Firefox: Werbe-Addons installieren sich selbsständig neu

kriD_ · 03.02.2015, 21:06

Hallo Trojaner-Board!

Ich bin neu hier und froh, dass ich diese Seite gefunden habe.
Bis jetzt hatte ich (auch ohne Virenschutz) noch nie Probleme mit Viren, Trojanern, Malware oder sonstigem Mist. Vor einiger zeit habe ich mich jedoch verdrückt und mehr oder minder ausversehen den 1 Click Downloader installiert. Seitdem wird mein Browser (Firefox Version 35.0.1) regelmäßig von Werbe-Addons unbrauchbar gemacht. Das tolle daran ist, dass diese Addons jedes mal einen neuen beknackten Namen haben, das das googlen nach Lösungen nahezu unmöglich macht. Die manuelle Entfernung der Addons beseitigt das Problem temporär, jedoch hat sich irgendwas tiefer ins system eingenistet, als mir lieb ist und verfügt über Berechtigungen Programme und Addons zu installieren.

Ich werde mal den Krankheitsverlauf teils bebildert beschreiben:
Irgendwann (konnte keinen speziellen Auslöser feststellen) schließt Firefox (FF) und öffnet sich kurz darauf mit einer Fehlermeldung und einem popup wieder:
Fehlermeldung:

Popup:

Beim schließen des popups öffnet sich ein neues FF Vollbild Fenster und man wird auf einen Downloadlink für ein tolles "Systembereinigungstool" auf YAC.mx weitergeleitet. Super seriös

.
Das Download Fenster mit Dateinamen:

Das Werbe Addon ist zu diesem Zeitpunkt ohne weiteres Zutun bereits in FF integriert. In diesem Fall handelt es sich um das Addon: "DigiSaeveR 6.7", jedoch habe ich z.B. im Moment "DigiSaver 6.7" (man beachte das fehlende "ae") und "DigiCouPOnn 5.3" am start.

Symptome durch die Addons:
Die Addons spammen jede Seite (ja, auch das Trojaner-Board) mit nervig blinkenden "Sie haben gewonnen!!11elf" Meldungen zu und schalten Werbung bzw. verändern Suchanfragen bei google und anderen Seiten.
Symptom Screenshots:

Desweiteren habe ich das gefühl, dass die Treiber meiner Eeingabegeräte und auch meiner externen Soundkarte nach dem booten langsam laden. Braucht manchmal trotz SSD eine Minute, bis ich die Sachen normal benutzen kann. Jedoch könnte dies auch andere Ursachen haben.

Um das Problem zu beheben war ich nicht untätig. Ich habe eine Reihe von Maßnamen zur Bekämpfung getätigt, von denen sich die Malware jedoch gänzlich unbeeindruckt zeigt. Ich werde hier mein Vorgehen erläutern:
1) Addons manuell in FF entfernen

2) FF restaurieren

3) Malwarebytes Version 2.0.4.1028 und alle Funde in Quarantäne
LOGFILE:

Code:

ATTFilter

 Malwarebytes Anti-Malware 
www.malwarebytes.org

Scan Date: 03.02.2015
Scan Time: 13:52:59
Logfile: malwarebytes log.txt
Administrator: Yes

Version: 2.00.4.1028
Malware Database: v2015.02.03.04
Rootkit Database: v2015.01.14.01
License: Free
Malware Protection: Disabled
Malicious Website Protection: Disabled
Self-protection: Disabled

OS: Windows 7 Service Pack 1
CPU: x64
File System: NTFS
User: kriD

Scan Type: Threat Scan
Result: Completed
Objects Scanned: 338602
Time Elapsed: 3 min, 23 sec

Memory: Enabled
Startup: Enabled
Filesystem: Enabled
Archives: Enabled
Rootkits: Disabled
Heuristics: Enabled
PUP: Enabled
PUM: Enabled

Processes: 0
(No malicious items detected)

Modules: 0
(No malicious items detected)

Registry Keys: 7
PUP.Optional.Multiplug, HKLM\SOFTWARE\WOW6432NODE\MICROSOFT\WINDOWS\CURRENTVERSION\UNINSTALL\{A3FC46A0-9B62-0EF3-B475-743B3A2762B1}, , [55bb49d1f89238fe0ded32bf738fa65a], 
PUP.Optional.Multiplug, HKLM\SOFTWARE\WOW6432NODE\MICROSOFT\WINDOWS\CURRENTVERSION\UNINSTALL\{317D8BB4-16C3-CFBD-3777-AED69667DA46}, , [040c8892850540f6c733ed044fb329d7], 
PUP.Optional.Multiplug, HKLM\SOFTWARE\WOW6432NODE\MICROSOFT\WINDOWS\CURRENTVERSION\UNINSTALL\{53B21E29-3967-C332-57EB-C02631658584}, , [749c44d66a2032045d9d589915eda060], 
PUP.Optional.Multiplug, HKLM\SOFTWARE\WOW6432NODE\MICROSOFT\WINDOWS\CURRENTVERSION\UNINSTALL\{7223EDAC-E091-B3C1-BD91-B66CE557800F}, , [d739120862286fc7ce2c21d06d95e31d], 
PUP.Optional.Multiplug, HKLM\SOFTWARE\WOW6432NODE\MICROSOFT\WINDOWS\CURRENTVERSION\UNINSTALL\{E957849A-94AC-6F46-4623-C31474E3C170}, , [11ffd04a8802cf6710eab63b39c9916f], 
PUP.Optional.Multiplug, HKLM\SOFTWARE\WOW6432NODE\MICROSOFT\WINDOWS\CURRENTVERSION\UNINSTALL\{B5DB572D-EA87-D3B0-08F6-4D153EA6A783}, , [d53b3fdb9bef1a1c4ab032bfd13146ba], 
PUP.Optional.Multiplug, HKLM\SOFTWARE\WOW6432NODE\MICROSOFT\WINDOWS\CURRENTVERSION\UNINSTALL\{CA1838EF-A497-194E-3850-37A62CEE398B}, , [3fd193873951c67026d451a04cb68878], 

