"CRaaccon" auf meinem privaten PC

M-K-D-B · 24.03.2021, 16:55

Hast du die Funde mit MBAM auch entfernen lassen?
In deiner Logdatei steht nämlich "Keine Aktion durch Benutzer" ?

M-K-D-B · 24.03.2021, 17:02

Zitat:

Zitat von M-K-D-B

Hast du die Funde mit MBAM auch entfernen lassen?
In deiner Logdatei steht nämlich "Keine Aktion durch Benutzer" ?

Bitte noch die Frage beantworten, danach geht es weiter.

Badu&Barney · 24.03.2021, 17:34

Habe bisher nichts entfernt ... - wissentlich

Sonst sorry

Tom

Soll ich die Funde entfernen???

Wollte nichts falsch machen

M-K-D-B · 24.03.2021, 17:36

Zitat:

Zitat von Badu&Barney

Soll ich die Funde entfernen???

Ja, die Funde bitte entfernen (steht auch so in der Anleitung zu MBAM).

Badu&Barney · 24.03.2021, 17:53

So, habe alles in die Quarantäne geschoben

Soll ich jetzt noch mal AdwCleaner laufen lassen?

Und Schritt 3) durchführen?

Das neue Ergebis
*************

Malwarebytes AdwCleaner 8.2.0.0
# -------------------------------
# Build: 03-22-2021
# Database: 2021-03-22.1 (Cloud)
# Support: https://www.malwarebytes.com/support
#
# -------------------------------
# Mode: Clean
# -------------------------------
# Start: 03-24-2021
# Duration: 00:00:13
# OS: Windows 10 Home
# Cleaned: 4
# Failed: 0

***** [ Services ] *****

No malicious services cleaned.

***** [ Folders ] *****

No malicious folders cleaned.

***** [ Files ] *****

No malicious files cleaned.

***** [ DLL ] *****

No malicious DLLs cleaned.

***** [ WMI ] *****

No malicious WMI cleaned.

***** [ Shortcuts ] *****

No malicious shortcuts cleaned.

***** [ Tasks ] *****

No malicious tasks cleaned.

***** [ Registry ] *****

Deleted HKLM\Software\Classes\Interface\{9BB31AD8-5DB2-459E-A901-DEA536F23BA4}
Deleted HKLM\Software\Classes\Interface\{BD51A48E-EB5F-4454-8774-EF962DF64546}
Deleted HKLM\Software\Wow6432Node\\Classes\Interface\{9BB31AD8-5DB2-459E-A901-DEA536F23BA4}
Deleted HKLM\Software\Wow6432Node\\Classes\Interface\{BD51A48E-EB5F-4454-8774-EF962DF64546}

***** [ Chromium (and derivatives) ] *****

No malicious Chromium entries cleaned.

***** [ Chromium URLs ] *****

No malicious Chromium URLs cleaned.

***** [ Firefox (and derivatives) ] *****

No malicious Firefox entries cleaned.

***** [ Firefox URLs ] *****

No malicious Firefox URLs cleaned.

***** [ Hosts File Entries ] *****

No malicious hosts file entries cleaned.

***** [ Preinstalled Software ] *****

No Preinstalled Software cleaned.

*************************

[+] Delete Tracing Keys
[+] Reset Winsock

*************************

AdwCleaner[S00].txt - [7788 octets] - [10/03/2021 11:54:48]
AdwCleaner[C00].txt - [6869 octets] - [10/03/2021 11:56:10]
AdwCleaner[S01].txt - [2165 octets] - [24/03/2021 16:41:40]
AdwCleaner[S02].txt - [2226 octets] - [24/03/2021 16:43:35]
AdwCleaner[S03].txt - [2054 octets] - [24/03/2021 17:46:04]

########## EOF - C:\AdwCleaner\Logs\AdwCleaner[C03].txt ##########

Lasse gerade einen neuen Lauf durchführen von FRST

M-K-D-B · 24.03.2021, 17:54

Sehr gut gemacht.

Wie ich sehe, hast du auch Avira und Avast ausprobiert... aber diese Programme kannst du bei sowas vergessen...

Jetzt arbeiten wir mit FRST.

Schritt 1
WARNUNG AN ALLE MITLESER !!!
Dieses FRST-Script ist ausschließlich für diesen Nutzer gedacht und sollte niemals 1:1 für ein anderes System angewendet werden!

