Hallo liebes Delphi-Forum,

ein Kumpel hat mich mit meinem Problem auf Euch verwiesen, weil er meinte, Ihr kennt Euch gut aus und wisst zu (fast?) jedem Problem eine Lösung!
Ich habe da nähmlich folgendes:
Ich möchte gerne bei einem weiteren Kumpel ein Programm namens "klock.exe" beenden, weil ich denke, dass dieses ein Key-Logger sein könnte! (Uhr würde sich ja mit zwei "c"s schreiben)
Dieses Programm steht in der Registry unter "HKEY_LOCAL_MACHINE\..\Run" und wenn ich das da lösche, schreibt es sich dort immer wieder selbst rein!
Ich habe natürlich erst mal versucht, das Programm selbst per Task-Manager zu beenden, aber da erhalte ich die Meldung "Prozess kann nicht beendet werden!" mit dem Zusatz "Zugriff verweigert!" - wenn ich das richtig verstehe,
weil er meint, dass von einen anderen Prozess gerade darauf zugegriffen wird.

Also (hier nun meine konkrete Frage): Kann ich einen beliebigen Prozess wirklich ohne Berücksichtigung des Zugriffs von anderen beenden?

Ich hoffe, dass ihr mir dafür eine realisierbare Lösung geben könnt.
Eine Anwendung mit eintippbarer, zu beendender Anwendung oder direkt abtipp-/kopierbarer Delphi-Quelltext wäre schön!
Den könnte dann ja mein Kumpel für mich kompilieren(?) und eventuell dann noch ein bisschen abändern.

PS: Ich weiß jetzt leider auch nicht, ob ich in diesem Foren-Teil hier richtig bin - hier gibt es ja ziemlich viele Sparten!


Moderiert von Gausi: Topic aus Windows API verschoben am Mi 05.08.2009 um 18:53

Hallo und in der Entwickler-Ecke!

Wenn du dir wirklich einen Keylogger (was sagen denn Virenscanner dazu?) eingefangen hast gibt es nur eins: Dein System ist nicht mehr vertrauenswürdig und sollte neu aufgesetzt werden. Das heißt: Daten sichern, Festplatte formatieren und Windows neu installieren.

Da mit einem Delphi-Programm irgendwas rumzuwurschteln um das Problem zu beheben, ist Unsinn - daher habe ich das Topic auch hierhin verschoben.

Gausi hat folgendes geschrieben :

Daten sichern, Festplatte formatieren und Windows neu installieren.

Und dann bitte nicht mehr standardmäßig als Administrator am System arbeiten, denn genau dies wurde hier offensichtlich getan, sonst hätte der Eintrag in HKLM gar nicht erstellt werden können.

Wenn man Windows XP richtig nutzt und konfiguriert, dann kann es genauso sicher wie Linux sein.

Luckie hat folgendes geschrieben :

dann kann es genauso sicher wie Linux sein.

Hilfe, du hättest das Ubuntu-System sehen sollen, dass ich vor 2 Wochen säubern sollte, das war so richtig schön verseucht und hat versucht Würmer ins ganze Netzwerk zu verteilen.
Linux ist nur "sicherer", weil es seltener genutzt wird (siehe auch Mac OS, Firefox, ...). Mittlerweile gibts da so richtig schöne Malware für Linux und Mac, die von dort aus das ganze Netzwerk infizieren, weil auf diesen Systemen oft nicht einmal Antivirussoftware überhaupt installiert ist...

Wobei Vista ja nochmal sicherer als XP ist, auch wenn man auf beiden Systemen als Admin arbeitet. Windows 7 ist da in der Standardeinstellung dann wohl leider wieder ein Rückschritt. Den kann man ja zum Glück korrigieren...

Aber richtig ist das mit dem als Admin arbeiten natürlich. Macht aber eben leider kaum jemand, viele schalten ja dummerweise sogar die UAC aus, und hinterher wundern sich dann alle über Viren, die auf den Virensammel-PCs laufen...

xkcd.com/350/



Um auch etwas konstruktives zu sagen: Hol dir den ProcessExplorer, der kann dir noch mehr darüber sagen, welche Datei das eigentlich ist. Falls es tatsächlich Malware ist, sollte das System neu intalliert werden.
Nur weil man den namen nicht kennt, heißt das nicht dass es Malware ist. Könnte z.B. ein Zusatzprogramm zu XYZ sein

Luckie hat folgendes geschrieben :

Gausi hat folgendes geschrieben : Daten sichern, Festplatte formatieren und Windows neu installieren. Und dann bitte nicht mehr standardmäßig als Administrator am System arbeiten, denn genau dies wurde hier offensichtlich getan, sonst hätte der Eintrag in HKLM gar nicht erstellt werden können. Wenn man Windows XP richtig nutzt und konfiguriert, dann kann es genauso sicher wie Linux sein.

