</font><blockquote>Zitat:</font><hr />Original erstellt von janerik:
Es kann sein,dass sie bei Win 2000/XP einen anderen Dateinamen hat.</font>[/QUOTE]Jo, da heißt sie pagefile.sys.

Ich hatte auch schon mal so etwas und ich glaube auch dass es resistente Viren gibt. Eventuell Master Boot Sektor Virus oder BIOS Virus.

Bios mal neu flashen, könnte sein, dass das Ding sich aus dem Bios bei jeder Neuformattierung ins System frißt.

[ 15. M&auml;rz 2003, 16:50: Beitrag editiert von: MAGICMASTER2003 ]

soso, magicmaster, es gibt also low-level formatierungs resistente viren und trojaner, sehr interessant , dann nenn mir doch mal einen...

..hätte mich auch gewundert wenn du das problem nicht auch schonmal gehabt hättest... [img]graemlins/teufel3.gif[/img]

</font><blockquote>Zitat:</font><hr />Original erstellt von MAGICMASTER2003:

Bios mal neu flashen, könnte sein, dass das Ding sich aus dem Bios bei jeder Neuformattierung ins System frißt.</font>[/QUOTE]öhh da gibts aber keinen der das macht. Bzw. weiß garnicht ob das geht. Der CIH hat das Bios "überschrieben" aber sich nicht da "reingeschrieben".... Ist hoffentlich verständlich, was ich sagen will.

</font><blockquote>Zitat:</font><hr />Original erstellt von Lucky:
</font><blockquote>Zitat:</font><hr />Original erstellt von MAGICMASTER2003:

Bios mal neu flashen, könnte sein, dass das Ding sich aus dem Bios bei jeder Neuformattierung ins System frißt.</font>[/QUOTE]öhh da gibts aber keinen der das macht. Bzw. weiß garnicht ob das geht. Der CIH hat das Bios "überschrieben" aber sich nicht da "reingeschrieben".... Ist hoffentlich verständlich, was ich sagen will.</font>[/QUOTE]Nein!


Viele Grüße

Bilbo

Also,ich hab noch einmal einen Tip für Kato:

In der Ct 24/2002 steht auf Seite 203 ,wie man Dateien auf Veränderungen überwachen kann,und feststellen kann,von welchem Programm diese Veränderungen kommen.

Das Tool heißt File-Mon und ist bei Sysinternals zu finden (www.sysinternals.com ,glaub ich)

Wenn du deine immer größer werdene "aaaaaa...-Datei" also damit überwachst,könntest du feststellen,von welchem Programm/Prozess diese aaas kommen...

Kann es vieleicht an falschen Einstellungen im BIOS liegen, das du diese Probleme hast...?

</font><blockquote>Zitat:</font><hr />Original erstellt von Cassandra:
@Kato:

Dann wäre es vielleicht mal ganz interessant, wenn Du den Scanbericht hier posten würdest....

Gruß,
Cassandra </font>[/QUOTE]****

Hallo,

</font><blockquote>Zitat:</font><hr />Original erstellt von Cassandra:
@Kato:

Dann wäre es vielleicht mal ganz interessant, wenn Du den Scanbericht hier posten würdest....

Gruß,
Cassandra </font>[/QUOTE]******

Hallo,

Nachfolgend die wesentlichsten Daten des KAV-Scanners (Windows 98 SE) von heute:

&lt;200.10c00.10101.2.103&gt;
OK Warnung Verdacht Infiziert &lt;200.904.1204.1304.404&gt;
Desinfiziert Gelöscht Umbenannt Wird nach dem Neustart gelöscht &lt;299.b04.d04.c04.1b04&gt;
Wird nach dem Neustart umbenannt Desinfektion erfolglos komprimiert Archiv &lt;200.1a04.a04.1004.1104&gt; Verschlüsselt Beschädigt Unbekanntes Format Durch Passwort geschützt &lt;200.f04.704.1404.804&gt; Durch einen anderen Prozess blockiert Lesezugriff verweigert
Zu wenig Platz auf der Festplatte E/A-Fehler
&lt;200.304.504.604.404&gt;
Kernel-Fehler Interface-Fehler &lt;200.204.104&gt;
Objekt Ergebnis Beschreibung &lt;100.3c00000c.f000018.19000010&gt;

Es folgen die gescannten Dateien mit dem Zusatz 'Archiv' oder 'Beschädigt', zum Schluß eine Zusammenfassung des Scans:

Gescannt:
Sektoren: 0
Dateien : 6435
Gefunden:
Archive : 175
komprimierte Dateien: 23
Virus-Körper: 0
Desinfiziert von Virus: 0
Gelöscht: 0
Ähnlichkeit mit Virusvariante: 0
Verdacht auf Virustyp: 0
Infizierte Objekte: 7
Fehler: 3
Dateien werden durch einen anderen Prozeß blockiert.

