Windows2000 - Startproblem

Windows2000 - Startproblem (37 Beiträge, 465 Mal gelesen)

Du bist nicht angemeldet. [ Login/Registrieren ]

bisher:
Einschaltknopf gedrückt - Computer fährt hoch - Desktop erscheint - alle Programme werden geladen. (normal halt)

danach:
AntiVir upgedatet - 4 Viren gefunden -> gelöscht (siehe auch: hier )

nun:
Einschaltknopf drücken - Computer fährt hoch - Hintergrundbild erscheint - Fenster mit dem Titel: c:\WINNT\system32\cmd.exe erscheint, mit folgendem Inhalt:
c:\winnt\system32>net share /delete C$ /y
C$ wurde erfolgreich gelöscht.

c:\winnt\system32>net share /delete D$ /y
D$ wurde erfolgreich gelöscht.

c:\winnt\system32>net share /delete E$ /y
E$ wurde erfolgreich gelöscht.

c:\winnt\system32>net share /delete F$ /y
Diese freigegebene Ressource existiert nicht.

Sie erhalten weitere Hilfe, wenn Sie NET HELPMSG 2310 eingeben.

c:\winnt\system32>net share /delete ADMIN$
ADMIN$ wurde erfolgreich gelöscht.

c:\winnt\system32>net share /delete IPC$
IPC$ wurde erfolgreich gelöscht.

c:\winnt\system32>net stop "Remote Registry Service"
Systemfehler 1060 aufgetreten.

Der angegebene Dienst ist kein installierter Dienst.

c:\winnt\system32>net stop "Computer Browser"
Systemfehler 1060 aufgetreten.

Der angegebene Dienst ist kein installierter Dienst.

c:\winnt\system32>net stop "server" 1>>server.txt

Daraufhin habe ich das Fenster geschlossen, den Task-Manager aufgerufen und gleich das erste Programm das eingetragen war gestartet ( ...Startmenü\Programme\Zubehör\Windows-Explorer.lnk ) Desktop erschien und alle Programme wurden geladen.

Wie stelle ich den Ursprungszustand (Normalzustand) wieder her??

-------------------------------------------------------------------------------------------------------------------
Ich behalte mir das Recht vor Spamer und Flamer
aus meinen Threads kommentarlos zu verbannen
-

(j/k) -

Hi!

An sich kein grosses Problem, er hat halt alle Standard-Freigaben gelöscht (braucht man im Normalfall eh nicht). Den Computerbrowser (schreibt man zusammen, deswegen konnte er nicht beendet werden!) und den Server kann man über die Dienste auf "Automatisch" stellen, dann hast den Urzustand fast wieder herinnen. Wenn Du die Standardfreigaben auch wieder möchtest (inkl. IPC$) einfach "net share", dann halt den Freigabenmamen (zB c$) und dann den Pfad (C:\), für den IPC$ einfach nur "net share ipc$".

Sollte er das bei jedem Start machen, kann ein Blick in die Registry unter HKLM\Software\Microsoft\Windows\CurrentVersion\Run (bzw. HKCU für den User) nicht schaden, da wird dann vielleicht ein CMD File aufgerufen.

greetz

glockman

Zu Risiken und Nebenwirkungen essen Sie die Packungsbeilage und tragen Sie Ihren Arzt zum Apotheker

_{This System is}

1. ??? Bahnhof

2. Hilft es wenn ich C:\WINNT\system32\cmd.exe einfach lösche ? oder enthält das auch etwas was windows braucht? reicht es wenn ich das lösche oder muss ich was aus der registry löschen? wenn ja, wie mach ich das?

(sorry für mein Dau-Sein

)
-------------------------------------------------------------------------------------------------------------------
Ich behalte mir das Recht vor Spamer und Flamer
aus meinen Threads kommentarlos zu verbannen
-

(j/k) -

Kein Problem, es kann nicht jeder alles wissen, und jeder hat mal als "Unwissender" angefangen.

Zum Problem bzw. zur Erklärung:
Dein Rechner hat von Haus aus Freigaben. Diese Freigaben sind die Stammverzeichnisse Deiner HDs (also eben C$, D$ usw). Das "$" bedeutet, dass sie im Netz unsichtbar sind, sie scheinen nicht auf. "IPC$" ist meines Wissens nach u.a. für die Druckerfreigabe verantwortlich, "Admin$" zeigt immer auf das \Winnt Verzeichnis.

