Schickl

Es is auch quatsch^^
1. Ich mein wozu hat du dann ne interne Platte
2.willst du wirklich immer wenn du was speichern willst deine externe anschließen? und
3.Is doch irgendwie klar das ich meine Daten lösch, wenn ich den PC einschicke oder?
Und normalerweiße schickt man seinen PC auch nicht ein

Dyllan

Also, ist wohl ein Virus.

Die "gute" LSASS.EXE liegt im System Ornder, die "schlechte" unter Besitzer.

Habe sie von Avira in Quarantäne stecken lassen, aber im Taskmanager taut die "schlecht" neben der "guten" lsass.exe unter Prozessen noch auf (etwa 6.000K groß)

Wie kriege ich den Schädling weg?

Schickl

1.Schaun wo die Datei ist(also am einfachsten: Im Taskmanager Rechtsklick auf den Prozess->Dateipfad öffnen)
Sollte sie irgendwo bei den Benutzern sein Löschen.
Sollte sie dann noch einmal kommen schreib hier

Dyllan

Bei den Benutzern sein? Was heißt das genau? Die EXE einfach anklicken und mit Entf löschen, ja?

Leonixx

Erstmal würde mich interessieren, ob du die Datei bei Virustotal hochgeladen hast, wie ich dir empfohlen habe?

Eine Datei löschen oder Prozess beenden hält meist nur bis zum nächsten Neustart. Kein Mittel um Schädlinge zu beseitigen. Die Lachen nur darüber

Dyllan

Also, hier ist der Avira-Scan:

Avira AntiVir Personal
Erstellungsdatum der Reportdatei: Dienstag, 2. Februar 2010 23:42

Es wird nach 1716984 Virenstämmen gesucht.

Lizenznehmer : Avira AntiVir Personal - FREE Antivirus
Seriennummer : 0000149996-ADJIE-0000001
Plattform : Windows XP
Windowsversion : (Service Pack 3) [5.1.2600]
Boot Modus : Normal gebootet
Benutzername : Besitzer
Computername : MARSHALL

Versionsinformationen:
BUILD.DAT : 9.0.0.419 21701 Bytes 22.01.2010 18:24:00
AVSCAN.EXE : 9.0.3.10 466689 Bytes 19.11.2009 19:04:20
AVSCAN.DLL : 9.0.3.0 49409 Bytes 13.02.2009 11:04:10
LUKE.DLL : 9.0.3.2 209665 Bytes 20.02.2009 10:35:44
LUKERES.DLL : 9.0.2.0 13569 Bytes 26.01.2009 09:41:59
VBASE000.VDF : 7.10.0.0 19875328 Bytes 06.11.2009 19:04:19
VBASE001.VDF : 7.10.1.0 1372672 Bytes 19.11.2009 19:04:19
VBASE002.VDF : 7.10.3.1 3143680 Bytes 20.01.2010 20:07:24
VBASE003.VDF : 7.10.3.75 996864 Bytes 26.01.2010 19:34:39
VBASE004.VDF : 7.10.3.76 2048 Bytes 26.01.2010 19:34:39
VBASE005.VDF : 7.10.3.77 2048 Bytes 26.01.2010 19:34:39
VBASE006.VDF : 7.10.3.78 2048 Bytes 26.01.2010 19:34:39
VBASE007.VDF : 7.10.3.79 2048 Bytes 26.01.2010 19:34:39
VBASE008.VDF : 7.10.3.80 2048 Bytes 26.01.2010 19:34:39
VBASE009.VDF : 7.10.3.81 2048 Bytes 26.01.2010 19:34:39
VBASE010.VDF : 7.10.3.82 2048 Bytes 26.01.2010 19:34:39
VBASE011.VDF : 7.10.3.83 2048 Bytes 26.01.2010 19:43:30
VBASE012.VDF : 7.10.3.84 2048 Bytes 26.01.2010 19:43:30
VBASE013.VDF : 7.10.3.85 2048 Bytes 26.01.2010 19:43:30
VBASE014.VDF : 7.10.3.122 172544 Bytes 29.01.2010 17:27:03
VBASE015.VDF : 7.10.3.123 2048 Bytes 29.01.2010 17:27:03
VBASE016.VDF : 7.10.3.124 2048 Bytes 29.01.2010 17:27:04
VBASE017.VDF : 7.10.3.125 2048 Bytes 29.01.2010 17:27:04
VBASE018.VDF : 7.10.3.126 2048 Bytes 29.01.2010 17:27:04
VBASE019.VDF : 7.10.3.127 2048 Bytes 29.01.2010 17:27:04
VBASE020.VDF : 7.10.3.128 2048 Bytes 29.01.2010 17:27:04
VBASE021.VDF : 7.10.3.129 2048 Bytes 29.01.2010 17:27:04
VBASE022.VDF : 7.10.3.130 2048 Bytes 29.01.2010 17:27:04
VBASE023.VDF : 7.10.3.131 2048 Bytes 29.01.2010 17:27:04
VBASE024.VDF : 7.10.3.132 2048 Bytes 29.01.2010 17:27:04
VBASE025.VDF : 7.10.3.133 2048 Bytes 29.01.2010 17:27:04
VBASE026.VDF : 7.10.3.134 2048 Bytes 29.01.2010 17:27:04
VBASE027.VDF : 7.10.3.135 2048 Bytes 29.01.2010 17:27:04
VBASE028.VDF : 7.10.3.136 2048 Bytes 29.01.2010 17:27:04
VBASE029.VDF : 7.10.3.137 2048 Bytes 29.01.2010 17:27:04
VBASE030.VDF : 7.10.3.138 2048 Bytes 29.01.2010 17:27:04
VBASE031.VDF : 7.10.3.145 73728 Bytes 01.02.2010 17:27:05
Engineversion : 8.2.1.156
AEVDF.DLL : 8.1.1.3 106868 Bytes 23.01.2010 22:46:05
AESCRIPT.DLL : 8.1.3.13 823674 Bytes 01.02.2010 17:27:06
AESCN.DLL : 8.1.4.0 127348 Bytes 28.01.2010 19:33:43
AESBX.DLL : 8.1.1.1 246132 Bytes 19.11.2009 19:04:19
AERDL.DLL : 8.1.3.4 479605 Bytes 03.12.2009 19:57:18
AEPACK.DLL : 8.2.0.5 422262 Bytes 15.01.2010 18:09:04
AEOFFICE.DLL : 8.1.0.38 196987 Bytes 23.07.2009 08:59:39
AEHEUR.DLL : 8.1.1.1 2322805 Bytes 28.01.2010 19:26:45
AEHELP.DLL : 8.1.10.0 237942 Bytes 15.01.2010 18:08:46
AEGEN.DLL : 8.1.1.86 369012 Bytes 01.02.2010 17:27:06
AEEMU.DLL : 8.1.1.0 393587 Bytes 05.10.2009 18:45:01
AECORE.DLL : 8.1.11.1 184694 Bytes 01.02.2010 17:27:05
AEBB.DLL : 8.1.0.3 53618 Bytes 09.10.2008 13:32:40
AVWINLL.DLL : 9.0.0.3 18177 Bytes 12.12.2008 07:47:56
AVPREF.DLL : 9.0.3.0 44289 Bytes 09.09.2009 16:09:56
AVREP.DLL : 8.0.0.3 155905 Bytes 20.01.2009 13:34:28
AVREG.DLL : 9.0.0.0 36609 Bytes 07.11.2008 14:25:04
AVARKT.DLL : 9.0.0.3 292609 Bytes 24.03.2009 14:05:37
AVEVTLOG.DLL : 9.0.0.7 167169 Bytes 30.01.2009 09:37:04
SQLITE3.DLL : 3.6.1.0 326401 Bytes 28.01.2009 14:03:49
SMTPLIB.DLL : 9.2.0.25 28417 Bytes 02.02.2009 07:21:28
NETNT.DLL : 9.0.0.0 11521 Bytes 07.11.2008 14:41:21
RCIMAGE.DLL : 9.0.0.25 2438913 Bytes 15.05.2009 14:35:17
RCTEXT.DLL : 9.0.73.0 87297 Bytes 19.11.2009 19:04:19