Registry Values: 0
(No malicious items detected)

Registry Data: 0
(No malicious items detected)

Folders: 0
(No malicious items detected)

Files: 10
PUP.Optional.Multiplug, C:\Program Files (x86)\NBA Live News\NBA Live News.exe, , [55bb49d1f89238fe0ded32bf738fa65a], 
PUP.Optional.Multiplug, C:\Program Files (x86)\NeataoCoupoN\NeataoCoupoN.exe, , [040c8892850540f6c733ed044fb329d7], 
PUP.Optional.Multiplug, C:\Program Files (x86)\SaveaNewaApppz\aFur2HwgqKjgKt.exe, , [64acfe1c7a1033036f8b33be43bf30d0], 
PUP.Optional.Multiplug, C:\Program Files (x86)\TAkeTheCoUponi\TAkeTheCoUponi.exe, , [749c44d66a2032045d9d589915eda060], 
PUP.Optional.Multiplug, C:\Program Files (x86)\DigiSaeveR\DigiSaeveR.exe, , [d739120862286fc7ce2c21d06d95e31d], 
PUP.Optional.Multiplug, C:\Program Files (x86)\DiiscountExtensi\v6xL3qQqX1gxSu.exe, , [2fe134e65832a49205f5bd34ee1453ad], 
PUP.Optional.Multiplug, C:\Program Files (x86)\Facebook Chat Platinum\Facebook Chat Platinum.exe, , [11ffd04a8802cf6710eab63b39c9916f], 
PUP.Optional.Multiplug, C:\Program Files (x86)\FInndBesstDeall\uonx9otKFFCbtC.exe, , [d53b3fdb9bef1a1c4ab032bfd13146ba], 
PUP.Optional.Multiplug, C:\Program Files (x86)\Fuskr\Fuskr.exe, , [f11ff723682285b1a555e110c939b848], 
PUP.Optional.Multiplug, C:\Program Files (x86)\MinimumPreicEe\MinimumPreicEe.exe, , [3fd193873951c67026d451a04cb68878], 

Physical Sectors: 0
(No malicious items detected)


(end)

danach Reboot

4)AdwCleaner Version 4.109 und alle Funde Löschen
danach Reboot
LOGFILE:

Code:

ATTFilter

# AdwCleaner v4.109 - Bericht erstellt am 03/02/2015 um 14:00:54
# Aktualisiert 24/01/2015 von Xplode
# Database : 2015-02-02.1 [Live]
# Betriebssystem : Windows 7 Professional N Service Pack 1 (64 bits)
# Benutzername : kriD - KRID-PC
# Gestartet von : E:\Downloads\AdwCleaner09.exe
# Option : Löschen

***** [ Dienste ] *****


***** [ Dateien / Ordner ] *****

Ordner Gelöscht : C:\ProgramData\13523111935511328913
Ordner Gelöscht : C:\ProgramData\bbabbea825ff7891
Ordner Gelöscht : C:\Program Files (x86)\DigiSaeveR
Ordner Gelöscht : C:\Program Files (x86)\DiiscountExtensi
Ordner Gelöscht : C:\Program Files (x86)\FInndBesstDeall
Ordner Gelöscht : C:\Program Files (x86)\MinimumPreicEe
Ordner Gelöscht : C:\Program Files (x86)\NeataoCoupoN
Ordner Gelöscht : C:\Program Files (x86)\SaveaNewaApppz
Ordner Gelöscht : C:\Program Files (x86)\TAkeTheCoUponi

***** [ Tasks ] *****


***** [ Verknüpfungen ] *****


***** [ Registrierungsdatenbank ] *****

Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\P1091b106_9c38_4628_bc21_7bab588a29fd_.P1091b106_9c38_4628_bc21_7bab588a29fd_
Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\P1091b106_9c38_4628_bc21_7bab588a29fd_.P1091b106_9c38_4628_bc21_7bab588a29fd_.9
Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\P8e24857b_40af_4cf1_8a92_42fe78fe05d1_.P8e24857b_40af_4cf1_8a92_42fe78fe05d1_
Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\P8e24857b_40af_4cf1_8a92_42fe78fe05d1_.P8e24857b_40af_4cf1_8a92_42fe78fe05d1_.9
Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\Pf6ca3691_f66f_4997_bddb_0078e22a474e_.Pf6ca3691_f66f_4997_bddb_0078e22a474e_
Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\Pf6ca3691_f66f_4997_bddb_0078e22a474e_.Pf6ca3691_f66f_4997_bddb_0078e22a474e_.9
Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\CLSID\{1091b106-9c38-4628-bc21-7bab588a29fd}
Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\CLSID\{8e24857b-40af-4cf1-8a92-42fe78fe05d1}
Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\CLSID\{f6ca3691-f66f-4997-bddb-0078e22a474e}
Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\TypeLib\{079E2F0F-FCA0-4163-BC82-5355B879E86E}
Schlüssel Gelöscht : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{8e24857b-40af-4cf1-8a92-42fe78fe05d1}
Schlüssel Gelöscht : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\PreApproved\{1091b106-9c38-4628-bc21-7bab588a29fd}
Schlüssel Gelöscht : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\PreApproved\{8e24857b-40af-4cf1-8a92-42fe78fe05d1}
Schlüssel Gelöscht : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\PreApproved\{f6ca3691-f66f-4997-bddb-0078e22a474e}
Schlüssel Gelöscht : [x64] HKLM\SOFTWARE\Classes\CLSID\{1091b106-9c38-4628-bc21-7bab588a29fd}
Schlüssel Gelöscht : [x64] HKLM\SOFTWARE\Classes\CLSID\{8e24857b-40af-4cf1-8a92-42fe78fe05d1}
Schlüssel Gelöscht : [x64] HKLM\SOFTWARE\Classes\CLSID\{f6ca3691-f66f-4997-bddb-0078e22a474e}
Schlüssel Gelöscht : [x64] HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{8e24857b-40af-4cf1-8a92-42fe78fe05d1}
Schlüssel Gelöscht : HKCU\Software\AppDataLow\{12DA0E6F-5543-440C-BAA2-28BF01070AFA}
Schlüssel Gelöscht : HKLM\SOFTWARE\{12DA0E6F-5543-440C-BAA2-28BF01070AFA}
Schlüssel Gelöscht : HKLM\SOFTWARE\{12A61307-94CD-4F8E-94BC-918E511FAA81}
Schlüssel Gelöscht : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{B138259A-351E-33FA-2726-8D71704F1DA9}

