gelöst Microsoft Update deaktiviert sich bei Neustart selbst

Mitglied: 22611

22611 (Level 1)

11.03.2010, aktualisiert 12.03.2010, 7980 Aufrufe, 10 Kommentare

1. Nach der Installation von Service Pack 3 sind die Updates von Microsoft deaktiviert. Sie lassen sich wieder aktivieren, aber nach einem Neustart ist das Update wieder deaktiviert.
2. die Seiten von Microsoft sind vom Problemrechner nicht erreichbar. Alle übrigen Seiten funktionieren.

Seit wann dieses Problem besteht kann ich nicht mehr nachvollziehen. Es muss nicht ursächlich mit dem Service-Pack 3 zusammenhängen.

Der Problemrechner hängt im LAN und der HTTP-Port ist normalerweise gesperrt. Aufgefallen ist das Problem, dass bei einem G-Data AV Scan das Windows abstürzt.
Hier fiel auf das sich Update immer wieder selbst beim Neustart deaktiviert.

Also wollte ich nach Updates manuell suchen und habe den HTTP-Port aufgemacht. Es fällt auf, dass alle möglichen Seiten aufgerufen werden können. Es funktionieren derzeit folgende Seiten nicht:

microsoft.com / .de
pandasecurity.com

Diese Seiten lassen sich auch nicht anpingen.

das Hijack-Logfile und der Scan von Spybot brachten keine verwertbaren Ergebnisse.

Hat jemand einen weiteren Lösungsansatz.


Betriebssystem: Windows XP Professional, Version 2002, SP3
Mitglied: misterlaffer
11.03.2010 um 12:19 Uhr
Hallo,
check mal den DNS-Eintrag im ITPC-Protokol
Bitte warten ..
Mitglied: crashzero2000
11.03.2010 um 12:19 Uhr
Moinsen ,

ich bin mir ziemlich sicher das deine Büchse infiziert ist.
Nach deiner Schilderung hörts sich das genau so an.

Versuch mal hier :
http://www.microsoft.com/security/malwareremove/default.aspx
Poste mal nen HiJack-Log.

Schau mal in die HOST-Datei ob da merkwürdige Eintrge sind.
Bitte warten ..
Mitglied: 22611
11.03.2010 um 12:35 Uhr
@ misterlaffer

Die DNS ist auf "automatisch beziehen" eingestellt. Auch mit statischen DNS hat es nicht funktioniert.

@ crashzero

Die Host-Datei ist leer (bis auf Localhost)

Hijack-Log:
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 12:31:53, on 11.03.2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\G DATA\AVKClient\AVKCl.exe
C:\Programme\Gemeinsame Dateien\G DATA\AVKProxy\AVKProxy.exe
C:\Programme\G DATA\AVKClient\AVKWCtl.exe
C:\WINDOWS\system32\drivers\CDAC11BA.EXE
C:\WINDOWS\system32\HLS32SVC.EXE
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\HPZipm12.exe
C:\Programme\Analog Devices\SoundMAX\SMAgent.exe
C:\Programme\Gemeinsame Dateien\G DATA\GDScan\GDScan.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\fpdisp5a.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\fppdis2a.exe
C:\PROGRA~1\GDATA~1\AVKCLI~1\AvkCl.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\rundll32.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\system32\cmd.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O4 - HKLM\..\Run: [FinePrint Dispatcher v5] "C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\fpdisp5a.exe" /source=HKLM
O4 - HKLM\..\Run: [pdfFactory Pro Dispatcher v2] "C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\fppdis2a.exe" /source=HKLM
O4 - HKLM\..\Run: [AVK Client] "C:\PROGRA~1\GDATA~1\AVKCLI~1\AvkCl.exe" /GUI
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search && Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O23 - Service: G Data AntiVirus Client (AntiVirusKit Client) - G Data Software AG - C:\Programme\G DATA\AVKClient\AVKCl.exe
O23 - Service: G Data AntiVirus Proxy (AVKProxy) - G Data Software AG - C:\Programme\Gemeinsame Dateien\G DATA\AVKProxy\AVKProxy.exe
O23 - Service: G Data Dateisystem Wächter (AVKWCtl) - G Data Software AG - C:\Programme\G DATA\AVKClient\AVKWCtl.exe
O23 - Service: C-DillaCdaC11BA - Macrovision - C:\WINDOWS\system32\drivers\CDAC11BA.EXE
O23 - Service: G Data Scanner (GDScan) - G Data Software AG - C:\Programme\Gemeinsame Dateien\G DATA\GDScan\GDScan.exe
O23 - Service: HL-Server (HLServer) - Aladdin Knowledge Systems Ltd. - C:\WINDOWS\system32\HLS32SVC.EXE
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\HPZipm12.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Programme\Analog Devices\SoundMAX\SMAgent.exe

