|
Plagegeister aller Art und deren Bekämpfung: %1 win32_AnwendungWindows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
28.06.2009, 00:16 | #1 |
| %1 win32_Anwendung Hallo alle zusammen. Ich weiß leider nicht wie mein Trojaner heißt, aber nach bissl googeln bin ich mir ziemlich sicher,dass es einer ist^^. Folgendes Problem: Mir wird der Zugriff auf das Verwalten der Benutzerkonten auf dem PC verweigert ( bin Admi). Jedes mal wenn ich versuche z.B. einem anderen Kontobesitzer mehr Rechte zu geben kommt folgende Meldung: "Der Zugriffssteuerungs-Editor kann nicht geöffnet werden. %1 ist keine zulässige Win32-Anwendung." Eigentlich habe ich mit Karpersky schon den Trojaner gefunden und gelöscht, jedoch tauch die Meldung immer noch auf... Und Kaspersky findet den Trojaner auch nicht mehr... Hoffe ihr könnt mir helfen Vielen Dank im voraus |
28.06.2009, 00:20 | #2 |
| %1 win32_Anwendung Hallo Trojanerdoof und
__________________Lese dir diese Anleitung durch und führe die Schritte (a,b,c und d) unter Punkt 2 aus. Erst dann kann dir jemand bei deinem Problem helfen. Poste am besten alle Logs in einer Codebox. (["code"]Hier den Text["/code"], ohne die Anführungszeichen. mfg, Kaos |
28.06.2009, 09:55 | #3 |
| %1 win32_Anwendung Ich war leider noch nciht so ganz damit vertraut gewesen, wie das heir abläuft. ALSO:
__________________Ich habe den Crap Cleaner durchgeführt. Ich habe mit Malewarebytes´ Anti-Malware, jedoch wurde nichts gefunden. Hier der Bericht: Malwarebytes' Anti-Malware 1.38 Datenbank Version: 2345 Windows 6.0.6000 28.06.2009 10:42:25 mbam-log-2009-06-28 (10-42-25).txt Scan-Methode: Vollständiger Scan (C:\|D:\|E:\|F:\|G:\|I:\|) Durchsuchte Objekte: 166149 Laufzeit: 28 minute(s), 45 second(s) Infizierte Speicherprozesse: 0 Infizierte Speichermodule: 0 Infizierte Registrierungsschlüssel: 0 Infizierte Registrierungswerte: 0 Infizierte Dateiobjekte der Registrierung: 0 Infizierte Verzeichnisse: 0 Infizierte Dateien: 0 Infizierte Speicherprozesse: (Keine bösartigen Objekte gefunden) Infizierte Speichermodule: (Keine bösartigen Objekte gefunden) Infizierte Registrierungsschlüssel: (Keine bösartigen Objekte gefunden) Infizierte Registrierungswerte: (Keine bösartigen Objekte gefunden) Infizierte Dateiobjekte der Registrierung: (Keine bösartigen Objekte gefunden) Infizierte Verzeichnisse: (Keine bösartigen Objekte gefunden) Infizierte Dateien: (Keine bösartigen Objekte gefunden) So und das ist der HijackThis Report: Logfile of Trend Micro HijackThis v2.0.2 Scan saved at 10:48:02, on 28.06.2009 Platform: Windows Vista (WinNT 6.00.1904) MSIE: Internet Explorer v7.00 (7.00.6000.16851) Boot mode: Normal Running processes: C:\Windows\system32\Dwm.exe C:\Windows\system32\taskeng.exe C:\Windows\Explorer.EXE C:\Program Files\Windows Defender\MSASCui.exe C:\Windows\System32\rundll32.exe C:\Program Files\ScanSoft\PaperPort\pptd40nt.exe C:\Program Files\Brother\Brmfcmon\BrMfcWnd.exe C:\Program Files\Brother\ControlCenter3\brccMCtl.exe C:\Program Files\iTunes\iTunesHelper.exe C:\Program Files\Java\jre6\bin\jusched.exe C:\Program Files\Windows Sidebar\sidebar.exe C:\Windows\System32\rundll32.exe C:\Windows\ehome\ehtray.exe C:\Program Files\Windows Live\Messenger\msnmsgr.exe C:\Program Files\Windows Media Player\wmpnscfg.exe C:\Windows\ehome\ehmsas.exe C:\Program