Der KAV-Scanner ist eine 'Lite'-Version, also sind sicher einige Sachen eingeschränkt. Merkwürdig finde ich trotzdem, daß ich die Scaneinstellungen nicht auf alle Dateien ausdehnen
kann. In Protokoll-Datei der Scaneinstellungen werden Archive als 'nicht zu scannen' protokolliert und ich finde nirgends eine Einstellmöglichkeit am Scanner selber, um dies zu ändern.

1. Fehler : C:\Windows\Windows\Win386.swp E/A-Fehler

2.+3.Fehler: Laufwerk D:\ und E:\ (DVD-Rom/CD-RW)-
laufwerke: Lesezugriff verweigert. Der durchgeführte Scan einer Diskette in Lw A: wird gar nicht protokolliert.

Die als beschädigt protokollierten Dateien bestehen zusätzlich auch immer mit einer unbeschädigten Version, Beispiel:

C:\Programme\OpenOffice.org1.0\program\classes\db.jar Archiv &lt;ce0000.0.11&gt;

Es besteht dann noch ein identischer Pfadeintrag
in der KAV-Logdatei darunter, anstelle von 'Archiv' findet sich dann der Vermerk 'Beschädigt' und der nachfolgende Binärcode &lt;d00000.0.7&gt;. D.h. für jede beschädigte
Datei gibt es immer auch eine Originaldatei mit gleichem Namen und Pfad.

Unter Win Xp Pro habe ich das im Detail noch nicht untersucht, aber es werden auch dort bis zu 28 infizierte Objekte angezeigt, wobei ich nicht weiß was unter 'Objekt' zu verstehen ist.


Gruß

Kato

</font><blockquote>Zitat:</font><hr />Original erstellt von Dr Prantl:
</font><blockquote>Zitat:</font><hr />Original erstellt von Kato:
Ein von mir beauftragter Fachmann hatte auf einem (HP) meiner drei Rechner festgestellt, daß ein Teil der Festplatte per Software abgetrennt war (gestacked / gestackert ?).</font>[/QUOTE]Schau mal in der Datenträgerverwaltung von XP nach, ob du am Anfang der Festplatte eine "EISA-Konfiguration" oder "HP-HIPA" genannte Partition findest. Benutzt du eine oder 2 Windows-CDs von Hewlett-Packard zum installieren? Hast du eine spezielle BIOS-Version, resp. meldet sich dein BIOS mit einem ungewöhnlichen Bild ("HP Invent")? Hat es dir schon mal eine Meldung wie "HP e-Diag Tools missing" oder ähnlich präsentiert?

docprantl </font>[/QUOTE]*******

Hallo,

Vielen Dank für deine Nachricht.

Der Rechner meldet sich mit einem 'HP Invent' Bildschirm direkt nach dem Einschalten des Rechners. Es gab wohl auch eine Service-Partion auf der Festplatte zum 'Retten' der Daten, die ich aber im Laufe diverser Festplattenformatierungen gelöscht habe. Die Installation des Betriebssystems WinME erfolgte von einer HP-CD (OEM).

Ich habe darüber nachgedacht, ob diese Partition vielleicht durch zusätzliche Hardware derart verankert ist, daß ich die Partition gar nicht beseitigen kann, ich weiß nicht ob so etwas möglich oder üblich ist bei Distributionen von Computerfirmen.Die Anzeige 'HP e-Diag Tools missing' habe ich zu keiner Zeit gesehen.

