kaliope

Hallo zusammen!

Ich habe Probleme beim Aktivieren der Firewall. Das Betriebssystem ist Windows xp Professional. Das Problem besteht seit der Installation vom SP 3 und stellt sich wie folgt dar:

Rufe ich die Windows-Firewall über die Systemsteuerung auf erscheint ganz oben die Meldung "Einige Einstellungen werden durch eine Gruppenrichtlinie gesteuert.".
Darunter die Optionen Aktiv und Inaktiv, wobei Inaktiv markiert ist. Leider ist es mir nicht möglich, die Firewall zu aktivieren, da beide Optionen grau hinterlegt sind und bei den Klicks einfach nix passiert.

Wer weiß Rat und kann einem Nicht-Experten einen Tipp geben?

Danke schon mal für eure Hilfe!

Ostseesand

Hi,

check deinen pc mal nach viren und malware und würmern.
das ist sehr beliebt bei den viren, dass die die firewall abschalten und einen registryschlüssel anlegen, dass sie nicht wieder eingeschaltet werden kann.
lade dir hijackthis und poste uns mal das erstellte logfile.
wird nix gefunden? dann mache folgendes:

lösche in der registry folgenden schlüssel:
HKLM\SOFTWARE\Policies\Microsoft\WindowsFirewall
danach den pc neu starten.

kaliope

Die Suche mit Antivir hat nichts ergeben. Keine Würmer oder ähnliches wurden gefunden.

Ich poste hier mal das HJT-Logfile:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 22:24:01, on 13.07.2008
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.5730.0013)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\Microsoft Office\Office\FINDFAST.EXE
C:\Programme\Microsoft Office\Office\OSA.EXE
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://search.aon.at
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Telekom Austria
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Int ernet Settings,ProxyServer = :
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Microsoft-Indexerstellung.lnk = C:\Programme\Microsoft Office\Office\FINDFAST.EXE
O4 - Global Startup: Office-Start.lnk = C:\Programme\Microsoft Office\Office\OSA.EXE
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/wind...?1215361543268
O17 - HKLM\System\CCS\Services\Tcpip\..\{49583F80-58C0-46AF-B283-3CC7C88DCAC1}: NameServer = 195.3.96.67 195.3.96.68
O23 - Service: Avira AntiVir Personal – Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal – Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: NET Runtime Optimization Service v2.1.41329_X86 - Unknown owner - C:\WINDOWS\Fonts\wmsncs.exe

--
End of file - 3825 bytes

Leonixx

Aloha,

O23 - Service: NET Runtime Optimization Service v2.1.41329_X86 - Unknown owner - C:\WINDOWS\Fonts\wmsncs.exe

Bitte diese Datei im Ordner Laufwerk C, Windows, Fonts bei Virustotal hochladen und Ergebnis posten.

http://www.virustotal.com/de/

Lade dir Malewarebytes, ausführen (Komplett Scan), alles löschen was gefunden wird, Report posten.

Gruss Leonixx

kaliope

Hier der Report von Malewarebytes:

Malwarebytes' Anti-Malware 1.20
Datenbank Version: 948
Windows 5.1.2600 Service Pack 3

18:00:39 14.07.2008
mbam-log-7-14-2008 (18-00-39).txt

Scan Art: Komplett Scan (C:\|)
Objekte gescannt: 61041
Scan Dauer: 17 minute(s), 21 second(s)

Infizierte Speicher Prozesse: 0
Infizierte Speicher Module: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Datei Objekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicher Prozesse:
(Keine Malware Objekte gefunden)

Infizierte Speicher Module:
(Keine Malware Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine Malware Objekte gefunden)

Infizierte Registrierungswerte:
(Keine Malware Objekte gefunden)

Infizierte Datei Objekte der Registrierung:
(Keine Malware Objekte gefunden)

Infizierte Verzeichnisse:
(Keine Malware Objekte gefunden)

Infizierte Dateien:
(Keine Malware Objekte gefunden)


Den Upload bei Virustotal konnte ich nicht machen da ich die von dir genannte Datei nicht finden kann (auch nicht unter den vesteckten Dateien). Was soll ich tun? *ratlos ist*

Soll ich den Registry-Schlüssel eigentlich schon löschen oder noch auf weitere Anweisungen warten?

Danke auf jeden Fall schon mal für die Mühe!


Edit: Ich hab noch mal HJT drüberlaufen lassen, dort wird die Datei nach wie vor gefunden. Soll ich das Logfile nochmal posten?

Leonixx

Hast du unter Ordneroptionen das so markiert?

