Ich habe folgendes Problem: Ein sehr alter Laptop auf der Arbeit hat folgenden Schädling: Avira findet "Worm/Rimecud538.A" und "DR/Delphi.Gen" auf USB-Sticks, die mit dem Laptop konnektiert werden.

Dateiname: d:\autorun.inf
Virendefinitionsdatei: 8.14.28.86
System: Acer Travelmate 281XC, Windows XP, 256MB RAM.


Die geringe Menge Arbeitsspeicher führt dazu, dass Ubuntu nicht bootet/ unbedienbar ist (ct desinfect). Es ist nicht möglich, den Laptop selbst mit dem Internet zu verbinden. System-eigene Anti-Virenprogramme finden den Schädling nicht. Ist das System zu retten?

Mit freundlichen Grüßen und bereits vielen Dank an die Helfer!

Hi,

auf der Arbeit

Verstehe ich das richtig - ihr verwendet in eurer Firma einen Laptop in einem Produktivsystem, der zu einer Zeit gebaut wurde, kurz nachdem ich geboren wurde?

Was soll man da aus sicherheitstechnischer Sicht aus 2017 jetzt dazu sagen?

Ja wir können sowas theoretisch bereinigen, aber welche Perspektive für die Firma soll das sein ?
Der Laptop ist nicht auch noch am Internet angesteckt oder ?

Nein, der Laptop ist nicht mehr mit dem Internet verbunden. Ich arbeite in einem Labor und brauche den Laptop dringend für einige wenige Aufgaben. Ein Austausch würde durch die Mühlen unserer Bürokratie wahrscheinlich Monate dauern und mich um ebenso viel Zeit zurück werfen. Meine Chefin und Ich haben großes Interesse daran, diesen Laptop zu retten.
(Abgesehen davon läuft der PC noch wunderbar - wenn nicht drauf stehen würde was drin ist, könnte man glauben da läuft ein i3 mit 4GB RAM.)

Und warum rennst du nicht zu deinen Admins mit dem Teil?
Mit so altem Kram läuft ja nichtmal Malwarebytes!

Weil uns dann wahrscheinlich von der IT die Erlaubnis genommen wird, USB-Sticks zu verwenden.

Mit anderen Worten: du willst dir nicht helfen lassen, weil du dich sonst richtlinienkonform verhalten müsstest.

Und deswegen wird auch versucht an ewig ollem Steinzeitkram festzuhalten. Alles klar. Gehts eigentlich noch?

Gerne erkläre Ich mich ausführlicher: Richtlinienkonform wäre es, alle PCs bei Auslaufen des Microsoft-Supports für Windows XP, die für ein Update zu schwache Hardware haben, durch neue PCs zu ersetzen. Die Messgeräte, die für Windows 7 keinen offiziellen Support mehr haben, müssen direkt mit erneuert werden. Das passiert höchstens in Labors in den USA, aber hier in Deutschland gibt es kein Geld für die Forschung. Dementsprechend läuft es so lange wie möglich.

Wenn ich jetzt zur IT gehe, werden sie verlangen, den PC zu entsorgen, und ach ja, dann müssen wir euch auch die USB Ports sperren. Das heißt alle anderen PCs mit Windows XP, die auch noch laufen, werden auf einmal nutzlos, weil sie selbstverständlich nicht mit dem Intranet verbunden werden dürfen. Plus die Messgeräte, die dann den Weg in die Mülltonne finden.

Ich hoffe ich habe deutlich machen können, wieso mir so viel daran liegt, den Laptop wieder fit zu kriegen.

Im Übrigen ist das kein Alleingang von mir, sondern mit meiner Chefin abgeklärt. Könnt ihr mir noch helfen?

wenn das mit deiner Chefin abgeklärt ist wird deine IT dir auch so helfen und das tun was Chefin beauftragt.

Ich glaube auch nicht, dass man eine so alte Kiste mit so wenig RAM bereinigen kann, da läuft ja nichtmal Malwarebytes mehr....

also wir können schon mal probieren, die aktive Malware auf dem Gerät zu entfernen. Aber keine Garantie für irgendwas. hauptsächlich auch weil ichs interessant finde

Schritt 1
Zunächst braucht ihr einen USB Stick, den ihr für die folgenden Aufgaben verwendet.

