Windows nervt mit Spyware Hinweisen...

[Yan]

Hi @all,

seit eben meldet sich mein Windows ca. alle 10 Sekunden mit einem Balloon-Hint im Systray und meint mir mitteilen zu müssen, dass mein PC mit Spyware infiziert wäre. Wenn man draufklickt gelangt man auf die Site von "SpyAxe", das man unbedingt herunterladen soll.
Kann man das irgendwie abstellen?

Vielen Dank,

[Sharky]

Hai Yan,
ich denke mal das sich irgendein Programm bei dir eingenistet hat.
Du solltest mal alle Autostart "Verzeichnisse" prüfen ob das Programm dort eingetragen ist und es dann raus werfen.

[Kara]

Hm, hört sich irgendwie an, als hättest du dir was eingefangen. Denn ne Windowsfunktion ist das mit Sicherheit nicht!
Haste irgendwas runtergeladen?

[Jelly]

Zitat:

Zitat von Sharky

Du solltest mal alle Autostart "Verzeichnisse" prüfen ob das Programm dort eingetragen ist und es dann raus werfen.

Erweiternd hierzu:

1. Bevor Du was runterschmeisst, erstmal den Prozess identifizieren und diesen stoppen. So Prozesse lassen sich meist irgendwie im Taskmanager finden. Beenden ist wichtig, da sonst das Löschen aus dem Autostartordner eventuell von der Spyware selbständig wieder eingefügt wird. Alternativ würde ich einfach im Safemode starten, da fällt a. das Identifizieren des Prozesses leichter, weils insgesamt einfach weniger sind, und b. wird im Safemode der Prozess eventuell gar nicht gestartet.

2. Geh anschliessend mal deine Dienste durch, vielleicht hat sich da auch noch was eingenistet. Stoppen und deaktivieren

3. msconfig.exe aufrufen, da gibts ne Liste mit allen Programmen die beim Windowsstart gestartet werden, wofür es ja bekanntlich unterschiedliche Orte zum Eintragen gibt (Autostart Ordner, Registry, und sogar die gute alte win.ini kann noch verwendet werden)

Neustart, und dann mal kucken.

[SKolberg]

Hi,

ja das ist selbst eine Spyware!! Hatte ich auch schon. Ziemlich hartnäckig das Ding besonders für Leute ie nicht viel am PC machen..

@Jelly bei Autostart, MSConfig etc. wirst du nichts finden.. Der sitzt in der Registry und bindet eine .dll in den Explorer.Exe mit ein.

Schau mal in der Registry unter Hkey_Classes_Root->SHCMDFile->Shell->Command was da hinter der Explorer.Exe steht dann nimmst du die angehängte Killbox und löscht diese .Dll Datei aktiviere das Kästchen End Explorer.Exe while Kill.
Eventuell die anderen Prozeduren auch noch durchlaufen um sicherzugehen das sich das Programm nicht erneut installiert...



Mfg, Steve

//EDIT: Ansonsten schau hier auch nochmal:
HKLM->Software->Microsoft->Windows NT->CurrentVersion->Winlogon Bei Shell

[Yan]

Mmh, hab gerade mal alles per msconfig abgeklemmt was ich nicht kannte, neugestartet, und die Meldung kommt immernoch...

Auf meinem Desktop liegen jetzt zwei Icons, "Security Troubleshooting" (mit grünem Windows-Schutzschild) das nach http://onlinesecuritytest.net/ verlinkt und ein vierfarbiges Schild mit Adresse http://securityindex.net/. Hab die mal vorsichtshalber nicht aufgerufen... Ach, und "Windows NT Logon Application" versucht aufs Internet zuzugreifen.

@Jelly: Ich hab gerade mal ein paar zweifelhafte Prozesse beendet und wuauclt.exe startet immer neu... Dafür habe ich dann vier Windows Update Icons im Systray *verzweifel*

[EDIT]

Zitat:

Zitat von SKolberg

Ziemlich hartnäckig das Ding besonders für Leute ie nicht viel am PC machen..

Na so einer bin ich ja nun nicht... :wink:[/EDIT]

[SKolberg]

Hi,

im Taskmanager wirts du "glaube" ich nichts finden da sich die Spyware in der Explorer.Exe versteckt


Mfg, Steve


Habe beim ersten mal auch ca. 2 Stunden gebraucht um das Ding loszuwerden :wall:

[Yan]

Also in der Registry finde ich nichts, nur "Explorer.exe"...

[dahead]

Probier doch mal das Programm "Autoruns" von SysInternals. Das listet so ziemlich alles auf, was automatisch startet.

[Yan]

@Steve:

Weißt du noch wie die DLL heißt? Hab jetzt alles ausprobiert und es hilft nix... :wall:

[SKolberg]

Hi,

nee nicht wirklich ausserdem habe ich gehört das sie Verschiedene Namen haben kann, such doch einfach mal in deinem Windows Verzeichniss nach Dateien die an dem Tag erstellt wurden an dem das Problem anfing .exe und .dll. Die .exe hat die .dll eingebunden und die .dll ist für den "Dreck" verantwortlich. Allzuviel solltest du da ja nicht finden dann muss man halt abwägen....


