Trojaner/Virus?

Internet Internet Sicherheit
#1

Liebe/-r Experte/-in,
Seit einigen Tagen erscheinen immer wieder die folgende beiden Meldungen, wenn ich ins Internet gehe:

Kaspersky Internet Security Programmkontrolle

  1. Generic Host Process for Win32 Services aus der Gruppe “Vertrauenswürdig”, gestartet von beschränktem Programm, versucht, Zugriff auf den geschützten Kennwortspeicher zu erhalten. Möglicherweise wird dieses vertrauenswürdige Programm von einem beschränkten Programm verwendet, um eine privilegierte Operation auszuführen.
    Startreihenfolge des Programms: Gestartet von Windows NT-Sitzungs-Manager > Windows NT-Anmeldung > Anwendung für Dienste und Controller

  2. Windows NT-Anmeldung aus der Gruppe „Schwach beschränkt“ versucht, Zugriff auf den geschützten Kennwortspeicher zu erhalten.
    Startreihenfolge des Programms: Gestartet von Windows NT-Sitzungs-Manager

Ich arbeite mit Windows XP und Kaspersky Internet Security.

Wie kann ich herausfinden, um welches Programm es sich handelt? Wie soll ich weiter verfahren?

#2

Hallo Jolan,

Seit einigen Tagen erscheinen immer wieder die folgende
beiden Meldungen, wenn ich ins Internet gehe:

Kaspersky Internet Security Programmkontrolle

  1. Generic Host Process for Win32 Services aus der Gruppe
    “Vertrauenswürdig”, gestartet von beschränktem Programm,
    versucht, Zugriff auf den geschützten Kennwortspeicher zu
    erhalten. Möglicherweise wird dieses vertrauenswürdige
    Programm von einem beschränkten Programm verwendet, um eine
    privilegierte Operation auszuführen.

Startreihenfolge des Programms: Gestartet von Windows
NT-Sitzungs-Manager > Windows NT-Anmeldung > Anwendung für
Dienste und Controller

  1. Windows NT-Anmeldung aus der Gruppe „Schwach beschränkt“
    versucht, Zugriff auf den geschützten Kennwortspeicher zu
    erhalten.

Startreihenfolge des Programms: Gestartet von Windows
NT-Sitzungs-Manager

Ich arbeite mit Windows XP und Kaspersky Internet Security.

Wie kann ich herausfinden, um welches Programm es sich
handelt? Wie soll ich weiter verfahren?

Wende dich an den Support von Kaspersky.

cu, Robo :smile:

#3

Hallo!

Um diese Frage beantworten zu können, kenne ich Kaspersky zu wenig.
Vielleicht kann die Hotline von K. weiter helfen!

GG

#4

Hallo Jolan,

als Support von F-Secure können wir leider die Meldung der Kaspersky Internet Security nicht sicher deuten. Bitte wende Dich daher mit diesem Problem an den Kaspersky-Support.

Natürlich kannst Du mit einer anderen Security-Suite - wie etwa F-Secure - probieren, ob das Problem weiterhin besteht. Dann achte darauf, dass Du zuerst das Kaspersky-Programm vollständig deinstallierst.

Alternativ kannst Du jederzeit den kostenlosen F-Secure Onlinescan probieren, der Dir beim Aufspüren und Entfernen von Viren hilft:
http://www.f-secure.com/de/web/home_de/protection/fr…

Wir hoffen, dass wir Dir weiterhelfen konnten.

Viele Grüße, das F-Secure Supportteam

#5

Hallo Jolan

Für mich klingt das so, als ob ein von dir eingeschränktes Programm (z.B. kannst du in der Firewall definieren, dass beispielsweise Word eine Internetverbindung aufbaut), auf den Passwortspeicher zugreifen will.

Du könntest dir mal einen Screenshot der Prozesse machen und schauen, welcher Prozess dazu gekommen ist. Kann dir aber nicht garantieren, dass das was hilft.

Im Zweifelsfall lieber den Zugriff auf den Passwortspeicher unterbinden. Könnte sonst ziemlich unangenehm werden :wink:

#6

versuche doch Deinen Rechner mit einem Onlinevirenscan durchsuchen zu lassen z.b. unter http://housecall.trendmicro.com/de/ den Housecall.

Ansonsten kann ich Dir mit diesen Angaben leider nicht weiter helfen.

