Tojaner 1.03

[ferdinand38]

Hallo Petra,
wenn ich den Dienst "Windows Verwaltungsinstrumentation" beende, dann meldet er mir, daß auch die Dienste "Sicherheitscenter" und "Windows Firewall/Gemeinsame Nutzung der Internetverbindung" beendet werden und fordert mich auf mit JA oder NEIN zu antworten. Kann ich da mit ruhigem Gewissen JA antworten?
Herzliche Grüße,
Ferdinand

[Petra]

Hallo Ferdinand,

mit ja antworten, aber dann daran denken, die beiden zusätzlich beendeten Dienste danach auch wieder zu starten.

[ferdinand38]

Guten Tag, Petra,
endlich habe ich mich an Deine Anleitung gewagt.
Die beiden zusätzlich beendeten Dienste mußte ich nicht wieder starten, sie waren von allein wieder gestartet.
Im Anhang wollte ich Dir die Dateien übersenden, aber selbst bei 7zip sind es noch 370 KB. Auch die Word-Datei allein hat als 7zip-Datei noch 180 KB. Was mache ich jetzt? Mailen?
Ich wünsche Dir noch einen schönen, sonnigen Sonntag und grüße Dich ganz herzlich,
Ferdinand

[Petra]

ja mailen

[ferdinand38]

Guten Abend, Petra,
nur eine kurze Frage, kamen die Diag -Dateien an?
Noch einen schönen Abend und herzliche Grüße,
Ferdinand

[Petra]

Warte, ich gucke

Ja, sind angekommen, es reicht übrigens die .xls Datei, der Rest ist das Programm selbst:
Hier die .xls Datei einfach als .txt gespeichert:

Issue % within the WARNING category	1	/ Total	/ Category	
# of machines w/ environment issues (W)	0	0,00%	0,00%	
# of machines w/ file presence issues (W)	0	0,00%	0,00%	
# of machines w/ additional binaries in WBEM folder  (W)	0	0,00%	0,00%	
# of machines w/ missing WMI DCOM registrations  (W)	0	0,00%	0,00%	
# of machines w/ WMI ProgID registration issues (W)	0	0,00%	0,00%	
# of machines w/ a DCOM security warnings (W)	0	0,00%	0,00%	
# of machines w/ a WMI security warnings (W)	0	0,00%	0,00%	
# of machines w/ WMI provider DCOM registration issues (W)	0	0,00%	0,00%	
# of machines w/ WMI provider CIM registration failures (W)	1	100,00%	100,00%	
# of machines w/ WMI provider CLSID failures (W)	0	0,00%	0,00%	
# of machines w/ missing WMI provider file (W)	0	0,00%	0,00%	
# of machines w/ no ADAP process started yet (W)	0	0,00%	0,00%	
# of machines w/ WMI enumeration skipped (W)	0	0,00%	0,00%	
# of machines w/ WMI exec WQL query skipped (W)	0	0,00%	0,00%	
# of machines w/ WMI get value property warnings (W)	0	0,00%	0,00%	
# of machines w/ WMI get value property skipped (W)	0	0,00%	0,00%	
				
Issue % within the ERROR category	1	/ Total	/ Category	
# of machines w/ inconsistent WMI repository among tested (E)	0	0,00%	0,00%	
# of machines w/ missing WMI sytem files (E)	0	0,00%	0,00%	
# of machines w/ missing repository files (E)	0	0,00%	0,00%	
# of machines w/ Invalid DCOM setup (E)	0	0,00%	0,00%	
# of machines w/ Invalid WMI service setup (E)	0	0,00%	0,00%	
# of machines w/ Invalid WMI service DCOM setup (E)	0	0,00%	0,00%	
# of machines w/ a DCOM security errors (E)	0	0,00%	0,00%	
# of machines w/ a WMI security errors (E)	0	0,00%	0,00%	
# of machines w/ no ADAP process started yet (W)	0	0,00%	0,00%	
# of machines w/ WMI moniker connection errors (E)	0	0,00%	0,00%	
# of machines w/ WMI connection errors (Connection) (E)	0	0,00%	0,00%	
# of machines w/ WMI get errors (E)	0	0,00%	0,00%	
# of machines w/ MOF representation errors (E)	0	0,00%	0,00%	
# of machines w/ qualifier access errors (E)	0	0,00%	0,00%	
# of machines w/ WMI enumeration errors (E)	1	100,00%	100,00%	
# of machines w/ WMI exec WQL query errors (E)	0	0,00%	0,00%	
# of machines w/ write in repository failures (E)	0	0,00%	0,00%	
# of machines w/ WMI put errors (E)	0	0,00%	0,00%	
# of machines w/ WMI delete errors (E)	0	0,00%	0,00%