Formatiert diesen USB Stick und verwendet ihn erstmal für nichts anderes.

Führe das folgende an einem "sauberen" normalen PC aus.

Panda USB Vaccine

Bitte lade Dir von hier Panda USB Vaccine herunter.

• Starte und installiere es.
  
• Impfe Deinen PC
  

Stecke Deinen USB-Stick an und "impfe" ihn.

Schritt 2
Lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem geimpften USB Stick und übertrage das Tool auf den infizierten PC.

• Doppelklick auf die OTL.exe
• Oben findest Du ein Kästchen mit Ausgabe. Wähle bitte Minimal Ausgabe
• Unter Extra Registry, wähle bitte Use SafeList
• Klicke nun auf Run Scan links oben
• Wenn der Scan beendet wurde werden 2 Logfiles erstellt
• Poste die Logfiles hier in den Thread.

Gesagt getan, vielen Dank! Hier die Logs:

1.

OTL Extras logfile created on: 01.01.1988 00:04:25 - Run 1
OTL by OldTimer - Version 3.2.69.0     Folder = C:\Dokumente und Einstellungen\*****\Desktop
Windows XP Professional Edition Service Pack 3 (Version = 5.1.2600) - Type = NTWorkstation
Internet Explorer (Version = 6.0.2900.5512)
Locale: 00000407 | Country: Deutschland | Language: DEU | Date Format: dd.MM.yyyy
 
253,92 Mb Total Physical Memory | 90,75 Mb Available Physical Memory | 35,74% Memory free
625,07 Mb Paging File | 475,11 Mb Available in Paging File | 76,01% Paging File free
Paging file location(s): C:\pagefile.sys 384 768 [binary data]
 
%SystemDrive% = C: | %SystemRoot% = C:\WINDOWS | %ProgramFiles% = C:\Programme
Drive C: | 36,13 Gb Total Space | 26,28 Gb Free Space | 72,74% Space Free | Partition Type: FAT32
Drive D: | 29,28 Gb Total Space | 29,28 Gb Free Space | 100,00% Space Free | Partition Type: FAT32
 
Computer Name: ACER-B3IWSAIL1D | User Name: ***** | Logged in as Administrator.
Boot Mode: Normal | Scan Mode: Current user
Company Name Whitelist: Off | Skip Microsoft Files: Off | No Company Name Whitelist: On | File Age = 30 Days
 
========== Extra Registry (SafeList) ==========
 
 
========== File Associations ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\<extension>]
.cpl [@ = cplfile] -- rundll32.exe shell32.dll,Control_RunDLL "%1",%*
.url [@ = InternetShortcut] -- rundll32.exe shdocvw.dll,OpenURL %l
 
========== Shell Spawning ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\<key>\shell\[command]\command]
batfile [open] -- "%1" %*
cmdfile [open] -- "%1" %*
comfile [open] -- "%1" %*
cplfile [cplopen] -- rundll32.exe shell32.dll,Control_RunDLL "%1",%*
exefile [open] -- "%1" %*
htmlfile [edit] -- "C:\Programme\Microsoft Office\Office\msohtmed.exe" %1 (Microsoft Corporation)
htmlfile [print] -- "C:\Programme\Microsoft Office\Office\msohtmed.exe" /p %1 (Microsoft Corporation)
InternetShortcut [open] -- rundll32.exe shdocvw.dll,OpenURL %l
piffile [open] -- "%1" %*
regfile [merge] -- Reg Error: Key error.
scrfile [config] -- "%1"
scrfile [install] -- rundll32.exe desk.cpl,InstallScreenSaver %l
scrfile [open] -- "%1" /S
txtfile [edit] -- Reg Error: Key error.
Unknown [openas] -- %SystemRoot%\system32\rundll32.exe %SystemRoot%\system32\shell32.dll,OpenAs_RunDLL %1
Directory [find] -- %SystemRoot%\Explorer.exe (Microsoft Corporation)
Folder [open] -- %SystemRoot%\Explorer.exe /idlist,%I,%L (Microsoft Corporation)
Folder [explore] -- %SystemRoot%\Explorer.exe /e,/idlist,%I,%L (Microsoft Corporation)
Drive [find] -- %SystemRoot%\Explorer.exe (Microsoft Corporation)
 
