fake fehlermeldung

knooot

Senior Member

Friday, March 28th 2008, 12:01am

1

Moin,
und zwar folgendes problemchen hat'n freund von mir.
es taucht eine fehlermeldung auf, die im Windowsstil gehalten ist, allerdings auf englisch. (das hat ihn stutzig gemacht).

in der fehlermeldung steht dann:
your computer was infected by unknown trojan.
it's dangerous for your system (critical files can be lost)!

click ok to download the antispyware program to clean your system!
(recommended)

Hab erstmal geguckt was mach denn da runterladen soll
die URL dazu ist http://www.iedefender.com/download2.php* ACHTUNG NICHT RUNTERLADEN VIREN/TROJAN...
(Sternchen angefügt, damit link unbrauchbar)

Nun die frage, wo kommt diese fehlermeldung her/ viel wichtiger, wie kriegt man sie wieder weg??
OS ist Vista home

"Luft ist der natürliche Feind der Geschwindigkeit"

Shoggy

Sven - Admin

Re: fake fehlermeldung

Friday, March 28th 2008, 12:04am

2

Die Meldung muss ja zwangsläufig von irgendeinem Programm ausgehen.

Am besten mal autoruns runterladen und schauen was verdächtig aussieht.

Die Programme mit MS Signatur würde ich ausblenden damit es übersichtlicher wird.

knooot

Senior Member

Re: fake fehlermeldung

Friday, March 28th 2008, 12:26am

3

alles klar,
das sieht schon mal gut, unglaublich, was da alles so im hintergrund läuft...
werd ich morgen mal ausprobieren.
nur nun die frage, was ist verdächtig? im grunde kann das programm ja sonstwie heißen??

"Luft ist der natürliche Feind der Geschwindigkeit"

Henne

Full Member

Re: fake fehlermeldung

Friday, March 28th 2008, 8:29am

4

Spybot - Search & Destroy sollte da helfen.

Quoted from "Eikman"

Juhu, ich werde mal in einer Signatur zitiert

knooot

Senior Member

Re: fake fehlermeldung

Friday, March 28th 2008, 11:20am

5

Spybot hab ich auch schon durchlaufen lassen, der hat aber nix gefunden.. ???

"Luft ist der natürliche Feind der Geschwindigkeit"

Thomas_Haindl

God

Re: fake fehlermeldung

Friday, March 28th 2008, 11:22am

6

Zum schnellen Prüfen von Autostarts gibt's das kleine handliche Startup Control Panel.
Da mir MSCONFIG mir irgendwie zu "sperrig" ist, gehört das bei mir seit vielen Jahren zur Standard-Installation.

Informationen rund um Windows (Prozesse usw.) liefern die SysInternals Tools.
Das Packet sollte imho sowieso jeder (Freizeit-)Admin mit sich herumtragen.

Um einen (hübsch bunten) Überblick über die laufenden Prozesse zu bekommen, ist Security Task Manager auch ganz gut geeignet.
Hier ist die integrierte Websuche nach Prozessen, deren Zweck und Herkunft man nicht kennt, sehr bequem.
BTW: Den nehm' ich auch immer, um mal schnell Codemasters-Schrott zu beseitigen.

mfg, Thomas

Zettih

God

Re: fake fehlermeldung

Friday, March 28th 2008, 11:46am

7

Kam die Meldung denn unmittelbar nach dem Startup oder im laufenden Betrieb? Vielleicht beim Surfen?

Ich kann mich nämlich dunkel erinnern, sowas ähnliches auch schon mal von einer Webseite untergeschoben bekommen zu haben - nach dem Wegklicken und dem Löschen des Browsercaches hab' ich auch keine weiteren Spuren mehr ermitteln können, weder mit Antivir, Spybot oder autoruns, ein BHO war auch nicht installiert.

Ich hatte dann zur Sicherheit doch einen Rückfall auf das letzte Systemimage gemacht, war aber möglicherweise übertrieben.

@Tom:
Der Security Task Manager ist wirklich interessant, danke!

knooot

Senior Member

Re: fake fehlermeldung

Friday, March 28th 2008, 11:58am

8

Also die meldung kommt im laufenden betrieb, allerdings nur, wenn man auch "was macht"/sich durch die festplatte klickt, allerdings nicht bei einem bestimmten ordner.
Taucht auch bei deaktiviertem LAN auf.

security task manager sieht richtig gut aus. werd das alles nachher mal ausprobieren.

"Luft ist der natürliche Feind der Geschwindigkeit"

Thomas_Haindl

God

Re: fake fehlermeldung

Friday, March 28th 2008, 5:41pm

9

Quoted from "Kanud"

Also die meldung kommt im laufenden betrieb, allerdings nur, wenn man auch "was macht"/sich durch die festplatte klickt, allerdings nicht bei einem bestimmten ordner.

