wndcom.exe ?
 

Hallo zusammen,

der PC meines Vaters macht Mucken. Ich kann nicht ausschließen, dass er sich was eingefangen hat. Ich habe es selbst noch nicht checken können, aber folgendes hat mir mein Vater per Telefon mitgeteilt.

Nach dem Start erscheint ein Fenster mit der Meldung, dass wndcom.exe aufgrund eines Fehlers beendet werden muss. Ich habe noch nie was von wndcom.exe gehört. Hab mir auch die Finger wund gegoogled: nichts. Was ist diese ominöse wndcom.exe? Es geht aber noch weiter. Beim Systemstart öffnet sich der windows explorer und zwar mit dem "eigene Dateien" Ordner. Firefox und Thunderbird startet nicht. Nach Doppelklick erscheint zwar das Uhrglass, danach passiert aber nichts. Auch der Taskmanager öffnet sich nicht. Also checken, ob da was den Kanal verstopft Fehlanzeige.

Eigentlich wollte ich mir per Fernwartung die Sache mal ansehen, aber da auch der FritzDSL Startcenter nicht startet, konnte mein Vater auch keine IP Adresse durchgeben. Ich werde mir das also vorort anschauen müssen.

Vielleicht wisst Ihr ja was.

Gruss,

HRR

ootl:
Systemscan mit OTL
download otl:
http://filepony.de/download-otl/

Doppelklick auf die OTL.exe
(user von Windows 7 und Vista: Rechtsklick als Administrator ausführen)
1. Oben findest Du ein Kästchen mit Output. Wähle bitte Minimal Output
2. Hake an "scan all users"
3. Unter "Extra Registry wähle:
"Use Safelist" "LOP Check" "Purity Check"
4. Kopiere in die Textbox:
netsvcs
msconfig
safebootminimal
safebootnetwork
activex
drivers32
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%SYSTEMDRIVE%\*.exe
/md5start
userinit.exe
eventlog.dll
scecli.dll
netlogon.dll
cngaudit.dll
ws2ifsl.sys
sceclt.dll
ntelogon.dll
winlogon.exe
logevent.dll
user32.DLL
explorer.exe
iaStor.sys
nvstor.sys
atapi.sys
IdeChnDr.sys
viasraid.sys
AGP440.sys
vaxscsi.sys
nvatabus.sys
viamraid.sys
nvata.sys
nvgts.sys
iastorv.sys
ViPrt.sys
eNetHook.dll
ahcix86.sys
KR10N.sys
nvstor32.sys
ahcix86s.sys
/md5stop
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles
CREATERESTOREPOINT
5. Klicke "Scan"
6. 2 reporte werden erstellt:
OTL.Txt
Extras.Txt
beide posten.

OTL.exe wird auf mehrenen Websites als Trojaner bezeichnet. Was soll ich also davon halten?

HRR

na wir sind doch hier das trojaner board, bei uns ist name programm :d
ne jetzt ma spaß bei seite. schau dich, wenn du mir nicht traust, in allen andern threads um, otl.exe wird von uns hier täglich eingesetzt und ist definitiv kein trojaner.

So, hier das Ergebnis des OTL scans:

OTL text:OTL Logfile:
--- --- ---

Und hier der Extras text:OTL Logfile:
--- --- ---

Den scan musste ich im abgesicherten Modus durchführen und als Admin angemeldet, da beim normalen Boot Modus nichts ging.:wtf:

Bump!

Also habe mal im abgesicherten Modus Malwarebytes drüberlaufen lassen. Hat 8 Plagegeister gefunden und eliminiert. Nach dem Neustart im Normalmodus konnte ich wieder Programme öffnen. Aber es kommt jetzt jedesmal, wenn ich ein Programm schließe die Fehlermeldung, dass das "(Programm).exe aufgrund eines Fehlers geschlossen wird". Nach wie vor öffnet sich nach dem Windows Start der Eigene Dateien Ordner im Vollbildmodus. Firefox lässt sich wieder öffnen. Thunderbird stürzt allerdings jedesmal beim Programmstart ab. Auch warf die Fritz Firewall die Meldung aus, dass ein Programm namens Nitmen.net sich mich dem Internet verbinden will. Das hab ich natürlich verweigert. Ausserdem hängt der Rechner ja im Moment auch nicht am Netz.

Kann sich da trotzdem jemand nochmal die OTL Texte anschauen?

HRR

öffne malwarebytes, logdateien und poste das scan log.

