Windows 2000 bootet automatisch neu - Bisher keine Viren/Trojaner gefunden

#1 Morgen

Seit nunmehr 2 Tagen startet mein Rechner in unregelmäßigen Abständen neu. Er verabschiedet sich mit der Meldung:

"Der Systemprozess "Windows\system32\service.exe" wurde unerwartet mit Statuscode 128 beendet. Das System wird heruntergefahren und neugestartet"

Nach 60 Sekunden geschieht das dann auch. Ich bin im Moment dabei Windows nochmal komplett abzudaten (tue das eigentlich immer, aber ein zwei Updates fehlen), sowie Antivir und Adaware lasse ich durchlaufen. Bisweilen haben sie auf der C Partition nichts gefunden und auf D lagern wenn nur meine Spiele und Mp3s. Auch habe ich mit HijackThis einige Einträge entfernt, und im Moment sieht mein Logfie so aus:

Logfile of HijackThis v1.99.1
Scan saved at 11:48:45, on 16.08.2005
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\Ati2evxx.exe
C:\Programme\Netropa\Multimedia Keyboard\nhksrv.exe
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINNT\system32\CTSvcCDA.EXE
C:\WINNT\system32\svchost.exe
C:\WINNT\system32\stisvc.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\System32\svchost.exe
C:\WINNT\system32\Ati2evxx.exe
C:\WINNT\Explorer.EXE
C:\Programme\Netropa\Multimedia Keyboard\MMKeybd.exe
C:\Programme\ATI Technologies\ATI.ACE\cli.exe
C:\Programme\Logitech\MouseWare\system\em_exec.exe
C:\Programme\Netropa\Multimedia Keyboard\TrayMon.exe
C:\Programme\Netropa\Onscreen Display\OSD.exe
C:\progra~1\logitech\mousew~1\system\EM_EXEC.EXE
C:\Programme\Opera7\Opera.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\WINNT\system32\svchost.exe
C:\Programme\Miranda\miranda32.exe
D:\Kleinkram\Tools Treiber etc\HIjack\HijackThis.exe

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O3 - Toolbar: @msdxmLC.dll,-1@1031,&Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\System32\msdxm.ocx
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [MULTIMEDIA KEYBOARD] C:\Programme\Netropa\Multimedia Keyboard\MMKeybd.exe
O4 - HKLM\..\Run: [ATICCC] "C:\Programme\ATI Technologies\ATI.ACE\cli.exe" runtime
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - Startup: Client Default.lnk = C:\Programme\Samurize\Client.exe
O4 - Startup: mouse.bat
O4 - Startup: Rainlendar.lnk = C:\Programme\Rainlendar\Rainlendar.exe
O4 - Global Startup: Smart Office Keyboard.lnk = C:\Programme\Netropa\Multimedia Keyboard\MMKbdCfg.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINNT\system32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINNT\system32\msjava.dll
O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe
O12 - Plugin for .shit: C:\Programme\Opera7\PLUGINS\NPFgc1.dll
O12 - Plugin for .zip: C:\Programme\Opera7\PLUGINS\NPFgc1.dll
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1124137573043
O17 - HKLM\System\CCS\Services\Tcpip\..\{88D2F58E-34BA-4734-AF86-04F4DCCAAC30}: NameServer = 194.25.2.129
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINNT\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINNT\system32\ati2sgag.exe
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINNT\system32\CTSvcCDA.EXE
O23 - Service: Verwaltungsdienst für die Verwaltung logischer Datenträger (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: Netropa NHK Server (nhksrv) - Unknown owner - C:\Programme\Netropa\Multimedia Keyboard\nhksrv.exe

Nun bin ich etwas verwirrt, da wie gesagt die Antiviren Programme nichts finden, Hijackthis auch keine bösen Einträge mehr hat und ich schlicht nicht weiß wo sich der Wurm/Trojaner oder was auch immer versteckt. DAzu sollte gesagt sein, dass ich als der Fehler das erste mal auftrat nichts, aber auch gar nichts anders gemacht habe, neuinstalliert,deinstalliert oder sonst was habe, was ich nicht die Monate zuvor auch getan hätte. Insofern weiß ich weder woher ich es habe, noch was es ist und schon gar nicht wie ich es weg bekomme. Bin um jede Hilfe dankbar.

blu

ps: hab mit der Suchfunktion geschaut aber nichts genau passendes gefunden, hoffe das geht so in Ordnung.

#2 Was sagt denn die Protokolldatei unter

Start - Einstellungen - Systemsteuerung - Verwaltung - Ereignisanzeige

Hier prüfe auffällige Meldungen unter Anwendung und System.
__________
MfG Sabina

rund um die PC-Sicherheit

#3 Also unter Anwendungprotokoll fallen mir folgende Fehler auf:

1) Die Open-Prozedur für den Dienst "PerfDisk" in der DLL "C:\WINNT\system32\perfdisk.dll" hat mehr Zeit beansprucht als vorgesehen. Möglicherweise ist der Indikator fehlerhaft oder der Dienst bzw. das System war ausgelastet.

Unter Systemprotokoll folgendes:

1) Zugriff verweigert beim Versuch, einen DCOM-Server unter Verwendung von DefaultLaunchPermssion zu starten. Server:
{00020906-0000-0000-C000-000000000046}
Benutzer: Unavailable/Unavailable, SID=Unavailable.

Dieser Fehler tritt in unregelmäßigen Abständen häufiger auf.

2) Der Wert "" im Registrierungsschlüssel "LanmanServer\Shares" des Servers ist ungültig. Der Wert wurde ignoriert und die Verarbeitung fortgesetzt.

Der Fehler 1-2 mal als er bootete

3) Der Dienst "Automatische Updates" wurde mit folgendem Fehler beendet:
Die Schnittstelle ist unbekannt.

Trat 3 mal auf.


Mehr konnte ich nicht finden.
Bin aber nunja, ratlos was das zu bedeuten hat.

blu

#4 das hat nun nichts mehr mit Viren zu tun und ich bin ebenfalls nicht kompetent genug , um das Problem zu loesen.
Vielleicht weiss ja jemand anderes Rat, was zu tun ist .
__________
MfG Sabina

rund um die PC-Sicherheit

#5 Start -> Ausführen -> "sfc /scannow" (ohne Anführungszeichen)

Das ist das einzige, was mir dazu einfällt.
__________
Dies ist eine Signatur! Persönlicher Service: Du kommst aus Berlin? Dann melde Dich per PN bei mir, evtl. können wir einen Termin vereinbaren.
Der Grabsteinschubser