Fehlermeldungen beim starten von Win XP
 

Hallo,


Wenn Windows startet bekomme ich folgende Fehlermeldungen:

- Explorer.EXE Fehler in der Anwendung: Die Anweisung in "0x24167c1e" verweist auf Speicher in "0x00000000" der Vorgang "read" konnte nicht ausgeführt werden

- Catalyst Controllcenter: Host application hat ein Problem festgestellt und muß beendet werden

- firefox.exe hat ein Problem festgestellt und muß beendet werden. (hier öffnen sich 6 Fenster und mehr mit der gleichen Fehlermeldung hintereinander)

- Explorer.EXE hat ein Problem festgestellt und muß beendet werden

- Add-Aware hat ein Problem festgestellt und muß beendet werden

Aufgrund eurer Regeln für Themen habe ich mir den Malewarebytes Scanner gezogen und konnte es immerhin im abgesicherten Modus ohne abstürtze ausführen, was sämtlichen Fehlermeldungen abgesehen von Firefox ein Ende bereitet hat. Und noch ein zweites Problem bleibt weiterhin bestehen, ich kann keine Updates für Viren oder auch Malware Scanner (das gilt auch für den Malwarebytes Scanner) ziehen.

CC-Cleaner habe ich drüber laufen lassen.

Hijack This: Anhang 4501

Das Log von Malwarebytes Scanner ist ein Problem, ich habe ihn zwar im abgesicherten Modus abgespeichert (2 mal versucht, mit dem selben Ergebniss), allerdings finde ich ihn jetzt aus unerfindlichem Grund nicht mehr.

Hallo und Herzlich Willkommen! :)

- Vermutliche Ursache:
Festplatten, die mit dem Virus "Virus.Win32.AutoRun" befallen waren/sind - Die sind Malware, die sich über externe Datenträger verbreitet
- dann noch:
mindestens einen Backdoor/Wikipedia
Adware -Tollbar installiert...
- vermute ich dahinten noch ein Rootkit

ehrlich gesagt die einzige sichere Lösung wäre: Format C + Neuinstallation mitsamt alle externe Datenträger (wie DVD, CD, externe Festplatten, USB Speicher usw)
Falls du doch für die Systemreinigung entscheidest:
Können wir versuchen dein PC von Viren zu befreien, aber nur "bis zu einem gewissen Punkt", wo dein System technisch auch noch einwandfrei funktioniert
** wenn auch gelingt es uns dein System einigermaße hinzukriegen, dein System wird ohne Neuinstallation NIE gesund!

**eigentlich auch gute Idee wäre gleich das hier machen: Deaktivieren der Autorun-Funktionalität in Windows
oder damit: "autorunsettigs" von Uwe Sieber - Anleitung zur Benutzung von AutoRunSettings/ SETI@home

1.
**Spybot Tea Timer bitte abstellen! Falls "Tea Timer" auch aktiviert:
Modus-->Erweiterte Modus-->Ja-->Werkzeuge-->Resident--> das Häkchen entfernen aus der "Resident "TeaTimer" (Schutz aller Systemeinstellungen) > exit.

2.
Deinstalliere unter `Start→ Systemsteuereung→ Ändern/Entfernen...`
3.
Um einen tieferen Einblick in dein System, um eine mögliche Infektion mit einem Rootkit/Info v.wikipedia.org) aufzuspüren, werden wir ein Tool - Gmer - einsetzen :

• - also lade Dir Gmer herunter und entpacke es auf deinen Desktop
  - starte gmer.exe
  - [b]schließe alle Programme, ausserdem Antiviren und andere Schutzprogramme usw müssen deaktiviert sein, keine Verbindung zum Internet, WLAN auch trennen)
  - bitte nichts am Pc machen während der Scan läuft!
  - "Show all" soll nicht angehakt sein! dann klicke auf "Scan", um das Tool zu starten
  - wenn der Scan fertig ist klicke auf "Copy" (das Log wird automatisch in die Zwischenablage kopiert) und mit STRG + V musst Du gleich da einfügen
  - mit "Ok" wird Gmer beendet.
  - das Log aus der Zwischenablage hier in Deinem Thread vollständig hineinkopieren

** keine Verbindung zu einem Netzwerk und Internet - WLAN nicht vergessen
Wenn der Scan beendet ist, bitte alle Programme und Tools wieder aktivieren!

