Printable View
on request of rene-gad here the attached files after running AVZ as per description but
the file [B][I]virusinfo_syscure.zip is [/I][/B]is not in the LOG!??? I did it again and its OK now
hope to hear soon from you! and thanks in advance
peerki
PS: as soon I start booting winXP I can see in the contol Mgr. the programm proyecto1 starting, which I then stop immediatly. hope this info helps
Hallo peerki
Die Logs sehen sauber aus, wobei Du vergessen hast, das AntiVir und die anderen Programme vor der Erstellung der Logfiles auszuschalten - das ist der Grund, warum die Erstellung des Logfiles virusinfo_syscure.zip fehl schlug.
Führe folgendes Script aus:
[CODE]begin
SetAVZGuardStatus(True);
BC_QrFile('c:\windows\system32\rundll32.exe');
BC_Activate;
RebootWindows(true);
end.[/CODE]
und nach dem Reboot uploade die Quarantäne, falls sie nicht leer wird, über den roten Link oben auf der Seite.
hier die quarantaine files und secure nachträglich
gruß
peerki
ps. beim winXPboot will der poryecto1 nach wie vor starten lt. task mgr.
[COLOR="Red"]moderated::: Die Quarantäne soll über den roten Link oben auf der Seite geuploaded werden. Archiv ist mit dem Passwort [B]virus[/B] zu schützen[/COLOR]
Die Logs zeigen nichts Auffälliges, die geuploadene Datei war nicht die, die ich sehen möchte, aber es heißt AVZ hat die Datei rundll32.exe als gut erkannt.
Lade mal das Tool herunter und lasse laufen: [url]http://ftp.kaspersky.com/devbuilds/AVPTool/[/url]
Dabei schalte Avira Guard ab.
hallo rene
das dauert aber 1 std. also ab jetzt noch 30 min
CU
peerki
PS habe allerdings die quaranaine dateien gleich nach letzter post auch über den roten link upgeloaded. hast du den dann gesehen?
[QUOTE=peerki;258615]
habe allerdings die quaranaine dateien gleich nach letzter post auch über den roten link upgeloaded. hast du den dann gesehen?[/QUOTE]
Jo, aber wieder mal nicht PW-geschützt ;). Es war nichts Böses drin, allerdings: die geuploadenen Quarantänen werden zum KasperskyLab geleitet. Falls im der ungeschützten Quarantäne was Böses drinne steckt, wird diese sofort gelöscht und die Analytiker bekommen gar nichts zum Analysieren ;).
Das Anhängen der Quarantäne zum Posting ist überhaupt strengst untersagt, damit die bösen Buben die Dateien nicht missbrauchen könnten :)
yep, habs noch 20 min ca
der rajo meinte sollte DDS nach neustart laufen lassen aber im tskmgr. NICHT den process proyecto1 stoppen. birgt das nicht der gefahr dass es gerade dann etwas anstellt, zumal die symantec leute es als sehr schwierig zu reparieren einstufen. im übrigen stufen die es groß nur als risikostufe 2 ein, schreiben gaaannz unten dann "schaden: hoch". witzbolden oder herunterstufen eines problems
[size="1"][color="#666686"][B][I]Äîáàâëåíî ÷åðåç 37 ìèíóò[/I][/B][/color][/size]
so AVP tool hat jetzt alles durch und NICHTS gefunden. allerdings hatte ja im taskmgr proyecto1 gestoppt.
was nun? der file ist ja 31 MB undiirrrre lang : brauchst du den?
[QUOTE=peerki;258622]
was nun? der file ist ja 31 MB undiirrrre lang : brauchst du den?[/QUOTE]Welche Datei denn?