Mfg, Steve

[Luckie]

OK: Formatieren und neu installieren, alles andere, Programme, selber entfernen, kannst du vergessen. Webnn du vorgebeugt hast, dann hast du noch ein aktuelles sauberes Image der Systempartition, welches du in 10 Minuten zurückspeieln kannst. Wenn du Pech hast, hast du dies nicht und meherer GB an ungesicherten MP3s auf der gleichen Partition wie dein System liegen. Das sollte dir eigentlich zeigen, wie du in Zukunft, und die ist bei dir gerade jetzt, dein System neu aufzusetzen hast: Daten nicht auf der Systempartition ablegen, sondern auf einer eigenen. Immer ein sauberes Image zur Hand haben, wenn mal wieder was ist. Immer alle SPs und Patches installieren. Eventuell in Erwägung ziehen einen alternativen Browser und E-Mail Client zu verwenden, ansatt dem Internet Explorer und Outlook (Express).

Noch ein paar Links zu dem Thema:
Computersicherheit - Kompromittierung
Help I Got Hacked. Now What Do I Do - Microsoft
Microsoft Security Tool Kit Kompromittierte Systeme

[Yan]

@Luckie:

Das klingt ja gerade so als wüsstest du wie ich meine Daten verwalte :evil:
Ich habe meine Daten auf einer eigenen Partition und auch ein Image der System-Platte. Zurückspielen ist kein Problem, nur würde ich es gerne anders lösen, weil das Image schon ca. zwei Monate alt ist, ich ein paar Programme neu installieren muss und gerade nicht soo viel Zeit habe. Als T-Systems Mitarbeiter im Netzwerkadministrations-Bereich versteh ich schon was von der Sache...

[Luckie]

Zitat:

Zitat von Yan

Als T-Systems Mitarbeiter im Netzwerkadministrations-Bereich versteh ich schon was von der Sache...

Mit 15 Jahren? Aber gerade dann solltest du wissen, dass dein Vorhaben zum Scheitern verurteilt ist und die Vertrauenswürdigkeit deines System nicht wiederherstellen kann.

[Yan]

Ja, mit 15 Jahren. Und ich weiß auch das mein System nicht mehr vertrauenswürdig ist. Das Wiederaufspielen das Images würde ich auf jeden Fall machen, ich habe im Moment nur wie gesagt nicht die Zeit die Software neu zu installieren und wollte daher wissen ob es (temporär) eine andere Lösung gibt.

[hitzi]

Warum sollte sowas zum Scheitern verurteilt sein?
Man kann alles, was zusätzlich installiert wurde, wieder entfernen, wenn man weiß wie. Selbst Rootkits kann man mittlerweile dank Sysinternal aufdecken.
Man muss nur wissen, wie das eigene System funktioniert.

Gruss

[Luckie]

Und an welchen Punkt nach 48 Stunden Arbeit bist du sicher, dass dein System wieder sauber ist? Und woher weißt du dass deine Zusatzprogramme auch alles sehen und entdecken? Es ist wie im richtigen Leben, die Polizei ist immer mindestens einen Schritte hinter den Verberchern, sonst gäbe es keine.

[hitzi]

Woher nimmst du dann die Sicherheit, dass dein frisches System sauber ist. Sobald Internet/CDs/USBSticks etc. damit in Berührung kommen gibt es keine vollständige Sicherheit.

Auf das gleiche Level komme ich auch mit eigenständiger Reinigung, welche aber in keinem Fall 48 Stunden dauern sollte :shock:

[Yan]

So habs jetzt vorübergehend gelößt: Im System32 Verzeichnis gabs eine Datei "svchosts.dll". Per KillBox gelöscht und alles läuft.

Vielen Dank für eure Hilfe und sorry für das viele OT,

[MisterNiceGuy]

wow mutig :mrgreen:

Es gibt ein Tool das nennt sich afaik HijackThis. Damit erstellst du Reports über dein System, das du dann in einigen Foren posten kannst. Die Leute da können dir oftmals weiterhelfen.
Weiterhin gibt es Software, die den Report analysiert und die sagt was mit deinem System nicht stimmt.
Probier es beim nächsten mal damit.
Ich hatte bis jetz 2 Viren/Würmer whatever und hab sie innerhalb eines Tages damit wegbekommen.

[Yan]

Na ja, die Datei wurde heute erstellt.

Aber wie gesagt: Dein System ist trotzdem nichtmehr vertrauenswürdig...

[Neotracer64]

Zitat:

und wollte daher wissen ob es (temporär) eine andere Lösung gibt.

Es gibt keine. Zumindest keine effektive. Schlimmstenfalls beseitigst du die Symptome und dein System ist trotzdem kompromittiert. Da du wahrscheinlich mit dem Admin-Account arbeitest, kann sich der Schädling schon ziemlich weit reingebohrt haben. Er kann dir alles mögliche vorgaukeln, Dateien und Prozesse verstecken etc.

[rwachtel]

Es würde mich nicht wundern, wenn Deine Google-Suchanfragen jetzt gefälschte Suchergebnisse bei bestimmten Suchbegriffen liefern...so war es zumindest bei dem letzten System, dass mir mit diesem Schädling untergekommen ist.

[SKolberg]

Hi

@RWachtel für solche Fälle gibt es 2 Tools CWShreder & HiJackThis. Haben bis jetzt bei solchen Problemen immer geholfen.


Gruss, Steve

[rwachtel]

Zitat:

Zitat von SKolberg

@RWachtel für solche Fälle gibt es 2 Tools CWShreder & HiJackThis. Haben bis jetzt bei solchen Problemen immer geholfen.

Danke, aber *ich* habe da keinerlei Bedarf.