|
Malwarefund! Muss ich das System neu aufsetzen? Hallo Ihr Lieben, vor kurzem hatte ich es öfter, dass der PC plötzlich die einfachsten Sachen wie Browser oder Windows Eplorer öffnen oder schließen sehr langsam machte. Es sah fast so aus als wüde er sich aufhängen. NAch Neustart war alles erstmal ok bis zum nächsten mal. Dann mit Spyware Doctor gescant und 2 x clauth.dll Dateien in G:\WINDOWS\system32\drivers gefunden (kann leider nicht mehr mit 100%er Sicherheit sagen ob es dieser Ordern von Windows war, da ich das Prog deinstalliert und stattdessen Spybot S&D hab) und gefixt. Seitdem ist die Erscheinung der Langsamkeit verschwunden. Seit neustem kommt es vor dass Firefox manchmal ein neues Fenster mit derselben Seite öffnet wenn ich den Tab oben anklick oder einen Link, obwohl ich die Option "in neuem Tab öffnen" eingestellt hab. Dies geschieht auf, aus meiner Sicht, "vertrauenswürdigen Seiten" wie den großen freemailanbietern etc. Nun Scan mit Malwarebytes gemacht und 3 Funde gefixt. Logfile angehängt. Scan mit OTL gemacht und beide Log-Dateien angehängt. Muss ich XP SP3 neu aufsetzen? Vielen Dank im Voraus. :dankeschoen: |
Noch ein Nachtrag: mit antivir gescant, keine Funde. Die Objekte, die Malwarebytes gefunden hat und die ich gefixt habe, haben sich selbst nach Neustart wiederhergestellt, Systemwiederherstellung war deaktiviert, als ich sie gefixt hatte. Bei anschließendem vollständigem Scan mit Malwarebytes keine Funde, außer diese 3 Objekte, die ich dann so belassen habe. Lieben Gruß ronaja |
Combofix darf ausschließlich ausgeführt werden, wenn dies von einem Team Mitglied angewiesen wurde! Bitte downloade dir Combofix.exe und speichere es unbedingt auf deinem Desktop.
|
Nach dem Combofixscan hatte ich eine ie8.exe auf dem Desktop (keine Verknüpfung). Ich habe in der Browseradressleiste hin und wieder die Adresse zu meiner Easybox die ich als Routerfirewall direkt hinterm PC habe. Durch die Malware wurde die Startseite im IE und Firefox geändert auf diese Adresse. Dann plötzlich ist wieder die von mir komfigurierte webseite die startadresse. Die 3 "Entfernte verwaiste Registrierungseinträge" untem im Log können ignoriert werden, weil ich selbst die avgnt.exe (Guard von AntiVir) umbenannt habe vor dem Combofixscan, weil der Guard trotz Deaktivierung und Autostartdeaktiverung (anschließender Neustart) von Combofix als laufendes Prog erkannt wurde vorm Scan. Der Guard wurde eigenartiger Weise nicht in der Taskleiste angezeigt. nach umbenennen wurde er nicht mehr geladen. realsched.exe hab ich selbst umbenannt, weil sie immer startete, wenn ich den player öffnete und von der Firewall bekam ich immer die frage nach internetverbindung für die .exe, obwohl ich die settings aug "blockieren" gesetzt hab. Hijackthis ist in einen andern Ordner von mir verschoben worden. Hier das Log: Combofix Logfile: Code: ComboFix 12-01-02.01 - Stefan 2 03.01.2012 23:11:42.1.1 - x86 |
Auch nach Combofix erscheint die Adresse meiner Easybox manchmal plötzlich im Browser. Jedoch ist der Starteintrag in der Browserkonfiguration immer noch unverändert die Adresse die ich als Startseite konfiguriert hatte. Zum besseren Verständnis: die Malware hatte den eintrag in der Browserkonfig nie geändert, immer nur in der Adressleiste wurde die Startadresse mit der meiner Easybox ersetzt. Wenn ich den IE öffne mit Internetverbindung auf eine vertrauenswürdige Seite, erscheint die MEldung "Skripte sind normalerweise Sicher, soll die Ausführung von Scripten zugelassen werden?" und bei jedem klick auf ja oder nein erscheint die Meldung immer wieder. |