Die Microsoft-Seite kann ich nicht direkt laden, versuche aber mein Bestes über Umwege
Bitte warten ..
Mitglied: crashzero2000
11.03.2010 um 12:43 Uhr
C:\Programme\Gemeinsame Dateien\G DATA\AVKProxy\AVKProxy.exe
Proxy ? GData setzt, glaube ich, einen Proxy ein

C:\WINDOWS\system32\drivers\CDAC11BA.EXE
Was ist das ?


Firewall ausgeschalten ?

Mal auf der CMD folgendes eingegeben :
netsh firewall reset
netsh winsock reset

und Büchse neu starten.

Spzielle Dienst die du nicht zuordnen kannst ?
Bitte warten ..
Mitglied: cardisch
11.03.2010 um 13:06 Uhr
- Kannst du irgendetwas im Internet anpingen, egal ob IP oder Name ?!?
- Ist deine Hosts-Datei korrupt ?!? Nicht das da falsche IP´s für deine genannten Webseiten drin stehen.


Gruß

Carsten
Bitte warten ..
Mitglied: 22611
11.03.2010 um 13:47 Uhr
@cardish

Host Datei ist in Ordnung.

Nur der Ping auf microsoft.de/.com oder pandasecurity.com funktionierte nicht. Alle anderen antworteten korrekt.

@crashzero

Der Scan von GMER brachte den Durchbruch (http://www.gmer.net/files.php)

Hier der Auszug aus dem Protokoll:
\\\
Services - GMER 1.0.15 ----

Service C:\WINDOWS\system32\svchost.exe (* hidden * ) [AUTO] rfnznxx <-- ROOTKIT !!!