Was, wenn er ein Programm installiert hat, was dann einfach den Virus mit eingeschleppt hat? Dann hätte er dem Programm sozusagen selbst die Tore geöffnet.

jaenicke hat folgendes geschrieben :

Aber richtig ist das mit dem als Admin arbeiten natürlich. Macht aber eben leider kaum jemand, viele schalten ja dummerweise sogar die UAC aus, und hinterher wundern sich dann alle über Viren, die auf den Virensammel-PCs laufen...

Ich arbeite seit ähm.. schon immer.. als Admin unter W2k SP4+UR, WinUpdate aus (kommt eh nix mehr ). Virenscanner läuft keiner mit, außer bei Quartalsmäßigen Komplett-Scans. Firewall ist auch nur eine Firewall, ohne NIPS etc.

Das ganze ist definitiv Viren-/Malwarefrei.

Was mach ich falsch?

Martok hat folgendes geschrieben :

Was mach ich falsch?

Wenn man weiß was man tut, hilft das mehr als die beste Sicherheitssoftware.

Und viele Software läuft unter 2000 ja eh nicht mehr. (Ein neues Programm von mir läuft auch erst ab Vista, ein geplantes ab Windows 7 (wegen Direct2D). )

Jakob_Ullmann hat folgendes geschrieben :

Was, wenn er ein Programm installiert hat, was dann einfach den Virus mit eingeschleppt hat? Dann hätte er dem Programm sozusagen selbst die Tore geöffnet.

Nun, vor der Dummheit des Nutzers kann nichts schützen. Allerdings wenn das Programm aus einer vertrauenswürdigen Quelle stammt, sollte dies nicht passieren. Und nein, ein P2P Netz ist keine vertrauenswürdige Quelle.

>Was mach ich falsch?
Bestehende Sicherheitslücken die den Zugriff ohne User Interaktion erlauben - am besten über das Netzwerk - wie schützt Du dich dagegen? Zudem besteht das Risiko einer bestehenden Infektion die nicht bemerkt wurde - oder erst Tage später bemerkt wird. Wegen den durchaus vorhanden zero day exploits ist das m.E auch der zwingende Grund für einen Virenscanner, damit man zumindest später über eine Infektion informiert wird.

Daher empfehle ich, Windows Updates einspielen, Virenscanner installieren und überprüfen ob er sich täglich aktualisiert.

Zu Deinem Problem rate ich wie die anderen auch: Am besten Windows neu aufsetzen.
Wenn Du willst kannst Du natürlich den Rechner vom Netz nehmen und damit "spielen" - sprich z.B. im Abgesicherten Modus probieren den Virus sowie seine Zusatzdienste zu entfernen. Aber auch hier gilt, solltest Du erfolgreich sein, der Rechner ist nicht mehr vertrauenswürdig und sollte neu aufgesetzt werden.

Das mir der Neuinstallation habe ich dem Kumpel auch schon vorgeschlagen, aber er meinte leider, dass er dann wahrscheinlich irgendwas nachher vermissen würde, wo er jetzt nicht dran gedacht hat, dass es nach einer Neuinstallation fehlt...
Und er hat leider nur eine Festplatte (mit ~360GB, davon ~206GB belagert), auf der er alles hat - also auch sämtliche Dokumente.
Da habe ich ihm jetzt auch gerade vorgeschlagen, bei einem Neuaufsetzen des Systems eine extra Partition zu machen, auf der er dann die Dokumente lagert - aber dann meint er, dass er sich so schnell nicht mehr zurechtfindet - und er kann mir jetzt leider auch gerade nicht so anf Anhieb sagen, wo er denn alle sichernswerte Dokumente gelagert hat - das fällt ihm zu einem bestimmten Thema immer nur dann ein, wenn er gerade an das spezielle Thema denkt...
...aber so viel Zeit möchte er nicht ohne PC verbringen, bis er meint, an alle Sachen gedacht zu haben!
Ich habe ihm ja auch schon vorgeschlagen, nur mit einem eingeschränkten Benutzerkonto ins Internet zu gehen -- darauf würde er sich einlassen - er meint nur, dass er sich erst mal dran gewöhnen muss.
--- Was ich ihm jetzt nicht gesagt habe, dass es auch bei einem eingeschränkten Nutzer möglich ist, per System-Ansprache überall hin zu schreiben. - Zumindest weiß ich das von selbst erstellten Anwendungen.

---Moderiert von Narses: Beiträge zusammengefasst---

Ja, aber ich dachte eigentlich, dass Sie hier zu eigentlich allem eine gängige Lösung haben.
- Das hatte mir mein anderer Kumpel zumindest so gesagt, dass er hier zu jedem Thema eine gute Antwort bekommt.
Und ihn interessert das jetzt auch, wo ich ihm erzählt habe, dass ich das Problem hier reingeschrieben habe, welche Möglichkeit es gibt, nicht mal mit dem Task-Manager zu beendende Viren doch zu stoppen. - Oder unter was fällt ein Key-Logger genau?

---Moderiert von Narses: Beiträge zusammengefasst---

Ich habe jetzt noch mal in dem Beitrag Delphi-Forum.de » Windows API » Programm anhand Speicherpfad finden und beenden auf meinen hier verwiesen. - Ich hoffe doch, dass mir hier irgendwie geholfen werden kann...

Dann wird er wohl in den saueren Apfel beißen müssen und sich eine externe HD kaufen auf der er in "viel" Arbeit seine Daten sichern kann.
Am System weiterhin mit irgendwelchen "selbst" (Copy & Paste) gebastelten Programmen rumzufummeln, noch dazu wenn man keine Ahnung hat, ist eine schlechte Idee und bringt nichts.

Naja - wenn Sie mir hier einen Quelltext geben, den mein Kumpel zur Anwendung machen kann, dann wäre uns damit ja schon recht gut geholfen.

Hast Du schon einmal probiert, im abgesicherten Modus von Windows XP den Eintrag "Klock.exe" aus der Registry (HKEY_LOCAL_MACHINE\..\Run) zu entfernen?
Was steht noch in dieser "Run-Section"?
Gebe einfach einmal unter Start->Ausführen-> "msconfig" ein und gehe auf den Reiter "Systemstart".

Alternativ lade Dir den Trojan Remover herunter (30-Tage-Version) und führe nach der Installation der Software ein Update durch.
Anschliessend lasse das Programm Dein System scannen.
Mit diesem Programm konnte ich schon böswillige und hartnäckige Trojaner, Malware usw. erfolgreich entfernen.

Bevor Du das System neu installieren mußt, ist es einen Test wert.

pingg-2 hat folgendes geschrieben :

Naja - wenn Sie mir hier einen Quelltext geben, den mein Kumpel zur Anwendung machen kann, dann wäre uns damit ja schon recht gut geholfen.

Nein, da wäre euch nicht richtig gut mit geholfen. An deinem Auto ist der Auspuff kaputt, so dass die Karre laut wie Sau ist, und du willst jetzt nen dicken Subwoofer im Kofferraum einbauen, damit man das nicht mehr hört.

Du musst den Virus/Keylogger/Loch im Auspuff loswerden. Entweder über Virenscanner oder durch Neuinstallation des Systems, wobei letzteres vorzuziehen wäre. An den Symptomen rumzudoktorn (Prozess abschießen) ist keine Lösung

Von mir aus könnt ihr weiter an dem verseuchten System rumspielen, aber wundert euch nicht wenn aufeinmal sämtliche Login Passwörter o.ä. nicht mehr funktionieren. Dann ist es schon zu spät.

pingg-2 hat folgendes geschrieben :

Naja - wenn Sie mir hier einen Quelltext geben, den mein Kumpel zur Anwendung machen kann, dann wäre uns damit ja schon recht gut geholfen.

Sowas gehört in die Job-Sparte. Dort gibt's Source for Food

Wer solch einen Auftrag aber annimmt, macht sich in höchstem Maße selbst unseriös. HAND.

