Windows 10: Anderer Browser und fragwürdige Datei "bloom.exe"
 

Hallo,
ich habe vor ca. 1 Woche auf meinem PC eine Datei namens "Bloom.exe" gefunden. Nachdem ich danach gegooglet habe und herausgefunden habe, dass dies ein KryptoTrojaner ist, habe ich diesen mit dem AntiVirus Programm ESET Online Scanner entfernt. (Leider keine Logfile vorhanden)
Allerdings habe ich seit dem öfters mal das sich CMD öffnet und direkt wieder schließt und manchmal sich die Suchmaschine in meinem Browser (Google Chrome) von Google zu Bing oder Yahoo wechselt.
Ich vermute, dass der Virus noch nicht richtig entfernt ist und hoffe das ihr mir helfen könnt.

VG
Marvin

Und wieder die Logs in den Anhang. Wo bitte steht das? Es steht doch ausdrücklich, dass die Logs direkt in CODE-Tags gepostet werden sollen.

Ja das habe ich versucht, allerdings hieß es, dass die nachricht zu lang ist und als mehrere Post gesendet werden soll. Allerdings hieß es auch, dass man nicht unter dem Post antworten soll.
Wenn es besser ist, hier als CODE

FRST.txt

Addition.txt

Was installiert ihr euch alle immer nur für nen Dreck auf den Rechner? Tonnen von ASUS und AURA-Unsinn, cfosspeed? Wozu dieser ganze Quatsch? Windows läuft nicht besser, durch mehr installierte Programme. Hau den ganzen unnötigen Krempel mal runter.

Das ASUS Programm ist für meine Grafikkarte, genauso wie Aura. Aura ist für die Beleuchtung der Grafikkarte. was cfossspeed ist, weiß ich nicht. Das kann ich natürlich entfernen

Es hat auch niemand gefordert, dass du deine Treiber entfernst. Aber diese ganze unnötige Spielkrams.
Deinstalliere auch das Java Runtime Environment und ersetze Google Chrome durch Firefox.

Habe über die Systemsteuerung und dann "Programme und Features" soweit das Entfernt was ich nicht brauche. Java ebendfalls.

Von Chrome würde ich mich ungern trennen, da ich diesen zu Firefox bevorzuge. Welchen vorteil bietet mir Firefox?

Kann man denn erstmal so fortfahren, ich behalte es auf jeden fall im Hinterkopf. Und schaue mich mal um mit dem Browser

adwCleaner

Führe AdwCleaner gemäß der bebilderten Anleitung aus und poste abschließend die Logdatei in CODE-Tags.

adwcleaner zwecks Kontrolle bitte wiederholen, falls es Funde gab.

AdwCleaner[C00].txt
AdwCleaner[S00].txt

Dann bitte jetzt mit Malwarebytes fortfahren

MBAM.txt

Neue FRST.txt und Addition.txt bitte

FRST.txt

Addition.txt

Wieso ist da immer noch Java drauf?

Java hatte ich eigentlich mit deinstalliert. Ich mache es erneut!

Ich steige hier kurz mit ein. :)

Bitte den folgenden Fix ausführen und die dazugehörige Logatei posten.




Schritt 1
WARNUNG AN ALLE MITLESER !!!
Dieses FRST-Script ist ausschließlich für diesen Nutzer gedacht und sollte niemals 1:1 für ein anderes System angewendet werden!

