PC spinnt--Virus? - boote-forum.de

Mystic · #1 02.03.2005, 13:50

Hallo Zusammen,

bei meinem Schlepptop habe ich seit einigen Tagen ein seltsames Verhalten

Wenn ich die Kiste boote ( win XP ) kommt der normale Anmeldebildschirm hoch. Nach der Anmeldung (egal welcher User) wird die Kiste aber sofort wieder runtergefahren, bevor ich auch nur den Hauch einer Möglichkeit habe das zu verhindern

Kennt einer diesen Fehler oder hat einen Ratschlag für mich?

christoph · #2 02.03.2005, 13:56

Servus Bodo,

du sagst es ist ein Schlepptop. Wie alt ist der ? Vielleicht auch nur ein Fehler der Batterie oder der internen Spannungsversorgung.
Starte den Sclepptop mal ohne Batterie.

Mystic · #3 02.03.2005, 14:21

hi Christoph,

habe ich gerade mal versucht, gleicher Effekt......

Ich habe vorhin aber das Verhalten etwas falsch beschrieben, die Kiste fährt nicht runter sondern der User wird sofort wieder abgemeldet ( es kommt auch diese Meldung "XXX wird abgemeldet")

higgy · #4 02.03.2005, 16:00

Moin Moin !

Das ganze hört sich ziemlich nach einer Lovsan / W32 Virusinfektion des rechners an. Schau mal unter www.chip.de nach lovesan oder w32 da müsstest Du etwas weiterführendes finden. Das herunterfahren des Rechners kann man glaube ich durch die sofortige eingabe von shuttdown /a unterbinden, da hierdurch die Schadenprozedur des Virus heruntergefahren wird.

schöne Grüße !

Higgy

Seekreuzer · #5 02.03.2005, 16:07

Zitat:

Zitat von Mystic

der User wird sofort wieder abgemeldet

Zitat:

Zitat von higgy

durch die sofortige eingabe von shuttdown /a

Mal sehen, wer schneller ist...

Bodo, auf wieviel Ghz bringst Du es denn bei Tastaturanschlägen pro Sekunde?

Hier mein erster Treffer bei google:

Zitat:

Automatisches, sofortiges abmelden beim Starten

Sobald mein Rechner gestartet wurde (WinXP), wird für einen sehr kurzen Augenblick das Hintergrundsbild angezeigt. Anschließend wechselt das System zum Anmeldebildschirm und die Benutzerkonten sind alle zu sehen. Wird einer ausgewählt, so versucht das System diesen zu laden, was er auch anzeigt. Er ist nicht ganz fertig damit, da meldet er auch schon, dass er die Einstellungen abspeichert und den Benutzer abmeldet. Im Endeffekt kommt kein User mehr auf System - selbst der Admin nicht. Die letzte ausführbare Konfiguration brachte auch keinen Erfolg, sowie der abgesicherte Modus.

Hat jemand eine Ahnung, woran dieses liegen könnte? Vielleicht ein Virus?

Re: Automatisches, sofortiges abmelden beim Starten

Hi, das Problem hatte ich auch mal.
Bei mir lag es daran, das der Admin keine Berechtigung mehr auf dem Windows Verzeichnis hatte.. Er konnte noch nicht mal darin lesen
Ich hab versucht die Berechtigungen über die Reparaturkonsole wieder herzustellen, aber da der Admin keine Rechte hatte, blieb nur ein Format c:\ übrig...
Ich hoffe das bleibt dir erspart

higgy · #6 02.03.2005, 16:13

So !

Ich habe noch mal etwas im Netzt gesucht, da chip auch nicht mehr so das wahre ist hier einmal die auswirkungen des W32/lovsan oder auch Blaster wurms auszugsweise aus der FAZ:

Wie erkennt man ihn?

Ein sicheres Zeichen dafür, daß man den Wurm auf dem PC hat, ist die Existenz der Datei msblast.exe im Windows-Verzeichnis. Zusätzlich dazu kann man in der Registry seines Systems nachschauen. Dort müßte dann im Schlüssel HKEY_LOCAL_MACHINE\SOFTWARE\ Microsoft\Windows\CurrentVersion\ der Eintrag ?windows auto update = msblast.exe? stehen.

Auch ein Computerabsturz ist ein Symptom von Lovsan. Dazu öffnet sich eine Mitteilung, daß der Rechner in 60 Sekunden heruntergefahren wird. Um Datenverlust und abgebrochene Downloads zu vermeiden, gibt es folgenden Trick: Klick auf ?Start?, danach ?Ausführen? wählen. Hier geben Sie shutdown -a ein und klicken anschließend auf ?OK?. Damit wird das Herunterfahren abgebrochen und alle Anwendungen arbeiten normal weiter.