So,

hier das MWB logfile:

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Datenbank Version: 4875

Windows 5.1.2600 Service Pack 3 (Safe Mode)
Internet Explorer 6.0.2900.5512

18.10.2010 23:17:46
mbam-log-2010-10-18 (23-17-46).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|)
Durchsuchte Objekte: 185467
Laufzeit: 57 Minute(n), 41 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 3
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 1
Infizierte Dateien: 4

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\cleansweep.exe (Trojan.Agent) -> Quarantined and deleted successfully.
HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\cleansweep.exe (Trojan.Agent) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\helper (Trojan.Agent) -> Quarantined and deleted successfully.

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
C:\cleansweep.exe (Trojan.Agent) -> Quarantined and deleted successfully.

Infizierte Dateien:
C:\cleansweep.exe\cleansweep.exe (Trojan.Agent) -> Quarantined and deleted successfully.
C:\cleansweep.exe\config.bin (Trojan.Agent) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\Besitzer\Anwendungsdaten\Adobe\Update\flacor.dat (Trojan.Agent) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\fjhdyfhsn.bat (Malware.Trace) -> Quarantined and deleted successfully.

HRR

machst du onlinebanking oder ähnliches?

Nein, wieso?

HRR

weil du einen keylogger hast und du später alle passwörter endern musst. und du hättest dann die bank anrufen müssen

OK, wie krieg ich den los? Im übrigen ist das der PC meines Vaters. Der surft nur etwas (ich frag mich allerdings wo?) und schreibt mails. Kann man recherchieren, wie und wo er sich den eingefangen hat? Ich muss dem alten Mann ja sagen, was er in Zukunft zu lassen hat.

Was ist aber mit dem seltsamen Verhalten von XP? Das ist doch sicher nicht mit einem Keylogger zu erklären.

HRR

erst mal das combofix log bitte

werd ich gleich mal machen. Kurze Zwischenfrage: Ich benutze einen USB-Stick, um die Logfiles vom infizierten Rechner auf meinen Rechner zu laden, um sie dann hier online zu stellen. Kann da was passieren?

HRR

die frage kommt ja wohl n bissel spät :d
aber normaler weise nicht. zu mindest nicht bei dieser art von schädling

Ich kann ja gleich noch meinen Rechner scannen, wenn der andere wieder läuft. Findet Malwarebytes eigentlich Keylogger?

Übrigens hab ich gerade gesehen, dass ich weder meine combofix.exe noch die Anleitung auf meinem Rechner finde (hab sie wahrscheinlich irgendwann mal gelöscht). Wo kann ich die finden?

HRR

lad sie neu runter.
und ja mbam findet keylogger

Warum hat mbam dann den keylogger nicht schon beim reparieren eliminiert?

HRR

mbam hat den fund auf dem ersten pc doch gelöscht. zu mindest siehts so aus, aber mehr kann ich dir nach combofix sagen

Combofix lässt sich im Normalmodus nicht starten. Nach dem Doppelklick und dem Laden kommen jede Menge Fehlermeldungen (z.B. NirCmd hat ein Problem festgestellt und muss beendet werden, iexplore hat.... etc.). Dann erscheint noch ein Fenster "Error Win32 only Incompatable OS. Combofix only works for worksations with windows 2000 and XP".

Es ist aber ein Rechner mit XP.

HRR

lösche deine version, lad sie noch mal.
dieses mal, rechtsklick auf download link, ziehl speichern unter, lösche
combofix.exe
schreibe
234.com
starte in den abgesicherten modus, nach speichern. und führe dort combofix aus.
ps. nicht in den abgesicherten modus mit netzwerk.

Alles so weit verstanden ausser "schreibe 234.com". Meinst Du umbenennen? Edit1: Hab's verstanden. Allerdings hat Combofix wegen Antivir guard "gemault". Der ist doch aber im abgesicherten Modus gar nicht aktiv. Zumindest kann ich ihn nirgendwo deaktivieren.

Edit2: Jetzt hat Combofix eine fehlende Systemwiederherstellungskonsole angemahnt. Ich dachte, die Systemwiederherstellung ist Teil von XP. Ich hab's jetzt mal ohne gestartet.

HRR

So, hier die Combofix logfile:

Combofix Logfile:
--- --- ---

HRR

Bump.

Leider warte ich immer noch auf eine Aussage, wie ich den Rechner wieder flott kriege. Anybody?

