Taskmanager lässt sich nicht mehr öffnen,nix geht mehr!

[rw80]

Moin Moin!

Hab gestern auf ner Tauschbörse dummerweise ne .exe-Datei geöffnet,ohne sie zuvor mit meinem AntiVir zu checken.Beim Ausführen flackerte mein Monitor kurz auf und anschließend wollte ich dann mal nachschauen,ob nun irgendnen fremdes unerwünschtes Programm im Hintergrund läuft,über den Taskmanager eben.Aber seit jenem Moment bekomme ich bei jedem Öffnungsversuch die Meldung,daß der Administrator den Taskmanager deaktiviert hat!Hatte dann im Netz mal bissl gestöbert und bin auf nen Artikel gestoßen,daß man über "Ausführen" und dem Befehl "regedit" was erreichen könne,aber auch hier kommt die Warnmeldung "Das Bearbeiten der Registrierung wurde durch den Administrator deaktiviert"

Ich bin der Admin meines Rechners und alleiniger Nutzer!

Habe die Windows-Firewall laufen und die ZoneLaps-Firewall.

Hinzu kommt noch,daß ich wirklich täglich mein AntiVir Update mache und gestern nen Durchlauf gemacht hab.Da wurde nichts gefunden!

Was zum Henker kann das denn sein?´Kann ich nen Schädling ausschließen?
Mein Betriebssystem Windows XP Professional SP2 Media Center Edition
Wäre über jede Antwort glücklich

[rw80]

Habe des Rätsels Lösung für alle mit dem selben Problem!!

Hier:

http://www.wintotal.de/Tipps/Eintrag.php?TID=177

[Fat_Mike]

Kann ich nen Schädling ausschließen?

ich gehe sogar fest von einem schädling aus. auch wenn du das problem scheinbar durch einen registry eingriff gelöst hast.


gruss
fat.

edit: 2 firewalls? was versprichst du dir von dem humbug? mehr sicherheit bei illegalen downloads?

[rw80]

Nein,daß mit den beiden Walls hat sich irgendwann mal so ergeben,daß ich einfach mal die Zonelaps Wall getestet hab und sie mir gefiel,da hab ich sie einfach nicht mehr deinstalliert und bekomme zusätzlich noch aufgelistet,wie oft ich attakiert wurde

Naja,die Windows-Wall hab ich auch nicht immer laufen...
Sicher reicht eine aus,ick weeeeeeeeeeeeeß...

Ach ja,mist...meinst echt dat dat nen Schädling ist?Die Kiste läuft eigentlich wieder recht gut und wie gesagt,AntiVir (aktuell) hat nichts gefunden.Hatte noch nen anderes Programm meinen Rechner prüfen lassen (Spy Sweeper ebenfalls aktuell) und der hat bei mir lediglich nen paar Cookies gefunden...

Weiß allerdings nicht,ob mein Rechner überhaupt "ausgebremst" werden würde,bzw. ob ich das merken würde.


Mal die Hardwarekomponenten:


AMD Athlon 64 3000+

Gigabyte GA K8NS Ultra 939

Gainward Geforce 6600 GT 256 MB DDR3

Corsair 2048 MB DDR 400 MHz

120 GB + 160 GB

Fujitsu Siemens 19' TFT 8ms

Genius Ergo 525

[Nikita]

Hijackthis

http://computercops.biz/zx/Merijn/hijackthis.zip
http://virus-protect.org/hjtkurz.html
Lade/entpacke HijackThis in einem Ordner
--> None of the above just start the program --> Save--> Savelog -->es öffnet sich der Editor
nun das KOMPLETTE Log mit rechtem Mausklick abkopieren und ins Forum mit rechtem Mausklick "einfügen"

[rw80]