Ich muss bzgl. der roten Zeilen erstmal ein wenig recherchieren

[ferdinand38]

Hallo Petra,
danke, daß Du mir die Datei geschickt hast. Muß ich da irgendetwas mit machen? Oder ist das nur zur Info? Um es gleich zu sagen, für mich sind das böhmische Dörfer, leider.
Auch von hier einen schönen 1. Mai.
Es grüßt Dich herzlich
Ferdinand

[Petra]

Hallo Ferdinand,

hast Du das Tool so laufen lassen?

http://www.microsoft.com/en-us/downl...ang=en&id=7684 - herunterladen.
WMIDiag.exe starten.
Die Dateien auf den Desktop entpacken lassen.
Die WMIDiag.vbs per Doppelklick starten.
Das ist das VisualBasic-Skript, welches abgearbeitet wird.

Falls gesagt wird, dass kein Echo kommen kann, gib in einer Eingabeaufforderung ein:

falsch: csscript.exe //H:cscsript
korrekt: cscript.exe //H:cscript

Ansonsten lasse die Datei abarbeiten, bis sich das Logfile im Editor öffnet.
Kopiere mir den Inhalt des Logfiles hier in den Thread.

[ferdinand38]

Guten Morgen, Petra,
Du hast wohl den Tanz in den Mai mit dem Rechner verbracht?...
Dieses Mal habe ich es richtig gemacht, hoffe ich. Deine Eingabeaufforderung ist nicht ganz richtig geschrieben, habe es aber gemerkt (Höre ich da ein Bravo?)
In der Eingabeaufforderung tat sich viel, leider konnte ich das nicht für Dich kopieren, da es nach dem Abschluß verschwand.
Im Anhang zwei LogFiles, wobei ich nicht weiß, warum zwei erschienen sind.
Einen schönen Feiertag und herzliche Grüße,
Ferdinand

[Petra]

Hallo Ferdinand,

jawohl, Du hörst ein Bravo
Ich habe den Beitrag oben korrigiert.

Nichtsdestotrotz ist Dein WMI noch immer nicht ok ....

Scan mit SystemLook

Hiermit prüfe ich, ob für diese Infektion übliche Einträge noch vorhanden sind. Das Tool ändert nichts, wirft mir nur die nötigen Infos aus.

Lade SystemLook von jpshortstuff von einem der folgenden Spiegel herunter und speichere das Tool auf dem Desktop (falls noch nicht vorhanden).

Download Mirror #1 - Download Mirror #2
User mit 64Bit-Windows-Versionen benutzen diese Version => http://jpshortstuff.247fixes.com/SystemLook_x64.exe

• Doppelklick auf die SystemLook.exe, um das Tool zu starten.
  Vista- und Windows 7-User unbedingt mit Rechtsklick und als Administrator starten.
• Kopiere den Inhalt der folgenden Codebox in das Textfeld des Tools:
  
  

  :folderfind
  wbem

• Klicke nun auf den Button Look, um den Scan zu starten.
• Wenn der Suchlauf beendet ist, wird sich Dein Editor mit den Ergebnissen öffnen, diese hier in den Thread posten.
• Die Ergebnisse werden auf dem Desktop als SystemLook.txt gespeichert.