realsched.exe öffnet natürlich, wenn du den real player nutzt.... warum startest du nen player den du gar nicht nutzen willst? mal ne kurze beschreibung: "realsched.exe" ist Teil des RealPlayers von RealNetworks, Inc. Es ist der Planer von RealNetworks, der verwendet wird, um Audio- und Videodateien auf einem Windows-System abzuspielen. deswegen halte ich nichts von firewalls, da die meisten user die meldungen eh nicht interpretieren können und dann, wenn es wirklich drauf ankommt, firewalls eh versagen. außerdem blocken firewalls bei privat personen meist eh nur blödsinn wie port scans. desweiteren hast du ja nen router + windows firewall. bitte benenne nicht irgendwas um, damit beeinträchtigst du die funktionsweise der programme, avira wird jetzt nicht ordnungsgemäß funktioonieren, deinstalieren und neu instalieren bitte mal malwarebytes updaten, komplett scan machen log posten. weitere frage: nmachst du onlinebanking einkäufe sonstige zahlungsabwicklungen oder ähnlich wichtiges mit dem pc? |
Real kann man auch nutzen ohne internet, für mp3 CD etc. und das tu ich ausschließlich. habe die realsched.exe wieder umbenannt und real neu installiert. selbstredent hab ich die antivir-dateien nach Combofix wieder umbenannt und antivir deinstalliert und neu installiert. sorry, hätte ich vielleicht noch schreiben sollen. 3 Objekte (die vom letzten mal) gefunden und gefixt. Hier ist das Log: Malwarebytes Anti-Malware 1.60.0.1800 Malwarebytes : Free anti-malware, anti-virus and spyware removal download Datenbank Version: v2012.01.04.01 Windows XP Service Pack 3 x86 NTFS Internet Explorer 8.0.6001.18702 Stefan 2 :: STEFAN-60EDF8ZU [Administrator] 04.01.2012 16:02:46 mbam-log-2012-01-04 (16-02-46).txt Art des Suchlaufs: Vollständiger Suchlauf Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM Deaktivierte Suchlaufeinstellungen: P2P Durchsuchte Objekte: 377280 Laufzeit: 1 Stunde(n), 24 Minute(n), 58 Sekunde(n) Infizierte Speicherprozesse: 0 (Keine bösartigen Objekte gefunden) Infizierte Speichermodule: 0 (Keine bösartigen Objekte gefunden) Infizierte Registrierungsschlüssel: 0 (Keine bösartigen Objekte gefunden) Infizierte Registrierungswerte: 0 (Keine bösartigen Objekte gefunden) Infizierte Dateiobjekte der Registrierung: 3 HKLM\SOFTWARE\Microsoft\Security Center|AntiVirusDisableNotify (PUM.Disabled.SecurityCenter) -> Bösartig: (1) Gut: (0) -> Erfolgreich ersetzt und in Quarantäne gestellt. HKLM\SOFTWARE\Microsoft\Security Center|FirewallDisableNotify (PUM.Disabled.SecurityCenter) -> Bösartig: (1) Gut: (0) -> Erfolgreich ersetzt und in Quarantäne gestellt. HKLM\SOFTWARE\Microsoft\Security Center|UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Bösartig: (1) Gut: (0) -> Erfolgreich ersetzt und in Quarantäne gestellt. Infizierte Verzeichnisse: 0 (Keine bösartigen Objekte gefunden) Infizierte Dateien: 0 (Keine bösartigen Objekte gefunden) (Ende) ich hab onlinebanking heute sperren lassen und mach derzeit nur telefonbanking, wo ich Kontonr. und die pin per sprache eingebe. ansonsten hab ich nur sofortüberweisung hin und wieder genutzt - mach ich jetzt natürlich erstmal nicht mehr. ich werde ebay-account vorrübergehend sperren lassen. |
hi, dann musst du mal im real player gucken ob es internet funktionen gibt wie das abfragen von album infos etc und diese deaktivieren, bzw den player wechseln, zu vlc zb ich würde auf jeden fall nicht darauf bauen das die firewall ein programm, welchem ich nicht traue, den kompletten zugriff aufs inet verweigern kann, logischer wäre es dann eher das programm zu deinstalieren wenn du onlinebanking machst, wäre es aber tatsächlich besser das system komplett neu aufzusetzen, nach datensicherung und es dann vernünftig abzusichern. |
