Status 128 ohne Virusfund |
||
|---|---|---|
| #0
| ||
|
17.10.2005, 10:04
...neu hier
Beiträge: 7 |
||
 
|
|
|
|
18.10.2005, 14:58
Ehrenmitglied
 Beiträge: 29434 |
#2
Hallo@databaser
öffne das HijackThis -- Button "scan" -- vor die Malware-Einträge Häkchen setzen -- Button "Fix checked" -- PC neustarten O2 - BHO: (no name) - {BDF3E430-B101-42AD-A544-FADC6B084872} - (no file) O4 - HKCU\..\Run: [Gutrkqwa] C:\WINNT\system32\??rvices.exe PC neustarten lade die Datei hoch C:\WINNT\system32\??rvices.exe und berichte http://sandbox.norman.no/live_4.html kopiere hier die 4 Logs , mit Pfadangabe oberhalb....3 Monate vom Datum her reichen http://virus-protect.org/datfindbat.html Zitat Full Name: __________ MfG Sabina rund um die PC-Sicherheit |
|
|
|
|
|
|
20.10.2005, 16:44
...neu hier
Themenstarter Beiträge: 7 |
#3
Vielen Dank für Deine Hilfe.
Folgend die neuen Informationen zu meinem Problem: Hijackthis: Die von Dir angegebenen Einträge kann ich nicht löschen, sofort nach dem Neustart sind diese wieder vorhanden. sandbox.norman.no Die Datei C:\WINNT\system32\??rvices.exe kann nicht ausgewertet werden. Per Mail habe ich dazu diese Begrüdnung bekommen: Zitat Unable to process ZIP file qdbgtinxaphejzkidjpg43579e58ba156.zipAuf die Auswertung meiner services.exe warte ich noch immer... Die Datei ??rvices.exe kann ich auf biegen und brechen nicht löschen. Auch Tipps aus anderen Foren haben bis jetzt nicht geholfen. Tools wie GiPo@Utilities bringen auch nichts. Der Security Task Manager kann den Task zwar beenden, aber nicht löschen bzw. unter Quarantäne stellen. Ausserdem scheint es mir so, als ob der Task nach beenden sich nach kurzer Zeit neustartet. datfind.bat Zitat Verzeichnis von C:\WINNT\system32 Zitat Verzeichnis von C:\DOKUME~1\ADMINI~1\LOKALE~1\Temp Zitat Verzeichnis von C:\WINNT Zitat Verzeichnis von C:\Wäre wirklich traumhaft, wenn Ihr eine Lösung wüßtet! Vielen Dank. |
|
|
|
|
|
|
20.10.2005, 16:50
Ehrenmitglied
Beiträge: 29434 |
#4
Hallo@databaser
Loesche alle temporaeren Dateien mit CCleaner http://virus-protect.org/temp.html C:\DOKUME~1\ADMINI~1\LOKALE~1\Temp muss leer sein dann poste die 4 logs noch einmal  ...aber bitte vom Datum her bis Anfang August....heute Abend sage ich dir, was raus muss, jetzt habe ich keine Zeit mehr, muss arbeiten __________ MfG Sabina rund um die PC-Sicherheit |
|
|
|
|
|
|
20.10.2005, 18:03
...neu hier
Themenstarter Beiträge: 7 |
#5
Hey Sabrina,
das ging ja mal wieder schnell! Ich hab wie beschrieben alles mit dem CCleaner bereinigt. Folgend die logs jeweils ab Anfang August: Zitat Verzeichnis von C:\WINNT\system32 Zitat Verzeichnis von C:\DOKUME~1\ADMINI~1\LOKALE~1\Temp Zitat Verzeichnis von C:\WINNT Zitat 20.10.2005 18:06 0 sys.txtDanke! Gruss... |
|
|
|
|
|
|
20.10.2005, 18:22
Ehrenmitglied
Beiträge: 29434 |
#6
inzwischen scanne mit kaspersky und poste den scanreport
http://virus-protect.org/onlinescan.html __________ MfG Sabina rund um die PC-Sicherheit |
|
|
|
|
|
|
21.10.2005, 10:43
...neu hier
Themenstarter Beiträge: 7 |
#7
Der Scan auf kritische Bereiche mit Kaspersky verlief ohne Virusfund!
