Dienst Lanman Workstation lässt sich nicht starten

Hallo, Lesebrille,

ich habe Deinen Beitrag mal hierher verschoben. Das hört sich für mich nach einem Fall für die Virenspezies an. Warte bitte, bis sich einer der Spezialisten meldet und folge den Anweisungen.

Gruß Volkmar

Hallo Lesebrille,

willkommen im Viren-Forum! Bei der Entfernung von Malware ist es wichtig, dass Du immer alle Punkte in der vorgegebenen Reihenfolge abarbeitest und keine Programme ohne Absprache installierst.

Bitte alle anfallenden Punkte in einem Benutzerkonto mit Admin-Rechten durchführen, also nicht in einem Benutzerkonto mit eingeschränkten Rechten arbeiten.

Stoppe und frage, wenn etwas nicht funktioniert oder unklar ist.

Berichte mir zu jedem Punkt, dass Du ihn erledigt hast.

Wenn Logdateien angefragt werden, kannst Du .txt-Dateien direkt hier im Forum hochladen => im Textfeld unten Dateianhänge anklicken => auf Hochladen klicken => Datei auswählen => Datei wird automatisch hochgeladen.

===== Punkt 1 =====

Handelt es sich um denselben Computer, wie in diesem Thread?
Malware?

===== Punkt 2 =====

Lanmanworkstation-Check

Um zu testen, ob Dein Computer von dem Virus befallen ist, der die Dienste Arbeitsstationsdienst und DNS-Client auf schädliche Dateien umleitet, führe bitte folgenden Schnelltest durch:

Lade die LanmanCheck.exe herunter und speichere sie auf Deinem Desktop.
Führe die Datei aus und lasse Dir die Infos anzeigen, indem Du die Frage mit "Ja" antwortest.
Es öffnet sich eine Messagebox, die darüber informiert, ob der Rechner infiziert ist oder nicht und was ggfs. zu tun ist.
Markiere in beiden Fällen den Inhalt der Messagebox und kopiere den Text hier in den Thread.

===== Punkt 3 =====

Suchlauf mit Farbar Recovery Scan Tool im Normal-Modus

Lade die passende Version von Farbar Recovery Scan Tool herunter FRST.exe (32-Bit) ::: FRST64.exe (64-Bit).
Speichere das Tool auf Deinem Desktop (nicht woanders hin).
Wenn Du unsicher bist, ob Dein Windows unter 32-Bit oder 64-Bit läuft, kontrolliere das hier:
Start => Rechtsklick auf Computer => Eigenschaften => Systemtyp

• Starte die FRST.exe respektive die FRST64.exe per Doppelklick -
  Vista- und Win7-Benutzer starten per Rechtsklick und wählen Als Administrator ausführen.
• Mache Haken bei:
• Registry
• Internet
• Shortcut.txt
• Addition.txt
• Akzeptiere die Bedingungen mit "Ja" und klicke Untersuchen

Das Tool erstellt drei Berichte namens FRST.txt, Shortcut.txt sowie Addition.txt im gleichen Pfad, in welchem sich die FRST.exe befindet. Lade die Berichte bitte hier im Forum als Anhang wie folgt hoch: => im Textfeld unten Dateianhänge anklicken => auf Hochladen klicken => Datei auswählen => die Datei wird automatisch hochgeladen.

Hinweis:
FRST wird aktuell häufig aktualisiert - neue Versionen werden automatisch heruntergeladen.
Ältere Versionen werden in den Ordner FRST-OlderVersion verschoben.

Da Petra im Moment nicht Online ist, mische ich mich mal ein. Da hat sich ein Fehler im Link eingeschlichen. Hier mal richtig
LanmanCheck

Gruß Volkmar

Sieht nach Mediyesinfektion aus.

Danke Volkmar, habe den Link auch in der Anleitung korrigiert

Hallo Lesebrille,

AHT hat es schon angedeutet, wir haben es mit einer Mediyes-Infektion zu tun.

Mache bitte erstmal mit FRST weiter, dann kann ich einen Fix schreiben.

Alles klar - ich mache hier weiter, da Petra mit Farbar arbeitet. Kann jetzt aber noch etwas dauern.

ppRegistry.txt bitte noch hochladen - die fehlt.

Eventlog.txt fehlt auch noch.

