Trojaner-Board
Seite 5 von 5 « Erste 34 5
100 Beiträge dieses Themas auf einer Seite anzeigen

Trojaner-Board (https://www.trojaner-board.de/)
-   Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)
-   -   MS removal Tool vollständig entfernen (https://www.trojaner-board.de/100818-ms-removal-tool-vollstaendig-entfernen.html)

Deathkid535 10.07.2011 09:46
Hallo M-K-D-B,
Zitat:
Ich wünsche dir einen schönen Urlaub. Bis Freitag.
Danke fürs verständnis :)
Greetz,
Deathkid

M-K-D-B 10.07.2011 09:53
Hallo Deathkid,



Zitat:
Danke fürs verständnis
Das ist doch selbstverständlich. :)
Ich würde mich sehr freuen, wenn du am Freitag wieder hier reinschaust. :daumenhoc



Meine Vermutung war richtig. Der Dienst für das Windows Sicherheitscenter ist deaktiviert. Den müssen wir wieder aktivieren. Das geht wie folgt:




Schritt # 1: Batch Datei ausführen
Drücke bitte die http://larusso.trojaner-board.de/Images/windows.jpg + R Taste und schreibe notepad in das Ausführen Fenster.

Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument
Code:
@echo off
cd \
set log=%userprofile%\Desktop\ergebnis.txt
if exist %log% del %log%
sc config wscsvc start= auto >> "%log%" 2>&1
notepad "%userprofile%\Desktop\ergebnis.txt"
del %0
  • Wähle Datei --> Speichern unter
  • Dateiname: fix1.bat
  • Dateityp: Wähle Alle Dateien (*.*)
  • Speichere die Datei auf deinem Desktop.
    Es sollte nun ungefähr so aussehen http://larusso.trojaner-board.de/Images/bat.jpg
  • Starte die fix1.bat.
    Vista und Win7 User: Mit Rechtsklick "als Administrator starten"
  • Es öffnet sich die Textdatei ergebnis.txt. Diese Datei befindet sich auch auf deinem Desktop.
  • Starte deinen Rechner neu auf.




Schritt # 2: Durchführung einer Sicherheitskontrolle
  • Starte SecurityCheck.exe und folge den Anweisungen in der DOS- Box.
  • Wenn der Scan beendet wurde, sollte sich ein Textdokument ( checkup.txt ) öffnen.
  • Poste den Inhalt bitte hier.




Schritt # 3: Deine Rückmeldung
Zur weiteren Analyse benötige ich zusammen mit deiner nächsten Antwort
  • das Logfile der Batch Datei und
  • das neue Logfile von SecurityCheck.

Deathkid535 10.07.2011 09:59
Hallo M-K-D-B,
halbe Stunde Zeit ist noch :)
Also hier das von der batch Datei:
Code:
[SC] ChangeServiceConfig ERFOLG
Und hier das vom Security Check:
Code:
Results of screen317's Security Check version 0.99.17 
 Windows 7  (UAC is enabled)
 Internet Explorer 8 
``````````````````````````````
Antivirus/Firewall Check:
 Windows Security Center service is not running! This report may not be accurate!
 avast! Free Antivirus   
 ESET Online Scanner v3 
 WMI entry may not exist for antivirus; attempting automatic update.
```````````````````````````````
Anti-malware/Other Utilities Check:
 Malwarebytes' Anti-Malware   
 Java(TM) 6 Update 26 
 Adobe Flash Player        10.3.181.34 
 Adobe Reader X (10.1.0)
 Mozilla Firefox (x86 de..)
````````````````````````````````
Process Check: 
objlist.exe by Laurent
 Malwarebytes' Anti-Malware mbamservice.exe 
 Malwarebytes' Anti-Malware mbamgui.exe 
 AVAST Software Avast AvastSvc.exe 
 AVAST Software Avast AvastUI.exe 
``````````End of Log````````````
Grüße,
Deathkid

M-K-D-B 10.07.2011 10:08
Hallo Deathkid,



komisch... die Batch Datei sagt, es hat funktioniert, aber SecurityCheck zeigt nichts anderes an.

