LogonUI.exe - Einsprungspunkt nicht gefunden

Karl Napp

Cadet 1st Year
Registriert
Juni 2021
Beiträge
10
Hallo zusammen,

seit ein paar Tagen schlage ich mich mit einer merkwürdigen Fehlermeldung herum, der ich einfach nicht auf die Spur komme.

Sowohl beim Starten als auch Herunterfahren des Systems bekomme ich die folgende Meldung:

1716387158578.png


Die Meldung lässt sich jeweils bestätigen und alles geht seinen Gang.

Dieser Fehler trat zuerst an einem Rechner mit Windows 7 SP1 x64 auf. Gut, kommt vor, dachte ich. Irgendwas zerschossen. Danach bemerkte ich den gleichen Fehler auf zwei weiteren Rechnern mit Windows 7 sowie auf meinem kleinen Server, der mit Windows Server 2008 R2 läuft (also auch auf Windows-7-Basis).

Es ist also kein Einzelfall und ein spezifischer Hardware-Defekt dürfte auszuschließen sein. Die Geräte sind auch nicht alle im gleichen Netzwerk, einer davon steht bei den Eltern und wir tauschen darüber keine Daten aus.

Nun müsste man fast meinen, dass Microsoft bei einem Update etwas verpfuscht hat, aber in der Richtung dürfte bei Windows 7 ja nicht mehr los sein. Auf der anderen Seite müssten sich tausende Threads im Netz finden lassen, wenn viele Leute betroffen wären.

Einen Malware-Befall mit der gleichen Malware in verschiedenen Haushalten zum selben Zeitpunkt würde ich auch ausschließen. Weder Microsoft Defender noch Malwarebytes oder RogueKiller geben mir Anlass zur Sorge.

Was ich bisher gemacht habe:
  • SFC /scannow (ohne Befund)
  • LogonUI.exe und bcryptprimitives.dll durch Versionen von funktionierenden Systemen ersetzt (ohne Erfolg)
  • Gegoogelt, bis der Arzt kommt (ohne Erfolg)
Falls einer von Euch einen Tipp hat, wäre ich komplett aus dem Häuschen. :jumpin:
 
  • Gefällt mir
Reaktionen: Karl Napp und Redundanz
Karl Napp schrieb:
Nun müsste man fast meinen, dass Microsoft bei einem Update etwas verpfuscht hat, aber in der Richtung dürfte bei Windows 7 ja nicht mehr los sein. Auf der anderen Seite müssten sich tausende Threads im Netz finden lassen, wenn viele Leute betroffen wären.

Welches Update soll das gewesen sein, es gibt doch gar keine mehr für Win7 seit 2020 (seit 2023 ist auch Ende für ESU Teilnehmer). Auch Server 2008 R2 hat keinen Support mehr.

Aber Malware trotzdem ausschließen, weil Defender und ein weiteres Programm nichts melden? Mutig.
Fehler wandert durch das Netzwerk in andere PCs? Sehr verdächtig das ganze.
Haben die eine Gemeinsamkeit in der Software?
 
  • Gefällt mir
Reaktionen: Karl Napp und madmax2010
Mein Bauch sagt mir, du nutzt tatsächlich Rustdesk als Fernwartungstool und hast das vor kurzem mal aktualisiert. Siehe Link aus #3
 
  • Gefällt mir
Reaktionen: Karl Napp
arvan schrieb:
Welches Update soll das gewesen sein, es gibt doch gar keine mehr für Win7 seit 2020 (seit 2023 ist auch Ende für ESU Teilnehmer)
Es gibt noch regelmäßig ESU-Updates (auch für Server 2008) laut Update Catalog.
Auch Deskmodder hat einen Beitrag vom Update letzter Woche.

Ist halt jetzt die Frage, ob der Bypass aktiviert ist bzw. anderweitig manuell Updates installiert werden.
 
  • Gefällt mir
Reaktionen: Karl Napp
Zuerst einmal herzlichen Dank für die vielen Antworten! 👋

Was die Virus-Geschichte angeht, würde ich die bei einer mir sonst unbekannten Person auch zuerst vermuten. Aber wie gesagt, es handelt sich um völlig verschiedene Netzwerke, die keinen Kontakt zueinander haben. Die Kisten sind ausrangierte Rechner, auf denen weder Browser eingesetzt noch E-Mails gelesen werden.

Ich selbst habe einige Zeit für ein anderes Forum Anti-Malware-Software gegen frische Schädlings-Samples getestet, Symptome und Erscheinungsformen von Malware sind mir also nicht unbekannt. Will sagen, ich traue mir zu, das abschätzen zu können.

Deswegen habe ich die Systeme jetzt noch mal auf Gemeinsamkeiten abgeklopft und per Autoruns nach und nach verschiedene Einträge deaktiviert.

Und siehe da, es liegt an meiner Fernwartungs-Software. Es ist zwar in diesem Fall nicht RustDesk, sondern ScreenConnect / ConnectWise Control. Es kann aber gut sein, dass die auch Rust einsetzen und mal nebenbei auf eine Version upgedatet haben, die neuer als 1.75 ist, ohne sich viel dabei zu denken. Das würde dann wohl unter Windows 7 zum selben Fehler führen.

Entferne ich den Eintrag für die ScreenConnect.WindowsCredentialProvider.dll aus der Registry (HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Authentication\Credential Providers), dann ist der Fehler sofort weg. Setze ich ihn wieder, taucht er auch direkt wieder auf.

Ich habe jetzt mal bei ConnectWise ein Ticket erstellt und bin mal gespannt, was dabei herauskommt. Gerne poste ich das Ergebnis hier, falls noch eine andere arme Seele in den Fehler rennt.
 
Nachtrag: Das Problem wurde mittlerweile durch ein Patch von ConnectWise gelöst und sollte künftig nicht mehr auftreten.
 
  • Gefällt mir
Reaktionen: alf420
Zurück
Oben