Speichere deine Arbeiten und schließe alle offenen Programme, damit keine Daten verloren gehen.

Kopiere den gesamten Inhalt der folgenden Code-Box:

Code:

ATTFilter

Start::
CloseProcesses:
Unlock: C:\Users\Berek\AppData\Roaming\CRaccoon\CRaccoon.exe
VirusTotal: C:\Users\Berek\AppData\Roaming\CRaccoon\CRaccoon.exe
Startup: C:\Users\Berek\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\CRaccoon.lnk [2020-11-18]
ShortcutTarget: CRaccoon.lnk -> C:\Users\Berek\AppData\Roaming\CRaccoon\CRaccoon.exe (Waterfall Technology LTD -> CRaccoon)
C:\Users\Berek\AppData\Roaming\CRaccoon
Task: {E367C8B4-113F-4014-985C-EAE2E7A73CCD} - \Microsoft\Windows\UNP\RunCampaignManager -> Keine Datei <==== ACHTUNG
FF NewTab: Mozilla\Firefox\Profiles\sobe61kl.default -> hxxps://myfiresearch.com/homepage?hp=1&bitmask=9996&pId=CH180901FF&iDate=2020-02-09 10:00:37&bName=
FF HomepageOverride: Mozilla\Firefox\Profiles\sobe61kl.default -> Disabled: _39Membersttab03_@www.mapsgalaxy.com
FF HomepageOverride: Mozilla\Firefox\Profiles\sobe61kl.default -> Disabled: _pvMembersttab03_@www.mapmywayfree.com
FF NewTabOverride: Mozilla\Firefox\Profiles\sobe61kl.default -> Disabled: _39Membersttab03_@www.mapsgalaxy.com
FF NewTabOverride: Mozilla\Firefox\Profiles\sobe61kl.default -> Disabled: _pvMembersttab03_@www.mapmywayfree.com
FF Extension: (MyWay Search By MapsGalaxy) - C:\Users\Berek\AppData\Roaming\Mozilla\Firefox\Profiles\sobe61kl.default\Extensions\_39Membersttab03_@www.mapsgalaxy.com.xpi [2020-11-09] [UpdateUrl:hxxps:\/\/updates.tb.ask.com\/updateXpi.json?id=202980021&version=9.107.19.16607&track=TTAB03&trackRevision=1&fromId=_39Membersttab03_%40www.mapsgalaxy.com&isBridgeExtension=false]
FF Extension: (MyWay Search By MapMyWayFree) - C:\Users\Berek\AppData\Roaming\Mozilla\Firefox\Profiles\sobe61kl.default\Extensions\_pvMembersttab03_@www.mapmywayfree.com.xpi [2020-10-20] [UpdateUrl:hxxps:\/\/updates.tb.ask.com\/updateXpi.json?id=237231411&version=9.107.19.16605&track=TTAB03&trackRevision=1&fromId=_pvMembersttab03_%40www.mapmywayfree.com&isBridgeExtension=false]
FF SearchPlugin: C:\Users\Berek\AppData\Roaming\Mozilla\Firefox\Profiles\sobe61kl.default\searchplugins\My Firefox Search.xml [2020-12-08]
C:\Users\Berek\Downloads\ccsetup577_slim.exe
2021-03-10 16:55 - 2021-03-10 16:55 - 000000000 ____D C:\WINDOWS\system32\Tasks\Avira
2021-03-10 16:36 - 2021-03-10 16:46 - 000000000 ____D C:\Users\Berek\AppData\Local\Avira
2021-03-10 16:35 - 2021-03-10 16:57 - 000000000 ____D C:\Program Files (x86)\Avira
2021-03-10 15:52 - 2021-03-10 16:29 - 000000140 _____ C:\WINDOWS\restoro.ini
2021-03-09 21:18 - 2021-03-10 12:52 - 000000000 ____D C:\ProgramData\Avast Software
2021-03-10 11:56 - 2020-02-09 11:00 - 000000000 ____D C:\Users\Berek\AppData\Roaming\Lavasoft
2021-03-10 11:56 - 2020-02-09 11:00 - 000000000 ____D C:\Users\Berek\AppData\Local\Lavasoft
2021-03-10 11:56 - 2020-02-09 11:00 - 000000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Lavasoft
2021-03-10 11:56 - 2020-02-09 11:00 - 000000000 ____D C:\Program Files (x86)\Lavasoft
ContextMenuHandlers5: [igfxcui] -> {3AB1675A-CCFF-11D2-8B20-00A0C93CB1F4} =>  -> Keine Datei
DeleteKey: HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\{a5bc6a4b-0eab-470d-82ed-2250ccdfb2b6}
DeleteKey: HKLM\Software\Classes\Interface\{9BB31AD8-5DB2-459E-A901-DEA536F23BA4}
DeleteKey: HKLM\Software\Classes\Interface\{BD51A48E-EB5F-4454-8774-EF962DF64546}
DeleteKey: HKLM\Software\Wow6432Node\\Classes\Interface\{9BB31AD8-5DB2-459E-A901-DEA536F23BA4}
DeleteKey: HKLM\Software\Wow6432Node\\Classes\Interface\{BD51A48E-EB5F-4454-8774-EF962DF64546}
DeleteKey: HKCU\Software\Local AppWizard-Generated Applications\Restoro
DeleteKey: HKCU\Software\Restoro
DeleteKey: HKLM\Software\Restoro
Zip: C:\FRST\Quarantine\C\Users\Berek\AppData\Roaming;C:\FRST\Quarantine\C\Users\Berek\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup
CMD: ipconfig /flushdns
CMD: netsh winsock reset
CMD: netsh advfirewall reset
CMD: netsh advfirewall set allprofiles state ON
CMD: Bitsadmin /Reset /Allusers
Hosts:
RemoveProxy:
SystemRestore: On 
EmptyTemp:
End::