#7

Hallo Jolan,
ich habe seit einigen Tagen genau das gleiche Problem, benutze ebenso XP und Kaspersky und erhalte plötzlich exakt die gleichen beiden Meldungen, die Du beschreibst! Seitens Kaspersky kam via Email bislang leider keine Hilfe, über die Hotline hab ich es allerdings noch nicht versucht.

Bist Du dem Problem zwischenzeitlich auf die Spur gekommen? Wäre dankbar für jede Hilfe - bitte/danke!

LG, soleluna

#8

Hallo soleluna,

Von Kaspersky habe ich folgende Antwort erhalten:

"gehen Sie bitte folgendermaßen vor:

  1. Öffnen Sie Ihre Kaspersky-Software.
  2. Klicken Sie rechts oben auf „Einstellungen“ und klicken links unten auf „Wiederherstellen…“.
  3. Klicken Sie „Weiter“ und wählen im nächsten Schritt alle Parameter aus.
  4. Wählen Sie den empfohlenen Schutzmodus und folgen Sie durch klicken auf „Weiter“ dem Konfigurationsnavigator.
  5. Nach Abschluss des Konfigurationsnavigators klicken Sie zum Speichern der Einstellung „Übernehmen“ und „OK“.

Wenn Ihnen diese Internetseiten bekannt sind, können Sie jederzeit bedenkenlos diese Vertrauenswürdig machen."

Ich konnte das Problem zunächst dadurch lösen, daß ich die temporären Internetdateien gelöscht habe, wie es in einer Newsgroup empfohlen wurde. Zwischenzeitlich traten die Meldungen erneut auf, auch eine neue, worin die Google Toolbar erwähnt wurde; diese verschwanden aber ebenso prompt wieder nach dem Löschen der temporären Internetdateien.

Ich hoffe, ich konnte Dir helfen, und wünsche Dir noch einen schönen Tag.

Viele Grüße…
Jolan

#9

Lieber Jolan,
vielen Dank für Deine rasche Antwort mit Tipps!

Nun, Deine bzw. die Anleitung, die Du von Kaspersky erhalten hast, habe ich zwischenzeitlich befolgt. Dabei fällt zunächst auf, dass es bei mir bzgl. Punkt 3 zwar funktioniert alle Parameter anzuclicken, bloß nach Abspeicherung und Neustart sind „Programmkontrolle“ und „Firewall“ genauso wieder deaktiviert wie vor der Wiederherstellung. Ob das normal ist?
Jedenfalls treten die beiden Meldungen nach wie vor auf, auch nach dem Löschen von Cache+Cookies. Seit letzterem erhalte auch ich eine weitere Warnung bzgl. Google, allerdings dessen Installer betreffend.

Nun hab ich HiJackThis versucht -> dort gibt es keinerlei Warnungen, zumindest laut Besucherbewertung ist scheinbar alles ok. HiJackThis selbst stuft dagegen 3 Dinge als möglicherweise schädlich ein:

  1. ein Java-File namens „jusched.exe“, welches ich allerdings seit Mai 2010 am Rechner habe und lt. Kaspersky-Scan keinerlei Viren enthält. Ich kann mich allerdings erinnern, dass nach Java-Updates immer mal Schwierigkeiten auftraten…. Vielleicht sollte ich dieses Teil doch noch fixen. Die Analyse von HiJackThis: „Laut unserer Datenbank läuft dieser Prozess nomalerweise in c:\programme\java.*\bin!“ -> Bei mir läuft das Ganze unter Java\Java Update

  2. C:\Programme\InterVideo\Common\Bin\WinCinemaMgr.exe -> Eventuell schädlich! Laut unserer Datenbank läuft dieser Prozess nomalerweise in c:\programme\intervideo\common\bin! überprüfen Sie, ob Sie die Datei kennen und führen Sie ggf. einen Virencheck durch.

  3. R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local -> Wenn Sie die Seite ‚*.local‘ nicht kennen, sollte der Eintrag entfernt werden. Dieser Eintrag wurde von unseren Besuchern als gut eingestuft.
    -> Da ich keine Ahnung habe, was das für Seite sein soll, hab ich den Eintrag gefixt und entfernt.

Wie oben gesagt – die Meldungen treten nach wie vor auf + eine neue bzgl. Google-Installer.
Von Kaspersky leider immer noch keine Antwort, obwohl ich das Programm ganz legal gekauft habe. Anbei eine Kopie meines neuen HiJackThis-LogFiles -> bin dankbar für jeden Tipp – auch Dir noch mal ein großes DANKESCHÖN, Jolan!

