BraveSentry – die wundersame Rückkehr – kein Onlinemärchen

#1 Am 27.03.2006 hatte sich mein Untermieter „BraveSentry“ scheinbar einen Tag Urlaub genehmigt.
Hatte ich doch auf der Jagd nach ihm mit einigen Reinigungs- und Aufspüraktionen auf meinem PC diverse Einstellungen geändert, so dass eine ungewohnte Instabilität sich einnistete. Da sich die Wiederherstellung des Systems einfacher gestaltete als gedacht ( ich entkam einer Formatierung der Festplatte sowie einer Neuinstallation), verpasste ich diesem, meinem PC noch eine ordentliche Auffrischungskur. Sprich – ein G- DATA - Virenscan, da dieser laut neuesten Nachrichten den Trojaner „BraveSentry“ in den Ausführungen A,B,C und D nun erkennen sollte. Aber leider – das System war frei von jeglichem Befall. Na gut, dann kann man ja auch noch AD-AWARE mal suchen lassen – und siehe da – auch hier nichts.
Erleichtert, ohne große Aktionen den PC erfolgreich von diesem Ballast befreit zu haben, konnte ich erst mal richtig durchatmen. Ich hatte also den Meldungen zufolge einen viren- und trojanerfreien PC. Stolzen Hauptes und frohen Mutes nächtigte ich, den PC in sicheren Händen wägend, nicht ohne einen nächtlichen alptraumhaften Virenscan nach Trojanern in meinen Träumen durchzuführen.
Frohen Mutes, frisch gewaschen und geduscht, 28.03.2006 Uhr früh morgens – PC ein, alles läuft normal, sogar AOL Privacy konnte kein Erfolgserlebnis verbuchen und meldet bei der automatischen Prüfung nach der Startphase keine Ereignisse sondern nur ein lapidares „ihr PC ist frei von jeglichem Befall“. Ein bisschen surfen, Nachrichten lesen, ein paar Emails schreiben und lesen - Klasse – nichts passiert. Doch siehe da, nach 30 Minuten automatischer Start von AOL Privacy und was: Na klar – der Urlaub von BraveSentry war beendet, er wurde herzlich begrüßt und willkommen geheißen und er wurde gesperrt, wie seit ein paar Tagen (bis auf den gestrigen).
Symptomatisch für das Erkennen jedoch und hiermit fatal – in AOL Privacy ist KEIN Pfad beschrieben, wo sich schlussendlich der Trojaner namens Brave(bad)Sentry aufgehalten hat, bzw. wo er gefunden wurde, bzw. wo er schlummerte, geschweige denn ein Hinweis, in welchen Programmen oder Dateien er sich abgelegt hat. Für den Normaldenkenden nachvollziehbar begann ich nun mit dem Wiederherstellen des Trojaners und der anschließenden Deaktivierung von AOL – Privacy. Darauf folgend ein Viren- und ADAWARE-Scan, der wiederum ins Leere läuft und schlussendlich nicht den gewünschten Erfolg zeigt. Es ist nämlich nichts da, was zu finden wäre. Dafür habe ich die 100%ige Garantie, nach Aktivierung der AOL Privacy und anschließendem Scan wieder den Trojaner zu finden, der daraufhin wieder gesperrt wird.

Möge dies nachvollziehen können wer will, ich kann es nicht mehr und schließe mich dem üblichen Spruch an der da lautet – EDV – Ende der Vernunft.

Fazit:
1. Brave Sentry ist nicht immer gegenwärtig auf dem PC ( oder doch?? )
2. Brave Sentry scheint sich erst nach einer gewissen Laufzeit des PC zu entfalten.
3. Keine Sicherheitssoftware außer AOL Privacy findet weiterhin diesen Trojaner.
4. Hijjack sowie auch alle anderen Hilfsmassnahmen fruchten nicht.
5. - weil das Ding nicht zu entdecken ist (von mir jedenfalls nicht)
6. - weil man es nicht findet,
7. - nicht weiß woher es kommt
8. - wo es lagert oder abgelegt ist,
9. - in welche Datei es sich eingebettet hat
10. - sowie welchen Zweck es verfolgt.

