Win 10: Chrome und Firefox leiten sporadisch auf zufällige Onlineshops um. (Ich musste selbst antworten wegen langen Logs)
 

Hallo,
Sporadisch leiten Chrome und Firefox beim laden von Seiten auf andere Seiten, meist Onlineshops um. Chrome stürzt auch gelegentlich ab. Gehäuft, aber nicht ausschließlich nach dem Starten.
Avast fand bei einem Scan ein paar Sachen ich hab da aber keinen Log raus bekommen
Anschließender Scan mit Malwarebytes ergab nochmal deutlich mehr. Nachdem Malwarebytes fertig war ließ sich in Chrome keine Seite mehr laden und alle Erweiterungen haben andauernd die Meldung gebracht, dass sie abgestürzt sind.

FRST logs in den Antworten, die Assision.txt musste ich aufsplitten, weil sie alleine die Längenbeschränkung gesprengt hat.

FRST.txt
 

Addition.txt
 

Addition.txt fortsetzung
 

:hallo:



Mein Name ist Matthias und ich werde dir bei der Analyse und Bereinigung deines Systems helfen.



Dein System ist mit der Malware "DownloadProtect" infiziert.


Leider werden dadurch oftmals die Browser in Mitleidenschaft gezogen, sodass man sie neu installieren muss.

Daher solltest du Google Chrome zuerst einmal vollständig deinstallieren und anschließend neu installieren (sofern benötigt).
Anschließend bitte eine Kontrolle mit MBAM (Schrit 2) und AdwCleaner (Schritt 3).
Danach geht es - je nachdem was die Logdateien anzeigen - passend weiter.




Schritt 1

• Deinstalliere Google Chrome über Start > Einstellungen > Apps.
• Setze bei der Deinstallation auch einen Haken vor Auch die Browserdaten löschen.
• Starte den Rechner im Anschluss neu auf.
• Installiere Google Chrome neu (falls benötigt). Vorerst keine Erweiterungen/Plugins installieren und nicht mit einem evtl. vorhandenen Konto verbinden/synchronisieren.

Schritt 2
Führe Malwarebytes' AntiMalware (MBAM) gemäß der bebilderten Anleitung aus und poste abschließend die Logdatei.





Schritt 3
Führe AdwCleaner gemäß der bebilderten Anleitung aus und poste abschließend die Logdatei.





Bitte poste mit deiner nächsten Antwort:

• eine Rückmeldung bezüglich der Deinstallationen
• die Logdatei von MBAM
• die Logdatei von AdwCleaner

Hi Matthias,
Chrome lässt sich nicht deinstallieren. Beim ersten versuch hat es nicht geklappt und jetzt ist es nicht mehr in der Liste. Auch nicht nach Neustart. Systemwiederherstellung an einen Punkt bevor Avast und Malwarebytes rumgepfuscht haben hat auch nicht geklappt weilt alle älteren Widerherstellungspunkte weg sind, obwohl ausreichend Speicher dafür zu verfügung steht und auch konfiguriert ist.
LG Simon

Wenn es nicht mehr gelistet ist, war die Deinstalltion eventuell unvollständig.

Wechsle temporär auf Firefox bzw. Edge. Wir schauen uns den Browser später noch an.

Bitte die Schritte 2 und 3 ausführen und die Logdateien dazu posten.

Ok, gut gemacht.


Als Nächstes brauche ich neue Logdateien von FRST.



Schritt 1

• Starte FRST erneut und klicke auf Untersuchen.
• FRST erstellt nun zwei Logdateien (FRST.txt und Addition.txt).
• Poste mir beide Logdateien mit deiner nächsten Antwort.

FRST.exe
Addition.txt part 1

Addition.txt part 2

Sehr gut. :daumenhoc


Wir entfernen schädliche und verwaiste Einträge mit FRST.
Zudem reparieren wir die Windows Systemdateien.
Dieser Fix kann einige Minuten dauern.
Bitte gedulde dich und lass FRST in Ruhe arbeiten.






Schritt 1
WARNUNG AN ALLE MITLESER !!!
Dieses FRST-Script ist ausschließlich für diesen Nutzer gedacht und sollte niemals 1:1 für ein anderes System verwendet werden!

• Speichere deine Arbeiten und schließe alle offenen Programme, damit keine Daten verloren gehen.
• Kopiere den gesamten Inhalt der folgenden Code-Box:
  
  Code:

