Gootkit lt. Telekom, wonach muss ich in den LogFiles suchen
 

Laut Telekom soll auf einem unserer Rechner Gootkit sein.
Leider machen die Datums-und Zeitangaben, die ich in einem Telefonanruf dann bekommen habe, keinen Sinn. Damit kann ich nur die Rechner der Reihe nach durchgehen.
Auf allen Rechnern ist WIN10 drauf.


Habe versucht, aus den geposteten Files was rauslesen zu können.
Ist mir leider nicht gelungen.


Da wir als große Familie auch ein paar mehr Rechner haben, und ich die Geschichte hier nicht ausarten lassen möchte, habe ich folgende Fragen.



Kann mir jemand sagen, nach was ich in der frst.txt und addition.txt suchen muß?
Was sind Hinweise auf einen Befall?



Was passiert, wenn man einfach mal zur "Vorsicht" bei FRST auf Reparieren geht?


Im Anhang mal noch von 2 Rechnern besagte Dateien.
Wenn wirklich was drauf ist, habe ich eher den 1. Rechner im Verdacht, bin mir aber nicht sicher.





Rechner 1:



Die 2. Datei im nächsten Beitrag, da für diesen schon zu groß.

:hallo:



Mein Name ist Matthias und ich werde dir bei der Analyse und der eventuell notwendigen Bereinigung deines Computers helfen.



Poste bitte die andere Logdatei von FRST, Addition.txt.
Dann sehen wir weiter.
Wenn du kein Experte bist bzw. dich nicht wirklich gut mit FRST auskennst, sollest du nicht blind damit "rumspielen". Wir wollen ja nicht, dass du was "kaputt" machst. ;)
Dann hast du zudem schon selber "rumgespielt" und AdwCleaner und Kaspersky ausgeführt. Von diesen beiden Programmen hätte ich gerne die Logdateien mit den Funden.

Gootkit lt. Telekom, wonach muss ich in den LogFiles suchen
 

Hier nun endlich noch die 2. Datei



Und hier noch die beiden Dateien vom AdwCleaner.
Mit den Kasperskydaten kann ich leider nicht weiterhelfen.






Hoffe das hilft erst einmal weiter.

Wie schon geschrieben, würde ich gern wissen nach was ich suchen muß wenn es um den Gootkit geht. Einfach um erst einmal zu sehen auf welchem Rechner Handlungsbedarf ist.

Dann hat das Kasperle keinen Nutzen für uns, schade.
Aber du scheinst auch jemand zu sein, der ständig sein AntiVirenprogramm wechselt... mal Avast, mal McAfee, mal Kasperle... mit Sicherheit hat das nicht viel zu tun. Alle diese Programme hättest du dir sparen können.

Ob Gootkit auf dem Rechner war/ist, müssen wir erst auslesen, da wir ja nicht wissen, ob bzw. was Kaspersky noch erkannt hat.

Wir bereinigen jetzt erst mal dieses Gerät zu Ende. Wenn wir damit fertig sind, können wir uns das nächste Windows Gerät vornehmen. Eins nach dem anderen.


Zudem solltest du dir Gedanken über deine schlechten Downloadquellen machen, du hast dir ja alles Mögliche an PUP/Adware installiert.

Downloadquellen
Lade keine Software von Chip.de, Softonic.de, sourceforge.net, openoffice.de, VLC.de, audacity.de, gimp24.de oder updatestar.com.
Die dort angebotene Software wird häufig mit einem sog. "Installer" verteilt, mit dem man sich nur unerwünschte Software (Potentially Unwanted Programs, kurz PUP) oder Adware installiert.
Auf manchen Seiten wird direkt PUP / Adware zum Download angeboten.

Für Windows gibt es seit einiger Zeit einen brauchbaren Paketmanager, der mit einfachen Befehlen es erlaubt, automatisiert Software herunterzuladen und zu installieren. Das erspart eine Menge Arbeit, denn ohne einen Paketmanager muss man jedes Programm selbst prüfen und separat manuell updaten, vorher manuell noch runterladen etc. pp. - siehe auch --> chocolatey Paketmanager für Windows

Wir empfehlen dringend, alle Programme, sofern verfügbar, über chocolatey zu installieren. Falls du schon mit Linux zu tun hattest, wird dir die Syntax sehr vertraut sein.
Die FAQs zu choco findest du da --> Chocolatey: Häufig gestellte Fragen (englisch)
Selbstverständlich darfst du auch Fragen zu chocolatey im o.g. Thread zu chocolatey stellen.

Für den seltenen Fall, dass du das benötigte Programm nicht im repository von chocolatey findest: Lade diese Software immer direkt beim jeweiligen Hersteller / Entwickler.