HRR

mein computer war kaputt!

start programme zubehör editor, kopiere rein:


killall::
Rootkit::
c:\dokumente und einstellungen\Besitzer\Anwendungsdaten\Adobe\Update\wndcom.exe
Registry::
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Dowin"=-


Datei speichern unter, ort, dort wo sich combofix.exe befindet, dateityp, alle dateien, name:
cfscript.txt

ziehe cfscript auf combofix, programm startet, log posten.

Sorry, konnte ich ja nicht wissen. Dachte, mein Problem interessiert hier keinen mehr.

Also ich hab die txt.file kopiert und auf combofix gezogen. Ging aber wieder nur im Abgesicherten Modus. Da kam wieder die Nachricht, dass Avira Guard aktiv ist, was aber nicht stimmt. AVguard ist ja im abgesicherten Modus nicht aktiv. Ausserdem wurde nach er fehlenden Wiederherstellungskonsole gefragt. Die ist definitiv vorhanden. Vielleicht nicht im abgesicherten Modus.

Combfix läuft nun, aber da hieß es, dass in diesem Modus nicht alle Funktionen laufen.

Also was weiter tun?

So, Combofix hat eine logfile erstellt.

Ich hab im Text was von Rootkit gelesen. Ich muss die Logfile mit Hilfe eines USB Sticks auf meinen PC laden, um sie online zu posten. Kann ich das riskieren?

HRR

ja bzw will combofix doch sicher nen neustart? dann diesen mal durchführen.

Ich glaube, Combofix hatte von sich aus nen Neustart gemacht. Leider saß ich mit dem Rücken zu diesem PC, da ich an meinem anderen PC arbeitete.

Anyway, kann ich bedenkenlos die logfile auf den USB Stick kopieren und an meinen PC andocken ohne diesen zu infizieren?

HRR

das logfile kannst du rüber kopieren.
c:\dokumente und einstellungen\Besitzer\Anwendungsdaten\Adobe\Update\wndcom.exe
sollte nun nicht mehr laufen.

Alles klar, muss aber bis heute abend warten. Bin noch im Geschäft.

Was also ist wndcom.exe, ein Rootkit? Wenn ja, warum habe ich beim googlen absolut nichts darüber gefunden?

Übrigens, Thunderbird stürzt nach der Combofix Aktion immer noch sofort ab.

Und was war eigentlich mit der Geschichte, das bei Combofix im abgesicherten Modus nicht der volle Funktionsumfang gewährleistet ist (na ja so was ähnliches hat da gestanden)?

HRR

da ich die genaue meldung nicht kenne kann ich dir darauf nicht antworten. ich möchte das du den ordner qoobox, welcher sich auf c: befindest, mit winzip oder rar packst und dann hoch lädst.
ich muss mir die dateien mal ansehen.
http://www.trojaner-board.de/54791-a...ner-board.html
um thunderbird kümmern wir uns dann danach.

Alles klar, mache ich, wie gesagt, wenn ich später zuhause bin.

HRR

ja keine eile.

So, hier kommt erst mal die Combofix logfile von gestern Nacht:

Combofix Logfile:
--- --- ---

HRR

Ähh, die Qoobox file habe ich hochgeladen, nur seh ich sie nicht im thread.

HRR

GMER Rootkitscanner - Paules-PC-Forum.de
poste den gmer report.
ist das einzige problem welches wir lösen müssen, der thunderbird absturtz? sonst läuft jetzt alles?

gmer werde ich runterladen und damit scannen. Im Moment ist der Thunderbird Absturz wohl noch das primäre Problem. Ob sonst noch was nicht funzt, muss man im laufenden Betrieb klären.

Ist die Zipfile mit Qoobox angekommen. Muss ich wissen, sonst versuch ich es nochmal. Oder ist es normal, das die Datei im Thread nicht angezeigt wird??

HRR

die datei ist angekommen. und es ist normal, soll nicht jeder drauf zugriff haben.
sie wurde aber wohl in der zwischenzeit schon von deinem av gelöscht.

Hier die GMER logfile:

GMER Logfile:
--- --- ---

HRR

musst du im thunderbird noch mails sichern? sonst könnten wir thunderbird mal neu instalieren.

Mein Onkel hat den Rechner aufgesetzt. Aber so wie ich das sehe, sind die Daten auf der D:Partition abgelegt. Da ich selbst aber Outlook Express benutze, weiss ich nicht so genau, wie ich das überprüfen soll.

HRR

na wer nutzt dannn denn thunderbird, den jenigen solltest du dann mal fragen ob da daten zu sichern währen.