Wie jetzt genau?
Das tritt nur im Explorer auf?
Beim Draufdeuten (Eigenschafts-Popup), beim Draufklicken (Auswahl) oder beim Doppelklicken (Ausführen)?
Bei allen Dateien/Ordnern oder nur bei bestimmten Typen?

mfg, Thomas

knooot

Senior Member

Re: fake fehlermeldung

Friday, March 28th 2008, 6:07pm

10

also wenn der rechner hochfährt, taucht die meldung nicht auf, wenn man jetzt allerding anfängt z.B den arbeitsplatz zu öffnen oder eigene dateien oder ... dann taucht nach einigen geöffneten ordnern die meldung auf.
wenn man sie mit abbrechen "wegklickt" und dann weiter ordner öffnet oder mit den vor zurück button hin und her springt, dann taucht die meldung wieder auf...

hier ist die fehlermeldung:

"Luft ist der natürliche Feind der Geschwindigkeit"

Thomas_Haindl

God

Re: fake fehlermeldung

Friday, March 28th 2008, 6:50pm

11

Quoted from "Kanud"

... dann taucht nach einigen geöffneten ordnern die meldung auf.
wenn man sie mit abbrechen "wegklickt" und dann weiter ordner öffnet oder mit den vor zurück button hin und her springt, dann taucht die meldung wieder auf...

Das ist mir immer noch zu ungenau - versuch' doch bitte mal darauf zu achten, bei welcher Aktion das Fenster erscheint.

Wenn das beim Öffnen eines Root-Verzeichnisses passiert, ist das möglicherweise nur ein "witziger" AutoRun.
Wenn das beim Öffnen einer Datei passiert, ist u.U. nur die Zuordnung "verbogen".
In allen anderen Fällen wurde der Explorer "erweitert" - da heißt's dann sich auf die lange Suche nach Helper-Objects & Co. zu machen.

BTW: So "spassige Erweiterungen" werden z.B. gerne in Codecs versteckt. Du hast nicht zufällig vor Kurzem irgendein Free-MP3 oder Turbo-DivX installiert?

BTW2: Ein HijackThis-Log wäre mal ganz hilfreich - dann müssen wir nicht so im Nebel stochern.

BTW3: Wofür gibt's eigentlich die UAC, wenn man doch wieder mit den alten Problemen kämpft?

mfg, Thomas

knooot

Senior Member

Re: fake fehlermeldung

Friday, March 28th 2008, 7:06pm

12

also wie gesagt, ist der rechner von nem kollegen.
es passiert nicht beim öffnen einer datei, und nicht beim öffnen des root verzeichisses. es ist egal welches verzeichniss geöffnet wird, die meldung erscheint auch nicht bei jedem öffnen eines verzeichnisses sondern erst nach einer gewissen anzahl von "öffnungen" ;D.
werde gleich mal mit ihm telefonieren und sehn, ob er mal kurz'n log file erstellen kann.

edit:
er sagt er hat nichts installiert in der letzten zeit.

"Luft ist der natürliche Feind der Geschwindigkeit"

rayxt

Senior Member

Re: fake fehlermeldung

Friday, March 28th 2008, 8:12pm

13

Quoted from "Tom"

Informationen rund um Windows (Prozesse usw.) liefern die SysInternals Tools...

Unter dem oben angegebenen Link ist unter anderen der Process Explorer zu finden, setz den mal ein.

Edit:
Sollte dir ein Prozess verdächtig vorkommen:
- Klick ihn mit der rechten Maustaste an
- Properties
- Reiter Threads

Hier findest du Informationen über Dateien die an dem Prozess beteiligt sind.

Adult Gamers Germany
zigzag

Babylon

Full Member

Re: fake fehlermeldung

Friday, March 28th 2008, 9:26pm

14

Hi,

hatte eine ähnliche Meldung vor kurzem auf einem PC in der Verwandschaft. Da hat es sich als ne Art Spyware mit Rootkit-Mechanismen entpuppt. AVG, Spybot und Co. haben nichts entdeckt, auch in Hijackthis fiel nichts besonderes auf.

Lade dir mal den RootkitRevealer und mach mal einen Scan. Den Scan im normal gestarteten Zustand machen, nicht im Abgesicherten Modus oder so. Das Tool scannt die Platte und Registry einmal "raw" und dann normal über WindowsAPI. Gibts da Abweichungen, könnten das Rootkit-Aktivitäten sein. Poste am besten mal nen Screenshot vom Ergebnis.

Google außerdem mal nach "gmer" oder F-Secure Blacklight, sind ähnliche Tools.

Gruß
Christian

knooot

Senior Member

Re: fake fehlermeldung

Saturday, March 29th 2008, 10:28am

15

so, den übeltäter haben wir jetzt mittels "security task manager" gefunden.
War ne *.dll die sich im windows verzeichniss befunden hat.
Hijack this hat wie bei babylon nichts auffälliges gezeigt.

Also danke an euch alle.
auf dieses forum ist auch immer verlass

"Luft ist der natürliche Feind der Geschwindigkeit"

Zettih

God

Re: fake fehlermeldung

Saturday, March 29th 2008, 11:20pm

16

Und wie hieß die DLL? ???

knooot

Senior Member

Re: fake fehlermeldung

Sunday, March 30th 2008, 4:32pm

17

"ausctv32a.dll"
Das war der übeltäter..

"Luft ist der natürliche Feind der Geschwindigkeit"

Thomas_Haindl

God

Re: fake fehlermeldung

Monday, March 31st 2008, 12:04am

18

Quoted from "Kanud"

"ausctv32a.dll"
Das war der übeltäter..

... und nachdem man jetzt einfach nur die DLL gelöscht hat, greift das arme Windows ins Leere.

Perfektionisten entfernen jetzt auch noch die verwaisten Registry-Einträge.

mfg, Thomas