Schritt 1
Die folgenden Programme sind veraltet, stören die Bereinigung oder es handelt sich um Werbesoftware bzw. unerwünschte Software (Adware, PUP) und müssen entfernt werden.

• Deinstalliere über Start > Einstellungen > Apps bzw. Start > Systemsteuerung > Programme deinstallieren die folgenden Programme:
  • SpyHunter
• Starte den Rechner im Anschluss neu auf.
• Gib eine kurze Rückmeldung, ob die Deinstallation erfolgreich war.

Schritt 2
WARNUNG AN ALLE MITLESER !!!
Dieses FRST-Script ist ausschließlich für diesen Nutzer gedacht und sollte niemals 1:1 für ein anderes System angewendet werden!

• Speichere deine Arbeiten und schließe alle offenen Programme, damit keine Daten verloren gehen.
• Kopiere den gesamten Inhalt der folgenden Code-Box:
  
  Code:

  ---

  Start::
CloseProcesses:
HKLM Group Policy restriction on software: %systemroot%\system32\mrt.exe <==== ACHTUNG
Edge Profile: C:\Users\Katja\AppData\Local\Microsoft\Edge\User Data\cId=128000000001363769&path= [2020-08-26] <==== ACHTUNG
HKLM\SOFTWARE\Policies\Mozilla\Firefox: Beschränkung <==== ACHTUNG
HKLM\SOFTWARE\Policies\Google: Beschränkung <==== ACHTUNG
Task: {7490A73F-CAAF-4109-9752-D8B4EFE1497A} - \Microsoft\Windows\UNP\RunCampaignManager -> Keine Datei <==== ACHTUNG
C:\Users\Katja\AppData\Roaming\Mozilla\Firefox\Profiles\x11q7e72.default-1575375523631\prefs.js
FF SearchPlugin: C:\Users\Katja\AppData\Roaming\Mozilla\Firefox\Profiles\x11q7e72.default-1575375523631\searchplugins\My Firefox Search.xml [2020-11-22]
FF HKLM\...\Firefox\Extensions: [nickrr878@gmail.com] - C:\Program Files (x86)\Vondos\amadello-1.0.3-fx.xpi => nicht gefunden
FF HKLM-x32\...\Firefox\Extensions: [nickrr878@gmail.com] - C:\Program Files (x86)\Vondos\amadello-1.0.3-fx.xpi => nicht gefunden
CHR DefaultSearchURL: Default -> hxxps://de.search.yahoo.com/search?fr=mcafee&type=E210DE91212G0&p={searchTerms}
CHR DefaultSearchKeyword: Default -> McAfee
CHR DefaultSuggestURL: Default -> hxxps://de.search.yahoo.com/sugg/gossip/gossip-de-partner?output=fxjson&appid=mca&source=yahoo_mcafee_searchassist&command={searchTerms}
S3 DevActSvc; C:\Program Files (x86)\ASUS\ASUS Device Activation\DevActSvc.exe [X]
S4 mccspsvc; "C:\Program Files\Common Files\McAfee\CSP\2.9.126.0\\McCSPServiceHost.exe" [X]
2021-02-01 09:13 - 2018-11-09 18:55 - 000000000 ____D C:\Users\Katja\AppData\Roaming\Lavasoft
2021-02-01 09:13 - 2018-11-09 18:55 - 000000000 ____D C:\Users\Katja\AppData\Local\Lavasoft
2021-02-01 09:13 - 2018-11-09 18:55 - 000000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Lavasoft
2021-02-01 09:13 - 2018-11-09 18:55 - 000000000 ____D C:\ProgramData\Lavasoft
2021-02-01 09:13 - 2018-11-09 18:55 - 000000000 ____D C:\Program Files (x86)\Lavasoft
2021-02-01 09:13 - 2018-02-21 14:25 - 000000995 _____ C:\Users\Katja\Desktop\Firefox.lnk
2021-02-01 09:13 - 2018-02-21 13:44 - 000000000 ____D C:\Users\Katja\AppData\LocalLow\IObit
2021-02-01 09:13 - 2018-02-21 13:43 - 000000000 ____D C:\Users\Katja\AppData\Roaming\IObit
2021-02-01 09:13 - 2018-02-21 13:43 - 000000000 ____D C:\ProgramData\IObit
2021-01-27 12:53 - 2018-04-18 15:26 - 000000000 ____D C:\ProgramData\Updater
ShellIconOverlayIdentifiers: [00asw] -> {472083B0-C522-11CF-8763-00608CC02F24} =>  -> Keine Datei
ContextMenuHandlers5: [igfxcui] -> {3AB1675A-CCFF-11D2-8B20-00A0C93CB1F4} =>  -> Keine Datei
CMD: reg query HKCU\Software
CMD: reg query HKCU\Environment
AV: Avast Antivirus (Enabled - Up to date) {8EA8924E-BC81-DC44-8BB0-8BAE75D86EBF}
AS: McAfee VirusScan (Disabled - Up to date) {30AC4D1E-F45E-3AA6-6448-D23DAB3B5501}
AS: Avast Antivirus (Enabled - Up to date) {35C973AA-9ABB-D3CA-B100-B0DC0E5F2402}
CMD: ipconfig /flushdns
CMD: netsh winsock reset
CMD: netsh advfirewall reset
CMD: netsh advfirewall set allprofiles state ON
CMD: Bitsadmin /Reset /Allusers
powershell: Set-MpPreference -PUAProtection Enabled
powershell: Set-MpPreference -DisableScanningNetworkFiles 0
Hosts:
RemoveProxy:
SystemRestore: On
EmptyTemp:
End::

