Gibts Malware die Dateien zerlegt?

[M3ikl]

Hallo,

 

ich hab seit heute Mittag ein Problem mit meinem PC wo selbst ich ratlos bin. Was mich wundert: Viele Sympthome hatte ich bei meinem neuen PC auch, wo ich auf einen Hardwarefehler tippte. Doch ich habe langsam den Eindruck, dass die Probleme softwareseitig verursacht werden. Da bleibt aber die Frage ob es irgend eine Malware gibt, die bestimmte Anwendungen und DLL-Dateien so zerrupft dass ich mit chkdsk haufenweise Fehler finde.

Also was heute alles abging:

Ich war gerade am World of Warcraft spielen, da flieg ich ausm Spiel und das Fehlerfenster zeigt mir an "file corrupt: model.mpq" - die Datei is also im Eimer.

Ich hab die Kiste dann erstma stehen lassen und wollte mich heute Abend drum kümmern, aber dann kam die Odysse:

Es fing damit an, dass Norton Antivirus 2005 keine aktuellen Definitionen holen konnte, das lag aber wohl daran dass das Abo vor kurzem abgelaufen war.

Da das System übel langsam war hab ich mich fürn Neustart entschieden.

Nach dem Neustart hat sich nicht viel geändert, das System is im Schneckentempo hochgefahren. Selbst Minuten nach dem Start kam noch was zum Vorschein was im Autostart lag.

Das System ist mir mehrmals abgekackt und ich dachte ich hau erstmal den Norton runter und mach den Antivir drauf.

Bei den Abstürzen gabs u.a. folgende Fehler:

Mehrere STOP-Fehler, u.a. war einmal eine Datei namens SAVRT.SYS dabei.

Dann hatte ich noch einen MULTIPLE_IRP_COMPLETE_REQUESTS und einen BAD_POOL_CALLER. Der Witz dabei is, dass ich mich net mal erinnern kann OB der PC überhaupt schonmal 'nen Bluescreen hatte, der is immer sauber gelaufen...

Gerade hatte ich PAGE_FAULT_IN_NONPAGED_AREA - ich hab bald den Eindruck Windows probiert mal alle Bluescreens durch...

Zwischen den Abstürzen hab ich natürlich auch paar andere Sachen probiert, z.B. nen Systemscan zu machen mit Antivir, aber das frisch installierte Antivir hat sich beschwert dass die exe Datei beschädigt oder zerstört is...

Dann fragt mich Zonealarm als ich online gehen will um Antivir nochmal runterzuladen ob firefox online gehen darf, weil im Zonealarm sämtliche Einstellungen weg sind, alles steht auf ask. Nach einem der Abstürze hat sich Zonealarm dann beschwert dass vsmon.exe beschädigt ist.

Ach und ein Phänomän hatte ich noch:

Etwa im 5-Sekunden-Takt hat Windows den Explorer gekillt und wieder gestartet. Denn ständig sind die Desktop-Symbole inkl. Taskleiste verschwunden und gleich wieder aufgetaucht.

Übrigens konnte man im Taskmanager nix feststellen, kein ungewöhnliches Programm was irgendwie Resourcen beansprucht hat.

Der Antivir den ich nach den Problemen heruntergeladen hatte war übrigens von Anfang an beschädigt, also der Download selbst.

Und der Download von Zonealarm, den ich bereits auf einem anderen PC installiert habe (wo die Setup-Datei also in Ordnung ist) hat sich beschwert er könne nicht auf eine DLL-Datei im Temp-Verzeichnis zugreifen, die er beim Setup wohl erstellt.

Ich bin etwas ratlos was die Ursache für das Problem sein könnte.

Wenns ein Wurm oder Malware war hätt ich auf Nyxem.e getippt, aber der schlägt ja am 3. zu.

Hat wer von euch noch Vorschläge was die Ursache für das Problem sein kann?

 

Gruß, M3ikl

[Stefan]

Ich gehe davon aus dass du nichts ungewöhnliches installiert (Hardware/Software) hast unmittelbar bevor das Prob auftrat.