• Speichere deine Arbeiten und schließe alle offenen Programme, damit keine Daten verloren gehen.
• Kopiere den gesamten Inhalt der folgenden Code-Box:
  
  Code:

  ---

  Start::
SystemRestore: On
CreateRestorePoint:
CloseProcesses:

HKU\S-1-5-21-1413587420-4103481686-2398078052-1001\...\Run: [SignalRgb] => "C:\Users\Marvin\AppData\Local\VortxEngine\SignalRgbLauncher.exe" --silent (Keine Datei)
HKU\S-1-5-21-1413587420-4103481686-2398078052-1001\...\Run: [MicrosoftEdgeAutoLaunch_F685726A62F3A6F634D755C9957574A5] => "C:\Program Files (x86)\Microsoft\Edge\Application\msedge.exe" --no-startup-window --win-session-start /prefetch:5 [3595192 2022-06-13] (Microsoft Corporation -> Microsoft Corporation)
HKLM-x32\...\Run: [TeamsMachineUninstallerProgramData] => %ProgramData%\Microsoft\Teams\Update.exe --uninstall --msiUninstall --source=default (Keine Datei)
Task: {4ED70AB3-1FD7-4D70-AF27-8372356C83CA} - System32\Tasks\EOSv3 Scheduler onLogOn => C:\Users\Marvin\Downloads\ESETOnlineScanner_DEU.exe LOGON (Keine Datei)
Task: {E4AF7FB6-3DF4-4571-8031-15E8F90DCB04} - System32\Tasks\EOSv3 Scheduler onTime => C:\Users\Marvin\Downloads\ESETOnlineScanner_DEU.exe SCHED (Keine Datei)
Edge Notifications: Default -> hxxps://store.ubi.com
CHR Notifications: Default -> hxxps://meet.google.com
S3 GPU-Z-v2; \??\C:\Users\Marvin\AppData\Local\Temp\GPU-Z-v2.sys [X] <==== ACHTUNG
S3 semav6msr64; \??\C:\Windows\system32\drivers\semav6msr64.sys [X]

Unlock: C:\Users\Marvin\AppData\Local\chrome_storage
CMD: type "C:\Users\Marvin\AppData\Local\chrome_storage\background.js"
CMD: type "C:\Users\Marvin\AppData\Local\chrome_storage\manifest.json"
C:\Users\Marvin\AppData\Local\chrome_storage

startpowershell:
Set-Service -Name "BITS" -StartupType Manual -Verbose
Set-Service -Name "Dhcp" -StartupType Automatic -Verbose
Set-Service -Name "EventLog" -StartupType Automatic -Verbose
Set-Service -Name "EventSystem" -StartupType Automatic -Verbose
Set-Service -Name "nsi" -StartupType Automatic -Verbose
Set-Service -Name "RasMan" -StartupType Manual -Verbose
Set-Service -Name "SDRSVC" -StartupType Manual -Verbose
Set-Service -Name "SstpSvc" -StartupType Manual -Verbose
Set-Service -Name "TrustedInstaller" -StartupType Manual -Verbose
Set-Service -Name "VSS" -StartupType Manual -Verbose
Set-Service -Name "Winmgmt" -StartupType Automatic -Verbose
Set-Service -Name "wuauserv" -StartupType Manual -Verbose

Set-MpPreference -DisableAutoExclusions $true -Force
set-mppreference -mapsreporting basic -Force
set-mppreference -DisableRealtimeMonitoring $false -Force
set-mppreference -DisablePrivacyMode $true -Force
set-mppreference -DisableIOAVProtection $false -Force
set-mppreference -CheckForSignaturesBeforeRunningScan $true -Force
set-mppreference -PUAProtection enabled -Force
Set-MpPreference -DisableBehaviorMonitoring $false -Force
Set-MpPreference -SignatureScheduleDay Everyday -force
set-mppreference -RealTimeProtectionEnabled $true -force
set-mppreference -OnAccessProtectionEnabled $true -force

Function Remove-all-windefend-excludes {
$Paths=(Get-MpPreference).ExclusionPath
$Extensions=(Get-MpPreference).ExclusionExtension
$Processes=(Get-MpPreference).ExclusionProcess
foreach ($Path in $Paths) { Remove-MpPreference -ExclusionPath $Path -force}
foreach ($Extension in $Extensions) { Remove-MpPreference -ExclusionExtension $Extension -force}
foreach ($Process in $Processes) { Remove-MpPreference -ExclusionProcess $Process -force}
}
Set-MpPreference -DisableAutoExclusions $true -Force
Remove-all-windefend-excludes
endpowershell:

ExportKey: HKCU\software\classes\ms-settings\shell\open\command
ExportKey: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender\Exclusions
ExportKey: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths
ExportKey: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU
ExportKey: SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection

CMD: ipconfig /flushdns
CMD: netsh winsock reset catalog
CMD: netsh advfirewall reset
CMD: netsh advfirewall set allprofiles state ON
CMD: netsh winhttp reset proxy
CMD: Bitsadmin /Reset /Allusers
CMD: Winmgmt /salvagerepository
CMD: Winmgmt /resetrepository
CMD: winmgmt /resyncperf
CMD: "%WINDIR%\SYSTEM32\lodctr.exe" /R
CMD: "%WINDIR%\SysWOW64\lodctr.exe" /R
CMD: "%WINDIR%\SYSTEM32\lodctr.exe" /R
CMD: "%WINDIR%\SysWOW64\lodctr.exe" /R

Hosts:
RemoveProxy:
C:\WINDOWS\SysWOW64\*.tmp
C:\WINDOWS\System32\*.tmp
C:\Windows\SystemTemp\*.tmp
EmptyTemp:
End::

  ---

• Starte nun FRST und klicke direkt den Reparieren Button.
  Wichtig: Du brauchst den Inhalt der Code-Box nirgends einfügen, da sich FRST den Code aus der Zwischenablage holt!
• Das Tool führt die gewünschten Schritte aus und erstellt eine fixlog.txt im selben Verzeichnis, in dem sich FRST befindet.
• Gegebenenfalls muss dein Rechner neu gestartet werden.
• Poste mir den Inhalt der fixlog.txt mit deiner nächsten Antwort.

Fixlog.txt

Gut gemacht. :abklatsch:

Wie läuft das System?



Schritt 1

• Starte FRST erneut und klicke auf Untersuchen.
• FRST erstellt nun zwei Logdateien (FRST.txt und Addition.txt).
• Poste mir beide Logdateien mit deiner nächsten Antwort.

Das System läuft ohne Probleme.
Das sich CMD öffnet habe ich jetzt seit dem ich Malwarebytes drüber laufen gelassen habe, auch nicht gemerkt!

FRST.txt

Addition.txt

Dann wären wir durch!
Wenn du keine Probleme mehr mit Malware hast, dann sind wir hier fertig. Deine Logdateien sind sauber. :daumenhoc

Wenn Du möchtest, kannst Du hier sagen, ob du mit mir und meiner Hilfe zufrieden warst...:dankeschoen:
Vielleicht möchtest du das Forum mit einer kleinen Spende https://www.trojaner-board.de/extra/spende.png unterstützen. :applaus:





Schritt 1

• Speichere deine Arbeiten und schließe alle offenen Programme, damit keine Daten verloren gehen.
• Rechtsklicke auf FRST64 und wähle Umbenennen.
• Benenne FRST64 in Uninstall um.
• Starte Uninstall.
• FRST und die dazugehörigen Dateien/Odner werden entfernt.
• Klicke auf Ok, um den Rechner zum Abschluss neu zu starten.

Zum Schluss bitte unbedingt die Sicherheitsmaßnahmen lesen und umsetzen:



Hinweis:
Bitte gib mir eine kurze Rückmeldung, sobald du die oben verlinkten Informationen gelesen hast, alles erledigt ist und keine Fragen mehr vorhanden sind, so dass ich dieses Thema aus meinen Abos löschen kann.

Super dankeschön für die schnelle Hilfe :dankeschoen:

Wir sind froh, dass wir helfen konnten :abklatsch:

Dieses Thema scheint erledigt und wird aus unseren Abos gelöscht. Solltest Du das Thema erneut brauchen, schicke uns bitte eine Erinnerung inklusive Link zum Thema.

Jeder andere bitte hier klicken und ein eigenes Thema erstellen.