Konfiguration für den aktuellen Suchlauf:
Job Name..............................: ShlExt
Konfigurationsdatei...................: G:\DOKUME~1\Besitzer\LOKALE~1\Temp\ccbbbe98.avp
Protokollierung.......................: niedrig
Primäre Aktion........................: interaktiv
Sekundäre Aktion......................: ignorieren
Durchsuche Masterbootsektoren.........: ein
Durchsuche Bootsektoren...............: ein
Bootsektoren..........................: G:,
Durchsuche aktive Programme...........: aus
Durchsuche Registrierung..............: aus
Suche nach Rootkits...................: aus
Integritätsprüfung von Systemdateien..: aus
Datei Suchmodus.......................: Intelligente Dateiauswahl
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 20
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: mittel

Beginn des Suchlaufs: Dienstag, 2. Februar 2010 23:42

Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'G:\Dokumente und Einstellungen\Besitzer\Anwendungsdaten'
G:\Dokumente und Einstellungen\Besitzer\Anwendungsdaten\SystemProc\ lsass.exe
[FUND] Enthält Erkennungsmuster des Wurmes WORM/Agent.XM.1

Beginne mit der Desinfektion:
G:\Dokumente und Einstellungen\Besitzer\Anwendungsdaten\SystemProc\ lsass.exe
[FUND] Enthält Erkennungsmuster des Wurmes WORM/Agent.XM.1
[WARNUNG] Beim Versuch eine Sicherungskopie der Datei anzulegen ist ein Fehler aufgetreten und die Datei wurde nicht gelöscht. Fehlernummer: 26003
[WARNUNG] Die Datei konnte nicht gelöscht werden!
[HINWEIS] Es wird versucht die Aktion mit Hilfe der ARK Library durchzuführen.
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4841c85c.qua' verschoben!


Ende des Suchlaufs: Dienstag, 2. Februar 2010 23:48
Benötigte Zeit: 04:19 Minute(n)

Der Suchlauf wurde vollständig durchgeführt.

1111 Verzeichnisse wurden überprüft
27330 Dateien wurden geprüft
1 Viren bzw. unerwünschte Programme wurden gefunden
0 Dateien wurden als verdächtig eingestuft
0 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
1 Dateien wurden in die Quarantäne verschoben
0 Dateien wurden umbenannt
0 Dateien konnten nicht durchsucht werden
27329 Dateien ohne Befall
1774 Archive wurden durchsucht
1 Warnungen
1 Hinweise

Die Exe bei Virustotal hochladen kann ich nicht, da es den Pfad, wo die EXE liegen soll gar nicht gibt ("unsichtbare Ordner anzeigen" ist aktiviert!).

Leonixx

Da die Datei von Avira schon in Quarantäne geschoben wurde, kannst du sie logischerweise nicht mehr auf dem Rechner finden.

Prozesse solltest du mit dem Prozess Explorer beobachten. Dann siehst du was sich dahinter versteckt. Process Explorer Auch Neustart nach der Aktion von Avira durchgeführt?

Dyllan

Ja, Neustart habe ich dann gemacht.
Habe auch vorher die Sytemwiederherstellung deaktiviert.

Jetzt scheint auf den ersten Blick alles i.O. zu sein...