Wie werde ich den Wurm los?

Alternativ helfen auch die Virus-Experten von Trend Micro weiter: Auf der Website des Unternehmens gibt es einen kostenlosen Viruscheck per Internet.

Um den Wurm loszuwerden, gibt es mehrere Möglichkeiten. Einfach und schnell funktioniert beispielsweise ein kleines Download-Programm des Antivirus-Spezialisten Symantec, das zuerst alle Aktivitäten des Wurms stoppt und ihn anschließend aus dem System tilgt. Das Programm können Sie hier downloaden. Bevor Sie es ausführen, schließen Sie bitte alle Anwendungen und deaktivieren Sie bei Windows XP die Dokumentenwiederherstellung, auch System Restore genannt.

Es könnte sich um eine neuere Version des Virus handeln, der nicht erst eine minute wartet,um den Rechner herunterzufahren.

Schöne Grüße

Higgy

Seekreuzer · #7 02.03.2005, 16:27

Hier das gleiche Problem incl. Lösung:

http://www.ntcompatible.com/thread31505-1.html

Zitat:

After (partial) removal of the W32.Funner worm from my XP-Home PC
I can boot the PC (whether in secure mode or not is not important), but as soon as I login under any user account,which works ok, I am immediatly within half a second or so logged out again. I have no chance to enter into any account. Has anybody an idea what to do in this situation (beside installing the system again from scratch)?

---

That nasty worm have changed userinit value in Registry...

<long post>

Code:

"HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon" 
Value: Userinit 
Data: %system32%\wsaupdater.exe

%system32% represents the path to the System32 folder. For example, if the path is C:\Windows\System32, then the data would be: "C:\Windows\System32\wsaupdater.exe"

Instead of "wsaupdater.exe", the data should contain "userinit.exe,".
Using the example above, the data would be "C:\Windows\System32\userinit.exe,"
(!Note! the comma following the file path information.)

Using the XP's recovery console, copy userinit.exe to wsaupdater.exe to allow log on capability to be restored, and correct the registry data manually.

In the following instructions, C:\Windows\System32 shall be used as the System32 location. Change the path accordingly to accommodate for your installation directory.

Insert the Windows XP startup disk into the floppy disk drive, or insert the Windows XP CD-ROM into the CD-ROM drive, and then restart the computer.
Click to select any options that are required to start the computer from the CD-ROM drive if you are prompted to do so.

When the "Welcome to Setup" screen appears, press R to start the Recovery Console.
If you have a dual-boot or multiple-boot computer, select the installation that you want to access from the Recovery Console.
When you are prompted to do so, type the Administrator password.

If the administrator password is blank (which is likely the case if Windows XP was preinstalled by your computer manufacturer), just press ENTER.

You should now be in the Windows installation folder ("C:\Windows").
At the Recovery Console command prompt, type the following lines, pressing ENTER after you type each line:

Code:

cd system32 
copy userinit.exe wsaupdater.exe 
exit

At this time, remove the startup floppy or CD-ROM from your system, and boot into Windows XP. Log on to the system using an account with administrator-level privileges, and edit the registry using this information. It is recommeded that a registry backup be created prior to continuing.

Click start, then run. Enter

regedit

and click OK. Using RegEdit, expand

HKEY_LOCAL_MACHINE
+Software
+Microsoft
+Windows NT
+CurrentVersion
+Winlogon

Locate Userinit in the value column, right-click this item, and choose modify. Replace
"wsaupdater.exe" with "userinit.exe," (do not use quotes, and ensure the trailing comma is present as shown) and click OK.
Exit RegEdit.

Restart your computer, and log on to the system using an account with administrator-level privileges.

Go to My Computer, then to the System32 folder (usually C:, then Windows, then System32). If Explorer prompts that removing files from these areas is not recommended, click to continue. Locate and remove wsaupdater.exe, and delete this file.

</long post>

Mystic · #8 02.03.2005, 19:47

Hi Zusammen,

lasst es gut sein, bevor mir hier graue Haare wachsen, werde ich den geplanten Frühjahrsputz auf der Festplatte etwas gründlicher ausfallen lassen.....
Auch mit der Beschreibung von Markus kam ich nicht weiter

Im Moment wird gerade die Platte c: formatiert

Hat Billyboy eigentlich eine Yacht? wenn ja, brauche ich ein Torpedoboot

Seekreuzer · #9 02.03.2005, 19:49

Zitat:

Zitat von Mystic

Hat Billyboy eigentlich eine Yacht? wenn ja, brauche ich ein Torpedoboot

Hast Du eigentlich ein Backup oder Image? Vielleicht besser angelegtes Geld...

