spoolsv.exe im Tempverzeichnis
 

Moin,
nachdem ich nun auf etlichen Wegen versucht habe meinem Trojanerbefall Herr zu werden, gebe ich nun auf und erhoffe mir Hilfe.

Aufgefallen ist mir das vermeintliche Problem, als aus heiterm Himmel Viren/Trojaner (weiß leider nicht mehr welche) im TempVerzeichnis gefunden wurden. Ich dachte mir zunächst nicht viel dabei und rechnete damit, dass diese wohl von irgendeiner Website dorthingelangt sind - aber ja von AVG entdeckt und vernichtet wurden.
Misstrauisch wurde ich dann jedoch, als sich die Funde häuften. Ich schaute mir das TempVerzeichnis einmal an und fand dort eine spoolsv.exe und einen Odner "~tmp" welcher als SystemDatei markiert war und somit versteckt wurde. Darin befinden sich Ordner mit kryptischen Namen (zB lvprf07) mit Programmen, die unscheinbare Namen (zB csrss.exe) tragen.

Ich machte mich daran alle mir merkwürdig vorkommenden Prozesse zu beenden und löschte das TempVerzeichnis. Außerdem durchsuchte ich den Autostart. Leider tauchte der Ordner (~tmp) und die spoolsv.exe immer wieder auf. Dann überwachte ich den TempOrdner einmal mit dem Sysinternals Filemon und musste feststellen, dass ganz normale Anwendungen von mir (zB RocketDock oder UltraVNC) scheinbar auf den Ordner zugreifen.

Habe deswegen noch folgende Tools zur Hilfe genommen, leider hat bis heute nichts an dem Erscheinen vom Ordner geändert:

• AVG free komplett scan (keine Befunde)
• a-squared Free 3.5 Scan (Trace.Registry Einträge gefunden und entfernt)
• Blacklight Rootkit Scan (keine Befunde)
• Simply Super Software Torjan Remover (verdächte und versteckte Starteinträge gefunden und entfernt)

Nun habe ich auch einmal HijackThis darüberlaufen lassen:

Gerade bin ich durch das Forum noch auf Malwarebytes Anti-Malware gestoßen, dass werde ich auch noch einmal drüberlaufen lassen. Ansonsten dachte ich noch an einen Knoopcillin-Scan und im Notfall bleibt wohl nur eine Reinstallation vom System ... meine arme Zeit!:(

Hallo und :hallo:

Acker diese Punkte für weitere Analysen ab:

1.) Stell sicher, daß Dir auch alle Dateien angezeigt werden, danach folgende Dateien bei Virustotal.com auswerten lassen und alle Ergebnisse posten, und zwar so, daß man die der einzelnen Virenscanner sehen kann. Bitte mit Dateigrößen und Prüfsummen:
Die Tilden durch die vollständigen Namen ersetzen.

2.) Deaktiviere die Systemwiederherstellung, im Verlauf der Infektion wurden auch Malwaredateien in Wiederherstellungspunkten mitgesichert - die sind alle nun unbrauchbar, da ein Zurücksetzen des System durch einen Wiederherstellungspunkt das System wahrscheinlich wieder infizieren würde.

3.) Führe dieses MBR-Tool aus und poste die Ausgabe

4.) Blacklight und Malwarebytes Antimalware ausführen und Logfiles posten (Wächter Deines Virenscanner vor dem Scannen deaktivieren!)

5.) Führe Silentrunners nach dieser Anleitung aus und poste das Logfile (mit Codetags umschlossen), falls es zu groß sein sollte kannst Du es (gezippt) bei file-upload.net hochladen und hier verlinken.

6.) Mach auch ein Filelisting mit diesem script:

• Script abspeichern per Rechtsklick, speichern unter auf dem Desktop
• Doppelklick auf listing8.cmd auf dem Desktop
• nach kurzer Zeit erscheint eine listing.txt auf dem Desktop

Diese listing.txt z.B. bei File-Upload.net hochladen und hier verlinken, da dieses Logfile zu groß fürs Board ist.

