Wurm ?

[MaxP0W3R]

Hi,

angefangen hat alles letzte Woche Montag, wo ich (fragt nicht warum) einen svchost Dienst manuell beendet habe. Dann kam das Fenster dass der PC in 60 Sekunden heruntergefahren wird.

Seit dem hab ich massive probleme im Internet, und zwar wenn ich auf einen Link gehe oder eine URI eintippe wird erst nach dem dritten Versuch der Hostname aufgelöst. Auf seiten die aus einer IP bestehen, komm ich direkt ohne probleme.

Bin ich erst mal auf einer seite kann ich porblemlos surfen, mache ich eine weile nichts, muss ich wieder 2 oder 3 mal aktualisieren bis er den hostnamen auflösen kann.

Irgendein Dienst bei beinem PC funzt nicht.

De PC ist in einem Netzwerk von etwa 10 pc, ich habe alle Einstellungen überprüft (proxy, ip, DHCP usw) alles stimmt, aber nur ich habe die Probleme, dass meine Browser ( IE, Firefox, NS) den Hostnamen erst beim 2. oder 3. versuch aufgelöst bekommen.

Sehr merkwürdig.

Ich hab Symantec (Security Response), den MS Blaster finder und antivir drüberlaufen lassen, aber keiner hat was gefunden.

Weiss einer Rat ?

thx cya max

[kill_bill]

zieh dir mal den filemon - der zeigt dir alle aktuellen prozesse / dateizugriffe ... vielleicht siehst du damit, was da los ist ...

http://www.sysinternals.com/ntw2k/source/filemon.shtml

[MaxP0W3R]

thx für das Proggie (echt nützlich) konnte aber leider nix verdächtiges feststellen.

Vielleicht läzft ja nicht was zu viel sondern was zu wenig ?

Was kann denn die DNS-Auflösung stören ?

[Dave5]

svchost verhindert das eintreten dieser Meldung (neustart in 60 sek), diese Meldung kommt normalerweise beim MS Blast Worm, aber nach neustart sollte dieser eigentlich wieder normal funktionieren...
Ich denke, dass bei dir auch was vom Blaster Worm hängen geblieben ist, versuch mal diese zu löschen... (mehr dazu findest du auf der microsoft HP)

[dispositor]

ich hatte vor kurzem das gleiche problem, bei mir wars nicht der blaster sondern der W32.WELCHIA.WORM!

einen fix gibts hier, aber kappe vorher deine inet connection...sonst kommt der fix net weit ;-)

gruß

[MaxP0W3R]

danke, werds morgen im Geschäft probieren


Der fix von MS hat nix gebracht, allerdings war ich die ganze zeit online, vielleicht sollte ich das mal offline probieren...

[Payne_of_Death]

ich kann dir auch den Securitytaskmanager von neuber.com empfehlen das verstehe ich unter einem Taskmanager, macht u.A. Prozessdetails (Prozesseigenschaften, verstecktes Fenster etc.) Beurteilung wie Sicherheitsrelevant der Prozess ist, Isolationsmodus um gezielt Prozesse mal zu isolieren etc.

Umfangreich gut und kann von mir aus anstatt des ursprünglichen Taskmanagers implementiert werden in Windows

DNS Einträge stören kann eigentlich nur die Hosts File die im System32\Drives Ordner liegt (wo genau müsste ich auch erst schauen)


Noch 2 Tipps am Rande:
a) Nimm eine gute Firewall
b) Arbeite an deiner Workstation nie als Admin es sei denn du hast wirkliche Gründe dafür....
c) Hau ein Passwort in deine Firewall bzw. Antivirenscanner.


Ich hatte u.A. schon mal einen Spybot der krass wahr, dieser hatte erstens die Firewall umgekrempelt bzw. deaktiviert und mir den Zugriff entzogen.
Eine IE Plugin installiert bzw. genauergesagt ne Toolbar.
Leitete mich immer um. Javascript und js konnte nicht mehr durchgeführt werden auf den Internetseiten......

War mir anfangs komisch ging der Sache nach und naja musste dann solche Spielchen feststellen. Nur zu gut das ich mich in der Registry heimisch finde und genau weiss was ich machen muss

Das wäre unter einem Useraccount nicht passiert.....