4.
→ besuche die Seite von virustotal und die Datei/en aus Codebox bitte prüfen lassen - inklusive Dateigröße und Name, MD5 und SHA1 auch mitkopieren:
→ Tipps für die Suche nach Dateien
→ Klicke auf "Durchsuchen"
→ Suche die Datei auf deinem Rechner→ Doppelklick auf die zu prüfende Datei (oder kopiere den Inhalt ab aus der Codebox)
→ "Senden der Datei" und Warte, bis der Scandurchlauf aller Virenscanner beendet ist
→ das Ergebnis wie Du es bekommst (NICHT AUSLASSEN!) da reinkoperen (inklusive Dateigröße und Name, MD5 und SHA1)

wenn schaffst Du es so nicht dann versuche so - danach die Dateien bei Virustotal prüfen lassen:
5.
Schliesse alle Programme einschliesslich Internet Explorer und fixe mit Hijackthis die Einträge aus der nachfolgenden Codebox (HijackThis starten→ "Do a system scan only"→ Einträge auswählen→ Häckhen setzen→ "Fix checked"klicken→ PC neu aufstarten):
HijackThis erstellt ein Backup, Falls bei "Fixen" etwas schief geht, kann man unter "View the list of backups"- die Objekte wiederherstellen

gruß
Cf

- Autorun deaktiviert
- Spybot Teatimer deaktiviert
- Ask Toolbar: Beim deinstallieren wird mir ein "schwerwiegender Fehler" gemeldet und bricht ab.

Punkt 4

svchost.exe

windefence32.exe

Der Ordner System64 wird mir als leer angezeigt. Unter Anwendungsdaten finde ich svchost.exe nicht.

Schon mal danke, für die Mühe. :)

Neuinstallieren ziehe ich erst als letzte konsequenz in erwägung, damit würde mir eine Menge verloren gehen. GMER folgt.

GMER:

EDIT: Sry ich habe irgendwie aus eienm Edit einen Doublepost gemacht...

hi

Du hast wohl meine ausführlichen Anleitung, nicht komplett und aufmerksam gelesen!
Aus deine von Dir gepostete Ergebnis, nicht ersichtlich, welche Datei wurde geprüft?
Ich würde doch gerne,die Dateiname zusammen mit die Scanergebnisse sehen
Also nicht auslassen,sondern wie Du es bekommst da reinkopieren!
Beispiel - das zu postende Logfile von virustotal, soll wie hier, so aussehen :
also bitte die Dateiüberprüfung wiederholen!

Verstanden schon, ich habe allerdings beim kopieren der Log die Überschrift übersehen....

Ok:)

Bevor wir nun loslegen mit der Reinigung,laden wir die unbekannten Dateien hoch, damit sie von den AV-Programm-Herstellern in die Signaturen aufgenommen werden können bzw zur weitere Analyse:

Datei Upload

• Klicke bitte auf diesen Link UploadMalware.com

• Gib im obersten Feld deinen Namen ein
• Im Feld darunter den Thread bei uns an Board (http://www.trojaner-board.de/79013-f...on-win-xp.html)
• Lade dann diese Datei von deinem Rechner hoch:

C:\WINDOWS\system32\WinDefence\windefence32.exe
C:\Dokumente und Einstellungen\Christoph\Anwendungsdaten\svchost.exe

• Gib im Kommentarfeld Folgendes an:
• "Unknown file"
• deine eMail Adresse, damit du benachrichtigt werden kannst, um was es sich bei dieser Datei handelt.
• diese Information:

Code:

---

Datei windefence32.exe empfangen 2009.11.02 16:29:52 (UTC)
Status: Beendet
Ergebnis: 7/41 (17.08%)
       
