Windows XP: Avira Scanner starten nicht; Avira regiert nicht
 

Hallo!

Montag habe ich meinen Laptop normal heruntergefahren. Als ich ihn Dienstag startete, war er plötzlich extremst langsam. Der Boot-Vorgang lief normal, evtl etwas verzögert; die Autorun-Dienste starteten; nach einigen Minuten schließlich auch Avira, aber die Avira Scanner (Echtzeit, Email, Browser) starteten nicht. Als ich das Avira Center öffnete und die Dienste dort manuell starten wollte, hängte sich Avira auf.

Ich konnte andere Programme öffnen, aber der Computer lief so langsam, dass sich diese meistens aufhängten (währenddessen war Avira geöffnet, der Task Manager zeigte "keine Rückmeldung" von Avira an). Die CPU-Auslastung lag dabei im ein- bis zweistelligen Prozentbereich mit seltenen Spitzen zu 100%. Die LED, die die Festplattenaktivität anzeigt, leuchtete rhythmisch (ca. 95% Leuchten, 5% Pause) mit entsprechendem "Festplatten-Arbeits-Geräusch" (das Geräusch ist normal, aber nicht, dass es durchgehend in diesem Rhythmus auftritt). Auch bei deaktiviertem WLAN, also ohne Internetverbindung, gab es dieselben Symptome.

Als ich heute den PC wieder startete, dasselbe: Avira startete, aber die Avira Scanner nicht. Wenn ich geduldig warte, bis der Boot-Vorgang inkl. Start von Avira (bis der eingeklappte Schirm zu sehen ist) abgeschlossen ist und dann nicht versuche, das Avira Center zu öffnen, läuft der Rechner in normaler Geschwindigkeit. Sobald ich versuche, die Avira-Scanner zu starten, hängt sich Avira auf und der Computer wird wieder unbrauchbar langsam (wie oben).

Zwei Tage vor Auftreten des Problems war mir 2-3 Mal aufgefallen, dass der Avira Browserschutz plötzlich deaktiviert war (Schirm war eingeklappt -> Avira Center zeigte an, dass Browserschutz gestoppt, aber die anderen Dienste aktiv waren). Ich hatte den Browserschutz jedes Mal manuell wieder eingeschaltet. Weil mir das seltsam erschien, habe ich am Tag vor Auftreten des Problems einen Virenscan des ganzen Systems durchgeführt. Es gab keine Funde, nur den Hinweis auf 5 versteckte Objekte (Log unten).

Über Hilfe wäre ich sehr dankbar!



FRST.txt

Gestern, während der Computer durch das aufgehängte Avira extrem langsam arbeitete, habe ich schonmal einen Scan mit FRST versucht, den ich mitten in der Erstellung der Addition-Datei abgebochen habe, weil der Computer nicht mehr reagierte. Die gestern im "lahmgelegten" Computerzustand erhaltenen Ergebnisse unterscheiden sich von den heutigen im "Computerzustand normaler Geschwindigkeit" dadurch, dass gestern zusätzlich die folgenden Prozesse aufschienen:



Addition.txt



Avira Scan vom 29.02.2016
AVSCAN-20160229-162932-7F18B2C7.LOG

Zusatz
 

Avira Ereignisse

:hallo:

Mein Name ist Dennis und ich werde dir bei der Bereinigung helfen.

Bitte beachte, dass es ein paar Regeln gibt:

• Bitte lies meine Posts komplett durch bevor du sie abarbeitest
• Wenn ein Problem auftauchen sollte, unterbreche deine Arbeit, poste die entstandenen Logs und schildere dieses so genau wie möglich.
• Bitte kein Crossposting
• Installiere oder Deinstalliere keine Software ohne Aufforderung
• Bitte verwende nur die Tools welche hier im Thread erwähnt werden
• Antworte innerhalb von 24h um eine sinnvolle Bereinigung zu ermöglichen
• Poste die Logs immer in CODE-Tags (#-Button), zur Not die Logs einfach aufteilen

Sollte ich nicht innerhalb von 48h antworten, schreibe mir eine PM!

