Windows komplett im Arsch - Notfall

  • Ich brauche dringend eure Hilfe!

    Ich habe ein recht komplexes Problem und weiß keinen Ausweg mehr.

    Es fing damit an, dass ich Windows XP neu aufsetzen musste, da ich mir zahlreiche Trojaner und Dialer etc. eingefangen hatte.
    Seitdem habe ich schon beinahe 10x Win neu aufgespielt, aber es ging immer von vorn los:

    Ohne, dass ich bereits im Internet war, versuchen immer diverse exe-Dateien wie logon.exe, algs.exe und ftp.exe aus dem Systemordner Zugriff auf das Internet zu bekommen. Das weiß ich, weil ich die Softwarefirewall Sygate installiert habe.
    Das machte mich stutzig und versuchte es zunächst mit Kaspersky, das Programm erkannte z.B. rundll.exe oder iexplore.exe als Viren und löschte diese Datein, was zur Folge hatte, dass nix mehr ging. Ich konnte nicht mehr auf die Systemsteuerung zugreifen, kam nicht mehr ins internet usw. Also musste ich Win wieder neu aufsetzen. Ich probierte es mit einem anderen Antivirenprogramm, eTrust. Das erkannte ebenso wie Kaspersky dieselben Dateien in Windows als Viren. Obwohl ich sie das Programm nicht automatisch löschen ließ, ging nach dem Virenscannen nichts mehr.
    Wenn ich bestimmte Programme installieren will, kommen Fehlermeldungen wie "Ein anderes Programm greift bereits auf diese Datei zu" oder "Stinger may be infected. Cannot continue" (bei MacAfee Stinger). Bei Kaspersky kam die Meldung, dass ein Programmmodul möglicherweise durch einen Virus zersört worden sei.

    Meine Schlussfolgerung ist also, dass ich mir da etwas gaaaaanz Böses eingefangen habe, das jegliches Partionlöschen und Windowsinstallation ohen Probleme übersteht (wie geht das?)
    Ich habe gerade auch bemerkt, dass sich im Prefatch-Ordner verdächtige Dateien wie RUNDLL32.EXE-3D7732DA.pf befinden, die man zwar problemlos rauslöschen kann, die aber ständig wieder auftauchen.

    Bitte helft mir!! Ich hab jetzt schon so scheißviel Zeit investiert und bin kein so versierter PC-User, als dass ich noch einen Ausweg wüsste.
    Hilfe ;( ;(

  • Hast Du vor der Installation alle Partitionen gelöscht, oder nur die Systempartition?

    Mach mal eine Low-Level-Formatierung.

    Wenn Du alle Partitionen gelöscht hast, kommt der Virus eher von einem anderen Rechner im Netzwerk oder von den Dateien, die Du nach der Installation auf den Rechner packst.

  • Hm, ich kann dir auch nicht 100 %-ig sagen, was es ist... aber einen Tip hab ich (und der hat bei mir schon Wunder gewirkt):

    Installier in einer anderen Partition nochmals Windows. Mit dieser versuchst du dann, alle verdächtigen Dateien zu löschen bzw. nen Virenscanner (empfehle dir http://www.free-av.de/ ---> ist Freeware) drüberlaufen zu lassen.
    Der Vorteil dieses Vorgehens ist, dass man eventuell "geschützte" Dateien einfach löschen kann bei denen dein anderes Windows meckern würde (z.B. ""Ein anderes Programm greift bereits auf diese Datei zu").

    Grüße,
    S-Tune

  • Erstmal lvielen herzlichen Dank für die Hilfsbereitschaft!

    Zitat

    Original von GambaJo
    Hast Du vor der Installation alle Partitionen gelöscht, oder nur die Systempartition?


    Nur die Systempartition, auf der anderen hab ich diverse Dateien rumliegen...

    Zitat

    Original von GambaJo
    Mach mal eine Low-Level-Formatierung.


    Wär nett, wenn du mir auch sagen könntest, wie ich das bewerkstelligen kann.

    Zitat

    Original von GambaJo
    Wenn Du alle Partitionen gelöscht hast, kommt der Virus eher von einem anderen Rechner im Netzwerk oder von den Dateien, die Du nach der Installation auf den Rechner packst.


