MS removal Tool vollständig entfernen

Deathkid535 · 10.07.2011, 09:46

Hallo M-K-D-B,

Zitat:

Ich wünsche dir einen schönen Urlaub. Bis Freitag.

Danke fürs verständnis

Greetz,
Deathkid

M-K-D-B · 10.07.2011, 09:53

Hallo Deathkid,

Zitat:

Danke fürs verständnis

Das ist doch selbstverständlich.

Ich würde mich sehr freuen, wenn du am Freitag wieder hier reinschaust.

Meine Vermutung war richtig. Der Dienst für das Windows Sicherheitscenter ist deaktiviert. Den müssen wir wieder aktivieren. Das geht wie folgt:

Schritt # 1: Batch Datei ausführen
Drücke bitte die

+ R Taste und schreibe notepad in das Ausführen Fenster.

Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument

Code:

ATTFilter

@echo off
cd \
set log=%userprofile%\Desktop\ergebnis.txt
if exist %log% del %log%
sc config wscsvc start= auto >> "%log%" 2>&1
notepad "%userprofile%\Desktop\ergebnis.txt"
del %0

Wähle Datei --> Speichern unter
Dateiname: fix1.bat
Dateityp: Wähle Alle Dateien (*.*)
Speichere die Datei auf deinem Desktop.
Es sollte nun ungefähr so aussehen
Starte die fix1.bat.
Vista und Win7 User: Mit Rechtsklick "als Administrator starten"
Es öffnet sich die Textdatei ergebnis.txt. Diese Datei befindet sich auch auf deinem Desktop.
Starte deinen Rechner neu auf.

Schritt # 2: Durchführung einer Sicherheitskontrolle

Starte SecurityCheck.exe und folge den Anweisungen in der DOS- Box.
Wenn der Scan beendet wurde, sollte sich ein Textdokument ( checkup.txt ) öffnen.
Poste den Inhalt bitte hier.

Schritt # 3: Deine Rückmeldung
Zur weiteren Analyse benötige ich zusammen mit deiner nächsten Antwort

das Logfile der Batch Datei und
das neue Logfile von SecurityCheck.

Deathkid535 · 10.07.2011, 09:59

Hallo M-K-D-B,
halbe Stunde Zeit ist noch

Also hier das von der batch Datei:

Code:

ATTFilter

[SC] ChangeServiceConfig ERFOLG

Und hier das vom Security Check:

Code:

ATTFilter

 Results of screen317's Security Check version 0.99.17  
 Windows 7  (UAC is enabled) 
 Internet Explorer 8  
`````````````````````````````` 
Antivirus/Firewall Check: 
 Windows Security Center service is not running! This report may not be accurate! 
 avast! Free Antivirus    
 ESET Online Scanner v3   
 WMI entry may not exist for antivirus; attempting automatic update. 
``````````````````````````````` 
Anti-malware/Other Utilities Check: 
 Malwarebytes' Anti-Malware    
 Java(TM) 6 Update 26  
 Adobe Flash Player 	10.3.181.34  
 Adobe Reader X (10.1.0) 
 Mozilla Firefox (x86 de..) 
```````````````````````````````` 
Process Check:  
objlist.exe by Laurent 
 Malwarebytes' Anti-Malware mbamservice.exe  
 Malwarebytes' Anti-Malware mbamgui.exe  
 AVAST Software Avast AvastSvc.exe  
 AVAST Software Avast AvastUI.exe  
``````````End of Log````````````

Grüße,
Deathkid

M-K-D-B · 10.07.2011, 10:08

Hallo Deathkid,

komisch... die Batch Datei sagt, es hat funktioniert, aber SecurityCheck zeigt nichts anderes an.

Sofern du es noch nicht getan hast, starte bitte deinen Rechner neu auf!

Anschließend machen wir folgendes:

Schritt # 1: Batch Datei ausführen
Drücke bitte die

+ R Taste und schreibe notepad in das Ausführen Fenster.

Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument

Code:

ATTFilter

@echo off
cd \
set log=%userprofile%\Desktop\ergebnis.txt
if exist %log% del %log%
reg query "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc" /s >> "%userprofile%\Desktop\ergebnis.txt"
notepad "%userprofile%\Desktop\ergebnis.txt"
del %0

Wähle Datei --> Speichern unter
Dateiname: suche2.bat
Dateityp: Wähle Alle Dateien (*.*)
Speichere die Datei auf deinem Desktop.
Es sollte nun ungefähr so aussehen
Starte die suche2.bat.
Vista und Win7 User: Mit Rechtsklick "als Administrator starten"
Es öffnet sich die Textdatei ergebnis.txt. Diese Datei befindet sich auch auf deinem Desktop.

Schritt # 2: Deine Rückmeldung
Zur weiteren Analyse benötige ich zusammen mit deiner nächsten Antwort

das Ergebnis der Batch Datei.

Deathkid535 · 10.07.2011, 10:19

Hallo M-K-D-B,
Hier das benötigte Ergebnis:

Code:

ATTFilter

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc
    Type    REG_DWORD    0x20
    Start    REG_DWORD    0x4
    ErrorControl    REG_DWORD    0x1
    ImagePath    REG_EXPAND_SZ    %SystemRoot%\System32\svchost.exe -k LocalServiceNetworkRestricted
    DependOnService    REG_MULTI_SZ    RpcSs\0winmgmt
    ObjectName    REG_SZ    NT AUTHORITY\LocalService
    RequiredPrivileges    REG_MULTI_SZ    SeChangeNotifyPrivilege\0SeImpersonatePrivilege
    DelayedAutoStart    REG_DWORD    0x1
    FailureActions    REG_BINARY    805101000000000000000000030000001400000001000000C0D4010001000000E09304000000000000000000

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc\Enum
    0    REG_SZ    Root\LEGACY_WSCSVC\0000
    Count    REG_DWORD    0x1
    NextInstance    REG_DWORD    0x1

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc\Parameters
    ServiceDll    REG_EXPAND_SZ    %SYSTEMROOT%\system32\wscsvc.dll

MFG,
Deathkid

M-K-D-B · 10.07.2011, 10:22

Hallo Deathkid,

der Dienst ist wieder deaktiviert.

Ich kläre das intern im Team ab. Am Freitag gehts damit und mit der Entfernung aller Tools inklusive ein paar Tipps weiter.

Deathkid535 · 10.07.2011, 10:24

Hallo M-K-D-B,

Zitat:

der Dienst ist wieder deaktiviert.

Hä?, das muss ich nicht verstehen oder?

Zitat:

Ich kläre das intern im Team ab. Am Freitag gehts damit und mit der Entfernung aller Tools inklusive ein paar Tipps weiter.

Ok, dann bis Freitag

MFG,
Deathkid

M-K-D-B · 10.07.2011, 16:44

Hallo Deathkid,

Zitat:

Zitat von Deathkid535

Hä?, das muss ich nicht verstehen oder?

Nein, nicht unbedingt.

Aber ich versuche, es dir zu erklären:
Laut dem ausgeführten Fix mit der Batch Datei sollte der Dienst des Windows-Sicherheitscenters wieder laufen:

Zitat:

[SC] ChangeServiceConfig ERFOLG

Eine Überprüfung ergab allerdings, dass der Wert nicht wie geünscht geändert wurde. Daher versuchen wir folgendes:

Schritt # 1: Fix mit OTL

Starte bitte die OTL.exe.
Vista und Win7 User mit Rechtsklick "als Administrator starten"
Kopiere nun den Inhalt in die Textbox.

Code:

ATTFilter

:OTL
:reg
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc]
"Start"=dword:00000002

:commands
[reboot]

Schließe bitte nun alle Programme.
Klicke nun bitte auf den Fix Button.
OTL kann gegebenfalls einen Neustart verlangen. Bitte dies zulassen.
Nach dem Neustart findest Du ein Textdokument auf deinem Desktop.
( Auch zu finden unter C:\_OTL\MovedFiles\<time_date>.txt)
Kopiere nun den Inhalt hier in Deinen Thread

Schritt # 2: Batch Datei ausführen
Drücke bitte die

+ R Taste und schreibe notepad in das Ausführen Fenster.

Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument

Code:

ATTFilter

@echo off
cd \
set log=%userprofile%\Desktop\ergebnis.txt
if exist %log% del %log%
reg query "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc" /s >> "%userprofile%\Desktop\ergebnis.txt"
notepad "%userprofile%\Desktop\ergebnis.txt"
del %0

Wähle Datei --> Speichern unter
Dateiname: suche.bat
Dateityp: Wähle Alle Dateien (*.*)
Speichere die Datei auf deinem Desktop.
Es sollte nun ungefähr so aussehen
Starte die suche.bat.
Vista und Win7 User: Mit Rechtsklick "als Administrator starten"
Es öffnet sich die Textdatei ergebnis.txt. Diese Datei befindet sich auch auf deinem Desktop.

Schritt # 3: Deine Rückmeldung
Zur weiteren Analyse benötige ich zusammen mit deiner nächsten Antwort

das Logfile des OTL-Fix und
das Ergebnis der Batch Datei.

Deathkid535 · 15.07.2011, 21:47

Hallo M-K-D-B,
Bin wieder zurück aus dem Urlaub

,
So, jetzt gehts aber wieder an die Arbeit:
OTL-FixLog:

Code:

ATTFilter

========== OTL ==========
========== REGISTRY ==========
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc\\"Start"|dword:00000002 /E : value set successfully!
========== COMMANDS ==========
 
OTL by OldTimer - Version 3.2.24.1 log created on 07152011_224007

Das Ergebnis der .bat Datei:

Code:

ATTFilter

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc
    Type    REG_DWORD    0x20
    Start    REG_DWORD    0x4
    ErrorControl    REG_DWORD    0x1
    ImagePath    REG_EXPAND_SZ    %SystemRoot%\System32\svchost.exe -k LocalServiceNetworkRestricted
    DependOnService    REG_MULTI_SZ    RpcSs\0winmgmt
    ObjectName    REG_SZ    NT AUTHORITY\LocalService
    RequiredPrivileges    REG_MULTI_SZ    SeChangeNotifyPrivilege\0SeImpersonatePrivilege
    DelayedAutoStart    REG_DWORD    0x1
    FailureActions    REG_BINARY    805101000000000000000000030000001400000001000000C0D4010001000000E09304000000000000000000

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc\Enum
    0    REG_SZ    Root\LEGACY_WSCSVC\0000
    Count    REG_DWORD    0x1
    NextInstance    REG_DWORD    0x1

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc\Parameters
    ServiceDll    REG_EXPAND_SZ    %SYSTEMROOT%\system32\wscsvc.dll

Gruß,
Deathkid

M-K-D-B · 16.07.2011, 10:15

Hallo Deathkid535,

Zitat:

Zitat von Deathkid535

Bin wieder zurück aus dem Urlaub

Ich hoffe, du hattest viel Spaß und konntest dich erholen.

OTL konnte den Starttyp auf "2" (automatischer Start mit dem Betriebssystem) setzen

Zitat:

Zitat von Deathkid535

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc\\"Start"|dword:00000002 /E : value set successfully!

Aber nach einem Neustart ist der Dienst wieder deaktiviert "4"

Zitat:

Zitat von Deathkid535

Start REG_DWORD 0x4

Ich muss mich nochmal intern im Team besprechen und melde mich sobald wie möglich.

M-K-D-B · 17.07.2011, 10:25

Hallo Deathkid,

Welche Probleme gibt es noch auf deinem Rechner?

Klicke auf Start, gib Wartungscenter in die Suchleiste ein und klicke Enter. Lässt sich das Wartungscenter überhaupt öffnen?

Wenn ja, lass dir unter dem Punkt Sicherheit durch klick auf den Pfeil alle Details anzeigen.

Wenn ja, funktioniert bzw. läuft der Windows Defender laut der dortigen Angabe wieder?
Erstelle gegebenenfalls einen Screenshot.

M-K-D-B · 17.07.2011, 21:29

Hallo Deathkid535,

Gehe bitte auf Start -> Computer --> Organisieren --> Ordner und Suchoptionen.
Wechsle auf den Reiter Ansicht.