Gruß, soleluna

Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 13:56:37, on 02.03.2011
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\windows\System32\smss.exe
C:\windows\system32\winlogon.exe
C:\windows\system32\services.exe
C:\windows\system32\lsass.exe
C:\windows\system32\svchost.exe
C:\windows\System32\svchost.exe
C:\windows\system32\svchost.exe
C:\windows\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\ArcSoft\Connection Service\Bin\ACService.exe
C:\Programme\Philips\CamSuite\1.0.9.0\ACPService.exe
C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\AppleMobileDeviceService.exe
C:\Programme\Kaspersky Lab\Kaspersky Internet Security 2011\avp.exe
C:\Programme\Bonjour\mDNSResponder.exe
C:\windows\system32\FsUsbExService.Exe
C:\Programme\Java\jre6\bin\jqs.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\Programme\Google\Update\GoogleUpdate.exe
C:\windows\system32\nvsvc32.exe
C:\windows\system32\svchost.exe
C:\windows\system32\wuauclt.exe
C:\windows\Explorer.EXE
C:\Program Files\ASUS\Six Engine\SixEngine.exe
C:\windows\RTHDCPL.EXE
C:\windows\system32\RUNDLL32.EXE
C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb04.exe
C:\Programme\HP\HP Software Update\HPWuSchd2.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\WINDOWS\vspc2050.exe
C:\Programme\Gemeinsame Dateien\ArcSoft\Connection Service\Bin\ACDaemon.exe
C:\Programme\Gemeinsame Dateien\ArcSoft\Connection Service\Bin\ArcCon.ac
C:\Programme\iTunes\iTunesHelper.exe
C:\Programme\Adobe\Reader 9.0\Reader\Reader_sl.exe
C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe
C:\Programme\Kaspersky Lab\Kaspersky Internet Security 2011\avp.exe
C:\windows\system32\ctfmon.exe
C:\Programme\Philips\Intelligent Agent\Philips Intelligent Agent.exe
C:\Programme\Samsung\Samsung New PC Studio\NPSAgent.exe
C:\Programme\HP\Digital Imaging\bin\hpqtra08.exe
C:\Programme\InterVideo\Common\Bin\WinCinemaMgr.exe
C:\Programme\HP\Digital Imaging\bin\hpqimzone.exe
C:\Programme\iPod\bin\iPodService.exe
C:\Dokumente und Einstellungen\User\Desktop\HiJackThis204.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.ask.com?o=102352&l=dis
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - c:\program files\real\realplayer\rpbrowserrecordplugin.dll
O2 - BHO: IEVkbdBHO - {59273AB4-E7D3-40F9-A1A8-6FA9CCA1862C} - C:\Programme\Kaspersky Lab\Kaspersky Internet Security 2011\ievkbd.dll
O2 - BHO: Windows Live Anmelde-Hilfsprogramm - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Java™ Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll
O2 - BHO: link filter bho - {E33CF602-D945-461A-83F0-819F76A199F8} - C:\Programme\Kaspersky Lab\Kaspersky Internet Security 2011\klwtbbho.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O4 - HKLM…\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM…\Run: [nwiz] nwiz.exe /install
O4 - HKLM…\Run: [Six Engine] „C:\Program Files\ASUS\Six Engine\SixEngine.exe“ -r
O4 - HKLM…\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM…\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM…\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM…\Run: [HPDJ Taskbar Utility] C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb04.exe
O4 - HKLM…\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM…\Run: [HP Software Update] C:\Programme\HP\HP Software Update\HPWuSchd2.exe
O4 - HKLM…\Run: [TkBellExe] „C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe“ -osboot
O4 - HKLM…\Run: [SPC2050] C:\WINDOWS\vspc2050.exe
O4 - HKLM…\Run: [ArcSoft Connection Service] C:\Programme\Gemeinsame Dateien\ArcSoft\Connection Service\Bin\ACDaemon.exe
O4 - HKLM…\Run: [PLF2050] C:\WINDOWS\PLF2050.exe
O4 - HKLM…\Run: [AppleSyncNotifier] C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\AppleSyncNotifier.exe
O4 - HKLM…\Run: [QuickTime Task] „C:\Programme\QuickTime\QTTask.exe“ -atboottime
O4 - HKLM…\Run: [iTunesHelper] „C:\Programme\iTunes\iTunesHelper.exe“
O4 - HKLM…\Run: [Adobe Reader Speed Launcher] „C:\Programme\Adobe\Reader 9.0\Reader\Reader_sl.exe“
