[HaBo]

Foxalem

Anzeige

Hallo ihr,
immer wenn ich meinen PC herunterfahre zeigt er mir an "Rundll32.exe reagiert nicht" dann einen ladebalken und dann kann man sofort-beenden oder abrechen drücken, ich hoffe ihr wisst was ich mein. Wisst ihr zufällig wie ich das ändern kann, das heißt das sich rundll32.exe automatisch schließt?
vielen dank für die hilfe
MFG
Foxalem

SUID:root

Ja, ich weiß was du meinst.
Die Rundll32.exe ist das A und O deines Systems. Aus irgendeinem Grund wird sie nicht beendet, ergo fährt dein System nicht runter.

Dies kann aber so viele Ursachen haben ...
Von daher kannst du hoffen, dass es von sellbst wieder verschwindet oder du setzt dein System mal auf einen früheren Wiederherstellungs-Zeitpunkt zurück.

Könnte das Problem lösen.

Gruss

root

Foxalem

Ich hab nun letztens rausgefunden das sich die rundll32.exe beim Taskmanager 2 mal bei den Prozessen aufhält, beende ich eine der beiden prozesse kann ich das system wunderbar herrunterfahren (ausser das norten noch ein bisschen rumnervt aber das löst sich von selbst nach 3 sekunden)

ghostdog

ich hab letztens bei mir was ganz raffiniertes gefunden. ein virus oder trojaner hat die rundll32.exe so modifiziert, dass sie automatisch wenn sie geladen wird einen neuen thread startet mit der startadresse zu einer agressiven datei, die mir nicht gehört.
rundll32.exe ist sehr anfällig für viren, wenn du sie löschst wird sie neu gebaut von windows. (bei winxp jedenfalls)

__________________
Die neuen Desire Z und Desire HD Smartphones

Foxalem

Ok ich probiers mal aus, ich lösch sie aber nicht sondern nenn sie nur um ...
dann kannichs wenigstens noch rückgängig machen mit der Win-XP CD ohne alle XP datein zu löschen...

MfG
Foxalem

SUID:root

@Themenstarter: Starte mal die Windowssuche und lass mal nach rundll32.exe suchen.

Eigentlich solltest du nur einen rundll32 in windows\system32 finden.
Wenn mehr als eine gefunden wird ( z.B.: in windows), solltest du skeptisch sein, denn manche Malware tarnt sich mit Systemdatei-Namen indem sie sich in einem anderen Ordner ablegt als das Original.

So kann sie im Taksmanager laufen, ohne dass der User Verdacht schöpft.

Gruss

root

Foxalem

gute idee.. ich stell mal das ergebniss rein weil sehr viele sachen gefunden wurden ...



MFG
Foxalem

SUID:root

Hallo,

das sieht soweit gut aus.
Allerdings ist es seltsam, dass die rundll32 doppelt läuft.
Es kann sehr gut sein, dass eine neue Instanz der Rundll32 durch Malware gestartet wurde, z.B. um einen FW-Bypass herbeizuführen.

Wie hbier schon geschrieben hat, gibt es Code-Injection um sich beliebiger Prozesse als Wirt zu bedienen.
Du solltest auf jeden Fall mal checken was ein Virenscan mit aktuellen Datenbanken und deine FW sagen.

Darf die Rundll32 durch die FW? Wenn ja, dann unterbinde es.

Vielleicht ist es auch nur falscher Alarm. Ich bin bei sowas aber immer sofort skeptisch.

Gruss

root

Foxalem

Also durch Outpost (die freeware-firewall) gehts nich durch (rundll32.exe)... aber bei Norton Internet Security hab ich ne datei gefunden die heißt dllhost.exe und die wird zugelassen, is allerdings bei Outpost nich aufgelistet.. die datei gefällt mir irgendwie nich.. was ist das?

die Rundll32.exe wurde bei NIS garnicht aufgeführt und hab sie jetzt rein und blockiert

MFG
Foxalem

P.S.: Von wegen nicht aufgeführt.. es war eine regel erstellt für Windows Update und das hab ich nun mal gesperrt.. ich müsste dann nunroch wissen ob ich die neusten windows updates mir überhaupt noch ziehen kann jetzt... es sind leider noch keine aktuellen da

SUID:root

Solange die Rundll32 sich nicht raus verbinden kann, ist es schonmal okay.
Die dllhost ist eine Systemdatei und im Normalfall harmlos.

Falls du dir mal nicht sicher bist, ob ein Prozess ein Systemprozess ist oder nicht, kann ich dir diese Links für einen Schnellüberblick empfehlen.

http://www.liutilities.com/products/...rocesslibrary/

http://www.liutilities.com/products/.../allprocesses/

http://www.liutilities.com/products/...ro/dlllibrary/

http://www.liutilities.com/products/...brary/alldlls/

Gruss

root

Foxalem

Oh cool dankeschön...
kann mir jemand von euch vielleicht einfach mal ein kleines Script schreiben sodas ich einfach nur das *.vbs öffnen muss und dann schließt der den rundll32.exe process?.. oder das dann am besten gleich mit herunterfahren verbinden? wäre echt cool

MFG
Foxalem