Files\ICQ6.5\ICQ.exe C:\Program Files\Brother\Brmfcmon\BrMfcmon.exe C:\Windows\system32\wuauclt.exe C:\Program Files\Alice\Signup\AliceCnn.exe C:\Windows\system32\conime.exe C:\Program Files\Kaspersky Lab\Kaspersky Security Suite CBE 09\avp.exe C:\Program Files\Mozilla Firefox\firefox.exe c:\Users\XXX\Downloads\HiJackThis\HijackThis.exe R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://alice.aol.de R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://alice.aol.de R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = R3 - URLSearchHook: (no name) - - (no file) R3 - URLSearchHook: ICQToolBar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Program Files\ICQ6Toolbar\ICQToolBar.dll O1 - Hosts: ::1 localhost O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - (no file) O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll O2 - BHO: IEVkbdBHO - {59273AB4-E7D3-40F9-A1A8-6FA9CCA1862C} - C:\Program Files\Kaspersky Lab\Kaspersky Security Suite CBE 09\ievkbd.dll O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file) O2 - BHO: Search Helper - {6EBF7485-159F-4bff-A14F-B9E3AAC4465B} - C:\Program Files\Microsoft\Search Enhancement Pack\Search Helper\SEPsearchhelperie.dll O2 - BHO: Windows Live Anmelde-Hilfsprogramm - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll O2 - BHO: Windows Live Toolbar Helper - {E15A8DC0-8516-42A1-81EA-DC94EC1ACF10} - C:\Program Files\Windows Live\Toolbar\wltcore.dll O3 - Toolbar: ICQToolBar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Program Files\ICQ6Toolbar\ICQToolBar.dll O3 - Toolbar: &Windows Live Toolbar - {21FA44EF-376D-4D53-9B0F-8A89D3229068} - C:\Program Files\Windows Live\Toolbar\wltcore.dll O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide O4 - HKLM\..\Run: [NvSvc] RUNDLL32.EXE C:\Windows\system32\nvsvc.dll,nvsvcStart O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe" O4 - HKLM\..\Run: [SSBkgdUpdate] "C:\Program Files\Common Files\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" -Embedding -boot O4 - HKLM\..\Run: [PaperPort PTD] "C:\Program Files\ScanSoft\PaperPort\pptd40nt.exe" O4 - HKLM\..\Run: [IndexSearch] "C:\Program Files\ScanSoft\PaperPort\IndexSearch.exe" O4 - HKLM\..\Run: [PPort11reminder] "C:\Program Files\ScanSoft\PaperPort\Ereg\Ereg.exe" -r "C:\ProgramData\ScanSoft\PaperPort\11\Config\Ereg\Ereg.ini" O4 - HKLM\..\Run: [BrMfcWnd] C:\Program Files\Brother\Brmfcmon\BrMfcWnd.exe /AUTORUN O4 - HKLM\..\Run: [ControlCenter3] C:\Program Files\Brother\ControlCenter3\brctrcen.exe /autorun O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe" O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe" O4 - HKLM\..\Run: [AVP] "C:\Program Files\Kaspersky Lab\Kaspersky Security Suite CBE 09\avp.exe" O4 - HKLM\..\RunOnce: [Malwarebytes' Anti-Malware] C:\Program Files\Malwarebytes' Anti-Malware\mbamgui.exe /install /silent O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun O4 - HKCU\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter O4 - HKCU\..\Run: [ehTray.exe] C:\Windows\ehome\ehTray.exe O4 - HKCU\..\Run: [msnmsgr] "C:\Program Files\Windows Live\Messenger\msnmsgr.exe" /background O4 - HKCU\..\Run: [WMPNSCFG] C:\Program Files\Windows Media Player\WMPNSCFG.exe O4 - HKCU\..