 

Das ganze hört sich für mich nach einem Speicherfehler an. Hohl dir mal von der Homepage deiner Festplattenhersteller div. Diagnosetools.

Zudem mal sämtlichen Arbeitsspeicher ausbauen und EINEN anderen Riegel rein, da mir für den RAM keine verlässlichen Diagnosetools bekannt sind, das aber am besten VOR der Festplattendiagnose.

[cabbiman]

lass mich raten: beim hochfahren meldet checkdisk ständig, dass der index der datei in $i30 gelöscht wurde???

hatte ich auch ständig... hab win diverse male neu installt... und was weiss ich für verrenkungen gemacht. es ist wohl nen fehler, der in den alternativen datenströmen oder dem mtf (wars mft?!?) steckt, den chkdisk ned findet...

leider hat alles nix geholfen, bis ich gestern harte geschütze aufgefahren habe:

mit dem dos-tool hdtool (oder so ähnlich) die komplette festplatte low-level formartiert (ist für moderne festplatten nedmehr schädlich... bei den dingern bis 6 gb oder so konnte es mal die platte killen; dauert allerdings stunden, weil unter dos kein dma zugriff möglich ist --> nur pio --> 3,6mb/s), dann mit partitionmagic erstmal ne fat partition erstellt... diese logisch mit 0en überschrieben... wieder gelöscht und ne ntfs partion erstellt und erst dann wieder win installt --> läuft bisher fehlerfrei

 

gruß cabbiman

 

edit: knoppix mit dem parameter

knoppix memtest

booten... und nen paar stunden laufen lassen... wenns nach 3-4h keinen fehler gibt kannste relativ sicher sein, dass alles im grünen ist mitm ram

[M3ikl]

Hi,

 

es gab keinerlei Hardware- oder Softwareänderung als der Ärger losging, sonst hätte ich da als erstes gesucht.

chkdsk beschwert sich beim Start nicht, aber ich lass es durchlaufen wenn sich ein Programm beschwert da ich da 'nen Fehler vermute.

Ich hatte bis zu dem Vorfall heute keinen Grund chkdsk auszuführen, und deshalb war die Liste an korrigierten Fehlern enorm lang. Er hat haufenweise Indizes aus irgendwelchen Dateien entfernt, da war auch irgendwas mit $ und 'ner Nummer.

Ich lass es jetzt im Moment nochmal durchlaufen, aber bis jetzt (Anfang Phase 4) hat er noch nix gefunden.

Übrigens hängt die Kiste jetzt auch öfters wenn ich versuche abgesichert zu starten. Nach der Auswahl wie ich booten will bleibt der Cursor stehen und die Festplatte arbeitet wie wild, aber es geht auch Minuten später noch net weiter.

Formatieren geht jetzt im Moment auch net, die Festplatte is eine ziemlich volle 60 GB HDD wo ich noch paar Daten von brauche und keinen Platz hab die jetzt auszulagern.

Edit: Heute Mittag habe ich noch eine Mail bekommen die einen Wurm im Anhang hatte. Laut Quarantäneliste (weil nicht löschbar) wars ein Bloodhound.Beagle, aber da er ja in Quarantäne gelandet ist dürfte er keinen Schaden angerichtet haben. Hätte der überhaupt so einen schaden anrichten können? Kann ich mir selber nicht wirklich vorstellen.

 

Edit:

chkdsk hat ein paar Fehler gefunden.

Fehlerhafte Cluster in der Datei xxx (beliebige Nummer) mit namen \System~1\_resto~1\rpxxx\Snapshot\_Rxxx~1 wurden ersetzt

 

Gibt noch ein paar andere Meldungen, aber die meisten sehen so aus.

 

Gruß, M3ikl

[Stefan]

genau das selbe prob hatte ich eigentlich auch, bei jedem starten findet chkdisk andere fehler und verschlimmbessert meine dateien. dachte erst die platten sind es, war aber dann doch der ram.

mein tipp, mach umbedingt sicherheitskopien und check den ram, bei mir konnt ich nach einer woche nurnoch die platte formatieren, eigentlich nix mehr inordnung war. auch die cl-rate/taktung/die ganzen bios dingens halt überprüfen

 

P.S.: Bagle

[M3ikl]

Ich hab irgendwie Zweifel dass es am RAM liegt.