ich bekomm keine verbindung mehr mit der easybox. ich glaube es ist kein keylogger o.ä. denn er hätte schon längst meine passwörter nutzen sich einloggen und ändern können. es ist ein Prog, dass sich übern Browser mit der easybox verbinden will/verbindet und dort evtl. die konfig ändern und den WLAN Zugang knacken und nutzen. nach neustart der easybox vor ein paar tagen hatte ich gesehen, dass die WLAN LED leuchtete, obwohl ich den Schalter auf AUS gestellt hatte und in der Konfig WLAN deaktiviert hatte. sollte ich die easybox vielöleicht erstmal nicht mehr nutzen oder reseten? momentan erscheint die Adresse der EB nicht mehr im Browser. Ich hab ein Backup vom WINDOWS Ordern. Wie kann ich feststellen, ob der Ordner damals (vor 1/2 Jahr) clean war? KAnn ich das Backup irgendwie prüfen? alle scanner melden ja keinen Fund bei der Backupdatei. |
du hast ein backup vom windows ordner, das wird dir wenig nützen, dann hättest schon nen vernünftiges system backup haben müssen. welcher schalter für wlan war aus, der am pc oder an der easy box? welche wlan verschlüsselung nutzt du? du kannst die easybox ja auch mal auf werkseinstellungen zurück setzen (reset) dann das neueste firmware update einspielen und wpa2 aktivierenaber wie gesagt gehe ich eher von nem problem seitens des pcs aus. |
was ist für dich ein "vernünftiges systembackup"? ich hab diese erscheinung mit der einwahladresse des routers erst seitdem ich die easybox angeschlossen hab. vor anschluss resetet, dann wurde neuste Firmware als erstes aufgespielt. hältst du es für möglich, dass der virus (geschrieben für Router) auf der easybox war und dann auf den PC kam (hab sie gebraucht bei ebay gekauft)? der techniker von vodafone meint dazu, die software wird upgedatet aber nicht komplett gelöscht und neu installiert. heißt ja, dass sich ein virus evtl. in der easybox halten kann und auf den PC kopieren. um von dort sich mit der box zu verbinden (was er ja ständig versuchte) und dort die konfig knacken um WLAN nutzen zu können. eine andere möglichkeit wäre auch, dass ich den virus schon länger aufm PC hab (ein Prog geschrieben für Router um die Konfig zu ändern), er aber erst aktiv wurde (immer schon mitgestartet aber erst im Browser erschien) seitdem ich die EB mit WLAN hab und er einen Router mit WLAN bei mir erkennen konnte. vorher war WLAN bei mir nicht möglich mit starterbox und modem. was meinst du? kannst du anhnad der logs von otl combofix und malwarebytes ncihts auf meinem pc erkennen? gibts noch andere scanner, die noch mehr finden als diese Progs? der schalter an der EB war an. ich nutze wap2 und hab WLAN komplett deaktiviert. auch der schalter an/aus von außen am gerät hat keine funktion mehr seitens der konfig. |
nein, es wird wohl umgekehrt sein. ein vernünftiges backup heißt, eine komplette sicherung des pcs mit programmen wie acronis + rettungs dvd. wenn man dann ein pc problem hatt, nimmt man dieses backup und spielt es zurück, der pc ist dann im zustand wie zum zeitpunkt der erstellung des backups. |
ich werde neuinstallation machen. ich hab auf C: XP installiert, das nutze ich NICHT fürs internet. und ich hab auf einer andern internen Festplatte auf G: XP installiert das ich fürs internet nutze. frage: kann der Virus von Windows G: auf Windows C: gelangen oder gleich auf C: gehen sobald er auf den rechner kommt? frage 2:kann ich davon ausgehen, dass sich die virendateien (ich geh von mehreren aus) NICHT in meine Programmorder der andern Partitionen, die nicht G: oder C:, sind kopiert/geschlichen haben? was meinst du mit eher umgekehrt? genügt es auch ein backup der Systempartition zu erstellen und bei virenbefall zurückzuspielen? |