Mittlerweile habe ich allerdings eine nagelneue Festplatte eingebaut. Der 'HP-Invent'-Bildschirm war eine gewisse Zeit bevor ich die Original-Festplatte zum Säubern an die Fa. Ontrack geschickt hatte verschwunden. Das BIOS wird als
Award 6.0 PG oder ähnlich bezeichnet (aus dem Gedächtnis) und ich habe es zwischenzeitlich vor etwa 3 Monaten durch einen Fachmann aktualisieren lassen. Nach dem Einbau der neuen Festplatte ist nun auch das 'HP-Invent'-Logo wieder da.

Nach der 'HP-HIPA' bzw. 'EISA-Konfiguration' werde ich noch mal schauen,aus dem Gedächtnis heraus habe ich dies dort nicht bemerkt.

Gruß

Kato

</font><blockquote>Zitat:</font><hr />Original erstellt von vampire:
</font><blockquote>Zitat:</font><hr />Original erstellt von Kato:
Und als letztes: nach Wiedereinbau dieser Festplatte und anschließendem Aufspielen von Windows XP Pro (Original Kauf-CD) ohne sonstige Software und andere (Netzwerk)-verbindungen zeigte ein erster Suchlauf mit Windows diese Datei
(knapp 2 GByte) an, später war sie für lange zeit nicht wieder auffindbar
</font>[/QUOTE]genau solche schilderungen irritieren doch sehr stark... musst du zugeben.
2 gigabyte grosse dateien verschwinden nicht einfach nach lust und laune...!!!

ich kann mir vorstellen, daß bei der installation von WinXP einer beliebigen .tmp datei ein bit geknickt wird und sie nun ihr eigenleben führt.
sie wächst, indem sie aaa's auf die platte schreibt, zu gigabyte grösse an.
mit viel fantasie und gutem willen will ich auch noch akzeptieren, daß die installation trotzdem erfolgreich verläuft und du diese datei nun findest.
das ist schon sehr heftig, aber ok, mit gutem willen...!!
was ich nicht mehr akzeptieren kann ist, daß die datei sich nun wieder verflüchtigt um dann wochen später wieder aufzutauchen.
das ganze selbstverständlich ohne den alltagsbetrieb deines rechners/netzes zu stören...
eine vernünftige, mit den üblichen methoden herzustellende lösung deines problems sehe ich nicht.
irgendein physikalisches phänomen elkromagnetischer natur, wie von cyber fred angesprochen...( es gab tatsächlich fälle von radiosendern die in einer amalgan zahnfüllung empfangen wurden... kein witz)...liegt da schon näher.
trotzdem, mir scheint das ein fall für nen wünschelrutengänger oder mulder und scully zu sein,
nicht böse sein,

gruss, vampire

ps:der scanbericht vom KAV würde mich auch interessieren, auch wenn der win98se stammt... [/QB]</font>[/QUOTE]****

Hallo,

Danke für Deine Nachricht.

Ich beschreibe hier das, was ich auch festgestellt habe. Wie das zu erklären ist, versuche ich heraus zu finden. Ich bin auch sicher, daß es dafür eine nachvollziehbare Erklärung gibt.

Deinem Gedankenansatz nach kannst Du nicht akzeptieren, daß die Datei sich 'verflüchtigt'.Ich kann dem nur entgegenhalten, daß ich es so erlebt habe. Indem Du es nicht akzeptieren kannst, ist es Dir mit dieser Methode auch nicht möglich, daß Problem (z.B. im Ausschlußverfahren) zu lösen.

Ich glaube schon an eine Lösung. Aber die wird
nichts mit irgendwelchen paranormalen
Dingen zu tun haben.

Wenn man Dinge nach und nach ausschließen
kann, kommt man irgendwann auch zu einem Ergebnis.

Gruß

Kato

</font><blockquote>Zitat:</font><hr />Original erstellt von janerik:
Wie wärs, wenn du mal deine komplette Platte mit Nullen überschreiben würdest?

Mit Linux und dem Befehl dd geht das.
Hierzu musst du deinen PC mit z.B. der Knoppix-CD starten.

Dann in der Shell folgendes eingeben:

dd if=/dev/zero of=/dev/hda bs=65536

hda musst du entsprechend dein Festplattenkonfiguration anpassen:hda ist der Master am 1.IDE-Kanal,hdb Slave am 1.IDE-Kanal,hdc Master am 2.IDE-Kanal und hdd Slave am 2.IDE-Kanal.

