Home » Viren, Trojaner & Malware Forum » Zwei lästige Fehlermeldungen scstubinstaller/RUNDLL » Themenansicht
Zwei lästige Fehlermeldungen scstubinstaller/RUNDLL |
||
|---|---|---|
| #0
| ||
|
31.08.2010, 17:45
Member
Beiträge: 24 |
||
 
|
|
|
|
31.08.2010, 19:33
Member
 Beiträge: 4730 |
#2
Für mich sieht das fast nach einer Vireninfektion aus, aber ich bin mir nicht sicher. Es könnte auch eine harmlose, fehlgeschlagene Installation sein.
Du hast Avira AntiVir, Bitdefender und McAfee Security Scan installiert. Deinstalliere McAfee und Bitdefender. Deaktiviere weiterhin den Spybot S&D TeaTimer. Arbeite dies ab: http://board.protecus.de/t40182.htm Weiterhin empfehle ich noch einen Quick-Scan mit Malwarebytes AntiMalware durchzuführen, falls es Infektionen findet, diese entfernen zu lassen und das entsprechende Logfile hier posten. __________ Dies ist eine Signatur! Persönlicher Service: Du kommst aus Berlin? Dann melde Dich per PN bei mir, evtl. können wir einen Termin vereinbaren. Der Grabsteinschubser |
|
|
|
|
|
|
31.08.2010, 19:41
Member
Beiträge: 4730 |
#3
Nachtrag: ich bin mir ziemlich sicher, dass es sich um fehlerhafte Installationen handelt. Bitte versuche nicht, jeden Mist zu installieren, der Dir von anderen Programmen empfohlen wird.
Fehler 1 ist dadurch entstanden, dass Du bereitwillig beim Installieren von DivX noch diesen Mist von Norton mitinstallieren wolltest, obwohl Du bereits mehr als genug Virenscanner installiert hast (ein Virenscanner ist das Maximum, was man installiert haben sollte!). Vermutlich hilft hier nur ein Deinstallieren von DivX und eine anschließende Neuinstallation. Fehler 2 ist vermutlich eine fehlgeschlagene Installation von Adobe AIR (jedenfalls verweist Google mich darauf), bin aber bei der Suche auch auf etliche Meldungen bzgl. Trojanern gestoßen. Deshalb führe auf jeden Fall meine vorgeschlagenen Schritte durch. Dass das Entfernen der Einträge nicht funktioniert, liegt vermutlich daran, dass der TeaTimer aktiviert ist. __________ Dies ist eine Signatur! Persönlicher Service: Du kommst aus Berlin? Dann melde Dich per PN bei mir, evtl. können wir einen Termin vereinbaren. Der Grabsteinschubser |
|
|
|
|
|
|
31.08.2010, 21:11
Member
Themenstarter Beiträge: 24 |
#4
Danke schon mal, dass du so schnell reagiert hast.
Habe Bitdefender und MacAfee deinstalliert und den TeaTimer deaktiviert. Habe dann erstmal den OTL scannen lassen, hier das Ergebnis: OTL Log: Zitat OTL logfile created on: 31.08.2010 20:24:12 - Run 1Extras Log: Zitat OTL Extras logfile created on: 31.08.2010 20:24:12 - Run 1Dann habe ich noch Malewarebytes scannen lassen. Log: Zitat Malwarebytes' Anti-Malware 1.46Die gmer.exe ist beim scannen abgestürzt. Schaut so aus: http://img196.imageshack.us/i/gmerfehler.jpg/ Soweit von mir erstmal. |
|
|
|
|
|
|
31.08.2010, 22:45
Member
Beiträge: 4730 |
#5
Ok, also haben wir es hier doch mit einer Vireninfektion zu tun. Insbesondere sind diese Einträge hier verdächtig:
DRV - (nowblqojm) -- C:\WINDOWS\System32\drivers\xhogidsamij.sys File not found DRV - (bxkevvxx) -- C:\WINDOWS\System32\drivers\bxkevvxx.sys File not found DRV - (ALSysIO) -- C:\DOKUME~1\*User*\LOKALE~1\Temp\ALSysIO.sys File not found [2010.08.14 14:51:24 | 000,106,496 | ---- | C] (FNY75r45) -- C:\Dokumente und Einstellungen\*User*\Anwendungsdaten\DROBD.tmp.exe Zumindest ALSysIO.sys wird als Backdoor-Trojaner referenziert, die anderen Dateien sind typisch für Vireninfektionen. Es könnte auch sein, dass Du Dir überdies noch ein Rootkit eingefangen hast. Das lässt sich aber aus den Logs nicht entnehmen. Es könnte sein, dass es notwendig ist, Dein System neu zu installieren. Mache bitte aber noch einen Scan mit Combofix und poste das Ergebnis. http://virus-protect.org/artikel/tools/combofix.html __________ Dies ist eine Signatur! Persönlicher Service: Du kommst aus Berlin? Dann melde Dich per PN bei mir, evtl. können wir einen Termin vereinbaren. Der Grabsteinschubser |
|
|
|
|
|
|
01.09.2010, 17:58
Member
Themenstarter Beiträge: 24 |
#6
Hi
Die Fehlermeldungen sind schonmal weg. Habe dann mal den Combofix scannen lassen. Zitat ComboFix 10-08-31.03 - *User* 01.09.2010 17:39:28.1.1 - x86 |
|
|
|
|
|
|
01.09.2010, 19:22
Member
Beiträge: 4730 |
#7
Dies hier sollte noch entfernt werden:
"Core Temp"="c:\dokumente und einstellungen\*User*\Desktop\downloads\CoreTemp09977\CoreTemp32\Core Temp.exe" [2010-07-31 437264] S1 bxkevvxx;bxkevvxx;\??\c:\windows\system32\drivers\bxkevvxx.sys --> c:\windows\system32\drivers\bxkevvxx.sys [?] S2 nowblqojm;nowblqojm;\??\c:\windows\system32\drivers\xhogidsamij.sys --> c:\windows\system32\drivers\xhogidsamij.sys [?] S3 ALSysIO;ALSysIO;\??\c:\dokume~1\*User*\LOKALE~1\Temp\ALSysIO.sys --> c:\dokume~1\*User*\LOKALE~1\Temp\ALSysIO.sys [?] Diese Einträge sollten alle in der Registry zu finden sein. Während der erste noch einfach zu entfernen ist, kann es bei den letzten drei problematisch sein, denn wenn man da zu viel löscht, kann Windows evtl. gar nicht mehr starten. Ich würde Dir gerne eine Anleitung dazu schreiben, aber ich weiß das nicht auswendig, was da zu machen ist - ich müsste es mir schon selbst anschauen, um die richtigen Schritte entscheiden zu können. Grundsätzlich empfehle ich aber in diesem Fall, Windows neu zu installieren. __________ Dies ist eine Signatur! Persönlicher Service: Du kommst aus Berlin? Dann melde Dich per PN bei mir, evtl. können wir einen Termin vereinbaren. Der Grabsteinschubser |
|
|
|
|
|
|
01.09.2010, 20:07
Member
Themenstarter Beiträge: 24 |
#8
Danke für deine Mühen.
Das Core Temp ist eigentlich nur ein kleines prog um die Prozessortemperatur zusehen. Hab ich gewollt geladen und glaube nicht das es schädlich ist. Zu den anderen 3 Einträgen such ich selbst nochmal, vielleicht find ich noch was hilfreiches. Auf jeden Fall Danke für deine Hilfe. |
|
|
|
|
|
|
01.09.2010, 21:52
Member
Themenstarter Beiträge: 24 |
#9
Ich hab grad nochmal nach den 3 Einträgen geschaut.