Die Datei "cmd.exe" sollte man nicht löschen. Und wenn Du es doch tust stellt Windows sie selbst wieder her. Das ist der Kommandointerpreter, also alles was Du an der Eingabeaufforderung eingeben kannst wird von cmd.exe ausgewertet und ausgeführt.

Zur Registry: wenn Du den Registrierungseditor vorsichtig verwendest kann nix passieren. Einfach "regedit" ausführen und unter

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run

die Einträge betrachten. Da stehen alle Programme, die beim starten von Windows geladen werden, wenn kein Autostart-Eintrag vorhanden ist. Es gibt diesen Schlüssel auch unter HKEY_CURRENT_USER. Der Unterschied besteht darin, dass HKLM für alle Benutzer gilt, während HKCU nur für den gerade angemeldeten User steht.

Es könnte durchaus sein, dass ein Virus dort ein Skript eingetragen hat, das bei jedem Start ausgeführt wird und genau diesen Blödsinn macht. Am einfachsten ist, Du schreibst mal her was unter HKLM bzw. HKCU zu finden ist. Dann kann man genaueres sagen.

Ich hoffe das war jetzt etwas verständlicher formuliert.

greetz

glockman

Zu Risiken und Nebenwirkungen essen Sie die Packungsbeilage und tragen Sie Ihren Arzt zum Apotheker

_{This System is}

..]
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run

die Einträge betrachten. Da stehen alle Programme, die beim starten von Windows geladen werden, wenn kein Autostart-Eintrag vorhanden ist.

Meines Wissens (und meiner Erfahrung nach) werden die dort aufgelisteten Programme auch dann gestartet, wenn im Autostart-Verzeichnis was steht.

Oder hab ich Dich jetzt nur falsch verstanden?

Vielleicht ein wenig falsch ausgedrückt: Sollte was NICHT im Autostart-Ordner stehen, aber trotzdem gestartet werden, dann steht das hier.
Auf den Autostart-Ordner hat es keinen Einfluss, ob in der Registry was steht oder nicht und umgekehrt.

Danke für den Hinweis

greetz

glockman

Zu Risiken und Nebenwirkungen essen Sie die Packungsbeilage und tragen Sie Ihren Arzt zum Apotheker

_{This System is}

Ok, habe vermutet, dass ich Dich nur missverstanden hatte

also unter run findet sich:

AVGCtrl - Programme\AVPersonal\AVGNT.EXE /min
-> Schätze mal das ist AntiVir

KAZAA

MBM 5

ICQ

NeroCheck - System32\NeroCheck.exe
-> Schätze mal das ist Nero

POINTER - point32.exe
-> Schätze das gehört zur Maus?

Synchronization Manager - mobsync.exe /logon
-> keine Ahnung was das ist

WheelMouse - 4dmain.exe
-> gehört wohl zu meiner Wheelmaus?

nichts auffälliges, oder?
-------------------------------------------------------------------------------------------------------------------
Ich behalte mir das Recht vor Spamer und Flamer
aus meinen Threads kommentarlos zu verbannen
-

(j/k) -

point32.exe: Microsoft Intellimouse monitor
4dmain.exe scheint von einer Wheelmaus zu sein, ja.

Nein, da steht wirklich nix auffälliges. Nur Kazaa im Autostart... naja, jedem das seine.

Aber Info zu Deinen Viren hätt ich noch:

TR/Glitch.2: http://vil.mcafee.com/dispVirus.asp?virus_k=98936
IRC/SdBot.Gen: http://vil.mcafee.com/dispVirus.asp?virus_k=99410
W32/Hantaner: http://vil.mcafee.com/dispVirus.asp?virus_k=99881
W32/Leave.Worm.2: http://vil.mcafee.com/dispVirus.asp?virus_k=99115

Nach dem, was ich gefunden habe, ist es durchaus möglich, dass irgendeiner dieser Viren Dein System ein wenig "durcheinander gebracht" hat. Ist also schwer zu sagen, was da jetzt Schuld sein könnte.