Bist du dir sicher, dass du einen XP-Rechner bereinigen willst? Das Betriebssystem wird seit April 2014, also fast 2 Jahren nicht mehr geupdated. Ausserdem läuft das aktuelle Avira nicht mehr darauf, also hast du dort auch keine Updates mehr.

Hallo Deathkid535,

danke für deine Antwort!

Ja, wenn irgend möglich, würde ich das Problem gerne lösen. In ein paar Monaten gibt's einen neuen Rechner, deswegen will ich jetzt vermeiden, auf dem alten noch ein neues Betriebssystem aufzusetzen, aber gleichzeitig will ich bis dahin auch nicht verseucht bzw. ohne Virenscanner arbeiten.

Könnte es denn sein, dass Avira sich (z.B. durch Herunterladen einer Aktualisierung) selbst lahmgelegt hat, eben weil XP von Avira nicht mehr unterstützt wird?? Oder liegt tatsächlich ein Befall vor?

Besten Dank!

Hi,

ich seh ein paar Minidinge, hab aber einen Verdacht, dass da ein Rootkit drauf ist. Von dem Rechner solltest du auf keinen Fall kritische Sachen wie Online Banking oder ähnliches machen. Wenn du sowas doch brauchst, dann am besten über eine Linux-Livedisk. Wenn dich das interessiert erinner mich am Ende dran, dann erklär ich dir wie das geht :).

Los gehts!

Schritt # 1: Combofix

Scan mit Combofix

WARNUNG an die MITLESER:
Combofix sollte ausschließlich ausgeführt werden, wenn dies von einem Teammitglied angewiesen wurde!

Downloade dir bitte Combofix vom folgenden Downloadspiegel: Link

• WICHTIG: Speichere Combofix auf deinem Desktop
• Deaktiviere bitte alle deine Antivirensoftware sowie Malware/Spyware Scanner. Diese können Combofix bei der Arbeit stören.
• Starte die Combofix.exe und folge den Anweisungen auf dem Bildschirm.
• Combofix wird überprüfen, ob die Microsoft Windows Wiederherstellungskonsole installiert ist.
  Ist diese nicht installiert, erlaube Combofix diese herunter zu laden und zu installieren. Folge dazu einfach den Anweisungen und aktzeptiere die Endbenutzer-Lizenz.
  Bei heutiger Malware ist dies sehr empfehlenswert, da diese uns eine Möglichkeit bietet, dein System zu reparieren, falls etwas schief geht.
  Bestätige die Information, dass die Wiederherstellungskonsole installiert wurde mit Ja.
  Hinweis: Ist diese bereits installiert, wird Combofix mit der Malwareentfernung fortfahren.
• Während Combofix läuft bitte nicht am Computer arbeiten, die Maus bewegen oder ins Combofixfenster klicken!
• Wenn Combofix fertig ist, wird es eine Logfile erstellen.
• Bitte poste die C:\Combofix.txt in deiner nächsten Antwort.

Hinweis: Solltest du nach dem Neustart folgende Fehlermeldung erhalten

Es wurde versucht, einen Registrierungsschlüssel einem ungültigen Vorgang zu unterziehen, der zum Löschen markiert wurde.

starte den Rechner einfach neu. Dies sollte das Problem beheben.

Schritt # 2: Bitte Posten

• Das Log von Combofix

Hi,

zu: "Deaktiviere bitte alle deine Antivirensoftware sowie Malware/Spyware Scanner. Diese können Combofix bei der Arbeit stören. "

Wie gesagt ist Avira gestartet, aber Echtzeit, Email und Browserschutz gestoppt; die Firewall aktiv.
-> Ist es notwendig, dass ich Avira ganz schließe, bevor Combofix läuft? Ich wüsste nicht, wie ich das machen kann.
-> Oder soll ich die Avira Firewall deaktivieren?
-> Oder kann das einfach so bleiben?

Hi,

probier mal CF zu starten. Falls Avira noch läuft beschwert es sich sowieso. Falls es noch laufen sollte, dann Avira deinstallieren.

