Windows Server 2000 McAfee Update bringt Fehler

[Rolando]

Hallo
Wir haben hier auf der Arbeit einen HP ProLiant mit Windows Server 2000 stehen. Nun scheint sich ein Virus eingeschlichen zu haben. Mittlerweile weiß ich, dass auf einem solchen Gerät mit "normalen" Virenscannern nichts anzufangen ist.
Es ist auch der McAfee Version 8.0 installiert, aber mit Update der Virendefinition von (!!!) 2008 (!!!)
Beim Versuch ein Update durch zuführen hab ich leider ein paar Probleme.
Anfangs wurde das Update durch einen globalen Server zur Verfügung gestellt. Dies ist mittlerweile eingestellt. Die Internetverbindung steht, aber wenn ich über die Option des McAfees gehe und möchte ein Update durchführen kommt folgender Fehler:



Ich hab in den AutoUpdate-Repository Liste den in der Hilfe angegebenen Link

http//update.nai.com/Products/CommonUpdater

eingetragen. Proxy ist zwingend erforderlich. Auch den habe ich richtig eingetragen, bzw. gebe an, die Einstellungen des IE zu nutzen.

Wobei ich dann beim nächsten Problem wäre: Welcher IE läuft unter Windows Server 2000? Der IE 8, den ich mir eben runtergelden hab, bringt die Fehlermeldung:

Der Prozedureinsprungpunkt "SHRegGetValueW" wurde in der DLL "SHLWAPI.dll" nicht gefunden.

Nicht dass der veraltete IE auch etwas mit dem Problem des McAfee zu tun hat.

Hab nun Feierabend, schau aber zu Hause hier nochmal rein, ob jemand ne Idee hat. Testen kann ich erst Morgen ab 14:00 wieder.

Schon mal Danke für die Hilfe!!!

 

[d2boxSteve]

Hi,

also sorry, extended support für Server 2000 ist 13.07.2010 ausgelaufen .....

Es gibt weder aktuelle security Patches, noch Virenscanner noch Browser ..... was bezweckst du mit deiner Frage?

Wenn eine Firma wirklich noch W2k benötigt für spezielle Software sollte die:

a) in einer VM laufen
b) Backups vorhanden sein (damit man den Virus los wird)
c) ..... kein W2k mehr am Start sein

...

Gruß,
d2boxSteve (der keine Ahnung hat wie man in der Steinzeit Autos ... ähh, W2k reparieren soll ...)

 

[Hibbelharry]

Mach alles mit dem Ding, aber sorg dafür das der und das Internet nichtmal ne Fernbeziehung haben. Egal wie dus drehst, alles andere ist kompletter Leichtsinn ohne Chance auf Korrektur solange das OS Win2k ist.

 

[evilbaschdi]

letzter lauffähiger IE ist der 6er, vor dessen Einsatz inzwischen auch gewarnt wird. WEG MIT DEM DING!!!

 

[Ravenier]

Wir haben hier auf der Arbeit einen HP ProLiant mit Windows Server 2000 stehen.

schritt 1. den it-leiter oder verantwortlichen, fristlos und außerordentlich aufgrund grober fahrlässigkeit rauswerfen
schritt 2. den server abschalten, prüfen ob auch nur irgendwelche kundendaten auf dem server vorhanden sind
schritt 3. anwalt konsultieren, kriegt auch nur ein kunde wind davon ist der laden schneller dicht als ihr schauen könnt
schritt 4. qualifiziertes personal einstellen, anständige hard- und software beschaffen und mit dem nötigen fachwissen einsetzen...

 

[knuddelbaer1989]

Ich kann mich allen hier nur anschließen. Wie kann man so Verantwortungslos sein?

Nicht nur Windows Server 2000 ist seit 2010 eingestellt sondern auch McAfee VirusScan Enterprise 8.0 ist seit 2008 eingestellt und die letzte .dat kam im März 2010...

https://community.mcafee.com/thread/32134

Ich hatte mich schon gewundert ich betreue hier unter anderem einen McAfee Epo und mir ist in den letzten 5 Jahren keine Version 8.0 untergekommen...

Gruß

 

[Rolando]

O.K. Es hätte ja sein können, dass es noch irgendwelche Updates gibt, um diesen Virus zu entfernen.
Klar würde ich und meine Kollegen uns auch lieber einen neuen PC als Server hinstellen.
Naja und Server....
Er fungiert zwar noch als Server, aber mehr oder weniger nur noch für die Daten der Leute in unserem Büro. Wirklich wichtige Sachen sind auf anderen externen Servern gespeichert.
Die Tage dieses Geräts sind auch gezählt, aber eine Neubestellung kann u.U. sehr lange dauern - wenns den genehmigt wird - und jeder der glaubt wichtig zu sein, seinen Doktor gesetzt hat....
Deshalb wollte ich, bis was Neues kommt den Virus entfernen.
Und wie das in einer großen Firma so ist (d2boxSteve hats wohl rausgefunden...) wird an solchen Sachen eben gespart.

Wenn doch noch wer ne Idee hat, immer her damit!

Ansonsten sag ich Danke, auch wenn die Antworten für mein Problem nicht sonderlich hilfreich waren.... Ein Versuch wars wert!!!

 

[knuddelbaer1989]

Du hast leider aber auch keinen wirklichen Sinnvollen Inhalt gepostet was das den für ein Virus sein soll... Dann würde ich evtl. auf Ideen kommen.

Und das daran gespart wird passiert auch nur solange bis was passiert .

Ansonsten wären Testversionen evtl. eine Möglichkeit (VirusScan 8.8?) oder dieser Scanner der auf Servern läuft: http://www.clamwin.com/ wobei Server 2000 (verständlicherweise) nicht mehr auf der Supportliste steht. Ein Versuch wäre es dennoch Wert!

Alternativ wäre es evtl. möglich von der Kaspersky Rescue Disk zu booten und damit versuchen den Virus zu entfernen: http://support.kaspersky.com/4162

Ich würde Sicherheitshalber den Rechner dann Trotzdem vom Internet abkoppeln (Intern kann er ja ohne Probleme weiterlaufen).

Gruß

 

[Rolando]

Also: Wenn ich an dem Server einen USB Stick anstecke, werden darauf sofort 2 Dateien erstellt / kopiert:
autorun.inf
twhvna.exe

Steck ich den Stick dann an einen "überwachten" PC erscheint folgende Meldung vom Avira:



"Und das daran gespart wird passiert auch nur solange bis was passiert ."
In einem so großen Unternehmen sind dann aber immer die in der Nahrungskette weit unten stehen die Schuldigen. Oder hast du schon mal einen Manager gesehen, der sagt: "Halt" Das ist meine Schuld. Wir musste sparen. Der Mitarbeiter Müller-Meier Schulz kann nichts dafür!!!"

Eine Bestellung wurde schon vor einiger Zeit ausgelöst und heute mit Hinweis auf den Virus wieder erinnert, aber wie lang das noch dauert....???

Ich werde mir mal deine Tips und Links genauer anschauen.

 

[knuddelbaer1989]

Habe ich so in etwa schon erlebt durchaus. Aber gut ich weiß nicht was wir unter Groß verstehen und ob das dann evtl. ein Unterschied ist (Ich rede von ~ 300 Mitarbeitern). Egal

Schau doch mal hier: http://www.destroy-malware.com/twhvna-exe-twhvna-removal/

Soll sich super mit Malwarebytes entfernen lassen (http://www.malwarebytes.org/) Ist halt die Frage ob das auf einem W2K Server läuft...

Gruß

 

[Rolando]

Hier am Standort ca. 13000MA!!!

Hab eben mal den von dir beschriebenen ClamWin installiert. Hat auch funktioniert und er hat auch scheinbar genau den richtigen schon gefunden. Im Log steht was von dem in der Fehlermeldung enthaltenen "onlinegame.933"

Ich lasse ihn mal über Nacht durchlaufen und bin auf das was mich Morgen erwartet gespannt.

Ich hoffe das mit dem Neuen wird dann mal was. Früher (ich weiß: FRÜÜÜHER...) hatten wir für die ganze Abteilung immer so eine Art "kleine Kasse" auf die wir monatlich so 500€ kaufen konnten. Wurde aber wegen Sparmaßnahmen gestrichen.

Auf jeden Fall noch mal Danke für die Hilfe.
Roland

 

[0711]

schritt 3. anwalt konsultieren, kriegt auch nur ein kunde wind davon ist der laden schneller dicht als ihr schauen könnt

was ein unsinn...


@topic
du solltest - wenn schon kein restore auf einen sauberen stand möglich ist - mindestens einen offlinescan mit einem der bekannten "notfall cd`s/usb sticks" machen (und diese natürlich nicht auf dem entsprechenden server erstellen) selbst wenn jetzt erst mal ein paar sachen bereinigt werden, ist zwar keine saubere vorgehensweise aber deutlich besser als sich auf einen onlinescan zu verlassen. Das vorgehen unterscheidet sich eigentlich auch nicht von einem "modernen" system
-> kompromitiert, platt machen/restoren, alles andere ist geflicke aber auch beim geflicke sollte man sich nicht nur auf das nötigste reduzieren wenn man schon nicht resoteren/platt machen kann

klären wie die schadsoftware draufkam

soweit härten es geht
- softwarerestriktionen
- dcom/dienste wenn möglich abschalten
- von aussen nur die absolut nötigen ports erreichbar machen
entsprehcend dem ergebnis weshalb die schadsoftware drauf kam weitere maßnahmen ergreifen.

Auch wenn es ein altes system ist kann man sich durchaus besser drum kümmern (siehe mcafee lösung von 2008) - so wie ich das wehklagen hier verstehen kann sieht die realität in vielen firmen halt trotzdem anders aus...