Den ganzen Computer scanne ich im Moment noch, da dies sehr lange dauert kommen die Ergebnisse erst später. Mittlerweile scheint es so, als habe der Virus sich auf die anderen Win2000 Rechner im Netz ausgebreitet. Sie zeigen das gleiche Anzeichen. Eine schnelle Lösung wäre wunderbar. Danke... |
|
|
|
|
|
|
21.10.2005, 11:15
Ehrenmitglied
Beiträge: 29434 |
#8
PurityScan ist sehr schwer zu loeschen...es ist eine Pest...wir schauen mal,,,,ich werde Erkennungstools posten, um den Loader zu finden....
Zitat findest du auf dem System: ???Um die Diensteverwaltung explizit aufzurufen, geben Sie unter Start > Ausführen den Befehl services.msc ein. Nun werden alle laufenden Dienste angezeigt. Hier den Punkt "ET dll Locator (frepdll.exe)" aussuchen. Wenn unter Status "gestartet" steht, mit der rechten Maustaste anklicken und die Option "Eigenschaften" auswählen. Nicht "Den Dienst beenden" auswählen, denn dann wird der "ET dll Locator (frepdll.exe) " beim nächsten Systemstart erneut ausgeführt. Als Starttyp "deaktiviert" auswählen und den Dienststatus mit "Beenden" schliessen. Jetzt noch "Übernehmen" anklicken. Der "ET dll Locator (frepdll.exe) " läuft nicht mehr im Hintergrund und wird auch nicht mehr bei einem Neustart ausgeführt. 023 -Eintraege löschen: Hijackthis auf "open the misc tool section" klicken und dann auf "delete an NT Service" und die Namen angeben, aber mache dies nur bei diesen O23 Einträgen! O23 - Service: ET dll Locator (frepdll.exe) - Unknown owner - C:\WINNT\frepdll.exe (file missing) PC neustarten Registry Search Tool http://www.billsway.com/vbspage/vbsfiles/RegSrch.zip Meldung (von Symantec) --- ignorieren Doppelklick:regsrch.vbs reinkopieren: ET dll Locator Press 'OK' warten, bis die Suche beendet ist. (Ergebnis bitte posten) - nun das KOMPLETTE Log mit rechtem Mausklick abkopieren und ins Forum mit rechtem Mausklick "einfügen" ---------------------------------------------------- Winpfind (bitte abarbeiten und alles posten) http://virus-protect.org/winpfind.html __________ MfG Sabina rund um die PC-Sicherheit |
|
|
|
|
|
|
21.10.2005, 11:40
...neu hier
Themenstarter Beiträge: 7 |
#9
Hallo Sabrina,
mit Hijackthis habe ich keinen Eintrag gelöscht, da ein solcher nicht vorhanden war. Den Dienst habe ich deaktiviert. Er wurde aber nicht ausgeführt, dass heißt, ich musste bzw. konnte ich nicht beenden. Hier das log von RegSrch: Zitat REGEDIT4BTW: Der Link zu dem Programm sollte so lauten, oder? http://www.billsway.com/vbspage/vbsfiles/RegSrch.zip Unter Deinem Link gibt's ein anderes Tool. Oder brauche ich das auch? Danke für die schnelle und kompetente Hilfe! Gruss |
|
|
|
|
|
|
21.10.2005, 11:42
Ehrenmitglied
Beiträge: 29434 |
#10
Winpfind (bitte abarbeiten und alles posten)
http://virus-protect.org/winpfind.html auch abarbeiten...klar __________ MfG Sabina rund um die PC-Sicherheit |
|
|
|
|
|
|
21.10.2005, 11:45
Ehrenmitglied
Beiträge: 29434 |
#11
Den folgenden Text in den Editor (Start - Zubehör - Editor) kopieren und als fixme.reg mit 'Speichern unter' auf dem Desktop. Gebe bei Dateityp 'Alle Dateien' an. Du solltest jetzt auf dem Desktop diese Datei finden.