       
Antivirus        Version        letzte aktualisierung        Ergebnis
a-squared        4.5.0.41        2009.11.02        Riskware.Win32.VBInject!IK
AhnLab-V3        5.0.0.2        2009.11.02        -
AntiVir        7.9.1.53        2009.11.02        TR/Kreeper.EV
Antiy-AVL        2.0.3.7        2009.11.02        -
Authentium        5.1.2.4        2009.11.02        -
Avast        4.8.1351.0        2009.11.01        -
AVG        8.5.0.423        2009.11.02        -
BitDefender        7.2        2009.11.02        -
CAT-QuickHeal        10.00        2009.11.02        -
ClamAV        0.94.1        2009.11.02        -
Comodo        2816        2009.11.02        Heur.Suspicious
DrWeb        5.0.0.12182        2009.11.02        Trojan.Inject.6473
eSafe        7.0.17.0        2009.11.02        -
eTrust-Vet        35.1.7097        2009.11.02        -
F-Prot        4.5.1.85        2009.11.02        -
F-Secure        9.0.15370.0        2009.10.30        -
Fortinet        3.120.0.0        2009.11.02        -
GData        19        2009.11.02        -
Ikarus        T3.1.1.72.0        2009.11.02        VirTool.Win32.VBInject
Jiangmin        11.0.800        2009.11.02        -
K7AntiVirus        7.10.886        2009.11.02        -
Kaspersky        7.0.0.125        2009.11.02        Trojan.Win32.Kreeper.ev
McAfee        5789        2009.11.01        -
McAfee+Artemis        5789        2009.11.01        -
McAfee-GW-Edition        6.8.5        2009.11.02        Trojan.Kreeper.EV
Microsoft        1.5202        2009.11.02        -
NOD32        4565        2009.11.02        -
Norman        6.03.02        2009.11.02        -
nProtect        2009.1.8.0        2009.11.02        -
Panda        10.0.2.2        2009.11.01        -
PCTools        7.0.3.5        2009.11.02        -
Prevx        3.0        2009.11.02        -
Rising        21.54.04.00        2009.11.02        -
Sophos        4.47.0        2009.11.02        -
Sunbelt        3.2.1858.2        2009.11.01        -
Symantec        1.4.4.12        2009.11.02        -
TheHacker        6.5.0.2.058        2009.10.31        -
TrendMicro        8.950.0.1094        2009.11.02        -
VBA32        3.12.10.11        2009.11.02        -
ViRobot        2009.11.2.2017        2009.11.02        -
VirusBuster        4.6.5.0        2009.11.02        -
weitere Informationen
File size: 417792 bytes
MD5...: 3043dfb8ff7f21bd3be945a210e461da
SHA1..: 5e757f027a6c4c5df8fe4d76609cf0ad9e5d9421
SHA256: f1c2857558de7a9d1cd39f81cfadac7b96f807a7b4c52ca4212079029cf0ccdc
ssdeep: 6144:4NGPzYL/zuchLQu+p5SWABQTdJoxFY4uqQf23HdHkNnZLWXxquuSdO+w:/k
/zusR+p5arY4uvyBXxmSdO+w
PEiD..: -
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x10e4
timedatestamp.....: 0x4ae0c0a0 (Thu Oct 22 20:29:20 2009)
machinetype.......: 0x14c (I386)

( 3 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x1ae68 0x1b000 5.25 5b6f44ca1600d9c49bb971133eb9043f
.data 0x1c000 0x4ec 0x0 0.00 d41d8cd98f00b204e9800998ecf8427e
.rsrc 0x1d000 0x49350 0x4a000 7.98 edd83d41e13c0e298f871c1adbee20cf

( 1 imports )
> MSVBVM60.DLL: MethCallEngine, -, -, -, -, -, -, EVENT_SINK_AddRef, -, DllFunctionCall, EVENT_SINK_Release, EVENT_SINK_QueryInterface, __vbaExceptHandler, -, -, ProcCallEngine, -, -, -, -, -, -

( 0 exports )
RDS...: NSRL Reference Data Set
-
pdfid.: -
trid..: Win32 Executable Generic (68.0%)
Generic Win/DOS Executable (15.9%)
DOS Executable Generic (15.9%)
Autodesk FLIC Image File (extensions: flc, fli, cel) (0.0%)
sigcheck:
publisher....: FAyrd
copyright....: n/a
product......: D8LiOE5Vm7Y8
description..: n/a
original name: ELvRuMeHVzzN.exe
internal name: ELvRuMeHVzzN
file version.: 7.16.0030
comments.....: n/a
signers......: -
signing date.: -
verified.....: Unsigned