========== Security Center Settings ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center]
"AntiVirusDisableNotify" = 1
"FirewallDisableNotify" = 0
"UpdatesDisableNotify" = 1
"AntiVirusOverride" = 0
"FirewallOverride" = 0
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\AhnlabAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\ComputerAssociatesAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\KasperskyAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\McAfeeAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\McAfeeFirewall]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\PandaAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\PandaFirewall]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SophosAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SymantecAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SymantecFirewall]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TinyFirewall]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TrendAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TrendFirewall]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\ZoneLabsFirewall]
 
========== System Restore Settings ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore]
"DisableSR" = 0
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Sr]
"Start" = 0
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SrService]
"Start" = 2
 
========== Firewall Settings ==========
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile]
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\GloballyOpenPorts\List]
"139:TCP" = 139:TCP:*:Enabled:@xpsp2res.dll,-22004
"445:TCP" = 445:TCP:*:Enabled:@xpsp2res.dll,-22005
"137:UDP" = 137:UDP:*:Enabled:@xpsp2res.dll,-22001
"138:UDP" = 138:UDP:*:Enabled:@xpsp2res.dll,-22002
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile]
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List]
"139:TCP" = 139:TCP:LocalSubNet:Enabled:@xpsp2res.dll,-22004
"445:TCP" = 445:TCP:LocalSubNet:Enabled:@xpsp2res.dll,-22005
"137:UDP" = 137:UDP:LocalSubNet:Enabled:@xpsp2res.dll,-22001
"138:UDP" = 138:UDP:LocalSubNet:Enabled:@xpsp2res.dll,-22002
 
========== Authorized Applications List ==========
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List]
"%windir%\system32\sessmgr.exe" = %windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019 -- (Microsoft Corporation)
"%windir%\Network Diagnostic\xpnetdiag.exe" = %windir%\Network Diagnostic\xpnetdiag.exe:*:Enabled:@xpsp3res.dll,-20000 -- (Microsoft Corporation)
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]
"%windir%\system32\sessmgr.exe" = %windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019 -- (Microsoft Corporation)
"%windir%\Network Diagnostic\xpnetdiag.exe" = %windir%\Network Diagnostic\xpnetdiag.exe:*:Enabled:@xpsp3res.dll,-20000 -- (Microsoft Corporation)
 
 
========== HKEY_LOCAL_MACHINE Uninstall List ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{00010407-78E1-11D2-B60F-006097C998E7}" = Microsoft Office 2000 SR-1 Professional
"{350C97B3-3D7C-4EE8-BAA9-00BCB3D54227}" = WebFldrs XP
"{6811CAA0-BF12-11D4-9EA1-0050BAE317E1}" = PowerDVD
"{8A708DD8-A5E6-11D4-A706-000629E95E20}" = Intel(R) 82845G Graphics Driver Software
"{A4D7B764-4140-11D4-88EB-0050DA3579C0}" = Nero - Burning Rom
"{D0846526-66DD-4DC9-A02C-98F9A2806812}" = Launch Manager V1.1.1
"{D6E363D2-F080-4CF2-AB62-6DE6F8E56D7E}" = Notebook Manager for Windows 2000/XP
"aCOLyte_is1" = aCOLyte v3.0.2
"Adobe Acrobat 5.0" = Adobe Acrobat 4.0, 5.0
"Agere Systems Soft Modem" = Agere Systems AC'97 Modem
"C54AD2791F26341C3929BF0094A45501328D5C97" = Windows Driver Package - VRmagic (vrmusb) VRmagicUSB  (08/22/2008 1.0.9.4)
"CCleaner" = CCleaner
"LHTTSENG" = L&H TTS3000 British English
"LiveReg" = LiveReg (Symantec Corporation)
"LiveUpdate1.6" = LiveUpdate 1.6 (Symantec Corporation)
"New.net" = New.net Domains 7.48
"SynTPDeinstKey" = Synaptics Pointing Device Driver
"Windows XP Service Pack" = Windows XP Service Pack 3
"WMS" = Windows NT Messaging
 