Jo,hier das Abbild von Hijackthis,danke

Logfile of HijackThis v1.99.1
Scan saved at 12:55:27, on 05.06.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Sitecom\Bluetooth Software\bin\btwdins.exe
C:\WINDOWS\eHome\ehRecvr.exe
C:\WINDOWS\eHome\ehSched.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\ehome\ehtray.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\system32\nvraidservice.exe
C:\PROGRA~1\GAMING~1\MouseElf.EXE
C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
C:\WINDOWS\TBPanel.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Sitecom\Bluetooth Software\BTTray.exe
C:\Programme\Hewlett-Packard\Digital Imaging\bin\hpohmr08.exe
C:\Programme\Hewlett-Packard\Digital Imaging\bin\hpotdd01.exe
C:\Programme\Hewlett-Packard\Digital Imaging\bin\hpoevm08.exe
C:\PROGRA~1\Sitecom\BLUETO~1\BTSTAC~1.EXE
C:\WINDOWS\system32\wbem\unsecapp.exe
C:\WINDOWS\system32\dllhost.exe
C:\Programme\Hewlett-Packard\Digital Imaging\Bin\hpoSTS08.exe
C:\WINDOWS\eHome\ehmsas.exe
C:\PROGRA~1\T-Online\T-ONLI~1\Notifier\Notifier.exe
C:\Programme\T-Online\T-Online_Software_6\Basis-Software\Basis2\kernel.exe
C:\Programme\T-Online\T-Online_Software_6\Basis-Software\Basis2\sc_watch.exe
C:\PROGRA~1\T-Online\T-ONLI~1\BASIS-~1\Basis2\PROFIL~1.EXE
C:\WINDOWS\system32\taskmgr.exe
C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\Programme\hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://account.ea.com/myacct/view-accti ... app=myacct
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O4 - HKLM\..\Run: [ehTray] C:\WINDOWS\ehome\ehtray.exe
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [Zone Labs Client] C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NVRaidService] C:\WINDOWS\system32\nvraidservice.exe
O4 - HKLM\..\Run: [mouseElf] C:\PROGRA~1\GAMING~1\MouseElf.EXE
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [Gainward] C:\WINDOWS\TBPanel.exe /A
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [EA Core] C:\Programme\Electronic Arts\EA Downloader\Core.exe -silent
O4 - Global Startup: BTTray.lnk = ?
O4 - Global Startup: hp psc 1000 series.lnk = ?
O4 - Global Startup: hpoddt01.exe.lnk = ?
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Senden an &Bluetooth - C:\Programme\Sitecom\Bluetooth Software\btsendto_ie_ctx.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: @btrez.dll,-4015 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Programme\Sitecom\Bluetooth Software\btsendto_ie.htm
O9 - Extra 'Tools' menuitem: @btrez.dll,-4017 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Programme\Sitecom\Bluetooth Software\btsendto_ie.htm
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O12 - Plugin for .spop: C:\Programme\Internet Explorer\Plugins\NPDocBox.dll
O17 - HKLM\System\CCS\Services\Tcpip\..\{C40BE681-6329-464F-B0CD-6124EFD58AF1}: NameServer = 217.237.151.33 217.237.151.225
O18 - Protocol: widimg - {EE7C2AFF-5742-44FF-BD0E-E521B0D3C3BA} - C:\WINDOWS\system32\btxppanel.dll
O20 - Winlogon Notify: WRNotifier - C:\WINDOWS\SYSTEM32\WRLogonNTF.dll
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Bluetooth Service (btwdins) - Broadcom Corporation - C:\Programme\Sitecom\Bluetooth Software\bin\btwdins.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: iPodService - Unknown owner - C:\Programme\iPod\bin\iPodService.exe (file missing)
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: Windows-Firewall/Gemeinsame Nutzung der Internetverbindung (SharedAccess) - Unknown owner - C:\WINDOWS\C:\WINDOWS\system32\svchost.exe (file missing)
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Programme\TuneUp Utilities 2006\WinStylerThemeSvc.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe



Sieht da einer etwas Ungewöhnliches???