7.) Poste ein neues Hijackthis Logfile, nimm dazu diese umbenannte hijackthis.exe
Editiere die Links und privaten Infos!!

ciao, andreas

Oh klasse ... viel zu tun :lach: ... ich war allerdings in der Zeit nicht untätig und habe Anti-Malware durchlaufen lassen, wobei einige Sachen gefunden wurden (siehe Log, habe bis jetzt noch kein weiteres mal durchlaufen lassen - dauert ja 1 1/2 Stunden je Run) ... außerdem habe ich mir mittels Sysinternals Autoruns einmal den Startup angeschaut und einen Autostart auf die spoolsv.exe im Tempverzeichnis entfernt.
Leider habe ich vor deinem Post bereits die fraglichen Dateien gelöscht und konnte sie somit nicht mehr hochladen. Allerdings überwache ich seit dem auch mittels Filemon mein Tempverzeichnis und muss sagen, dass sich dieses, bis jetzt, nicht mit uminösen Dateien gefüllt hat. Allerdings versuchten einige Anwendungen auf die spoolsv.exe im Temp Verzeichnis zuzugreifen. Hier einmal Ausschnitte aus dem Log:

Jedenfalls bin ich gerade sehr zuversichtlich, den Trojaner bereits losgeworden zu sein.

Aber die angeforderten Logs habe ich natürlich noch gemacht ^^

MBR-Tool
BlackLight
Anti-Malware
der Silentrunner kommt einfach in einen extra Post

HiJackThis
Ich hoffe, dass ich nichts vergessen habe ... wegen dem HiJackThis, da habe ich jedoch erst einmal meine installierte Version genommen. War mir nicht ganz sicher, wie ich genau verfahren soll. Runterladen, umbenennen, ausführen? bzw. warum diese Version der Installierten überhaupt vorzuziehen ist?

Ach genau ... danke für die freundliche Begrüßung und vor allem für die schnelle Hilfe!

Silentrunner

Macht nichts. Da sind schon wieder Neue. Also nochmal mit diesen Dateien:
Man könnte fast den Eindruck bekommen, als wenn jemand bei dir auf dem Rechner ist.
Du irrst dich.
Du musst löschen, so steht es auch in der Anleitung.
Runterladen, ausführen.

Wir müssen schwerere Geschütze auffahren:
1.) ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

• Lade dir das Tool hier herunter auf den Desktop -> KLICK

Das Programm jedoch noch nicht starten sondern zuerst folgendes tun:

• Schliesse alle Anwendungen und Programme, vor allem deine Antiviren-Software und andere Hintergrundwächter, sowie deinen Internetbrowser.
  Vermeide es auch explizit während das Combofix läuft die Maus und Tastatur zu benutzen.

• Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

• Starte nun die combofix.exe von deinem Desktop aus, bestätige die Warnmeldungen und lass dein System durchsuchen.

• Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte abkopieren und in deinen Beitrag einfügen. Das log findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Hinweis: Combofix verhindert die Autostart Funktion aller CD / DVD und USB - Laufwerken um so eine Verbeitung einzudämmen. Wenn es hierdurch zu Problemen kommt, diese im Thread posten.

Poste alle Logfiles bitte mit Codetags umschlossen (#-Button) also so:

2.) Mach auch ein Filelisting mit diesem script:

• Script abspeichern per Rechtsklick, speichern unter auf dem Desktop
• Doppelklick auf listing8.cmd auf dem Desktop
• nach kurzer Zeit erscheint eine listing.txt auf dem Desktop

Diese listing.txt z.B. bei File-Upload.net hochladen und hier verlinken, da dieses Logfile zu groß fürs Board ist.

3.) Poste ein neues Hijackthis Logfile, nimm dazu diese umbenannte hijackthis.exe
Editiere die Links und privaten Infos!!

ciao, andreas

Hmmm ... bevor ich mich an ComboFix mache ... ich habe noch einmal einen Anti-Malware-Durchlauf gemacht ... und dieser hat keinen Befund mehr gebracht:

Soll ich trotzdem noch mit ComboFix loslegen?

Lass zuerst die Dateien überprüfen und mache die anderen Listings. Wichtig ist auch ein neues HJT-Log. Danach sehen wir weiter.

ciao, andreas

Die Casino.exe ist clean (habe ich auch irgendwann mal installiert, um mir das mal anzuschauen ^^).