 Datei svchost.exe empfangen 2009.11.02 16:38:47 (UTC)
Status: Beendet
Ergebnis: 2/41 (4.88%)

       
Antivirus        Version        letzte aktualisierung        Ergebnis
a-squared        4.5.0.41        2009.11.02        -
AhnLab-V3        5.0.0.2        2009.11.02        -
AntiVir        7.9.1.53        2009.11.02        -
Antiy-AVL        2.0.3.7        2009.11.02        -
Authentium        5.1.2.4        2009.11.02        -
Avast        4.8.1351.0        2009.11.01        -
AVG        8.5.0.423        2009.11.02        -
BitDefender        7.2        2009.11.02        -
CAT-QuickHeal        10.00        2009.11.02        -
ClamAV        0.94.1        2009.11.02        -
Comodo        2816        2009.11.02        -
DrWeb        5.0.0.12182        2009.11.02        -
eSafe        7.0.17.0        2009.11.02        -
eTrust-Vet        35.1.7097        2009.11.02        -
F-Prot        4.5.1.85        2009.11.02        -
F-Secure        9.0.15370.0        2009.10.30        Trojan:W32/Agent.MGS
Fortinet        3.120.0.0        2009.11.02        -
GData        19        2009.11.02        -
Ikarus        T3.1.1.72.0        2009.11.02        -
Jiangmin        11.0.800        2009.11.02        -
K7AntiVirus        7.10.886        2009.11.02        -
Kaspersky        7.0.0.125        2009.11.02        -
McAfee        5789        2009.11.01        -
McAfee+Artemis        5789        2009.11.01        -
McAfee-GW-Edition        6.8.5        2009.11.02        -
Microsoft        1.5202        2009.11.02        -
NOD32        4565        2009.11.02        -
Norman        6.03.02        2009.11.02        -
nProtect        2009.1.8.0        2009.11.02        -
Panda        10.0.2.2        2009.11.01        -
PCTools        7.0.3.5        2009.11.02        -
Prevx        3.0        2009.11.02        High Risk Cloaked Malware
Rising        21.54.04.00        2009.11.02        -
Sophos        4.47.0        2009.11.02        -
Sunbelt        3.2.1858.2        2009.11.01        -
Symantec        1.4.4.12        2009.11.02        -
TheHacker        6.5.0.2.058        2009.10.31        -
TrendMicro        8.950.0.1094        2009.11.02        -
VBA32        3.12.10.11        2009.11.02        -
ViRobot        2009.11.2.2017        2009.11.02        -
VirusBuster        4.6.5.0        2009.11.02        -
weitere Informationen
File size: 393216 bytes
MD5...: 6d6df55ca46d42d600ff4112e0e7c722
SHA1..: 7897742b9fb4907e19ba715a8d574196d0e6e6e7
SHA256: 5f989703b732206ab443b42d86a0cf0fc5aead46165895d13f28a5ec15d09bf1
ssdeep: 6144:LxkV/ZnLWP2Rr+4vS24KKHPOmON8H4isINuzfh9373KxIEPSfutafVOr2RB
rXXlv:Yk4vS24KKHPOH8YidshiCftfVQ2RVn2u
PEiD..: -
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x47b0
timedatestamp.....: 0x4ae2364e (Fri Oct 23 23:03:42 2009)
machinetype.......: 0x14c (I386)

( 3 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x16a04 0x17000 5.72 8590b6de454bac693487927ef8b3ac41
.data 0x18000 0xc20 0x1000 0.00 620f0b67a91f7f74151bc5be745b7110
.rsrc 0x19000 0x4616c 0x47000 7.95 a8b4b6ca4c96521f2a1fecdd12a60a0a