Es liegt schon die Vermutung nahe, das dieses Ding gefakt ist..

Folgerung:

1. Dem Trojaner ist, wenn es einer ist, mit handelsüblichen Mitteln nicht beizukommen.
2. Um vor dem Trojaner verschont zu bleiben, bleibt schlussendlich nur die Biedermeier-Lösung – was ich nicht weiß, macht mich nicht heiß – indem man...

„Aol Privacy deinstalliert und schon bleibt man verschont vor der „BraveSentry gefunden und gesperrt“-meldung :-D

oder: man lässt sich BraveSentry täglich sperren und behält sich die Unsicherheit, dass auf PC sich Aktivitäten ereignen, die man nicht beeinflussen kann, aber da tun sich ja eh schon einige Dinge, auf die man keinen Einfluss hat.

NUR: welche Funktion hat dieses Teil BraveSentry, wie kommt es auf den PC, trotz Router, trotz Firewall, trotz Virenscanner, trotz aller eigenen Vorsichtsmassnahmen und wo versteckt es sich verdammt noch mal oder ist es tatsächlich nur eine Signatur, die dem BraveSentry ähnelt und irgendwo auf dem PC schlummert??

Anmerkung aus der Geschichte: Paris, Prinz von Troja, stiehlt 1193 vor Christus dem König von Sparta die Gattin Helena und entfacht damit den Krieg. Die Griechen beginnen einen Feldzug gegen Troja, der über zehn Jahre anhält und von Achilles angeführt wird, während die Hoffnungen der Bewohner Trojas auf den Schultern von Hektor, dem ältesten Sohn ihres Königs, liegen.

Mein Krieg gegen den Trojaner dauert nun erst eine knappe Woche und ich sehne mich nach Frieden, wenn ich nicht bald einen Achilles erwische, der mir hilft. Ich mag keinen 10jährigen Kampf gegen Trojaner :-)

#2 gut geschrieben, könnte von mir sein :-))
Es scheint mir gelungen AOL etwas wach zu bekommen.Zuerst bekam ich natürlich wie immer die Antwort für Blöde :

Zitat

Es kommt immer wieder vor, dass Suchengines unterschiedliche Ergebnisse erzielen.
Außerdem können wir nicht mit 100%iger Sicherheit etwas zu einem gefundenen Virus/Wurm/Trojaner oder zu Spyware anmerken, solange uns die Datei nicht bekannt ist, die gefunden worden ist.

Wir möchten Sie zur Sicherheit Ihres Computers darum bitten, stets Ihren Virenscanner auf aktuellem Stand zu halten.

Allein die Rückfrage, wie die Datei heisst, die gefunden wurde, fand ich köstlich <g>
Aber da ich den Laden ganz gut kenne gab ich nicht auf :

Zitat

Herzlichen Dank für Ihre eMail.
Um Ihre Frage erschöpfend beantworten zu können, müssen wir erst recherchieren.
Daher bitten wir Sie um etwas Geduld, bis wir uns wieder per eMail mit Ihnen in Verbindung setzen.

Nun 17:00 Uhr aber doch etwas Seltsames.Da ich AOL eigentlich nur als Provider nutze und ich für meine (fremdem) POP Konten Outlook 2000 nutze, habe ich auf Sabinas Tipp alle eingegangen E- Mails seit Freitag den 17.03.2006 gelöscht.Dann habe ich den AOL Protection angeworfen ,fand nichts.Nun AOL gestartet und wieder AOL Protection gestartet.Nichts. Da ich mit Firefox und IE arbeite , zuerst den Firebox angeworfen und wieder nichts durch AOL Protection gefunden.Auch nach dem Start von IE zuerst nichts Nun ist 17:56 Uhr und AOL Protection zeigt den Brave Sentry an.

