|
Funktioniert denn noch der abgesicherte Modus, abgesehen davon dass er ~5 Minuten zum Hochfahren braucht? Wenn nicht, seh ich schwarz für den Rechner. |
hxxp://www.securelist.com/en/blog/493/MAX_sets_its_sights_on_x64_platforms Das hier hab ich noch gefunden. Als ich heute Morgen versucht habe, noch einmal Sophos (ist ne seltsame Endpoint-Lizenz von unserer Hochschule) drüber laufen lassen habe, hat dieser "C:\Windows\System32\consrv.dll" ERFOLGREICH gelöscht. Ich sehe gerade, dass in dem Artikel auch was davon steht: Zitat:
Siehst du irgend eine Möglichkeit die Registery zu fixen? Ich mach mal weiter mit der Sicherung... Sollte man sich heute nicht mehr lesen, bedanke ich mich erst einmalfür die Anstrengungen und wünsche einen schönen Abend. Kosch |
[EDIT]Posts haben sich wohl überschnitten... Ne, abgesicherter Modus auch Fehlanzeige.[/Edit] |
Über OTLPE hat man einen RegistryEditor, der auch die Registry des nicht mehr bootenden Windows laden kann. Frag mich jetzt aber nicht welche Schlüssel man genau da editieren muss. Vllt ist es nur das: Zitat:
|
Ich werds jetzt mal ganz stumpf ausprobieren. Löschen würde ich jetzt. Oder? [EDIT]Hab den Schlüssel verglichen, wie er sein soll und wie er ist...Er ist wie er sein soll... also keine Lösung dafür. |
hxxp://forum.avast.com/index.php?topic=81720.30 Mehr Infos über die beteiligten Files... Das siehst irgendwie so gar nicht gut aus... :( |
Der ZeroAccess ist leider ziemlich schwierig zu entfernen, geht nicht immer. Hast du die consrv.dll zufällig noch? |
Ich schaue gerade meine ganzen Verzeichnise durch, die datei an sich ist nicht mehr da. Ich versuche gerade sämtliche Quarantäne Ordner der einzelnen Virenscanner zu finden, ich denke aber ehr, dass das nichts wird. Hab noch ein vorheriges Post editiert, hier aber noch mal der Vollständigkeit halber: Der Schlüssel, wie er ist, deckt sich mit den angaben, wie er sein soll. Kosch |
Ich glaube dein System ist ein Totalschaden. Wenn ich mich richtig erinnere war es auch ziemlich gut zugemüllt und von einem Windows.old Ordner schrubst du auch => Windows.old=kein Format C bei der angeblichen Neuinstallation von Windows :pfeiff: |
Vom Formatieren hab ich meines Wissens ja auch nicht gesprochen. Aber gut, ich denke auch, dass da nur noch wenig zu wollen ist. Einen Gedanken hatte ich noch. Kann es sein, dass der Registery-Recoverer auf die Registery von dem emmulierten Betriebssystem zugreift? weil dann ist es ja klar, warum alles richtig ist... |
Das eine will ich noch versuchen, dann gebich mich geschlagen... hab ja auch jetzt langsam genug von deiner Zeit verschwendet... wie kann ich mit diesem MiTec Recovery-Tool auf meine alte Registery zugreifen? Irgendwie schein ichwas falsch zu machen... |
Ich werd verrückt... ich hab tatsächlich die Registery vomemmulierten System gecheckt... in meiner version ist es wie auf dem Link beschrieben...es steht consrv drin... Ich kanns jetzt auslesen, aber wie editieren? |
BÄÄÄÄM! :kloppen: AAAAlso... :rofl: ... Tatsächlich lag es genau daran... ich hab die Registery vom emmulierten System gelesen und dementsprechend natürlich ein sauberes System gehabt. Nachdem ich dann per Start->run "regedit" ausgeführt, die alte System-Registery (über Load Hive) in die aktuelle geladen, diese dann an !2! Stellen editiert habe(link zum genauen Reg-Schlüssel weiter unten) konnte das System wieder ganz normal hochfahren!!! :singsing: @Arne: Ich danke dir tausende von Malen!!! Ich kann endlich wieder auf mein System zugreifen und mein Projekt abschließen! Vielen Herzlichen Dank für deine Hilfe und deine Bemühungen! :party: @Virus: Natürlich ist damit das Virus, nicht wirklich gebannt, lediglich der Dropper des Rootkit ist jetzt von der Platte und ich habe wieder weitgehenden Zugriff auf mein System. Ich versuche jetzt noch einen Virenscanner zu installieren und hoffe darauf, dass das System nicht abstürzt und auch NICHT die Fähigkeit verliert, danach wieder hoch zu fahren. Zugriff auf BitDefender und Windows Firewall hab ich immer noch nicht, aber das Teilziel ist jetzt für mich erst einmal erreicht. @Threadbeobachter: Das System ist immer noch böse im Eimer, "meine Lösung" ist also keinesfalls eine wirkliche Lösung, die eigentliche Arbeit fängt jetzt erst an! @Cosinus, die 2te: Wenn du magst, dann könnten wir jetzt Stück für Stück an einer Lösung arbeiten, generell, sollte da keine Motivation zu bestehen, wird auf jeden Fall eine Neuinstallation, diesmal eine vollständige folgen. Auf jeden Fall noch mal danke, sau geil, dass du trotz meines Umgangstones, dich der Sache angenommen hast. :daumenhoc Kosch Anhang: Code: Der Schlüssel: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems |
Wie jetzt? War der Eintrag zur consrv.dll doch noch in der Registry zu sehen? :wtf: Und jetzt läuft das System im normalen Modus wieder? Naja, du hast vorher vom LIve-System die Registry geöffnet :D und nicht vom installierten nicht mehr startenden Windows ;) Dann ist da klar warum du den Eintrag nicht siehst Bitte nun routinemäßig einen Vollscan mit malwarebytes machen und Log posten. Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss! Außerdem müssen alle Funde entfernt werden. Falls Logs aus älteren Scans mit Malwarebytes vorhanden sind, bitte auch davon alle posten! ESET Online Scanner
Bitte alles nach Möglichkeit hier in CODE-Tags posten. Wird so gemacht: [code] hier steht das Log [/code] Und das ganze sieht dann so aus: Code: hier steht das Log |
Wenn es dir nichts ausmacht, würde ich mich jetzt die nächsten 2 Tage primär um meine Video-Projekte kümmern. Das heißt, ich würde täglich 4-5 mal hier reinschauen, täglich aktuelle Logs und deine Anweisungen befolgen. Hab jetzt natürlich bissl schlechtes Gewissen, weil ich gestern so nen Terz gemacht hab und jetzt wieder nen Gang zurück schalte. Momentan läuft im Hintergrund Kaspersky Virus Removal Tool wobei ich ihm natürlich gesagt habe, dass NICHTS desinfiziert oder verändert werden darf (derzeitiger Stand: 9h17m, 7 Bedrohungen bei rund 1,2kk gescannten Objekten, 39% abgeschlossen). Ich werde, im Anschluss dann auch mbam und eset noch mal durchlaufen lassen und sämtliche Logs posten, wenns recht ist. |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 08:51 Uhr. |
Copyright ©2000-2025, Trojaner-Board
