Archiv DVD, CD, Brenner 21.675 Themen, 83.329 Beiträge

Verfolgung starten Optionen

Diskettenlaufwerk

A5iveMM / 19 Antworten / Baumansicht Nickles

Jedesmal, wenn man PC hochgefahren ist und ich ihn ganz normal laufen lassen dann passiert folgendes:



Bei einem rechtsklick mit der maus auf irgendeine Datei (für eigenschaften etc.) wird mein Disketten laufwerk abgefragt, also der PC überprüft jedesmal das Diskettenlaufwerk , bevor er dann das Rechtsklickmenü öffnet und das passiert auch wenn ich die datei öffnen will !


Das is nich normal, oder ?!


Beim Systemstart hab ich nichts außergewöhnliches in der Reistry drin, außer vielleicht meine Firewall und mein Antivirenprogramm. Das is es aber nicht hab ich schon getestet !



Was kann ich also tun, damit ich dieses Zugreifen irgendwie abstellen kann ???

HartwigT A5iveMM „Diskettenlaufwerk“
Optionen

War dein Virenprogramm auch restlos beendet?? Schau mal im Taskmanager nach. Einige Virenprogramme haben auch mehrer Tasks am laufen, sonst sag mal welches du hast.
Könnte auch die Indexerstellung von winXP sein, falls du WinXP installiert hast.

A5iveMM HartwigT „War dein Virenprogramm auch restlos beendet?? Schau mal im Taskmanager nach....“
Optionen

Hab Norton Antivirus 2004. Das Problem is früher aber auch nicht aufgetreten, dass is ja das komische ?!
Ja hab win Xp installiert, wie siehts denn da aus mit dem Index.
Weißt du da genaueres ??
Bin für jede Info dankbar

HartwigT A5iveMM „Hab Norton Antivirus 2004. Das Problem is früher aber auch nicht aufgetreten,...“
Optionen

Das wird wohl das Virenpogramm sein. Von anderer Quelle weiß ich, daß der zugriff aufs Diskettenlaufwerk seit Norton 2003 besteht.
Den Indexdienst kannst du unter Systemsteuerung/verwaltung/dienste deaktivieren. Der ist nicht für den normalen Windowsbetrieb erforderlich.
Guck mal in deinen Taskmanager, ob Norton da noch irgendwelche Prozesse drin läßt. Durch Das Programm werden nämlich mindestens 5 Prozesse im Taskmanager erzeugt.
Ich glaube dazu gehören Prozesse wie:
ccapp.exe
ccSetMgr.exe
navapsvc.exe
NPROTECT.EXE
SAVScan.exe
Beende die mal, falls vorhanden und guck mal, was dann passiert.
Wenn du sonst noch komische Prozesse am laufen hast, dann poste sie hier einfach mal.
Lösche übrigens auch mal deinen Dokumentenverlauf.

A5iveMM HartwigT „Das wird wohl das Virenpogramm sein. Von anderer Quelle weiß ich, daß der...“
Optionen

Also mein Indexdienst is deaktiviert.
ccapp.exe ->läuft
ccSetMgr.exe -> läuft
SAVScan.exe -> läuft
navapsvc.exe -> läuft

Hab alle bis auf Savscan deaktiviert, da sich savscan.exe nicht beenden lässt.

Wie lösche ich den dokumentenverlauf ?
verdammt nochmal irgendwas muß doch den Diskettenzugriff verursachen, aber was ?
ich glaube nämlich, dass das problem erst vor kurzem auftrat, und ich hab den Antivirus und die Firewall schon ne weile(

HartwigT A5iveMM „Also mein Indexdienst is deaktiviert. ccapp.exe - läuft ccSetMgr.exe - läuft...“
Optionen

Start/einstellungen/taskleiste und Startmenü/ dann Registerkarte Startmenü, dann auf anpassen und dann gibt es das dort irgendwo.
Welche Prozesse laufen denn bei dir sonst noch, außer Prozesse wie:
csrss.exe explorer.exe leerlaufprozess lsass.exe smss.exe svchost.exe oder ähnlich Systemprozesse.