[Nikita]

1.
Start->Ausführen --> regedit

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System
DisableTaskMgr = "dword:00000001" --> auf 0 (oder den ganzen Schluessel loeschen)
DisableRegistryTools = "dword:00000001" --> auf 0 (oder den ganzen Schluessel loeschen)

HKEY_CURRENT_USER\Software\Microsoft\Windows\System\DisableCMD
(Ohne den Schlüssel Policies)

Wenn du jetzt im rechten Fenster einen Wert namens DisableCMD findest, lösche ihn. Spätestens nach einem Neustart sollte die Eingabeaufforderung wieder verfügbar sein

-------------
2.
Klick Start>> Ausführen>> schreibe Services.msc und Klick OK!
"Eigenschaften" >> Click "Stop">> Starttyp "deaktiviert"

Windows-Firewall/Gemeinsame Nutzung der Internetverbindung

(wir werden sie dann spaeter wieder aktvieren)

------------
3.

Kopiere diese 4 Textdateien ab . (rechtsklick mit der Maus -> den Text markieren -> kopieren -> einfügen) Sie sind nach Datum geordnet. (kopiere nur die letzten 3 Monate ab)
http://virus-protect.org/datfindbat.html

[rw80]

Also HKEY_CURRENT_USER\Software\Microsoft\Windows\System\DisableCMD
gibts bei mir nicht (ohne Policies)

Habe aber den Schlüssel

DisableTaskMgr = "dword:00000001" --> auf 0 (oder den ganzen Schluessel loeschen) gelöscht.

Und ehmmmm,jo die Firewall (Gemeinsame Internetverbindung war bei mir bereits totgelegt,dat hatte ich mal vor längerer Zeit gemacht *stolzist*

Und bei dem Tool "Datfindbat" kommt die Meldung:

"Die Eingabeaufforderung ist vom Admin deaktivert worden"

[Nikita]

die Verseuchung ist folgende:
http://virus-protect.org/artikel/dienst ... 32sys.html

Start > Ausführen > mmc > Datei > Snapin hinzufügen > Hinzufügen > Gruppenrichtlinien auswählen > hinzufügen > Fertig stellen > schließen > ok >Benutzerkonfiguration > Aministrative Vorlagen > System > Doppleklick auf "Zugriff auf Eingabeaufforderung verhindern" > deaktivieren > OK > alle Fenster schliessen > neu anmelden > an der Kommandozeile

dann sollte die Eingabeaufforderung wieder funktionieren

[rw80]

Jo,hab das durchgeführt

Aber die Windowsfirewalleinstellungen können nicht angezeigt werden,da der zugehörige Dienst nicht ausgeführt wird.Soll der Dienst "Windows-Firewall/Gemeinsame Internetverbindung" gestartet werden?

Darf ich da ja klicken???



Man,vielen vielen Dank für die Mühe @ Nikita

Wie kommts daß Du so viel Plan von der Sache hast? Biste Informatik-Techniker(in)?

[Nikita]

Kopiere diese 4 Textdateien ab . (rechtsklick mit der Maus -> den Text markieren -> kopieren -> einfügen) Sie sind nach Datum geordnet. (kopiere nur die letzten 3 Monate ab)
http://virus-protect.org/datfindbat.html

[rw80]

Jo,das geht ja jetzt sogar wieder *juhu*

Hier die Log:

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 1822-7325

Verzeichnis von C:\WINDOWS\system32

06.06.2006 14:55 41.108 vsconfig.xml
06.06.2006 14:55 2.958 mouseconfig.inf
06.06.2006 14:55 43.573 nvapps.xml
04.06.2006 22:44 15.557 ckl009.dat
04.06.2006 21:04 163.328 wsock32.sys
04.06.2006 20:58 186.392 senqa2g892.ini
04.06.2006 17:01 2.278 wpa.dbl
25.05.2006 23:20 176.167 rmoc3260.dll
25.05.2006 23:20 6.656 pndx5016.dll
25.05.2006 23:20 5.632 pndx5032.dll
25.05.2006 23:20 278.528 pncrt.dll
08.05.2006 13:37 98.304 CmdLineExt.dll
04.05.2006 06:26 5.818.784 MRT.exe
24.04.2006 00:19 7.006 jupdate-1.5.0_06-b05.log

[rw80]

Hm,und kann man da jetzt etwas sehen?? *grübel*

Ach ja,wenn ich jetzt die Firewall starten will,fragt er mich:

Aber die Windowsfirewalleinstellungen können nicht angezeigt werden,da der zugehörige Dienst nicht ausgeführt wird.Soll der Dienst "Windows-Firewall/Gemeinsame Internetverbindung" gestartet werden?

