MMC.exe - Server 2003 - Problem

[roadrunner84 10]

Hallo!

 

Ich kann seit einem Virusbefall (Virus ist nun weg) kein SnapIn der MMC.exe mehr öffnen (DHCP, ActiveDirectory, DNS,.....). Auch die mmc.exe lässt sich nicht starten. Fehlermeldung kommt auch keine. AD, DHCP usw. sind alle in Ordnung, da man von einem anderen Server darauf zugreifen kann. Leider hat es auch nichts geholfen, die mmc.exe neu zu installieren (heruntergeladen bei Microsoft). Nun weiß ich nicht mehr weiter, da ich im Internet irgendwie nichts zu diesem Problem finde. Vielleicht hat jemand eine Lösung? mfg Stefan

[gysinma1 13]

Hallo

 

Wie ist es denn, läuft der Task mmc.exe im Taskmanager ? Was geschieht wenn Du ein addin direkt aufrust beispielsweise dnsmgmt.msc oder dsa.msc oder dssite.msc ?

 

Gruss,

Matthias

[roadrunner84 10]

Hallo! Danke für deine Antwort. Wenn ich dnsmgmt.msc aufrufe, sehe ich nur kurz die Sanduhr. Wenn ich mmc.exe aufrufe, sehe ich nur kurz die Sanduhr. Task läuft keiner. Was mir am Wochenende aufgefallen ist: Als ich mit dem Backupuser eingestiegen bin, dann konnte ich die mmc.exe starten, jedoch nur 1 mal. Jetzt ist es das gleiche Problem wie beim Administrator. Zum Test habe ich einen neuen Benutzer angelegt und mich mit diesem angemolden, geht jedoch auch nichts. Irgendwie muss da was in der Registry passiert sein.....

[deubi 10]

Du hast eingangs etwas von einem Virenbefall geschrieben. Schreib mal mehr dazu.

 

-Existiert die MMC.exe überhaupt noch in "konsistenter" Form?

-Existieren noch weitere Probleme?

-Existiert eine Sicherung von der Zeit VOR der Infektion?

-Mal versucht, einfach das Servicepack (virengeprüft) nochmals drüberlaufen zu lassen?

 

Hallo! Danke für deine Antwort. Wenn ich dnsmgmt.msc aufrufe, sehe ich nur kurz die Sanduhr. Wenn ich mmc.exe aufrufe, sehe ich nur kurz die Sanduhr. Task läuft keiner. Was mir am Wochenende aufgefallen ist: Als ich mit dem Backupuser eingestiegen bin, dann konnte ich die mmc.exe starten, jedoch nur 1 mal. Jetzt ist es das gleiche Problem wie beim Administrator. Zum Test habe ich einen neuen Benutzer angelegt und mich mit diesem angemolden, geht jedoch auch nichts. Irgendwie muss da was in der Registry passiert sein.....

 

Dies Verhalten passt zu dem Umstand, nach dem Gysinma Dich gefragt hat. Ist danach tatsächlich KEIN mmc.exe im Taskmanager sichtbar?

 

Ich nehme mal an, eventvwr geht auch nicht mehr...Wobei Du versuchen kannst, darauf über eine andere Maschine remote zuzugreifen. Könnte aussagekräftig sein.

[roadrunner84 10]

Ja, da war ein Virus auf dem System.... Während meines Urlaubs hat mein Arbeitskollege den Virus entfernt. Leider erreiche ich ihn nicht, da dieser nun längere Zeit in Urlaub ist.

 

- Die MMC.exe existiert noch, ich habe sogar die MMC3.0 neu installiert (download von Microsoft.com, Installation des Setups)

- Weitere Probleme gib es keine. Was mir aufgefallen ist: Einige .exe Dateien lassen sich nicht mehr starten, jedoch wurde nichts geändert (vielleicht durch den Virus?).

- Nein, leider gibt es dort keine Sicherung mehr vor der Infektion, da dort noch ein "älteres" Sicherungskonzept läuft.

- Servicepack 2 für Server 2003 habe ich noch nicht versucht, da bis jetzt jedes Servicepack ein paar Probleme mit sich gebracht hat, aber wenn nichts hilft muss ich das wohl probieren.