Das tun:

• PPFScan.exe starten.
• Lass auf Nachfrage des Programms die 64Bit Version des Scanners starten.
• In das Texteingabefeld über dem Button Script ausführen folgenden Text einfügen (das was in der Box steht - ohne das Wort Quellcode und die Zeilennummern). Achte darauf, dass dir der gesammte Inhalt der Box angezeigt wird:

CREATE_FOLDER->C:\PPF_Scan2
SET_REGISTRY_DWORD_VALUE->HKEY_LOCAL_MACHINE\software\microsoft\Windows\CurrentVersion\Telephony\Providers
->NumProviders
->4
SET_REGISTRY_DWORD_VALUE->HKEY_LOCAL_MACHINE\software\microsoft\Windows\CurrentVersion\Telephony\Providers
->NextProviderID
->5
DELETE_FILE_ON_REBOOT->%SystemRoot%\SysWOW64\update1.dll
REGISTRY_DELETE_KEY->HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
->DailytoolsUpdateService
REGISTRY_CREATE_KEY->HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\LanmanWorkstation
->Parameters
->
SET_REGISTRY_EXPANDED_STRING_VALUE->HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\LanmanWorkstation\Parameters
->ServiceDll
->%SystemRoot%\System32\wkssvc.dll
SET_REGISTRY_DWORD_VALUE->HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters
->EnablePlainTextPassword
->0
SET_REGISTRY_DWORD_VALUE->HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters
->EnableSecuritySignature
->1
SET_REGISTRY_DWORD_VALUE->HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters
->RequireSecuritySignature
->0
SET_REGISTRY_DWORD_VALUE->HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters
->ServiceDllUnloadOnStop
->1
SET_REGISTRY_VALUE->HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters
->OtherDomains
->
->REG_MULTI_SZ
COPY_SCANFILES->C:\PPF_Scan2
REBOOT->

• Klicke dann auf den Button Script ausführen und bestätige die erscheinende
  Messagebox mit Ja.
• Warte, bis der Scanner sich selbst beendet.
• Lasse das Script bei einer Meldung nicht abbrechen! Klappt alles, wird sich der Rechner neu starten.
• Es befinden sich im Ordner C:\PPF_Scan1 dann einige Textdateien. Lade bitte alle Dateien, die du dort findest, bei http://speedyshare.com/ hoch und poste die Downloadlinks hier im Forum.

Danach das tun:

• Erstelle einen neuen Ordner auf C:\.
• Lade dir das Programm LSPandTSP herunter und speichere es in dem neuen Ordner ab.
• Starte LSPandTSP.exe.
• Guard deines Virenscanners wenn möglich deaktivieren!
• Klicke nacheinander die Registrierkarten ...(Catalog5) an.
• Setze auf jeder Karte, auf der du die DLL findest, ein Häkchen bei C:\windows\system32\d3dyljsr8.dll.
• Setze ein Häkchen bei Ich weiß, was ich tue! und klicke den Button Markierte Einträge entfernen!.
• Ist das Tool mit dem Fixen fertig, klicke im Menü auf Programm und LOG-Datei abspeichern.
• Guard deines Virenscanners wieder aktivieren!
• Lade die LOG-Datei bei speedyshare.com/ hoch und poste den Downloadlink im Forum.
• Rechner dann einmal neu starten.

Danach das tun:

• Lade dir bitte von hier den AdwCleaner herunter und speicher es auf dem Desktop ab.
• Schließe alle offenen Programme und Browser.
• Starte die adwcleaner.exe
• Klicke im Hauptfenster auf "Suchen"
• Warte bis der Scan beendet ist.
• Klicke im Hauptfenster auf "Löschen"
• Bestätige die erscheinenden Meldung mit OK
• Der Rechner wird sich neu starten.
• Nach dem Neustart öffnet sich ein Textdokument.
• Lade das Log AdwCleaner[S0].txt, das sich nach dem Neustart geöffnet hat, bei speedyshare.com/ hoch und poste den Downloadlink hier im Forum.

Danach sind wir noch nicht fertig - ich melde mich dann.

Habe das Script oben geändert. Noch einmal ausführen.

Erscheint eine Messagebox, in der du gefragt wirst, ob das Scripting abgebrochen werden soll, wähle dort Nein.

Musst du nicht unbedingt löschen - wird überschrieben.

In einer BOX, die du mit ja oder nein bestätigen kannst?