hi, mit eher umgekehrt meine ich das höchstens eine infektion über den pc auf den router kommt. wenn du sagst, programm dateien, meinst du damit ganze instalationen, falls dem so ist, muss diese partition auch formatiert werden, falls du damit setup dateien meinst, dann nicht. naja, ich würde halt backups der wichtigsten daten machen, der instalation und evtl. weiterer wichtiger daten die man benötigt. soll das zweite xp ohne internet bleiben? ansonsten würde ich beide neu machen und nach der anleitung, die ich dir noch gebe, absichern. falls nicht belasse das internet lose xp so wie es ist |
und die infektion kann sich nicht auf dem router halten, wenn sie mal dorthingekommen ist? das würde ja bedeuten dass ich den router wegwerfen kann. das zweite xp soll internetlos bleiben. ist es möglich das in meinen Datenordnern viren sind, die ich aber nicht angezeigt bekomm im ordner weil sie versteckt sind? ich möchte auch mindestens den bootsektor löschen, das soll mit dem maxtor lowlevel format, einem lowlevelformatierungsprogramm, gehen. Herzlichen Dank mal zwischendurch! :) |
hi, wie gesagt, bei einem zurück setzen des routers sollte immer die erste firmware, die originale, zurück gespielt werden, also automatisch passiert das, die ist normaler weise immer sauber :-) wenn man dann gleich die firmware updates einspielt und standard passwörter endert, dann ist man da relativ sicher wegen der datenpartition, eig sollte dein antimalware programm trotzdem zugriff auf die datei haben, auch wenn sie als atribut versteckt hatt. und die datei, wenn es sie denn gäbe, müsste ja erst auf dem neuen system ausgeführt werden um wieder schaden anrichten zu können. ich werde dir aber, falls gewünscht, tipps zum absichern geben |
ah ok, heißt, ich kann sie nicht sehen, aber das antimalwareprog findet sie? ja bitte, anleitung und tips sind alle herzlich willkommen :) möchte maxtor low level format nutzen zum fomatieren, damit der bootsektor auch gelöscht wird. |
genau einige dateien werden ja automatisch ausgeblendet, zb einige systemdateien. als antimalware programm würde ich emsisoft empfehlen. diese haben für mich den besten schutz kostet aber etwas. http://www.trojaner-board.de/103809-...i-malware.html testversion: Meine Antivirus-Empfehlung: Emsisoft Anti-Malware und du kannst vor dem aktivieren der lizenz die 30 tage testzeitraum ausnutzen. kostenlos, aber eben nicht ganz so gut wäre avast zu empfehlen. http://www.trojaner-board.de/110895-...antivirus.html sag mir welches du nutzt, dann gebe ich konfigurationshinweise. bitte dein bisheriges av deinstalieren die folgende anleitung ist umfangreich, dass ist mir klar, sie sollte aber umgesetzt werden, da nur dann dein pc sicher ist. stelle so viele fragen wie nötig, ich arbeite gern alles mit dir durch! http://www.trojaner-board.de/96344-a...