Computer in den abgesicherten Modus neustarten (F8 beim Starten drücken). Die Datei "fixme.reg" auf dem Desktop doppelklicken und der Registry beifuegen Zitat REGEDIT4dann scanne noch einmal mit RegSrch.vbs (ET dll Locator ) und berichte __________ MfG Sabina rund um die PC-Sicherheit |
|
|
|
|
|
|
21.10.2005, 11:54
...neu hier
Themenstarter Beiträge: 7 |
#12
Das geht ja wirklich rasend schnell.
Es scheint so, dass Winpfind nach einem bestimmten Punkt mit der Meldung "invalid flagtype..." ab. Das log bis zu diesem Punkt: Zitat WARNING: not all files found by this scanner are bad. Consult with a knowledgable person before proceeding. |
|
|
|
|
|
|
21.10.2005, 12:03
Ehrenmitglied
Beiträge: 29434 |
#13
Silentrunners
http://virus-protect.org/silentrunner.html klicke: output file is in text format. --> Doppelklick und es oeffnet sich der Editor -- und poste alles, was angezeigt wird. __________ MfG Sabina rund um die PC-Sicherheit |
|
|
|
|
|
|
21.10.2005, 12:13
...neu hier
Themenstarter Beiträge: 7 |
#14
Ich bin tief beeindruckt!
Was es so alles für Programme gibt.... Zitat "Silent Runners.vbs", revision 41, http://www.silentrunners.org/ |
|
|
|
|
|
|
21.10.2005, 13:35
Ehrenmitglied
Beiträge: 29434 |
#15
gehe in die Registry
Start-->ausfuehren--> regedit suchen-->bearbeiten-->Gutrkqwa HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\"Gutrkqwa"<--loeschen HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\AutorunsDisabled "Gutrkqwa" <--loeschen PC neustarten dann erledige noch , den Dienst, der vom Virus erstellt wurde zu loeschen, d.h. fuehre alles aus und arbeite dann noch einmal mit dem Reg-Tool, um zu ueberpruefen, ob alles geloescht ist. Zitat dann scanne noch einmal mit RegSrch.vbs (ET dll Locator ) und berichte------------------------------------------------------------------------ findest du auf dem System: ??? qdbgtinxaphejzkidjpg43579e58ba156.zip oeffne mit dem Editor: C:\WINNT\t.bat und poste den Inhalt. ------------------------------------------------------------------------- scanne mit dem Tool (zwei scanner scannen alles durch, bei einem musst du die zu loeschende Datei eingeben, in diesem Fall gib ein: C:\WINNT\frepdll.exe C:\WINNT\system32\??rvices.exe http://virus-protect.org/multiavtool.html dann poste mir die Scanreporte von den zwei Logs und berichte auch, ob die zwei exe gefunden/geloescht wurden ------------- dann kommt noch mehr, aber wir arbeiten erst mal das ab, sonst gibt es ein Durcheinander __________ MfG Sabina rund um die PC-Sicherheit |
|
|
|
|
|
Um auf dieses Thema zu ANTWORTEN
bitte erst » hier kostenlos registrieren!!
bitte erst » hier kostenlos registrieren!!
Folgende Themen könnten Dich auch interessieren:
Seite(n): 1
Copyright © 2024, Protecus.de - Protecus Team - Impressum / Mediadaten
bestimmt ist das beste Thema zum Einstand in Euer Board, aber leider komm ich um Eure Hilfe nicht herum.
Vorab: Die Suchfunktion habe ich ausgiebig genutzt, jedoch haben die angebotenen Lösungen mir auch nicht geholfen.