So kann weitergehen. Also mein Vater nutzt den Rechner, hat aber keine Peilung. Der Rechner wurde von meinem Onkel aufgesetzt.

Im normalen Profil-Ordner von Thunderbird auf der C: Partition steht nichts drin bzw. die Files sind da, aber aufgrund der Dateigröße ist klar, dass da keine e-mails liegen. Auf der D: Partition gibt es einen Ordner mit Thunderbird Maildaten. Ich gehe mal davon aus, dass der Pfad im Thunderbird darauf verweist. Kann es allerdings nicht nachprüfen, da ja Thunderbird beim Start sofort abstürzt.

HRR

wie groß ist der ordner denn, dein vater muss doch wissen ob er wichtige mails hat die er sichern will :-)

2,4 GB. Mein Vater weiss PC-mäßig garnix, ausser vielleicht, wie man ihn so vermurkst, dass Sohn ihn wieder zum laufen bringen muss ;-). Und natürlich will er die mails wiederhaben.

Im übrigen hab ich mal in dieser profiles.ini auf C: nachgeschaut. Da gibt es keinen Verweis (mehr) auf den neuen Pfad. ??

HRR

ich denke der ordner sollte es dann sein. ist denn da was mit dem mail konten namen deines vaters drinnen?

Wie meinst Du das ?

HRR

so müsste das aufgebaut sein
Profile verwalten ? Thunderbird Mail DE
evtl. andere pfad angabe.

Das ist dann aber der Standard Pfad, wenn das Profil auf C: liegt.

Die Profiles.ini, wo ja der Pfad festgelegt wird, verweist wie gesagt nicht auf den eigentlichen Speicherort (D).

Kann es in diesem Zusammenhang sein, wenn man TB updated, dass der Speicherort wieder auf default gesetzt wird?

HRR

ja, ich sag ja, evtl. anderer pfad, du solltest nur mal schauen ob der name übereinstimmt.
du kannst ja mal den pfad in die profiles.ini einfügen und schauen was passiert.

Garnix ist passiert, ausser dass Thunderbird noch nicht mal mehr startet und sofort abstürzt, sondern nur die Eieruhr läuft und wieder aufhört.

Im thunderbird ordner unter C: wurden allerdings einige Files kreiert, die vorher nicht da waren.

HRR

dann musst dus eben löschen und hoffen das der profilordner auf d: liegt. laut thunderbird hilfe wird er sowieso nicht gelöscht bei deinstalation.
also deinstalieren, neustarten, neueste version laden, instalieren.

Werd ich machen. Und wie stelle ich danach erfolgreich die Verknüpfung zum Ordner in D: wieder her?

HRR

musst mal in den optionen schauen bzw beim instalieren, ich nutze kein thunderbird. müsste aber auf jeden fall in den optionen sein

So wie es aussieht, gab es trotz Deinstallation irgendwo einen Verweis auf das Profilverzeichnis, da die Neuinstallation sofort den Pfad "wiedergefunden" hat, ohne dass ich etwas konfigurieren musste.

Gibt es jetzt abschließend noch einen Test, damit ich sicher sein kann, dass der Rechner sauber ist?

HRR

eset online scan:
Free ESET Online Antivirus Scanner
ergebniss posten.

Das kann ich dann aber erst machen, wenn der Rechner wieder bei meinem Vater ist. Hier kann ich ihn nicht ans Netz hängen, da mein Netzwerk nicht kompatibel ist.

HRR

ok mach das.

So, der ESET Scanner ist drübergelaufen. No threats found. Allerdings kam da nur ein Fenster, wo diese Nachricht stand, keine logfile wie bei den anderen Scannern.

Seltsamerweise hat vor dem Scan Avira mehrmals angeschlagen. "wndcom.exe" ist das Trojanische Pferd: TR.(Name weiss ich nicht mehr). War das vielleicht ein Fehlalarm?

Mittlerweile hab ich rausgekriegt, das wndcom.exe wohl Bestandteil einer Adobe Anwendung ist. Allerdings wie gesagt, im Netz steht darüber nichts.

HRR

kannst du die avira meldung mal posten?

Würde ich gerne, leider kam die Meldung nur vor dem ESET Scan. Ich habe für den Scan Avira Guard deaktiviert. Nach dem Scan bzw. nach dem aktivieren von Avira Guard kam die meldung nicht mehr. Auch im Quarantäne Ordner von Avira war kein Hinweis auf diese Aktionen hinterlegt. Ich werd mal bei meinem Vater nachfragen, ob die Meldung nochmal aufgetaucht ist.