( 1 imports )
> MSVBVM60.DLL: __vbaStrI2, _CIcos, _adj_fptan, __vbaVarMove, __vbaVarVargNofree, __vbaAryMove, __vbaFreeVar, __vbaStrVarMove, __vbaLenBstr, __vbaEnd, __vbaPut3, __vbaFreeVarList, _adj_fdiv_m64, -, _adj_fprem1, __vbaRecAnsiToUni, __vbaStrCat, __vbaSetSystemError, __vbaHresultCheckObj, _adj_fdiv_m32, __vbaAryVar, -, __vbaAryDestruct, __vbaExitProc, -, __vbaOnError, _adj_fdiv_m16i, __vbaObjSetAddref, _adj_fdivr_m16i, __vbaVarIndexLoad, _CIsin, -, __vbaErase, -, __vbaVarZero, __vbaChkstk, __vbaFileClose, -, EVENT_SINK_AddRef, __vbaGenerateBoundsError, -, __vbaStrCmp, __vbaAryConstruct2, __vbaI2I4, DllFunctionCall, -, _adj_fpatan, __vbaRedim, __vbaRecUniToAnsi, EVENT_SINK_Release, -, __vbaUI1I2, _CIsqrt, EVENT_SINK_QueryInterface, __vbaStr2Vec, __vbaExceptHandler, -, -, _adj_fprem, _adj_fdivr_m64, -, __vbaFPException, -, __vbaStrVarVal, __vbaUbound, __vbaVarCat, -, -, _CIlog, __vbaErrorOverflow, __vbaFileOpen, __vbaVar2Vec, __vbaInStr, __vbaNew2, _adj_fdiv_m32i, -, _adj_fdivr_m32i, __vbaStrCopy, -, __vbaFreeStrList, _adj_fdivr_m32, _adj_fdiv_r, -, __vbaAryLock, __vbaVarDup, __vbaStrToAnsi, __vbaFpI2, -, __vbaVarCopy, __vbaFpI4, -, _CIatan, __vbaAryCopy, __vbaStrMove, __vbaUI1Str, -, _allmul, _CItan, __vbaAryUnlock, _CIexp, __vbaFreeStr, __vbaFreeObj, __vbaI4ErrVar, -

( 0 exports )
RDS...: NSRL Reference Data Set
-
pdfid.: -
trid..: Win32 Executable Microsoft Visual Basic 6 (90.9%)
Win32 Executable Generic (6.1%)
Generic Win/DOS Executable (1.4%)
DOS Executable Generic (1.4%)
Autodesk FLIC Image File (extensions: flc, fli, cel) (0.0%)
<a href='http://info.prevx.com/aboutprogramtext.asp?PX5=DF94388800E5407B00B306E12CA64B0016B4639F' target='_blank'>http://info.prevx.com/aboutprogramtext.asp?PX5=DF94388800E5407B00B306E12CA64B0016B4639F</a>
sigcheck:
publisher....: LXYCZNPUWY
copyright....: n/a
product......: VGPTIDXFBU
description..: n/a
original name: CQPVZJMHPY
internal name: CQPVZJMHPY
file version.: 1.00
comments.....: n/a
signers......: -
signing date.: -
verified.....: Unsigned

---

• Drücke nun auf den Button "Send File"
• **Damit wir mit dem nächsten Schritt fortfahren können, teile uns mit, ob es dir gelungen ist, die Datei/en hochzuladen.
  .

Da muß ich aber doch noch mal nachfragen - das oberste Feld fragt nach der E-Mail Add.? Du bist dir sicher das ich da meinen Namen (RL Name? Oder Nick?) eingeben muß?

EDIT:
Dateien (incl. E-Mail und Log) sind jedenfalls hochgeladen und abgeschickt.

hi

1.
Lade das SDFix von AndyManchesta eine der folgenden Links herunter:
bleepingcomputer.com
andymanchesta.com

• auf deinem Desktop speichern
• per Doppelklick SDFix.exe starten
• wähle installieren, um das Programm in seinen eigenen Ordner auf deinem Desktop zu entpacken
• starte den Rechner im abgesicherten Modus - die Taste [F8] drücken, bevor das Windows-Logo angezeigt wird
• öffne den neu entstandenen SDFix Ordner
• mit einem Doppelklick auf die RunThis.bat kannst Du das Skript starten
• gib ein Y ein, um den Reinigungsprozess zu beginnen
• nun wirst Du aufgefordert, eine beliebige Taste zu drücken, damit dein Rechner neu aufstarten kann
• nachdem Neustart, wird das Fixtool nocheinmal laufen, um den Reinigungsprozess zu vervollständigen.
• nachdem der Lauf beendet ist - Finished - drücke wieder auf irgendeine Taste, um das Skript zu beenden und deine Desktop Iconen wieder zu laden

- Wenn die Desktop Icons wieder da sind, wird das Skript ein Fenster öffnen und das Ergebnis als einen Report.txt im Ordner SDFix speichern. Kopiere den Inhalt dieses Report.txt und poste ihn!