========== Last 20 Event Log Errors ==========
 
[ Application Events ]
Error - 05.02.2007 05:03:44 | Computer Name = ACER-B3IWSAIL1D | Source = Application Hang | ID = 1002
Description = Stillstehende Anwendung analySIS.exe, Version 3.2.0.779, Stillstandmodul
 ntdll.dll, Version 5.1.2600.1106, Stillstandadresse 0x0000214f.
 
Error - 28.06.2007 03:16:30 | Computer Name = ACER-B3IWSAIL1D | Source = Application Hang | ID = 1002
Description = Stillstehende Anwendung AcroRd32.exe, Version 5.0.1.329, Stillstandmodul
 hungapp, Version 0.0.0.0, Stillstandadresse 0x00000000.
 
Error - 28.06.2007 04:07:28 | Computer Name = ACER-B3IWSAIL1D | Source = Application Error | ID = 1000
Description = Fehlgeschlagene Anwendung iexplore.exe, Version 6.0.2800.1106, fehlgeschlagenes
 Modul flash.ocx, Version 7.0.19.0, Fehleradresse 0x000235d6.
 
Error - 28.06.2007 04:07:51 | Computer Name = ACER-B3IWSAIL1D | Source = Application Error | ID = 1000
Description = Fehlgeschlagene Anwendung iexplore.exe, Version 6.0.2800.1106, fehlgeschlagenes
 Modul flash.ocx, Version 7.0.19.0, Fehleradresse 0x000235d6.
 
Error - 28.06.2007 04:08:29 | Computer Name = ACER-B3IWSAIL1D | Source = Application Error | ID = 1000
Description = Fehlgeschlagene Anwendung iexplore.exe, Version 6.0.2800.1106, fehlgeschlagenes
 Modul flash.ocx, Version 7.0.19.0, Fehleradresse 0x000235d6.
 
Error - 28.06.2007 04:09:13 | Computer Name = ACER-B3IWSAIL1D | Source = Application Error | ID = 1000
Description = Fehlgeschlagene Anwendung iexplore.exe, Version 6.0.2800.1106, fehlgeschlagenes
 Modul flash.ocx, Version 7.0.19.0, Fehleradresse 0x000235d6.
 
Error - 01.07.2007 03:42:10 | Computer Name = ACER-B3IWSAIL1D | Source = Application Error | ID = 1000
Description = Fehlgeschlagene Anwendung explorer.exe, Version 6.0.2800.1106, fehlgeschlagenes
 Modul ntdll.dll, Version 5.1.2600.1106, Fehleradresse 0x0000178d.
 
Error - 15.05.2008 07:59:45 | Computer Name = ACER-B3IWSAIL1D | Source = Application Error | ID = 1000
Description = Fehlgeschlagene Anwendung syntpenh.exe, Version 7.2.0.0, fehlgeschlagenes
 Modul syntpenh.exe, Version 7.2.0.0, Fehleradresse 0x000138d7.
 
Error - 15.05.2008 08:12:28 | Computer Name = ACER-B3IWSAIL1D | Source = Application Error | ID = 1000
Description = Fehlgeschlagene Anwendung photoed.exe, Version 3.0.1.0, fehlgeschlagenes
 Modul photoed.exe, Version 3.0.1.0, Fehleradresse 0x00012f14.
 
Error - 05.01.2010 05:20:47 | Computer Name = ACER-B3IWSAIL1D | Source = Application Error | ID = 1000
Description = Fehlgeschlagene Anwendung , Version 0.0.0.0, fehlgeschlagenes Modul
 unknown, Version 0.0.0.0, Fehleradresse 0x00000000.
 