In der Registry hab ich folgenden Eintrag gefunden "HKEY_CURRENT_USER\Software\Microsoft\Search Assistant\ACMru\5603" Darin befindet sich einmal der Eintrag "001" mit dem Wert "rover.acs" und "002" mit dem Wert "bxkevvxx.sys". Zu der "rover.acs" befindet sich auch eine Datei im Windows-Ordner. Die hab ich mal bei Jotti hochgeladen, scheint aber kein Schädling zusein. Zu der "bxkevvxx.sys" konnte ich keine Datei finden. Des weiteren findet sich ein Eintrag "HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\bxkevvxx" darin befinden sich unter anderem die Einträge "Args" mit dem Wert "C:\WINDOWS\system32\drivers\bxkevvxx.sys:changelist" und "ImagePath" mit Wert "\??\C:\WINDOWS\system32\drivers\bxkevvxx.sys". Die Einträge wiederholen sich nochmal in leicht geänderter Form. (..\ControlSet003\.. und ..\CurrentControlSet\..) Zu "xhogidsamij.sys" konnte ich auch keine Datei finden. (was vermutlich schon klar war) In der Registry findet sich "HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\nowblqojm" unter anderem mit dem Eintrag "ImagePath" mit Wert "\??\C:\WINDOWS\system32\drivers\xhogidsamij.sys", das gleiche in ControlSet02, -Set03 und CurrentControlSet. Auch der dritte im Bunde scheint unter dem Pfad nicht da zu sein (ALSysIO.sys). In der Registry befindet sich der Eintrag ebenfalls bei "HKEY_CURRENT_USER\Software\Microsoft\Search Assistant\ACMru\5603" und "HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\ALSysIO" mit Wert "\??\C:\DOKUME~1\*User*\LOKALE~1\Temp\ALSysIO.sys". Ebenfalls wiederholt bei ControlSet03 und CurrentControlSet. Auch in "HKEY_USERS\S-1-5-21-507921405-963894560-682003330-1004\Software\Microsoft\Search Assistant\ACMru\5604" lassen sich "bxkevvxx.sys" und "ALSysIO.sys" finden. Kannst du damit was anfangen? Bringt es evtl. etwas die Einträge erstmal nur umzubennenen? Oder könnte da im schlimmsten Fall auch schon das System Schaden nehmen bzw. nicht mehr booten? Dann hab ich grad noch beim googeln nach der "ALSysIO.sys" was gefunden, wo es im Zusammenhang mit dem Core Temp genannt wird. Auch wenn ich glaube, das es kein schädliches Prog ist, hab ich es jetzt doch mal runtergeschmissen. Angeblich war/ist die "ALSysIO.sys" der Treiber(?) für Core Temp. Zu den anderen lässt sich irgendwie nix googlen. |
|
|
|
|
|
|
02.09.2010, 17:57
Member
Beiträge: 4730 |
#10
Ok, sieht also doch recht problemlos aus. Wenn sich die entsprechenden Einträge löschen lassen, dann kannst Du es durchaus wagen. Die Einträge beim "Search Assistant" können drin bleiben, denn das ist nur die Liste der Begriffe, nach denen Du als letztes gesucht hast
 Unter Umständen kann es sein, dass sich die Einträge unter "CurrentControlSet" nicht löschen lassen. Dies könnte dann aber wahrscheinlich mit Start -> Ausführen -> "sc delete [name]" gemacht werden. Also: sc delete ALSysIO sc delete nowblqojm sc delete bxkevvxx __________ Dies ist eine Signatur! Persönlicher Service: Du kommst aus Berlin? Dann melde Dich per PN bei mir, evtl. können wir einen Termin vereinbaren. Der Grabsteinschubser |
|
|
|
|
|
isabled:aolload.exe -- (AOL LLC)
artyGamingNet -- File not foundUm auf dieses Thema zu ANTWORTEN
bitte erst » hier kostenlos registrieren!!
bitte erst » hier kostenlos registrieren!!
Folgende Themen könnten Dich auch interessieren:
Seite(n): 1
Copyright © 2024, Protecus.de - Protecus Team - Impressum / Mediadaten
Seit geraumer Zeit tauchen bei mir zwei lästige Fehlermeldungen auf. Die erste kommt direkt nach dem Hochfahren, noch bevor die Elemente auf dem Desktop geladen werden. Diese ist aufgetreten, nachdem ich mal den Divx-Player geupdatet habe und sich damit auch ein Prog von Symantec installiert hat. Dieses hab ich aber wieder deinstalliert und seid dem kommt die Fehlermeldung.
So schaut sie aus: http://img829.imageshack.us/i/fehler1.jpg/
Die zweite Fehlermeldung kommt kurz danach, wenn sich einige Programme laden, wie z.B. AntiVir. Diese hab ich schon etwas länger.
Sie schaut so aus: http://img830.imageshack.us/i/fehler2.jpg/
Bis auf das sie bei jedem start aufpoppen, hab ich keinen negativen Effekt bemerkt.