Verdammt! Ich hab gleich 2 Anweisungen missachtet und eine mittlere Katastrophe produziert:

Ich habe die Avira Firewall deaktiviert (die anderen Avira Scanner waren ja ohnehin schon gestoppt) und dann CF gestartet. CF hat sich aber beschwert, dass Avira noch aktiv ist. Da wollte ich CF beenden, um zuerst Avira zu deinstallieren, und habe auf das Kreuz oben rechts geklickt, aber CF hat das offensichtlich wie einen Klick auf Ok interpretiert und ist fortgefahren. Weil ich CF sowieso nicht laufen lassen wollte sondern eine Möglichkeit zum Beenden gesucht habe, habe ich auch das Herunterladen der Windows-Wiederherstellungskonsole verneint. Als CF danach sofort loslegte, habe ich nicht mehr gewagt, ihn abzuwürgen, sondern gehofft weniger Schaden anzurichten, wenn ich ihn ungestört laufen lasse.

Nach dem Neustart fehlte auf dem Desktop das Icon für Eigene Dateien, und das Icon für Netzwerk war "Ordner" genannt. Ich dachte, vielleicht findet er die Pfade wieder, wenn ich nochmal neu starte. Seitdem komme ich nach Start des Computers normal bis zum Anmeldebildschirm. Nach Eingabe von Nutzername und Passwort wird der Bildschirm dann aber blau und nichts erscheint. Ich kann aber mit Strg Alt Del den Task Manager aufrufen:

Bei den Prozessen fehlen im Vergleich zum vorherigen normalen Leerlauf-Betrieb alle Prozesse unter meinem Nutzernamen, da ist nur wscntfy.exe aktiv und nach meinem Einschalten nun auch taskmgr.exe.
Unter SYSTEM fehlen wmiprvse.exe, hpqWmiEx.exe und avfwsvc.exe.
Unter Lokaler Dienst fehlt scardsvr.exe
Bei Bedarf kann ich auch alle unter meinem Nutzernamen fehlenden Prozesse noch auflisten (ich hatte vor einiger Zeit, als Avira schon Probleme bereitete, aber der Rechner sonst normal lief, ein Foto von den Prozessen im Task Manager gemacht, hab also den Vergleich. Auf dem SmartPhone ist das Tippen nur etwas mühsam...).

Über den Task Manager kann ich auch einen neuen Task erstellen, zB Firefox öffnen oder die CF Log Datei. Aber ich habe weder über LAN noch WLAN eine Internetverbindung, auch wenn der Task Manager unter Netzwerk die Drahtlose Netzwerkverbindung als "in Betrieb" anzeigt. Als Notlösung hänge ich die CF Log Datei als Fotos an.

Ist da noch was zu retten?? Oder soll ich gleich mein letztes Backup wieder aufspielen? Leider liegt das gerade einige Hundert Kilometer entfernt und ich komme erst in frühesten 3 Wochen dran. Wenn klar wäre, dass CF bestimmte Dateien gelöscht hat und man das Problem beheben kann, indem man diese wieder einfügt, könnte ich mir diese Dateien aus dem Backup schicken lassen.

Hoffe sehr auf Hilfe. Danke, Doro

Oh je.

Kannst du in den Safe Mode booten?

Auf F8 reagiert er nicht. Im Boot Vorgang bietet er mir F9 und F10 an:

F9 Boot Device Menu
-> Wenn ich F9 drücke, kommt dann zur Auswahl:
Select Boot Device:
- Optical Disk Drive
- Notebook Hard Drive

F10 ROM Based Setup
-> Es kommt dann ein Menü zu "Computer Setup". Ein Ausschnitt davon als Bild im Anhang.

Außerdem habe ich hier eine bootfähige Acronis True Image CD. Die ist zwar schon 4 Jahre alt, aber wenigstens die für mich essentiellen Programme waren damals schon alle drauf.