-rechners.html bitte starte mit der passage, windows xp also instalieren und konfigurieren von updates, usw. als browser rate ich dir zu chrome: https://www.google.com/chrome?hl=de falls du nen andern nutzen willst, sags mir dann muss ich teile der nun folgenden anleitung Sandboxie Die devinition einer Sandbox ist hier nachzulesen: Sandbox Kurz gesagt, man kann Programme fast 100 %ig isuliert vom System ausführen. Der Vorteil liegt klar auf der Hand, wenn über den Browser Schadcode eingeschläust wird, kann dieser nicht nach außen dringen. Download Link: http://filepony.de/download-sandboxie/ anleitung: http://www.trojaner-board.de/71542-a...sandboxie.html ausführliche anleitung als pdf, auch abarbeiten: Sandbox Einstellungen | bitte folgende zusatz konfiguration machen: sandboxie control öffnen, menü sandbox anklicken, defauldbox wählen. dort klicke auf sandbox einstellungen. beschrenkungen, bei programm start und internet zugriff schreibe: chrome.exe dann gehe auf anwendungen, webbrowser, chrome. dort aktiviere alles außer gesammten profil ordner freigeben. Wie du evtl. schon gesehen hast, kannst du einige Funktionen nicht nutzen. Dies ist nur in der Vollversion nötig, zu deren Kauf ich dir rate. Du kannst zb unter "Erzwungene Programmstarts" festlegen, dass alle Browser in der Sandbox starten. Ansonsten musst du immer auf "Sandboxed webbrowser" klicken bzw Rechtsklick, in Sandboxie starten. Eine lebenslange Lizenz kostet 30 €, und ist auf allen deinen PC's nutzbar. Weiter mit: Maßnahmen für ALLE Windows-Versionen alles komplett durcharbeiten Backup Programm: in meiner Anleitung ist bereits ein Backup Programm verlinkt, als Alternative bietet sich auch das Windows eigene Backup Programm an: Windows 7 Systemabbild erstellen (Backup) Dies ist aber leider nur für Windows 7 Nutzer vernünftig nutzbar. Alle Anderen sollten sich aber auf jeden fall auch ein Backup Programm instalieren, denn dies kann unter Umständen sehr wichtig sein, zum Beispiel, wenn die Festplatte einmal kaputt ist. Zum Schluss, die allgemeinen sicherheitstipps beachten, wenn es dich betrifft, den Tipp zum Onlinebanking beachten und alle Passwörter ändern bitte auch lesen, wie mache ich programme für alle sichtbar: Programme für alle Konten nutzbar machen - PCtipp.ch - Praxis & Hilfe surfe jetzt also nur noch im standard nutzer konto und dort in der sandbox. wenn du die kostenlose version nutzt, dann mit klick auf sandboxed web browser, wenn du die bezahlversion hast, kannst du erzwungene programm starts festlegen, dann wird sandboxie immer gestartet wenn du nen browser aufrufst. wenn du mit der maus über den browser fährst sollte der eingerahmt sein, dann bist du im sandboxed web browser |
ich nutze Firefox. ich hab die idee, wenn wieder alles i.o. ist, mit dem internetlosen XP C: zu starten und sämtliche partitionen außer C: auf eine ext. Festplatte zu kopieren. bei einem virenbefall kann ich dann von C. aus alle patitionen formatieren mit low level format. heißt ja, dass dann die viren-Daten auf der Platte nicht nur gelöscht sondern auch überschrieben werden und somit nicht reaktivierbar sind mit kleinen Progs. kann ich dann mit XP C: starten und alle daten der partitionen von der ext. platte wieder rüberschieben wo sie waren und xp G: startet ganz normal und alles ist wie vorher? müsste ja eigentlich. |
du willst das betroffene xp sichern? das geht nicht mit einfachem rüber kopieren. außerdem wäre es sinnlos ein infiziertes system zu retten, auch wenn du den pc formatierst. sichere deine daten, dann erkläre ich dir wie du es machen musst, auch mit der sicherung. low level format ist eig auch nicht nötig. |
nein, das hab ich nicht geschrieben. das wäre ja mehr als sinnlos. bitte lies doch noch einmal, dann weißt du sicher was ich meine :) |
du willst also nur deine daten sichern, aber warum so umständlich, machs doch über das xp was du im moment nutzt. wie gesagt, das gesammte system sichern geht sowieso nicht, wenn du es nur rüber kopierst. ich weis nicht warum du alles so umständlich machst. einfach daten kopieren, formatieren und fertig |
