Sshnas21.dll konnt nicht gefunden werden (Achtung Trojaner)

sysWOW64 gibt es nur unter 64-Bit-Systemen...

Nein
Ich woltle dich nur darauf hinweisen, dass der sysWOW64 ordner unter einem 32Bit-Windows immer noch system32 heißt

naja, jedenfalls ist der Ordner Vista bzw. 64Bit-spezifisch.
Jedenfalls kann ich von Vista64 mit Sicherheit sagen, dass es ihn da gibt.
Bei WinXP64 und Vista32 bin ich mir allerdings nicht sicher...

Hi,

wie man ihn "bemerkt"? Mit dieser Meldung sagt er doch quasi Bescheid, oder?
;)


Aber auch hier nochmal der Hinweis: http://de.wikipedia.org/wiki/Technische_K ...


mfg
kowa

Hi !


Du bist hier im Administrator Forum. Bei einem sorgfältig arbeitenden Administrator gibt es für die User keine Schreibrechte auf die Windows-Systemordner und auch keine Schreibrechte auf die Autostart oder Run Registry-Keys.

Solche Trojaner tauchen normalerweise immer nur bei Usern auf, die mit Adminrechten unterwegs sind oder (und) die Systeme (vor allem die Browser) ungepatcht sind. Bei einer ordentlichen Administration gibt es für die User aber keine Adminrechte also folglich auch keine Trojaner, zumindest wenn man die Systeme aktuell hält und den Usern auch noch etwas BRAIN.EXE verordnet...Sorry aber wer heute noch einen PC mit Adminrechten versieht und damit im Internet surft, handelt fahrlässig und muss sich dann nicht wundern, wenn ihm das Bankkonto leergeräumt wird. Da ist ein leeres Systemverzeichnis eher die harmlose Variante.

Ich will dich jetzt nicht herunter putzen aber viel wichtiger als die Entfernung von Trojanern ist die Absicherung der Systeme, so dass es gar nicht erst zu einer Infektion kommen kann....

mrtux

Hi

Wie ich sehe ist das ein trojaner der nicht gerade gut ist. Du musst dir immer im klaren sein das richtig gut geschribene Trojaner fast nicht erkannt werden können.
Also ich meine solche mit Rootkit techniken. Da hilft dir auch (netstat -an -b) nichts oder ein blick in den taskmanager. nicht mal die Files sind zu finden.
Das sind solche die sich als Treiber in dein Sys einklinken. etc.


lowbyte

Hi

Ich denke das der Trojaner sich die Api call's unter den Nagel reisst, anhand Hooking. etc.

Ja was macht wohl der Befehl netstat -an -b ?

Zeigt Protokollstatistiken und aktuelle TCP/IP-Netzwerkverbindungen an.

NETSTAT [-a] [-b] [-e] [-n] [-o] [-p Protokoll] [-r] [-s] [-v] [Intervall]

-a Zeigt alle Verbindungen und abhörenden Ports an.
-b Zeigt die ausführbare Datei an, die beim Erstellen jeder
Verbindung bzw. jedes abhörenden Ports involviert ist. In
einigen Fällen enthalten bekannte ausführbare Dateien mehrere
unabhängige Komponenten. Dann wird die Reihenfolge der
Komponenten angezeigt, die beim Erstellen der Verbindung oder
des abhörenden Ports involviert sind. In diesem Fall befindet
sich der Name der ausführbaren Datei unten in []. Oben
befindet sich die aufgerufene Komponente usw., bis TCP/IP
erreicht wurde. Bedenken Sie, dass diese Option viel Zeit in
Anspruch nehmen kann und fehlschlägt, wenn Sie nicht über
ausreichende Berechtigungen verfügen.
-e Zeigt die Ethernet-Statistik an. Kann mit der Option -s
kombiniert werden.
-n Zeigt Adressen und Portnummern numerisch an.
-o Zeigt die mit jeder Verbindung verknüpfte, übergeordnete
Prozesskennung an.
-p Protokoll Zeigt Verbindungen für das angegebene Protokoll an.
Protokoll kann sein: TCP, UDP, TCPv6 oder UDPv6.
Bei Verwendung mit der Option -s kann Protokoll Folgendes
Sein: IP, IPv6, ICMP, ICMPv6, TCP, TCPv6, UDP oder UDPv6.
-r Zeigt den Inhalt der Routingtabelle an.
-s Zeigt die Statistik protokollweise an. Standardmäßig werden
IP, IPv6, ICMP, ICMPv6, TCP, TCPv6, UDP und UDPv6 angezeigt.
Mit der Option -p können Sie dies weiter einschränken
-v In Verbindung mit -b wird die Reihenfolge der Komponenten
angezeigt, die beim Erstellen der Verbindung oder des
abhörenden Ports für alle ausführbaren Dateien involviert
sind.
Intervall Zeigt die gewählte Statistik nach der mit Intervall angege-
benen Anzahl von Sekunden erneut an. Drücken Sie STRG+C zum
Beenden der Intervallanzeige. Ohne Intervallangabe werden
die aktuellen Konfigurationsinformationen einmalig
angezeigt.