\Run: [ICQ] "C:\Program Files\ICQ6.5\ICQ.exe" silent O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'LOKALER DIENST') O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'NETZWERKDIENST') O4 - Global Startup: Microsoft Office.lnk = Microsoft Office\Office10\OSA.EXE O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000 O9 - Extra button: Statistik für den Schutz des Web-Datenverkehrs - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Program Files\Kaspersky Lab\Kaspersky Security Suite CBE 09\SCIEPlgn.dll O9 - Extra button: In Blog veröffentlichen - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll O9 - Extra 'Tools' menuitem: In Windows Live Writer in Blog veröffentliche&n - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Program Files\Windows Live\Writer\WriterBrowserExtension.dll O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Program Files\ICQ6.5\ICQ.exe O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Program Files\ICQ6.5\ICQ.exe O13 - Gopher Prefix: O16 - DPF: {D0C0F75C-683A-4390-A791-1ACFD5599AB8} (Oberon Flash Game Host) - h**p://icq.oberon-media.com/Gameshell/GameHost/1.0/OberonGameHost.cab O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - h**ps://fpdownload.macromedia.com/pub/shockwave/cabs/flash/swflash.cab O17 - HKLM\System\CCS\Services\Tcpip\..\{C7EB0AF3-6D2D-4147-B4F3-AC1C04BAB2C8}: NameServer = 213.191.92.86 62.109.123.7 O20 - AppInit_DLLs: C:\PROGRA~1\KASPER~1\KASPER~1\mzvkbd.dll,C:\PROGRA~1\KASPER~1\KASPER~1\mzvkbd3.dll,C:\PROGRA~1\KASPER~1\KASPER~1\adialhk.dll,C:\PROGRA~1\KASPER~1\KASP ER~1\kloehk.dll O23 - Service: Apple Mobile Device - Apple Inc. - C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe O23 - Service: Kaspersky Security Suite CBE 09 (avp) - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Security Suite CBE 09\avp.exe O23 - Service: Bonjour-Dienst (Bonjour Service) - Apple Inc. - C:\Program Files\Bonjour\mDNSResponder.exe O23 - Service: @comres.dll,-947 (COMSysApp) - Unknown owner - C:\Windows\system32\dllhost.exe O23 - Service: ICQ Service - Unknown owner - C:\Program Files\ICQ6Toolbar\ICQ Service.exe O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\1150\Intel 32\IDriverT.exe O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe -- End of file - 8349 bytes Und hier sit nochmal die Liste mit allen meinen Programmen: "Sarah - Die Hüterin des Einhorns" 7-Zip 4.64 AC3Filter (remove only) Adobe Flash Player 10 ActiveX Adobe Flash Player 10 Plugin Adobe Reader 9 - Deutsch Alice-Installationsdateien entfernen Anarchy Online Apple Mobile Device Support Apple Software Update Bonjour BookScan&Whiteboard Suite Brother MFL-Pro Suite DCP-145C CCleaner (remove only) Choice Guard Crysis(R) SP Demo Disc2Phone DivX Codec DivX Converter DivX Player DivX Plus DirectShow Filters DivX Web Player FaceFilter Studio Brother Edition Grand Theft Auto San Andreas HijackThis 2.0.2 ICQ Toolbar ICQ6.5 iPod for Windows 2006-06-28 iTunes Java(TM) 6 Update 13 Junk Mail filter update Kaspersky Security Suite CBE 09 Kaspersky Security Suite CBE 09 Malwarebytes' Anti-Malware Microsoft .NET Framework 1.1 Microsoft .NET Framework 1.1 Microsoft .NET Framework 1.1 Hotfix (KB929729) Microsoft Office Live Add-in 1.3 Microsoft Office XP Professional mit FrontPage Microsoft Search Enhancement Pack Microsoft Silverlight Microsoft SQL Server 2005 Compact Edition [ENU] Microsoft Sync Framework Runtime