Hallo,

ein Bekannter hat ein Problem mit seinem Rechner (siehe Titel).

Vorgeschichte:
Er ist ein DAU - und so war ich derjenige welcher folgendes zu lösen hatte (habe):
Tag 1:
Andauernd Rechner-Abstürze (hatte das Problem beseitigt - ein RAM-Riegel defekt)

Tag 2:
danach lief das Netz nicht mehr; lange herumgesucht, es war letztenendes eine defekte TCPIP.sys. Ausgetauscht, lief wieder.

Tag 3:
Ich hatte ihm zusätzlich Seamonkey aufgespielt als Browser (er hatte FF und IE drauf). Nachdem er ein Mal den FF aufgerufen hatte lief der Rechner nur noch kurz hoch nach dem einloggen - danach war der Rechner "stoned".
Abhilfe habe ich gerade so geschafft, indem ich Kaspersky in den Autostart-Ordner gesteckt und zum laufen gebracht hatte (zuvor Antivir gelöscht). Ich bin aber vor dem Ende des Prozesses nach Hause gegangen.

Tag 4:
So lange er Seamonkey nutzte ging es (angeblich) - aber er hat aus versehen einmal den IE aufgemacht. Seit dem - siehe Thread-Titel. Habe die FP ausgebaut und an meinem Rechner Kaspersky suchen lassen. Ein Trojaner und 2x Adware gefunden und entfernt. Am Zustand hat das ganze nichts geändert. Es ist nicht der W32/rbot (es existiert keine msnmsg.exe). Außerdem ist das System lt. Kaspersky "sauber".

Somit bin ich nun ratlos. Ideen? Ich denke (Kaspersky hin- oder her) das es ein Trojaner sein müsste. Das Problem tritt im übrigen auch im abgesicherten Modus auf.


Ich bin für Ratschläge dankbar

Grüße
streaming

Gibt es eine Möglichkeit das was man mit msconfig macht mit dem Häkchen "Systemdienste laden" (bzw. nicht laden) manuell in einer Datei zu hinterlegen? Da die Systemauslastung bei 100% liegt bekomme ich zwar innerhalb von 10-20 Minuten msconfig gestartet und das Häckchen gesetzt...aber das "Übernehmen" führt wohl zu einer Überlastung und wird nicht ausgeführt.

Habe inzwischen das ganze entweder für einen Rootkit-Schädling oder für einen sehr neuen. Die zwei Trojaner welche Kaspersky beseitigt hatte waren schon neue - einen der eine Endung .dll.bak hatte wurde von mir hinterher noch manuell aus dem system32-Ordner gefischt. Auf Jotti haben den (überhaupt nur) drei Scanner als eine Abwandlung eines der neuen, gelöschten Trojaner erkannt (alle anderen haben den ohne Befund gelassen).

Ich würde (unabhängig von einem vermutlichen plattmachen des Rechners) aber gerne herausfinden wo der Schädling zu suchen ist.
Unter den HKLM .../run habe ich nichts auffälliges finden können. Ebenso eigentlich nicht unter msconfig/Dienste und auch nicht bei der boot.ini.

Gestartete Dienste im abgesicherten Modus:
Remoteprozeduraufruf (RPC)
Hilfe und Support
Ereignisprotokoll
DCOM-Server-Prozessstart
Kryptographiedienste


Grüße