O4 - HKLM…\Run: [Adobe ARM] „C:\Programme\Gemeinsame Dateien\Adobe\ARM\1.0\AdobeARM.exe“
O4 - HKLM…\Run: [SunJavaUpdateSched] „C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe“
O4 - HKLM…\Run: [AVP] „C:\Programme\Kaspersky Lab\Kaspersky Internet Security 2011\avp.exe“
O4 - HKCU…\Run: [ctfmon.exe] C:\windows\system32\ctfmon.exe
O4 - HKCU…\Run: [Philips Intelligent Agent] „C:\Programme\Philips\Intelligent Agent\Philips Intelligent Agent.exe“ /SILENT
O4 - HKCU…\Run: [RegistryBooster] „C:\Programme\Uniblue\RegistryBooster\launcher.exe“ delay 20000
O4 - HKCU…\Run: [AutoStartNPSAgent] C:\Programme\Samsung\Samsung New PC Studio\NPSAgent.exe
O4 - HKUS\S-1-5-19…\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User ‚LOKALER DIENST‘)
O4 - HKUS\S-1-5-20…\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User ‚NETZWERKDIENST‘)
O4 - HKUS\S-1-5-18…\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User ‚SYSTEM‘)
O4 - HKUS.DEFAULT…\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User ‚Default user‘)
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Programme\HP\Digital Imaging\bin\hpqtra08.exe
O4 - Global Startup: HP Photosmart Premier – Schnellstart.lnk = C:\Programme\HP\Digital Imaging\bin\hpqthb08.exe
O4 - Global Startup: InterVideo WinCinema Manager.lnk = C:\Programme\InterVideo\Common\Bin\WinCinemaMgr.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: Hinzufügen zu Anti-Banner - C:\Programme\Kaspersky Lab\Kaspersky Internet Security 2011\ie_banner_deny.htm
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: &Virtuelle Tastatur - {4248FE82-7FCB-46AC-B270-339F08212110} - C:\Programme\Kaspersky Lab\Kaspersky Internet Security 2011\klwtbbho.dll
O9 - Extra button: Li&nks untersuchen - {CCF151D8-D089-449F-A5A4-D9909053F20F} - C:\Programme\Kaspersky Lab\Kaspersky Internet Security 2011\klwtbbho.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\windows\Network Diagnostic\xpnetdiag.exe
O9 - Extra ‚Tools‘ menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\windows\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra ‚Tools‘ menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs…
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O20 - AppInit_DLLs: C:\PROGRA~1\KASPER~1\KASPER~3\mzvkbd3.dll,C:\PROGRA~1\KASPER~1\KASPER~3\kloehk.dll
O22 - SharedTaskScheduler: Browseui preloader - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\windows\system32\browseui.dll
O22 - SharedTaskScheduler: Component Categories cache daemon - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\windows\system32\browseui.dll
O23 - Service: ArcSoft Connect Daemon (ACDaemon) - ArcSoft Inc. - C:\Programme\Gemeinsame Dateien\ArcSoft\Connection Service\Bin\ACService.exe
O23 - Service: ACPService - Unknown owner - C:\Programme\Philips\CamSuite\1.0.9.0\ACPService.exe
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\AppleMobileDeviceService.exe
O23 - Service: Kaspersky Anti-Virus Service (AVP) - Kaspersky Lab ZAO - C:\Programme\Kaspersky Lab\Kaspersky Internet Security 2011\avp.exe
O23 - Service: Dienst „Bonjour“ (Bonjour Service) - Apple Inc. - C:\Programme\Bonjour\mDNSResponder.exe
O23 - Service: FsUsbExService - Teruten - C:\windows\system32\FsUsbExService.Exe
O23 - Service: Google Update Service (gupdate1ca3daaf2aeb130) (gupdate1ca3daaf2aeb130) - Google Inc. - C:\Programme\Google\Update\GoogleUpdate.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\windows\system32\nvsvc32.exe
O23 - Service: ServiceLayer - Nokia. - C:\Programme\PC Connectivity Solution\ServiceLayer.exe

–
End of file - 9889 bytes

#10

Hallo soleluna,

Bei mir kam die Antwort von Kaspersky relativ rasch. Mittlerweile haben mir einige EDV-Experten jedoch von Kaspersky abgeraten und das kostenlose Windows Essentials von Microsoft empfohlen. Mehr weiß ich zu dem Thema leider auch nicht. Nachdem mein System momentan wieder ohne derartige Meldungen läuft, habe ich vorerst alles beim Alten belassen.

Viele Grüße…
Jolan