Hier im Netz (mehrere Win2000 und WinXp Clients an Win200 Server) ist ein Rechner (Win2000) der nur Freitags (!) mit dem bekannten Fehler "Status 128 in services.exe" sich neustartet.
Kein Virenscanner (AntiVir, AVG, Norton, Stinger, SD-Spybot, usw.) hat was gefunden, ebenso wenig die von Euch verlinkten Onlinescanner.
Die service.exe habe ich auch checken lassen und diese ist laut Kapersky clean.
Die im Hijackthis-Log verzeichnete frepdll.exe ist nicht mehr auf dem System zu finden. Leider kann ich den entsprechenden Eintrag, auch im abgesichertem Modus, in der Registry nicht löschen.
Folgend mein Hijackthis-Log:
Logfile of HijackThis v1.99.1
Scan saved at 09:17:16, on 17.10.2005
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
Running processes:
C:\WINNT\System32\smss.exe
C:\WINNT\system32\winlogon.exe
C:\WINNT\system32\services.exe
C:\WINNT\system32\lsass.exe
C:\WINNT\system32\svchost.exe
C:\WINNT\System32\WBEM\WinMgmt.exe
C:\WINNT\system32\userinit.exe
C:\WINNT\Explorer.EXE
C:\Dokumente und Einstellungen\Administrator\Desktop\HijackThis.exe
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: (no name) - {BDF3E430-B101-42AD-A544-FADC6B084872} - (no file)
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINNT\system32\msdxm.ocx
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [IgfxTray] C:\WINNT\System32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINNT\System32\hkcmd.exe
O4 - HKLM\..\Run: [PaperPort PTD] C:\Programme\Scansoft\PaperPort\pptd40nt.exe
O4 - HKLM\..\Run: [IndexSearch] C:\Programme\Scansoft\PaperPort\IndexSearch.exe
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINNT\system32\spool\drivers\w32x86\3\hpztsb09.exe
O4 - HKLM\..\Run: [HP Component Manager] "C:\Programme\HP\hpcoretech\hpcmpmgr.exe"
O4 - HKLM\..\Run: [HP Software Update] "C:\Programme\Hewlett-Packard\HP Software Update\HPWuSchd.exe"
O4 - HKLM\..\Run: [DeviceDiscovery] C:\Programme\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [AVG7_EMC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [Gutrkqwa] C:\WINNT\system32\??rvices.exe
O4 - Global Startup: Brother SmartUI PopUp.lnk = C:\Programme\Scansoft\PaperPort\PopUp\SmartUI.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: PAListen.lnk = C:\eAmed\DaSi\PAListen.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINNT\system32\msjava.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINNT\system32\msjava.dll
O16 - DPF: {62475759-9E84-458E-A1AB-5D2C442ADFDE} - http://a1540.g.akamai.net/7/1540/52/20040428/qtinstall.info.apple.com/saba/de/win/QuickTimeInstaller.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1123244784078
O17 - HKLM\System\CCS\Services\Tcpip\..\{18937DC7-262B-41F6-8432-01BD5735ED6B}: NameServer = 192.168.0.210
O17 - HKLM\System\CS1\Services\Tcpip\..\{18937DC7-262B-41F6-8432-01BD5735ED6B}: NameServer = 192.168.0.210
O17 - HKLM\System\CS2\Services\Tcpip\..\{18937DC7-262B-41F6-8432-01BD5735ED6B}: NameServer = 192.168.0.210
O20 - Winlogon Notify: igfxcui - C:\WINNT\SYSTEM32\igfxsrvc.dll
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\PROGRAMME\AVPERSONAL\AVGUARD.EXE
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: Verwaltungsdienst für die Verwaltung logischer Datenträger (dmadmin) - VERITAS Software Corp. - C:\WINNT\System32\dmadmin.exe
O23 - Service: ET dll Locator (frepdll.exe) - Unknown owner - C:\WINNT\frepdll.exe (file missing)
Vielen Dank für Eure Hilfe!