HRR

avira,ereignisse, dort sollte es stehen.

Hier ist die Message:

In der Datei 'C:\Dokumente und Einstellungen\Besitzer\Anwendungsdaten\Adobe\Update\wndcom.exe'
wurde ein Virus oder unerwünschtes Programm 'TR/Riner.aby' [trojan] gefunden.
Ausgeführte Aktion: Zugriff verweigern

HRR

nutze mal cureit nach anleitung
nutze mal cureit nach anleitung
http://www.trojaner-board.de/59299-a...eb-cureit.html
und lad das log bei
File-Upload.net
hoch und poste den link.

Hi, wollte heute CureIt drüberlaufen lassen. Da hat mir mein Vater eröffnet, das der PC nicht läuft. Das wäre passiert, nachdem er ein paar Tage ohne Probleme gelaufen war.

Nachdem Systemstart erscheint das Hintergrundbild, aber Taskleiste und alle Desktop Icons sind weg. Abgesicherter Modus startet auch nicht. Taskmanager lässt sich öffnen (es laufen allerdings nur ca. 23 Prozesse, scheint mir ein bißchen wenig).

Kurioserweise springt der Avira Guard an: TR/Patched.KL.219 in winlogon.exe gefunden. Kommt immer wieder obwohl in quarantäne verschoben.

HRR

ja, weil winlogon für den systemstart benötigt wird..
wir sichern jetzt daten, und setzen neu auf, das wird hier ja ne jahresarbeit und das ist, sorry, verschwendete zeit :-)
brenne die ubuntu live cd
Download | Ubuntu
boote den rechner, sichere daten.
dann meld dich und es gibt anweisungen zum neuaufsetzen /absichern

Tja, hatte leider auch keine Ahnung dass es so schwerwiegend ist.
So Ubuntu gebrannt und die Live CD gestartet. Hab allerdings keine Erfahrung damit. Wenn Du sagst Daten sichern, meinst DU dann nur die auf der C: Partition? Die D: Partition ist ne extra Festplatte. Die brauche ich doch nicht plattmachen.

In diesem Zusammenhang: Wie sichere ich mit Ubuntu die Daten bzw. auf was? CD? Wenn ja, hat Ubuntu ne Brennfunktion? Oder gibt es so etwas wie nen Explorer, wo ich die Daten auf die D:Partition verschieben kann?

HRR

du sollst wichtige dateien, dokumente verschieben, von c nach d: zb nur c muss formatiert werden
UBUNTU - Datei-Browser, Ansichtsoptionen, Dateien verwalten

Meine USB Maus verabschiedet sich dauernd. Liegt das an Ubuntu? OK, der PC hat nur 512 mb RAM. Wenn ich den USB Stecker rausziehe und wieder einstecke funzt die Maus wieder.

So, Daten gesichert. Soll ich jetzt formatieren und XP frisch aufsetzen?

HRR

vllt verträgt sich ubuntu nicht so recht mit den usb treibern
ja, und danach gleich antiviurs drauf und windows updates, servicepack3 also und ie8 nciht vergessen, dann melde dich wegen weiterer tipps zum absichern

IE8 obwohl Firefox verwendet wird?

HRR

ja. auch der firefox greift auf den ie zurück auf das zonen model, und viele windows anwendungen auf desen komponennten, alles muss aktuell sein auf dem system.
außerdem solltet ihr sowieso mal über eine sicherere alternative wie den opera nachdenken.

Wäre eine Alternative, aber nur wenn der Import von Mails und Adressbuch aus TB und Lesezeichen aus Firefox möglich sind. Auch darf Opera nicht zu kompliziert sein. Mein Vater "kämpft" sowieso schon mit der Technik.

Wo gibt's ne gute, übersichtliche und schnell verständliche Infopage zu Opera?