    Netzwerk hab ich hier keines. Nach dem Formatieren hab ich jetzt nur wenige Programme installiert. Im Moment sind das nur Grafikkarten- und Druckertreiber, Adobe Acrobat Reader, Sygate Personal Firewall.

    Zitat

    Original von S-Tune
    Installier in einer anderen Partition nochmals Windows. Mit dieser versuchst du dann, alle verdächtigen Dateien zu löschen bzw. nen Virenscanner (empfehle dir http://www.free-av.de/ ---> ist Freeware) drüberlaufen zu lassen.


    Hm ja klingt auch gut. Zuerst würde ich aber gern diese Low Level-Formatierung ausprobieren.

  • :rolleyes:

    also ich würde in deinem fall strategisch vorgehen.

    1. besorg dir die aktuelle knopix cd, boote von der cd und mach ein virusscan
    über knopix auf alle partitionen und allen files !!!!
    (somit wird deine ganze maschine unabhängig von deinem aktuellen betriebssystem auf viren überprüft)
    da ich nicht weis wo du dein xp her hast, würde ich ebenfalls die xp-cd mit einem virenscanner überprüfen, und zwar alle dateien inklusive archive (bitte auf die einstellung des virenscanner achten)

    2. Nach dem der virenscanner von knopix dein evtls. massaker gesichtet hat und überprüft hat sowie alle viren beseitigt hat besorg dir akronis disk direktor und lösche deine partitionen wo du xp drauf installiert hast, danach lege sie neu an und formatiere sie.

    3. boote von der xp cd und installiere dien xp in die neu angelegte und formatierte partition. sollte das vieh immer noch da sein bitte bei mir melden.

    gruß m00n

  • Nachtschatten,

    hier noch ein paar infos zu deinen poltergeistern auf deiner maschine:

    Logon.exe :

    http://72.14.221.104/search?q=cache:ZPTl7dlqaWgJ:www.pc-magazin.de/internet/cm/virenecke/show_sophos.php%3Fid%3D3258+virus+logon.exe&hl=de&gl=de&ct=clnk&cd=3

    auch für deine algs.exe

    http://72.14.221.104/search?q=cache:aRnxDODDWv4J:www.pc-magazin.de/internet/cm/virenecke/show_sophos.php%3Fid%3D2887+virus+algs.exe&hl=de&gl=de&ct=clnk&cd=3


    der könnte bei dir evtl. auch noch mitmischen

    http://translate.google.com/translate?hl=de&sl=en&u=http://www.bitdefender.com/VIRUS-1000051-en--Backdoor.BotGet.Ftp.html&sa=X&oi=translate&resnum=10&ct=result&prev=/search%3Fq%3Dvirus%2Bftp.exe%26hl%3Dde%26lr%3D%26sa%3DG

    also machs wie beschrieben und finde die biester, weiterhin würde ich dir raten keine internet explorer zu benutzen, icq von deiner maschine zu entfernen, falls vorhanden, und durch freeware varianten zu ersetzen.
    Nach der installation von xp, wie in der ersten mail beschrieben...alle updates fürs betriebssystem,ie browser und office einspielen.

    gruß m00n

  • Also erstmal zu ein paar bestimmten Sachen die Dateien im Prefetch Ordner sind ganz normal das is die dogenannte Prefetch Funktion die Dateien anlegt wo drin steht welches Program wo sehr oft zugreift das erhöht die Leistung.

    Das die Windows Dateien zum Inet zugreifen ist auch normal musste denen aber nicht unbedingt erlauben nur 1-2 müssen freigegeben sein sonst funktiniert das Inet net die anderen sind meist nur Netzwerkdienste die dann durch Zufall als Inetzugriff erkannt werden.

    Zur Neuinstallation rate ich dir alle Dateien auch Freeware usw. alles was halt wieder eingespielt wird mit einem guten Virenscanner wie zum Bsp. McAfee durchzuscannen und dann erst zu installieren.

    Bei der Installation am besten Netzwerkkabel trennen und erst wieder dran wenn alles Security mäßiges installiert ist und dann sofort alles updaten.