2.
Versuche bitte erneut mit Malwarebytes, im normalen Modus - eine bebilderte Anleitung findest Du hier: Malwarebytes Anti-Malware

3.
poste erneut:
Trend Micro HijackThis-Logfile - Keine offenen Fenster, solang bis HijackThis läuft!!

4.
ich brauche mehr `Übersicht` bzw Daten über einen längeren Zeitraum - dazu bitte Versteckte - und Systemdateien sichtbar machen::
→ Klicke unter Start auf Arbeitsplatz.
→ Klicke im Menü Extras auf Ordneroptionen.
→ Dateien und Ordner/Erweiterungen bei bekannten Dateitypen ausblenden → Haken entfernen
→ Geschützte und Systemdateien ausblenden → Haken entfernen
→ Versteckte Dateien und Ordner/Alle Dateien und Ordner anzeigen → Haken setzen.
→ Bei "Geschützte Systemdateien ausblenden" darf kein Häkchen sein und "Alle Dateien und Ordner anzeigen" muss aktiviert sein.

5.
Für XP und Win2000 (ansonsten auslassen)
→ lade Dir das filelist.zip auf deinen Desktop herunter
→ entpacke die Zip-Datei auf deinen Desktop
→ starte nun mit einem Doppelklick auf die Datei "filelist.bat" - Dein Editor (Textverarbeitungsprogramm) wird sich öffnen
→ kopiere aus die erzeugten Logfile alle 7 Verzeichnisse ("C\...") usw - aber nur die Einträge der letzten 6 Monate - hier in deinem Thread
** vor jedem Eintrag steht ein Datum, also Einträge, die älter als 6 Monate sind bitte herauslöschen!

Ich hoffe das ich es richtig gemacht habe:

1. SD-Fix

2. Malwarebytes


5. filelist

Und hier noch:

3. Hijackthis

hi

1.
Behindern uns nur bei der Reinigung, bitte folgende Dienste abstellen:
- unter `Systemsteuerung -> Verwaltung -> Dienste, gibst Du in das Dialogfenster den Befehl services.msc -> Ok
mit der rechten Maustaste auf den Dienstnamen klicken→ wähle `Eigenschaften`→ `Starttyp`→ Manuell, damit wird der Dienst ruhiggestellt. Den Dienst erst dann nur starten, wenn ein Programm ihn benötigt.
2.
Schliesse alle Programme einschliesslich Internet Explorer und fixe mit Hijackthis die Einträge aus der nachfolgenden Codebox (HijackThis starten→ "Do a system scan only"→ Einträge auswählen→ Häckhen setzen→ "Fix checked"klicken→ PC neu aufstarten):
HijackThis erstellt ein Backup, Falls bei "Fixen" etwas schief geht, kann man unter "View the list of backups"- die Objekte wiederherstellen
3.
Ich würde gerne noch all deine installierten Programme sehen:
- klick auf "Extra (um die installierten Programme auch anzuzeigen)→ weiter auf "Als Textdatei speichern..."
wird eine Textdatei (*.txt) erstellt, kopiere dazu den Inhalt und füge ihn da ein

4.
→ besuche die Seite von virustotal und die Datei/en aus Codebox bitte prüfen lassen - inklusive Dateigröße und Name, MD5 und SHA1 auch mitkopieren:
→ Tipps für die Suche nach Dateien
→ Klicke auf "Durchsuchen"
→ Suche die Datei auf deinem Rechner→ Doppelklick auf die zu prüfende Datei (oder kopiere den Inhalt ab aus der Codebox)
→ "Senden der Datei" und Warte, bis der Scandurchlauf aller Virenscanner beendet ist
→ das Ergebnis wie Du es bekommst (NICHT AUSLASSEN!) da reinkoperen (inklusive Dateigröße und Name, MD5 und SHA1)