 

Nein, im Taskmgr ist keine mmc.exe sichtbar.

 

Eventviewer geht auch nicht, jedoch ist der Server voll Managebar --> Zugriff über mmc.exe von einem anderen Server.

 

Lg Stefan

[deubi 10]

Ja, da war ein Virus auf dem System.... Während meines Urlaubs hat mein Arbeitskollege den Virus entfernt. Leider erreiche ich ihn nicht, da dieser nun längere Zeit in Urlaub ist.

 

- Die MMC.exe existiert noch, ich habe sogar die MMC3.0 neu installiert (download von Microsoft.com, Installation des Setups)

- Weitere Probleme gib es keine. Was mir aufgefallen ist: Einige .exe Dateien lassen sich nicht mehr starten, jedoch wurde nichts geändert (vielleicht durch den Virus?).

- Nein, leider gibt es dort keine Sicherung mehr vor der Infektion, da dort noch ein "älteres" Sicherungskonzept läuft.

- Servicepack 2 für Server 2003 habe ich noch nicht versucht, da bis jetzt jedes Servicepack ein paar Probleme mit sich gebracht hat, aber wenn nichts hilft muss ich das wohl probieren.

 

 

bevor Du Dir die Finger da dran verbrennst, erst mal noch eine Vollsicherung oder ein Image ziehen.

Optimalerweise damit in einer isolierten Testumgebung mal halt erst nochmals SP1 und alle notwendigen Patsches "drüberklatschen", und kontrollieren, ob das klappt.

SP2 würde ich mir in diesem Fall als "Plan B" zurückbehalten.

 

Nein, im Taskmgr ist keine mmc.exe sichtbar.

 

Eventviewer geht auch nicht, jedoch ist der Server voll Managebar --> Zugriff über mmc.exe von einem anderen Server.

 

Lg Stefan

 

 

Bist Du absolut sicher, dass die Kiste virenfrei ist? Schon mal offline gescannt (mit einer entsprechenden Bootcd und -tools)?

[roadrunner84 10]

Ja, Virenfrei sollte der Server sein. Der Scanner zeigt mir keinen Virus an.

Offline habe ich ihn nicht gescannt, da dieser Server so gut wie 24h am Tag gebraucht wird.

Aber ich vermute, dass irgendein Eintrag in der Registry nicht passt. Denn bei der Anmeldung mit dem Backupuser hat die mmc.exe ja noch kurz funktioniert. Beim 2. Start der mmc.exe passierte auf einmal nichts mehr. Und mit einem neuen Benutzer geht sie auch nicht --> Bekommt auch gleich die neuen Registryeinträge?!?!?!??!

 

Naja, TEstumgebug wird etwas schwer. Das einzige was ich probieren kann ist eine Platte abzuziehen (Raid 1) und es dort zu versuchen, jedoch muss ich da mal abklären, wann soetwas dort möglich ist.

 

Aber in der Registry müsste es auch irgendwo einen Eintrag geben?

[reinersw 10]

Die Frage ist doch: was für ein Virus war es denn?

Was ich da lese passt sehr gut zu Trojanern. In einem solchen Falle sind derart viele Registry Werte verändert worden. Da wird auch der Vorschlag von Deubi nichts mehr bingen.

Die Kiste sichern und neu aufsetzen.

Alles andere ist vertane Zeit und glaube mir, da ist auf jeden Fall noch etwas im Hintergund was die Scanner nicht mehr finden.

reinersw

[deubi 10]

Ja, Virenfrei sollte der Server sein. Der Scanner zeigt mir keinen Virus an.

Offline habe ich ihn nicht gescannt, da dieser Server so gut wie 24h am Tag gebraucht wird.

Aber ich vermute, dass irgendein Eintrag in der Registry nicht passt. ...

 

Wie Reinersw ja auch bestätigt - das ist fürmich ein Hinweis, dass der Server NICHT sauber ist. Der ist noch immer infiziert, und das kannst Du nur OFFLINE rausfinden und bereinigen.