Windows 10: Avira meldet TR/AD Firehooker.BU :-D
 

Hallo zusammen, erstmal vielen lieben Dank für euren Support hier! Wie kann man das unterstützen?

Auch für mich gilt seit einigen Tagen die Meldung von Avira: Avira TR/AD Firehooker.BU

Ich habe Avira bereits deinstalliert und habe FRST laufen lassen. Hier kommt das Untersuchungsergebnis:

Hier noch die Addition:

Habe auch schon mal Malwarebytes durchlaufen lassen. Da wurde leider nichts gefunden.

Liebe Grüße und ein rießen Dankeschön!

:hallo:



Mein Name ist Matthias und ich werde dir bei der Analyse und der eventuell notwendigen Bereinigung deines Computers helfen.



Ich analysiere gerade dein System und melde mich in Kürze mit weiteren Anweisungen.

Laut den geposteten Logdateien ist Avira entgegen deiner Aussage nicht entfernt.
Kann es sein, dass du erst FRST ausgeführt und dann Avira entfernt hast?
Wenn dem so sein sollte, führe FRST bitte erneut aus.

Oh, dass kann sein! Ich habe FRST nochmal durchgeführt :-)

Und noch die Addition:

Schritt 1
Downloade dir bitte Avira Registry Cleaner auf deinen Desktop.

• Starte das Programm und akzeptiere die Lizenzbedingungen.
• Wähle in der Liste alle Avira Produkte aus, indem du jeweils einen Haken davor setzt.
• Klicke auf Entfernen.
• Besätige auftretende Meldungen mit Ok.
• Starte deinen Rechner neu.

Schritt 2

• Schließe alle offenen Programme und Internet Browser, damit keine Daten verloren gehen.
• Kopiere den gesamten Inhalt der folgenden Code-Box:
  
  Code:

  ---

  Start::
CloseProcesses:
CMD: type "C:\Windows\System32\Tasks\Manager Intel(R) Agent"
Task: {8A495846-CDA2-4218-A1A2-2A3DD4B4570B} - System32\Tasks\Manager Intel(R) Agent => C:\Program Files (x86)\nodejs\node.exe [15017624 2017-05-02] (Node.js Foundation -> Node.js) <==== ACHTUNG
C:\Program Files (x86)\nodejs
Task: {8F002C00-CAB7-4718-8CB9-A2CE5296C365} - System32\Tasks\AviraSystemSpeedupRemoval => %comspec% [Argument = /C rmdir "C:\Program Files (x86)\Avira\System Speedup" /S /Q &amp; schtasks /Delete /F /TN AviraSystemSpeedupRemoval]
C:\Program Files (x86)\Avira
Task: {ADB00880-7B6C-45AE-B0A2-DF73BA38BA0B} - System32\Tasks\Avast Software\Overseer => C:\Program Files\Common Files\AVAST Software\Overseer\overseer.exe [1741416 2020-09-17] (Avast Software s.r.o. -> Avast Software)
C:\Program Files\Common Files\AVAST Software
c:\windows\System32\Tasks\Avast Software
FF Extension: (Avira Browser Safety) - C:\Users\Frank\AppData\Roaming\Mozilla\Firefox\Profiles\extensions\abs@avira.com [2018-03-22] [hxxps://download.avira.com/package/absnooffers/firefox/update_webext_no_offers.rdf]
FF Extension: (Kein Name) - C:\Program Files (x86)\McAfee\SiteAdvisor\e10ssaffplg.xpi [nicht gefunden]
R4 avusbflt; System32\Drivers\avusbflt.sys [X]
ShellIconOverlayIdentifiers: [00asw] -> {472083B0-C522-11CF-8763-00608CC02F24} =>  -> Keine Datei
ContextMenuHandlers5: [igfxcui] -> {3AB1675A-CCFF-11D2-8B20-00A0C93CB1F4} =>  -> Keine Datei
C:\WINDOWS\system32\Tasks\Avira
C:\Users\Frank\AppData\Local\Avira
C:\ProgramData\Avira
HKLM\...\Run: [] => [X]
HKLM-x32\...\Run: [] => [X]
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Beschränkung <==== ACHTUNG
HKU\S-1-5-21-1662702917-3719773363-2104067451-1001\...\Run: [] => [X]
CMD: ipconfig /flushdns
CMD: netsh winsock reset
CMD: netsh advfirewall reset
CMD: netsh advfirewall set allprofiles state ON
CMD: Bitsadmin /Reset /Allusers
powershell: Set-MpPreference -PUAProtection Enabled
Hosts:
RemoveProxy:
SystemRestore: On
DeleteQuarantine:
EmptyTemp:
End::

  ---

• Starte nun FRST und klicke direkt den Reparieren Button.
  Wichtig: Du brauchst den Inhalt der Code-Box nirgends einfügen, da sich FRST den Code aus der Zwischenablage holt!
• Das Tool führt die gewünschten Schritte aus und erstellt eine fixlog.txt im selben Verzeichnis, in dem sich FRST befindet.
• Gegebenenfalls muss dein Rechner neu gestartet werden.
• Poste mir den Inhalt der fixlog.txt mit deiner nächsten Antwort.