  • Zitat

    Original von Nachtschatten
    Nur die Systempartition, auf der anderen hab ich diverse Dateien rumliegen...

    Dann ist ja alles klar. Der Virus ist auf einer der Partitionen, die nicht gelöscht wurden. Sobald Windows installiert ist, und auf eine infizierte Datei zugegriffen wird, breitet sich der Virus aus.

    Zitat

    Original von Nachtschatten
    Wär nett, wenn du mir auch sagen könntest, wie ich das bewerkstelligen kann.

    Kommt auf den Hersteller deiner Festplatte an. Die meisten Hersteller bieten entsprechende Programme auf ihrer Homepage an.
    Aber das wird wenig nutzen, wenn der Virus auf einer anderen Partition liegt.

  • Zitat

    Original von Nachtschatten
    Ohne, dass ich bereits im Internet war

    Du meinst, es wurde noch keine Seite aufgerufen? Oder du hattest noch nie eine verbindung hergestellt?

    Also wie ich schonmal sagte: Installier auf jedenfall,direkt nach der Installation, das Service Pack 2... Ich glaube, du hattest nichtmal SP1,oder?

    Und dann saug dir mal das tool hijack this http://www.hijackthis.de Dann mach einen scan,und schick mir die log datei,die er dann erstellt. Oder poste sie hier,noch besser.

  • Hallo Nachschatten,

    seeehr ärgerlich sowas, kann ich von früher gut nachvoll ziehen. :upset:

    Zur aktuellen Entseuchung kann ich leider nicht viel weiterhelfen, da ich das Problem seit Jahren nicht mehr hatte. Wenn alles wieder ok ist, würde ich folgendes ebenfalls empfehlen:

    - Deinem normalen XP-User die Adminrechte entziehen. Macht zwar Arbeit bei der Installation neuer Programme (zweiter User mit Adminrechten notwendig), aber dadurch sollten gewisse Systemverzeichnisse geschützt sein?!

    - Router (!!) wurde schon genannt. Eigentlich habe ich seit dem Ding (>4 Jahre) kein Problem mehr gehabt.

    - Software mit weniger Verbreitung nutzen (z.B. Opera statt IE, Trillian statt ICQ etc.)

    - 1x Virenscanner. Habe mit dem Free-AV auch gute Erfahrung. Das ständige Updaten nervt zwar (erst recht, wenn beim DVD gucken in der Schlüsselszene ein Fenster aufpoppt, aber das muss eben sein :D)

    - 1x Trojanerscanner. Da taugt bei mir seit geraumer Zeit der SpyBot.

    HTH.

  • Huiui, soviele Antworten hatte ich mir gar nicht erhofft. Da weiß man wieder, warum man das TF liebt :yes: Danke!!

    Ich hab nur heute keine Zeit mehr mich drum zu kümmern, weil ich nach Klagenfurt fahr ;)

    Auf jeden Fall weiß ich jetzt folgendes:

    Der Virus, den ich oben habe, ist der Win32/Virut.5127. Er infiziert offenbar jede .exe-Datei, die man ausführt. Das erklärt, warum ich den ständig neu raufbekommen hab. Ich werde die ganzen Programme löschen und neu runterladen, dann formatieren. Im Moment lass ich einen Virenscanner über die andere Partition und meine externe Fesplatte laufen.
    Den lästigen lsass-Virus (Sasser?! hab ich mir jetzt so nebenbei auch noch zugezogen :biggrin:

    Auf alle Fälle muss ich zugeben, in der Vergangenheit viel zu fahrlässig gehandelt zu haben, sprich selten mal nach Viren/Spyware/Trojanern/Malware gescannt zu haben. Das war dumm, aber aus Fehlern lernt man und nun hab ich ja den Salat ;)

    Falls meine einfache Vorgehensweise nichts bringen sollte, werde ich mir eure anderen Tipps mal zu Herzen nehmen.