***** [ Browser ] *****

-\\ Internet Explorer v11.0.9600.17496


-\\ Mozilla Firefox v35.0.1 (x86 de)


*************************

AdwCleaner[R0].txt - [9316 octets] - [28/01/2015 12:29:04]
AdwCleaner[R1].txt - [4737 octets] - [29/01/2015 10:20:25]
AdwCleaner[R2].txt - [4323 octets] - [30/01/2015 11:08:55]
AdwCleaner[R3].txt - [1276 octets] - [30/01/2015 11:11:58]
AdwCleaner[R4].txt - [4756 octets] - [30/01/2015 12:09:06]
AdwCleaner[R5].txt - [5969 octets] - [02/02/2015 10:28:54]
AdwCleaner[R6].txt - [2345 octets] - [02/02/2015 20:37:06]
AdwCleaner[R7].txt - [5772 octets] - [02/02/2015 21:36:21]
AdwCleaner[R8].txt - [5832 octets] - [02/02/2015 21:37:37]
AdwCleaner[R9].txt - [4622 octets] - [03/02/2015 14:00:03]
AdwCleaner[S0].txt - [8281 octets] - [28/01/2015 12:32:36]
AdwCleaner[S1].txt - [4511 octets] - [29/01/2015 10:21:53]
AdwCleaner[S2].txt - [4030 octets] - [30/01/2015 11:10:54]
AdwCleaner[S3].txt - [4709 octets] - [30/01/2015 12:09:52]
AdwCleaner[S4].txt - [6035 octets] - [02/02/2015 10:29:42]
AdwCleaner[S5].txt - [2416 octets] - [02/02/2015 20:37:50]
AdwCleaner[S6].txt - [5498 octets] - [02/02/2015 21:38:59]
AdwCleaner[S7].txt - [4527 octets] - [03/02/2015 14:00:54]

########## EOF - C:\AdwCleaner\AdwCleaner[S7].txt - [4587 octets] ##########

5)Junkware Removal Tool Version 6.4.1 als Admin
LOGFILE:

Code:

ATTFilter

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Junkware Removal Tool (JRT) by Thisisu
Version: 6.4.2 (02.02.2015:1)
OS: Windows 7 Professional N x64
Ran by kriD on 03.02.2015 at 14:03:21,89
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~




~~~ Services



~~~ Registry Values



~~~ Registry Keys



~~~ Files



~~~ Folders



~~~ Event Viewer Logs were cleared





~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Scan was completed on 03.02.2015 at 14:04:31,13
End of JRT log
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

6)SC-Cleaner Version 1.3.4
LOGFILE:

Code:

ATTFilter

Shortcut Cleaner 1.3.4 by Lawrence Abrams (Grinler)
hxxp://www.bleepingcomputer.com/
Copyright 2008-2015 BleepingComputer.com
More Information about Shortcut Cleaner can be found at this link:
 hxxp://www.bleepingcomputer.com/download/shortcut-cleaner/

Windows Version: Windows 7 Professional N Service Pack 1
Program started at: 02/03/2015 02:05:10 PM.

Scanning for registry hijacks:

 * No issues found in the Registry.

Searching for Hijacked Shortcuts:

Searching C:\Users\kriD\AppData\Roaming\Microsoft\Windows\Start Menu\

Searching C:\ProgramData\Microsoft\Windows\Start Menu\

Searching C:\Users\kriD\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\

Searching C:\Users\Public\Desktop\

Searching C:\Users\kriD\Desktop


0 bad shortcuts found.

Program finished at: 02/03/2015 02:05:11 PM
Execution time: 0 hours(s), 0 minute(s), and 1 seconds(s)

7)Firewall aus, dann ESET mit diesen Einstellungen durchlaufen lassen (hat ewig gedauert, gab aber einen ganzen Haufen Funde)
LOGFILE:

Code:

ATTFilter

ESETSmartInstaller@High as downloader log:
all ok
# product=EOS
# version=8
# OnlineScannerApp.exe=1.0.0.1
# OnlineScanner.ocx=1.0.0.7623
# api_version=3.0.2
# EOSSerial=ef3fc8fb3702ad41b971b6a4f1c586d7
# engine=22287
# end=finished
# remove_checked=false
# archives_checked=true
# unwanted_checked=true
# unsafe_checked=false
# antistealth_checked=true
# utc_time=2015-02-03 06:28:48
# local_time=2015-02-03 07:28:48 (+0100, Mitteleuropäische Zeit)
# country="Germany"
# lang=1031
# osver=6.1.7601 NT Service Pack 1
# compatibility_mode_1=''
# compatibility_mode=5893 16776573 100 94 86385 174617978 0 0
# scanned=1380522
# found=86
# cleaned=0
# scan_time=19174
sh=64A10080677CCE154432518DE19044D45FA4C54A ft=1 fh=c71c00113b026a7c vn="Variante von Win32/Adware.MultiPlug.EG Anwendung" ac=I fn="C:\$Recycle.Bin\S-1-5-21-2803228219-286040756-942108547-1000\$RU2UL7L\DWXrCPtUtRWR42.dll"
sh=90C78CCE3FC28035D0F6CB78AE184DF5F931BD43 ft=1 fh=8ed56cb4118f3842 vn="Variante von Win64/Adware.MultiPlug.F Anwendung" ac=I fn="C:\$Recycle.Bin\S-1-5-21-2803228219-286040756-942108547-1000\$RU2UL7L\DWXrCPtUtRWR42.x64.dll"
sh=E1627887B8D026176C8FDD3B47464994B6C6E75D ft=1 fh=c71c0011d1f04f44 vn="Variante von Win32/Adware.MultiPlug.EG Anwendung" ac=I fn="C:\AdwCleaner\Quarantine\C\Program Files (x86)\50CoUpOnso\KSG8TD7tNI2dID.dll.vir"
sh=0813518EC2DAEB0A49D7EE2C9482150CC0EB1136 ft=1 fh=c71c0011cf414413 vn="Variante von Win32/AdWare.MultiPlug.BN Anwendung" ac=I fn="C:\AdwCleaner\Quarantine\C\Program Files (x86)\50CoUpOnso\KSG8TD7tNI2dID.exe.vir"
sh=B4A902903F32E193135FDD59056BD3EA6F810E99 ft=1 fh=4abd756ec908c160 vn="Variante von Win64/Adware.MultiPlug.F Anwendung" ac=I fn="C:\AdwCleaner\Quarantine\C\Program Files (x86)\50CoUpOnso\KSG8TD7tNI2dID.x64.dll.vir"
sh=C2015DA2AB0A6BD7BA458E9A08F3CEE6C23CEFCF ft=1 fh=c71c0011e43d4b09 vn="Variante von Win32/Adware.MultiPlug.EG Anwendung" ac=I fn="C:\AdwCleaner\Quarantine\C\Program Files (x86)\BitSaVer\PHVOG1epn8U9T8.dll.vir"
sh=0813518EC2DAEB0A49D7EE2C9482150CC0EB1136 ft=1 fh=c71c0011cf414413 vn="Variante von Win32/AdWare.MultiPlug.BN Anwendung" ac=I fn="C:\AdwCleaner\Quarantine\C\Program Files (x86)\BitSaVer\PHVOG1epn8U9T8.exe.vir"
sh=7F1453C1ED4F42528282F9C9614CB1479A90B85D ft=1 fh=4abd756e0906e7c9 vn="Variante von Win64/Adware.MultiPlug.F Anwendung" ac=I fn="C:\AdwCleaner\Quarantine\C\Program Files (x86)\BitSaVer\PHVOG1epn8U9T8.x64.dll.vir"
sh=0813518EC2DAEB0A49D7EE2C9482150CC0EB1136 ft=1 fh=c71c0011cf414413 vn="Variante von Win32/AdWare.MultiPlug.BN Anwendung" ac=I fn="C:\AdwCleaner\Quarantine\C\Program Files (x86)\CCoupExtensIon\CCoupExtensIon.exe.vir"
sh=0813518EC2DAEB0A49D7EE2C9482150CC0EB1136 ft=1 fh=c71c0011cf414413 vn="Variante von Win32/AdWare.MultiPlug.BN Anwendung" ac=I fn="C:\AdwCleaner\Quarantine\C\Program Files (x86)\CheaaPMe\5kwF9A4iJbYVZG.exe.vir"
sh=0813518EC2DAEB0A49D7EE2C9482150CC0EB1136 ft=1 fh=c71c0011cf414413 vn="Variante von Win32/AdWare.MultiPlug.BN Anwendung" ac=I fn="C:\AdwCleaner\Quarantine\C\Program Files (x86)\CoupExtensiono\CoupExtensiono.exe.vir"
sh=0813518EC2DAEB0A49D7EE2C9482150CC0EB1136 ft=1 fh=c71c0011cf414413 vn="Variante von Win32/AdWare.MultiPlug.BN Anwendung" ac=I fn="C:\AdwCleaner\Quarantine\C\Program Files (x86)\DigiSavier\DigiSavier.exe.vir"
sh=0813518EC2DAEB0A49D7EE2C9482150CC0EB1136 ft=1 fh=c71c0011cf414413 vn="Variante von Win32/AdWare.MultiPlug.BN Anwendung" ac=I fn="C:\AdwCleaner\Quarantine\C\Program Files (x86)\DiscaoauNtEXteanSi\DiscaoauNtEXteanSi.exe.vir"
sh=0813518EC2DAEB0A49D7EE2C9482150CC0EB1136 ft=1 fh=c71c0011cf414413 vn="Variante von Win32/AdWare.MultiPlug.BN Anwendung" ac=I fn="C:\AdwCleaner\Quarantine\C\Program Files (x86)\DisucouunttExuteeNsi\DisucouunttExuteeNsi.exe.vir"