A5iveMM HartwigT „Start/einstellungen/taskleiste und Startmenü/ dann Registerkarte Startmenü,...“
Optionen

Ok alle meine Threads bei normalen systemstart ohne irgendwelchen extraprogramme ! Nach Namen sortiert.

ccApp.exe
ccEvtMgr.exe
CCPXYSVC.exe
ccSetMgr.exe
csrss.exe
ctfmon.exe
explorer.exe
IEXPLORE.exe
Leerlaufprozess
LEXBCES.exe
LEXPPS.exe
lsass.exe
lxbbbmgr.exe
lxbbbmon.exe
NAVAPSVC.exe
NISUM.exe
nvsvc32.exe
Packeth.exe
rundll32.exe
SAVSCAN.exe
services.exe
smss.exe
sointgr.exe
spoolsv.exe
svchost.exe
svchost.exe
svchost.exe
svchost.exe
svchost.exe
System
taskmgr.exe
waol.exe
winlogon.exe

So das wären alle. taskmgr.exe und waol.exe sind an, weil ich logischer weise gerade im internet bin.

HartwigT A5iveMM „Ok alle meine Threads bei normalen systemstart ohne irgendwelchen extraprogramme...“
Optionen

Fahre mal dein Virenprogramm und die Firewall runter. Dann beende falls vorhanden noch folgende Prozesse:
ccApp.exe
ccEvtMgr.exe
CCPXYSVC.exe
ccSetMgr.exe
ctfmon.exe
NAVAPSVC.exe
NISUM.exe
SAVSCAN.exe

Packeth.exe ist mir leider nicht bekannt. (Sonst auch beenden)
Läuft Staroffice bewußt im hintergrund?? Sonst beende das mal (sointgr.exe)

Folgende gehören zum Drucker.
LEXBCES.exe
LEXPPS.exe
lxbbbmgr.exe
lxbbbmon.exe
hat sich da was geändert?? Sonst auch mal beenden.
Falls du den einen Prozess von norton nicht beenden kannst, dann beende mal vorrübergehen den Dienst von Norton.
Weißt du wo du den findest?? In der Systemsteuerung unter Verwaltung und dann unter Dienste. Allerdings nur beenden! nicht deaktivieren, sonst wird der beim nächsten enustart nicht mehr geladen.

Ich hoffe mal, das sich die ursache eingrenzen läßt.
Viel glück.

A5iveMM HartwigT „Fahre mal dein Virenprogramm und die Firewall runter. Dann beende falls...“
Optionen

Also hab alle Dienste, die mit der Firewall und mit dem Antivirus zu tun haben deaktiviert und die von dir ausgewählten Prozesse beendet. Aber die verdammte Diskettenabfrage kommt immer noch.
Kann es ein Makro sein ?

HartwigT A5iveMM „Also hab alle Dienste, die mit der Firewall und mit dem Antivirus zu tun haben...“
Optionen

Meinst du ein Macrovirus??
Das Problem bei weit verbreiteten Antiviren Programmen ist ja häufig, das die Viren zum Teil so geschrieben wurden um diese Programme zu umgehen. Also ist der Schutz nicht immer gegeben.
Lade dir mal das Programm hijackthis runter und geh dort auf Config und dann auf Misc Tools und dann auf Generate Startuplist log.
Dann wird eine Textdatei erzeugt in der Die Pfade zu den aktuellen Prozessen stehen und einige informationen über Programme, die beim Start geladen werden. Vielelcith fällt dir dort etwas komisches bei auf.