ach shit. nein, das mein ich nicht.ich versteh nicht, warum du nicht verstehst, was da steht... kopfkratz.. habs doch ganz deutlich und ausführlich geschrieben... ist auch egal... ich bin dabei alles neu zu machen undsurf bereits mit sandbox. |
zu meiner frage die noch offen ist: ich denke es ist wesentlich sinnvoller, bei virenbefall die partition zu löschen (bootsektor wird mitgelöscht ;)) neu zu formatieren und mit CCleaner die partition zu überschreiben (3 Durchgänge). das ist auf jeden fall besser als nur ein backup rüberzuspielen, wo die viren dann zwar gelöscht aber nicht überschrieben sind und somit leicht wieder reaktiviert werden können mit entsprechenden tools. oder seh ich das falsch? die Sandbox ist genial! :) bin dabei die andern sachen fertigzustellen. vielen dank für die anleitung und die Links!! ich hab wieder avira als antivirenprogramm und nutze firefox. die datenkrake google chrome ist nun wirklich nicht zu empfehlen! das avast soll nicht so gut sein nach der erkennungsrate. vielen dank für die Unterstützung!! :) Liebe Grüße ronaja |
chrome ist sogar sehr zu empfehlen, da wesendlich sicherer als der löchrige firefox. das löschen der partitionen kann sinnvoll sein, das überschreiben ist nicht nötig. avira arbeitet mit ask zusammen, instaliert also ne toolbar, kommt bei mir nciht auf den pc und wer google nicht mag, sollte auch kein firefox nutzen, denn mozilla und google arbeiten schon länger zusammen |
wenn ich mit sandbox surfe, ist es dann nicht egal, ob der browser löchrig ist? es kommen doch eh keine daten auf den pc die in der sandbox sind?? warum hältst du das überschreiben für unnötig, wenn dadurch die möglichkeit des reaktivierens der malware beseitigt wird? wo ist denn die toolbar von avira? im browser ist sie nicht. kann ich die auch löschen und wenn ja wie? kommen keylogger nur über den browser auf den pc oder auch anderweitig? nutzen keylogger auschließlich den browser um benutzernamen und passwörter zu speichern oder setzen sie sich auch auf den tastaturtreiber und speichern von dort aus? |
hi, keylogger lesen alle tastatur anschläge. keylogger können auch in downloads sein, sie kommen nicht ausschließlich über den browser. es ist unnötig weil malware sich nach formatierung nicht wieder reaktiviert. zumal du die partition gelöscht und neu erstellt hast und die normale formatierung genutzt hast, da ist auch malware die im mbr sitzt gelöscht. |
alle downloads die ich mach mach ich übern browser mit sandbox. außer die updates von installierten programmen. also kann nur durch diese programmupdates malware auf den pc kommen? denn die downloads übern browser sind ja kontrollierte dateien von seriösen webseiten wie chip.de etc und von mir selbst in sandbox freigegeben zum wiederherstellen. der rest wird ja gelöscht in sandbox. lesen die keylogger die eingaben im browser (die ich mit tastatur mach) oder tatsächlich direkt von der tastatur? wenn es so ist, dass sie direkt von der tastatur lesen, kann ich das dann nicht umgehen, indem ich meine bentzernamen und passwörter per copy (die ich in einer datei gespeichert habe) paste in den browser eingebe? nein viren können sich nicht selbst reaktivieren, wenn sie gelöscht sind, aber sie können von kleinen schadtools wieder reaktiviert werden. die avira toolbar hatte ich nicht installiert, ich hatte die haken entfernt. kein wunder dass ich sie nicht finden konnte im browser. |
