Process_Terminate funktioniert nicht

[speedy]

@Luckie: Windows default... Naja als der Rechner installiert wurde hat er noch nicht in dem Ausmaß gezockt und im normalen Benutzer Account läuft nicht alles

Hab mal noch schnell XP auf nen alten Rechner und den Code von Aphton ausprobiert. Es passiert nichts. Auch das normale Process_Terminate funktioniert nicht. Abschießen über ein Programm funktioniert auch nicht, wenn das Programm als System-Account gestartet wird. Komisch (für mich) allerdings, dass der normale Taskmanager das ohne Probleme beendet.
Scheinbar wurde Hackshield aktualisiert, da es vor kurzem unter einem anderen XP noch ging.

Im Process Explorer hab ich so jetzt nichts auffälliges feststellen können. Falls es noch was hilft - Bei "Threads" gibt es folgende Einträge:
!Create Thread+0x38
!Create Thread+0x27 (ziemlich oft)
!InternetSetStatusCallbackA+0x1ca
ntdll.dll!RtlQueueWorkItem+0x2b5
ntdll.dll!RtlAllocateHeap+0x18c

Was ich sonst noch auf die Schnelle zu Hackshield finden konnte (aus dem Forum von cheatengine.org - Beitrag von 2006):
"-hackshield loads a driver to hide and protected himself.
-Hackshield detects many gamehacking tools e.g.: (SoftICE,OllyDBG,CheatEngine,ArtMoney,WPE (PRO) , ...)
-Cant inject dlls when hackshield is loaded(Solution: CreateProcess Suspended -> inject dll(s) -> and resume it)
-CheatEngine is the only tool who can see the game process, that hackshield trys to hide, but cant open it
-Hook LoadLibraryA/W and abort if hackshield trys to load dlls dont work. "

Der Treiber (c:\windows\system32\drivers\eaglent.sys - Unsichtbar, wird aber scheinbar nur unter XP geladen) erinnert dabei an ein Rootkit.

[DeddyH]

Um Christians Ansatz einmal aufzugreifen: vielleicht hilft das hier weiter.

[speedy]

Ja, das wäre wohl eine Möglichkeit, nur hab ich dann wahrscheinlich das Problem, dass ich wegen jeder Kleinigkeit die es zu installieren oder einzustellen gibt dort hinfahren muss.

[DeddyH]

Das ist natürlich ein Argument.

[Assarbad]

Zitat von DeddyH:

Um Christians Ansatz einmal aufzugreifen: vielleicht hilft das hier weiter.

Vielleicht hat sich da inzwischen was getan, aber in NT4 und 2000 ließ sich exakt diese Policy leicht umgehen. Die Vielfalt der Löcher welche man stopfen müßte ist einfach zu groß. Und mit Adminrechten ist es ohnehin unsinnig auch nur zu probieren da Sachen zu verbieten.

Der erste Schritt ist Adminrechte entziehen. Dann kann man weitersehen. Auch den Prozeß zu killen (s.o.) macht eigentlich nur Sinn wenn das aus dem Weg ist.

TrustNoExe ist da schon eher eine Lösung. Und das funktioniert auch an Stellen wo die Policy nicht zuverlässig funktioniert.

[mleyen]

Die sicherste und wahrscheinlich einfachste Variante ist es ihm den Internetzugang nur zu bestimmten Uhrzeiten zu gewähren.
Soweit ich weiß geht das bei den neueren Fritzboxen über das Webinterface.

Dann bräuchte man sich auch nicht mit sichtiefinssystemeinwurzelndenzwangsrootkits rumzuschlagen.

[Assarbad]

Zitat von mleyen:

Die sicherste und wahrscheinlich einfachste Variante ist es ihm den Internetzugang nur zu bestimmten Uhrzeiten zu gewähren.
Soweit ich weiß geht das bei den neueren Fritzboxen über das Webinterface.

Die Idee kann ich nur unterstützen. Allerdings war die Einstellung meines Wissens nach auf WLAN bezogen, oder hat sich da mittlerweile was geändert?

Aber wie schon oben erwähnt, kommt dann vielleicht noch Aggressivität hinzu. Einen Therapeuten zu konsultieren macht also wohl eher Sinn.

Zitat von mleyen:

Dann bräuchte man sich auch nicht mit sichtiefinssystemeinwurzelndenzwangsrootkits rumzuschlagen.

Ein Rootkit ist TrustNoExe definitionsgemäß nicht. Das ist also Unsinn. Und die anderen beschriebenen Ansätze reichen da auch nicht ran und versuchen sich ja auch nicht zu verstecken (TrustNoExe übrigens auch nicht).

[DeddyH]

Zitat von Assarbad:

Einen Therapeuten zu konsultieren macht also wohl eher Sinn.

Full ACK, aber wenn man das noch mit technischen Mitteln unterstützen kann, y not?

[mleyen]

Zitat von Assarbad:

Ein Rootkit ist TrustNoExe definitionsgemäß nicht. Das ist also Unsinn. Und die anderen beschriebenen Ansätze reichen da auch nicht ran und versuchen sich ja auch nicht zu verstecken (TrustNoExe übrigens auch nicht).

Ich bezog mich auf Anticheatprogramme, welche Systeme massiv auslasten und sich erbittere Schlachten mit Virenscannern leisten.

[pustekuchen]

Zitat von Assarbad:

Die Idee kann ich nur unterstützen. Allerdings war die Einstellung meines Wissens nach auf WLAN bezogen, oder hat sich da mittlerweile was geändert?

Meines Wissens nach(auch bei meiner eigenen FritzBox) kann man dem direktem PC eine Zeit zuordnen. Da ist es egal ob (W)Lan. Diese Funktion nennt sich ganz einfach Kindersicherung.