Mystic · #10 02.03.2005, 20:14

Hey Markus,

wo denkst Du hin

Ich verscherbel jedes Jahr etwa 500.000GB Speicher-- Mir ist die Wichtigkeit und Notwendigkeit eines Backups durchaus bewusst!!!

UND NATÜRLICH HABE ICH KEINS

Also streut nur Salz in meine Wunden

Noch 13 Minuten, dann ist WIN wieder da

hakl · #11 02.03.2005, 20:34

Nur so eine Frage, würde in diesem Fall eigentlich ein IMAGE helfen?

dieter · #12 02.03.2005, 20:37

Zitat:

Zitat von Mystic

Hey Markus,

wo denkst Du hin

Ich verscherbel jedes Jahr etwa 500.000GB Speicher-- Mir ist die Wichtigkeit und Notwendigkeit eines Backups durchaus bewusst!!!

UND NATÜRLICH HABE ICH KEINS

Also streut nur Salz in meine Wunden

Noch 13 Minuten, dann ist WIN wieder da

..

tröste dich, immer noch besser als bei mir vor einigen wochen... alles gesichert, system neu aufgespielt und 8 Tage später einen Trojaner gefangen, der alles versaut hat....

da ich aber nach der Neuaufspielung eine komplette Spiegelung der Festplatte auf eine externe HD gemacht habe, kein Problem, da wird formatiert und zurückgespiegelt.... Dauer der Rückführung ca. 320 Minuten... auch o.k.... und nach 220 Minuten die Meldung von irgendeinem
i/o Fehler die Sicherung kann nicht zurückgespielt werden....

mer sog i net ...

hakl · #13 02.03.2005, 20:40

Und noch eine Frage, wäre es möglich gewesen durch das Setzen eines BIOS-Datums das Ablaufen eines Zugangs zu verhindern?

Seekreuzer · #14 02.03.2005, 20:47

@hakl:
da man ein Image immer von einer sauberen Installation macht und dann ggf. noch weitere von ebenfalls erhaltenswerten Zuständen, hilft das garantiert und unglaublich schnell wieder ein nach Wunsch funktionierendes System zu bekommen.

Das mit dem BIOS-Datum (= Rechneruhr=Windowszeit) ist eher kontraproduktiv, da solche Produkte diese Manipulation registrieren und ihren Dienst lieber vorzeitig einstellen mit dem Hinweis, daß da sicher ein Virus an der Uhr gespielt hat

Seekreuzer · #15 02.03.2005, 20:49

Zitat:

Zitat von dieter

Dauer der Rückführung ca. 320 Minuten...

320 Minuten? Das dauert heutzutage 5 bis max. 20 Minuten. Solche Zeiten kenne ich ja nur von alten Streamern...

hakl · #16 02.03.2005, 21:00

Da Bodo wohl die Radikalkur schon fast hinter sich hat, darf ich mit einem weiterem eigenartigen Phänomen an Euch wenden.
Habe w2k, 2 Festplatten an dem prim IDE, einen DVD-Brenner am sek. IDE, ein Fritzcard für's Fax, eine AGB Videokarte Radeon 9600, eine Hauppauge WIN PVR 350, Netzwerk, USB am Motherboard.

Seit einiger Zeit erhalte einen schönen blauen Schirm mit
IRQL_less_or_not_equal.....................IDEDRVC HN.SyS

Tritt nicht immer auf, beim 2. Start meist ok.

Die Microsoft message zu diesem Thema trifft irgendwie nicht zu.

Hat ev. jemand so einen Fall schon erfolgreich erwürgt

Esmeralda · #17 02.03.2005, 21:46

Zitat:

Zitat von Mystic

Hat Billyboy eigentlich eine Yacht? wenn ja, brauche ich ein Torpedoboot

Es geht hier an der Weser das Gerücht, daß die neue in Bau befindliche Yacht bei A+R (oder war es die von Lürssen

) für Bill Gates sein soll............

anneke

Esmeralda · #18 02.03.2005, 21:47

Ist das mit dem Spiegeln der Platte (wenn ja wohin) oder mit dem Image erstellen irgendwie so zu erklären, daß es auch ein DAU wie ich kapiert??????