Aber der Hinweis mit der Win.ini ist auch nicht schlecht. Steht in Deiner win.ini (im \Winnt Ordner) was bei den Zeilen "Run=" bzw. "Load="?

greetz

glockman

Zu Risiken und Nebenwirkungen essen Sie die Packungsbeilage und tragen Sie Ihren Arzt zum Apotheker

_{This System is}

Danke vielmals für die links!

Aber der Hinweis mit der Win.ini ist auch nicht schlecht. Steht in Deiner win.ini (im \Winnt Ordner) was bei den Zeilen "Run=" bzw. "Load="?

wo finde ich win.ini? in der registry?
-------------------------------------------------------------------------------------------------------------------
Ich behalte mir das Recht vor Spamer und Flamer
aus meinen Threads kommentarlos zu verbannen
-

(j/k) -

Die Datei Win.ini ist im Normalfall unter C:\Winnt\ zu finden.
Das ist eine Datei die noch aus Win 3.x Zeiten kommt und noch immer mitgeschleift wird. Warum weiss niemand, die war damals halt so eine Art "Registry Erweiterung" und wird heute an sich kaum mehr benötigt. Aber bitte trotzdem nicht löschen!

greetz

glockman

Zu Risiken und Nebenwirkungen essen Sie die Packungsbeilage und tragen Sie Ihren Arzt zum Apotheker

_{This System is}

in der datei steht bei mir weder ein run= noch ein load=
-------------------------------------------------------------------------------------------------------------------
Ich behalte mir das Recht vor Spamer und Flamer
aus meinen Threads kommentarlos zu verbannen
-

(j/k) -

Hmm, dann würde mir nur mehr die Datei C:\Autoexec.bat einfallen. Aber bei meinem Glück ist das File genau 0 Byte gross

Aber noch was: macht er das bei jedem Neustart, oder war das nur beim ersten mal nach dem Virenscan so?

greetz

glockman

Zu Risiken und Nebenwirkungen essen Sie die Packungsbeilage und tragen Sie Ihren Arzt zum Apotheker

_{This System is}

bei jedem neustart also auch heute wieder

autoexec hat 0 Byte und ist unverändert seit 16. Mai. letzter Zugriff: Heute.
-------------------------------------------------------------------------------------------------------------------
Ich behalte mir das Recht vor Spamer und Flamer
aus meinen Threads kommentarlos zu verbannen
-

(j/k) -

zudem findet antivir nach jedem einschalten beim virenscan aufs neue den virus: IRC/SdBot.Gen in c:WINNT\system32\STDE9.exe denn er natürlich auch jedesmal wieder aufs neue löscht.
-------------------------------------------------------------------------------------------------------------------
Ich behalte mir das Recht vor Spamer und Flamer
aus meinen Threads kommentarlos zu verbannen
-

(j/k) -

Autsch, da hast Du Dir aber was ziemlich hartnäckiges eingefangen

Aber so schnell geb ich auch nicht auf. Steht in der Registry vielleicht was in der Art:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\
RunServices\Configuration Loader="cnfgld32.exe"

oder halt was, das "STDE9.EXE" heisst?

Wenn sich der Virus als Dienst installiert ist das natürlich immer blöd. Aber was geladen wird kann man auch löschen

greetz

glockman

Zu Risiken und Nebenwirkungen essen Sie die Packungsbeilage und tragen Sie Ihren Arzt zum Apotheker

_{This System is}

in Run Services steht überhaupt nix ausser natürlich Standard - Wert nicht gesetzt.
-------------------------------------------------------------------------------------------------------------------
Ich behalte mir das Recht vor Spamer und Flamer
aus meinen Threads kommentarlos zu verbannen
-

(j/k) -

soeben hat mir antivir wieder 2 angezeigt: eines in
c:WINNT\system32\WINBOOT.exe
das andere in:
c:WINNT\system32\TEMP2.exe
-------------------------------------------------------------------------------------------------------------------
Ich behalte mir das Recht vor Spamer und Flamer
aus meinen Threads kommentarlos zu verbannen
-

(j/k) -

Tja, Kazaa leistet anscheinend gute Arbeit...