Starte nun FRST und klicke direkt den Reparieren Button.
Wichtig: Du brauchst den Inhalt der Code-Box nirgends einfügen, da sich FRST den Code aus der Zwischenablage holt!
Das Tool führt die gewünschten Schritte aus und erstellt eine fixlog.txt im selben Verzeichnis, in dem sich FRST befindet.
Gegebenenfalls muss dein Rechner neu gestartet werden.
Poste mir den Inhalt der fixlog.txt mit deiner nächsten Antwort.

Schritt 2
Mit Schritt 1 wurde ein .zip Archiv mit dem Schema < Datum_Uhrzeit.zip > (z. B. 20.02.2021_11.33.52.zip) auf deinem Desktop erstellt.

Besuche die Seite Submit a Malware Sample auf BleepingComputer.
Klicke auf Durchsuchen.
Wähle das erstellte .zip Archiv aus und klicke auf Öffnen.
Schreibe in das untere, leere Textfeld für M-K-D-B hinein und klicke auf den darunter liegenden Button Daten absenden.
Vielen Dank für deine Mitarbeit. Die hochgeladenen Dateien dienen zur Verbesserung der verwendeten Programme.

Schritt 3

Starte FRST erneut. Kopiere den Inhalt der folgenden Code-Box oben in das Suchfeld:
Code:
ATTFilter
```
SearchAll: CRaccoon;Restoro
         
```
Klicke auf den Button Datei-Suche.
FRST beginnt mit dem Suchlauf. Das kann einige Zeit dauern, bitte gedulde dich!
Am Ende wird eine Textdatei Search.txt erstellt.
Poste mir deren Inhalt mit deiner nächsten Antwort.

Schritt 4

Starte FRST erneut. Vergewissere dich, dass vor Addition.txt ein Haken gesetzt ist und drücke auf Untersuchen.
FRST erstellt wieder zwei Logdateien (FRST.txt und Addition.txt).
Poste mir beide Logdateien mit deiner nächsten Antwort.

Bitte poste mit deiner nächsten Antwort:

die Logdatei des FRST-Fix (fixlog.txt)
eine Rückmeldung bezüglich des Hochladens des .zip Archivs
die Logdatei des FRST-Suchlaufs (Search.txt)
die beiden neuen Logdateien von FRST (FRST.txt und Addition.txt)

24.03.2021, 16:55	#1
M-K-D-B /// TB-Ausbilder	"CRaaccon" auf meinem privaten PC Hast du die Funde mit MBAM auch entfernen lassen? In deiner Logdatei steht nämlich "Keine Aktion durch Benutzer" ? Geändert von M-K-D-B (24.03.2021 um 17:02 Uhr)

"CRaaccon" auf meinem privaten PC

Log-Analyse und Auswertung: "CRaaccon" auf meinem privaten PC