Mir ist das ein absolutes Rätsel.
@HerrFix nutzt du den Spamihilator ?


V.

#3 so - ich mal wieder auf eigener Spur unterwegs gewesen.

1. von Sysinternals.com den Process Explorer runtergeladen.
2. den Trojaner wieder hergestellt
3. Aol privacy deaktiviert
4. Neu gestartet
5. den Prozess Explorer laufen lassen.

folgende Feststellungen konnte ich machen:

Der Trojaner verbirgt sich in Systemdateien
- im folgenden um a) wmiprvse.exe (wurde deaktiviert beim Sperren des Trojaners
- b) und in einem Windowsupdateprozess (oder so ähnlich (ebenfalls gesperrt beim Sperren des Trojaners) ich war zu langsam um dies genauer zu verfolgen.

Nun bin ich nur noch am Rätseln, wie man diese Dateien "entwurmen" oder "ent-trojanern" kann.
Vermutlich wird Sabrinas Tipp schon der richtige sein, alleine bin ich etwas unbeholfen, der umfassenden Beschreibung auch in richtigen Etappen zu folgen, ohne mich dabei zu verletzten.

Ein Remove-tool wäre einfacher

#4 wenn du einverstanden bist...werfe ich mein ganzes Arsenal an Erkennungstools an die Brave Sentry - FronT

Aol privacy deaktiviert

Einleitung
stelle den CleanUp genauso ein, wie hier angegeben:
http://virus-protect.org/cleanup.html

Kopiere diese 4 Textdateien. Sie sind nach Datum geordnet. (kopiere nur die letzten 3 Monate ab)
http://virus-protect.org/datfindbat.html

Hijackthi S
http://computercops.biz/zx/Merijn/hijackthis.zip
http://virus-protect.org/hjtkurz.html
Lade/entpacke HijackThis in einem Ordner
--> None of the above just start the program --> Save--> Savelog -->es öffnet sich der Editor
nun das KOMPLETTE Log mit rechtem Mausklick abkopieren und ins Forum mit rechtem Mausklick "einfügen"
__________
MfG Sabina

rund um die PC-Sicherheit

#5 http://www.neuber.com/taskmanager/process/wmiprvse.exe.html

Zitat

Note: The wmiprvse.exe file is located in the C:\WINDOWS\System32\Wbem folder. In other cases, wmiprvse.exe is a virus, spyware, trojan or worm! Check this with Security Task Manager.

So, bei mir ist der noch einem anderem Ordner.Den lösch ich wie oben angeben ? Oder einfach in gesicherten Modus starten und Datei im falschem Ordner löschen ?

Das bleibt wohl : wmiprvse.exe–Prefetch ?

Gruss

V.

#6

Zitat

Wmiprvse.exe

* Kontext: NETZWERKDIENST, kann nicht mit dem Task-Manager beendet werden.
* Wmiprvse.exe behandelt WMI (Windows Management Infrastructure) Operationen

ich wuerde nichts einfach so loeschen...ohne zu ueberpruefen:
Einzelne Dateien scannen
Oben auf der Seite --> auf Durchsuchen klicken --> Datei aussuchen --> Doppelklick auf die zu prüfende Datei --> klick auf Submit... jetzt abwarten
http://www.virustotal.com/flash/index_en.html

----------------------------------------------------------------

die Dateien in Prefetch kann/soll man von Zeit zu Zeit loeschen.
Geht auch mit Cleanup
http://virus-protect.org/cleanup.html
__________
MfG Sabina

rund um die PC-Sicherheit

#7 Hier hab ich nun mal ein Logfile von mir - ob das was hilft ??