HRR

gibts.
gegen thunderbird ist nichts einzuwenden, obwohl opera mail gibts auch.

dep für alle prozesse:
Datenausführungsverhinderung (DEP)
• "Datenausführungsverhinderung für alle Programme und Dienste mit Ausnahme der ausgewählten einschalten:".
wenn es zu problemen kommen sollte, kann man die betroffenen prozesse aus der Überwachung entfernen.

windows updates aktivieren:
Grundlegendes zu automatischen Windows-Updates
lasse sie automatisch instalieren.
opera:
mit diesem tool lässt sich ein werbeblocker laden
Opera URLFilter Downloader ? OperaWiki
dieses tool 1x pro woche manuell ausführen.
zusätzlich kannst du das auch manuell erledigen, falls mal etwas nicht geblockt wird:
Computerbase - Werbung blockieren
auch diese tutorial seite mal ansehen.
Opera Tutorial- Übersicht
hier besonders die abschnitte sicherheit (kookies) und passwort durchlesen

dienste konfigurieren:
Windows-Dienste sicher konfigurieren und abschalten (Windows 7/Vista/XP/2000) - www.ntsvcfg.de
download link ist hier
http://ntsvcfg.de/svc2kxp.zip
lies den abschnitt über die svc2kxp.md
du solltest die methode 3 wählen, diese ist die sicherste.
je weniger dienste der pc nach außen anbietet, desto besser.
automatische windows updates sowie inteligenter hintergrundübertragunsdienst sollten schon aktiev sein, prüfe das bitte nachdem du das tool ausgeführt hast nach.
start ausführen
services.msc
suche die beiden dienste und schaue ob der starttyp automatisch lautet, falls nicht, wähle den dienst aus, rechtsklick, eigenschaften, starttyp automatisch

wenn dein vater es lieber einfacher mag, würde ich auf comodo verzichten, dafür aber den browser in sandboxie laufen lassen.
dienste konfigurieren:
Windows-Dienste sicher konfigurieren und abschalten (Windows 7/Vista/XP/2000) - www.ntsvcfg.de
download link ist hier
http://ntsvcfg.de/svc2kxp.zip
lies den abschnitt über die svc2kxp.md
du solltest die methode 3 wählen, diese ist die sicherste.
je weniger dienste der pc nach außen anbietet, desto besser.
automatische windows updates sowie inteligenter hintergrundübertragunsdienst sollten schon aktiev sein, prüfe das bitte nachdem du das tool ausgeführt hast nach.
start ausführen
services.msc
suche die beiden dienste und schaue ob der starttyp automatisch lautet, falls nicht, wähle den dienst aus, rechtsklick, eigenschaften, starttyp automatisch

es gibt eigendlich kaum unterschiede zum normalen browsen, nur downloads muss man wiederherstellen, dafür gibts ein fenster. und anstatt den browser anzuklicken, klickt man auf "sandboxed web browser"
du hättest mit diesem programm die infektion verhindern können, da sie in der sandbox hängen geblieben wäre und dort nach löschen weg gewesen währe.
diese sandbox ist auch sicherer als die von comodo.
autorun deaktivieren:
über diesen weg werden sehr häufig schaddateien verbreitet, schalte die funktion also ab.
Tipparchiv - Autorun/Autoplay gezielt für Laufwerkstypen oder -buchstaben abschalten - WinTotal.de
usb sticks, festplatten etc, sollte man mit panda vaccine impfen:
ANTIMALWARE: Panda USB Vaccine - Download FREE - PANDA SECURITY
so holt man sich keine infektionen ins haus, wenn man mal die festplatte etc verleit.
hake an:
hake an:
run panda usb vaccine automatically when computer boots
automatically vaccine any new insert usb key
enable ntfs file suport
den autostart für cds kannst du aktiev lassen.

Updates sind für dein system genauso wichtig, wie ein antivirenscanner. Sehr häufig gelangen schädlinge nur aufs system, weil der user veraltete software nutzt.
instaliere die folgenden update checker.
Secunia:
http://www.trojaner-board.de/83959-s...ector-psi.html
und file hippo update checker:
FileHippo.com Update Checker - FileHippo.com
das file Hippo Symbol wird im infobereich neben der uhr auftauchen, mache bitte nen rechtsklick darauf, wähle settings, results, setze einen haken bei "hide beta updates" klicke ok.
dann doppelklicke file hippo, eine Internetseite wird geöffnet, auf der dier die aktuellsten updates gezeigt werden, diese downloaden und instalieren.

