WinXP SP3: Dubioser Eintrag bei Autoplay

[Sigi]

Hallo,

weiss jemand, was ich mir da eingefangen habe und wie ich das wieder weg bekomme?
Notebook ist ein T60, welches noch nie Internet gesehen hat.

Sigi

 

[sys.]

Ganz im Ernst: Windows XP noch einzusetzen ist dank fehlender Updates und klaffender Löcher nicht ohne. Wenn es geht, migriere das System auf Win7.
Ansonsten helfen dir die Jungs im Trojanerboard eventuell weiter.
Edit: Schau mal hier ganz unten:
http://www.supportnet.de/fresh/2006/5/id1340845.asp

 

[think_pad]

Hallo, weiss jemand, was ich mir da eingefangen habe und wie ich das wieder weg bekomme? Notebook ist ein T60, welches noch nie Internet gesehen hat.

Das ist ein USB-Exploit, der (aus welchen Gründen auch immer) eine Spam-Email versendet und den der Spam-Programmierer/Hacker (freundlicherweise) noch nicht fertig geschrieben hat. Er ist daher harmlos...

P.S. Du solltest unter XP die Autostartfunktion für Laufwerke deaktivieren, Avira macht das auch standardmäßig...

 

[sys.]

Du solltest unter XP die Autostartfunktion für Laufwerke deaktivieren

Nein, du solltest WinXP deaktivieren

 

[Sigi]

Ganz im Ernst: Windows XP noch einzusetzen ist dank fehlender Updates und klaffender Löcher nicht ohne. Wenn es geht, migriere das System auf Win7.

Ganz ernsthaft nachgefragt: Du hattest auch meine 2. Zeile in meinem ersten Beitrag gelesen?
> Notebook ist ein T60, welches noch nie Internet gesehen hat ...

Sicherheitsbedenken sind ausnahmsweise mal fehl am Platze. Aus dem T60 kommt nur ein einziges Kabel, und das geht zum Netzgerät. Das war ab Neuinstallation so und wird immer so bleiben. Man glaubt gar nicht, welchen Ärger man sich vom Hals hält, wenn man seinem zentralen Rechner vom rechtsfreien Raum nimmt.

@think_pad:
> Das ist ein USB-Exploit...
Was ist das nu wieder? Kann ich diesen dubiosen Eintrag irgendwie entfernen?
Ich habe mein System gerne in Ordnung.

Sigi

 

[think_pad]

Was ist das nu wieder? Kann ich diesen dubiosen Eintrag irgendwie entfernen? Ich habe mein System gerne in Ordnung.

Du musst dann alle bekannte/zu rettende Dateien mit einem laufenden Virenscanner auf eine andere Platte schieben, den Stick neu formatieren und die Daten wieder zurückschieben. Das ist die sicherste Methode...

 

[Lokheizer]

Ganz ernsthaft nachgefragt: Du hattest auch meine 2. Zeile in meinem ersten Beitrag gelesen?
> Notebook ist ein T60, welches noch nie Internet gesehen hat ...

Sicherheitsbedenken sind ausnahmsweise mal fehl am Platze. Aus dem T60 kommt nur ein einziges Kabel, und das geht zum Netzgerät. Das war ab Neuinstallation so und wird immer so bleiben. Man glaubt gar nicht, welchen Ärger man sich vom Hals hält, wenn man seinem zentralen Rechner vom rechtsfreien Raum nimmt.

Vergiss nicht: USB-Sticks und andere Wechseldatenträger sind für das Gerät tabu, auch Dateien von anderen Rechnern können Schadcode enthalten der genau auf das Vorhandensein eines WinXP wartet.

 

[mccs]

Ich bekam mal einen USB-Stick, der ein Programm zur Daten-Verschlüsselung drauf hatte. Steckt man den ein, erscheint ebenfalls eine Meldung von Autoplay. D.h., der Stick ist die Ursache für den Eintrag; auf dem Rechner ist nichts schädliches. Fatal ist nur, dass in der Registry ein Eintrag generiert wird, der dort dauernd weiterlebt.
Bei diesem Stick half folgendes: Daten sichern - Stick formatieren - fertig und Problem beseitigt. Dann noch den Registry-Eintrag auf normale Werte korrigiert und Ruhe ist.