Logfile of HijackThis v1.99.1
Scan saved at 15:59:29, on 29.03.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLAcsd.exe
C:\Programme\G DATA AntiVirenKit präsentiert von AOL\AVKService.exe
C:\Programme\G DATA AntiVirenKit präsentiert von AOL\AVKWCtl.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Microsoft IntelliType Pro\type32.exe
C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
C:\Programme\Gemeinsame Dateien\Logitech\QCDriver3\LVCOMS.EXE
C:\Programme\Logitech\ImageStudio\LogiTray.exe
C:\Programme\Microsoft IntelliPoint\point32.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\fpdisp5a.exe
C:\WINDOWS\system32\RunDll32.exe
C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLDial.exe
C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
C:\Programme\QuickTime\qttask.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Gemeinsame Dateien\AOL\1134572958\ee\AOLHostManager.exe
C:\Programme\Adobe\Acrobat 5.0\Distillr\AcroTray.exe
C:\Programme\PC-TV\WinManager\WinManager.exe
C:\Programme\Gemeinsame Dateien\AOL\1134572958\ee\AOLServiceHost.exe
c:\programme\gemeinsame dateien\aol\1134572958\ee\services\antiSpywareApp\ver2_0_13\AOLSP Scheduler.exe
C:\Dokumente und Einstellungen\All Users\Dokumente\AOL Downloads\ProcessExplorerNt\procexp.exe
C:\Programme\AOL 9.0\waol.exe
C:\Programme\AOL 9.0\shellmon.exe
C:\Programme\Gemeinsame Dateien\Aol\aoltpspd.exe
C:\Programme\Gemeinsame Dateien\AOL\1134572958\ee\AOLServiceHost.exe
F:\Window Systemtools\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.t-online.de/
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://red.clientapps.yahoo.com/customize/ycomp_wave/defaults/su/*http://www.yahoo.com
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://windowsupdate.microsoft.com/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Acrobat\ActiveX\AcroIEHelper.ocx
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll
O4 - HKLM\..\Run: [VOBRegCheck] C:\WINDOWS\System32\VOBREGCheck.exe -CheckReg
O4 - HKLM\..\Run: [type32] "C:\Programme\Microsoft IntelliType Pro\type32.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [LVCOMS] C:\Programme\Gemeinsame Dateien\Logitech\QCDriver3\LVCOMS.EXE
O4 - HKLM\..\Run: [LogitechImageStudioTray] C:\Programme\Logitech\ImageStudio\LogiTray.exe
O4 - HKLM\..\Run: [LogitechGalleryRepair] C:\Programme\Logitech\ImageStudio\ISStart.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [IntelliPoint] "C:\Programme\Microsoft IntelliPoint\point32.exe"
O4 - HKLM\..\Run: [HostManager] C:\Programme\Gemeinsame Dateien\AOL\1134572958\ee\AOLHostManager.exe
O4 - HKLM\..\Run: [FinePrint Dispatcher v5] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\fpdisp5a.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [AOLDialer] C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLDial.exe
O4 - HKLM\..\Run: [Zone Labs Client] C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: Acrobat Assistant.lnk = C:\Programme\Adobe\Acrobat 5.0\Distillr\AcroTray.exe
O4 - Global Startup: WinManager.lnk = C:\Programme\PC-TV\WinManager\WinManager.exe
O8 - Extra context menu item: &AOL Toolbar-Suche - res://C:\Programme\AOL Toolbar\toolbar.dll/SEARCH.HTML
O8 - Extra context menu item: &Google-Suche - res://c:\programme\google\GoogleToolbar1.dll/cmsearch.html
O8 - Extra context menu item: &Ins Deutsche übersetzen - res://c:\programme\google\GoogleToolbar1.dll/cmwordtrans.html
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://c:\programme\google\GoogleToolbar1.dll/cmcache.html
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Verweisseiten - res://c:\programme\google\GoogleToolbar1.dll/cmbacklinks.html
O8 - Extra context menu item: Ähnliche Seiten - res://c:\programme\google\GoogleToolbar1.dll/cmsimilar.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: AIM - {AC9E2541-2814-11d5-BC6D-00B0D0A1DE45} - C:\Programme\AIM95\aim.exe
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O12 - Plugin for .spop: C:\Programme\Internet Explorer\Plugins\NPDocBox.dll
O17 - HKLM\System\CCS\Services\Tcpip\..\{4AB0430E-644A-4D5F-A179-2A1CC20321BC}: NameServer = 205.188.146.145
O18 - Protocol: bw+0 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bw+0s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bw-0 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bw-0s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bw00 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bw00s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bw10 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bw10s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bw20 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bw20s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bw30 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bw30s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bw40 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bw40s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bw50 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bw50s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bw60 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bw60s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bw70 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bw70s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bw80 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bw80s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bw90 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bw90s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwa0 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwa0s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwb0 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwb0s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwc0 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwc0s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwd0 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwd0s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwe0 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwe0s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwf0 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwf0s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwfile-8876480 - {9462A756-7B47-47BC-8C80-C34B9B80B32B} - (no file)
O18 - Protocol: bwg0 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwg0s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwh0 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwh0s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwi0 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwi0s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwj0 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwj0s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwk0 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwk0s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwl0 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwl0s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwm0 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwm0s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwn0 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwn0s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwo0 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwo0s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwp0 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwp0s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwq0 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwq0s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwr0 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwr0s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bws0 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bws0s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwt0 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwt0s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwu0 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwu0s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwv0 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwv0s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bww0 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bww0s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwx0 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwx0s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwy0 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwy0s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwz0 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwz0s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: offline-8876480 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O23 - Service: AOL Connectivity Service (AOL ACS) - America Online, Inc. - C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLAcsd.exe
O23 - Service: AVK Service (AVKService) - Unknown owner - C:\Programme\G DATA AntiVirenKit präsentiert von AOL\AVKService.exe
O23 - Service: G DATA AntiVirenKit Wächter (AVKWCtl) - Unknown owner - C:\Programme\G DATA AntiVirenKit präsentiert von AOL\AVKWCtl.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - Unknown owner - C:\Programme\TuneUp Utilities 2004\WinStylerThemeSvc.exe (file missing)
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