Mein Tipp:

- System formatieren
- Per wiederherstellungsconsole neuen MBR schreiben
- System neu aufsetzen
- AntiVir installieren
- SystemScan
- Dann erst Kazaa verwenden (oder am besten gar NICHT)

chaos

Disclaimer: Any errors in spelling, tact, or fact are
transmission errors and not the fault of the sender.

eMailb>

solang sich das virus nur darin äussert dass ich beim start drei klicks machen muss werd ich sicher nicht mein system neu aufsetzen - das ist verhältnismässig viel zu viel arbeit! zudem kann nach dem aufsetzen ja das gleiche virus binnen 2-3 tagen wieder über kazaa hereinschneien...

und auf kazaa verzichten? - spinnts??

-------------------------------------------------------------------------------------------------------------------
Ich behalte mir das Recht vor Spamer und Flamer
aus meinen Threads kommentarlos zu verbannen
-

(j/k) -

Ich kann mich chaos' Meinung nur anschliessen: Wenn Du Dir die Viren wirklich über Kazaa holst kann nachher niemand mehr festsellen, was wann von welchem Programm zerschossen/eingetragen wurde, und damit wird das ganze zur Sisyphus-Arbeit. Und noch sind es nur unangenehme Nebenerscheinungen, aber irgendwann einmal kommt das System gar nimmer hoch, es verschwinden plötzlich Dateien, oder andere unerklärliche Dinge passieren. Und vor denen kann Dich dann nicht mal der beste Virenscanner schützen.

Also weg mit Kazaa. Kaufen statt saugen.
Oder mit dem Risiko leben. Aber dann bitte nicht jammern.

Und - nicht bös sein - unter dem Gesichtspunkt, dass es Dir anscheinend eh "wurscht" ist, ob das System so wird wie es war, stelle ich meine Nachforschungen hiermit ein.

greetz

glockman

Zu Risiken und Nebenwirkungen essen Sie die Packungsbeilage und tragen Sie Ihren Arzt zum Apotheker

_{This System is}

Und - nicht bös sein - unter dem Gesichtspunkt, dass es Dir anscheinend eh "wurscht" ist, ob das System so wird wie es war, stelle ich meine Nachforschungen hiermit ein.

es ist mir natürlich nicht wurscht! es geht darum welchen preis ich bereit bin dafür zu zahlen. und wenn es darum geht dass ich auf das saugen verzichten muss ist dieser preis zu hoch. dennoch hätte ich natürlich gerne ein system ohne viren.
-------------------------------------------------------------------------------------------------------------------
Ich behalte mir das Recht vor Spamer und Flamer
aus meinen Threads kommentarlos zu verbannen
-

(j/k) -

> wenn es darum geht dass ich auf das saugen verzichten muss ist dieser
> preis zu hoch. dennoch hätte ich natürlich gerne ein system ohne viren

Das lässt sich irgendwie nur schwer vereinbaren. Man kann doch nicht ein Risiko eingehen und dann verlangen, eine Garantie für den Erfolg zu bekommen. Entweder - Oder.

Solange Du saugst können Viren Deinen Rechner befallen, hohes Risiko. Saugst Du nix ist das Risiko weniger gross. Und es ist wurscht, ob Du jetzt nur ein File saugst, und es passiert daweil nix oder ob Du Stunden online bist. Das hohe Risiko ist da.

Was jetzt noch hilft: einmal in den sauren Apfel beissen und neu aufsetzten. Dann vom fertigen Rechner (aber OHNE FS-Software) ein Image ziehen. Sollte dann was sein kanns Dir egal sein.
Besser wäre ein Zweitsystem nur zum saugen, bei dem egal ist wie hin es ist. Aber bitte ein echter Zweitrechner, keine zweite Installation. Und Standalone.
Optimalerweise lässt Du die Hände von Kazaa & Co und kaufst Dir halt das Zeug das Du brauchst. Schweinekram und Bikiniphotos kriegt man sicher auch anders.

greetz

glockman

Zu Risiken und Nebenwirkungen essen Sie die Packungsbeilage und tragen Sie Ihren Arzt zum Apotheker

_{This System is}

wenn ich aber einen zweiten rechner nur zum saugen benutze - wie krieg ich dann die files auf meinen ersten rechner - und v.a. wie kann ich sicher sein dass beim überspielen der files nicht doch ein krankheitserrreger mitgeschleppt wird???

