Trojaner-Board

Trojaner-Board (https://www.trojaner-board.de/)
-   Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)
-   -   Infiziert trotz Vorsichtsmaßnahmen? (https://www.trojaner-board.de/132204-infiziert-trotz-vorsichtsmassnahmen.html)

cosinus 18.03.2013 17:17

Zitat:

Die Bedienung ist doch recht... unkonventionell
Ja :) deswegen wollte ich ich dir Xubntu ans Herz legen, Lubuntu geht auch ;)

Zitat:

Ganz nebenbei: Ich hatte mir Linux schlimmer vorgestellt :-)
Das sagen sie alle, furchtbar kompliziertes Linux und dann sie sie begeistert :lach:
Vllt könntest du dir auch ein Umstieg von Windows nach Linux vostellen?! ;)

AlterRabe 18.03.2013 17:34

Hallo cosinus,

och, ich finde das Bedienungskonzept von Ubuntu (Das ist "Unity", richtig?) ganz gut, da bleibt mehr vom Bildschirm zum Arbeiten frei. Hat nur etwas gedauert, sich da reinzufuchsen :-)

Als Zweitsystem definitv (Aber auf dem Desktop oder auf einer zweiten Festplatte im Laptop, ich möchte mir gerade nur ungern "Vollverschlüsselung aufheben, neue Partition von der alten abzwacken und wieder Vollverschlüsseln" antun, solange der USB-Stick noch mitmacht kann ich es ja sogar "mitnehmen"), komplett umsteigen möchte ich aber noch nicht, dazu fehlt mir doch die Adobe-Suite zu sehr. Ich habe schon über Lösungen mit Wine gelesen, allerdings scheint das noch nicht wirklich reibungslos zu funktioneren, von daher werde ich wohl noch bis zur ersten funktionierenden "Adobe CS_ Linux Edition" bzw. "Adobe CS_ powered by Wine" warten.

Grüße

cosinus 18.03.2013 22:53

Hm, unity war nicht so mein Fall, mag aber dran gelegen haben, dass es auf meinem mittlerweile recht betagten System von 2008 doch nicht mehr ganz so flüssig läuft. Xubuntu läuft perfekt

Ich nehme mal an, dein Windows spinnt noch, und an der Hardware scheint es nicht zu liegen denn Linux läuft üperfekt? Wenn ja könnte evtl. das hier helfen:

Windows Repair (All In One)

Downloade dir bitte Windows Repair (All In One) von hier.

AlterRabe 20.03.2013 17:13

Hallo cosinus,

den "Advanced Modus" Schalter gab es nicht. Ich habe einfach auf Start gedrückt und die Einstellungen wie auf deinem Screenshot eingestellt, da dieser Reiter (Repair Windows) komplett fehlte. Scheinbar habe ich eine neuere Version, da es dort auch noch den Reiter "Settings" gibt, der bei deinen Screenshots fehlt.
Hier das "Hauptlog", brauchst du die anderen Logs auch?
Code:

  Running Repair Under System Account
Starting Repairs...
  Start (20.03.2013 15:53:12)

Reset Registry Permissions 01/03
  HKEY_CURRENT_USER & Sub Keys
  Start (20.03.2013 15:53:13)
  Running Repair Under Current User Account
  Done (20.03.2013 15:53:18)

Reset Registry Permissions 02/03
  HKEY_LOCAL_MACHINE & Sub Keys
  Start (20.03.2013 15:53:18)
  Running Repair Under System Account
  Done (20.03.2013 15:54:01)

Reset Registry Permissions 03/03
  HKEY_CLASSES_ROOT & Sub Keys
  Start (20.03.2013 15:54:01)
  Running Repair Under System Account
  Done (20.03.2013 15:54:44)

Reset File Permissions 01/12
  C:\bde1d3558d7c22800f3262123fc2 & Sub Folders
  Start (20.03.2013 15:54:45)
  Running Repair Under System Account
  Done (20.03.2013 15:54:47)

Reset File Permissions 02/12
  C:\Dokumente und Einstellungen & Sub Folders
  Start (20.03.2013 15:54:47)
  Running Repair Under System Account
  Done (20.03.2013 15:56:25)

Reset File Permissions 03/12
  C:\Intel & Sub Folders
  Start (20.03.2013 15:56:25)
  Running Repair Under System Account
  Done (20.03.2013 15:56:27)

Reset File Permissions 04/12
  C:\JRT & Sub Folders
  Start (20.03.2013 15:56:27)
  Running Repair Under System Account
  Done (20.03.2013 15:56:32)

Reset File Permissions 05/12
  C:\PerfLogs & Sub Folders
  Start (20.03.2013 15:56:32)
  Running Repair Under System Account
  Done (20.03.2013 15:56:36)

Reset File Permissions 06/12
  C:\Program Files & Sub Folders
  Start (20.03.2013 15:56:36)
  Running Repair Under System Account
  Done (20.03.2013 15:59:26)