#8 HerrFix

stelle den Cleaner genauso ein, wie hier angegeben:
http://virus-protect.org/cleanup.html

öffne das HijackThis -- Button "scan" -- vor die Einträge Häkchen setzen -- Button "Fix checked" -- PC neustarten

O18 - Protocol: bw+0 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bw+0s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bw-0 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bw-0s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bw00 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bw00s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bw10 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bw10s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bw20 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bw20s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bw30 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bw30s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bw40 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bw40s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bw50 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bw50s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bw60 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bw60s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bw70 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bw70s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bw80 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bw80s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bw90 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bw90s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwa0 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwa0s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwb0 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwb0s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwc0 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwc0s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwd0 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwd0s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwe0 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwe0s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwf0 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwf0s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwfile-8876480 - {9462A756-7B47-47BC-8C80-C34B9B80B32B} - (no file)
O18 - Protocol: bwg0 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwg0s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwh0 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwh0s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwi0 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwi0s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwj0 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwj0s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwk0 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwk0s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwl0 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwl0s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwm0 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwm0s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwn0 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwn0s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwo0 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwo0s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwp0 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwp0s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwq0 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwq0s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwr0 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwr0s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bws0 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bws0s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwt0 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwt0s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwu0 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwu0s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwv0 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwv0s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bww0 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bww0s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwx0 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwx0s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwy0 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwy0s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwz0 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: bwz0s - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)
O18 - Protocol: offline-8876480 - {5A94BA6A-6E56-43BF-98F0-F22C08179BAB} - (no file)

PC neustarten

Lade Windefender, scanne und poste hier den scanreport
http://virus-protect.org/ms.html
__________
MfG Sabina

rund um die PC-Sicherheit

#9 So langsam werde ich wahnsinnig :-(( Ich habe einfach mal die Systemwiederherstellung laufen lassen.Ab dem 15.03.06 , da war noch keine Erkennung durch AOL.Und trotzdem findet der nun was ? Ich weiß aber ganz genau das das Problem erst an dem darauffolgenden Wochende auftrat.Dabei ist mir aufgefallen das das letzte Update bzw. das letzte DAT File von AOL Protection auf den 16.03.06 geht ! Ob da ein Zusammenhang besteht ?