über AV Programme könnte ich ein ganzes Buch schreiben.
Avira ist nicht das gelbe vom Ei.
Als erstens kann so eine AV Programm die Malware via Signatur erkennen. Als zweitens die heuristische analyse. Systemverhalten ,Programmverhalten etc. die von den meisten AV Programme sehr schlecht implementiert sind. Zu viele
false / positive erkennungen. Das anderes Problem ist die desinfizierung vom System. Kein AV Programm kann alle Malware desinfizieren, vorallem wen Systemdateien infiziert sind. Wen du von einem Rootkit befallen bist rate ich dier eine Neuinstallation. Ausser du kennst dich mit der Programmierung aus, kennst zahlreiche Analyseverfahren, kennst dich mit Rootkit techniken - Hooking techniken -Netzwerk - Viren -Würmer und vorallem über dein System System bescheid. Vorallem Architektur - Designe von deinem Sys etc. (Reverse-engineering). Dan kannst du ein Rootkit besiegen.
Verschlüssle deine Dateien die dir wichtig sind mit Programmen wie Truecyrpt etc. die open source sind.

AV Programme empfehle ich Kaspersky - G-Data - Trent micro. besonders eine vom AV Program unabhängige Firewall. Nochbesser du legst dir eine Hardware Firewall zu. Wie 3com oder Cisco.
Zum anderen giebt es gute alternativ scanner wie Sbybot ,Malwarebytes ,A2 Squared etc. die zusätzliche erkennungenbringen.
Oeffne keine Ports wen du das nicht brauchst. Zum bsp. unter Windows ist die Datei und Druckerfreigabe (SMB Protokoll) ein riesen einfallstor.
Halte immer Browser - System auf dem neusten stand so wie Adobe für pdf, und flashplayer. (Da diese momentan die grösste angriffsfläche bieten).
Könnte Stundenlang weiter machen...

Schlusswort: Sicherheit alleine ist kein Programm, sicherheit ist ein ständiger Prozess.


lowbyte

du solltest generell auf Anwendungen achten, die dir nicht bekannt sind, bzw. von denen du dir nicht absolut sicher bist, wozu sie gehören!
Das setzt natürlich vorraus, dass du genau weißt, was auf deinem System läuft, laufen darf und was nicht!

Gruß
Snow

Wozu erinnern? Ich kann ja lesen
Allerdings noch ein Tipp am Rande:
Achte auf deine Rechtschreibung, denn Sätze wie

und
sind nicht gerade schön zu lesen...

hi

Bevor du dich mit Viren (Malware) beschäftigst solltest du eben zuerst alles andere kennen, was ich oben geschriben habe, sonst verstehst du überhaubt nichts!! Und das wird ca. 10 jahre dauern. Bis dan mal