A5iveMM HartwigT „Meinst du ein Macrovirus?? Das Problem bei weit verbreiteten Antiviren...“
Optionen

Also bin jetz mal auf nummer sicher gegegangen und hab im abgesicherten modus gestartet und das problem besteht immer noch.
Das is die liste der im abgesicherten Modus laufenden Prozesse.
taskmgr.exe
explorer.exe
svchost.exe
svchost.exe
lsass.exe
services.exe
winlogon.exe
csrss.exe
smss.exe
System
Leerlaufprozess

vielleicht isses eine *.dll datei die im svchost.exe beim systemstart geladen wird ?
das kann doch nich wahr sein :-(

HartwigT A5iveMM „Diskettenlaufwerk“
Optionen

Also von den Prozessen schein es wohl nichts zu sein.
Wie sieht es mit anderen Programmen aus, die sich z.B. ins Kontextmenü der rechten maustaste eingetragen haben?? Hat sich da was geändert??
Gucke mal deine Dienste durch. (Systemsteuerung/verwaltung/dienste)
Lasse sie nach Status sortieren. Dann siehst du alle gestarteten. Guck die mal durch, ob das was bei ist, was du nicht benötigst (idr fast alles) und beende es. Wenn du bei einem Dienst auf Eigenschaften gehst, dann siehst du auch den Pfad dazu. Dort findest du auch die Dienste, die auf der svchost.exe aufbauen.
Irgendwie muß es ja gehen...

HartwigT Nachtrag zu: „Also von den Prozessen schein es wohl nichts zu sein. Wie sieht es mit anderen...“
Optionen

Eine Idee hätte ich doch nocht. Unter umständen könnte es auch mit der Autorun Funktion zusammenhängen. Starte mal regedit und gehe zu folgendem Schlüssel:
HKEY_CURRENT_USER / Software / Microsoft / Windows / CurrentVersion / Policies / Explorer
Und dann zu dem Wert NoDriveTypeAutoRun
Falls der nicht existiert, dann lege einen neuen Binärwert mit diesem Namen an.
Als wert trage mal 95 00 00 00 ein. (Könnte eventuell auch 9d 00 00 00 sein.) Merke dir jedoch den alten Wert, damit du ihn bei bedarf wieder zurückstellen kannst.
Dann starte den Rechner neu und gucke mal, was passiert. Beende sonst auch noch dein Virenprogramm.

A5iveMM HartwigT „Eine Idee hätte ich doch nocht. Unter umständen könnte es auch mit der...“
Optionen

Also habs probiert hat aber keine Auswirkung gezeigt !! (leider)
Also ich vermute mal das es irgendein Windowsprozess ist, da selbst im Abgesicherten Modus das Problem auftrit. Da dort nur ca. 5 dienste laufen kann ich mir nicht vorstellen, dass es es irgendein Dienst is (kann ich aber noch mal testen). Hab jetz malö mit HIJACKThIS mal ne startlist erstellt, kommt mir aber nichts ungewöhnlich vor.
:) Ich weiß is viel, aber hier is die startliste :)

Running processes:

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\WINDOWS\Explorer.EXE
F:\Hauptordner\Firewall\NISUM.EXE
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\System32\RunDll32.exe
C:\Programme\Lexmark X74-X75\lxbbbmgr.exe
F:\Office5.0\SOINTGR.EXE
C:\Programme\Lexmark X74-X75\lxbbbmon.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\LEXPPS.EXE
C:\WINDOWS\System32\ctfmon.exe
C:\WINDOWS\System32\PackethSvc.exe
F:\Hauptordner\Firewall\ccPxySvc.exe
F:\Hauptordner\Antivirus\navapsvc.exe
C:\WINDOWS\System32\nvsvc32.exe
F:\Hauptordner\Antivirus\SAVScan.exe
C:\WINDOWS\System32\svchost.exe
F:\Hauptordner\Winamp3\Studio.exe
F:\AOL 6.0\waol.exe
C:\Programme\Internet Explorer\iexplore.exe
G:\HijackThis\HijackThis.exe

--------------------------------------------------

Listing of startup folders:

Shell folders Common Startup:
[C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart]
AOL 6.0 Tray-Symbol.lnk = F:\AOL 6.0\aoltray.exe

--------------------------------------------------

Checking Windows NT UserInit:

[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
UserInit = C:\WINDOWS\system32\userinit.exe,

--------------------------------------------------

Autorun entries from Registry:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run