ich habe die Wmiprvse.exe meines rechners gescannt, sie gibt es im System32 Ordner zweimal, einmal in wbem und im dllcache.
Der dllcache Ordner dient wohl dazu einzelne Dateien zu cachen, im abgesicherten Modus ist er nicht zu sehen.
Aber zurück zum Scan , alles sauber

Zitat

Einzelne Dateien scannen
Oben auf der Seite --> auf Durchsuchen klicken --> Datei aussuchen --> Doppelklick auf die zu prüfende Datei --> klick auf Submit... jetzt abwarten
http://www.virustotal.com/flash/index_en.html

Irgendwie drehe ich mich im Kreise ?

V.

#10 Hier der log mit Windows Defender
ich beiss mich, wenn das Aol Privacy Protection selbst ist ...

Description:
This program has potentially unwanted behavior.
Advice:
Allo this detected item only if you trust the program or the software publisher.

Resources:
driver:
ATWPKT2
file:
C:\Programme\Gemeinsame Dateien\AOL\ATWPKT2.SYS
category:
Not Yet Classified

#11 nun, es wird nur als unbekannt eingestuft ...MS weiss wahrscheinlich nicht, dass es einen AOL-Treiber gibt

wie schaut es aus ? Immer noch BraveSentry an Bord ?
__________
MfG Sabina

rund um die PC-Sicherheit

#12 ja - er ist da, er hat mich eben lieb gewonnen ... gg

- gerade eben dreimal hintereinander - obwohl, ich startete mehrmals den PC.

- Mein nächster Job wird Tester von Virenscannern - ich hab so ungefähr alle an Bord die es gibt, aber leider findet keiner was.

Ich stürz mich von der Teppichkante - Sabina - fang mich auf

#13 nein, nein, nicht von der Teppichkante stuerzen...das waere gefaehrlich

Kopiere diese 4 Textdateien. Sie sind nach Datum geordnet. (kopiere nur die letzten 3 Monate ab)
http://virus-protect.org/datfindbat.html
__________
MfG Sabina

rund um die PC-Sicherheit

#14 Habe auch dieses BraveSentry gemeldet bekommen, mein Scan war auch unverdächtig (siehe gesonderten Thread), Virenscanner fand nichts, ein paar Tage war Ruhe, dann kam es plötzlich wieder. Scan ergab gleiches Ergebnis wie beim letzten Mal, hatte nach dem Sperren wieder Ruhe, PC war das ganze Wochenende aus, am Montag kurz nach dem Einschalten meldete AOL wieder, dass BraveSentry gefunden und gesperrt wurde.

Jetzt hab ich mal was ausprobiert: normalerweise ist Windows XP bei mir so eingestellt, dass ich die Updates automatisch bekomme. Bin auf die Microsoft HP und habe manuell nach Updates gesucht. Komischerweise hat MS nun gemeckert und erst noch ein paar Tools heruntergeladen (unter anderem das Windows Genuine Advantage-Gültigkeitsprüfungstool (KB892130)), dann wurde weiter nach neuen Updates gesucht und XP zeigte an, dass Updates heruntergeladen wurden.
Kann es sein, dass BraveSentry in die automatische Update-Funktion eingreift bzw. bereits installierte Updates wieder löscht? Ich verstehe ja nicht viel davon, aber irgendwie kam mir das eben schon komisch vor.

#15 natuerlich gibt es Viren, welche durch Aenderungen in der Registry Firewall, Antivirentools deaktivieren und auch die WindowsUpdates verhindern...(man kann sang und klanglos keine mehr laden)
Aber dazu muss die Malware aktiv auf dem PC vorhanden sein.
__________
MfG Sabina

rund um die PC-Sicherheit