sh=0813518EC2DAEB0A49D7EE2C9482150CC0EB1136 ft=1 fh=c71c0011cf414413 vn="Variante von Win32/AdWare.MultiPlug.BN Anwendung" ac=I fn="C:\AdwCleaner\Quarantine\C\Program Files (x86)\DoWnSavE\98tOQQdP7WnWXK.exe.vir"
sh=A29CE6E035A8C0A6DF87BF8CC2DF27D093E59271 ft=1 fh=c71c0011bf530d8b vn="Variante von Win32/Adware.MultiPlug.EG Anwendung" ac=I fn="C:\AdwCleaner\Quarantine\C\Program Files (x86)\ExSSTTraCoupaon\lNtSgIO9AgWMcJ.dll.vir"
sh=0813518EC2DAEB0A49D7EE2C9482150CC0EB1136 ft=1 fh=c71c0011cf414413 vn="Variante von Win32/AdWare.MultiPlug.BN Anwendung" ac=I fn="C:\AdwCleaner\Quarantine\C\Program Files (x86)\ExSSTTraCoupaon\lNtSgIO9AgWMcJ.exe.vir"
sh=A7F249E6E51FF42FDCE2959B917A17BBA9637FC6 ft=1 fh=8ed56cb421b18009 vn="Variante von Win64/Adware.MultiPlug.F Anwendung" ac=I fn="C:\AdwCleaner\Quarantine\C\Program Files (x86)\ExSSTTraCoupaon\lNtSgIO9AgWMcJ.x64.dll.vir"
sh=9D93EC2563387B1CE6B52B5B37A2176AD73664DC ft=1 fh=c71c0011a93f6c37 vn="Variante von Win32/Adware.MultiPlug.EG Anwendung" ac=I fn="C:\AdwCleaner\Quarantine\C\Program Files (x86)\FInndBesstDeall\uonx9otKFFCbtC.dll.vir"
sh=A6F3304D171E9711C5D3264B6D30FF369EED84FF ft=1 fh=4abd756e52565346 vn="Variante von Win64/Adware.MultiPlug.F Anwendung" ac=I fn="C:\AdwCleaner\Quarantine\C\Program Files (x86)\FInndBesstDeall\uonx9otKFFCbtC.x64.dll.vir"
sh=0813518EC2DAEB0A49D7EE2C9482150CC0EB1136 ft=1 fh=c71c0011cf414413 vn="Variante von Win32/AdWare.MultiPlug.BN Anwendung" ac=I fn="C:\AdwCleaner\Quarantine\C\Program Files (x86)\FinndBeSttDeaal\FinndBeSttDeaal.exe.vir"
sh=0813518EC2DAEB0A49D7EE2C9482150CC0EB1136 ft=1 fh=c71c0011cf414413 vn="Variante von Win32/AdWare.MultiPlug.BN Anwendung" ac=I fn="C:\AdwCleaner\Quarantine\C\Program Files (x86)\FuNeDeials\Yh5LJjIgqVuTWP.exe.vir"
sh=0813518EC2DAEB0A49D7EE2C9482150CC0EB1136 ft=1 fh=c71c0011cf414413 vn="Variante von Win32/AdWare.MultiPlug.BN Anwendung" ac=I fn="C:\AdwCleaner\Quarantine\C\Program Files (x86)\JJoniCOupOn\FthbFcp6Y4kAZS.exe.vir"
sh=F1A3BFCFC052688020E05E4F30495788B90B9E1C ft=1 fh=c71c0011828efe71 vn="Variante von Win32/Adware.MultiPlug.EG Anwendung" ac=I fn="C:\AdwCleaner\Quarantine\C\Program Files (x86)\MinoImuemPrice\XzUPz9tcjFuwz3.dll.vir"
sh=DE07B6A229741C068CC701185B689E47FF08B66D ft=1 fh=bbdf2839debd73d8 vn="Variante von Win64/Adware.MultiPlug.F Anwendung" ac=I fn="C:\AdwCleaner\Quarantine\C\Program Files (x86)\MinoImuemPrice\XzUPz9tcjFuwz3.x64.dll.vir"
sh=0813518EC2DAEB0A49D7EE2C9482150CC0EB1136 ft=1 fh=c71c0011cf414413 vn="Variante von Win32/AdWare.MultiPlug.BN Anwendung" ac=I fn="C:\AdwCleaner\Quarantine\C\Program Files (x86)\NetoCouPoin\NetoCouPoin.exe.vir"
sh=0813518EC2DAEB0A49D7EE2C9482150CC0EB1136 ft=1 fh=c71c0011cf414413 vn="Variante von Win32/AdWare.MultiPlug.BN Anwendung" ac=I fn="C:\AdwCleaner\Quarantine\C\Program Files (x86)\RaNddoMPorrice\RaNddoMPorrice.exe.vir"
sh=7C120029D7B6A5EA32418BFAA40C1BF198192221 ft=1 fh=c71c00119fad19c9 vn="Variante von Win32/Adware.MultiPlug.EG Anwendung" ac=I fn="C:\AdwCleaner\Quarantine\C\Program Files (x86)\RandomPricee\W6XKKg63ETEuWS.dll.vir"
sh=0813518EC2DAEB0A49D7EE2C9482150CC0EB1136 ft=1 fh=c71c0011cf414413 vn="Variante von Win32/AdWare.MultiPlug.BN Anwendung" ac=I fn="C:\AdwCleaner\Quarantine\C\Program Files (x86)\RandomPricee\W6XKKg63ETEuWS.exe.vir"
sh=37B20CCFCB4B3801E2CC75ACDB2F3DE228A9C020 ft=1 fh=8ed56cb4421817df vn="Variante von Win64/Adware.MultiPlug.F Anwendung" ac=I fn="C:\AdwCleaner\Quarantine\C\Program Files (x86)\RandomPricee\W6XKKg63ETEuWS.x64.dll.vir"
sh=0813518EC2DAEB0A49D7EE2C9482150CC0EB1136 ft=1 fh=c71c0011cf414413 vn="Variante von Win32/AdWare.MultiPlug.BN Anwendung" ac=I fn="C:\AdwCleaner\Quarantine\C\Program Files (x86)\RegularDeaLis\IDleHEAJGdooIY.exe.vir"
sh=1A7D6927EB35B4758F32B9F30F829CAD74E0D8F5 ft=1 fh=c71c0011d0681230 vn="Variante von Win32/Adware.MultiPlug.EG Anwendung" ac=I fn="C:\AdwCleaner\Quarantine\C\Program Files (x86)\SavveNEwaAappz\3Jg81P0OuieJ9s.dll.vir"