Reset File Permissions 07/12
  C:\Program Files (x86) & Sub Folders
  Start (20.03.2013 15:59:26)
  Running Repair Under System Account
  Done (20.03.2013 16:05:57)

Reset File Permissions 08/12
  C:\ProgramData & Sub Folders
  Start (20.03.2013 16:05:57)
  Running Repair Under System Account
  Done (20.03.2013 16:06:29)

Reset File Permissions 09/12
  C:\Programme & Sub Folders
  Start (20.03.2013 16:06:29)
  Running Repair Under System Account
  Done (20.03.2013 16:07:17)

Reset File Permissions 10/12
  C:\Recovery & Sub Folders
  Start (20.03.2013 16:07:17)
  Running Repair Under System Account
  Done (20.03.2013 16:07:19)

Reset File Permissions 11/12
  C:\Sandbox & Sub Folders
  Start (20.03.2013 16:07:20)
  Running Repair Under System Account
  Done (20.03.2013 16:07:22)

Reset File Permissions 12/12
  C:\Windows & Sub Folders
  Start (20.03.2013 16:07:22)
  Running Repair Under System Account
  Done (20.03.2013 16:12:58)

Reset File Permissions: Cleanup
    & Sub Folders
  Start (20.03.2013 16:12:59)
  Running Repair Under System Account
  Done (20.03.2013 16:13:03)

Repair WMI
  Start (20.03.2013 16:13:03)
  Running Repair Under Current User Account
Ungltiger globaler Parameter.

Ungltiger globaler Parameter.

  Running Repair Under System Account
Ungltiger globaler Parameter.

Ungltiger globaler Parameter.

  Done (20.03.2013 16:16:07)

Repair Windows Firewall
  Start (20.03.2013 16:16:07)
  Running Repair Under Current User Account
Gemeinsame Nutzung der Internetverbindung ist nicht gestartet.

Sie erhalten weitere Hilfe, wenn Sie NET HELPMSG 3521 eingeben.

Gemeinsame Nutzung der Internetverbindung konnte nicht gestartet werden.

Der Dienst hat keinen Fehler gemeldet.

Sie erhalten weitere Hilfe, wenn Sie NET HELPMSG 3534 eingeben.

  Running Repair Under System Account
Gemeinsame Nutzung der Internetverbindung ist nicht gestartet.

Sie erhalten weitere Hilfe, wenn Sie NET HELPMSG 3521 eingeben.

Gemeinsame Nutzung der Internetverbindung konnte nicht gestartet werden.

Der Dienst hat keinen Fehler gemeldet.

Sie erhalten weitere Hilfe, wenn Sie NET HELPMSG 3534 eingeben.

  Done (20.03.2013 16:16:41)

Repair Internet Explorer
  Start (20.03.2013 16:16:41)
  Running Repair Under Current User Account
  Running Repair Under System Account
  Done (20.03.2013 16:16:50)

Remove Policies Set By Infections
  Start (20.03.2013 16:16:50)
  Running Repair Under Current User Account
  Running Repair Under System Account
  Done (20.03.2013 16:16:55)

Repair Winsock & DNS Cache
  Start (20.03.2013 16:16:55)
  Running Repair Under Current User Account
  Running Repair Under System Account
  Done (20.03.2013 16:17:08)

Repair Proxy Settings
  Start (20.03.2013 16:17:08)
  Running Repair Under Current User Account
  Running Repair Under System Account
  Done (20.03.2013 16:17:13)

Repair Windows Updates
  Start (20.03.2013 16:17:13)
  Running Repair Under Current User Account
Das System kann die angegebene Datei nicht finden.
  Running Repair Under System Account
Kryptografiedienste ist nicht gestartet.

Sie erhalten weitere Hilfe, wenn Sie NET HELPMSG 3521 eingeben.

Intelligenter Hintergrundbertragungsdienst ist nicht gestartet.

Sie erhalten weitere Hilfe, wenn Sie NET HELPMSG 3521 eingeben.

Windows Update ist nicht gestartet.

Sie erhalten weitere Hilfe, wenn Sie NET HELPMSG 3521 eingeben.

Das System kann die angegebene Datei nicht finden.
  Done (20.03.2013 16:17:38)

Set Windows Services To Default Startup
  Start (20.03.2013 16:17:38)
  Running Repair Under Current User Account
  Running Repair Under System Account
  Done (20.03.2013 16:17:51)

Cleaning up empty logs...