cya lowbyte

Hi

Das ist überhaupt nicht gegen dich. Doch man sollte zuerst mal ne Scriptsprache können wie vbs oder batch oder vielleicht sogar js.
Du als Windows user solltest vieleicht mal mit batch anfangen. Befehle automatisieren, ein bisschen spielen mit der cmd usw. Danach später vieleicht sogar kleine batch Programme schreiben.
Später wen du mal mehr machen möchtest kommst du kaum um eine Sprache wie C - C++ - Java oder sonnst was. Zum bsp. wen du dich mal mit Sicherheitslücken beschäftigen wirst, kommst du nicht um Assembler herum. Da du auch verstehen musst wass ein Prozessor so macht. etc.
C ist zbsp. meine Sprache, sehr schnell, sehr harware nahe ,da ich auf Bit ebene arbeiten kann etc. Und weil die ganze System Programmierung in C ist oder zumindest zu grössten teil.
Bei Windows XP ist der Code zu 80% aus C - Code. ein bischen C++ und der rest Assembler. Die ganze WINAPI (application programming interface) ist in C gehalten. Linux Unix daselbe.
Solltest Bücher anschafen.. über Programmierung (Systemprogrammierung),Betriebsysteme ,Netzwerkprogrammierung ,Kryptographie etc.
Wen du das alles im griff hast dan kannst du dich Beschäftigen mit (Malware). Ansonsten wirst du kaum was verstehen über dieses komplexe Thema oder was mit dem zusammenhängt. Geschweige den mal so etwas realisieren zu können. Vorallem wirst du dan sicher nicht mehr ein Windows System nutzen. Und die eigenschaften eines Linux Kernel's (System) zu schätzen wissen.
Wen ich dir di lust auf dein PC genommen habe dan solltest du jetzt schnell ein anderen Zeitvertreib suchen, ansonnsten musst du einfach lehrnen. Man fängt immer klein an !


lowbyte


nachtrag: Netstat ist ein Befehlszeilen Programm das sich unter Windows in "C:\windows\system32\" befindet. So wie viele kleine andere Network tools wie Ping , tracert ,nbtstat etc.

Hi


Ein anfang ja. Doch wen du dich mehr mit Network-protokollen befasst , wie zbsp. TCP, IP ,UDP ,ARP ,ICMP ,DNS etc etc. Dan wirst du selber merken das dein Ping Programm nicht effizient und genau ist.
Wen du wirklich wissen willst wer in deinem Netzwek online ist, dan solltest du dich mit dem ARP , und ICMP protokoll befassen.
Den Ping könnte durch eine Firewall die ausgabe fälschen. Also du kannst nicht sagen wen ein System per Ping (ICMP) nicht erreichbar ist das der Rechner auch nicht läuft.
Wen ein Rechner den du Pingen möchtest eine Software Firewall am laufen hat(bei XP standart), dan wird dir diese die ICMP Requests Blockieren ICMP Type 0 code 8.
Ich verweise dich auf den Beitrag von mir.

http://www.administrator.de/Tool_-_ArpSca ...


Oder du kannst das ganze manuel machen indem das du zuerst den Arp cache löschst (bei xp glaube ich arp -d) danach den rechner pingen, oder auch dein ganzes subnet. danach mit arp -a den Arp-cache listen und schauen welche rechner Ip's dort gespeichert sind. Ein eintrag wird nahezu immer vorhanden sein und das ist dein Router.

Bücher schau mal da:http://www.edv-buchversand.de/catalog.php ...



lowbyte

hi

Auch solche batches sind mit dem editor zu machen.
Aber kuck mal hier. Ist auch eine frage des geschmaks.

http://notepad-plus.sourceforge.net/de/si ...

Oben habe ich noch ein link zu Büchern.
Kannst ja mal google fragen.!

Uns zum anderen muss ich dir sagen das nur du Programmierst und nicht der Editor. Der hilft dir nicht ! Wie auch.?!


lowbyte

Hi

Wen du obe auf Quelltext klicks dan hast du den Code ohne line counter.


lowbyte

Verdammt... auf den Großteil des Programmstarter-Codes hätte ich mir 'n Patent geben lassen sollen. Hätte schon meine ersten Einnahmen
Spaß beiseite:
Notepad++ ist wirklich zu empfehlen! Syntax-Highlightning für verdammt viele Sprachen, eine Suche die RegEx beherrscht u.v.w. aber immer noch einfach zu bedienen.
Wenn du weitere Infos zur Batchprogrammierung willst, dann schau mal hier:

• Workshop Batch for Runaways - Part I - Beispiel FindLongPath.Bat Bedenklich lange Pfade finden
• Workshop Batch for Runaways - Part II - Ein bisschen Handwerkszeug
• Workshop Batch for Runaways - Part III - Datums- und Zeitvariablen im Batch
• Batch-Kurs by Horst Schaeffer gute Tricks dabei, aber eig. für DOS gedacht
• Using Batch Parameters Microsoft

Damit solltest du schonmal 'ne ganze Weile etwas zu tun haben
Gruß
Snow

Hi

Schau mal da :

• http://www.robvanderwoude.com/rundll.php# ...