sh=3D7C01451A38FDE6E6668D52039A7AD528CBF9F3 ft=1 fh=8ed56cb44a136286 vn="Variante von Win64/Adware.MultiPlug.F Anwendung" ac=I fn="C:\AdwCleaner\Quarantine\C\Program Files (x86)\SavveNEwaAappz\3Jg81P0OuieJ9s.x64.dll.vir"
sh=0813518EC2DAEB0A49D7EE2C9482150CC0EB1136 ft=1 fh=c71c0011cf414413 vn="Variante von Win32/AdWare.MultiPlug.BN Anwendung" ac=I fn="C:\AdwCleaner\Quarantine\C\Program Files (x86)\SavveriExtiennsion\SavveriExtiennsion.exe.vir"
sh=0813518EC2DAEB0A49D7EE2C9482150CC0EB1136 ft=1 fh=c71c0011cf414413 vn="Variante von Win32/AdWare.MultiPlug.BN Anwendung" ac=I fn="C:\AdwCleaner\Quarantine\C\Program Files (x86)\ShopDroP\SHoPDrop.exe.vir"
sh=1CC0D139FE436F83B97841FBD81C70826C3328A9 ft=0 fh=0000000000000000 vn="JS/Kryptik.ATB Trojaner" ac=I fn="C:\AdwCleaner\Quarantine\C\Users\kriD\AppData\Roaming\Mozilla\Firefox\Profiles\gyzs6mar.default-1422612487509\Extensions\7@2y.com\content\bg.js.vir"
sh=D95A50241BC4F042AF73EE5F01BA4E86890654A2 ft=0 fh=0000000000000000 vn="JS/Kryptik.ATB Trojaner" ac=I fn="C:\AdwCleaner\Quarantine\C\Users\kriD\AppData\Roaming\Mozilla\Firefox\Profiles\gyzs6mar.default-1422612487509\Extensions\GLs9TK@uSKeR.edu\content\bg.js.vir"
sh=ED0665556E805389427EE5823B2149DF656D9E80 ft=1 fh=c71c0011f7444cf3 vn="Variante von Win32/SProtector.N evtl. unerwünschte Anwendung" ac=I fn="C:\Program Files (x86)\SystemHero\SystemHero.dll"
sh=28A3140EE5066D98F4D787711FFAAF300AE081B0 ft=1 fh=74bc3bfe2c8d64d2 vn="Variante von Win32/InstallCore.OZ evtl. unerwünschte Anwendung" ac=I fn="C:\Users\kriD\AppData\Local\Temp\ICReinstall_PureSyncInst_CB-DL-Manager.exe"
sh=3F657E0C306BDFFCE83CBE893361FC422EE29602 ft=1 fh=c71c00112fc3fa67 vn="Variante von Win32/Adware.MultiPlug.DX Anwendung" ac=I fn="C:\Users\kriD\AppData\Local\Temp\CBbe\temp\putfu.exe"
sh=30457F7CFBCDA8749B9CD92F573741C817F1503F ft=1 fh=28278fd3183d6da2 vn="Variante von Win32/DownloadSponsor.C evtl. unerwünschte Anwendung" ac=I fn="C:\Users\kriD\AppData\Local\Temp\DMR\dmr_72.exe"
sh=53640556A012DF022817F54A1B80AC6000496BF4 ft=0 fh=0000000000000000 vn="JS/Kryptik.ATB Trojaner" ac=I fn="C:\Users\kriD\Desktop\Alte Firefox-Daten\qbdotb1d.default\extensions\0kRInQ6@o.edu\content\bg.js"
sh=2691298211B2BCD21B5A6A6CB098E81AD2B3EEDC ft=0 fh=0000000000000000 vn="JS/Kryptik.ATB Trojaner" ac=I fn="C:\Users\kriD\Desktop\Alte Firefox-Daten\qbdotb1d.default\extensions\xU@vzN.net\content\bg.js"
sh=365C95D6C54AD4226A699CC1CA3B4290FC7A6854 ft=1 fh=ce963cbe80fb91ce vn="Variante von Win32/Adware.MultiPlug.ED Anwendung" ac=I fn="E:\$RECYCLE.BIN\S-1-5-21-2803228219-286040756-942108547-1000\$R34W39A.exe"
sh=27DBC4DC9E3B9C791227DB9E2436462E1FCF7439 ft=1 fh=21f2ddd672e7abf4 vn="Variante von Win32/Adware.MultiPlug.DV Anwendung" ac=I fn="E:\$RECYCLE.BIN\S-1-5-21-2803228219-286040756-942108547-1000\$RIDRFTG.exe"
sh=480CA45B4367DE9C401F6A2DDD91C22385488DE0 ft=1 fh=74bc3bfeef23f82b vn="Variante von Win32/InstallCore.OZ evtl. unerwünschte Anwendung" ac=I fn="E:\Downloads\allwaysync-14-2-1_CB-DL-Manager.exe"
sh=8FFB3B536DC9EC02797B24756E40C14D86CD2C30 ft=1 fh=6b0d589e7313d044 vn="Variante von Win32/DownloadSponsor.C evtl. unerwünschte Anwendung" ac=I fn="E:\Downloads\PureSync - CHIP-Installer.exe"
sh=28A3140EE5066D98F4D787711FFAAF300AE081B0 ft=1 fh=74bc3bfe2c8d64d2 vn="Variante von Win32/InstallCore.OZ evtl. unerwünschte Anwendung" ac=I fn="E:\Downloads\PureSyncInst_CB-DL-Manager.exe"
sh=709147DF74C2CE4DB824D3DC9FACF1721E46044D ft=1 fh=e1d9858cfd078f8f vn="Win32/DownWare.L evtl. unerwünschte Anwendung" ac=I fn="E:\Downloads\DAEMON Tools Ultra v2.3.0.0254\DAEMONToolsUltra230-0254.exe"
sh=1C6141995E1D8FC397D3223698E7E5469E5138BD ft=1 fh=8d455c80efd69aaf vn="Variante von Win32/Packed.ExeScript.B Trojaner" ac=I fn="E:\Installer\Software\Windows\Windows 7 Professional (x64) - DVD (German)\W7_HACKS_2009-12-26\W7_HACKS_2009-12-26\BIOS SLIC 2.1\PubKeyCompare 1.0.0.5\PubKeyCompare.exe"