hi, das problem ist, wenn du die avira toolbar nicht instalierst, fehlt dir der web schutz. weswegen ich dir ja auch avast vorgeschlagen habe. ok, du könntest als angreifer natürlich andere inaktive schadprogramme aktiviren, aber das macht kaum sinn :-) wegen der sandbox, ja, normalerweise können dann nur programme schadcode ins system schläusen, die du außerhalb der sandbox ausführst, außer natürlich die sandbox hätte eine sicherheitslücke. aber alles an gängiger malware sollte von der sandbox gestoppt werden. wegen der copy paste frage, bei einfachen keyloggern warscheinlich. trojaner haben da schon mehr funktionen damit kann man auch dateien laden öffnen usw. aber wenn du dich an die konfigurations anleitung hältst ist eine erneute infektion eher unwarscheinlich, man sollte sich da auch nicht verrückt machen, du hast jetzt ne vernünftige konfiguration, aber wie gesagt würde ich avira austauschen, da du einige schutz module nicht hast, aber das ist natürlich geschmacks sache |
klar, sich verrückt machen lassen ist immer unsinn. ich möchte jetzt aber mal einige grundlegenden dinge durchschauen um besseren einblick zu bekommen. mit öffnen laden, meinst du damit, trojaner können meine dateien, wo ich passwörter gespeichert habe für copy/paste, öffnen und lesen? ich meine bei der copy/paste-frage nützt es einem angreifer ja wenig, eine datei mit passwörtern nur von mir zu öffnen, wenn er sie nicht lesen kann. |
bitte wozu brauch ich noch eine routerfirewall, wenn es mit meiner momentanen konfiguration eher unwahrscheinlich ist, wieder schadcode auf den pc zu bekommen? |
hier bin ich überfordert. von der seite die du verlinkt hast: Windows-Dienste sicher konfigurieren und abschalten (Windows 7/Vista/XP/2000) - www.ntsvcfg.de W32Blaster/RPC-Patch: Wichtig ist, das bei Verwendung von Windows 2000/XP der Rechner nicht eher mit Netzwerken oder dem Internet verbunden wird, bevor nicht sichergestellt ist, das die Lücke im RPC (Remote Procedure Call, Port 135) geschlossen wurde. Hierzu ist der entsprechende Patch OFFLINE* zu installieren: => Microsoft Security Bulletin MS04-011 : Security Update for Microsoft Windows (835732) Welcher RPC-Patch (noch) fehlt oder ob er korrekt installiert ist, kann man folgendermaßen überprüfen: => How to Use the KB 824146 Scanning Tool to Identify Host Computers That Do Not Have the 823980 (MS03-026) and the 824146 (MS03-039) Security Patches Installed (* von einem nicht kompromittierten / nicht befallenen Windows-System oder von einer Linux-Distribution (z.B. einer Knoppix-CD) aus den Patch downloaden.) muss ich wirklich diese prüfung durchführen oder hab ich den patch nicht eh schon drauf? ich nutze SP3. |
ach ja, nach dem ausführen des svc2kxp-scripts ist der Webclient in services.msc auf Status: wird beendet. ich kann ihn dort weder starten noch beenden. trotz mehrmaligen neustarts. soll ich den start des Dienstes in Msconfig deaktiviern? nochmal ein liebes Dankeschöön! zwischendurch :) |
naja, wenn ich aber ne datei mit passwörtern habe und in der lage wäre den browser verlauf auszulesen könnte ich ja probieren ob eines der passwörter passt denn den usernamen könnte man ja immerhin auslesen, es gibt ja auch malware die screenshots macht. wenn du nen trojaner, backdoor oder was auch immer auf dem pc eines "opfers" instalieren kannst, kann man quasi alles machen, es kommt halt drauf an, wie ausgeklügelt die malware ist. und die zwischenablage auszulesen ist auch kein problem. also wäre es eig relativ wurscht ob du die passwörter kopierst oder eingibst die router firewall ist wichtig, da der router unabhängig vom pc läuft kann er evtl. einen infizierten pc hindern ungewollte aktionen zu machen. bei den windows diensten musst du nichts mehr instalieren, sondern einfach nur das tool ausführen um die dienste automatisch zu konfigurieren, mit der methode 2. |
