autorun funktion unterschätzt. neuinstallation ja schon mehrere male gemacht von meinen festplatten.

---
was du mit dem nicht richtig installieren meintest ist wegen dem "windows.old/..." oder? Das war nur mein laptop. bei den anderen system hab ich ja immer komplett neu installiert, bzw sogar öfters über die system cd formatiert um die bitmuster struktur zu verändern dass altes nicht mehr gelesen werden kann mit recovery sachen

---

Hab mich ja bevor ich hier überhaupt gepostet hab schon durch diese ganzen absicherungs und neuinstallations teile durchgelesen, da ich mir eigtl immer selbst helfen kann.

Deine Win7 Iso is ne nette Idee, aber da ich noch nie mit win7 gearbeitet hab, hab ich auch keine lizenz für win7, also bringt mir die iso damit ja nichts

Hab mein system jetzt mal mit Bitdefender und fsecure und avira rescue discs gescannt und nichts gefunden.

ebenso hab ich gemekrt, dass in meinem recycle.bin ordner sich ne desktop.ini einnistet. das heist für mich, das sämtliche usb wechselmedien noch in der autorun datei infiziert sind und sämtliche desktop.ini dateien wegmüssen.

wie kann ich mir in vista die verschiedenen netzwerke anzeigen lassen mit dem es verbunden ist. ich meine nicth die drahtlosnetzwerke.

Hab auch noch in meinen systemberechtigungen ein Konto, dass sich trustet installer nennt. ist das ein standardkonto?? denn diese konto ist der Besitzer vieler Unterordner von Windows und hat absolute vollberechtigung und mein admin und benutzerkonto haben nur lesen und ausführen rechte. normal oder ist meine registry immer noch nicht sauber?
Ist der Benutzer "SYSTEM" auch normal.

na aber auf dem gescanten system ist doch die formatierung nicht richtig gemacht worden, sonst entstehen dohc keine windows.old ordner
hast du lan oder wlan?

war wie gesagt der Laptop. Diesen hab ich die letzen monate nie benutzt, da er kompromittiert war. Hab mir das zu nutze gemacht und einfach vista neu installiert, in dem wissen, dass ich nur neu installiere und nichts formatiere. wird dir ja auch bei der installation gesagt, dass es in nen windows.old ordner kommt.

durch diese aktion hab ich durch nen scan von malware die art viren überhaupt erkannt welche sich auf meinen system eingenistet hatten.

Durch sämtliches lesen und neuinstallieren bin ich auf folgende für mich logische erkenntniss gekommen:
Mein System is an sich eigentlich frei wenn ich neu installiere, aber dadruch, dass alle viren viel zeit hatten sich auszubreiten und ich autorun nie sofort ausgestellt hab, denke ich mir dass über die autorun dateien der virus zurückkam.
bzw auch noch reste im recycle.bin ordner sind der ja immer versteckt ist in dem ne desktop.ini ist

So eine desktop.ini setzt sich doppelt auf meinem desktop an. seit ich diese gelöscht hab, krieg ich auch keinen aufruf mehr zu dem fremden netzwerk. werde aber jetzt nochmal alle drei partitionen machen. Dann autorun sofort ausschalten und sämtliche dienste beenden die ich nicht brauche. Wenigstens hab ich durch diesen massiven befall einiges neues über vista und seine piss sicherheit herausgefunden und wie man was wo konfiguriert.

Nur dieser Trusted Installer macht mir noch bedenken, bzw was es ist/war würd ich gern wissen. Is es wie erwähnt normal dass dieser eine vollberechtigung über meinen C:Windows - Ordner hat und mein admin und benutzerkonto nur lesen und ausführen und ordnerinhalte anzeigen dürfen?????!!

meiner Meinung nach hatte ich viele arten drauf und hab fast alles minimiert wieder kompromittiert zu werden. Das Bedenken kommt durch den Trusted Installer und System Nutzer unter den Berechtigungsverwaltungen und dem ordner mit der desktop.ini im recycle.bin ordner.

Wozu is eigtl dieser winsxs ordner da? Was genau ist in deisem ordner, bzw für welche handlungen sind die datein in diesem ordner vorgesehen?

Edit: drei partitionen in folgendem sinne: partition 1: Xp betriebssystem (pc) / partition 2: Vista Betriebssystem (pc) / partition 3: Vista Betriebssystem (Laptop)

Ok anscheinend hab ich einen Routervirus. Installation alles ausgeführt und alles wunderbar. Jetzt dacht mir: "gut, kann ich wieder meine fritzbox anschließen"

Und siehe da, kaum angeschlossen, tadaa zwei netzwerke schicken ne anfrage an meine firewall. Das heist also ich hab irgendwas bösartiges, dass sich in meine Routerkomfiguration eingenistet hat. Ich glaub ich geh die Fritzbox einfach umtauschen, hab eh noch Garantie. So hab ich auch das Problem mim Alice router gelöst. Der wurde ersetzt und hab keine probleme mit dem netzwerk.

Oder gibt es ne Möglichkeit so nen routervirus vom computer aus zu entfernen?? Wüsste nämlich jetzt kein programm was dir nen router scannt, geschweige denn, dass ich weis wo sich wie so n bösartiges teil in nen router einnisten könnte.

du hast meine frage nicht beantwortet, ist es ein wlan router? du kannst den router ja auch mal resetten und mir den typen posten.
hast du diesmal richtig formatiert?

so jezt hab ich wieder Zeit mich drum zu kümmern. Mein Router ist n Alice Router und ja er hat Wlan, aber das hab ich immer ausgeschalten, weil ichs nicht brauch.

Router resetten hat nichts gebracht
und es wurde richtig formatiert

Mir wird mein arp cache beschrieben

Ist der Systembenutzer Trusted Installer normal??? und auch, dass er so viel Rechte hat??

aber hat der pc evtl. ne wlan karte und ist diese aktiev? falls ja, deaktiviere sie mal testweise

Passt wieder alles bei mir. Die verdächtigen Adressen im Arp Cache waren ipv4 multicastadressen, also ungeführlich. und routerreset war diesmal erfolgeich, keine fremde ip mehr die vom router kommt. hab wieder n system, dass clean ist. jetzt kann ich die anderen zwei systeme nachsichern und dann wird sich wieder alles passen


auf jeden fall weis ich jetzt einiges mehr über systemdienste, viren, systemdateien, regedit und etlich anderem Zeugs ^^
Definitiv die übelste Virenkombi meines Lebens, die sich durch mein System geschlichen hat und mich ziemlich hart an die Grenze des Wahnsinns getrieben hat, weils end übel war das zeugs alles wegzukriegen.

hi
was für nen router hast du, dann gebe ich dir konfig hinweise.
updaten musst du den router auch
pc absichern:
als antimalware programm würde ich emsisoft empfehlen.
diese haben für mich den besten schutz kostet aber etwas.
http://www.trojaner-board.de/103809-...i-malware.html
testversion:
Meine Antivirus-Empfehlung: Emsisoft Anti-Malware
insbesondere wenn du onlinebanking, einkäufe, sonstige zahlungsabwicklungen oder ähnlich wichtiges, wie zb berufliches machst, also sensible daten zu schützen sind, solltest du in sicherheitssoftware investieren.
vor dem aktivieren der lizenz die 30 tage testzeitraum ausnutzen.

kostenlos, aber eben nicht ganz so gut wäre avast zu empfehlen.
http://www.trojaner-board.de/110895-...antivirus.html

sag mir welches du nutzt, dann gebe ich konfigurationshinweise.
bitte dein bisheriges av deinstalieren
die folgende anleitung ist umfangreich, dass ist mir klar, sie sollte aber umgesetzt werden, da nur dann dein pc sicher ist. stelle so viele fragen wie nötig, ich arbeite gern alles mit dir durch!

http://www.trojaner-board.de/96344-a...-rechners.html
Starte bitte mit der Passage, Windows Vista und Windows 7
Bitte beginne damit, Windows Updates zu instalieren.
Am besten geht dies, wenn du über Start, Suchen gehst, und dort Windows Updates eingibst.
Prüfe unter "Einstellungen ändern" dass folgendes ausgewählt ist:
- Updates automatisch Instalieren,
- Täglich
- Uhrzeit wählen
- Bitte den gesammten rest anhaken, außer:
- detailierte benachichtungen anzeigen, wenn neue Microsoft software verfügbar ist.
Klicke jetzt die Schaltfläche "OK"
Klicke jetzt "nach Updates suchen".
Bitte instaliere zunächst wichtige Updates.
Es wird nötig sein, den PC zwischendurch neu zu starten. falls dies der Fall ist, musst du erneut über Start, Suchen, Windows Update aufrufen, auf Updates suchen klicken und die nächsten instalieren.
Mache das selbe bitte mit den optionalen Updates.
Bitte übernimm den rest so, wie es im Abschnitt windows 7 / Vista zu lesen ist.
aus dem Abschnitt xp, bitte den punkt "datenausführungsverhinderung, dep" übernehmen.
als browser rate ich dir zu chrome:
Installation von Google Chrome für mehrere Nutzerkonten - Google Chrome-Hilfe
anleitung lesen bitte
falls du nen andern nutzen willst, sags mir dann muss ich teile der nun folgenden anleitung


Sandboxie
Die devinition einer Sandbox ist hier nachzulesen:
Sandbox
Kurz gesagt, man kann Programme fast 100 %ig isuliert vom System ausführen.

Der Vorteil liegt klar auf der Hand, wenn über den Browser Schadcode eingeschläust wird, kann dieser nicht nach außen dringen.
Download Link:
Sandboxie Download - Sandboxie 3.74

anleitung:
http://www.trojaner-board.de/71542-a...sandboxie.html
ausführliche anleitung als pdf, auch abarbeiten:
Sandbox Einstellungen |

bitte folgende zusatz konfiguration machen:
sandboxie control öffnen, menü sandbox anklicken, defauldbox wählen.
dort klicke auf sandbox einstellungen.
beschrenkungen, bei programm start und internet zugriff schreibe:
chrome.exe
dann gehe auf anwendungen, webbrowser, chrome.
dort aktiviere alles außer gesammten profil ordner freigeben.
Wie du evtl. schon gesehen hast, kannst du einige Funktionen nicht nutzen.
Dies ist nur in der Vollversion nötig, zu deren Kauf ich dir rate.
Du kannst zb unter "Erzwungene Programmstarts" festlegen, dass alle Browser in der Sandbox starten.
Ansonsten musst du immer auf "Sandboxed webbrowser" klicken bzw Rechtsklick, in Sandboxie starten.
Eine lebenslange Lizenz kostet 30 €, und ist auf allen deinen PC's nutzbar.

Weiter mit:
Maßnahmen für ALLE Windows-Versionen
alles komplett durcharbeiten
anmerkung zu file hippo.
in den settings zusätzlich auswählen:
hide beta updates.
Run updateChecker when Windows starts

Backup Programm:
in meiner Anleitung ist bereits ein Backup Programm verlinkt, als Alternative bietet sich auch das Windows eigene Backup Programm an:
http://www.trojaner-board.de/82962-w...en-backup.html
Dies ist aber leider nur für Windows 7 Nutzer vernünftig nutzbar.
Alle Anderen sollten sich aber auf jeden fall auch ein Backup Programm instalieren, denn dies kann unter Umständen sehr wichtig sein, zum Beispiel, wenn die Festplatte einmal kaputt ist.

Zum Schluss, die allgemeinen sicherheitstipps beachten, wenn es dich betrifft, den Tipp zum Onlinebanking beachten und alle Passwörter ändern
bitte auch lesen, wie mache ich programme für alle sichtbar:
Programme für alle Konten nutzbar machen - PCtipp.ch - Praxis & Hilfe
surfe jetzt also nur noch im standard nutzer konto und dort in der sandbox.
wenn du die kostenlose version nutzt, dann mit klick auf sandboxed web browser, wenn du die bezahlversion hast, kannst du erzwungene programm starts festlegen, dann wird Sandboxie immer gestartet wenn du nen browser aufrufst.
wenn du mit der maus über den browser fährst sollte der eingerahmt sein, dann bist du im sandboxed web browser

passwort sicherheit:
jeder dienst benötigt ein eigenes, mindestens 12-stelliges passwort
bei der passwort verwaltung und erstellung hilft roboform
Passwort Manager, Formular Ausfueller, Passwort Management | RoboForm Passwort Manager
anleitung:
RoboForm-Bedienungsanleitung: Passwort-Manager, Verwalten von Passwörtern und persönlichen Daten

Hab n Alice Router 1421 (Wlan router)

Hab mich mit der fremden ip aber zu früh gefreut. Vor dem routerresset hat sich die fremde ip mit eingehackt als ich an einen der lan anschlüsse gegangen bin. Nach dem reset kommts nur noch wenn ich mich per wlan verbinden will. Sprich über Lan 1bis4 keine Probleme, normale Vergabe der ip vom alice router, aber übers wlan ist besagte ip 169.254.xxx.xxx, neben der ip von alice, mit dabei. ich ralls nicht.
Somit hat es mir wohl meine Routerkonfiguration umgeschrieben??!! find aber keine programme womit ich die .bin Konfigurationsdatei öffnen könnte um sie zu ändern, weder dass ich ne originiale Konfigurationsdatei finde, die ich über die benutzeroberfläche in den router laden könnte.

hast du evtl. nen fernseher im netzwerk?
http://support.apple.com/kb/TS3798?v...E&locale=de_DE
bzw eines der genannten geräte

interessant.

ja benutze ip tv mit dem basis standard mediareciever von alice.
Hab den Artikel jetzt nur kurz überflogen, da mein hirn direkt nach der arbeit noch nich ganz da is
ich nutze alice jetzt seit fast 2 jahren und noch nie kam diese meldung mit der ip. also kann ich es zulassen oder wie?
aber wieso verbindet sich überhaupt mein fernseher mit meinem pc oO

und wieso kommt das nur auf bestimmten anschlüssen auf dem router oO

wie soll ich mich jetzt in dem fall verhalten oO

goooott ich bin so froh wenn ich in drei monaten dieses fick alice los bin -.-

so nochmal durchgelesen. Also wenn ich das recht verstehe muss ich meinem fernseher auf dem alice router ne eigene feste ip im adressbereich 196.168.xxx.xxx geben ???!!
bzw alice anrufen und denen verklickern dass se was ändern sollen?!

Ich finds halt nur strange, dass das n paralelles Netzwerk ergibt und sich das selbst übern den router ausbreitet. Hatte sowas noch nie und bin verwundert.

Also dann kann ich nen Virus/Fremdzugriff etc ausschließen und diese Sache fällt unter "etwas richtig einstellen" ??