Entferne den Haken bei Geschützte Systemdateien ausblenden ( empfohlen )
Entferne den Haken bei Erweiterungen bei bekannten Dateitypen ausblenden
Aktiviere Alle Dateien und Ordner anzeigen

Drücke auf Übernehmen und OK

Lösche keinesfalls Ordner oder Dateien ohne Anweisung

Schritt # 1: Kontrolle mit VirusTotal
Bitte lasse die Datei aus der Code-Box bei Virustotal überprüfen.

Klicke auf Durchsuchen
Kopiere nun folgendes in die Suchleiste.
Code:
ATTFilter
```
C:\Windows\System32\KBDINMALV.dll
         
```
und klicke auf Öffnen.
Klicke auf Send File.

Warte bitte bis die Datei vollständig hochgeladen wurde. Solltest Du folgende Meldung bekommen.

Zitat:

File already submitted: The file sent has already been analysed by VirusTotal in the past. This is same basic info regarding the sample itself and its last analysis:

klicke auf Reanalyse.
Warte bis unter Current status: Finished steht.

Kopiere den Link aus deiner Adresszeile und poste ihn hier.

Schritt # 2: Kontrollscan mit Malwarebytes' Anti-Malware (MBAM)

Vista und Win7 User mit Rechtsklick "als Administrator starten"
Starte Malwarebytes, klicke auf Aktualisierung --> Suche nach Aktualisierung
Wenn das Update beendet wurde, aktiviere Quick-Scan durchführen und drücke auf Scannen.
Wenn der Scan beendet ist, klicke auf Ergebnisse anzeigen.
Versichere Dich, dass alle Funde markiert sind und drücke Entferne Auswahl.
Poste das Logfile, welches sich in Notepad öffnet, hier in den Thread.
Nachträglich kannst du den Bericht unter "Log Dateien" finden.

Schritt # 3: Benutzerdefinierter Scan mit OTL

Starte bitte die OTL.exe.
Vista und Win7 User mit Rechtsklick "als Administrator starten"
Wähle unter Datei-Alter: 60 Tage
Kopiere nun den Inhalt in die Textbox.

Code:

ATTFilter

C:\Windows\PIF\* /S
C:\ProgramData\* /S
C:\Users\Administrator\AppData\Local\* /S
C:\Windows\System32\%APPDATA%\* /S

Schließe bitte nun alle Programme. (Wichtig)
Klicke nun bitte auf den Scan Button.
Kopiere nun den Inhalt aus OTL.txt hier in Deinen Thread

Schritt # 4: Deine Rückmeldung
Zur weiteren Analyse benötige ich zusammen mit deiner nächsten Antwort

den Link zum Ergebnis von VirusTotal,
das Logfile von MBAM und
das neue Logfile von OTL (OTL.txt).

M-K-D-B · 21.07.2011, 20:44

Fehlende Rückmeldung
Dieses Thema wurde aus den Abos gelöscht. Somit bekomme ich keine Benachrichtigung über neue Antworten.
PM an mich falls Du denoch weiter machen willst.

Hinweis: Das Verschwinden der Symptome bedeutet nicht, dass Dein Rechner schon sauber ist.

Jeder andere bitte hier klicken und einen eigenen Thread erstellen!

10.07.2011, 10:22	#66
M-K-D-B /// TB-Ausbilder	MS removal Tool vollständig entfernen Hallo Deathkid, der Dienst ist wieder deaktiviert. Ich kläre das intern im Team ab. Am Freitag gehts damit und mit der Entfernung aller Tools inklusive ein paar Tipps weiter.

21.07.2011, 20:44	#73
M-K-D-B /// TB-Ausbilder	MS removal Tool vollständig entfernen Fehlende Rückmeldung Dieses Thema wurde aus den Abos gelöscht. Somit bekomme ich keine Benachrichtigung über neue Antworten. PM an mich falls Du denoch weiter machen willst. Hinweis: Das Verschwinden der Symptome bedeutet nicht, dass Dein Rechner schon sauber ist. Jeder andere bitte hier klicken und einen eigenen Thread erstellen!

MS removal Tool vollständig entfernen

Log-Analyse und Auswertung: MS removal Tool vollständig entfernen