Schritt 3

• Starte FRST erneut. Vergewissere dich, dass vor Addition.txt ein Haken gesetzt ist und drücke auf Untersuchen.
• FRST erstellt wieder zwei Logdateien (FRST.txt und Addition.txt).
• Poste mir beide Logdateien mit deiner nächsten Antwort.

Bitte poste mit deiner nächsten Antwort:

• eine Rückmeldung bezüglich des Avira Registry Cleaners
• die Logdatei des FRST-Fix (fixlog.txt)
• die beiden neuen Logdateien von FRST (FRST.txt und Addition.txt)

There we go :-) Hier kommt der fixlog.txt

Der Avira Registry Cleaner hat mir gesagt, dass nicht alle ausgewählten Einträge entfernt werden konnten und ich den Prozess im abgesicherten Modus nochmal durchführen soll. Vor dem Neustart alle offenen Anwendungen schließen soll ich auch.

Hier noch der FRST.txt

Und der Addition.txt:

Schritt 1

• Schließe alle offenen Programme und Internet Browser, damit keine Daten verloren gehen.
• Kopiere den gesamten Inhalt der folgenden Code-Box:
  
  Code:

  ---

  Start::
CloseProcesses:
C:\ProgramData\Package Cache\{37F3490A-1362-41F0-8A0B-7AD9A9379187}
HKU\S-1-5-21-1662702917-3719773363-2104067451-1001\...\Winlogon: [Shell] C:\Windows\explorer.exe [4625184 2020-08-13] (Microsoft Windows -> Microsoft Corporation) <==== ACHTUNG
CMD: type "C:\Windows\System32\Tasks\IntelligenterHintergrundübertragungsdienstfür"
Task: {18200581-E411-4606-857C-C7529956E9F8} - System32\Tasks\IntelligenterHintergrundübertragungsdienstfür => C:\Program Files (x86)\nodejs\node.exe <==== ACHTUNG
FF user.js: detected! => C:\Users\Frank\AppData\Roaming\Mozilla\Firefox\Profiles\5pXcqqoP.default\user.js [2020-07-28]
FF HKLM\...\Firefox\Extensions: [{2D854228-664D-44C1-B1A3-7E13E4128963}] - C:\WINDOWS\Installer\{CD4D1E5F-FE4E-4B91-AE29-F9A2047A1961}\{2D854228-664D-44C1-B1A3-7E13E4128963}.xpi
FF Extension: ( ) - C:\WINDOWS\Installer\{CD4D1E5F-FE4E-4B91-AE29-F9A2047A1961}\{2D854228-664D-44C1-B1A3-7E13E4128963}.xpi [2020-10-06]
FF HKLM-x32\...\Firefox\Extensions: [{2D854228-664D-44C1-B1A3-7E13E4128963}] - C:\WINDOWS\Installer\{CD4D1E5F-FE4E-4B91-AE29-F9A2047A1961}\{2D854228-664D-44C1-B1A3-7E13E4128963}.xpi
C:\WINDOWS\Installer\{CD4D1E5F-FE4E-4B91-AE29-F9A2047A1961}
C:\ProgramData\ntuser.pol
S4 edgeupdate; "C:\Program Files (x86)\Microsoft\EdgeUpdate\MicrosoftEdgeUpdate.exe" /svc [X]
S4 edgeupdatem; "C:\Program Files (x86)\Microsoft\EdgeUpdate\MicrosoftEdgeUpdate.exe" /medsvc [X]
S4 gupdate; "C:\Program Files (x86)\Google\Update\GoogleUpdate.exe" /svc [X]
S4 gupdatem; "C:\Program Files (x86)\Google\Update\GoogleUpdate.exe" /medsvc [X]
S3 WsDrvInst; "C:\Program Files (x86)\Wondershare\Video Converter Ultimate(CPC)\Transfer\DriverInstall.exe" [X]
AlternateDataStreams: C:\Users\Public\AppData:CSM [476]
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Node.js
C:\Program Files (x86)\nodejs
DeleteKey: HKLM\SOFTWARE\Node.js
DeleteKey: HKLM\SOFTWARE\WOW6432Node\Node.js
DeleteKey: HKLM\SOFTWARE\Classes\Installer\Products\4D45993E1218CF443A3DFD6652D48B19
DeleteKey: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Products\4D45993E1218CF443A3DFD6652D48B19
DeleteKey: HKU\.DEFAULT\Software\Node.js
DeleteKey: HKCU\SOFTWARE\Node.js
DeleteKey: HKLM\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\Uninstall\{E39954D4-8121-44FC-A3D3-DF66254DB891}
Folder: C:\Users\Frank\AppData\Local\Google\Chrome\User Data\Default\Extensions\kdfnbmngffihkffmelfdchhalfldpchf
EmptyTemp:
End::