Cmaudio = RunDll32 cmicnfg.cpl,CMICtrlWnd
Lexmark X74-X75 = "C:\Programme\Lexmark X74-X75\lxbbbmgr.exe"
SO5 Integrator Pass Two = F:\Office5.0\SOINTGR.EXE
nwiz = nwiz.exe /install
ccApp = "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
ccRegVfy = C:\Programme\Gemeinsame Dateien\Symantec Shared\ccRegVfy.exe
NeroCheck = C:\WINDOWS\system32\NeroCheck.exe

--------------------------------------------------

Autorun entries from Registry:
HKCU\Software\Microsoft\Windows\CurrentVersion\Run

CTFMON.EXE = C:\WINDOWS\System32\ctfmon.exe

--------------------------------------------------

Shell & screensaver key from C:\WINDOWS\SYSTEM.INI:

Shell=*INI section not found*
SCRNSAVE.EXE=*INI section not found*
drivers=*INI section not found*

Shell & screensaver key from Registry:

Shell=Explorer.exe
SCRNSAVE.EXE=C:\WINDOWS\System32\MATRIX~1.SCR
drivers=*Registry value not found*

Policies Shell key:

HKCU\..\Policies: Shell=*Registry key not found*
HKLM\..\Policies: Shell=*Registry value not found*

--------------------------------------------------


Enumerating Browser Helper Objects:

(no name) - C:\WINDOWS\bxxs5.dll (file missing) - {0019C3E2-DD48-4A6D-ABCD-8D32436323D9}
(no name) - F:\Hauptordner\Acrobat Reader\Acrobat Reader6.0\Reader\ActiveX\AcroIEHelper.dll - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}
(no name) - C:\WINDOWS\System32\Winad2.dll - {53D3C442-8FEE-4784-9A21-6297D39613F0}
NAV Helper - F:\Hauptordner\Antivirus\NavShExt.dll - {BDF3E430-B101-42AD-A544-FADC6B084872}

--------------------------------------------------

Enumerating Task Scheduler jobs:

Norton AntiVirus - Meinen Computer prüfen - Asgard.job
Symantec NetDetect.job

--------------------------------------------------

Enumerating Download Program Files:

[{52290B25-D07A-43B5-84D8-493116D50FA0}]
CODEBASE = http://webinstall.tscash.com/webinstall.cab

--------------------------------------------------

Enumerating ShellServiceObjectDelayLoad items:

PostBootReminder: C:\WINDOWS\system32\SHELL32.dll
CDBurn: C:\WINDOWS\system32\SHELL32.dll
WebCheck: C:\WINDOWS\System32\webcheck.dll
SysTray: C:\WINDOWS\System32\stobject.dll

--------------------------------------------------
End of report, 4.878 bytes
Report generated in 0,070 seconds

Command line options:
/verbose - to add additional info on each section
/complete - to include empty sections and unsuspicious data
/full - to include several rarely-important sections
/force9x - to include Win9x-only startups even if running on WinNT
/forcent - to include WinNT-only startups even if running on Win9x
/forceall - to include all Win9x and WinNT startups, regardless of platform
/history - to list version history only

HartwigT A5iveMM „Also habs probiert hat aber keine Auswirkung gezeigt !! leider Also ich vermute...“
Optionen

Kann da nichts außergewöhnliches entdecken.
Lade dir mal Filemon von Sysinternals runter. Zu finden unter Utilities. In dem Programm wähl du unter Volumes zuerst No Volumes und dann nur dein Diskettenlaufwerk aus.
Beim Starten des Programms kann eine Fragen nach zu filternden Prozessen kommen. Dort trägs du unter Include Process ein * (Sternchen) ein.
Ich kenn mich mit dem Programm auch noch nicht sehr gut aus. Aber wenn dann neue einträge erscheinen, dann kannst du genau identifizieren, von welchem Prozess die ausgegangen sind.