[quote=Rene-gad;258645]Welche Datei denn?[/quote]
den den report von avp
[QUOTE=peerki;258646]den den report von avp[/QUOTE]
Das ist unglaublich :D Es soll nur eine html-Datei sein, ungefähr so groß, wie AVZ-Log. Steht dort was über PROYECTO1? Einfach durchsuchen, vllt. nur die relevanten Zeilen posten.
no im kasperky Lab tool ordner ist kein html datei vorhanden.
in der report-txt-datei die bei beendigung des laufs erstellt wurde gab es 0 detected und 0 untreated
ein suche nach "proy" innerhalb der txt datei ergab nichts.
da ich jetzt malwarebytes aktualisiert herüber laufen lasse nach einem neustart und im task mgr gesehen habe, dass proyecto1 wieder auf "ausführen" stand und diesmla NICHT gestoppt habe, bin ich gespannt was es findet. jedenfalls ist im taskmgr. der proyecto1 wieder verschwunden. ob es dann noch was findet??
[size="1"][color="#666686"][B][I]Äîáàâëåíî ÷åðåç 6 ìèíóò[/I][/B][/color][/size]
Scan
----
Scanned: 280914
Detected: 0
Untreated: 0
Start time: 23.07.2008 13:06:22
Duration: 01:16:24
Finish time: 23.07.2008 14:22:46
Detected
--------
Status Object
------ ------
usw.
Statistics
----------
Object Scanned Detected Untreated Deleted Moved to Quarantine Archives Packed files Password protected Corrupted
------ ------- -------- --------- ------- ------------------- -------- ------------ ------------------ ---------
All objects 239880 0 0 0 0 991 641 0 8
System memory 170 0 0 0 0 0 0 0 0
Startup objects 609 0 0 0 0 5 14 0 0
Disk boot sectors 4 0 0 0 0 0 0 0 0
Mail databases 2 0 0 0 0 1 0 0 0
winXP (C:) 239095 0 0 0 0 985 627 0 8
Settings
--------
Parameter Value
--------- -----
Security Level Recommended
Action Prompt for action when the scan is complete
Run mode Manually
File types Scan all files
Scan only new and changed files No
Scan archives All
Scan embedded OLE objects All
Skip if object is larger than No
Skip if scan takes longer than No
Parse email formats No
Scan password-protected archives No
Enable iChecker technology No
Enable iSwift technology No
Show detected threats on "Detected" tab Yes
Rootkits search Yes
Deep rootkits search No
Use heuristic analyzer Yes
Quarantine
----------
Status Object Size Added
------ ------ ---- -----
und hier der report der soeben beendete malwarebytes:
Malwarebytes' Anti-Malware 1.22
Datenbank Version: 981
Windows 5.1.2600 Service Pack 2
15:34:50 23.07.2008
mbam-log-7-23-2008 (15-34-50).txt
Scan-Methode: Vollständiger Scan (C:\|)
Durchsuchte Objekte: 134979
Laufzeit: 25 minute(s), 31 second(s)
Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0
Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)
Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)
Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)
Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)
Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)
Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)
Infizierte Dateien:
(Keine bösartigen Objekte gefunden)
[QUOTE=peerki;258683]
da ich jetzt malwarebytes aktualisiert herüber [/QUOTE]Von dem Murks kannste einfach vergessen: [url]http://forum.avira.com/wbb/index.php?page=Thread&threadID=70583[/url]
jep habs gelesen. danke!
wie kommen wir jetzt an den proyecto1 ran wenn der kurz auf ausführen geht und dann verschwindet bzw. kan ich herausfinden wer mir das eingebrockt hat?
[QUOTE=peerki;258711]
wie kommen wir jetzt an den proyecto1 ran wenn der kurz auf ausführen geht und dann verschwindet bzw. kan ich herausfinden wer mir das eingebrockt hat?[/QUOTE]
Ich bin mit meinem Latein am Ende :(. Versuche mal: [url]http://www.heise.de/software/download/codestuff_starter/46489[/url] herunterladen, installieren. Wenn Du dann der Prozess proyecto1 markierst (Kartei Prozesse), unten erscheint die Liste der Bibliotheken, die in diesem Prozess teil nehmen. Rechstklick/Als Text speichern. Diese Textdatei hänge dann hier an (nicht reinposten, nur anhängen!!!)
hier dann der SDfix report
[COLOR="Red"]moderated:::habe doch gesagt - keine Logs reinposten, um so mehr - nicht aufgeforderte!!![/COLOR]
[QUOTE]der STARTER von codestuff zeigt ein eintrag "proyecto1" (in klammern) von Al der durch "C:\Programme\Telefonica\bin\StartCmd.exe" aktiviert wird.[/QUOTE]
Du kennst doch dieses Programm. Zumindest ist es nicht als bösartig eingestuft.