Sofern du es noch nicht getan hast, starte bitte deinen Rechner neu auf!


Anschließend machen wir folgendes:



Schritt # 1: Batch Datei ausführen
Drücke bitte die http://larusso.trojaner-board.de/Images/windows.jpg + R Taste und schreibe notepad in das Ausführen Fenster.

Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument
Code:
@echo off
cd \
set log=%userprofile%\Desktop\ergebnis.txt
if exist %log% del %log%
reg query "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc" /s >> "%userprofile%\Desktop\ergebnis.txt"
notepad "%userprofile%\Desktop\ergebnis.txt"
del %0
  • Wähle Datei --> Speichern unter
  • Dateiname: suche2.bat
  • Dateityp: Wähle Alle Dateien (*.*)
  • Speichere die Datei auf deinem Desktop.
    Es sollte nun ungefähr so aussehen http://larusso.trojaner-board.de/Images/bat.jpg
  • Starte die suche2.bat.
    Vista und Win7 User: Mit Rechtsklick "als Administrator starten"
  • Es öffnet sich die Textdatei ergebnis.txt. Diese Datei befindet sich auch auf deinem Desktop.




Schritt # 2: Deine Rückmeldung
Zur weiteren Analyse benötige ich zusammen mit deiner nächsten Antwort
  • das Ergebnis der Batch Datei.

Deathkid535 10.07.2011 10:19
Hallo M-K-D-B,
Hier das benötigte Ergebnis:
Code:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc
    Type    REG_DWORD    0x20
    Start    REG_DWORD    0x4
    ErrorControl    REG_DWORD    0x1
    ImagePath    REG_EXPAND_SZ    %SystemRoot%\System32\svchost.exe -k LocalServiceNetworkRestricted
    DependOnService    REG_MULTI_SZ    RpcSs\0winmgmt
    ObjectName    REG_SZ    NT AUTHORITY\LocalService
    RequiredPrivileges    REG_MULTI_SZ    SeChangeNotifyPrivilege\0SeImpersonatePrivilege
    DelayedAutoStart    REG_DWORD    0x1
    FailureActions    REG_BINARY    805101000000000000000000030000001400000001000000C0D4010001000000E09304000000000000000000

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc\Enum
    0    REG_SZ    Root\LEGACY_WSCSVC\0000
    Count    REG_DWORD    0x1
    NextInstance    REG_DWORD    0x1

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc\Parameters
    ServiceDll    REG_EXPAND_SZ    %SYSTEMROOT%\system32\wscsvc.dll
MFG,
Deathkid

M-K-D-B 10.07.2011 10:22
Hallo Deathkid,


der Dienst ist wieder deaktiviert. :wtf:

Ich kläre das intern im Team ab. Am Freitag gehts damit und mit der Entfernung aller Tools inklusive ein paar Tipps weiter. :)

Deathkid535 10.07.2011 10:24
Hallo M-K-D-B,
Zitat:
der Dienst ist wieder deaktiviert.
Hä?, das muss ich nicht verstehen oder? :)
Zitat:
Ich kläre das intern im Team ab. Am Freitag gehts damit und mit der Entfernung aller Tools inklusive ein paar Tipps weiter.
Ok, dann bis Freitag :)
MFG,
Deathkid

M-K-D-B 10.07.2011 16:44
Hallo Deathkid,




Zitat:
Zitat von Deathkid535 (Beitrag 681313)
Hä?, das muss ich nicht verstehen oder? :)
Nein, nicht unbedingt. :) Aber ich versuche, es dir zu erklären:
Laut dem ausgeführten Fix mit der Batch Datei sollte der Dienst des Windows-Sicherheitscenters wieder laufen:
Zitat:
[SC] ChangeServiceConfig ERFOLG
Eine Überprüfung ergab allerdings, dass der Wert nicht wie geünscht geändert wurde. Daher versuchen wir folgendes:




Schritt # 1: Fix mit OTL
Code:
:OTL
:reg
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc]
"Start"=dword:00000002

:commands
[reboot]
  • Schließe bitte nun alle Programme.
  • Klicke nun bitte auf den Fix Button.
  • OTL kann gegebenfalls einen Neustart verlangen. Bitte dies zulassen.
  • Nach dem Neustart findest Du ein Textdokument auf deinem Desktop.
    ( Auch zu finden unter C:\_OTL\MovedFiles\<time_date>.txt)
    Kopiere nun den Inhalt hier in Deinen Thread




Schritt # 2: Batch Datei ausführen
Drücke bitte die http://larusso.trojaner-board.de/Images/windows.jpg + R Taste und schreibe notepad in das Ausführen Fenster.

Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument
Code:
@echo off
cd \
set log=%userprofile%\Desktop\ergebnis.txt
if exist %log% del %log%
reg query "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc" /s >> "%userprofile%\Desktop\ergebnis.txt"
notepad "%userprofile%\Desktop\ergebnis.txt"
del %0
  • Wähle Datei --> Speichern unter
  • Dateiname: suche.bat
  • Dateityp: Wähle Alle Dateien (*.*)
  • Speichere die Datei auf deinem Desktop.
    Es sollte nun ungefähr so aussehen http://larusso.trojaner-board.de/Images/bat.jpg
  • Starte die suche.bat.
    Vista und Win7 User: Mit Rechtsklick "als Administrator starten"
  • Es öffnet sich die Textdatei ergebnis.txt. Diese Datei befindet sich auch auf deinem Desktop.




Schritt # 3: Deine Rückmeldung
Zur weiteren Analyse benötige ich zusammen mit deiner nächsten Antwort
  • das Logfile des OTL-Fix und
  • das Ergebnis der Batch Datei.

Deathkid535 15.07.2011 21:47
Hallo M-K-D-B,
Bin wieder zurück aus dem Urlaub ;),
So, jetzt gehts aber wieder an die Arbeit:
OTL-FixLog:
Code:
========== OTL ==========
========== REGISTRY ==========
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc\\"Start"|dword:00000002 /E : value set successfully!
========== COMMANDS ==========
 
OTL by OldTimer - Version 3.2.24.1 log created on 07152011_224007
Das Ergebnis der .bat Datei:
Code:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc
    Type    REG_DWORD    0x20
    Start    REG_DWORD    0x4
    ErrorControl    REG_DWORD    0x1
    ImagePath    REG_EXPAND_SZ    %SystemRoot%\System32\svchost.exe -k LocalServiceNetworkRestricted
    DependOnService    REG_MULTI_SZ    RpcSs\0winmgmt
    ObjectName    REG_SZ    NT AUTHORITY\LocalService
    RequiredPrivileges    REG_MULTI_SZ    SeChangeNotifyPrivilege\0SeImpersonatePrivilege
    DelayedAutoStart    REG_DWORD    0x1
    FailureActions    REG_BINARY    805101000000000000000000030000001400000001000000C0D4010001000000E09304000000000000000000

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc\Enum
    0    REG_SZ    Root\LEGACY_WSCSVC\0000
    Count    REG_DWORD    0x1
    NextInstance    REG_DWORD    0x1

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc\Parameters
    ServiceDll    REG_EXPAND_SZ    %SYSTEMROOT%\system32\wscsvc.dll
Gruß,
Deathkid

M-K-D-B 16.07.2011 10:15
Hallo Deathkid535,



Zitat:
Zitat von Deathkid535 (Beitrag 683202)
Bin wieder zurück aus dem Urlaub ;)
Ich hoffe, du hattest viel Spaß und konntest dich erholen.


OTL konnte den Starttyp auf "2" (automatischer Start mit dem Betriebssystem) setzen
Zitat:
Zitat von Deathkid535 (Beitrag 683202)
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc\\"Start"|dword:00000002 /E : value set successfully!

Aber nach einem Neustart ist der Dienst wieder deaktiviert "4"
Zitat:
Zitat von Deathkid535 (Beitrag 683202)
Start REG_DWORD 0x4
Ich muss mich nochmal intern im Team besprechen und melde mich sobald wie möglich. :)

M-K-D-B 17.07.2011 10:25
Hallo Deathkid,



Welche Probleme gibt es noch auf deinem Rechner?