All Selected Repairs Done.
  Done (20.03.2013 16:17:51)
  Total Repair Time: 00:24:39


...YOU MUST RESTART YOUR SYSTEM...
  Running Repair Under System Account

Problem besteht immernoch. Zwar keine Bluescreens, auch keine "slui.exe" mit 0en in allen Spalten (Ist überhaupt nicht vorhanden) im Taskmanager (Der jetzt übrigens wieder der "normale" ist), aber immernoch "Das Handle ist ungültig". Auch wärend des "Scans/Repairs" des Tools tauchte die Meldung sporadisch auf. Am Ende wollte der Rechner auch nicht sofort neustarten, nach der Meldung "Windows wird in weniger als einer Minute heruntergefahren" ploppte für ein paar Sekunden diese "1 Programm muss noch geschlossen werden"-Meldung auf obwohl kein Programm mehr lief, etwa dieser Inhalt:
Zitat:

1 Programm muss noch geschlossen werden

(Warten auf) Windows-Aktivierungsclient
Dieses Programm verhindert dass Windows heruntergefahren werden kann
(Es stand noch etwas mehr Text drunter, den konnte ich aber innerhalb der Zeit nicht lesen)

Grüße

cosinus 20.03.2013 17:28

Also wenn das Tool auch nicht mehr hilft ist dein Windows wohl doch schon zu stark beschädigt, du solltest über eine Reparatur- oder gar komplett Neuinstallation nachdenken :(

AlterRabe 20.03.2013 18:38

Hallo cosinus,

hm, Mist. Naja, gut, ich habe ja die Installations-CD, dann werde ich mich dann am Wochenende wohl dranmachen, für den Fall der Fälle hab ich ja auch noch ein Image des aktuellen Standes. Wenn die Dateien mit Linux kopiert wurden, dürften sie ja nicht durch irgendwelche Schadware manipuliert sein, oder? Ausser *.exe, *.com, *.scr, *.pif-Dateien etc. pp. darf ich ja alles wieder verwenden, nicht wahr?

Was mich jetzt aber noch interessieren würde: Ich hab jetzt noch etwas rumprobiert, laut der Fehlermeldung von Beitrag #13 ist die slui.exe ja dieser "Windows-Aktivierungsclient", der den Neustart verhinderte und vorher auch scheinbar den Bluescreen auslöste. Ich habe jetzt einfach mal im Startmenü nach "slui.exe" gesucht und auch gefunden & ausgeführt. Die funktioniert auch und zeigt auch alles korrekt an, "Die Aktivierung war erfolgreich". Aber irgendwie finde ich keine "slui.exe" im Taskmanager, ich hab unten zwei Screenshots verlinkt. Bin ich gerade zu blöd oder habe ich eine Option wie "Zeige alle Systemanwendungen" o.Ä. übersehen?

http://www7.pic-upload.de/20.03.13/hppnpl8kziae.jpg

http://www7.pic-upload.de/20.03.13/poo6wr6zpwo3.jpg

Grüße

AlterRabe 24.03.2013 10:57

Hallo cosinus,

ich habe jetzt zusammen mit meinem Kollegen den Rechner komplett plattgemacht und neu aufgesetzt. Er hat übrigens auch heute noch Schadware gefunden, der Rechner war also scheinbar doch noch nicht sauber, er meinte dass das auch am GMER-Log im ersten Beitrag zu erkennen sei.
Wie auch immer, jetzt ist Ruhe. Ich danke dir nochmals für die Hilfe und den Support. Spende ist am Montag auf dem Weg :-)

Grüße

cosinus 24.03.2013 14:01

Zitat:

Er hat übrigens auch heute noch Schadware gefunden, der Rechner war also scheinbar doch noch nicht sauber
Wirklich? Weißt du noch wo? :confused:

AlterRabe 24.03.2013 15:19

Hallo cosinus,

ich hoffe ich kann es noch in etwa wiedergeben, ich weiß bei vielen Fachbegriffen nicht, wie man sie schreibt oder was sie bedeuten...

Es ging um diese Zeile im GMER-Log:
Code:

.text  C:\Windows\explorer.exe[2636] C:\Windows\system32\kernel32.dll!CreateProcessW  0000000077371b50 5 bytes JMP 0000000169101aff
Das ist angeblich ein eindeutiges Zeichen auf eine "rootkitartige Malware".
Ausserdem stimmte wohl irgendetwas mit der slui.exe wirklich nicht. Sie hatte scheinbar irgendwelche "Privilegien", die sie normalerweise nicht haben sollte, ich glaube es waren "Seh-Load-Drive-Privileg", "Seh-Create-Page-File-Privileg" (Ich habe keine Ahnung wie man das schreibt, ist jetzt vom Gehör "rekonstruiert") und noch ein paar andere, an deren Namen ich mich nichtmehr errinnere. Den Bluescreen erzeugte angeblich ebenfalls die slui.exe durch eine Funktion namens "RTL-Set-Prozess-Is-Critical". (Gibts das wirklich? Ist das nicht ein Fernsehsender?)

Wie gesagt, ich habe keine Ahnung ob das wirklich stimmt, aber lieber das schlimmste annehmen als dann doch noch was drauf zu haben :-)

Grüße


Alle Zeitangaben in WEZ +1. Es ist jetzt 19:44 Uhr.

Copyright ©2000-2025, Trojaner-Board


Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131