Beide programme sollten im autostart bleiben, und sobald eines der programme updates anzeigt sollten diese umgehend instaliert werden.
achtung:
bei einigen programmen werden englische setups angeboten. das sollte man ersehen können, die setupdateien sollten ein .en oder .us enthalten. wenn dem so ist, sollte man beim hersteller schauen, dort gibts die deutschen setups zu laden.
Falls du die hersteller seite nicht kennst, google wird bestimmt behilflich sein :-)
regelmäßige Backups des systems sind sehr wichtig, du weist nie, ob deine festplatte mal kaputt geht.
Paragon Backup & Recovery Free Edition - Das Produkt
außerdem kannst du, bei neuerlichem malware befall das system zurücksetzen.
Das Backup sollte möglichst auf eine externe festplatte etc emacht werden, nicht auf die selbe, wo sich die zu sichernden daten befinden.
Von sehr wichtigen Daten könnte man noch eine zusätzliche Sicherung auf dvds/cds erstellen, dazu könnte man auch wiederbeschreibbare verwenden (rws) falls die sammlung mal erneuert werden soll.
bitte alle passwörter endern!

noch was vergessen:
avira.
http://www.trojaner-board.de/54192-a...tellungen.html
genauestens nach anleitung einrichten, bzw konfigurieren.
bitte auch unter verwaltung, planer, scan auftrag, darauf achten, das dieser über lokale laufwerke läuft! sonst werden die einstellungen nicht gültig.
den update auftrag auf 1x pro tag einstellen.

Ich werd das alles mal durchackern. Wenn ich Fragen hab, melde ich mich.

Eine Sache gleich noch: bzgl. Windowsdienste abschalten. Der PC ist über LAN and die Fritzbox (läuft als Router) angeschlossen. Dies soll auch so bleiben. Welches file muss ich dann nehmen?

HRR

versuch mal methode 2.
man kann die enderungen, steht ja auch im link, mit restore rückgängig machen.

So, Zwischenbericht: bzgl. Windowsdienste habe ich keine Dienste finden können, die windows updates oder inteligenter hintergrundübertragunsdienst heissen. Werden die in XP Home bei der Auflistung eventuell anders betitelt?

TweakUI: Das installierte sieht anders aus (133) und man kann nur CD-ROM Wiedergabe abschalten, aber nicht andere austauschbare Datenträger. Übrigens, kann man die Installationsdateien (also die aus der Zipfile) wieder löschen oder wird auf die zugegriffen?

gpedit.msc ist nicht auf dem Rechner da XP Home.

HRR

Noch was, gibt es bei Opera eine Funktion, die beim Schließen des Browsers alle Internetspuren löscht (ähnlich wie bei Firefox)?

HRR

welchen sinn sollte es machen, irgendwelche dateien aus dem zip archiv zu löschen? dann gibts die doch nicht mehr und das archiv ist leer, oder verstehe ich falsch was du möchtest?
unter xp home gibt es den dienst windows updates unter start ausführen services.msc.
du könntest auch den dienst shell hardware erkennung auf deaktiviert setzen, hat den selben efekt.
öffne mal opera, extras, optionen, verlauf, verlauf und chache leeren, haken rein.

wenn du immer in der sandbox surfst, und dort wählst das die sandbox automatisch geleert wird, wäre das auch nützlich.

Das verstehst Du wirklich falsch. Die entpackten Dateien sind jetzt in einem Ordner auf der C: Ebene. Es gibt ein Icon in der Systemsteuerung und offensichtlich hat TweakUI ja auch was in den system32 Ordner geschrieben. Inwieweit ist es jetzt noch wichtig, dass die files im TweakUI Ordner auf dem Rechner sind? Oder wird darauf immer wieder zugeriffen?

HRR

lasse sie dort

Secunia Software Inspector Scan stuft Macromedia Flash Player und Winodws XP als Sicherheitsbedrohung ein. Was soll man davon halten?

HRR

wenn keine updates angeboten werden, ist das ne art "einstufung" im moment sind einige exploits im umlauf die bekannte und nicht geschlossene lücken nutzen, dies ist also nur eine informatieve meldung.

Interessant hierbei ist, dass ich nicht wissentlich Macromedia Flash Player installiert habe. Kann es sein, dass das mit Adobe Reader installiert wurde?
Ausserdem wurde sowohl Flash Player 6 als auch Flash Player 7 als Bedrohung angezeigt. Als ob zwei verschiedene Versionen auf dem Rechner wären.

Windows XP: wenn man hier bei Seconia auf den Button hinten klickt, geht der Internet Explorer auf. Ist ja nicht besonders sinnvoll, wenn man eigentlich Opera in der Sandbox laufen haben will.

HRR

schau mal unter systemsteuerung, software, welcher flash player instaliert ist.
versuch mal mit dem revo uninstaller den zu deinstalieren
Revo Uninstaller
zeigt secunia nun immernoch was an? wenn nein, lad ihn neu runter.
ich denke um den flash player wirst du nicht rumm kommen, da viele seiten flash nutzen.
das mit dem ie ist wirklich ein problem, das liegt aber an secunia.
wenn ihr die vollversion von sandboxie habt, könnt ihr unter "erzwungeneer programmstart" den ie auswählen und opera auch, sodass diese programme immer in der sandbox starten.