Im übrigen ist XP nach wie vor ein brauchbares Betriebssystem, das Problem sitzt nicht im Rechner, sondern davor. Bei manchen Download-Seiten blinken auffällig 5-6 Download-Buttoms, klickt man die, freut sich ein Schädling. Der richtige Download-Buttom ist kitzeklein und fast unsichtbar, aber vorhanden. Was dann heruntergeladen wird, kann man erfahren. Bei Firefox z.B. über Extras-Download. Erwartet man eine PDF oder sonstwas, bei der man Bedenken hat, hilft folgendes: Die fragwürdige Datei per Editor öffnen und anschauen. Steht dort am Anfang "MZxx" (wobei xx beliebige Werte sind), hat man eine ausführbare Datei vor sich, bei PDF's verdächtig. Dann sofort löschen. Oft findet man in solchen Dateien am Ende verschiedene Einträge mit Internet-Adressen (d.h., da will einer ins Internet) oder Meldungen des Compilers, ein weiterer Hinweis für ausführbare Dateien. Dann darf der User kein Risiko eingehen - löschen ist die einzige Alternative.
Es gibt weitere Werkzeuge, um seinen PC zu überwachen: den kostenlosen Process-Explorer, der alle aktiven Threats oder Prozesse zeigt. Wenn da einer unerwünscht aktiv ist, stoppen. Der Process-Explorer zeigt dann per Mausklick auch an, wo im Betriebssystem der Aufruf generiert wurde, meist ist es ein Registry-Eintrag. Google hilft beim Sinn-ergründen dieser Einträge. Per Process-Explorer findet man auch Schädlinge, die aktuelle Virenscanner noch gar nicht kennen.

Ich selber nutze Avira und wundere mich, was der alles durchlässt! Na ja, besser als nichts, aber nur 98%-ig.

 

[Sigi]

Vergiss nicht: USB-Sticks und andere Wechseldatenträger sind für das Gerät tabu, auch Dateien von anderen Rechnern können Schadcode enthalten...

Ist bekannt, meine USB-Sticks wandern nur zwischen meinem Arbeitsrechner und meinen Maschinensteuerungen (ebenfalls mit XP) hin und her. Auch letztere kennen kein Internet - zu was auch. Fremde Sticks schaffen es hier erst gar nicht über die Türschwelle. Ich habe nur ein einzige Notobook am Netz, das kennt nur den Firefox und ist in Dauer Quarantäne. Zudem wird es jede Woche radikal entseucht (frisches Image von CD).

Aber zurück zu dem dubiosen Eintrag:

@mccs:
> Bei diesem Stick half folgendes: Daten sichern - Stick formatieren - fertig und Problem beseitigt.
Also ihr meint, das hat mit den Stick zu tun?

Weit gefehlt, wenn ich den "betreffenden" Stick in einen anderen Rechner einstecke, erscheint der Eintrag nicht. Nicht mal an dem durchseuchten Notebook findet sich dieser Eintrag. Ich machte den Versuch noch mit 3 weiteren Sticks (128KB-4GB, u.a. mit einem noch unbenutzen Stick), überall das gleiche. Der Eintrag findet sich gemeinerweise nur an meinem wichtigsten Rechner, wo all meine Software installiert ist. Übrigens ist Autoplay auf allen meinen System deaktiviert. Ich habe den Eintrag rein zufällig gefunden.

Hat noch einer eine Idee, wie ich den Mist weg bekomme?
Der Eintrag erscheint nur, wenn man "Bilder" auswählt.
"Musikdateien", "Videodateien" und "gemischter Inhalt" sind sauber.

Sigi

 

[eddigob]

Wenn du anscheinend eine solche Angst vor dem Internet hast, wie hälst du es denn da mit Updates und Virenscannern? Wesshalb nicht auf ein aktuelles weitaus sichereres System setzen?

 

[gerli09]

Hilft dir das evtl. weiter: http://www.wintotal.de/tipparchiv/?id=827

 

[Mike320]

Wenn du anscheinend eine solche Angst vor dem Internet hast, wie hälst du es denn da mit Updates und Virenscannern? Wesshalb nicht auf ein aktuelles weitaus sichereres System setzen?

Wozu Updates und Virenscanner, wenn der Rechner nicht vernetzt ist und z.B. nur zur Weiterentwicklung von Steuerungssystemen dient. Ich hatte bis vor 3 Jahren noch diverse Systeme mit Windows NT 3.51 und NT 4.0 in der Infrastruktur eines Unternehmes. Das Problem waren dort eher nicht mehr verfügbare Hardwarekomponenten (z.B. LAN-Karten mit dafür kompatiblen Treibern als Ersatz), die Systeme steuerten eine Anlage und die Ablösung inkl. Neuentwicklung der Software auf einer aktuellen Platform hätte einen mittleren 6-stelligen Betrag verschlungen. Da haben Geschäftsführungen dann gelegentlich andere Prioritäten und soweit diese System nur ihr eigenes Steuerungsnetz nutzen, ist das auch kein Problem (USB ist bei den o.a. OS auch nicht wirklich ein Problem).