sh=0000000000000000000000000000000000000000 ft=- fh=0000000000000000 vn="Variante von Win32/Packed.VMProtect.AAH Trojaner" ac=I fn="E:\Installer\Spiele\Action\Batman\Installer\TVM_BAAGOTY.iso"
sh=8992F72873D09212597E582A16F8D9BC60E6A22A ft=1 fh=e21391a34e842ffc vn="Win32/Toolbar.Conduit evtl. unerwünschte Anwendung" ac=I fn="G:\Program Files (x86)\Common Files\DVDVideoSoft\TB\ConduitInstaller.exe"
sh=6C9E7B18FFB2150FABC06B89F4BBF1D1566406D0 ft=1 fh=c71c0011b2640ec9 vn="Variante von Win32/AdWare.MultiPlug.N Anwendung" ac=I fn="G:\ProgramData\CheaPMe\PYsTn.dll"
sh=C150A0A721A17F6B93193DB567514B96ED85759C ft=1 fh=c71c0011543901fc vn="Variante von Win32/AdWare.MultiPlug.K.gen Anwendung" ac=I fn="G:\ProgramData\CheaPMe\PYsTn.exe"
sh=21401181B5A1203FEE6D3E9706570A453E0EAC5D ft=1 fh=c71c00114e7d76fd vn="Variante von Win64/Adware.MultiPlug.A Anwendung" ac=I fn="G:\ProgramData\CheaPMe\PYsTn.x64.dll"
sh=EB2950551BAB8E070C0DA97976A4073E564D3172 ft=0 fh=0000000000000000 vn="Win32/Adware.MultiPlug.EB Anwendung" ac=I fn="G:\ProgramData\effdpkepolgkheoggeeeniakkjmafemo\effdpkepolgkheoggeeeniakkjmafemo.crx"
sh=C1A21E507D657B76B9CEA0FBC4DED8014E071A8B ft=1 fh=c71c001166730531 vn="Variante von Win32/AdWare.MultiPlug.N Anwendung" ac=I fn="G:\ProgramData\EnijoyCoooUpon\tg0a.dll"
sh=D8F7151E6B8464D846365C45F43633432EE71005 ft=1 fh=c71c00111dcff634 vn="Variante von Win32/AdWare.MultiPlug.K.gen Anwendung" ac=I fn="G:\ProgramData\EnijoyCoooUpon\tg0a.exe"
sh=3A4CE0F81B4A07254ABEE79041A38FCFF32D0C0A ft=1 fh=c71c00116d4495d1 vn="Variante von Win64/Adware.MultiPlug.A Anwendung" ac=I fn="G:\ProgramData\EnijoyCoooUpon\tg0a.x64.dll"
sh=6F7DA0B999F2A216A65FC4F4740D1E37BF8D3DAD ft=1 fh=c71c0011adf2139a vn="Variante von Win32/AdWare.MultiPlug.T Anwendung" ac=I fn="G:\ProgramData\Fuon2Save\jETVXwb.dll"
sh=0BFE90FAB6F10C0104F69A06184B63F7FBDBFD93 ft=1 fh=c71c0011f25c11fd vn="Variante von Win32/AdWare.MultiPlug.T Anwendung" ac=I fn="G:\ProgramData\Fuon2Save\jETVXwb.exe"
sh=17B24E567626BE32B4ED4541A957BA3EC1E8DA41 ft=1 fh=c71c0011b9dd8ce9 vn="Variante von Win64/Adware.MultiPlug.C Anwendung" ac=I fn="G:\ProgramData\Fuon2Save\jETVXwb.x64.dll"
sh=A8D5583340E2684DEEB5912427BD3AAF510739FB ft=1 fh=8a74790661716c26 vn="Variante von Win32/InstalleRex.U evtl. unerwünschte Anwendung" ac=I fn="G:\ProgramData\InstallMate\{AA752434-D6D7-4F1E-ADF5-9EF5719606C2}\_Setupx.dll"
sh=8F1C8EE7CA80E2CA8132B19F2A2E022C734E5D35 ft=1 fh=1de9b2a4fa1a759e vn="Variante von Win32/InstalleRex.T evtl. unerwünschte Anwendung" ac=I fn="G:\ProgramData\InstallMate\{EC08794D-8D0E-4238-A0D3-C52C37EB5BBB}\_Setupx.dll"
sh=917BA977A92A4F64557A4F7E9D9E8A87315BB79B ft=1 fh=c71c00111fafff46 vn="Variante von Win32/SProtector.L evtl. unerwünschte Anwendung" ac=I fn="G:\ProgramData\KeepnBrowse\KeepnBrowse.dll"
sh=597106BFFB15AD6E940F5CA7773E4249911ADAF3 ft=1 fh=e0a230b041adda0e vn="Variante von Win32/SProtector.D evtl. unerwünschte Anwendung" ac=I fn="G:\ProgramData\KeepnBrowse\KeepnBrowseSvc.dll"
sh=74853AE634412091357A6E2F8D0622AF5D7B867A ft=1 fh=c71c0011afa4f21a vn="Variante von Win64/SProtector.B evtl. unerwünschte Anwendung" ac=I fn="G:\ProgramData\KeepnBrowse\KeepnBrowse_x64.dll"
sh=412953110392AFC39361BA593C063F8C12CB4946 ft=1 fh=c71c001101371752 vn="Variante von Win32/AdWare.MultiPlug.Y Anwendung" ac=I fn="G:\ProgramData\NetooCoupon\rs_pah.dll"
sh=C4C1A11001A833F3C634301F21DF83099786A28E ft=1 fh=c71c00117197e7c5 vn="Variante von Win32/AdWare.MultiPlug.Y Anwendung" ac=I fn="G:\ProgramData\NetooCoupon\rs_pah.exe"
sh=39713544B2A9278CDD1D7609A5371CEF6C512964 ft=1 fh=c71c00119e3b8840 vn="Variante von Win64/Adware.MultiPlug.D Anwendung" ac=I fn="G:\ProgramData\NetooCoupon\rs_pah.x64.dll"