Gausi hat folgendes geschrieben :

Nein, da wäre euch nicht richtig gut mit geholfen. An deinem Auto ist der Auspuff kaputt, so dass die Karre laut wie Sau ist, und du willst jetzt nen dicken Subwoofer im Kofferraum einbauen, damit man das nicht mehr hört.

Auto-Vergleiche FTW!

Anyone who is capable of being elected president should on no account be allowed to do the job.
Ich code EdgeMonkey - In dubio pro Setting.

pingg-2 hat folgendes geschrieben :

Das mir der Neuinstallation habe ich dem Kumpel auch schon vorgeschlagen, aber er meinte leider, dass er dann wahrscheinlich irgendwas nachher vermissen würde, wo er jetzt nicht dran gedacht hat, dass es nach einer Neuinstallation fehlt...

Nun wer keine Backups macht, wird eben bestraft.

Zitat:

Und er hat leider nur eine Festplatte (mit ~360GB, davon ~206GB belagert), auf der er alles hat - also auch sämtliche Dokumente.

Für 60 Euro gibt es schon gute USB-Festplatten.

Zitat:

Da habe ich ihm jetzt auch gerade vorgeschlagen, bei einem Neuaufsetzen des Systems eine extra Partition zu machen, auf der er dann die Dokumente lagert - aber dann meint er, dass er sich so schnell nicht mehr zurechtfindet -

Eher das Gegenteil sollte der Fall sein. Meine Partionierung
HDD1:
- System
- eigene dateien
- Programmierung
- Software und eBooks
- Fotos
- MP3
HDD2:
- Temp (Downloads und irgendwelchen Mist)
- Images (Images der Systempartition)

Wenn ich mir jetzt vorstelle, das meine Delphi-Projekte, meine Fotos und meine MP3 alle auf einer Partition in den eigenen Dateien abgespeichert wäre, würde ich wahrscheinlich gar nichts mehr finden. Und ein Strukturiertes Backup wäre auch schwierig. So packe ich die einzelnen Partitionen mit /Zip und einer Batch-Datei und lege sie auf der USB-Festplatte für Backups ab. Wenn ich was wiederherstellen will, brauche ich nicht lange suchen.

Zitat:

und er kann mir jetzt leider auch gerade nicht so anf Anhieb sagen, wo er denn alle sichernswerte Dokumente gelagert hat - das fällt ihm zu einem bestimmten Thema immer nur dann ein, wenn er gerade an das spezielle Thema denkt...

Was hat meine Mutter immer gesagt? "Ordnung ist das hable Leben." Also da ist er selber schuld. Man kann für ihn nur hoffen, dass er aus seiner jetzigen Situation für die Zukunft lernt.

Zitat:

--- Was ich ihm jetzt nicht gesagt habe, dass es auch bei einem eingeschränkten Nutzer möglich ist, per System-Ansprache überall hin zu schreiben. - Zumindest weiß ich das von selbst erstellten Anwendungen.

Wie meinen? Was ist eine System Ansprache? Klar kann ich dem eingeschränkten Nutzer wieder auf alle Systemordner Zugriffsrechte geben, aber dann brauche ichnicht als eingeschränkter Nutzer zu arbeiten. Aber wie du das mit deinen Programmen gemacht hast, würde mich schon mal interessieren.

Zitat:

Ja, aber ich dachte eigentlich, dass Sie hier zu eigentlich allem eine gängige Lösung haben. - Das hatte mir mein anderer Kumpel zumindest so gesagt, dass er hier zu jedem Thema eine gute Antwort bekommt.

Haben wir ja auch: neu installieren. Als eingeschränkter Nutzer arbeiten und Backups machen.

Moderiert von Narses: Zitat repariert

Nur mal kurz, um wieder auf den Teppich zurückzukommen:

pingg-2 hat folgendes geschrieben :

Ich möchte gerne bei einem weiteren Kumpel ein Programm namens "klock.exe" beenden, weil ich denke, dass dieses ein Key-Logger sein könnte! (Uhr würde sich ja mit zwei "c"s schreiben)

Auf der Basis dieser - mehr als wagen - Vermutung würde ich mein System nicht plattmachen ...

Man könnte ja auch erstmal herausfinden, was das überhaupt für ein Programm ist ...

Hab ich es überlesen oder hast du schonmal gepostet was einer der vielen Virenscanner dazu sagt?