Bis jetzt sicher ich gelegentlich meine Dateien auf CD - und das wars dann, die Programme habe ich ja alle auf CDs und kann sie dann wieder aufspielen......

Anneke

dieter · #19 02.03.2005, 22:37

Das Anlegen der Spiegelung dauerte etwas über eine Stunde....

Acronis True Image 8.0 .... belegte Größe der Platte 59 GB ...

die komprimierte Spiegelung hat eine Größe von 39 GB .....

wie lange das zurückspielen insgeamt dauert konnte ich aufgrund des Abbruchs nicht feststellen.... (und werde es auch nicht mehr... )

Seekreuzer · #20 02.03.2005, 22:49

"Neuaufspielung" und dann 59GB ???

Oder war das schon ein altes vollgestopftes System, das Du da als Image abgelegt hast?

Da kommt doch wieder der Tipp mit Anlegen von verschiedenen Partitionen zu Tragen, damit nur das System und nicht die ganzen Benutzerdaten (für die man ja ein tägliches inkrementielles Backup und kein Image macht) gesichert werden.

Also vielleicht bin ich ja die Ausnahme, aber bei mir hat ein vollinstalliertes Windows mit 3 kompletten Office-Versionen, der gesamten Adobe-Welt, Quark, sechs weiteren Grafikprogrammen und fünf Dutzend Tools nur max. 10GB (meist weit darunter).

Denke mal darüber nach, was da wirklich in Deinem Image war...

Seekreuzer · #21 02.03.2005, 22:51

Zitat:

Zitat von Anneke

Ist das mit dem Spiegeln der Platte (wenn ja wohin) oder mit dem Image erstellen irgendwie so zu erklären, daß es auch ein DAU wie ich kapiert??????

Aber sicher: RTFM

(steht im Handbuch)

Esmeralda · #22 02.03.2005, 22:55

in welchem?

Anneke

Seekreuzer · #23 02.03.2005, 22:56

Zitat:

Zitat von Anneke

in welchem?

Das Handbuch zu der Software, die Du verwendest... den Spiegel kannst Du nun wieder an die Wand hängen...

dieter · #24 02.03.2005, 23:02

Zitat:

Zitat von Seekreuzer

"Neuaufspielung" und dann 59GB ???

Oder war das schon ein altes vollgestopftes System, das Du da als Image abgelegt hast?

Da kommt doch wieder der Tipp mit Anlegen von verschiedenen Partitionen zu Tragen, damit nur das System und nicht die ganzen Benutzerdaten (für die man ja ein tägliches inkrementielles Backup und kein Image macht) gesichert werden.

Also vielleicht bin ich ja die Ausnahme, aber bei mir hat ein vollinstalliertes Windows mit 3 kompletten Office-Versionen, der gesamten Adobe-Welt, Quark, sechs weiteren Grafikprogrammen und fünf Dutzend Tools nur max. 10GB (meist weit darunter).

Denke mal darüber nach, was da wirklich in Deinem Image war...

...nein ich habe alles gespiegelt.. sämtliche geschäftliche Grafikdaten seit 1999 (dies sind schon alleine 21 GB .... auch meine ganzen Mails incl. Grafikdaten, sämtlcihe Word-Dateien, Access, Excel und und und ....

ich habe mein system neu aufgespielt und alles betriebs- und arbeitsbereit aufgespielt... und dann gespiegelt...

winxp und die prgramme aufspielen ist ein klax... da brauche ich keine Spiegelung... nein... ich spiel zurück und kann sofort wieder mit allen arbeiten..

dieter · #25 02.03.2005, 23:05

Zitat:

Zitat von Anneke

Ist das mit dem Spiegeln der Platte (wenn ja wohin) oder mit dem Image erstellen irgendwie so zu erklären, daß es auch ein DAU wie ich kapiert??????

Bis jetzt sicher ich gelegentlich meine Dateien auf CD - und das wars dann, die Programme habe ich ja alle auf CDs und kann sie dann wieder aufspielen......

Anneke

... Anneke, das ist ganz einfac ... mit einem entsprechenden Programm... wird die Festplatte in komprimierter Form auf eine andere Platte oder DVD (CDs werden da zuviel) sozusagen gespiegelt.... ist das System defekt dann wird alles alte gelöscht und die gesicherten (gespiegelten) Daten wieder zurückgespielt....

die gibt es Prog. wie Drive Image oder das von mir verwendete Acronis
http://www.acronis.de/