[QUOTE]erstaunlicherweise zeigt TUNEUP2008 ein solcher eintrag nicht und das macht mir sehhrr stutzig!!![/QUOTE]
TuneUp-Hersteller würde ich auf einem großen Baum aufhängen - das Programm tut gar nichts Gutes, die Folgen bei einem falschen Schritt können sehr schwerwiegend sein.
[QUOTE]UND spybot kennt ebenfalls ein solcher systemstart NICHT[/QUOTE]Dann ist es nichts Bösartiges drin - bist Du auf so einen Gedanke nocht nicht gekommen :D ?
Entferne alle Progies, die Du nicht wirklich brauchst. Ich würde von TuneUp beginnen, dann Spybot S&D... Den Rest überlasse ich Dir ;)
PS: Sorry, habe gerade bemerkt, dass ich in Deinem Post die Antwort geschrieben habe :)
[size="1"][color="#666686"][B][I]Äîáàâëåíî ÷åðåç 1 ÷àñ 1 ìèíóòó[/I][/B][/color][/size]
danke und sorry wegen der post aber nach 6-7 std. blockade dieser lappie auf die ich so dringeng weiter arbeiten muss, greife ich nach jeden strohhalm der eine erklärung/hinweis geben könnte. ich kenn ja nur mein fall und habe nicht eueren feedback aus den vielen zusendungen.
jedenfalls bevor ich es vergesse: vielen lieben dank dass du solange dabei warst und zu helfen versucht hast!!!:)
habe das mit den versch. startupmgr. deshalb erwähnt, weil es vielleicht sein könnte, dass irgendwas sich im telefonica startmgr eingeschlichen hat: mich hat überrascht das proyecto1 in klammern dabei stand. alle andere ganz normal. Gut das spybot nichts entdeckt hat, logisch aber in der erweiterte version kannst du auch in den starteinträge die spybot gefunden hat einsehen. da gibt es den eintrag nicht. das machte mir stutzig ...
[QUOTE=peerki;258733]
Gut das spybot nichts entdeckt hat, logisch aber in der erweiterte version kannst du auch in den starteinträge die spybot gefunden hat einsehen. da gibt es den eintrag nicht. das machte mir stutzig ...[/QUOTE]Schaue lieber bei den Diensten nach. Ich weiß nicht, wofür Telefonica gut ist, aber es könnte sein, dass dieses Zeug einen Dienst hat, der automatisch startet. Dann ist der Autostart auch ohne den Autostart-Eintrag in Registry möglich :)
ok wieder was dazu gelernt, danke.
habe den assistente von telefonica gerade deinstalliert und dabei hat sich outpost gemeldet für eine regel:das programm KILLSPRTCMD.EXE wollte für proyecto1 eine ausgehende verbindung an die adresse dna.atar.rima-tde.net
habs erstmal einaml blockiert und die frage ist noch nicht wiedergekommen. mache jetzt mal neustart und schaue ob starter den eintrag noch kennt.
[size="1"][color="#666686"][B][I]Äîáàâëåíî ÷åðåç 11 ìèíóò[/I][/B][/color][/size]
nach neustart zeigt STARTER nach einem refresh immer noch den telefonica eintrag. und nun?? registry cleanen und wenn ja mit welchem?
[QUOTE=peerki;258772]
nach neustart zeigt STARTER nach einem refresh immer noch den telefonica eintrag...registry cleanen und wenn ja mit welchem?[/QUOTE]
Wo denn? Als StartUp-Eintrag - das kannst Du einfach löschen.
Außerdem gibt es:
Registrytool im CCleaner - (automatisch und manuell)
Registrytool im AVZ (Suchen nach Muster, Löschen manuell)
RegistryTool JV16 (ein gutes Tool, leider keine Freeware mehr, 30-Tage voll funktionsfähige Trial-Version)
Letztendlich gibt es regedit bei Windows ;)