Upps - da war der Firefox komplett verschwunden!

Fuxfan

Hallo an alle Fuchs-Fans,

am Sonntag ist mir was Sonderbares passiert:
Mein eigentlich noch flotter und gut laufender PC mit XP Home SP3 begann nach dem Herunterfahren wieder zu starten (das macht er ab und zu, obwohl "automatisch neustarten" deaktiviert ist), kam bis zum Anmeldebildschirm, dann ging nichts mehr. Null Reaktion auf irgendeine Aktion. Aus-Schalter gedrückt, PC neu gestartet - sieht alles gut aus, bis ich den Firefox starten will. Meldung: "Programm nicht gefunden, manuell suchen" - der Fuchs ist weg, im regulären Ordner C:/Programme nicht zu finden. Noch ein Neustart, dasselbe. :-??
Habe mir dann via IE den Fuchs von seiner Homepage heruntergeladen, installiert und sieh an, alles wieder da, als wenn nix gewesen wäre.... :-??? Kann mir das jemand erklären?
Ein Scan mit Avast, Windows Defender und Spybot ergab keine Funde.

Fuxfan

pcinfarkt

//

Zitat von Fuxfan

- Mein [...] PC mit XP Home SP3 begann nach dem Herunterfahren wieder zu starten (das macht er ab und zu, obwohl "automatisch neustarten" deaktiviert ist), kam bis zum Anmeldebildschirm, dann ging nichts mehr.

Unabhängig vom Problem!
Ich bin zwar kein Sicherheitsapostel - aber bist du sicher, dass du keinen Besuch hast?

Fox2Fox

Fuxfan:
Offensichtlich ist das kein Firefox-Problem.

Machst du bitte mit HijackThis [Blockierte Grafik: http://i39.tinypic.com/s1kgb4.png] einen Scan und den Inhalt des Logfiles fügst du per Klammer CODE in deinen nächsten Post ein. HijackThis Anleitung [Blockierte Grafik: http://i39.tinypic.com/s1kgb4.png]

Scanne dein System mal mit Malwarebytes [Blockierte Grafik: http://i39.tinypic.com/s1kgb4.png] - Malwarebytes Deutschsprachige bebilderte Anleitung [Blockierte Grafik: http://i39.tinypic.com/s1kgb4.png]. Vor dem Scan ein Update von Malwarebytes machen, dann einen vollständigen Suchlauf durchführen und den Inhalt des Logfiles in deinen nächsten Post in Klammer CODE einfügen.

Fuxfan

Danke erst mal für die Tipps. Ich habe den Verdacht, dass das mit dem gelegentlichen Neustarten durch die Netzwerkverbindung hervorgerufen wird. Habe mal einen Test gemacht: Vor dem Herunterfahren erst die Verbindung beenden, dann ging's ohne Neustart.
Die Scans mache ich mal am Wochenende, melde mich wieder.
(M)eine Idee zum verschwundenen Fuchs: Kann es sein, dass er durch das "Hängen" des PC die Registry nicht vollständig geladen hat?
Bis bald, Fuxfan

Fuxfan

So, habe eben mal den Scan mit Malwarebytes gemacht hier das Log:

Code

Malwarebytes' Anti-Malware 1.50.1.1100
http://www.malwarebytes.org


Datenbank Version: 5553


Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702


19.01.2011 14:44:28
mbam-log-2011-01-19 (14-44-28).txt


Art des Suchlaufs: Quick-Scan
Durchsuchte Objekte: 136676
Laufzeit: 3 Minute(n), 17 Sekunde(n)


Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 1
Infizierte Verzeichnisse: 0
Infizierte Dateien: 5


Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)


Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)


Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)


Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)


Infizierte Dateiobjekte der Registrierung:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.


Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)


Infizierte Dateien:
c:\programme\lame_enc.dll (Spyware.OnlineGames) -> Quarantined and deleted successfully.
c:\programme\MP2enc.dll (Spyware.OnlineGames) -> Quarantined and deleted successfully.
c:\programme\ogg.dll (Spyware.OnlineGames) -> Quarantined and deleted successfully.
c:\programme\vorbis.dll (Spyware.OnlineGames) -> Quarantined and deleted successfully.
c:\programme\vorbisenc.dll (Spyware.OnlineGames) -> Quarantined and deleted successfully.

Alles anzeigen

Was hat es mit diesem infizierten Dateiobjekt in der Reg (PUM) auf sich?
Fuxfan

Boersenfeger

Respekt... und das mit einem Quick-Scan...
was PUM heißt, ist völlig egal, denn....

Zitat von Boersenfeger

...
3. Wird etwas gefunden, freunde dich mit dem Gedanken an, das System neu aufzusetzen. (alternativ ein Image nutzen)
Lies diesen Artikel, besonders ab Punkt 4.
Ein befallenes System kann man nicht säubern
4. Sichere vorher deine persönlichen Daten.
5. Ändere alle Passwörter und beobachte deine Konten: Online-Banking, Ebay, Paypal etc.etc.