Wenn du SCSI-Laufwerke hast,musst du das h durch ein s ersetzen (also sda,sdb...)

ACHTUNG: Es gibt keine Sicherheitsrückfrage!!!!
Das Programm gibt während seiner Arbeit auch keinerlei Statusmeldungen aus. Außerdem dauert es recht lange (2Std.)

Nachher ist deine Platte nur eins: leer.

In der Ct wurden Methoden zum sicherem Löschen von Dateien getetestet. Nach dem o.b. Befehl konnten auch professionelle Datenrettungslabore wie Ontrack und Vogon die Testdateien nicht wiederherstellen. Wenn also der Virus/Trojaner von der Festplatte kommt,ist er hinterher weg (was er nach einer Low-Level-Formatierung auch sein sollte.) </font>[/QUOTE]******

Hallo,

Danke für Deinen Beitrag.

Inzwischen bin ich für mich zu dem Schluß gekommen, daß das ganze Problem weniger durch eine Viren-Infektion bestimmt wird. Wenn Viren vorhanden sind, dienen diese vielleicht nur einem bestimmten Zweck, vielleicht Daten abzuschöpfen o.ä.Das eigentliche Problem scheint mir nicht auf der Festplatte zu liegen.

Wenn ich eine neue Festplatte einbaue, und sich 'schädlicher Code' auf dieser Platte ausbreitet, und ich eine Infektion durch andere Wechselmedien oder (Netzwerk-)Verbindungen zum Rechner ausschließen kann, indem keine installiert worden sind bzw. fehlen, welche Möglichkeiten der Infektion bleiben dann ?

1. Das BIOS ?
2. andere Hardware oder emulierte Hardware
z.B. ein 2. Diskettenlaufwerk, welches den Virenscanner abblockt, und worin sich vielleicht schädlicher Code befindet ?

Folge ich dieser Überlegung, hilft auch jede Formatierung / Säuberung der Festplatte nicht, da
der schädliche Code sich demnach ja woanders befinden müßte.Ob das richtig sein kann wird sich noch zeigen.

Ich habe am vergangenen Wochenende SuSe Linux 8.1 und die Probierversion des 'Acronis Disk Editor Deluxe' installiert.

Der Festplatten Editierer zeigte mit anschließend
unter 'Windows 98SE' folgendes an:

eine Olivetti Service Partition 0AAh
AIX Boot 08h
'unknown' 0B2h
Linux Swap, Solaris 082h
Linux Native /DR-DOS 043h
NTFS/HPFS 07h
'unknown' 0F6h

Die Binärzeichen entsprechen den offiziellen Partitions-IDs.

Gibt es eine Erklärung für eine Olivetti-Service Partition in diesem Zusammenhang ? Die letzten 3 Partitionen waren als unzugeordneter Speicherplatz angezeigt. Die Namen der Partitionen sind durch Sonderzeichen (anderer Zeichensatz?) belegt, die mit der normalen Tastatur nicht darstellbar sind. Einige Cluster der Festplatte besitzen Schreibschutz bzw. 'versteckt'-Attribute.

Unter SuSe Linux Einstellungen/ Information/Available Hardware werden mir Einträge unter '? Unbekannt' angezeigt, unter anderem auch ein nicht näher spezifiziertes BIOS.

Aber das mag ja erklärlich sein, vielleicht kannst Du oder jemand anderes dazu etwas sagen.

Trotzdem danke für Deinen Hinweis, werde ich bei Gelegenheit auf jeden Fall ausprobieren.

Gruß

Kato

Hallo Kato

Ganz zu anfang hattest du geschrieben das es alle deine PCs betrifft jedoch das du bei einigen auch nach der neuinstallatin das Problem hättest nun lag mir die vermutung nahe das die PCs miteinander Irgendwie verknüpft sind sei es durch einen Switch oder Router wohlmöglich auch noch wireless nur mal angenommen das irgeneines dieser geräte seine auslagerungsdateien bzw protocolle nicht an die richtige adresse sendet wo sie hingehören wäre ja auch ne möglichkeit allerdings müsste ich dafür ersteinmal erfahren ob solche geräte bei dir im einsatz sind und vor allem um welche es sich handelt es ist shon mal bei allnet switches vorgekommen das sie verschiedene protocolle falsch adressiert hatten und sich dadurch auf einen meiner kunden PCs eine auslagerungsdatei gefunden hat die in etwa der grööse von 2 GB entsprach

Mfg AUGUST

</font><blockquote>Zitat:</font><hr />Original erstellt von MAGICMASTER2003:
Ich hatte auch schon mal so etwas und ich glaube auch dass es resistente Viren gibt. Eventuell Master Boot Sektor Virus oder BIOS Virus.

