Zurück   Trojaner-Board > Malware entfernen > Log-Analyse und Auswertung

Log-Analyse und Auswertung: winmgr.exe ?

Windows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.

Antwort
Alt 06.05.2007, 12:29   #1
EndiE
 
winmgr.exe ? - Standard

winmgr.exe ?



hallo zusammen

seit ein paar tagen findet antivir immer wieder zeugs, es fing mit winmgr.exe an, jetzt kamen auch noch ein paar andere. googeln hat mich nicht viel weiter gebracht, vielleicht kann sich ja mal jemand mein logfile ansehen.

vielen, vielen dank im vorraus.
endi

Logfile of HijackThis v1.99.1

[edit]
bitte editiere zukünftig deine links, wie es dir u.a. hier angezeigt wird:
http://www.trojaner-board.de/22771-a...tml#post171958

danke
GUA
[/edit]

Geändert von EndiE (06.05.2007 um 12:35 Uhr)

Alt 06.05.2007, 12:47   #2
Apocalypt
 
winmgr.exe ? - Standard

winmgr.exe ?



Ohoh..

Zitat:
O4 - HKCU\..\Run: [SYSTEM] winmgrd.exe
O4 - HKCU\..\RunServices: [SYSTEM] winmgrd.exe
Das sieht auf jeden Fall nicht gut aus.

Lad die Datei mal bei Virustotal hoch und poste das vollständige Ergebnis.

Zitat:
winmgrd.exe
Die Datei musst du mal suchen ich denke sie wird unter C.\Windows\System32 liegen, muss aber nicht.



Edit: Guck mal ob sowelche Dateien da sind.. C:\Windows\System32\TFTPxxxx wobei xxxx führ eine 3-4 stellige Zahl steht
__________________


Alt 06.05.2007, 12:52   #3
EndiE
 
winmgr.exe ? - Standard

winmgr.exe ?



danke für die hilfe.

das hochladen funktioniert orgendwie nicht nicht. die datei hab ich in system32 gefunden, ist 92 kb gross. virustotal sagt nach dem hochladen aber:

0 bytes size received / Se ha recibido un archivo vacio

und nu?
grüße
endi
__________________

Alt 06.05.2007, 12:54   #4
EndiE
 
winmgr.exe ? - Standard

winmgr.exe ?



Zitat:
Zitat von Apocalypt Beitrag anzeigen





Edit: Guck mal ob sowelche Dateien da sind.. C:\Windows\System32\TFTPxxxx wobei xxxx führ eine 3-4 stellige Zahl steht
ja, davon sind einiger da. auch ne tftp.exe . ausserdem kommen immer neue warnungen, wenn ich ins system32 gehe. da wehrt sich wohl was...

Alt 06.05.2007, 12:56   #5
Apocalypt
 
winmgr.exe ? - Standard

winmgr.exe ?



Ok das heißt die Datei will nicht hochgeladen werden

Avenger
-Lad dir Avenger runter Download
-Öffne Avenger
-Wähle "Input Script manually"
-Klick die Lupe an der rechten Seite an
-Gib in dem sich öffnenden Fenster den folgenden Text ein:
Zitat:
Files to delete:
C:\Windows\System32\winmgrd.exe
C:\Windows\System32\TFTP.exe
C:\Windows\System32\TFTPxxxx
Hier setzt du statt xxxx die Zahlen ein die bei dir vorhanden sind! Aber für jede Datei einen neuen Pfad also C:\Windows\System32\TFTP1234 dann neue Zeile und C:\Windows\System32\TFTP4567!!!(Beispiel)

-Schließe alle offenen Programme (außer Avenger natürlich )
-Klick auf die grüne Ampel
-Nachdem Avenger seine Arbeit getan hat wirst du gefragt ob du neustarten möchtest. Antworte "yes"



Sind die TFTP Einträge da?
Edit: Mist..Also neues Script..


Alt 06.05.2007, 13:12   #6
EndiE
 
winmgr.exe ? - Standard

winmgr.exe ?



ok. alles jemacht.

wollter aber nicht, die sau!

Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\ecrxbska

*******************

Script file located at: \??\C:\WINNT\yhnokidg.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Deletion of file C:\Windows\System32\winmgrd.exe failed!
Status: 0xc000014f
Deletion of file C:\Windows\System32\TFTP.exe failed!
Status: 0xc000014f

Deletion of file C:\Windows\System32\TFTP1016 failed!
Status: 0xc000014f

Deletion of file C:\Windows\System32\TFTP1068 failed!
Status: 0xc000014f

Deletion of file C:\Windows\System32\TFTP1092 failed!
Status: 0xc000014f

Deletion of file C:\Windows\System32\TFTP1208 failed!
Status: 0xc000014f

Deletion of file C:\Windows\System32\TFTP1224 failed!
Status: 0xc000014f

Deletion of file C:\Windows\System32\TFTP1380 failed!
Status: 0xc000014f

Deletion of file C:\Windows\System32\TFTP676 failed!
Status: 0xc000014f

Deletion of file C:\Windows\System32\TFTP680 failed!
Status: 0xc000014f

Deletion of file C:\Windows\System32\TFTP900 failed!
Status: 0xc000014f

Deletion of file C:\Windows\System32\TFTP904 failed!
Status: 0xc000014f

Deletion of file C:\Windows\System32\TFTP968 failed!
Status: 0xc000014f


Completed script processing.

*******************

Finished! Terminate.

noch ne idee?
danke!
endi

Alt 06.05.2007, 13:22   #7
MightyMarc
 
winmgr.exe ? - Standard

winmgr.exe ?



1. Installiere die Wiederherstellungskonsole wie folgt:
Zitat:
1. Legen Sie Ihre Windows-XP-CD in Ihr CD-ROM-Laufwerk ein.
2. Klicken Sie auf Start und anschließend auf Ausführen.
3. Geben Sie im Feld Öffnen die Zeichenfolge d:\i386\winnt32.exe /cmdcons ein, wobei d der Laufwerksbuchstabe für das CD-ROM-Laufwerk ist.
4. Ein Windows Setup-Dialogfeld wird angezeigt. Ein Windows Setup-Dialogfeld wird angezeigt, in welchem die Option "Wiederherstellungskonsole" beschrieben wird. Bestätigen Sie die Installation mit einem Klick auf Ja.
5. Starten Sie den Computer neu. Wenn Sie den Computer das nächste Mal starten, wird im Startmenü der Eintrag "Microsoft Windows-Wiederherstellungskonsole" angezeigt.
2. Wechsle in die Wiederherstellungskonsole
Zitat:
1. Wählen Sie beim nächsten Bootvorgang den Eintrag "Microsoft Windows-Wiederherstellungskonsole" aus.
2. Wählen Sie die Installation aus, auf die Sie von der Wiederherstellungskonsole aus zugreifen möchten, falls Sie über ein Dual-Boot- oder Multiple-Boot-System verfügen.
3. Geben Sie das Administratorkennwort ein, wenn Sie dazu aufgefordert werden. Wenn es sich bei dem Administratorkennwort um ein leeres Kennwort handelt, drücken Sie einfach die [EINGABETASTE].
3. Diese Zeilen eintippen und jede Zeile mit ENTER bestätigen
Zitat:
del /F C:\Windows\System32\winmgrd.exe
del /F C:\Windows\System32\TFTP*
Danach normal booten und schauen, ob die Dateien noch vorhanden sind.

Gruß

Marc
__________________
When you contact tech support, a lot of people feel like they're either talking to an idiot or being treated like one.

Alt 06.05.2007, 13:33   #8
EndiE
 
winmgr.exe ? - Standard

winmgr.exe ?



hi marc!

danke für die antwort. ich hab hier allerdings so nen ziemlich alten rechner vererbt bekommen und überhaupt keine cd. auf dem rechner läuft windows 2000 "professional".....

gibt es da ne alternative?

viele grüße
endi

Alt 06.05.2007, 13:51   #9
MightyMarc
 
winmgr.exe ? - Standard

winmgr.exe ?