[Hopka]

Falls zufälligerweise ein Filesharing-Programm im Netzwerk läuft kann das Schuld daran sein, dass DNS-Anfragen fehlschlagen.

Du kannst mal die DOS-Box aufmachen (Windowstaste + R, cmd eingeben, ENTER) und z.B. "nslookup heise.de" eingeben, dann kannst du ablesen, welcher DNS-Server verwendet bzw. nicht verwendet wird.

Ansonsten kannst du bei den Eigenschaften von TCP/IP DNS-Server-Adressen eintragen - hab ich auch gemacht, denn manchmal weigert sich ein PC einfach, Namen aufzulösen.

[MaxP0W3R]

Das kam dabei raus :





btw ein Online-Virus-Scan hat was gefunden, kenne den Virus aber nicht, ka ob der damit was zu tun hat...

Edit : 192.168.116.199 ist unser Proxy/Router und Server

Ist bei mir als Tandardgateway drin und als bevorzugter DNS Server (?? )

[Payne_of_Death]

Du hast ein Virenproblem entweder hat dieser:
a) an deiner Config gespielt
b) Oder fingiert die Änderungsmasken so ab, das Eingaben nicht übernommen werden, während der Virus als Prozess läuft.....

Hast du eine Antivirenrettungsdiskette auf Lager? Wenn ja dann mit der mal booten.

Solltest du das auch nicht haben kannst du entweder zu einem Fachmann gehen, denn diese haben solche wichtige Sachen immer parat oder aber
ich lege dir eine LOW-Level Formatierung ans Herz. Damit meine ich kein normales Format C: Sondern das richtige Format!!!

Also vorher auf der Herstellerseite deiner HDD das Diagnose Tool besorgen und da dann eine LOW Level Formatierung durchführen.

[MaxP0W3R]

Da hat meine Firma aber jetzt ein problem ^^

Reicht fdisk nicht ? alle partionen löschen, anders aufteilen, formatieren und wieder neu aufteilen ?

Dabei werden die Bootsektoren auch überschrieben oder ?

Wieso denkst du dass der Wurm soo schlimm ist das ich ne Low Leve Formatierung machen muss ?

Thx für die Hilfe

blöde Viren und Würmer

[Payne_of_Death]

Nein deine Firma hat kein Problem. Diese Tools sind gratis auf den jeweiligen Herstellerseiten von Festplatten stets downloadbar........

Und nein neu Partionieren wird nicht ausreichen, mir sind genügend Viren bekannt die dagegen resistent sind.....

Eine Software Formatierung ist nicht dasselbe wie eine LOW Level Formatierung....

Als sicherheitsbedachter Mensch würde ich dieses Symthom bereits als erstes Alarmzeichen werten. Dir und mir ist weder bekannt was im Quellcode noch auf seine Aktivierung wartet.

Mit anderen Worten wenn du jetzt nicht handelst würdest du dich fahrlässigerweise einem unerwartenden und damit kostenverusachenden Systembreakdown aussetzen.....

Viren etc. sind nicht schlimm wenn man sich absichert und daraufvorbereitet ist.....

Ich würde mir z.B. keine Sorgen machen ein Image wird in 15min wieder draufgespielt und ich kann anschließend sofort weiterarbeiten.

[asp2php]

Original geschrieben von Payne_of_Death
Ich würde mir z.B. keine Sorgen machen ein Image wird in 15min wieder draufgespielt und ich kann anschließend sofort weiterarbeiten.

und du denkst, dass er ein Image hat

[schmalle]

Original geschrieben von asp2php
und du denkst, dass er ein Image hat

weiss man´s?!? aber ich wundere mich mehr über das verb "weiterarbeiten" .... wie geht das, wenn man noch nie damit angefangen hat?

[Payne_of_Death]

Original geschrieben von schmalle
weiss man´s?!? aber ich wundere mich mehr über das verb "weiterarbeiten" .... wie geht das, wenn man noch nie damit angefangen hat?

Hab eigentlich von mir geredet, dass ich kein Problem damit hätte........

grml ich arbeite wie ein wildes Kannickel du du was au immer.....