Man kann doch nicht ein Risiko eingehen und dann verlangen, eine Garantie für den Erfolg zu bekommen. Entweder - Oder.
ich hab momentan lediglich einen hartnäckigen virus und wenn ich den wegkriege ist mein system wieder sauber. zudem läuft ja antivir eh ständig mit und ab jetzt wird jede file vor dem öffnen gescannt (aus schaden wird man klug

).
-------------------------------------------------------------------------------------------------------------------
Ich behalte mir das Recht vor Spamer und Flamer
aus meinen Threads kommentarlos zu verbannen
-

(j/k) -

Es gibt keine Sicherheit für "unverseuchte" Files. Wenn dem so wäre könnte die Antivirenindustrie zusperren. Virennschanner deshalb auch am "Sauger". Und am Besten einen anderen als am Haupt-PC.
Die Files von A nach B zu transportieren könnte man mit nur einer NIC im Saug-PC machen. Einfach zwischen internem und externem Netz immer hin- und herstecken. Damit kann von draussen niemand direkt anklopfen. Oder einen Brenner kaufen und so den Transfer bewerkstelligen.

> ich hab momentan lediglich einen hartnäckigen virus...

Bist Du Dir sicher, dass es nur einer ist? Was ist wenn vor dem Antiviren - Update schon einer aktiv geworden ist? Dann hast Du jetzt im besten Fall 2 Viren, die unbekannt sind. Um eine Neuinstallation wirst Du fürchte ich nicht herumkommen. Zumindest kann ich von hier aus nicht viel machen, um Dir bei der Virensuche zu helfen.

greetz

glockman

Zu Risiken und Nebenwirkungen essen Sie die Packungsbeilage und tragen Sie Ihren Arzt zum Apotheker

_{This System is}

es gibt sicher noch andere als kazaa,...

Danke
T.

du meinst der muli trägt weniger viren mit sich?
-------------------------------------------------------------------------------------------------------------------
Ich behalte mir das Recht vor Spamer und Flamer
aus meinen Threads kommentarlos zu verbannen
-

(j/k) -

ja glaub ich schon bei kazaa gibst schon so viel fakes und viren versuch mal den neuen esel?
Danke
T.

Da gibt's ne ganz einfach Lösung.

Mein Tipp:

- System formatieren
- Per wiederherstellungsconsole neuen MBR schreiben
- System neu aufsetzen
- AntiVir installieren & aktualisieren
- Image der Systempartition ziehen
- SystemScan
- Dann erst Kazaa verwenden (oder am besten gar NICHT)

Im Zweifelsfall dann einfach nur mehr MBR überschreiben und Image neu aufspielen, das dauerd ca. 3 Minuten, und in Zukunft hast keine Sorgen mehr (außer Kazaa).

chaos

Disclaimer: Any errors in spelling, tact, or fact are
transmission errors and not the fault of the sender.

eMailb>

In der Registry hab ich nix gefunden, weder in Lm noch current user noch Default user.. (jeweils unter Software\Microsoft\Windows\CurrentVersion\Run natürlich) zumindest nix was auf cmd.exe deutet
-------------------------------------------------------------------------------------------------------------------
Ich behalte mir das Recht vor Spamer und Flamer
aus meinen Threads kommentarlos zu verbannen
-

(j/k) -

Es muss nicht auf cmd.exe zeigen - es kann auf irgendein Shellskript zeigen, das mit cmd.exe verknuepft ist.

Einfach Windows 2000 nochmal istallieren oder aktualisieren.

so wie's ausieht schein es sich um einen virus zu handeln und um den wegzukriegen müsste ich zumindest c formatieren und neu installieren müsst ich windows, office, alle treiber und alle programme, konfigurationen - eine arbeit von ca. 3 tagen

- und ich WILL nicht!

(j/k) -

hmm...würde auf jeden Fall zuerst den "Seuchenherd=Kazaa" kicken,
und auf weniger viren-  bzw. trojanerinfizierte Netzwerke umsteigen,
z.B. mit Emule oder WinMX, und w2k erst dann neuinstallieren.
                                                                        ~~~~~~~~~~~~~~~~

Auch viel zu verDAUen?
~~~~~~~~~~~~~~~~
^L^

Dieses Forum ist eine frei zugängliche Diskussionsplattform.
Der Betreiber übernimmt keine Verantwortung für den Inhalt der Beiträge und behält sich das Recht vor, Beiträge mit rechtswidrigem oder anstößigem Inhalt zu löschen.
Datenschutzerklärung