Native v1.0 (x86) Microsoft Sync Framework Services Native v1.0 (x86) Microsoft Visual C++ 2005 Redistributable Mozilla Firefox (3.0.11) MSVCRT MSXML 4.0 SP2 (KB954430) NVIDIA Drivers PaperPort Image Printer ProtectDisc Driver, Version 11 QuickTime ScanSoft PaperPort 11 SecondLife (remove only) The Battle for Middle-earth (tm) II VC80CRTRedist - 8.0.50727.762 Windows Live Anmelde-Assistent Windows Live Call Windows Live Communications Platform Windows Live Essentials Windows Live Essentials Windows Live Family Safety Windows Live Fotogalerie Windows Live Mail Windows Live Messenger Windows Live Sync Windows Live Toolbar Windows Live Writer Windows Live-Uploadtool |
28.06.2009, 10:04 | #4 |
| %1 win32_Anwendung Hallo, Der HiJackThis-Log und der von Malwarebytes sehen gut aus. Ich denke mal dass es ein Windows interner Fehler dazugeführt hat dass nun diese Fehlermeldung kommt. Denn mir ist bis dato kein Virus o.ä. bekannt der das verwalten der Benutzer sperrt. BTW: Es existiert schon Service Pack 2 für Windows Vista und der Internet Explorer 8 ! Bitte aktualisieren. |
28.06.2009, 10:22 | #5 |
| %1 win32_Anwendung Ja, dass dachte ich mir zunächst auch, doch ein Ergebniss bei google hat mich ein wenig misstrauisch gemacht: Hier der Link: 193: %1 ist keine zulässige Win32-Anwendung - ForumBase " 193: %1 ist keine zulässige Win32-Anwendung hi, hab wohl einen virus drauf. aufeinmal wird bei allen .exe dateien der im topic genannte fehler aufgerufen. kann kaum noch etwas ausführen. wie behebe ich das ? hab 3 online scans gemacht und diverse offline antiviren progs ausgeführt. nix besonderes gefunden. " "Hallo. Es könnte sein, dass Du einen Trojaner hast: OptixPro 10B ..." Was ich auch noch hinzufügen möchte ist, dass zu der Verweigerung auf die Rechte der Benutzerkonten noch hinzukommt, dass ich keine Programmme "verändern" kann. Ich kann beispielsweise eine beschädigte Datei in einem Ordner nicht mit ,der gleichen unbeschädigten Datei ersetzen. Zwar erscheint hier nicht die Oben genannte Fehlermeldung, aber es wird ohne Kommentar nicht durchgeführt. Außerdem habe ich mit Kaspersky damals ja einen Trojaner gefunden, in dessen Beschreibung stand,dass er den Zugriff und dei Ausführung von Programmen beschränke. Ich benutze Firefox, soll ich da Internt Explorer trotzdem updaten? Danke für die Antwort @ DeeWayne. Ich werde es zunächst mit einem update versuchen Geändert von Trojanerdoof (28.06.2009 um 10:38 Uhr) |
28.06.2009, 18:17 | #6 |
| %1 win32_Anwendung Da ist noch einiges, das nicht in Ordnung ist. Deinstalliere:
Bitte lade dir anschließend SUPERAntiSpyware runter und führe es nach der Anleitung aus (Punkt 1-3). Edit: Falls es nicht geht, versuch es als erstes mit SUPERAntiSpyware und benenne die Datei im Installationsordner um (von SuperAntiSpyware.exe in SuperAntiSpyware.com) mfg, Kaos |
29.06.2009, 18:22 | #7 |
| %1 win32_Anwendung Danke für die Antworten und Ratschläge! habe alles gemacht, was mir heir geraten wurde. Doch es hat nichts geholfen. an scheinend handelt es sich doch nicht um einen trojaner, weil ich semtliche suchläufe durchgeführt habe und alle NICHTS gefunden haben. Es ist tatsächlich ein windows interner fehler, bei dem ich nicht weiß wie ich den beheben kann. |
29.06.2009, 22:10 | #8 |
| %1 win32_Anwendung Okay, dann machen wir es anders.