Korrektur: Ich hatte zu früh F8 gedrückt.
Richtig ist: Ich komm in den abgesicherten Modus, aber nach Anmeldung bleibt der Bildschirm dann schwarz (abgesehen von dem Wort "Abgesicherter Modus" in jeder Bildschirm-Ecke), äquivalent zu dem blauen Bildschirm im normalen Modus, ich kann aber wieder über den Task Manager arbeiten.
Das ist alles übrigens sowohl der Fall, wenn ich mich unter meinem Nutzernamen (mit Administratorfunktion) anmelde, als auch, wenn ich mich als Administrator anmelde.

Im abgesicherten Modus mit "Command Prompt" erscheint die Eingabekonsole. Das funktioniert also, genauso wie ich auch im normalen Modus mit cmd arbeiten kann.

Hab gerade entdeckt, dass ich per USB-Stick Daten auf und vom Laptop transportieren kann. Hier nun das Log-File von CF:
Kannst du mir bitte sagen, was genau von CF gelöscht wurde an Dateien und Registry-Einträgen? Die Log-Datei ist für mich nicht hundertprozentig selbsterklärend. (Und hätte ich eine Chance, das System wieder herzustellen, wenn ich diese dann wieder einfüge?) Danke!

Hi,

Hast du einen zweiten Rechner?

Schritt # 1: OTLPE

Falls Du kein Brennprogramm installiert hast, lade
dir bitte ISOBurner herunter.
Das Programm wird Dir erlauben, OTLPE auf eine CD zu brennen und sie bootfähig zu machen.
Du brauchst das Tool nur zu installieren, der Rest läuft automatisch => Wie brenne ich eine ISO Datei auf CD/DVD.

• Lade OTLPENet.exe von OldTimer herunter und speichere sie auf Deinem Desktop.
  Anmerkung: Die Datei ist ca. 120 MB groß und es wird bei langsamer Internet-Verbindung ein wenig dauern, bis Du sie runtergeladen hast.
• Wenn der Download fertig ist, mache einen Doppelklick auf die Datei und beantworte die Frage "Do you want to burn the CD?" mit Yes.
• Lege eine leere CD in Deinen Brenner.
• ImgBurn (oder Dein Brennprogramm) wird das Archiv extrahieren und OTLPE Network auf die CD brennen.
• Wenn der Brenn-Vorgang abgeschlossen ist, wirst Du eine Dialogbox sehen => "Operation successfully completed".
• Du kannst nun die Fenster des Brennprogramms schließen.

Nun boote von mit der OTLPE CD.
Hinweis: Wie boote ich von CD

• Dein System sollte nach einigen Minuten den REATOGO-X-PE Desktop anzeigen.
• Mache einen Doppelklick auf das OTLPE Icon.
• Wenn Du gefragt wirst "Do you wish to load the remote registry", dann wähle Yes.
• Wenn Du gefragt wirst "Do you wish to load remote user profile(s) for scanning", dann wähle Yes.
• Vergewissere Dich, dass die Box "Automatically Load All Remaining Users" gewählt ist und drücke OK.
• OTLpe sollte nun starten.
• Drücke Run Scan, um den Scan zu starten.
• Wenn der Scan fertig ist, werden die Dateien C:\OTL.Txt und C:\Extras.Txt erstellt
• Kopiere diese Datei auf Deinen USB-Stick, wenn Du keine Internetverbindung auf diesem System hast.
• Bitte poste den Inhalt von C:\OTL.Txt und Extras.Txt.

Schritt # 2: Bitte Posten

• Das Log von OTLPE

Ich hab die Datei C:\OTL.Txt.

Es wurde keine Datei C:\Extras.Txt erstellt. Soll ich etwas an den Einstellungen ändern (anbei) und den Scan nochmal laufen lassen, um Extras noch zu bekommen?
(Ich frage, bevor ich OTL.Txt poste, weil ich zum Posten einen 2. Rechner brauche und dafür eine Weile fahren muss).

Ich wurde nicht gefragt:
"Do you wish to load the remote registry?"

Otlpe
 

Einstellungen: Standard Registry = All, Extra Registry = Use Safe List

C:\OTL.Txt
C:\Extras.Txt
Ich bin mir nicht sicher, ob Daten und Uhrzeit immer korrekt sind. z.B. heute gegen 8 Uhr ([2016/03/14 08:11:04) war der Rechner definitiv aus.