  ---

• Starte nun FRST und klicke direkt den Reparieren Button.
  Wichtig: Du brauchst den Inhalt der Code-Box nirgends einfügen, da sich FRST den Code aus der Zwischenablage holt!
• Das Tool führt die gewünschten Schritte aus und erstellt eine fixlog.txt im selben Verzeichnis, in dem sich FRST befindet.
• Gegebenenfalls muss dein Rechner neu gestartet werden.
• Poste mir den Inhalt der fixlog.txt mit deiner nächsten Antwort.

Schritt 3

• Starte FRST erneut. Vergewissere dich, dass vor Addition.txt ein Haken gesetzt ist und drücke auf Untersuchen.
• FRST erstellt wieder zwei Logdateien (FRST.txt und Addition.txt).
• Poste mir beide Logdateien mit deiner nächsten Antwort.

Bitte poste mit deiner nächsten Antwort:

• eine Rückmeldung bezüglich der Deinstallationen
• die Logdatei des FRST-Fix (fixlog.txt)
• die beiden neuen Logdateien von FRST (FRST.txt und Addition.txt)

Gootkit lt. Telekom, wonach muss ich in den LogFiles suchen
 

Die Antwort dauert leider immer etwas länger.
Im Moment ist der Rechner "auf Reisen". Deshalb etwas umständlich, aber wir bekommen es hin.

Deinstallation lief ohne Probleme durch.
Neustart nach Fertigstellung. Alles OK.

Und jetzt die Files.



Jetzt die FRST



Die 3. Datei im nächsten Beitrag.

Gootkit lt. Telekom, wonach muss ich in den LogFiles suchen
 

Und hier noch die Addition




Jetzt bin ich gespannt.

Die Malware Gootkit ist nicht zu sehen.
Dafür noch etwas PUP/Adware, die ich gerne aufspühren und entfernen möchte.




Schritt 1
Führe RogueKiller Anti-Malware gemäß der bebilderten Anleitung aus und poste abschließend die Logdatei.





Schritt 2

• Starte FRST erneut. Kopiere den Inhalt der folgenden Code-Box oben in das Suchfeld:
  
  Code:

  ---

  SearchAll: Chip Digital;Advanced SystemCare;GoodGame;Lavasoft;Web Companion;webcompanion;Qweb;Startfenster;Vondos;QScan System-Check;WebDiscoverBrowser;{92e8bd03-8c7b-4afa-8197-58d85c78203f};AdvancedSystemCare;{32d829ea-7c44-4510-b199-a212400315c5}

  ---

• Klicke auf den Button Datei-Suche.
• FRST beginnt mit dem Suchlauf. Das kann einige Zeit dauern, bitte gedulde dich!
• Am Ende wird eine Textdatei Search.txt erstellt.
• Poste mir deren Inhalt mit deiner nächsten Antwort.

Bitte poste mit deiner nächsten Antwort:

• die Logdatei von EEK
• die Logdatei des FRST-Suchlaufs (Search.txt)

Gootkit lt. Telekom, wonach muss ich in den LogFiles suchen
 

Hier mal die 2 Dateien.



Und noch die Search

Schritt 1

• Speichere deine Arbeiten und schließe alle offenen Programme, damit keine Daten verloren gehen.
• Kopiere den gesamten Inhalt der folgenden Code-Box:
  
  Code:

  ---

  Start::
C:\Windows\SysWOW64\config\systemprofile\AppData\Local\Lavasoft
C:\Windows\SysWOW64\config\systemprofile\AppData\Local\Lavasoft\WebCompanion.exe_Url_siq0lwf3tzgxp2khfkllybk3idtbehng
C:\Users\Katja\Favorites\Qweb Converter installieren
C:\Users\Katja\Favorites\Links\Qweb Converter installieren
C:\ProgramData\Application Data\Lavasoft
C:\Program Files (x86)\IObit
DeleteKey: HKLM\SOFTWARE\Classes\Installer\Assemblies\C:|Program Files (x86)|Chip Digital GmbH|chip1click|chip 1-click installer.exe
DeleteKey: HKLM\SOFTWARE\Classes\Installer\Assemblies\C:|Program Files (x86)|Chip Digital GmbH|chip1click|CHIP Active Download.exe
DeleteKey: HKLM\SOFTWARE\Classes\Installer\Assemblies\C:|Program Files (x86)|Chip Digital GmbH|chip1click|CHIP Starter.exe
DeleteKey: HKLM\SOFTWARE\Classes\Installer\Assemblies\C:|Program Files (x86)|Chip Digital GmbH|chip1click|CHIP Updater.exe
DeleteKey: HKLM\SOFTWARE\Classes\Installer\Assemblies\C:|Program Files (x86)|Chip Digital GmbH|chip1click|SplashForm.exe
S3 iobit_monitor_server; C:\Program Files (x86)\IObit\Advanced SystemCare\drivers\Monitor_win10_x64.sys [24056 2017-07-19] (IObit Information Technology -> IObit)
DeleteKey: HKEY_LOCAL_MACHINE\SYSTEM\Setup\FirstBoot\Services\iobit_monitor_server
DeleteKey: HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Lavasoft
DeleteKey: HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Uninstall\{92e8bd03-8c7b-4afa-8197-58d85c78203f}
DeleteKey: HKEY_USERS\S-1-5-21-2081738662-375674699-890820183-1001\Software\Lavasoft
DeleteKey: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Products\F38CB9BEC125907489FEBE7F980DDA75
DeleteKey: HKEY_USERS\S-1-5-21-2081738662-375674699-890820183-1001\Software\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\StartupFolder|QScan System-Check.lnk
DeleteKey: HKEY_LOCAL_MACHINE\SOFTWARE\Clients\StartMenuInternet\WebDiscoverBrowser
DeleteValue: HKEY_LOCAL_MACHINE\SOFTWARE\RegisteredApplications|WebDiscoverBrowser
DeleteQuarantine:
Unlock: C:\FRST
Reboot:
End::

  ---

• Starte nun FRST und klicke direkt den Reparieren Button.
  Wichtig: Du brauchst den Inhalt der Code-Box nirgends einfügen, da sich FRST den Code aus der Zwischenablage holt!
• Das Tool führt die gewünschten Schritte aus und erstellt eine fixlog.txt im selben Verzeichnis, in dem sich FRST befindet.
• Gegebenenfalls muss dein Rechner neu gestartet werden.
• Poste mir den Inhalt der fixlog.txt mit deiner nächsten Antwort.

Schritt 2
Auf deinem Computer fehlt das aktuelle Funktionsupdate Version 20H2.

• Folge dem Pfad Start > Einstellungen > Update und Sicherheit > Windows Update und klicke auf Nach Updates suchen.
• Wähle das Funktionsupdates aus, downloade und installiere es.
• Alternativ kannst du auch mit dem Update Assistenten deine Windows-Version auf den neuesten Stand bringen.
  Klicke dazu auf Jetzt aktualisieren, lade dir den Update-Assistenten herunter und führe ihn aus.

Dann wären wir durch!
Wenn du keine Probleme mehr mit Malware hast, dann sind wir hier fertig. Deine Logdateien sind sauber. :daumenhoc


Abschließend bitte noch einen Cleanup mit unserem TBCleanUpTool durchführen und unbedingt die Sicherheitsmaßnahmen lesen und umsetzen - beides ist in folgendem Lesestoff verlinkt:




Wenn Du möchtest, kannst Du hier sagen, ob du mit mir und meiner Hilfe zufrieden warst...:dankeschoen:
Vielleicht möchtest du das Forum mit einer kleinen Spende https://www.trojaner-board.de/extra/spende.png unterstützen. :applaus:


Hinweis:
Bitte gib mir eine kurze Rückmeldung, sobald du die oben verlinkten Informationen gelesen hast, alles erledigt ist und keine Fragen mehr vorhanden sind, so dass ich dieses Thema aus meinen Abos löschen kann.

Damit wären wir mit diesem Windows Rechner fertig.

Wenn wir noch ein weiteren Rechner überprüfen sollen, dann eröffne dazu bitte ein neues Thema.




Wir sind froh, dass wir helfen konnten :abklatsch:

Dieses Thema scheint erledigt und wird aus unseren Abos gelöscht. Solltest Du das Thema erneut brauchen, schicke uns bitte eine Erinnerung inklusive Link zum Thema.

Jeder andere bitte hier klicken und ein eigenes Thema erstellen.