 

[Sigi]

Wesshalb nicht auf ein aktuelles weitaus sichereres System setzen?

Als ich noch Win98 nutze, hat man mich genau mit diesem Argument zu WinXP gedrängt. Irgendwann hatte ich alle meine Systeme auf WinXP umgerüstet (was mich viel Geld und sehr viel Zeit gekostet hatte), nun beginnt das Sauspiel wieder von vorne. Jedes neue System ist immer besser als das vorige, ich muss da nur an Vista denken. Ich habe keinen Bock auf ein neues zusammengefrickeltes Betriebssytem. Ich habe genug gefrickelt. Ob XP von MS abgekündigt wurde, ist mir so wurscht, wie in China ein Stuhl umfällt. Meine Maschinen sehen das ähnlich.

Hilft dir das evtl. weiter: http://www.wintotal.de/tipparchiv/?id=827

Danke für den Tipp, in einem Fenster dort sehe ich schonmal den gleichen dubiosen Eintrag wie bei mir. Also bin ich nicht der Einzige mit dem Problem.

Daraufhin habe ich mal nach "mit <provider>" gegoogelt und siehe da, man kann mal wieder nächtelang lesen. Also der eine macht Nero für den Eintrag verantwortlich, der andere seinen Fotoapparat. Wieder ein anderer ... Erstaunlich jedoch die schon reflexartige Empfehlung eines Virenscanners, das scheint das Allerheilmittel (Placebo) der modernen Zeit zu sein. Dicht gefolgt von automatischen Updates, wo kein Mensch weiss, was einem da alles untergefrickelt wird.

Wozu Updates und Virenscanner, wenn der Rechner nicht vernetzt ist und z.B. nur zur Weiterentwicklung von Steuerungssystemen dient.

Ein Sehender, welch eine Wohltat ...
Übrigens: Für nicht mehr verfügbare Hardwarekomponenten bietet sich die Bucht an, hier gibt es erfreulicherweise eine Menge Leute, die Ihre alten Rechner/Notebooks zerlegen und die Hardware verkaufen. Für 1 EUR bekommt man beinahe alles. Das erspart einem schnell mal eine 4-stellige Investition.

Zurück zum eigentlichen Problem: Den dubiosen Eintrag sortiere ich mal ein unter den unendlich vielen Fehlern von XP. Es gibt sogar ein MS-Tool zum hinfrickeln, nennt sich Autoplay Rapair. Gibt es auch für Win7 und 64-Bit Systeme. Also der Beweis schlechthin, dass ein Update auf Win7 keinen pos. Nährwert hat, ausser dass bei MS die Kasse klingelt und ich die nächsten Monate in Frickelei ersaufen werden. Habe mit dem Tool versucht, das Problem zu beheben, es wurde auch ein Problem erkannt (Bild 1) und behoben, der dubiose Eintrag ist jedoch weiterhin vorhanden. Ein erneuter Start des Tools brachte die Meldung, dass mein Problem nicht zu beheben sei Bild 2.

Hat noch jemand eine Idee?

Sigi

 

[mccs]

Was sagt den der Log aus Bild 2?

 

[gerli09]

Die Einträge in der Registrierung unter "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\AutoplayHandlers" hast du überprüft? Das war nämlich der eigentliche Zweck, warum ich den Link gepostet hatte. Mit irgendwelchen "Repair Tools" bin ich eher vorsichtig.

 

[Lokheizer]

Als ich noch Win98 nutze, hat man mich genau mit diesem Argument zu WinXP gedrängt. Irgendwann hatte ich alle meine Systeme auf WinXP umgerüstet (was mich viel Geld und sehr viel Zeit gekostet hatte), nun beginnt das Sauspiel wieder von vorne. Jedes neue System ist immer besser als das vorige, ich muss da nur an Vista denken. Ich habe keinen Bock auf ein neues zusammengefrickeltes Betriebssytem. Ich habe genug gefrickelt. Ob XP von MS abgekündigt wurde, ist mir so wurscht, wie in China ein Stuhl umfällt. Meine Maschinen sehen das ähnlich.

Dann sind deine Systeme anscheinend das größte Gefrickel an dieser Sache, meine Systeme kommen mit fast allen Betriebssystemen zurecht. S

 

[blafoo]

Da ich selber ein haufen Kunden habe die das Problem haben:

Ich hab Kunden bzw mit Kunden zu tun die sogar noch NT 3.5 u. NT4.0 im Einsatz haben weil sie nicht updaten KÖNNEN!

Der Hersteller der Software sagt: Hey gib uns 200-300.000€ dann schreiben wir dir die Maschinensteuerung / Messgerätsteuerung neu, dann kannst du XP nutzten! Mit ein wenig Glück 7.