Haken raus[ ] Geschützte Systemdateien ausblenden
Haken rein [x] Inhalte von Systemordnern anzeigen
Haken rein [x] Alle Dateien und Ordner anzeigen

Bist als Administrator angemeldet? Ansonsten, versuche die Datei im abgesicherten Modus mit Netzwerktreibern hochzuladen.

Log Malewarebytes sieht gut aus.

Gruss Leonixx

kaliope

Anscheinend hab ich es doch nicht ganz richtig gemacht. *g* Jetzt hat es auf jeden Fall geklappt. Hier das Ergebnis:

Datei wmsncs.exe empfangen 2008.07.14 20:09:28 (CET)
Status: Beendet
Ergebnis: 1/33 (3.04%)

Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.7.11.0 2008.07.14 -
AntiVir 7.8.0.64 2008.07.14 -
Authentium 5.1.0.4 2008.07.14 -
Avast 4.8.1195.0 2008.07.14 -
AVG 7.5.0.516 2008.07.14 -
BitDefender 7.2 2008.07.14 -
CAT-QuickHeal 9.50 2008.07.14 -
ClamAV 0.93.1 2008.07.14 -
DrWeb 4.44.0.09170 2008.07.14 -
eSafe 7.0.17.0 2008.07.14 -
eTrust-Vet 31.6.5954 2008.07.14 -
Ewido 4.0 2008.07.14 -
F-Prot 4.4.4.56 2008.07.14 -
F-Secure 7.60.13501.0 2008.07.14
Fortinet 3.14.0.0 2008.07.14 -
GData 2.0.7306.1023 2008.07.14 -
Ikarus T3.1.1.26.0 2008.07.14 -
Kaspersky 7.0.0.125 2008.07.14 -
McAfee 5338 2008.07.14 -
Microsoft 1.3704 2008.07.14 -
NOD32v2 3266 2008.07.14 -
Norman 5.80.02 2008.07.14 -
Panda 9.0.0.4 2008.07.14 -
Prevx1 V2 2008.07.14 -
Rising 20.53.02.00 2008.07.14 -
Sophos 4.31.0 2008.07.14 -
Sunbelt 3.1.1536.1 2008.07.12 -
Symantec 10 2008.07.14 -
TheHacker 6.2.96.379 2008.07.14 -
TrendMicro 8.700.0.1004 2008.07.14 -
VBA32 3.12.6.9 2008.07.13 -
VirusBuster 4.5.11.0 2008.07.14 -
Webwasher-Gateway 6.6.2 2008.07.14 -
weitere Informationen
File size: 187155 bytes
MD5...: 3173ccf1b3f6add645c6a841e57f63f1
SHA1..: 0f4f86bab8742476527e7b715f6965d3bb5ed0c8
SHA256: a2b66bce08556325cd72b6d1df445f3e61c13f9f70f2b99bf9 e763b53825d2fb
SHA512: 0a9ab55792af2d5436e2cbf8c98f2cdf9d12a2d0283ab1b3e2 d0301d32de40b2
7ea1ca7e85ab6b6ca2547822475c36b4f5b849f151ae6a3b65 d6dfec49a1204a
PEiD..: -
PEInfo: -

Leonixx

Ok, sieht gut aus. Dann bitte diesen Eintrag mit Hijackthis fixen.

O23 - Service: NET Runtime Optimization Service v2.1.41329_X86 - Unknown owner - C:\WINDOWS\Fonts\wmsncs.exe

Du markierst den Eintrag und gehst unten auf den Button fix checked, danach Rechner neustarten und neues Logfile posten.

kaliope

Kann mir gar nicht vorstellen, dass irgendjemanden dieses ganze Kauderwelsch was sagt. *lach* Hier das HJT-Logfile:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 20:27:27, on 14.07.2008
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16674)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\Adobe\Reader 9.0\Reader\Reader_sl.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\Microsoft Office\Office\FINDFAST.EXE
C:\Programme\Microsoft Office\Office\OSA.EXE
C:\Programme\Trend Micro\HijackThis\HijackThis.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\System32\svchost.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://search.aon.at
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Telekom Austria
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Int ernet Settings,ProxyServer = :
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Microsoft-Indexerstellung.lnk = C:\Programme\Microsoft Office\Office\FINDFAST.EXE
O4 - Global Startup: Office-Start.lnk = C:\Programme\Microsoft Office\Office\OSA.EXE
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/wind...?1215361543268
O23 - Service: Avira AntiVir Personal – Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal – Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe

--
End of file - 3811 bytes

Leonixx

Ok, das wars, das System sieht sauber aus. Viel Spass und Freude noch damit!

:]
Gruss Leonixx