Code:
ATTFilter @echo off set log=%temp%\openlog.txt reg query HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefile\shell\open\command >%log% reg query HKEY_LOCAL_MACHINE\SOFTWARE\Classes\scrfile\shell\open\command >>%log% reg query HKEY_LOCAL_MACHINE\SOFTWARE\Classes\comfile\shell\open\command >>%log% notepad %log% exit Schließe nun Notepad und führe die opencheck.bat aus. Es sollte sich wieder Notepad öffnen. Kopiere den Inhalt und füge ihn hier ein. mfg, Kaos |
30.06.2009, 16:58 | #9 |
| %1 win32_Anwendung HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefile\shell\open\command (Standard) REG_SZ "%1" %* IsolatedCommand REG_SZ "%1" %* HKEY_LOCAL_MACHINE\SOFTWARE\Classes\scrfile\shell\open\command (Standard) REG_SZ "%1" /S HKEY_LOCAL_MACHINE\SOFTWARE\Classes\comfile\shell\open\command (Standard) REG_SZ "%1" %* meintest du das so? |
30.06.2009, 23:12 | #10 |
| %1 win32_Anwendung Okay, also dort wurde nichts geändert, allerdings hättest du dann auch Probleme, Exe-Dateien zu öffnen.
Code:
ATTFilter @echo off set log=%temp%\openlog.txt reg query HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefile\shell\cplopen\command >%log% reg query HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MSCFile\shell\open\command >>%log% notepad %log% exit mfg, Kaos |
01.07.2009, 13:38 | #11 |
| %1 win32_Anwendung HKEY_LOCAL_MACHINE\SOFTWARE\Classes\MSCFile\shell\open\command (Standard) REG_EXPAND_SZ %SystemRoot%\system32\mmc.exe "%1" %* |
01.07.2009, 14:58 | #12 |
| %1 win32_Anwendung Sorry, hatte mich verschrieben, deshalb fehlt ein Teil im Log. Also nochmal, diesmal:
Code:
ATTFilter @echo off set log=%temp%\openlog.txt reg query HKEY_LOCAL_MACHINE\SOFTWARE\Classes\cplfile\shell\cplopen\command >%log% notepad %log% exit Was genau hattest du denn für einen Schädling auf deinem System gehabt? Also wo hat Kaspersky den gefunden und wie hat er ihn genannt? mfg, Kaos |
01.07.2009, 16:09 | #13 |
| %1 win32_Anwendung HKEY_LOCAL_MACHINE\SOFTWARE\Classes\cplfile\shell\cplopen\command (Standard) REG_EXPAND_SZ %SystemRoot%\System32\control.exe "%1",%* Das weiß ich nicht mehr. ICH denke auch,dass keiner mehr da ist,weil jegliche scanner den nicht finden können. |
02.07.2009, 03:19 | #14 |
| %1 win32_Anwendung Eigentlich sollte Kaspersky die Ergebnisse speichern, aber mach bitte erstmal folgendes: RSIT:
mfg, Kaos |
Themen zu %1 win32_Anwendung |
andere, anderen, anwendung, benutzerkonten, bissl, gefunde, gelöscht, googel, googeln, kaspersky, meldung, party, problem, rechte, rojaner gefunden, snyper, troja, trojaner, trojaner gefunden, versuche, verwalten, verweigert, win, win32, ziemlich, zugriff, zulässige |