Die Maschinen haben 3-4-5 Millionen gekostet und sind immer noch mehr als Ausreichend. Also entweder wieder 3-4-5 Millionen für neue Hardware (und sicher Win7 Kompatible) oder raten mit 200-300.000€.

Was macht der Kunde? Richtig! Zieht den Netzwerkstecker und alles ist gut (Die Software wird dann oft virtualisiert oder Hardware auf Lager gelegt.

Mein Papa setzt z.B eine Siemens SPS-Steuerung ein .. die Software dazu laeuft NUR unter XP .. und nur mit Netzwerk. Also startet bei jeder Sitzung ein sauberes XP-Image in einer virtuellen Umgebung welches sehr restriktiv beschnitten ist

Man kann, gerade im Maschinenumfeld, oftmals nicht umstellen.

Grüße

 

[Lokheizer]

Ich hab Kunden bzw mit Kunden zu tun die sogar noch NT 3.5 u. NT4.0 im Einsatz haben weil sie nicht updaten KÖNNEN!

Haben selbst Win3.11 auf einer Anlage, ich plane gerade die Virtualisierung des Systems.

Man kann, gerade im Maschinenumfeld, oftmals nicht umstellen.

Man kann alles, wenn man will. Wir leiden aber leider an demselben Problem: Gerät um eine Menge Geld gekauft, die Software stellt sich aber als komplett schwachsinnig heraus. Der Hersteller will aber ohne ein Vermögen zu sehen an der Software nichts machen, ein Herstellerwechsel geht nicht da es der einzige Hersteller für solche Geräte ist. Langsam keimt der Gedanke an eigener Softwareentwicklung neu auf....

Wenn es wirklich nicht geht - gnadenlos virtualisieren.

 

[gerli09]

Der Hersteller will aber ohne ein Vermögen zu sehen an der Software nichts machen,

Oder kann es auch nicht mehr, weil alle, die sich damit auskannten in Rente sind.

Das mit den Altlasten ist häufig. Ich kenne auch noch eine Maschinenbaufirma, die zur Maschinensteuerung Toughbooks mit DOS und Win98 betreibt. Denen habe ich aus der Bucht einen Stapel Toughbooks als Reservelaptops besorgt, falls mal eins ausfällt.

 

[Sigi]

Was sagt den der Log aus Bild 2?

Nichts gescheites, mein USB-Device würde die Autoplay-Funktion nicht unterstützen. Lächerlich. Die Meldung kommt bei allen! meinen USB-Sticks.

@gerli09:
> Die Einträge in der Registrierung unter "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Cur rentVersion\Explorer\AutoplayHandlers" hast du überprüft?
Habe da mal reingeschaut, da stand nichts, was irgendeine Ähnlichkeit mit meinem angezeigten Eintrag hat. Hat eigentlich schon mal jemand erfasst, wie viele Billionen/Trillionen Einträge sich in der Registry tummeln? Soll ich da als besserer Laie allen Ernstes rumfrickeln?

@Lokheizer:
> meine Systeme kommen mit fast allen Betriebssystemen zurecht
Wenn du mir einen guten 6-stelligen Eurobetrag durchreichst, wird es mir auch so gehen. Bist du bereit?

@blafoo:
> Ich hab Kunden bzw mit Kunden zu tun die sogar noch NT 3.5 u. NT4.0 im Einsatz haben
> weil sie nicht updaten KÖNNEN!
Das kommt noch erschwerend hinzu. Genau aus dem Grund habe ich hier auch noch einen 166er unter Win98 laufen (ebenfalls ohne Netzzugang und Virenscanner) und einen baugleichen Ersatzrechner im Keller. Für die Hardware bekomme ich heute nicht mal mehr 1 EUR, für mich ist sie Gold wert. Einzig ärgert mich der Platzbedarf, den könnte ich andersweitig gut gebrauchen. Ein Lieferant hat sogar noch ne Kiste noch unter DOS laufen, die steuert eine "alte" und sündhaft teure 3D-Messmaschine.

Deine weiteren Ausführungen treffen den Nagel auf den Kopf. Selbst wenn eine Modernisierung möglich ist, zieht das eine Menge Kosten nach sich, an die man zuerst gar nicht denkt. Das beginnt bei den Nachschulungen der Mitarbeiter uns endet dort, wo eine Maschine gecrasht wird, weil etwas nicht mehr (richtig) geht, oder weil etwas neues nicht eingerichtet wurde. Dann kostet die Reparatur der Maschine einen Batzen Geld, die Teile werden nicht fertig (darf ich dann teuer ausser Haus fertigen lassen) und mein Mann spielt solange Karten. Meine Begeisterung hält sich hier in engen Grenzen.

Sigi