Im HiJackThis-log tauchen Einträge dazu auf, aber lassen sich nicht entfernen. Nach jedem neuen scan sind sie wieder da. Hier mal der log:
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 16:58:44, on 31.08.2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Gemeinsame Dateien\BitDefender\BitDefender Update Service\livesrv.exe
C:\Programme\BitDefender\BitDefender 2009\vsserv.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir Desktop\sched.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Java\jre6\bin\jqs.exe
C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe
C:\Programme\Avira\AntiVir Desktop\avgnt.exe
C:\Programme\Adobe\Acrobat 8.0\Acrobat\Acrotray.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\BitDefender\BitDefender 2009\bdagent.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\Programme\DAEMON Tools\daemon.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Dokumente und Einstellungen\*User*\Desktop\downloads\CoreTemp09977\CoreTemp32\Core Temp.exe
C:\Programme\BitDefender\BitDefender 2009\seccenter.exe
C:\Programme\D-Link\DWA-131 revA\wirelesscm.exe
C:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\taskmgr.exe
D:\Mozilla Firefox\firefox.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\Run: [Acrobat Assistant 8.0] "C:\Programme\Adobe\Acrobat 8.0\Acrobat\Acrotray.exe"
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [nwiz] nwiz.exe /installquiet
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [BDAgent] "C:\Programme\BitDefender\BitDefender 2009\bdagent.exe"
O4 - HKLM\..\RunOnce: [NSSInstallation] C:\Programme\DivX\Symantec\scstubinstaller.exe /runonce
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [DAEMON Tools] "C:\Programme\DAEMON Tools\daemon.exe" -lang 1033
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Core Temp] "C:\Dokumente und Einstellungen\*User*\Desktop\downloads\CoreTemp09977\CoreTemp32\Core Temp.exe"
O4 - HKCU\..\Run: [autochk] rundll32.exe C:\DOKUME~1\*User*\protect.dll,_IWMPEvents@16
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: Wireless Connection Manager.lnk = C:\Programme\D-Link\DWA-131 revA\wirelesscm.exe
O8 - Extra context menu item: An vorhandenes PDF anfügen - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Ausgewählte Verknüpfungen in Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Ausgewählte Verknüpfungen in vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Auswahl in Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Auswahl in vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: In Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Verknüpfungsziel in Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Verknüpfungsziel in vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O9 - Extra button: ICQ7.2 - {72EFBFE4-C74F-4187-AEFD-73EA3BE968D6} - C:\Programme\ICQ7.2\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ7.2 - {72EFBFE4-C74F-4187-AEFD-73EA3BE968D6} - C:\Programme\ICQ7.2\ICQ.exe
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\WINDOWS\system32\shdocvw.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\WINDOWS\system32\shdocvw.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O20 - Winlogon Notify: cryptnet32 - cryptnet32.dll (file missing)
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe
O23 - Service: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762## (Bonjour Service) - Unknown owner - C:\Programme\Bonjour\mDNSResponder.exe (file missing)
O23 - Service: Dragon Age: Origins - Inhaltsupdater (DAUpdaterSvc) - BioWare - D:\Games\Dragon Age\bin_ship\DAUpdaterSvc.Service.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe
O23 - Service: BitDefender Desktop Update Service (LIVESRV) - BitDefender SRL - C:\Programme\Gemeinsame Dateien\BitDefender\BitDefender Update Service\livesrv.exe
O23 - Service: McAfee Security Scan Component Host Service (McComponentHostService) - McAfee, Inc. - C:\Programme\McAfee Security Scan\2.0.181\McCHSvc.exe
O23 - Service: NBService - Nero AG - C:\Programme\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: NMIndexingService - Nero AG - C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMIndexingService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: ServiceLayer - Nokia. - C:\Programme\PC Connectivity Solution\ServiceLayer.exe
O23 - Service: BitDefender Virus Shield (VSSERV) - BitDefender S. R. L. - C:\Programme\BitDefender\BitDefender 2009\vsserv.exe
O23 - Service: WLSVC - Unknown owner - C:\Programme\D-Link\DWA-131 revA\WLSVC.exe
--
End of file - 7782 bytes
Muss ich mir eventuell doch sorgen machen? Habt ihr ne Idee wie ich die Meldungen wegbekomme/abschalten kann?
Danke für eure Bemühungen