Autostartanwendung nicht löschbar?

[Cougar87]

Guten Tag,

Ich hab mir vor kurzem ein Tool runtergeladen, dass komischerweise bei jedem Start von Windows mitstartet.
Ich kann es zwar beenden und es ist dann auch aus der Prozessliste weg, doch taucht es immer wieder auf.
Um das Übel an der Wurzel zu packen, fand ich das Verzeichnis des Prozesses mit "Prozessmonitor" raus (C:\Dokumente und Einstellungen\Besitzer\Lokale Einstellungen\Temp)
Ok, da habe ich die Datei entfernt.
Jedoch startet die Datei immernoch bei jedem Win-Start mit.
Im Autostart steht sie nicht drin (msconfig, regedit).

Wäre sehr dankbar, wenn mir jemand helfen könnte.

Vielen Dank

 

[uwe-b]

Über msconfig bekommt man nicht immer alles angezeigt.
Du könntest es z.B. mal mit der Freeware CCleaner probieren.
Auch damit hat man die Möglichkeit, die Autostarteinträge zu ändern.

 

[Furble]

Ich benutze auch CCleaner, kann es nur empfehlen

 

[jochen1001]

mit Autoruns kannst du den Eintrag im Autostart löschen, da steht wirklich alles drin, was am Anfang mitgestartet wird

 

[Cougar87]

Vielen Dank,

Unter Autoruns find ich leider die .exe nicht, könnte ja sein, dass die Anwendung von einer anderen Datei ausgeführt wird.

CCleaner ist echt top !!!!!
Man kann ganz vernünftig aufräumen, doch die Anwendung erscheint trotzdem noch

Ich müsste bloß wissen, was diese .exe Datei bei jedem Start in den Temp-Ordner schmeist.

Vielen Dank !!!!!!

 

[ohmsl]

Warum nennst du das Programm und die .exe nicht mal beim Namen. Sonst ist das alles hier nur Spekulation.
Und poste mal dazu ein Hijackthis.log
http://sicher-ins-netz.info/analyse/hjt.html

BTW hast du es mal über die Systemwiederherstellung auf den Zeitpunkt vor Installation des Tools versucht?

 

[aido]

Möglicherweise läuft ein Dienst der dafür sorgt das die Datei gestartet wird.

Start > Ausführen > services.msc und dort mal überprüfen ob da was vergleichbares ist. Den Dienst dann beenden bzw. deaktivieren und Rechner neu starten.
Überprüfen ob die Anwendung dann noch gestartet wird.

Gruss,
aido

 

[jochen1001]

gibts unter Windows net auch so ein TaskScheduler?! vielleicht wirds dadurch immer gestartet


genau, sag die .exe mal

 

[aido]

Du meinst den Autostart-Ordner - ja.

Es gibt noch andere möglichkeiten die da wären: Registry, Shell-Erweiterung, ActiveX, Dienstprogramme die Anwendungen aufrufen.

 

[Ria]

Ich müsste bloß wissen, was diese .exe Datei bei jedem Start in den Temp-Ordner schmeist.

Hallo,

um zu wissen, warum diese ".exe" bei jedem Start überhaupt gestartet wird:

- sagst Du wie diese "*.exe" heißt!

- sagst Du wie das Tool heißt, dass Du geladen und installiert hast!


Nun, ich denke die Leute wollen Dir helfen und Du stotterst blöde in der Landschaft herum. Den Thread sollte man eigentlich schließen und damit kannst Du den Namen des Programmes auch für dich behalten.

mfg

Ria


PS: warum verausgabst Du dich bei dem Ausrufezeichen so, oder hat Deine Tastatur einen Preller?

 

[Cougar87]

Vielen Dank,

Sorry, die Datei nennt sich "etheral.exe"
Ich hab hier eine Auflistung der Dienste und die Protokollierung vom HijackThis hochgeladen.

Kennt jemand vielleicht ein Tool mit dem ich die Datei aus dem Temp-Ordner zurückverfolgen kann?

Danke

 

[aido]

C:\Programme\Zango\bin\10.3.75.0\HostIE.dll
C:\WINDOWS\system32\winupd.exe

Diese bei Virustotal testen lassen

Desktop Component AutorunsDisabled:

Hast du Autoruns deaktiviert ?

Extensible Authentication-Protokolldienst
GEST Service for program management

Kennst du diese Dienste bzw. sind sie aktiviert ?

 

[Cougar87]

Danke,

C:\Programme\Zango\bin\10.3.75.0\HostIE.dll

Ergebnisse 14/36

C:\WINDOWS\system32\winupd.exe

bringt immer eine meldung beim upload:
0 bytes size received / Se ha recibido un archivo vacio

Desktop Component AutorunsDisabled: Davon weiß ich nichts, wo find ich das?

Dienste:

-Extensible Authentication-Protokolldienst
Stellt Windows-Clients den Extensible Authentication-Protokolldienst bereit.
Starttyp: Manuel Dienststatus: Beendet

-GEST Service for program management
Keine Beschreibung
Starttyp: Manuell Dienststatus: Beendet

Vielen Dank

 

[ohmsl]

- Mit www.ccleaner.de aufräumen

- Malwarebytes scannen lassen. Funde löschen. Ergebnis posten.

http://www.virus-protect.org/artikel/tools/malwarebytes.html

 

[Cougar87]

Ok, ne ganze Menge gefunden

Ich starte mal neu, ...mal schauen..

Danke !

 

[Cougar87]

Nichts geändert

Hier die log.

Danke!

 

[aido]

Das ist bei dir drin http://en.wikipedia.org/wiki/Bifrost_(trojan_horse)

Empfehlung: Rechner neu Aufsetzen (formatieren). Alle Kennwörter ändern. Bei der Datensicherung von eine Linux-Live-CD starten und nur die pers. Daten sichern keine ausführbaren Dateien !

Gruss,
aido

 

[ohmsl]

Nichts geändert

Dann kann ich aido nur zustimmen.