Eigentlich ist gar kein Flash Player installiert. Zumindest laut Systemsteuerung/Software.

Ja, immer noch die 3 besagten Programme, also Flash Player 6, Flash PLayer 7 und Windows XP. Windows aber wohl nur, da alle Nase lang Updates verfügbar sind.

Der kann ja ruhig installiert werden.


Ich hab nur die kostenlose. Ich weiss nicht, ob das mit dem auch geht.

HRR

mit der kostenlosen geht das nicht.
aber ich denke 30 € für ne lebenslange lizenz ist nicht zu viel.
ich mach meine updates immer selbst, deswegen kann ich dirs net genau sagen, wenn du in secunia auf erweitert klickst, sollte dir angezeigt werden, wo secunia den flash player findet, also mit pfad angabe, dann kann man die datei manuell löschen. bzw kannst du mir die pfadangabe mal aufschreiben.

Secunia sucht wohl auch alle Partitionen durch. Der Flash Player ist in einem alten Backup Ordner auf der D: Partition.

Kann man in der freeware Version einstellen, dass der nur auf C: sucht?

Übrigens hatte ich Avira 10 nach deinen Einstellungen konfiguriert. Filewalker fror ein, durchsuchte nichts. Ich hab dan manuell die Verzeichnisse ausgewählt und Scan gestartet. Jetzt weiss ich allerdings nicht ob der alles scannt oder nur nach den vorher eingestellten Kritierien.

HRR

wie meinst du file walker durchsucht nichts? er durchsucht auf jeden fall mit meinen einstellungen alle laufwerke. wenn du über lokaler schutz, lokale laufwerke suchen lässt.
das mit secunia geht glaub ich nicht. musst mal in den optionen scahuen

Na ja, gestern habe ich den Scan händisch gestartet, da der Scan im Planer eigentlich auf Sonntag steht. Als ich in ner Werbepause in der Glotze mal nachgeschaut hab, zeigte Avira an 0 Dateien durchsucht. Weiss auch nicht warum.

Wenn Secunia auch auf den anderen Platten rumnudelt und Alarm schlägt, ist das natürlich nervig. Sind ja teilweise Datei-Leichen, die sukzessive gelöscht werden. Aber das kann ich dann meinem Vater nicht zumuten, wenn sich das Ding ständig meldet und Bedrohungen anzeigt.

HRR

naja jetzt wird doch nichts mehr angezeigt nehme ich an? dann muss er ja nur die setups löschen, die er läd, um programme zu instalieren, dann sollte es passen.

Meintest Du das jetzt bezogen auf Secunia? Sollte das dann heissen, dass ich gar keine setup files (also auch die von Programmen, die installiert sind) auf dem Rechner lassen soll, sondern bei Neuinstallation immer neu aus dem Netz ziehen sollte?

Was kannst Du bzgl. Avira sagen.

HRR

hast du bei avira, konfiguration, scanner den haken bei symbolischen verknüpfungen folgen rausgenommen?
versuch noch mal nen scan über lokaler schutz, lokale laufwerke.
naja setups sollten schon möglichst immer die aktuellen sein, bringt ja nichts ewig viele alte setup dateien aufzuheben.

Ich hab Avira laut deiner Anleitung konfiguriert. Eben hab ich nochmal einen Scan gestartet. Zeit läuft ab, auf die Festplatte wird auch zugegriffen, aber im Filewalker Fenster ändert sich weder der Status, noch ändert sich was bei der Prozent-Anzeige bzgl. des Fortschritts. OK, jetzt erst, nach ca. 4 Minuten scannt er sichtbar.

HRR

hmm merkwürdig aber so lange er arbeitet passt das ja.

Sorry, dass ich mich jetzt erst wieder melde. Also, der PC läuft stabil. Alles "Sicherheitsvorkehrungen" getroffen, Images hergestellt, gesandboxt, gescant etc. Vielen Dank für die extensive Hilfe. Dieser Faden kann als gelöst gekennzeichnet werden.

Gruss,

HRR

ok. images kann man immer mal wieder machen, geht ja automatisch.
vllt alle 1-3 wochen, je nach dem wie viel man mit dem pc macht.
schön, dass jetzt alles läuft.