    --:: Wer Datensicherung macht ist feige ::--
A5iveMM HartwigT „Kann da nichts außergewöhnliches entdecken. Lade dir mal Filemon von...“
Optionen

Also hab das programm gesaugt und du hattest recht, ich glaube wir haben das problem entlich dingfest gemacht.
Also folgendes ist passiert:
Beim rechtsklicken und beim öffnen meherer verschiedenen Dateien sucht der explorer.exe immer nach folgender datei im Laufwerk A:
"CYPRESS 2.doc"
Hab mal so eine Datei erstellt, war eine Textdatei die ich zum ausdrucken auf Diskette kopiert habe.
Hab keine Ahnung wrum der Explorer darauf zugreift, aber bin schon mal heilfroh, dass ich jetz weiß was dieser Drecksack hat :)
Muss nur noch rauskriegen, wie man den Zugriff unterbindet.
Ich werde dass Verfahren mit Filmon mal im Abgesicherten machen.

A5iveMM Nachtrag zu: „Also hab das programm gesaugt und du hattest recht, ich glaube wir haben das...“
Optionen

Also, hab das Problem endlich gefunden. Ich hab mal cypress 2.doc in der Regedit gesucht und da war auch der Hund begraben, denn unter folgender Adresse hab ich was gefunden:Regedit/HKEY_USERS/S-1-5-21-1220945662-854245398-839522115-1003/Software/Classes/Applications/cypress 2.doc/shell/open/command/ "hier Binärwert, der den Zugriff verursachte"

hab den Binärwert gelöscht und siehe da, das Problem war behoben !!!
Im ordner Applications sind noch folgende Ordner: cypress 2.doc, Editor.exe und PowerDVD.lnk.
So jetz war ja in cypress 2.doc, der verantwortliche Binärwert, nun sind in den anderen beiden Ordnern ebenfalls Binärwerte ("C:\Editor.exe" "%1" ; "C:\Dokumente und Einstellungen\Asgard\Desktop\PowerDVD.lnk" %1) was drücken die den aus und kann ich die ebenfalls löschen ??

HartwigT A5iveMM „Also, hab das Problem endlich gefunden. Ich hab mal cypress 2.doc in der Regedit...“
Optionen

Da muß ich leider passen. Über die Bedeutung bin ich mir nicht ganz im klaren. Existiert bei dir denn die Datei "c:\editor.exe"??
Wenn die nicht existiert, dann kann es normalerweise keine weitere Bedeutung haben. Das PowerDVD.lnk verweist ohnehin nur auf eine verknüpfung.
Bei mir ist die nummer in der Adress anders, da sie wohl systemabhängig ist. Allerdings die dort bei mir aufgeführen Programme sind alles Programme, die ich nicht installieren mußte (installation war nicht erforderlich) und mit einem Dateityp verknüpft habe.
Aber wie gesagt, mit dem Pfad der Registry bin ich nicht vertraut und deshalb kann ich hierzu keine Empfehlung geben.

...hauptsache die Ursache ist erst einmal beseitig.
Weiterhin noch viel Spaß...
Gruß
Hartwig


    --:: Wer Datensicherung macht ist feige ::--
A5iveMM HartwigT „Da muß ich leider passen. Über die Bedeutung bin ich mir nicht ganz im klaren....“
Optionen

Alles klar ...
Endlich isses geschafft, dank deiner Hilfe !!!
Na dann, vielleicht trifft man sich nochmal in einem anderen Thema :)

HartwigT A5iveMM „Also hab das programm gesaugt und du hattest recht, ich glaube wir haben das...“
Optionen

na dann bekommen wir es jetzt auch hin...!
Starte mal Regedit und suche nach cypress2.doc
Aktiviere hierzu die Kästchen Schlüssel, Werte und Daten.
Mit F3 kannst du immer weitersuchen. Wirst warscheinlich mehrere Einträge finden. Guck mal, ob du anhand des Pfades die Einträge dem Explorer zuordnen kannst. Es ist warscheinlich eine Art Historyeintrag. Dann sichere (exportieren) den/die entsprechenden Schlüssel und lösche ihn/sie.
Falls du dir nicht ganz sicher bist, ob man den löschen darf, dann nenne hier den Pfad und ich guck mir das mal an.
Die sicherungen der zu löschenden Einträge ist wichtig, damit du die bei bedarf wieder hinzufügen kannst.


    --:: Wer Datensicherung macht ist feige ::--