Klicke auf Start, gib Wartungscenter in die Suchleiste ein und klicke Enter. Lässt sich das Wartungscenter überhaupt öffnen?

Wenn ja, lass dir unter dem Punkt Sicherheit durch klick auf den Pfeil alle Details anzeigen.

Wenn ja, funktioniert bzw. läuft der Windows Defender laut der dortigen Angabe wieder?
Erstelle gegebenenfalls einen Screenshot.

M-K-D-B 17.07.2011 21:29
Hallo Deathkid535,



Gehe bitte auf Start -> Computer --> Organisieren --> Ordner und Suchoptionen.
Wechsle auf den Reiter Ansicht.
  • Entferne den Haken bei Geschützte Systemdateien ausblenden ( empfohlen )
  • Entferne den Haken bei Erweiterungen bei bekannten Dateitypen ausblenden
  • Aktiviere Alle Dateien und Ordner anzeigen
Drücke auf Übernehmen und OK

Lösche keinesfalls Ordner oder Dateien ohne Anweisung





Schritt # 1: Kontrolle mit VirusTotal
Bitte lasse die Datei aus der Code-Box bei Virustotal überprüfen.
  • Klicke auf Durchsuchen
  • Kopiere nun folgendes in die Suchleiste.
    Code:
    C:\Windows\System32\KBDINMALV.dll
  • und klicke auf Öffnen.
  • Klicke auf Send File.
Warte bitte bis die Datei vollständig hochgeladen wurde. Solltest Du folgende Meldung bekommen.
Zitat:
File already submitted: The file sent has already been analysed by VirusTotal in the past. This is same basic info regarding the sample itself and its last analysis:
klicke auf Reanalyse.
Warte bis unter Current status: Finished steht.

Kopiere den Link aus deiner Adresszeile und poste ihn hier.





Schritt # 2: Kontrollscan mit Malwarebytes' Anti-Malware (MBAM)
  • Vista und Win7 User mit Rechtsklick "als Administrator starten"
  • Starte Malwarebytes, klicke auf Aktualisierung --> Suche nach Aktualisierung
  • Wenn das Update beendet wurde, aktiviere Quick-Scan durchführen und drücke auf Scannen.
  • Wenn der Scan beendet ist, klicke auf Ergebnisse anzeigen.
  • Versichere Dich, dass alle Funde markiert sind und drücke Entferne Auswahl.
  • Poste das Logfile, welches sich in Notepad öffnet, hier in den Thread.
  • Nachträglich kannst du den Bericht unter "Log Dateien" finden.





Schritt # 3: Benutzerdefinierter Scan mit OTL
Code:
C:\Windows\PIF\* /S
C:\ProgramData\* /S
C:\Users\Administrator\AppData\Local\* /S
C:\Windows\System32\%APPDATA%\* /S
  • Schließe bitte nun alle Programme. (Wichtig)
  • Klicke nun bitte auf den Scan Button.
  • Kopiere nun den Inhalt aus OTL.txt hier in Deinen Thread




Schritt # 4: Deine Rückmeldung
Zur weiteren Analyse benötige ich zusammen mit deiner nächsten Antwort
  • den Link zum Ergebnis von VirusTotal,
  • das Logfile von MBAM und
  • das neue Logfile von OTL (OTL.txt).

M-K-D-B 21.07.2011 20:44
Fehlende Rückmeldung
Dieses Thema wurde aus den Abos gelöscht. Somit bekomme ich keine Benachrichtigung über neue Antworten.
PM an mich falls Du denoch weiter machen willst.

Hinweis: Das Verschwinden der Symptome bedeutet nicht, dass Dein Rechner schon sauber ist.

Jeder andere bitte hier klicken und einen eigenen Thread erstellen!


Alle Zeitangaben in WEZ +1. Es ist jetzt 20:56 Uhr.
Seite 5 von 5 « Erste 34 5
100 Beiträge dieses Themas auf einer Seite anzeigen

Copyright ©2000-2025, Trojaner-Board


Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131