[ System Events ]
Error - 21.04.2009 02:09:27 | Computer Name = ACER-B3IWSAIL1D | Source = Service Control Manager | ID = 7000
Description = Der Dienst "hpdj" wurde aufgrund folgenden Fehlers nicht gestartet:
   %%1083
 
Error - 06.05.2009 08:14:11 | Computer Name = ACER-B3IWSAIL1D | Source = Service Control Manager | ID = 7000
Description = Der Dienst "hpdj" wurde aufgrund folgenden Fehlers nicht gestartet:
   %%1083
 
Error - 08.05.2009 08:12:18 | Computer Name = ACER-B3IWSAIL1D | Source = Service Control Manager | ID = 7000
Description = Der Dienst "hpdj" wurde aufgrund folgenden Fehlers nicht gestartet:
   %%1083
 
Error - 05.06.2009 08:04:20 | Computer Name = ACER-B3IWSAIL1D | Source = Service Control Manager | ID = 7000
Description = Der Dienst "hpdj" wurde aufgrund folgenden Fehlers nicht gestartet:
   %%1083
 
Error - 09.07.2009 07:03:35 | Computer Name = ACER-B3IWSAIL1D | Source = Service Control Manager | ID = 7000
Description = Der Dienst "hpdj" wurde aufgrund folgenden Fehlers nicht gestartet:
   %%1083
 
Error - 26.10.2009 08:45:34 | Computer Name = ACER-B3IWSAIL1D | Source = Service Control Manager | ID = 7000
Description = Der Dienst "hpdj" wurde aufgrund folgenden Fehlers nicht gestartet:
   %%1083
 
Error - 26.10.2009 10:02:42 | Computer Name = ACER-B3IWSAIL1D | Source = Service Control Manager | ID = 7011
Description = Zeitüberschreitung (30000 ms) beim Warten auf eine Transaktionsrückmeldung
 von Dienst Netman.
 
Error - 05.01.2010 05:08:57 | Computer Name = ACER-B3IWSAIL1D | Source = Service Control Manager | ID = 7000
Description = Der Dienst "hpdj" wurde aufgrund folgenden Fehlers nicht gestartet:
   %%1083
 
Error - 05.01.2010 09:04:53 | Computer Name = ACER-B3IWSAIL1D | Source = Windows Update Agent | ID = 20
Description = Installationsfehler: Die Installation des folgenden Updates ist mit
 Fehler 0x80070643 fehlgeschlagen: Internet Explorer*8 für Windows*XP
 
Error - 05.01.2010 09:18:25 | Computer Name = ACER-B3IWSAIL1D | Source = Windows Update Agent | ID = 20
Description = Installationsfehler: Die Installation des folgenden Updates ist mit
 Fehler 0x80070643 fehlgeschlagen: Windows Internet Explorer 7 für Windows XP
 
 
< End of report >
         

Der andere Log ist mit 511.000 Zeichen sehr lang. Soll ich ihn in mehreren Beiträgen aufsplitten oder anhängen?

hm anhängen bitte

Wenn ihr schon dabei seid's, probiert mal ob das selbe Prinzip auch mit FRST funktioniert. Wenn dem so wäre, wäre das super haha

Bitte lade dir die passende Version von Farbar's Recovery Scan Tool auf deinen Desktop: FRST 32-Bit | FRST 64-Bit
(Wenn du nicht sicher bist: Lade beide Versionen oder unter Start > Computer (Rechtsklick) > Eigenschaften nachschauen)

• Starte jetzt FRST.
• Ändere ungefragt keine der Checkboxen und klicke auf Untersuchen.
• Die Logdateien werden nun erstellt und befinden sich danach auf deinem Desktop.
• Poste mir die FRST.txt und nach dem ersten Scan auch die Addition.txt in deinem Thread (#-Symbol im Eingabefenster der Webseite anklicken)

Hallo alle zusammen, meine Chefin hat entschieden, die Sache nicht weiter zu verfolgen und die Hardware zu aktualisieren. Ich danke allen Helfern vielmals für die Unterstützung!

Mit freundlichen Grüßen!

Gute Entscheidung!

Das alte Notebook könnt ihr ja einem Museum überlassen!

Gute Entscheidung!

Das alte Notebook könnt ihr ja einem Museum überlassen!