Registry - GMER 1.0.15 ----

Reg HKLM\SYSTEM\CurrentControlSet\Services\rfnznxx@DisplayName Security Monitor
Reg HKLM\SYSTEM\CurrentControlSet\Services\rfnznxx@Type 32
Reg HKLM\SYSTEM\CurrentControlSet\Services\rfnznxx@Start 2
Reg HKLM\SYSTEM\CurrentControlSet\Services\rfnznxx@ErrorControl 0
Reg HKLM\SYSTEM\CurrentControlSet\Services\rfnznxx@ImagePath %SystemRoot%\system32\svchost.exe -k netsvcs
Reg HKLM\SYSTEM\CurrentControlSet\Services\rfnznxx@ObjectName LocalSystem
Reg HKLM\SYSTEM\CurrentControlSet\Services\rfnznxx@Description ?berwacht Systemsicherheitseinstellungen und -konfigurationen.
Reg HKLM\SYSTEM\CurrentControlSet\Services\rfnznxx\Parameters
Reg HKLM\SYSTEM\CurrentControlSet\Services\rfnznxx\Parameters@ServiceDll C:\WINDOWS\system32\otnlmjgt.dll
Reg HKLM\SYSTEM\ControlSet002\Services\rfnznxx@DisplayName Security Monitor
Reg HKLM\SYSTEM\ControlSet002\Services\rfnznxx@Type 32
Reg HKLM\SYSTEM\ControlSet002\Services\rfnznxx@Start 2
Reg HKLM\SYSTEM\ControlSet002\Services\rfnznxx@ErrorControl 0
Reg HKLM\SYSTEM\ControlSet002\Services\rfnznxx@ImagePath %SystemRoot%\system32\svchost.exe -k netsvcs
Reg HKLM\SYSTEM\ControlSet002\Services\rfnznxx@ObjectName LocalSystem
Reg HKLM\SYSTEM\ControlSet002\Services\rfnznxx@Description ?berwacht Systemsicherheitseinstellungen und -konfigurationen.
Reg HKLM\SYSTEM\ControlSet002\Services\rfnznxx\Parameters (not active ControlSet)
Reg HKLM\SYSTEM\ControlSet002\Services\rfnznxx\Parameters@ServiceDll C:\WINDOWS\system32\otnlmjgt.dll
Reg HKLM\SYSTEM\ControlSet003\Services\rfnznxx@DisplayName Security Monitor
Reg HKLM\SYSTEM\ControlSet003\Services\rfnznxx@Type 32
Reg HKLM\SYSTEM\ControlSet003\Services\rfnznxx@Start 2
Reg HKLM\SYSTEM\ControlSet003\Services\rfnznxx@ErrorControl 0
Reg HKLM\SYSTEM\ControlSet003\Services\rfnznxx@ImagePath %SystemRoot%\system32\svchost.exe -k netsvcs
Reg HKLM\SYSTEM\ControlSet003\Services\rfnznxx@ObjectName LocalSystem
Reg HKLM\SYSTEM\ControlSet003\Services\rfnznxx@Description ?berwacht Systemsicherheitseinstellungen und -konfigurationen.
Reg HKLM\SYSTEM\ControlSet003\Services\rfnznxx\Parameters (not active ControlSet)
Reg HKLM\SYSTEM\ControlSet003\Services\rfnznxx\Parameters@ServiceDll C:\WINDOWS\system32\otnlmjgt.dll
\\\

Im abgesicherten Modus habe ich die Datei otnlmjgt.dll in otnlmjgt_.dll umbenannt und neu gestartet.

Das Update von Microsoft läuft jetzt wieder und www.microsoft.com ist wieder frei

Ich werde mich nun an die endgültige Entfernung des Rootkits machen.

Danke an alle die geholfen haben, besonderen Dank an crashzero!!!

Viele Grüße
Steffen

p.s. Den Beitrag markiere ich als gelöst
Bitte warten ..
Mitglied: misterlaffer
11.03.2010 um 13:50 Uhr
G-Data AV Scan mal deinstallieren und schauen ob es dann funktioniert damit du auch den Fehler eingrenzen kannst ob es am G-Data oder Windows liegt. Weil wie du gesagt hast das beim Scan Windows abstürzt. Vieleicht G-Data auch updaten wenn nicht aktuelle Version. Festplatte auf "bad-sectors" überprüfen.
Bitte warten ..
Mitglied: 22611
11.03.2010 um 15:13 Uhr
@ misterlaffer
Nach der Entfernung des Rootkits läuft gerade der Scan. Er läuft momentan recht stabil und hat bisher ein Virus entfernt. Ich bin bester Dinge, dass mein Problemkind auf dem Weg der Besserung ist.

Viele Grüße
Steffen
Bitte warten ..
Mitglied: crashzero2000
11.03.2010 um 17:16 Uhr
Kein Problem.
Dafür ist dieses Forum da, jeder ein Spezialist auf seinem Gebiet.

Du solltest trotzdem noch eine andere AV drüberlaufen lassen, sicher ist sicher.
Irgendwie ist das Teil ja auch reingekommen.

Viel Spaß noch.
Bitte warten ..
Heiß diskutierte Inhalte
Windows Server
Auslagerungsdatei wird nicht kleiner
GwaihirFrageWindows Server23 Kommentare

Hallo zusammen, gestern hat jemand auf einem unserer Terminalserver (Windows Server 2012 R2) eine Anwendung gestartet, die den RAM ...