Die andere ist jedoch scheinbar infiziert:
Dann habe ich noch einmal den Silentrunner beschäftigt und auch die listing8.cmd ausgeführt und die Ergebnisse auf meinem Webspace abgelegt:
http://home.arcor.de/psycho_lippo/listing.txt
http://home.arcor.de/psycho_lippo/silentrunner.txt

Und zu guter Letzt noch ein einmal das HijackThisLog:

Es gefällt mir nicht, das MAM den nicht erkannt hat. Selbst wenn kein Antivirenprogramm angesprungen wäre, das muss einer sein. Auf die Schnelle hab ich auch nichts dazu gefunden.

Starte HJT => Do a system scan only => Markiere:
=> Fix checked

Neustart => Kontrolliere ob sie weg sind. Die Listings schaue ich mir gleich noch an.

Mache in der Zwischenzeit mal zwei Onlinescans bei:

Kaspersky Online-Scanner und
Prevx CSI - FREE Malware Scanner

Poste die Logs!

ciao, andreas

Kann es sein, dass du um 18:30 Uhr ein Windowsupdate gefahren hast? Es geht mir um diese Datei: nhcdriver.sys

Lass folgende Dateien bei Virustotal überprüfen:
und poste die Ergebnisse.

ciao, andreas

Guten Morgen,
ich bin doch ehrlich gesagt etwas schockiert, dass sich diese Biester so tief bei mir eingegraben haben. Sind ja überall ...

Erst einmal habe ich mich daran gemacht die sessmgr und die Breadcrumps Adressbar Einträge zu entfernen ... nach einem Neustart sind sie auch nicht wieder aufgetaucht, wie das Log zeigt:
Danach habe ich mich daran gemacht die Dateien bei Virustotal zu scannen. Die cmstp und msinit sind beide infiziert ... wie soll ich mit solchen Dateien eigentlich verfahren? Löschen? Die C:\WINDOWS\sessmgr.exe gibt es ja auch noch.

cmstp.exe
Zu dem Windowsupdate, dass ist ein interessanter Punkt. Ich habe das automatische Update nämlich deaktiviert, da ich Probleme damit hatte - eine svhost hatte 99% wenn er updaten wollte. Dachte es handle sich dabei um ein Problem von Windows und wollte dies mit WindowsFixes beseitigen (gibt hierzu ja ein bekanntes Problem). Hat jedoch nichts geholfen, deswegen habe ich es immer manuell angestoßen ... wenn updates auf meinem anderen Rechner waren.

Als mir das aufgefallen ist, habe ich natürlich auch die svhost auf einen Virus überprüft (bei Virustotal), habe aber nichts gefunden.

Werde mich dann mal daran machen die OnlineScanner zu mobilisieren.

Halli hallo.

@ john.doe: Ist dir eigentlich klar was du hier grade versuchst zu bereinigen?
Ich denke nicht oder?
Du versuchst einen SdBot zu beseitigen der über IRC Kanäle wahrscheinlich die ganze Zeit munter mit seinem Schöpfer kommuniziert.
Ich tippe auf einen W32/Tilebot der mitlerweile fleißig Malware nachgeladen hat.
Wenn man sich traut sowas zu bereinigen dann sollte man das ganze etwas anders angehen..

@ lippo: Ich empfehle dir dringend deinen Rechner physikalisch vom Internet zu trennen! Das heisst LAN-Kabel ziehen! Der Schädling spioniert dich nämlich grade fleißig aus...

Danach ist die einzig sichere Variante den Rechner platt zu machen. Alles andere wäre ziemlich sinnfrei und mit einem hohen Risiko behaftet.

Bereinigung nach einer Kompromitierung

Hinweis: Die Analyse eines Virenscanners ist völlig unzureichend, um Aussagen über das System zu machen, kann aber als Hilfsmittel eingesetzt werden, sofern er von einem sauberen System aus betrieben wird.

Leider tauchen momentan immer mehr Schädlinge auf die sich in den Master Boot Record, kurz MBR einschreiben. Dieser wird bei einer herkömmlichen Neuinstallation nicht komplett überschrieben und stellt somit ein erhebliches Sicherheitsrisiko dar. Vor der Neuinstallation sollte daher sichergegangen werden, dass der MBR in Ordnung ist.