Setzt du bitte die Klammer Code noch richtig?
[code] und vor dem schließenden Code kommt in der eckigen Klammer noch das /

.Ulli

Zitat von Boersenfeger

was PUM heißt, ist völlig egal, denn....

Nicht so ganz, denn eine Possible Unwanted Modifikation weist nur auf eine Abweichung vom Standard hin. Das Programm blickt nicht durch, denn es kann nicht zwischen vom User gewünschten und von freundlichen Hilfsprogrammen getätigten Änderungen unterscheiden.

I.a.W,, wenn die festgestellte Änderungen dem User bewusst sind, ist die Welt i.O.. Ansonsten sind die beschriebenen Aktionen angesagt.

pittifox

Zitat von .Ulli

]Nicht so ganz, denn eine Possible Unwanted Modifikation weist nur auf eine Abweichung vom Standard hin. Das Programm blickt nicht durch, denn es kann nicht zwischen vom User gewünschten und von freundlichen Hilfsprogrammen getätigten Änderungen unterscheiden.

So ist das!
Ändere ich z.B. die Benachrichtigungen des Sicherheitscenters blickt Malwarebytes nicht mehr durch und zeigt einen PUM!

Brummelchen

Mal davon abgesehen, dass PUM in der Hilfe zu MBAM erklärt wird (RTFM),
liegen diese Dateien in einem relativ ungewohnten Ordner.
Vom Namen her hier bekannt, aber seltenst alleinstehend ohne Programm,
eher unter \windows\system32 oder \windows\syswow64
oder \programme\xyz-player\
Relativ sicher kann es dir diese Webseite sagen ► http://www.virustotal.com/
Mit dem Hash kann man arbeiten und vergleichen.

Fuxfan

Hmmmmm....! :shock:
Also: Ich habe alle Patches installiert. Das Security Center ist so eingestellt, dass ich Benachrichtigung bekomme, wenn Updates vorhanden sind, denn ich möchte wissen, was da installiert werden soll (vlt. der Grund für das PUM?).
Ich versuche es jetzt mal mit HijackThis und melde mich wieder. Danke erst mal!

Zefix, meint
der Fuxfan

Fuxfan

So, hier das Hijack-Log - ich finde nix Auffälliges, aber ihr seid die Experten:

Code

Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 09:50:37, on 20.01.2011
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal


Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Windows Defender\MsMpEng.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Lavasoft\Ad-Aware\AAWService.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Alwil Software\Avast5\AvastSvc.exe
C:\Programme\FolderSize\FolderSizeSvc.exe
C:\Programme\Java\jre6\bin\jqs.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programme\Raxco\PerfectDisk\PDAgent.exe
C:\Programme\ThreatFire\TFService.exe
C:\WINDOWS\system32\wbem\unsecapp.exe
C:\Programme\Raxco\PerfectDisk\PDEngine.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Programme\mqsoftware\DurchSicht2004\DurchSicht2004.exe
C:\Programme\HP\HP Software Update\HPWuSchd2.exe
C:\Programme\Visagesoft\eXPert PDF\vspdfprsrv.exe
C:\Programme\Windows Defender\MSASCui.exe
C:\Programme\ThreatFire\TFTray.exe
C:\Programme\Vista Drive Icon\DrvIcon.exe
C:\Programme\Lavasoft\Ad-Aware\AAWTray.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\PROGRA~1\ALWILS~1\Avast5\avastUI.exe
C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe
C:\Dokumente und Einstellungen\SK\Eigene Dateien\Jugendtreff\Unzipped\dsksve7\DeskSave.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\Programme\aborange DayDisplay\DayDisplay.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Logitech\MouseWare\system\em_exec.exe
C:\Programme\TaskSwitchXP\TaskSwitchXP.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\system32\rundll32.exe
C:\Programme\Gemeinsame Dateien\Sonic Shared\CineTray.exe
C:\Programme\zoneLINK\HDDlife\HDDlifePro.exe
C:\Programme\tclock.exe
E:\HijackThis.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe


R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Winzigweich Zwischennetz-Erforscher
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Favoriten
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [start] C:\Programme\mqsoftware\DurchSicht2004\DurchSicht2004.exe
O4 - HKLM\..\Run: [HP Software Update] C:\Programme\HP\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [vspdfprsrv.exe] C:\Programme\Visagesoft\eXPert PDF\vspdfprsrv.exe --background
O4 - HKLM\..\Run: [Windows Defender] "C:\Programme\Windows Defender\MSASCui.exe" -hide
O4 - HKLM\..\Run: [ThreatFire] C:\Programme\ThreatFire\TFTray.exe
O4 - HKLM\..\Run: [DrvIcon] C:\Programme\Vista Drive Icon\DrvIcon.exe
O4 - HKLM\..\Run: [Ad-Watch] C:\Programme\Lavasoft\Ad-Aware\AAWTray.exe
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe"  -osboot
O4 - HKLM\..\Run: [avast5] C:\PROGRA~1\ALWILS~1\Avast5\avastUI.exe /nogui
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\QTTask.exe" -atboottime
O4 - HKCU\..\Run: [DeskSave] C:\Dokumente und Einstellungen\SK\Eigene Dateien\Jugendtreff\Unzipped\dsksve7\DeskSave.exe
O4 - HKCU\..\Run: [aborange DayDisplay] C:\Programme\aborange DayDisplay\DayDisplay.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [TaskSwitchXP] C:\Programme\TaskSwitchXP\TaskSwitchXP.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-19\..\RunOnce: [nltide_3] rundll32 advpack.dll,LaunchINFSectionEx nLite.inf,C,,4,N (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-20\..\RunOnce: [nltide_3] rundll32 advpack.dll,LaunchINFSectionEx nLite.inf,C,,4,N (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [nltide_3] rundll32 advpack.dll,LaunchINFSectionEx nLite.inf,C,,4,N (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [nltide_3] rundll32 advpack.dll,LaunchINFSectionEx nLite.inf,C,,4,N (User 'Default user')
O4 - Startup: ERUNT AutoBackup.lnk = C:\Programme\ERUNT\AUTOBACK.EXE
O4 - Startup: HDDlife.lnk = C:\Programme\zoneLINK\HDDlife\HDDlifePro.exe
O4 - Startup: tclock.lnk = C:\Programme\tclock.exe
O4 - Global Startup: AutorunsDisabled
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: Sonic CinePlayer Quick Launch.lnk = C:\Programme\Gemeinsame Dateien\Sonic Shared\CineTray.exe
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O15 - Trusted Zone: *.windowsupdate.com
O22 - SharedTaskScheduler: Browseui preloader - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Component Categories cache daemon - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O23 - Service: avast! Antivirus - AVAST Software - C:\Programme\Alwil Software\Avast5\AvastSvc.exe
O23 - Service: Folder Size (FolderSize) - Brio - C:\Programme\FolderSize\FolderSizeSvc.exe
O23 - Service: Google Update Service (gupdate) (gupdate) - Google Inc. - C:\Programme\Google\Update\GoogleUpdate.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe
O23 - Service: Lavasoft Ad-Aware Service - Lavasoft - C:\Programme\Lavasoft\Ad-Aware\AAWService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: PDAgent - Raxco Software, Inc. - C:\Programme\Raxco\PerfectDisk\PDAgent.exe
O23 - Service: PDEngine - Raxco Software, Inc. - C:\Programme\Raxco\PerfectDisk\PDEngine.exe
O23 - Service: ThreatFire - PC Tools - C:\Programme\ThreatFire\TFService.exe


--
End of file - 7929 bytes

Alles anzeigen

-> so richtig?

PS: Der Reg-Eintrag (das PUM) bezieht sich wohl auf die Warneinstellungen des Security Centers für Virenschutz, Firewall und Auto-Updates, diese sind aktiviert. Diese Reg-Werte finde ich auch auf einem anderen XP-PC.

Gruß & Danke, Fuxfan

pittifox

Zitat von Fuxfan

PS: Der Reg-Eintrag (das PUM) bezieht sich wohl auf die Warneinstellungen des Security Centers für Virenschutz, Firewall und Auto-Updates, diese sind aktiviert.

Nö, wenn sie deaktiviert sind meckert Malwarebytes, schrieb ich doch...

Fuxfan

@ pittifox:
In der XP-Registrierung finden sich unter HKLM-Software-Microsoft-Security Center diese Einträge als DWORD:

AntVirusDisableNotify
AntiVirusOverride
FirewallDisbaleNotify
FirewallOverride
FirstRunDisbaled
UpdatesDisableNotify

jeweils mit dem Wert "0", also sind die Benachrichtigungen aktiv.
Die Einstellung für Autoupdate ist auf "manuell" - jetzt habe ich sie mal probeweise auf "automatisch" gesetzt, neu gescannt - keine Meldung mehr! Deswegen meine Vermutung, PUM bezieht sich auf die manuellen Updates... Auch sonst keine Funde, vollständiger Scan mit Avast, Spybot und AdAware erbrachte nichts. Der PC läuft sauber und ohne Auffälligkeiten. Ich hoffe sehr, dass das Problem keins mehr ist - wäre schön

Na also, geht doch...........hoffentlich, meint
Fuxfan

Brummelchen

ZoneAlarm
Avast
SpyBlöd
AdAware

Irgendwas vergessen, womit du dich noch selbst verarscht?

Avast ist ok, den anderen Müll kannst du deinstallieren und stattdessen besser dein System
einrichten oder eine bessere Firewall nutzen (Outpost, Online Armor, Jetico, Comodo).
Je besser dein System eingerichtet und abgedichtet ist von sich aus schon, je weniger
Zusatzschrott benötigst du.