• http://www.robvanderwoude.com/batchfiles. ...

• http://www.microsoft.com/resources/docume ... Command line referenc XP

• http://technet.microsoft.com/en-us/librar ... Command line referenc VISTA & WIN7

lowbyte

Hallo,

ich muss mich mal mal einklinken, denn ich habe auch das sshnas21.dll Problem und ja, ich bin selber Schuld. Ich übe noch.
System Win7 Ultimate 64bit mit AVAST Antivirus. Vorgestern spielte auf einmal mein Rechner verrückt. Explorer ließ sich mal öffnen, mal nicht. IE8 Explorer wurde von selbst geöffnet (Anzeige Seitenwiederherstellung geht nicht und irgendeine Seite ließ sich nicht öffnen (ganz langer Text mit asr.de oder so ähnlich). Beim Starten vom Firefox, was anstandslos funktionierte, hat Avast dann Verbindung geblockt.
Ich habe AVAST intensiv scannen lassen und auch eset Online Scan gemacht, der dann 6 Sachen entfernt hat, u.a. afx, afy, afz.exe, Danach habe ich dann tuneup und ccleaner drüberlaufen lassen. Nach Neustart ließ sich morzilla nicht mehr öffnen (Das Bild ging immer gleich wieder zu.
Da ich das Browserauswahlfenster von Microsoft noch hatte, habe ich das als Admin ausgeführt (anders war es nicht mehr möglich) und im dann offenen Morzilla erstmal 2 andere Browser runtergeladen, Firefox deinstalliert, nochmal Tuneup und ccleaner und dann neu gestartet. Firefox neu runtergeladen, aber er muckte wieder. Google Chrome läuft einwandfrei. Wenn ich den Rechner neu starte bekomme ich immer die Meldung Problem beim Starten von .C:\........AppData\Local\Temp\sshnas21.dll Das angegebene Modul wurde nicht gefunden.
Ich habe die Anleitung oben jetzt gelesen, finde aber weder eine msa.exe noch LosAlamos und auch als noch nicht alles mit AVAST und ESET beseitigt war, konnte ich, wenn alle Programme zu waren immer den Explorer und Taskmanager benutzen und auch die msconfig funktioniert zumindest zum jetzigen Zeitpunkt.
Wie bekomme ich also diese sshnas21.dll-Anzeige weg?

Ich werde jetzt trotzdem erstmal Spybot installieren und auch nochmal drüberlaufen lassen.

Spybot hat Fehler in Doubeclick, Mediaplex, Tradedoubler, Wind32.Fraudload.edt, habe alles behoben ccleaner+registry laufen lassen und neu gestartet, denn es gab ja keine msa.exe und Los Alamos. Fehlermeldung 11hnas21.dll ist jetzt weg.

Muß ich noch was beachten?

Hi

So wies scheint ha -xNx443- noch mehr Malware auf dem Rechner ! Die Anleitung hier ist für die Katze. Ganz davon abgesehen das er keine Ahnung davon hat. Sorry nichts gegen dich Persönlich @xNx443


lowbyte

Ich geh also jetzt mal davon aus, dass sich mein Problem jetzt durch Spybot und AVAST erledigt hat, denn es geht alles wieder, auch Morzilla lässt sich wieder installieren und ausführen und es sind keine weiteren Probleme lt. Scans vorhanden.

Hi

Na gut in deinem Fall oder bei deiner Malware...gut. Doch musst halt verstehen, dass der ein bisschen schusselig Programmiert ist, bzw. es gibt andere die dir fast keine chance geben als (sage mal Guter Anwender) die Malware auf deinem Sys. zu erkennen, und zu entfernen. Stichwort (Random - Kernel_driver - Code Obfuscation - Crypto ..etc.,etc.).

nice weekend

lb

hi bin neu hier habe den virus in quarantäne getan(habe gdata 2010 se)
gdata can es aber nicht disinfezieren
was nun???