    Hier noch das Logfile von Hijackthis:

    Logfile of HijackThis v1.99.1
    Scan saved at 13:45:35, on 01.11.2006
    Platform: Windows XP (WinNT 5.01.2600)
    MSIE: Internet Explorer v6.00 (6.00.2600.0000)

    Running processes:
    C:\WINDOWS\System32\smss.exe
    C:\WINDOWS\system32\winlogon.exe
    C:\WINDOWS\system32\services.exe
    C:\WINDOWS\system32\lsass.exe
    C:\WINDOWS\System32\svchost.exe
    C:\Programme\Sygate Personal Firewall\smc.exe
    C:\WINDOWS\Explorer.EXE
    C:\WINDOWS\System32\brsvc01a.exe
    C:\WINDOWS\system32\spoolsv.exe
    C:\WINDOWS\System32\brss01a.exe
    C:\WINDOWS\System32\RUNDLL32.EXE
    C:\WINDOWS\System32\winamp.exe
    C:\WINDOWS\System32\algs.exe
    C:\WINDOWS\System32\lssas.exe
    C:\Programme\Messenger\msmsgs.exe
    C:\WINDOWS\System32\nvsvc32.exe
    C:\Programme\Internet Explorer\IEXPLORE.EXE
    C:\Programme\Internet Explorer\IEXPLORE.EXE
    C:\Programme\Internet Explorer\IEXPLORE.EXE
    C:\Dokumente und Einstellungen\Tobi\Lokale Einstellungen\Temp\Temporäres Verzeichnis 1 für hijackthis_199.zip\HijackThis.exe

    O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe Acrobat 7.0\ActiveX\AcroIEHelper.dll
    O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
    O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\SYGATE~1\smc.exe -startgui
    O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
    O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
    O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
    O4 - HKLM\..\Run: [Winamp Agent] C:\WINDOWS\System32\winamp.exe
    O4 - HKLM\..\Run: [Client Server Runtime Process] C:\WINDOWS\System32\csrs.exe
    O4 - HKLM\..\Run: [Application Layer Gateway Service] C:\WINDOWS\System32\algs.exe
    O4 - HKLM\..\Run: [Local Security Authority Service] C:\WINDOWS\System32\lssas.exe
    O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
    O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Programme\Adobe Acrobat 7.0\Reader\reader_sl.exe
    O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
    O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
    O17 - HKLM\System\CCS\Services\Tcpip\..\{D5552CAF-3673-4BAE-9DCA-DC6EE0D00690}: NameServer = 195.34.133.21 195.34.133.22
    O23 - Service: BrSplService (Brother XP spl Service) - brother Industries Ltd - C:\WINDOWS\System32\brsvc01a.exe
    O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
    O23 - Service: Sygate Personal Firewall (SmcService) - Sygate Technologies, Inc. - C:\Programme\Sygate Personal Firewall\smc.exe

  • Ich glaube, ich habe dieses äußerst lästige Problem mit dem Win32\Virut.a gestern endlich lösen können.
    Nun kommt erstmal das SP 2 rauf und die beiden Gratis-Virenscanner AntiVir und AVG bleiben natürlich fest installiert... plus Ad-Aware und Spybot und so... man kann sich nie genügend in Sicherheit wiegen :D
    Wegen Router werd ich mich jetzt dann mal informieren.

    Zum Glück hab ich es ohne eure speziellen Tipps geschafft. Ich will mich jetzt zwar noch nicht in endgültiger Sicherheit wiegen, aber sage trotzdem schon mal abschließend nochmal DANKE :yes:

    PS: Der Virus verbreitet seinen Code auch in exe- und scr-Dateien, die man NICHT geöffnet hat! So ein dreckiges Luder :dead:

    Ach und bevor sich jemand beschwert *gg* :happy: Ich sage: Der Computervirus, aber das DNA-/RNA-Virus :D

  • Zitat

    Original von Nachtschatten
    ...
    PS: Der Virus verbreitet seinen Code auch in exe- und scr-Dateien, die man NICHT geöffnet hat! So ein dreckiges Luder :dead:
    ...

    so einen hatte ich auch mal, maybe the same.
    das lustige war, das lediglich antivir ihn nicht erkannte (hatte ich damals drauf) und auch antivir war dann betroffen, es ging keine exe mehr.
    sobald ich kaspersky wieder drauf hatte, hat er alles gefixt :yes: