Problem mit Windows Installer nach Trojaner

[Leogecko]

Hallo zusammen!

Vielleicht könntet ihr mir bei diesem Problem helfen: Bei der Ausführung eines .msi-Pakets erscheint folgende Fehlermeldung: "Auf den Windows Installer-Dienst konnte nicht zugegriffen werden. Dies kann auftreten, wenn der Windows Installer nicht richtig installiert wurde. Wenden Sie sich an den Support, Um weitere Unterstützung zu erhalten."

Ich hatte davor die folgenden Trojaner (laut Antivir): C:\System Volume Information\_restore{1DD05B39-1C7A-4E15-AB0B-9050ECF4AED9}\RP125\A0032868.exe
[FUND] Ist das Trojanische Pferd TR/Dldr.Wintrim.BY.56
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4ab0266f.qua' verschoben!
C:\System Volume Information\_restore{1DD05B39-1C7A-4E15-AB0B-9050ECF4AED9}\RP125\A0032869.exe
[FUND] Ist das Trojanische Pferd TR/Dldr.Wintrim.BY.45
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4bd7bed8.qua' verschoben!
C:\System Volume Information\_restore{1DD05B39-1C7A-4E15-AB0B-9050ECF4AED9}\RP126\A0033098.exe
[FUND] Ist das Trojanische Pferd TR/Dldr.Wintrim.BY.56
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4bd88600.qua' verschoben!
C:\System Volume Information\_restore{1DD05B39-1C7A-4E15-AB0B-9050ECF4AED9}\RP126\A0033099.exe
[FUND] Ist das Trojanische Pferd TR/Dldr.Wintrim.BY.56
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4bd6b690.qua' verschoben!
C:\System Volume Information\_restore{1DD05B39-1C7A-4E15-AB0B-9050ECF4AED9}\RP126\A0033100.exe
[FUND] Ist das Trojanische Pferd TR/Dldr.Wintrim.BY.49
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4bda9670.qua' verschoben!
C:\System Volume Information\_restore{1DD05B39-1C7A-4E15-AB0B-9050ECF4AED9}\RP142\A0038717.exe
[FUND] Ist das Trojanische Pferd TR/Spy.90112.104
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4bd5af68.qua' verschoben!
C:\System Volume Information\_restore{1DD05B39-1C7A-4E15-AB0B-9050ECF4AED9}\RP142\A0039043.dll
[FUND] Ist das Trojanische Pferd TR/Spy.202752.4
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4bd98e48.qua' verschoben!
C:\System Volume Information\_restore{1DD05B39-1C7A-4E15-AB0B-9050ECF4AED9}\RP142\A0039201.exe
[FUND] Ist das Trojanische Pferd TR/Crypt.CFI.Gen
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4fcdcdf0.qua' verschoben!

Zusätzlich habe ich hjackthis-Logfile erstellt:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 18:16:27, on 10.08.2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Sygate\SPF\smc.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir Desktop\sched.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Avira\AntiVir Desktop\avguard.exe
C:\Programme\Java\jre6\bin\jqs.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\ATI Technologies\ATI.ACE\Core-Static\MOM.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Programme\ROCCAT\Kone Mouse\KoneHID.EXE
C:\Programme\RivaTuner v2.22\RivaTuner.exe
C:\Programme\Avira\AntiVir Desktop\avgnt.exe
C:\Programme\Winamp\winampa.exe
C:\Programme\Java\jre6\bin\jusched.exe
C:\Programme\RocketDock\RocketDock.exe
C:\Programme\DAEMON Tools Lite\daemon.exe
C:\WINDOWS\ALCFDRTM.EXE
C:\Programme\Datacolor\Spyder3Elite\Utility\Spyder3Utility.exe
C:\Programme\ATI Technologies\ATI.ACE\Core-Static\ccc.exe
C:\Programme\ROCCAT\Kone Mouse\osd.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\WINDOWS\regedit.exe
c:\programme\avira\antivir desktop\avcenter.exe
C:\WINDOWS\system32\notepad.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = 127.0.0.1:4444
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: FDMIECookiesBHO Class - {CC59E0F9-7E43-44FA-9FAA-8377850BF205} - C:\Programme\Free Download Manager\iefdm2.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O4 - HKLM\..\Run: [StartCCC] "C:\Programme\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" MSRun
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKLM\..\Run: [Kone] "C:\Programme\ROCCAT\Kone Mouse\KoneHID.EXE"
O4 - HKLM\..\Run: [RivaTuner] "C:\Programme\RivaTuner v2.22\RivaTuner.exe" /T
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\Run: [WinampAgent] C:\Programme\Winamp\winampa.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre6\bin\jusched.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [RocketDock] "C:\Programme\RocketDock\RocketDock.exe"
O4 - HKCU\..\Run: [DAEMON Tools Lite] "C:\Programme\DAEMON Tools Lite\daemon.exe" -autorun
O4 - HKCU\..\Run: [Free Download Manager] C:\Programme\Free Download Manager\fdm.exe -autorun
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User '?')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User '?')
O4 - HKUS\S-1-5-21-527237240-789336058-725345543-1004\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe (User '?')
O4 - HKUS\S-1-5-21-527237240-789336058-725345543-1004\..\Run: [Free Download Manager] C:\Programme\Free Download Manager\fdm.exe -autorun (User '?')
O4 - HKUS\S-1-5-21-527237240-789336058-725345543-1004\..\Run: [fsm] (User '?')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User '?')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: AutorunsDisabled
O4 - Global Startup: Spyder3Utility.lnk = C:\Programme\Datacolor\Spyder3Elite\Utility\Spyder3Utility.exe
O8 - Extra context menu item: Alles mit FDM herunterladen - file://C:\Programme\Free Download Manager\dlall.htm
O8 - Extra context menu item: Auswahl mit FDM herunterladen - file://C:\Programme\Free Download Manager\dlselected.htm
O8 - Extra context menu item: Datei mit FDM herunterladen - file://C:\Programme\Free Download Manager\dllink.htm
O8 - Extra context menu item: Videos mit FDM herunterladen - file://C:\Programme\Free Download Manager\dlfvideo.htm
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/win...ls/en/x86/client/wuweb_site.cab?1232567861578
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O20 - AppInit_DLLs:
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: getPlus(R) Helper - NOS Microsystems Ltd. - C:\Programme\NOS\bin\getPlus_HelperSvc.exe
O23 - Service: Google Update Service (gupdate1c990455146afe0) (gupdate1c990455146afe0) - Google Inc. - C:\Programme\Google\Update\GoogleUpdate.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe
O23 - Service: Sygate Personal Firewall (SmcService) - Sygate Technologies, Inc. - C:\Programme\Sygate\SPF\smc.exe

--
End of file - 6870 bytes

Ich habe bereits die Anweisung aus der Windows Knowledge Base (un- und nue registrieren, Pfad in registry prüfen, Im abgesicherten Modus registrieren, de- und neu installieren) durchgeführt und auch von anderen Websiten, die vorschlugen, zusätzlich die DLLs zu registrieren(MSI.dll, MSIHNDL.dll). Doch vll. könnt Ihr mir weiter helfen. Wäre sehr von Vorteil, wenn ich einer Neuaufsetzung entkommen könnte.

Vielen Dank für eure Antworten!
Mfg Leogecko

 

[Trackballfan]

Da wirst Du um eine Neuinstallation nicht rum kommen.

Der O20 - AppInit_DLLs eintrag ist schädlich.

Und O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User '?') ist unbekannt.

Edit
@Leogecko

Danke für die Hilfe ich log mich jetzt einfach aus.

 

[1668mib]

Sekunde mal... Dateien im "System Volume Information"-Ordner sind lediglich von Systemwiederherstellungspunkten, die Dateien können da auch ohne irgendeinen Befall landen (versehentlicher Download, Anti-Viren-Programm löscht die Datei, Windows haut sie aber noch in die System Volume Information rein vorher...)

Und was ist an O20 schädlich? Da steht halt nichts drin...
Und CTFMON.EXE ist unbedenklich.



Vielleicht wäre es gut, wenn du mal mit der Problembeschreibung von vorne anfängst (war wirklich ein Trojaner installliert? welches Programm willst du installieren? wie sieht es mit dem Update-Stand deines Windows aus?)... Zumal ist AntiVir auch noch bekannt für viele Falschmeldungen...

 

[Trackballfan]

Ich hab den Logfile Checken lassen und da kam Schädlich bei raus.

 

[easy.2ci]

Den aktuellen msi Installer 4.5 kannst du auch bei Microsoft runterladen. Dieser müsste sich selbst reparieren können.

Allerdings würde ich ebenfalls nach einem Virenbefall immer die Kiste komplett plattmachen.

 

[Grantig]

@Trackballfan

er O20 - AppInit_DLLs eintrag ist schädlich.

Stimmt nicht, die Lofileauswertung hat auch nicht immer Recht.
Der Registry Eintrag eher ist ein (veraltetes) Windows Feature.
Außerdem ist der Eintrag leer, d.h. er macht garnix.

Siehe: http://support.microsoft.com/kb/197571/de


@Topic
Wie gesagt, Windows Installer Neuinstallation sollte helfen: Windows Installer 4.5 Redistributable

 

[Leogecko]

Hallo,

beim Trojaner bin ich mir sicher, da plötzlich ein neuer Benutzeraccount da war sowie mir die Rechte für Konsole und Registry-Editor genommen wurden.
Ich habe den Account gelöscht und mir die Rechte wieder gegeben.

Windows Installer 4.5 habe ich bereits installiert(allerdings nicht als .msi-Paket, das funktionierte natürlich nicht).

Es ist egal, was ich zu installieren versuche (der Installer selbst bis zum Handy-Synchronisationsprogramm).

Noch immer auf eine Lösung ohne Formatierung hoffend,
Leogecko

 

[1668mib]

Systemwiederherstellung probieren... aber auf lange bevor das mit dem Trojaner war...

 

[Leogecko]

Hallo!

Ja schön wäre es, aber der Trojaner hat die Systemwiederherstellungsdaten befallen und somit jede Systemwiderherstellung vereitelt. Vielleicht gibt es doch noch eine Möglichkeit an einer Neuaufsetzung vorbeizukommen.

Danke schon mal für die Bemühungen!

Mfg Leogecko

 

[Grantig]

Vergiss es, setz neu auf und gut is, da is nix mehr zu retten.
Wenn der schon an der Systemwiederherstellung rumgebastelt hat, möcht ich nicht wissen, was das Teil sonst noch so alles auf deinem PC angestellt hat.
Willst du wirklich auf so nem verseuchten System arbeiten?

Vor allem dauert das Neuaufsetzen wahrscheinlich nicht so lange, wie das Herumrätseln wie man jetzt das Problem lösen könnte.

 

[1668mib]

@Leogecko: Wie hat der Trojaner die Systemwiederhersellungsdaten befallen? oO
Nur weil die paar Dateien drin sind, die die Systemwiederherstellung angelegt hat, weil ein Anti-Viren-Tool oder ähnliches den Trojaner entfernt ha?

Du musst halt nur einen Punkt nehmen der vor dem Trojaner lag, wenn es denn noch einen gibt.

Oder wie vereitelt der sonst die Systemwiederherstellugn?

 

[Leogecko]

Ich weiß es auch nicht genau, aber er hat alle Systemwiderherstellungsdaten befallen. Ich habe eh schon alle ausprobiert, aber er hat die Dateien irgendwie verändert und somit geschafft, dass kein Widerherstellungspunkt klappt.

Kann der Vriusschreiber einen Antivirus schreiben, der das alles wieder repariert?

Mfg Leogecko

 

[PhaTox]

Frag ihn doch mal;-) Nein, im Ernst: Du solltest das System neu machen.
Gruß,pTx

 

[Leogecko]

Ich habe den Typen rausgefunden (seinen echten Namen).

 

[Antimon]

Was soll machen, wenn ich angegriffen wurde?

Wenn Sie wissen, dass ihr System von einem Angreifer oder einem schädlichen Programm (beides wird im Weiteren als "Angreifer" bezeichnet) kompromittiert wurde, sollten Sie Sich für die korrekte Vorgehensweise an die Sicherheitsrichtlinien Ihrer Organisation halten. Der erste Schritt ist häufig nicht technischer Natur, aber dennoch berechtigt.

Bevor irgendeine weitere Aktion auf dem System vorgenommen wird, sollten Sie es physikalisch vom Netzwerk trennen. Entfernen Sie alle Netzwerkkabel, Modemverbindungen und Wireless-Netzwerkkarten. Das Entfernen vom Netzwerk verhindert, dass der Angreifer weiteren Schaden anrichtet, oder das wiederhergestellte System kompromittiert und hierdurch Informationen über Ihren Wiederherstellungsprozess erlangt. Abhängig von der Sicherheitsrichtlinie Ihrer Organisation, kann der nächste Schritt z. B. ein Duplizieren aller Daten auf den Systemen sein. So können später eine Analyse und weitere wichtige Aktionen vorgenommen werden. Dieser Abschnitt beschränkt sich auf das Wiederherstellen des Systems, und beschreibt nicht die notwendigen Schritt zur Analyse des Angriffs oder das Sichern von Beweisen.

Es gibt zwei grundlegende Methoden, um ein System zu bereinigen und es wieder verfügbar zu machen: Sie könnte entweder versuchen die Auswirkungen des Angriffs zu beseitigen, oder Sie können Sich entscheiden, die Software und die Daten aus einer nicht kompromittierten Kopie neu zu installieren. Einige Virenscanner bieten die Möglichkeit, die Auswirkungen einer schädlichen Software zu beseitigen, indem sie die durch die Software vorgenommenen Änderungen erkennen und entfernen. Zusätzliche gibt es einige frei verfügbare Tools um ein System zu bereinigen, oder die Auswirkungen einiger der bekannteren schädlichen Programme zu entfernen.

Obwohl Virenscanner möglicherweise die Auswirkungen von schädlicher Software effektiv entfernen können, gibt es einige bedeutende Punkte zu berücksichtigen:
•

Die schädliche Software ist möglicherweise sehr kompliziert. Das Tool könnte bei der Bereinigung des Systems nicht in der Lage sein alle Effekte zu entfernen.
•

Manche Programme (wie z. B. Code Red oder der Wurm Nimda) öffnen das System nach außen. Jeder mit Netzwerkzugriff auf das System kann vollständige Kontrolle über dieses System erlangen und jede mögliche Änderung vornehmen. Auch wenn der Virenscanner die schädliche Software entfernen kann, kann er jedoch nicht erkennen, ob nicht authorisierter Benutzer bereits Änderungen am System vorgenommen hat.
•

Auch wenn ein Virenscanner-Hersteller eine neue Signatur veröffentlicht hat, die den Virus entdeckt und beseitigt, könnte es mehrere Stunden dauern bis diese zum Herunterladen zur Verfügung steht. Da schädliche Programme sehr kompliziert sein können und umfangreiche Auswirkungen haben können, kann es einige Zeit dauern bis einen Hersteller eine Signaturdatei erstellt hat, welche die Auswirkungen des Programms vollständig beseitigt.

Jeder dieser drei Punkte spricht für eine Neuformatierung aller Partitionen eines Systems, und einer neuen Installation der gesamten Software. Die Vorschläge des CERT Coordination Center zur Wiederherstellung nach einem Angriff schlagen dies ebenfalls so vor.

Die letztendliche Wahl bleibt natürlich dem Systemverantwortlichen überlassen. Wenn der Angriff auf das System nicht schwerwiegend war, oder wenn sich das System in einer abgesicherten Umgebung befindet und nicht Ziel weiterer Eindringversuche war, mag das Bereinigen des Systems die richtige Wahl sein. Eine Neuinstallation des Systems ist natürliche immer die konservativere Wahl.

Quelle

Sichere Deine Daten, formatier die Maschine und setz sie neu auf. Es gibt zwar Mittel und Wege ein kompromittierte Systeme wieder lauffähig zu machen, allerdings dürfte Dir dazu das Fachwissen fehlen und eine Erklärung hier im Forum eine Unmenge an Zeit in Anspruch nehmen. Zum anderen ist auch die Reparatur des befallenen Systems genauso Zeitaufwendig wenn nicht sogar noch aufwendiger als eine Neuinstallation.

Deswegen sei klug und mach die Kiste platt

 

[chriskatz17]

du kannst auch den Rechner von den Viren befreien, und dann den Windows Installer neu Installieren!

Den Windows Installer bekommst du hier!

 

[olympiakos]

und nimm eine andere Firewall, Sygate (war damals auch mein Favorit) ist nicht mehr vertrauenswürdig, es gibt genügend andere Free-Firewalls.

Die Leute von Hijackthis machen etwas falsch, wenn Sie das Programm als “Sehr sicher” einstufen.