Hallo CrazyFox555 und willkommen im Board,


mal ganz ehrlich (man verziehe mir die ausdrucksweise):
Bist du zu doof zum lesen oder tust du nur so?
Im ersten Post steht genau drin, wie sich das beheben lässt

Gruß
Snow

hi @ all erstmal
hab da ein kleines problem alles lief klasse bis punk 10.) diese datei LosAlamos die finde ich nicht unter autostart was muss ich nun tun ? und diese datei msa.exe finde ich auch nicht bitte um hilfe ...

Lass nochmal Spybot drüber laufen.
Siehe hierzu auch die Posts von Micky70 in diesem Thema

Hi.
ich habe mir gestern ein MP3 Prog mit Crack runtergeladen.
Beim Öffnen verschwand die Crack Datei und der iexplorer hat sich kurze Zeit später auf irgend ner Spieleseite geöffnet.
Da mir das spanisch vorkam, hab ich sofort "microsoft security essentials" und "avast" durchlaufen lassen, die haben nichts gefunden.
Habe den taskman auf unbekannte Einträge durchsucht und bin auf "QZAIB7KITK" gestoßen, der mich zur Datei "c:\windows\bmapib.exe" geführt hat.
Die habe ich gelöscht und eine zweite Datei gefunden, die im gleichen Verzeichnis ist und "bmapia.exe" heißt, die habe ich gescannt und "ms sec ess" fand sie ok.
Hab in der Systemkonfiguration die Starteinträge angeschaut und bin auf "Canaveral" gestoßen, die auf die rundll32.exe in C:\Windows\system32\sshnas21.dll" verweist.
Hab den win ex geöffnet, in das besagte Verzeichnis gewechselt und daraufhin meldet sich ms sec ess und verlangt sofortige Löschung der Datei "c:\windows\bmapia.exe" !
Hab ich auch machen lassen. Nähere Infos zeigt MS Sec Ess mir auf ner Website mit "TrojanDownloader:Win32/Renos.KF"

Nach einem Neustart des Systems kam die Meldung, dass "sshnas21.dll" nicht gestartete weden und das Modul nicht gefunden werden kann.

Hab mein System auch nach msa.exe durchsucht, aber nichts gefunden. Eben so wenig die "sshnas21.dll" oder "LosAlamos".

Was nun? Trotzdem System neu Aufsetzen???

Bitte steht mir mit eurem reichen Fachwissen zur Seite.

NewOne1

Zur Strafe das System 3 mal neu installieren und zukünftig keine gecrackte Software verwenden.

Hallo Ihr lieben,

mich hat der Virus ebenfalls erwischt.
Bin aber leider bei der Lösung des Problems schon an Punkt 3 gescheiert.

Sobald ich im F8 Modus den Spybot installieren will , wird mir beim files suchen gesagt das keine Verbinung zum server hergestellt werden konnte.
Als Fehrlermeldung natürlich.

Nun komm ich ab dem Punkt nicht viel weiter. Hab vorsichtshalber schon den ccleaner ausproiert, hat auch einige fehler gefunden, aber hauptproblem bleibt natürlich bestehen.

Kenn mich so gut wie gar nich mit solchen sachen aus, also bitte helft mir so schnell wie möglich!
lg

Hallo Mandy1988,

Bitte such dir eine andere Anleitung / Reinigungsinfo. Diese hier ist unbrauchbar und falsch.

Gruß
Snow

Hast du denn auch eine alternative?
Krititk ohne alternative geht nich ;)

lg Mandy

Spybot Search & Destroy kannst du genausogut im normalen Betrieb installieren. Im abgesicherten Modus wird der Treiber deiner Netzwerk/WLAN-Karte nicht geladen. Deshalb kann das Spybot-Setup auch nicht den Server erreichen um sich die aktuellen Installationsdateien zu holen.

Alternative

Rechner neu installieren. Hilft so gut wie immer.

Gruß
Snow

okay ich versuchs nochmal so.

allerdings kommt die nervige meldung am anfang nicht mehr, aber ich trau dem frieden nicht, nur weil man nix sieht heißt das bestimmt nicht das es weg is.


aber danke erstmal!