Virus ?

[morpheus 10]

Hallo,

 

seid Freitag habe ich auf mehreren System (W2k Prof. + W2k Srv) immer wieder die gleichen Fehler. Alle Systeme sind mit SP4 ausgestattet. Ich vermute das es sich um einen Virus handelt, jedoch haben alle Virusscanns die ich durchgeführt habe nichts gebracht. Vielleicht hat jemand von Euch die gleichen Symptome in seinem LAN.

 

- Anmeldung dauert lange (ca. 1-2 Minuten)

- Kopieren / Einfügen nicht möglich

- Eventlogeintrag im Systemprotokoll mit ID 7031 (RPC-Dienst wurde beendet) - erst nach Reboot einsehbar

- Eventlogeintrag im Anwendungsprotokoll mit ID 4097 (COM+Ereignissystem) - erst nach Reboot einsehbar

- linksbündige, in einer Reihe untereinander aufgereihte Symbole in Systemsteuerung

- nach erfolgtem Neustart wieder voll funktionsfähiges System

 

Gruß

[menac 10]

schau mal mit dem taskmanager was sich alles startet und das was du nicht kjennst beende

bzw schau mal in da regedit

HKLM/software/microsoft/windows/currentversion/run

[morpheus 10]

Hallo,

 

sieht alles normal aus.

[Damian 1.402]

Hi morpheus.

 

Schon Tools wie Spybot, Ad-Aware und dergl. über das System gescheucht?

Virenscanner finden nicht jeden Müll.

 

Damian

[bue 10]

Hallo morpheus.

habe dasselbe Problem auf einem w2k-Cluster. Bei mir läuft immer der com+ dienst voll. Das erstaunliche ist, daß im eventlog der Hinweis kommt, daß man sich mit MS in Verbindung setzten sollo zwecks fehleranalyse. werde das eventlog an unsere haus und hof firma mailen. haben das system vor knapp 1 1/2 Jahren bei denen gekauft. fällt also meiner meinung nach unter die garantiebestimmungen. wenn ich etwas herausbekomme, melde ich mich auf diesem wege.

 

Bue :wink2:

[morpheus 10]

Hallo,

 

ich habe folgende Tools drüber laufen lassen:

 

- Stinger

- SpyBot

- BlastsFX

- Fixblast

- FXNovarg

- Avprtool

 

Leider, oder vielleicht zum Glück, alle ohne Erfolg.

 

 

Gruß

[big-lemon 10]

hallo alle... denkt dran... gewisse virus kann man nur im abgesicherten modus zuverlässig erkennen !

 

der netsky.d ist zum beispiel so ein fall......

 

probier das mal zuerst.... abgesicherter modus aufstarten, virenscanner laufen lassen... ergebniss bitte wieder posten.

 

gruss

 

chris

[firehawk 10]

HAllo Leute haben hier dasselbe Problem. Haben ebenfalls Fehler 4097 und zusätzlich ein ständiges an und abschalten der lan-verbindung. Es konmt ständig die Meldung ... ein netzwerkkable wurde entfernt. Die anderen Anzeichen haben wir ebenfalls. Haben versucht in der registry den eintrag unter ...\run teekids.exe auszuschalten. Evtl hilft euch das weiter. Unser Problem ist leider noch nicht gelöst. Warten auf euer Antworten.

Vielen Dank für eure Mühen

 

MfG

 

Firehawk

[laurasan 10]

Hallo,

 

habt Ihr schon ne Bootfähige Antivirus CD probiert, also damit habe ich jedenfalls alles getötet, ich glaube in der letzten PC-Professionell son Teil gesehen zu haben, meine ist Marke eigenbau.

 

MfG

[gr@mlin 10]

hi,

 

@firehawk

 

teekids.exe ist der blaster wurm!

 

[ironie]der patch dagegen ist brandneu[/ironie]

 

man, patcht eure systeme...

 

gruss, gr@mlin

[bue 10]

Hi

@gr@mlin

 

habe auf den Systemen gescannt und auch in der reg nachgesehen.

Den Blaster habe ich (gottseidank) nicht drauf. Das Phänomen bleibt aber. :suspect:

[morpheus 10]

Hallo,

die scanns im "Abgesicherten Modus" haben bei mir auch nichts gefunden.

 

Gruß

[lemeid 11]

Hallo,

 

lass mich raten, Du bekommst auch die Meldung "svchost.exe hat blabla..." oder ?

 

Jedenfalls sind das genau die Probleme die Auftreten wenn dieser :

 

http://download.t-online.de/dl_zwischen.phtml?progid=21321&progname=Blaster+Worm%3A+Critical+Security+Patch+f%26uuml%3Br+Windows+2000+

 

Patch NICHT installiert ist....

 

Stefan

[morpheus 10]

Hallo,

 

svchost-Meldungen sind bei mir nicht vorhanden.

 

 

Gruß

[assy 10]

Der Blaster ist kein Virus sondern ein Wurm, kann es sein das es irgendwo eine Manschine gibt die keinen Virenscanner hat?

Denn der Wurm versucht von aussen Zugriffsverletzungen weshalb die Dienste beendet werden (wenn ich das jetzt alles richtig in erinnerung habe). Das heisst auf den Betroffenen Maschinen findest du keinen Virus oder Wurm.

 

Alternativ aber sehr viel Arbeit, nimm einen Netzwerkmonitor (Sniffer) und beobachte mal den Netzwerkverkehr auf einenr betroffenen maschine, dann siehst du von wo die anfrage kommt.

Erfordert aber ne menge TCP/IP kenntnisse und viel Zeit.

 

Gruss

Achim