|
Pum.disabled.SecurityCenter: Norton AV wird deaktiviert Liebe Leute, Durch einen verseuchten Link in einer Email habe ich mir irgendeine Malware eingefangen: Der Laptop (XP, SP3) läuft plötzlich langsam, im Thunderbird fehlen bei einzelnen empfangenen Mails plötzlich die Inhalte, die ich vorher lesen konnte. Ein erster Scan mit Malwarebytes Anti-Malware hat zwei verdächtige Dateien in der Registry angezeigt – jene, die offenbar die Warnungen bei fehlender/deaktivierter Firewall und Antivirus-Sw unterdrücken. Nachdem ich diese in die Quarantäne gestellt habe, zeigt ein neuer Scan mit Anti-Malware keine Schädlinge mehr an. Auch ein Scan mit dem installierten Norton Antivirus zeigt keine Malware an (Liveupdate war möglich). Aber: jetzt informiert mich das MS Securitycenter, dass die AV Software deaktiviert sei – obwohl dort der Haken bei „enabled“ gesetzt ist. Wenn ich die Antiviren-SW deaktiviere und wieder aktiviere, zeigt das Sec.Center an, dass AV (wieder) aktiviert sei. Irgendwo muss also der Wurm drin liegen – aber wo? Gemäss euren Anleitungenhabe ich einen Scan mit OTL gemacht. Das Log füge ich unten an. Wer kann mir weiterhelfen? Was soll ich weiter tun? |
hi 1. verdächtige mails bitte in zukunft an mich weiterleiten, wie das geht, steht in meiner signatur. 2. hast du den link noch, falls ja, mal an mich als private nachicht 3. ich sehe hier true image, liegen images vor, dann könnte man das system zurück setzen |
Hi, Danke für die Antwort. Leider ist das Mail mit dem verdächtigen Link schon gelöscht. Die sonst noch verdächtigen Mails werden zwar in der Übersicht mit Betreff und Absender angezeigt, beim Anklicken lassen sie sich aber nicht öffnen, Kopf und Inhalt bleiben leer. Es sind nur 3 Mails, die nicht (mehr) lesbar sind. Der Inhalt dieser Mails konnte meine Frau lesen, der Inhalt war vernünftig und von bekannten Absendern (ohne Anhang, ohne irgendwelchen Link). Von Acronis habe ich leider kein einigermassen aktuelles Abbild. Nachdem ich nun den verdächtigen Registry-Eintrag "pum.disabled.SecurityCenter" gelöscht habe, kommen die Warnungen wieder (siehe erstes Posting). Meine Frau erinnert sich nicht an solche Warnungen, diese sind bereits vor dem Anklicken des vermutlich verseuchten Links nicht erschienen. Das heisst in meinen Augen, dass - der PC schon vorher irgend etwas eingefangen hat und - dass der PC seit .... ? ohne aktivierte Viren-SW gelaufen ist. Ich habe die Absicht, den Laptop nach dem Löschen der betroffenen Partition neu aufzusetzen. Nur: Könnte die Verseuchung im MBR sitzen? Wie kann ich das feststellen? Besten Dank für eure Hilfe! Maetthu aus der Schweiz |
hi wofür hat man nen image programm wenn man es nicht nutzt...? 5 min, und ei geschichte wäre erledigt gewesen. Combofix darf ausschließlich ausgeführt werden, wenn dies von einem Team Mitglied angewiesen wurde!Downloade dir bitte Combofix von einem dieser Downloadspiegel Link 1 Link 2 WICHTIG - Speichere Combofix auf deinem Desktop
Wenn Combofix fertig ist, wird es eine Logfile erstellen. Bitte poste die C:\Combofix.txt in deiner nächsten Antwort. Hinweis: Solltest du nach dem Neustart folgende Fehlermeldung erhalten Zitat:
|