  ---

• Starte nun FRST und klicke direkt den Reparieren Button.
  Wichtig: Du brauchst den Inhalt der Code-Box nirgends einfügen, da sich FRST den Code aus der Zwischenablage holt!
• Das Tool führt die gewünschten Schritte aus und erstellt eine fixlog.txt im selben Verzeichnis, in dem sich FRST befindet.
• Gegebenenfalls muss dein Rechner neu gestartet werden.
• Poste mir den Inhalt der fixlog.txt mit deiner nächsten Antwort.

Schritt 2

• Starte Google Chrome.
• Gib oben in die Adresszeile chrome://extensions ein und drücke Enter. Es werden alle Erweiterungen aufgelistet.
• Aktiviere rechts oben den Entwicklermodus. Danach wird bei allen Erweiterungen die ID angezeigt.
• Klicke bei der Erweiterung mit der ID kdfnbmngffihkffmelfdchhalfldpchf auf Entfernen.
• Bestätige mit Entfernen.
• Schließe Google Chrome.

Schritt 3

• Starte FRST erneut. Kopiere den Inhalt der folgenden Code-Box oben in das Suchfeld:
  
  Code:

  ---

  SearchAll: nodejs;node.js

  ---

• Klicke auf den Button Datei-Suche.
• FRST beginnt mit dem Suchlauf. Dieser kann einige Zeit dauern, bitte gedulde dich!
• Am Ende wird eine Textdatei Search.txt erstellt.
• Poste mir deren Inhalt mit deiner nächsten Antwort.

Schritt 4

• Starte FRST erneut. Vergewissere dich, dass vor Addition.txt ein Haken gesetzt ist und drücke auf Untersuchen.
• FRST erstellt wieder zwei Logdateien (FRST.txt und Addition.txt).
• Poste mir beide Logdateien mit deiner nächsten Antwort.

Bitte poste mit deiner nächsten Antwort:

• die Logdatei des FRST-Fix (fixlog.txt)
• die Logdatei des FRST-Suchlaufs (Search.txt)
• die beiden neuen Logdateien von FRST (FRST.txt und Addition.txt)

Hey Matthias, ich hänge leider bei Schritt 2 und kann die Chrome Extension nicht entfernen :-( Sieht bei mir so aus:

https://ibb.co/YkG1f6r

Link zum Screenshot: https://ibb.co/YkG1f6r

Ok, mach bitte erst einmal mit den Schritten 3 und 4 weiter.
Poste abschließend alle Logdateien.

Fehlende Rückmeldung
Dieses Thema wurde aus meinen Abos gelöscht. Somit bekomme ich keine Benachrichtigung über neue Antworten.
Solltest Du das Thema erneut brauchen, schicke uns bitte eine Erinnerung inklusive Link zum Thema.

Hinweis: Das Verschwinden der Symptome bedeutet nicht, dass Dein Rechner schon sauber ist.

Jeder andere bitte hier klicken und ein eigenes Thema erstellen!

Du hattest gestern um eine Fortführung des Themas gebeten... bitte melde dich noch innerhalb der nächsten 2 Tage. Ansonsten wird hier endgültig zu gemacht.

Hey Matthias, vielen Dank! Ich habe leider die Notification im Postfach übersehen :-) Hier kommen die Ergebnisse:

Schritt 1:

Schritt 2:

Hat leider wie erwähnt nicht funktioniert, die Extension zu entfernen, deswegen wie gewünscht direkter weiter zu:

Schritt 3:

Die Textdatei war leider zu lang (sogar für zwei Teile) :-D

Ich habe sie dir hier in ein Dokument gepackt:

https://drive.google.com/file/d/15hPUlQzljhBM15d0MxiM9nL52-ykhy8r/view?usp=sharing

Schritt 4:

frst.txt

Addition.txt