also wäre die drag&drop-methode wohl am sichersten? mein browserverlauf wird täglich gelöscht, mit schließen des Browsers. die datei mit passwürtern muss er ja erstmal finden. ich würde sie ja auf einer andern partition als die XP-partition ablegen und ich würde sie auch nicht "Passwörter" nennen, sondern bspw. "Muttis Rezepte". ich hab mit der 2. Methode konfigureruen lassen. jetzt ist aber noch alg.exe und sched.exe aktiv (seh ich in Prozesse). laut der webseite des scripts sollen diese ports aber geschlossen sein: "alg - Beenden von alg (Port >3000)" "Port 1025 - Taskplaner (scheduler)" sched.exe ist ja der Taskplaner und der ist deaktiviert wenn ich services.msc aufruf. dennoch ist die sched.exe aktiv in Prozesse. wie ist es hiermit: "Port 137..139 - NetBios (kann in "TCP/IP-Eigenschaften -> [x] NetBIOS deaktiviert" abgeschaltet werden)" wie komm ich dahin wo ich es abschalten kann? in service.msc ist tcp/ip-Netbios-Hilfsprogramm noch aktiv. ist es das? und wie schließ ich dieses: "Port 445 - SMB, wird für Netzwerkfreigaben über TCP/IP benötigt (kann mit Hilfe der Option "3" entsprechend dem Parameter "/all" geschlossen werden)" ? ich möchte jetzt wirklich alles richtig machen und alle ports die nicht gebraucht werden, schließen. darum frag ich nochmal genau nach. |
nein, wie gesagt das auslesen der zwischenablage ist ja problemlos möglich. es ist daher egal wie du deine passwörter eingibst. obwohl ich bei oninebanking auf nen card reader setzen würde, der hat nämlich ne eigene tastatur, da kann man nichts mit loggen. du kannst auch mal methode 3 versuchen, falls es da probleme gibt, dann wähle restore und dann methode 2 ich hatte die zweite vorgeschlagen da es doch den ein oder anderen gibt wo dann ein wichtiger dienst fehlt, aber probiere sie ruhig, starte dann neu. |
per drag&drop kommt doch gar nichts in die zwischenablage. das ist nur bei copy/paste. wenn du drag&drop machst, dann hast du im Explorer-Kontext das Feld "Einfügen" grau. du kannst nichts einfügen, also ist nichts in der zwischenablage gespeichert. oder seh ich das falsch? |
das mit drag and drop hatte ich überlesen, weis ich auch nicht ob das auslesen dort schwieriger oder leichter ist. ich geb meine passwörter per tastatur ein, dass hat bisher immer geklappt und gereicht. wegen dem dienst in msconfig, ja den kannst du beenden. |
muss ich nach jedem update mit der install-cd das script für die abschaltung der dienste wieder ausführen? |
was meinst du mit update mit der install cd? |
wenn man die xp installations CD einlegt kann man entweder das BS neu aufspielen oder ein update machen, wo alle Windows Dateien neu überschrieben werden. beschädigte oder verloren gegangene Windows dateien werden dadurch ersetzt. |
und wieso solltest du diese funktion nutzen. du hast ne backup software, wenns probleme gibt wird die genommen und ein backup eingespielt. |
Hallo, ich kann keine video-streams mehr anschauen. sie buffern kurz, spielen dann für ca 5 sekunden ab, dann bleiben ton und bild stehen. kann es an der Ausführung des scripts svc2kxp liegen und dass jetzt ein dienst den ich dazu brauch nicht läuft? |
nein, hab da zumindest noch nie von solchen problemen gehört und wüsste nicht was das verursachen sollte. schon mal flash player de und neu instaliert? wenn nicht halt das backup zurück speilen, dafür ists ja da. |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 18:42 Uhr. |
Copyright ©2000-2024, Trojaner-Board