Wenn ich dann ja klicke,kommt :

"Der Dienst Windows Firewall/Gemeinsame Internetverbindung konnte nicht gestartet werden"

[Nikita]

1..
Gehe in die Registry

Start-->Ausführen--> regedit
bearbeiten --> suchen

* Generic Host Process
* scvhost
* senqa2g892.ini

loesche alles , was noch vorhanden ist.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run]
"Generic Host Process"

[HKEY_CURRENT_USER\Software\VB and VBA Program Settings]
set\
set\
set\
senqa2g892.ini

2.
öffne das HijackThis -- Button "scan" -- vor Eintrag Häkchen setzen -- Button "Fix checked" -- PC neustarten

O23 - Service: Windows-Firewall/Gemeinsame Nutzung der Internetverbindung (SharedAccess) - Unknown owner - C:\WINDOWS\C:\WINDOWS\system32\svchost.exe (file missing)

PC neustarten

3.
Avenger
http://virus-protect.org/artikel/tools/avenger.html
kopiere rein:

registry keys to delete:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{E14DCE67-8FB7-4721-8149-179BAA4D792C
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{E14DCE67-8FB7-4721-8149-179BAA4D792C}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{C9F1C5A0-F3D8-48E2-8B8C-3E86B4CAC7E3}
HKEY_CURRENT_USER\{C9F1C5A0-F3D8-48E2-8B8C-3E86B4CAC7E3}
HKEY_CURRENT_USER\Interface\{0958C4C9-77B0-4AA8-9364-7886BFCA7E39}

Files to delete:
C:\WINDOWS\system32\ckl009.dat
C:\WINDOWS\system32\scvhost.exe
C:\WINDOWS\system32\wsock32.sys
C:\WINDOWS\system32\senqa2g892.ini

Klicke die gruene Ampel
das Script wird nun ausgeführt, dann wird der PC automatisch neustarten

**
4.
poste das Log vom Avenger, was erscheinen wird.

**
5.
scanne mit kaspersky und poste den scanreport
http://virus-protect.org/onlinescan.html

**
6.
Die XP-Firewall wieder aktivieren [Windows-Firewall/Gemeinsame Nutzung der Internetverbindung]
http://www.wintotal.de/Tipps/Eintrag.php?TID=1157



«

[rw80]

Also ich hab bevor ich den letzten Eintrag gelesen hab,mal dieses Avenger ausprobiert und hier die Logdatei nach dem Neustart und dem Löschen der oben rot markierten Dateien:

Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\nvpmsjyq

*******************

Script file located at: \??\C:\bixsgnya.txt
Script file opened successfully.

Script file read successfully

F*CK!!!!

Hab gerad mit Kapersky gescannt!Und hab immer noch nen infizierten Rechner!!!

------------------------------------------------------------------------------
KASPERSKY ON-LINE SCANNER REPORT
Wednesday, June 07, 2006 2:21:30 PM
Operating System: Microsoft Windows XP Professional, Service Pack 2 (Build 2600)
Kaspersky On-line Scanner version: 5.0.78.0
Kaspersky Anti-Virus database last update: 7/06/2006
Kaspersky Anti-Virus database records: 187000
-------------------------------------------------------------------------------

Scan Settings:
Scan using the following antivirus database: standard
Scan Archives: true
Scan Mail Bases: true

Scan Target - Folders:
C:\

Scan Statistics:
Total number of scanned objects: 46900
Number of viruses found: 1
Number of infected objects: 3
Number of suspicious objects: 0
Duration of the scan process: 01:17:27

Infected Object Name / Virus Name / Last Action
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\SecTaskMan\scvhost.exe.q_804D81A_q Infected: Backdoor.Win32.Ciadoor.13 skipped
C:\WINDOWS\system32\senqa2g892.ini Infected: Backdoor.Win32.Ciadoor.13 skipped
C:\WINDOWS\system32\wsock32.sys Infected: Backdoor.Win32.Ciadoor.13 skipped





WAS NUN????