Master Boot Record überprüfen:

Lade dir die mbr.exe von gmer auf den Desktop und führe die Datei aus.

Sollte ein MBR Rootkit gefunden worde sein, das wird im log durch den Ausdruck indiziert, musst du eine Bereinigung vornehmen.

Downloade dir dafür die mbr.bat.txt von BataAlexander und speichere sie neben der mbr.exe auf dem Desktop.
Ändere die Endung der mbr.txt.bat in mbr.bat Eine vernünftige Ordneransicht ist dafür nötig.
Dann führe die mbr.bat. durch einen Doppelklick aus.
Dabei muss sich die mbr.exe von gmer ebenfalls auf dem Desktop befinden!

Der MBR wird bereinigt und es erscheint ein log. Dieses log solltest du hier posten!

Nachdem das O.k. durch deinen Helfer gegeben wurde kannst du mit der sicheren Neuinstallation beginnen.

Lies dir bitte bevor du dich an die Arbeit machst folgende Anleitung ganz genau durch:

Neuaufsetzen des Systems mit abschließender Absicherung.

Wenn du diese Anleitung zum Neuaufsetzen nicht ganz genau befolgst ist das Neuaufsetzen sinnlos!

Alle Festplatten müssen komplett formatiert werden!

Daten solltest du am besten keine sichern.
Wenn du sehr wichtige, unersetzliche Dateien sichern möchtest so musst du dies nach strengen Kriterien tun:

a) Die Datei darf nicht ausführbar sein. Das heisst sie darf keine der hier aufgeführte Dateiendung haben. Beachte bitte, dass einige Schädlinge ihre Dateiendung tarnen. Abhilfe schafft hier eine vernünftige Ordneransicht.

b) Jede Datei sollte, bevor sie wieder auf den frischen Rechner gelangt mit MWAV/eScan durchsucht werden.

c) Auch wenn du die Punkte a) und b) ganz genau einhältst sind die Dateien nicht vertrauenswürdig!!
Schädlinge können auch nicht-ausführbare Dateien wie .mp3 .doc usw. infizieren!! Und MWAV sowie andere AV-Scanner findet nur einen Bruchteil aller infizierten Dateien!

Nachdem du neuaufgesetzt hast musst du unbedingt alle Passwörter und Zugangsaccounts ändern!!!

Bis eben dachte ich, dass ich heute Nachmittag endlich wieder arbeiten könnte. Jetzt klingt es jedoch mehr nach, dass mein WE für die Neuinstallation draufgehen wird. Denn leider habe ich viele wichtige Dateien auf dem Rechner, die ich natürlich erst mal sichern (und laut Anleitung auch noch scannen müsste).

Ich habe gerade das MBR-Tool über die Batch-Datei gestartet und folgendes Log herausbekommen:
Gibt es den die Möglichkeit meinen Rechner von einem Livesystem zu scannen, um herauszufinden was gerade so auf meinem Rechner vorgeht? Außerdem gäbe es doch auch die Möglichkeit den Netzwerkverkehr zu überwachen oder?

Ach so ... den Kaspersky Scanner kriege ich nicht zum Laufen, der sagt immer das meine Lizenz abgelaufen sei und beim anderen Link, dort finde ich nur einen Scanner zum Download.

Und ich glaube mittlerweile auch nicht, dass ein Rootkit auf dem Rechner ist - immerhin meldet Blacklight nichts.

gut, dann kannst du weitermachen das System neuaufzusetzen..

Neuaufsetzen geht schneller als den Müll zu bereinigen!

Die gibt es; wird aber nichts bringen.

Wie und womit? Wenn das so einfach wäre...
Die Schädlinge Tunneln die Überwachung oder arbeiten über eine reverse Connection.

Brauchst du eh nicht mehr... Der online Scanner taugt sowieso nicht viel...

Blacklight findet vllt. 10% aller Rootkits!

Und selbst mächtige Tools wie gmer können hintergangen werden...

Übrigens glaube ich auch nicht, dass bei dir ein Rootkit läuft...

Ok ... du bist der Profi ^^ ... allerdings würde mich die Analyse trotzdem reizen, da ich im Netzwerk (in dem sich auch der infizierte Laptop befindet), noch zwei weitere Rechner habe (unter anderem, der von dem ich schreibe) und diese dann doch auch gerne einmal checken würde.