Hallo Markus, Das mit dem Acronis war ein Fehler - habe letztes Mal nur die Daten von D gesichert ... Combofix habe ich inzwischen laufen lassen, das LOG File ist unten. Allerdings ist zu sagen, dass ich inzwischen mit der damals mitgelieferten DVD das System neu aufgebaut habe, was ich sowieso tun wollte, um es zu entmüllen (Das Log ist also vom neu aufgesetzten System). Trotzdem habe ich den Eindruck, dass immer noch der Wurm drin ist: Die Routine hat alle meine (gesicherten) Partitionen gelöscht. Da diese DVD nur das SP 2 enthielt, wollte ich sofort mit dem updaten auf SP 3 beginnen, aber: Obwohl der Zugang zum Internet funktioniert, komme ich nur auf die erste Seite der MS Update Plattform. Klicke ich auf den Link zum Suchen der benötigten Updates, kommt eine Seite mit dem Vermerk, "dass diese Seite nicht aufgerufen werden kann, da auf der Webseite ein Problem aufgetreten sei" (funktioniert aber vom Parallelsystem). Könnte der MBR verseucht sein und das Update von MS verhindern? Im Chip-Forum habe ich eine Anleitung gelesen, wie der MBR überschrieben werden kann (Live_Linux, Kommandozeile). Ist eine Verseuchung des MBR aus dem Log von Combofix erkennbar? Wie kann ich updaten? Soll ich den MBR überschreiben und nochmals aufsetzen? Vielen Dank für deine/eure professionelle Unterstützung! Matthias Code: Installation 19.07.2012 10:33:44.1.1 - x86 |
und wieso sagst du mir nicht, dass du neu aufsetzen willst, dann hätten wir uns die arbeit ja sparen können. ist das paralel system auf der selben festplatte? |
Hallo Markus, mit schlechtem Gewissen schreibe ich - mit dem Abschicken des letzten Berichtes wurde mir bewusst, dass das ja nicht Sinn der Sache war. Zwei Gründe zur Erklär ung meines Vorgehens: Einerseits stand ich etwas unter Zeitdruck - meine Frau braucht diesen Lap z.T. auch beruflich, anderseits war das Aufräumen nach bald 7 Jahren Betrieb eh nötig. Darf ich trotzdem weiter auf deine/eure Hilfe hoffen? Denn - trotz neu aufgesetztem System bleiben da einige Fragen offen. Die Probleme beim Aufspielen des SP3 konnte ich lösen, das System ist also auf aktuellen Stand, Avira update hat geklappt und zeigt keine Funde von Malware an. Das Arbeitstempo des Lap hat sich gegenüber vorher massiv verbessert. Das Arbeiten geht flott und ohne irgend eine Fehlermeldung. Und doch: Nachdem alles fertig aktualisiert war, habe ich die vier Virenscanner von "Desinfect" (CT 09/12 Sofwarecollection) drüber laufen lassen. Resultat: Avira und Bitdefender fnden nichts, aber Clamav und Kaspersky finden den selben Virus: Virenfunde ClamAV Kaspersky Aktion /media/761436221435E631/Programme/Gemeinsame Dateien/Microsoft Shared/VBA/VBA6/VBE6.DLL W32.Virut.Gen.D-159 Nach dem umbennen der Datei reklamiert Exel, weil nun eine Bibliothek fehlt, aber das Programm läuft. Die Recherchen im Internet haben mir nicht geholfen, sie waren teilweise widersprüchlich. In einem Tread habe ich gelesen, dass das ein falsch-positiver Fund sei (wäre ja schön !) Meine Fragen: Wie kommt dieser Virus in die Datei? War irgendwas in meiner (zurückkopierten) Datenpartition versteckt? (Obwohl keiner der vier Scanner dort etwas gefunden hat) Die Datei hat das Datum vom 14.4.12, muss also bei irgend einem Update aktualisiert worden sein. Könnte es eine fehlerhafte MS Datei sein? Was bewirkt der Virus? Verbreite ich ihn weiter, werden Dateien infisziert? Was soll ich weiter tun? Welche Scans braucht es für euch für die weitere Analyse? (Von ClamAV habe ich ein Logfile) Danke für eine weitere Hilfe, Maetthu |
hi Trojaner-Board Upload Channel lads mal da hoch, dann gucke ich. die umbenannte datei also außerdem hätte ich eig andere absicherungsmaßnamen im sinn gehabt... |
die dll ist ok |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 19:21 Uhr. |
Copyright ©2000-2025, Trojaner-Board