Bios mal neu flashen, könnte sein, dass das Ding sich aus dem Bios bei jeder Neuformattierung ins System frißt. </font>[/QUOTE]******

Hallo,

Danke für Deine Meinung.

Das BIOS hatte ich schon einmal durch einen Fachmann 'erneuern' lassen.

Vielleicht ist Deine Vermutung aber gar nicht so weit vom Problem entfernt, auch wenn mir die Zusammenhänge überhaupt nicht klar sind.

Auffällig beim Scan mit verschiedenen Virenscannern in der Vergangenheit erschien mir,
daß MBR und die Bootsektoren in der Logdatei immer
mit '0' (als nicht gescannt) angezeigt wurden. Dies ist wohl auch so in dem gestern von mir geschickten 'KAV-Lite'-Report.

Der MBR hätte meiner Kenntnis nach allerdings spätestens auch bei der Säuberung der Festplatte durch 'Ontrack' mit zerstört werden müssen.

Wenn es nun aber ein zweites BIOS auf dem Rechner
gäbe (als 'Gerät', wie gestern von mir aufgegeben ?), sieht die Sache vielleicht anders aus. Mir ist zwar bekannt, daß es 'Dual-Bios'-Rechner auf dem Markt gibt, meine gehören aber von der Konstruktion her nicht dazu.

Ich weiß auch nicht, ob das technisch möglich wäre
ein zweites BIOS auf einem nicht dafür vorgesehenen Rechner zu installieren. Solch eine Aktion wäre vielleicht auch nur sinnvoll in Kombination mit anderem verstecktem Code, der vom BIOS angesprochen wird ?

Auf einem meiner Rechner habe ich zum Zeitpunkt der letzten Interneteinwahl (vor etwa einem Jahr) folgendes festgestellt:

Am Tag nach dem Internetausflug fing der Bildschirm einige Minuten nach dem Starten von
Windows 2000 in rosafarbenem bis violettem Licht an zu flackern, was nach einigen Minuten dann aufhörte.

Meines Wissens könnte ein Virus wie CIH hierfür
verantwortlich sein, ich habe anschließend auch einen Virenscan durchgeführt, allerdings ohne Ergebnis.

Daß alleine scheint mir aber das Gesamtproblem auch nicht auszumachen.Wie wäre es z.B. zu erklären, daß sich ohne meine Veranlassung das Microsoft-Produkt 'Plus!'im Startmenü findet (allerdings schon ein halbes Jahr her, nicht wieder aufgetaucht seitdem). Meines Wissens ist dies ein kostenpflichtiges Zusatzprodukt was dem
Windows Betriebssystem nicht kostenlos beigefügt ist, aber vielleicht täusche ich mich hier, Kommentare gerne erbeten.

Gruß

Kato

</font><blockquote>Zitat:</font><hr />Original erstellt von janerik:
Also,ich hab noch einmal einen Tip für Kato:

In der Ct 24/2002 steht auf Seite 203 ,wie man Dateien auf Veränderungen überwachen kann,und feststellen kann,von welchem Programm diese Veränderungen kommen.

Das Tool heißt File-Mon und ist bei Sysinternals zu finden (www.sysinternals.com ,glaub ich)

Wenn du deine immer größer werdene "aaaaaa...-Datei" also damit überwachst,könntest du feststellen,von welchem Programm/Prozess diese aaas kommen... </font>[/QUOTE]*******

Hallo,

danke für Deinen Tip, das ist noch mal eine Maßnahme. Ich glaube, ich besitze dieses
Werkzeug sogar.

Ich werde in den nächsten Tagen mal versuchen, ob ich damit klar komme.

Gruß

Kato

Was issn das fürn Mainboard gewesen ?


Domino