Ich hatte ja ziemlich die gleichen Fehler (bis auf die Blue Screens) auf meinem neueren PC, und da hab ich so einiges probiert: SATA-HDD, IDE-HDD, RAM getauscht, CPU getauscht - und es ging nicht weg!

Darum glaub ich ja dass irgend eine Malware für das Chaos verantwortlich is.

 

Gruß, M3ikl

[M3ikl]

Hi,

 

neues von der Front:

Das System kackt bereits ab wenn ichs nur am Anmeldebildschirm stehen lasse, wo also noch net mal was ausm Autostart des Benutzers geladen wurde.

Und im abgesicherten Modus läuft die Kiste eigentlich ganz ordentlich.

Und jetzt kommt was ganz heftiges:

Wenn ich Windows normal hochfahre kann ich KEIN cmd ausführen und auch KEINE BATCHDATEIEN! Da kommt nur ganz kurz das Fenster der Eingabeaufforderung, aber genauso schnell isses wieder zu. Mit Command gehts zwar, aber es interessiert die Kiste nicht die Bohne was ich eingebe, ich kann tippen was ich will und nach dem eingeben kommt das Prompt wieder als hätt ich nix getippt, also nix von wegen Fehler, nicht gefunden oda sonstwas.

Und im abgesicherten Modus gehts *grübel*

Doch ein Software-Problem?

Ach ja: Ich hab mir ausm Geschäft 'ne annere HDD geborgt. Ich spiegel das System nachher mal und plätte es dann, um zu schauen obs besser läuft wenn ich das Zeug neu draufmach.

 

Gruß, M3ikl

[M3ikl]

Hi,

 

so ich hab jetz noch ein bisschen getestet.

Ich hab den PC jetz im abgesicherten Modus laufen lassen und er is nicht abgeschmiert.

Jetz hab ich ihn gerade neu gestartet um 'ne Bootdisk von Norton Ghost zu machen um meine HDD zu spiegeln. Jetzt hat zwar die cmd.exe wieder funktioniert (warum auch immer), dafür funktioniert das Image von Ghost (welches ich vorher schonmal benutzt habe) desto weniger...

Und das Problem mit den Explorer Neustarts (Taskleiste und Icons kommen und gehen) war gerade auch wieder da, und einige DLL-Dateien wurden gerade auch nicht gefunden, u.a. die GDI32.dll...

Aber jetz funktioniert das wieder. Ich dreh noch durch mit dem Problem...

Mal gucken ob die Neuinstallation wirklich hilft.

Edit:

Gerade in diesem Augenblick habe ich nen Bluescreen: PAGE_FAULT_IN_NONPAGED_AREA - er kam in dem Moment wo ich aufs Image vom Ghost geklickt habe ums auf die Diskette zu machen.

Komisch das ganze...

 

 

Gruß, M3ikl

[cabbiman]

zieh dir knoppix und machs vom live system aus

[M3ikl]

Hi,

 

ich bin jetz wieder ein Stück weiter.

Ich hab heut endlich das Austauschboard meines neuen PC bekommen und der läuft jetzt sauber.

Ich hab ja vorhin versucht die alte Platte zu spiegeln: Ghost hat dabei eine Inkonsistenz festgestellt und abgebrochen. Dabei is mir aufgefallen dass die Platte ein ziemlich lautes Laufgeräusch hat. Die is wohl am Ende ihres Lebenszyklus.

Das heisst also: Rein ins System, Daten auf neue Platte rüber soweits geht und ab dafür.

Das wird wohl auch das Problem des Systems gewesen sein.

 

Gruß, M3ikl

[cabbiman]

fürs überspielen kannste ma auf http://www.heise.de unter software gugge... die haben nen programm, dass erstmal alle lesbaren daten ausliest und dann auf die fehlerstellen losgeht --> mehr chancen viele bzw evlt alle daten zu sichern, bevor die fp komplett abraucht

 

gruß cabbiman