Zitat:
Zitat von EndiE Beitrag anzeigen
ich hab hier allerdings so nen ziemlich alten rechner vererbt bekommen und überhaupt keine cd. auf dem rechner läuft windows 2000 "professional".....
Ooops, sorry. Ich überleg mir mal was.
__________________
When you contact tech support, a lot of people feel like they're either talking to an idiot or being treated like one.

Alt 06.05.2007, 17:27   #10
EndiE
 
winmgr.exe ? - Standard

winmgr.exe ?



Zitat:
Zitat von MightyMarc Beitrag anzeigen
Ooops, sorry. Ich überleg mir mal was.

das wäre herzallerliebst.

vielen dank!
endi

Alt 06.05.2007, 19:23   #11
EndiE
 
winmgr.exe ? - Standard

winmgr.exe ?



@apocalypt: wie du siehst hat das mit avenger auch nicht ganz hingehauen, hast du vielleicht noch eine idee?

viele grüße
endi

Alt 07.05.2007, 00:18   #12
KarlKarl
/// Helfer-Team
 
winmgr.exe ? - Standard

winmgr.exe ?



Hi,

wenn man Avenger die falschen Pfade gibt, dann kann es nicht hinhauen. Windows 2000 Systeme sind als Standard in C:\Winnt\ und nicht C:\Windows\ installiert. War besser so, denn die tftp.exe ist eine Systemdatei, die mit Windows installiert wird.

Ohne ein Log des Systems ist aber im Kaffeesatz mehr zu erfahren.

Gruß, Karl

Alt 07.05.2007, 00:28   #13
MightyMarc
 
winmgr.exe ? - Standard

winmgr.exe ?



Zitat:
Zitat von KarlKarl Beitrag anzeigen
War besser so, denn die tftp.exe ist eine Systemdatei, die mit Windows installiert wird.
Es gibt Momente in denen man sich wünscht, es möge sich eine Erdspalte öffnen und einen verschlingen.
__________________
When you contact tech support, a lot of people feel like they're either talking to an idiot or being treated like one.

Alt 07.05.2007, 00:39   #14
EndiE
 
winmgr.exe ? - Standard

winmgr.exe ?



Zitat:
Zitat von KarlKarl Beitrag anzeigen
Hi,

wenn man Avenger die falschen Pfade gibt, dann kann es nicht hinhauen. Windows 2000 Systeme sind als Standard in C:\Winnt\ und nicht C:\Windows\ installiert. War besser so, denn die tftp.exe ist eine Systemdatei, die mit Windows installiert wird.


Gruß, Karl
ähh, wo du recht hast, hast du recht. das probiere ich jetzt nochmal.

die tftp.exe nun mitlöschen oder nicht? da scheinen sich die experten ja nicht ganz einig zu sein.

gruss
endi

Alt 07.05.2007, 01:02   #15
KarlKarl
/// Helfer-Team
 
winmgr.exe ? - Standard

winmgr.exe ?



Ich würde sie da lassen. Zwar werden die meisten Windowsuser sie niemals direkt einsetzen und sie ist ein beliebtes Werkzeug von Malware neue zu laden, es kann aber sein, dass z.B. ein Malwarefix darauf aufbaut, dass sie vorhanden ist. Wenn man sowas als Batchdatei realisiert, benutzt man die Werkzeuge darin, die zur Installation des Betriebssystems gehören. Dazu zählt eben auch die tftp.exe. Wenn sie für einen schlechten Zweck benutzt wird, dann ist das Unglück bereits geschehen.

Antwort

Themen zu winmgr.exe ?
angezeigt, antivir, editiere, googel, googeln, hallo zusammen, hijack, hijackthis, immer wieder, links, logfile, tagen, vielen dank, zusammen




Zum Thema winmgr.exe ? - hallo zusammen seit ein paar tagen findet antivir immer wieder zeugs, es fing mit winmgr.exe an, jetzt kamen auch noch ein paar andere. googeln hat mich nicht viel weiter gebracht, - winmgr.exe ?...
Archiv
Du betrachtest: winmgr.exe ? auf Trojaner-Board

Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.