sh=D2353A0CD90F5B3186F3309FE6DE81D40DF6462A ft=1 fh=c71c0011a6d8ee5d vn="Variante von Win32/AdWare.MultiPlug.N Anwendung" ac=I fn="G:\ProgramData\RRoboSavvEr\jvmtbH.dll"
sh=4269ACDD607F43005F345EA5604026FEBFD17193 ft=1 fh=c71c00117f8f9250 vn="Variante von Win32/AdWare.MultiPlug.K.gen Anwendung" ac=I fn="G:\ProgramData\RRoboSavvEr\jvmtbH.exe"
sh=9797A6C13CB227E1BECF34EB64191533D292E94C ft=1 fh=c71c001160bedab5 vn="Variante von Win64/Adware.MultiPlug.A Anwendung" ac=I fn="G:\ProgramData\RRoboSavvEr\jvmtbH.x64.dll"
sh=A5CE595C65CF399581438ED620B908852EC512AD ft=1 fh=c71c001117b5bec4 vn="Variante von Win32/AdWare.MultiPlug.AY Anwendung" ac=I fn="G:\ProgramData\SavveLOets\1Xb.dll"
sh=0EDEFA987AD96277656D30D6BBE9E36FF8096603 ft=1 fh=c71c001158d95df3 vn="Variante von Win32/AdWare.MultiPlug.AG Anwendung" ac=I fn="G:\ProgramData\SavveLOets\1Xb.exe"
sh=6E0310BC5898C7AB68EF5B2FFB865BB3BF55C00E ft=1 fh=c71c001137a342b5 vn="Variante von Win64/Adware.MultiPlug.D Anwendung" ac=I fn="G:\ProgramData\SavveLOets\1Xb.x64.dll"
sh=3EED9C2D98A89B750303E8A32955EBBE150545A1 ft=1 fh=c71c0011a1d86ab2 vn="Variante von Win32/AdWare.MultiPlug.N Anwendung" ac=I fn="G:\ProgramData\YouTUAdBlockeR\19drYwVHc.dll"
sh=5CB443FC2A8663D298ECB3D913F8208785235642 ft=1 fh=c71c0011a1016622 vn="Variante von Win32/AdWare.MultiPlug.K.gen Anwendung" ac=I fn="G:\ProgramData\YouTUAdBlockeR\19drYwVHc.exe"
sh=C6B68E00CD7F11E2CDD35F2273ACD2E56DB78EDE ft=1 fh=c71c00114b6ea686 vn="Variante von Win64/Adware.MultiPlug.A Anwendung" ac=I fn="G:\ProgramData\YouTUAdBlockeR\19drYwVHc.x64.dll"
sh=22AF448EFE218A16CAE70C43D1A54DB25CA01C47 ft=1 fh=68e16631a81d0e2a vn="Win32/InstalleRex.K evtl. unerwünschte Anwendung" ac=I fn="G:\Users\kriD\AppData\Local\Temp\d6fjQXoY.exe.part"
sh=9E71E95FC770FB1B29B75ABF22A74B29AEB95299 ft=1 fh=4d0471d49ca62664 vn="Win32/InstalleRex.L evtl. unerwünschte Anwendung" ac=I fn="G:\Users\kriD\AppData\Local\Temp\jD4Y94Mr.exe.part"
sh=264F75DBB28C3B29CB7D22DD0AC98F1CA53D35D9 ft=1 fh=2437f72e9ca62664 vn="Win32/InstalleRex.L evtl. unerwünschte Anwendung" ac=I fn="G:\Users\kriD\AppData\Local\Temp\V3XmEL0v.exe.part"
sh=16068B8977B4DC562AE782D91BC009472667E331 ft=1 fh=c3b5a87b7d152749 vn="Variante von Win32/DownloadSponsor.C evtl. unerwünschte Anwendung" ac=I fn="G:\Users\kriD\AppData\Local\Temp\OCS\ocs_v71a.exe"
sh=7FD3DB54264A63C00B3B3894B8F9C76E86215068 ft=1 fh=f8300a0c77a4950c vn="Variante von Win32/DownloadSponsor.C evtl. unerwünschte Anwendung" ac=I fn="G:\Users\kriD\AppData\Local\Temp\OCS\ocs_v8.exe"
sh=49D97AA8F4BDC7588ADA917DA5866EF59937C402 ft=0 fh=0000000000000000 vn="Win32/Adware.MultiPlug.EK Anwendung" ac=I fn="G:\Users\kriD\AppData\Roaming\Mozilla\Firefox\Profiles\qzz7vwzx.default\extensions\u2j_03y@uyacom-.com\content\bg.js"
sh=8B179DB33F881C928795BEF9521101A9A78C69F2 ft=0 fh=0000000000000000 vn="Win32/Adware.MultiPlug.EK Anwendung" ac=I fn="G:\Users\kriD\AppData\Roaming\Mozilla\Firefox\Profiles\qzz7vwzx.default\extensions\wipr_o61@sttpovd-.com\content\bg.js"

Die Sachen jedoch dicht von ESET löschen oder deinstallieren lassen. Das hatte ich bei einem früheren Versich schon Probiert, hat jedoch keinen Erfolg gebracht.

8)OTH Process Killer, damit Malwarebytes ausgeführt (Keinen Fund!)
danach Reboot

Vorhin ging das ganze Spiel jedoch wieder von vorne los und es wurden zwei neue Addons im FF installiert. Bin mittlerweile Ratlos und frage dahier hier um Hilfe. Wer hat Erfahrung damit und kann mir aus der Patsche helfen?

Vielen Dank im Voraus und liebe Grüße,
kriD_

Firefox: Werbe-Addons installieren sich selbsständig neu

Plagegeister aller Art und deren Bekämpfung: Firefox: Werbe-Addons installieren sich selbsständig neu

Firefox: Werbe-Addons installieren sich selbsständig neu

Ähnliche Themen: Firefox: Werbe-Addons installieren sich selbsständig neu