Ich dachte hier erst einmal an Wireshark, wobei es natürlich schwierig ist vom versuchten System aus damit zu agieren. Alternativ könnte ich im ProzessExplorer einmal schauen welche Prozesse nach draußen funken. Weil sich so ein Trojaner ja nicht ohne Rootkit als Prozess verstecken kann - oder?

sind die ordentlich gepatch? ALso garantiert alle Windows Patche eingespielt? Service Pack 3?
Sind Netzwerkfreigaben vorhanden?
Wenn die Rechner nicht ordentlich gepatcht sind und/oder Netzwerfreigaben vorhanden sind besteht ein extrem großes Risiko!!!!

in der Tat bringt das vom infizierten System aus garnichts!
Du könntest einen TestRechner zwischen Router und den infizierten Comp setzten und alles mitloggen. Wie das geht kann dir Karl genauer erleutern aber was bringt das? Das ist 'ne Heiden Arbeit und den TestRechner darfst du danach eh platt machen...

Neuaufsetzen geht wesentlich schneller.. ;)

Oh doch. :)

Eigentlich sind die alle hübsch gepacht (wie aber der Laptop auch) und nur der eine Rechner hat eine Festplatte (nicht die Systemfestplatte!) freigegeben.


Da wirst du wohl recht haben, aber heute ist ja zufälligerweise Samstag und mir ist gerade die neue c't ins Haus geflattert. Wie der Zufall es so will, liegt exakt dieser Ausgabe die alljährliche Notfall-CD mit bei.
Ich konnte es mir nicht verkneifen, diese direkt in den Laptop zu stecken und einmal zu schauen was Knoopichillin denn so findet.

Der Test läuft gerade noch, allerdings wurden bereits Spuren vom Wurm Netsky.AP und Netsky.P.Expl gefunden. Besonders tragisch ist das wohl in der Hinsicht, dass die Funde aus meiner XAMPP-Installation stammen. Folglich wurde von mir also Spam/Trojaner Mails verschickt :eek:

Oh ... ist gerade reingekommen ... im Mülleimer wurde nun der Trojaner TR/Agent.iob gefunden ... in der im Threadtitel erwähnten spoolsv.exe.

Na gut ... den Scan werde ich wohl auf jedenfall noch durchlaufen lassen und dann auch meine anderen Systeme einmal durchschauen lassen.

Die Befunde würde ich hier natürlich nur alzugerne posten (hoffe ja immer noch mich irgendwie vor der Neuinstallation zu drücken ;) ). Ansonsten werde ich mich morgen wohl mit den Re-Installationstipps näher vertraut machen.

Ach so ... außerdem hoffe ich natürlich, dass mein rebellisches Verhalten - bin ja schließlich nicht einfach den Instruktionen gefolgt - in Ordnung ist. Freue mich jedenfalls über die schnellen Antworten und die super Hilfe ^^

Falls du mein letztes Posting aufmerksam liest, könntest du bemerken, dass ich noch bei der Analyse war.
Sry, aber deine Art stinkt mir. Und mit dieser Meinung bin ich wohl nicht alleine.

ciao, andreas

wie kannst du das mit dem hier guten Gewissens in einem Post schreiben? :) :zzwhip:

Nun mach den Rechner endlich platt!
Sonst wird das 'ne Katastrophe! Ich sag's dir!

_

Zitat:

nur der eine Rechner hat eine Festplatte (nicht die Systemfestplatte!) freigegeben.

Für den solltest du gleich einen extra Thread erstellen! Wenn du hier den Link zum anderen Thread reinpostest nehme ich ihn mir vor...
Denn die SdBots suchen nach jeder Netzwerkfreigabe und kopieren sich dann fleißig dorthin. Ob das der Systemordner oder Platte ist ist denen völlig egal. (Wer gibt schon seinen system Ordner frei? ^^) Infiziert wird der Rechner trotzdem.
Scanne den PC mit Knoppix und poste das log im neuen Thread. Poste auch ein HJT log.
_

Und setzte den Rechner um den es in diesem Thread geht nach Anleitung neu auf! ;)

@ Andreas:

Du musst dich nicht gleich so angegriffen fühlen! :bussi:
Ich wollte lediglich Schlimmeres verhindern denn der TO folgt dir wenn du ihm Hilfestellung gibst. Daher sollte man das nur tun wenn man absolut fit ist. (Übrigens hast du fixen lassen, das gehört nicht zur Analyse. Aber lasse wir diese Haarspallterei..)
Der Rechner gehörte dringend vom Netz!!! Der TO verliert seine persönlichen Daten wenn du ihm nicht sagst, dass er ausspioniert wird. Und das war aus dem ersten log ersichtlich..
Zweitens musst du mal zusammen rechnen wieviel Zeit der TO jetzt schon für die "Analyse" vergeudet hat... Da hätte er dreimal neuaufsetzen können; was er eh tun muss. Zusätzlich habe ich es jetzt schwer ihn dazu zu bewegen weil er natürlich Blut geleckt hat und denkt den Rechner so bereinigen zu könnnen.. ;)
Und dass dir meine Art stinkt überrascht mich nicht.. Allerdings müssen solche Töne ab und an angeschlagen werden um dem TO klare Anweisungen geben zu können die zum Ziel führen.
Wir haben hier einen "Board-Standard" der sehr wichtig für eine professionelle Hilfeleistung hier im Board ist.
Leider haben wir zur Weinachtszeit nicht genug kompetente Leute um alle Posts mitzulesen, dafür aber viele neue, unerfahrene User die den TOs mehr schlecht als Recht Hilfe geben können...
Übrigens mische ich mich ganz allgemein erst sehr spät ein und lange nicht immer obwohl es nötig wäre...
Wenn du helfen möchtest dann kannst du das nur wenn du lernst.
Die erste Zeit nur mitlesen ist da die beste Möglichkeit. Und das eine ganze Weile! Wenn du dann Fragen hast schreib die älteren Hasen per PN an und lass dir einzelne Sachen erklären.
Wenn wir Zeit haben und die Fragen gut gestellt sind werden die meisten hier sich gerne die Zeit nehmen sie zu beantworten!
Und wenn du dann Hilfestellung gibst trau dich erstmal nur an die "einfachen" Sachen und bitte uns bei Unsicherheiten um Rat.
Wir lesen hier leider im Moment zu viele unsichere Hilfeleistungen und müssen daher mal wieder ein bischen eingreifen..
lieben Gruß

Hmmm ... das Logfile vom Scan sollte eigentlich irgendwo auf meiner Platte sein ... habe aber nichts gefunden - egal!
Bin gerade dabei alle mir wichtigen Daten zu kopieren. Allerdings habe ich dich direkt noch ein paar Fragen.

1) Ich sichere die Dateien gerade auf eine externe Festplatte, soll ich diese dann mit MWAV/eScan auf einem anderen Rechner durchsuchen? Und wenn ich das auf einem anderen Rechner mache. Muss ich diesen dann auch im abgesicherten Modus starten, wie in der Anleitung angegeben? *sich nicht vorstellen kann, wozu das gut sein soll*

2) Arbeitet ihr auch alle mit eingeschränkten Benutzerrechten, habe mir hierzu mal nen Artikel in der c't angeschaut. Mich überzeugte das nicht so, soll ja an allen Enden und Ecken zu Problemen führen.

3) Wie meinst du das mit dem KnoppixScan? Geht auch Knoopicillin? ^^ Da weiß ich wenigstens mit um ;). Bzw. wie kriegt man denn nun raus, dass mein Rechner zu einem Botnetzwerk gehört - kriegt man das nur durch abhören der Netzwerkverbindung raus?

4) Kann man jetzt eigentlich ruhigen Gewissens die WindowsUpdates nach der Neuinstallation aus dem Internet beziehen oder soll ich die lieber mit einem anderen Rechner herunterladen und dann via USBstick kopieren?

1) Ich würde die Platte von einer live CD aus scannen oder im abgesicherten Modus.

2) Also das Arbeiten mit eingeschränkten Rechten macht durchaus Sinn. Mehr als jedes AntiViren Programm... ;)

3) ^^ ja..

4) Also wenn du das Service Pack 3 offline aufspielst kannst du die anderen Updates danach ruhig automatisch einspielen lassen..