Netzwerke
Sporadische Ausfälle im gesamten Heimnetz
gelöst bilbo-dvdFrageNetzwerke23 Kommentare

Guten Morgen, ich habe einen Kabelanschluss bei Vodafone und mein Tarif wurde im März auf CableMax 1000 umgestellt. Ich ...

Sicherheit
Sicherheit oder bessere Benutzbarkeit?
gelöst StefanKittelFrageSicherheit19 Kommentare

Hallo, ich habe eine Webanwendung programmiert und sehe mich nun mit einer Frage zur Benutzbarkeit konfrontiert. Bei der Anmeldung ...

Router & Routing
RDP nur im internen Netz möglich nicht aber per vpn?
einfach112FrageRouter & Routing18 Kommentare

Hallo zusammen. Beim Kunden habe ich einen Server mit VMWARE laufen. Darauf ein Windows Server 2016 Essentials als VM ...

Internet Domänen
Azure AD deactivate Identity Protection
Jannik2018FrageInternet Domänen15 Kommentare

kann mir einer sagen wie ich beim meiner MS Azure AD Domäne die Identity Protection deactiviere siehe Screenshot sollte ...

LAN, WAN, Wireless
Externes Ziel nicht erreichbar vom internen Netzwerk
Stibe88FrageLAN, WAN, Wireless14 Kommentare

Hallo Community Ich habe bei mir Homematic IP installiert. Nun kann ich seit 4 Tagen mich nicht mehr in ...

Ähnliche Inhalte
Windows Update

Microsoft deaktiviert Spectre-2-Patches für Windows

wuurianInformationWindows Update7 Kommentare

Alle Windows-Rechner mit noch unterstütztem Betriebssystem und einem Broadwell-, Haswell- oder Skylake-Chip bekommen ein außerplanmäßiges Update - das ein ...

Windows 7

Ereignisanzeige plötzlich deaktiviert

itazubiiFrageWindows 72 Kommentare

Hallo liebe Community, als ich in der Ereignisanzeige unter meiner Windows 7 Maschine nach einem Fehler suchen wollte, konnte ...

Windows Netzwerk

Administrative Freigaben deaktiviert?

BadgerFrageWindows Netzwerk7 Kommentare

Hallo, nachdem mich leider die SuFu nicht weitergebracht hat, frage ich hier direkt: Habt ihr die administrative Freigaben deaktiviert ...

Informationsdienste

IIS Verzeichnissuche automatisch deaktiviert

ThekiviFrageInformationsdienste4 Kommentare

Hallo Miteinander, im Moment habe ich ein komisches Problem mit einem unserer IIS Server. Mindestens einmal über Nacht(vielleicht auch ...

Windows 10

Sicherheitskontomanager deaktiviert sich automatisch

flugfaustFrageWindows 104 Kommentare

Hallo, wir verwenden u.a. 10 Tablets mit Windows 10 HPE EliteBooks in einer Active Directory Domain. Bei diesen 10 ...

Ubuntu

Neustart mehrerer Geräte

gelöst 136430FrageUbuntu8 Kommentare

Hallo zusammen, ich kann in Linux nur die basics und schalte mich öfters mit putty auf einen von mehreren ...

Neue Fragen
Administrator Magazin
11 | 2020 Virtualisierung ist aus der IT nicht mehr wegzudenken. In der November-Ausgabe des IT-Administrator Magazins dreht sich der Schwerpunkt um das Thema "Server- und Storage-Virtualisierung". Darin erfahren Sie, wie sich die Virtualisierungstechnologie entwickelt hat, welche Varianten es im Bereich Server und Speicher gibt und wie ...
Neue Beiträge
Neue Jobangebote
Server- und Storage-VirtualisierungServer- und Storage-VirtualisierungBerechtigungs- und IdentitätsmanagementBerechtigungs- und IdentitätsmanagementWebdienste und -serverWebdienste und -serverDatenbankenDatenbankenMonitoring & SupportMonitoring & SupportHybrid CloudHybrid Cloud