  ---

  Start::
SystemRestore: On
CreateRestorePoint:
CloseProcesses:
VirusTotal: C:\Users\simon\AppData\Roaming\Mozilla\Firefox\Profiles\qowgic7j.default-release\Extensions\{174C99B9-0732-489B-A2A5-DB0C5D9037EF}.xpi
C:\Users\simon\AppData\Roaming\Mozilla\Firefox\Profiles\qowgic7j.default-release\Extensions\{174C99B9-0732-489B-A2A5-DB0C5D9037EF}.xpi
FF user.js: detected! => C:\Users\simon\AppData\Roaming\Mozilla\Firefox\Profiles\qowgic7j.default-release\user.js [2023-02-07]
SearchScopes: HKU\S-1-5-21-3169502908-902827584-3790792595-1003 -> DefaultScope {CBB7C3AC-E618-4F1F-914A-932E0EB0D1D4} URL =
SearchScopes: HKU\S-1-5-21-3169502908-902827584-3790792595-1003 -> {CBB7C3AC-E618-4F1F-914A-932E0EB0D1D4} URL =
Task: {05fd1d11-575b-4684-ba35-47d2306aa2fd} - kein Dateipfad
Task: {12c612d4-e7ee-4ab4-b83e-f9effcc0f1e1} - kein Dateipfad
Task: {12d12f9f-6ca3-4fb4-8dce-b01eb73b18a0} - kein Dateipfad
Task: {14fb935a-bffe-4561-997f-3f59aabfaf70} - kein Dateipfad
Task: {1636b0e7-a8a0-40a8-840f-07e36bcb54ef} - kein Dateipfad
Task: {1cc00fe9-2ba1-4f8c-8a3e-d4f2bd8f32ed} - kein Dateipfad
Task: {1e31facd-4b08-4a58-a8e9-b7ab36027d0c} - kein Dateipfad
Task: {21731208-0ce6-4218-a7f4-8008be17e59a} - kein Dateipfad
Task: {2f6f8d82-e0d4-43d7-ada1-c6f0badd844d} - kein Dateipfad
Task: {355a9b39-fb8c-43eb-94f9-21a42b713623} - kein Dateipfad
Task: {357ceb4b-ecbc-4868-98b1-666405f3adaf} - kein Dateipfad
Task: {40329724-37fa-4944-8205-7a46912c38b6} - kein Dateipfad
Task: {4104f5e7-8791-4a14-a20f-f573b39c4bb6} - kein Dateipfad
Task: {4f3ffed8-85fc-470b-a593-c503e1a2e4eb} - kein Dateipfad
Task: {565ba38c-7962-4933-ab85-4c41ec579874} - kein Dateipfad
Task: {63faf16f-e52d-4412-aebb-3cf270fe0d9e} - kein Dateipfad
Task: {8397deb5-2ef5-4b1b-b6b3-1a400aa0189e} - kein Dateipfad
Task: {86df42a6-ba72-4f84-ab23-8a301949b774} - kein Dateipfad
Task: {8f9e7651-78d4-427c-84c7-eb3088736f6d} - kein Dateipfad
Task: {908531c3-c228-4498-a9be-92faea376c8b} - kein Dateipfad
Task: {9b0e2c6f-06ec-4417-b2f1-ef51e036b72d} - kein Dateipfad
Task: {a4ca3d15-f427-4086-85a3-5967174b6618} - kein Dateipfad
Task: {b84abdc5-037d-4070-b3bb-1c009aa252af} - kein Dateipfad
Task: {bc4a5c69-e269-4ec4-9435-76ed5a408259} - kein Dateipfad
Task: {bd3d5418-2dda-43dc-8a88-5827e5a4a706} - kein Dateipfad
Task: {e3dd89b5-942f-4894-a8e6-1e6777941d1e} - kein Dateipfad
Task: {e88cb1ba-e33c-49e8-8ffc-84e700cc0e70} - kein Dateipfad
Task: {F04FD8F4-7B68-4E82-9FBC-69920B5A65E5} - \@bthpan.inf,%BthPan.DisplayName%;BluetoothDeviceBluetooth-Unterstützungsdienst -> Keine Datei <==== ACHTUNG
Task: {f50b52b0-a59b-4190-aa92-7b4be553cdb6} - kein Dateipfad
Task: {fa23ec11-d909-4a4e-a9d3-083f96bfe7e2} - kein Dateipfad
Edge Extension: (Kein Name) -> AutoFormFill_5ED10D46BD7E47DEB1F3685D2C0FCE08 => C:\Windows\SystemApps\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\Assets\HostExtensions\AutoFormFill [nicht gefunden]
Edge Extension: (Kein Name) -> BookReader_B171F20233094AC88D05A8EF7B9763E8 => C:\Windows\SystemApps\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\Assets\BookViewer [nicht gefunden]
Edge Extension: (Kein Name) -> LearningTools_7706F933-971C-41D1-9899-8A026EB5D824 => C:\Windows\SystemApps\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\Assets\HostExtensions\LearningTools [nicht gefunden]
Edge Extension: (Kein Name) -> PinJSAPI_EC01B57063BE468FAB6DB7EBFC3BF368 => C:\Windows\SystemApps\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\Assets\HostExtensions\PinJSAPI [nicht gefunden]
C:\Users\AllUserName\AppData\Local\Google\Chrome
DeleteKey: HKLM\SOFTWARE\Google\Chrome
DeleteKey: HKLM\SOFTWARE\WOW6432Node\Google\Chrome
DeleteKey: HKCU\SOFTWARE\Google\Chrome
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Beschränkung <==== ACHTUNG
GroupPolicy-Firefox: Beschränkung <==== ACHTUNG
Policies: C:\ProgramData\NTUSER.pol: Beschränkung <==== ACHTUNG
HKLM\SOFTWARE\Policies\Mozilla\Firefox: Beschränkung <==== ACHTUNG
HKLM\SOFTWARE\Policies\Google: Beschränkung <==== ACHTUNG
HKLM\SOFTWARE\Policies\Microsoft\Edge: Beschränkung <==== ACHTUNG
startpowershell:
Function Remove-all-windefend-excludes {
$Paths=(Get-MpPreference).ExclusionPath
$Extensions=(Get-MpPreference).ExclusionExtension
$Processes=(Get-MpPreference).ExclusionProcess
foreach ($Path in $Paths) { Remove-MpPreference -ExclusionPath $Path -force}
foreach ($Extension in $Extensions) { Remove-MpPreference -ExclusionExtension $Extension -force}
foreach ($Process in $Processes) { Remove-MpPreference -ExclusionProcess $Process -force}
}
Set-MpPreference -DisableAutoExclusions $true -Force
Remove-all-windefend-excludes
endpowershell:
CMD: netsh winsock reset
CMD: netsh int ip reset
CMD: ipconfig /flushdns
CMD: netsh advfirewall reset
CMD: netsh advfirewall set allprofiles state ON
CMD: netsh winhttp reset proxy
CMD: Bitsadmin /Reset /Allusers
CMD: "%WINDIR%\SYSTEM32\lodctr.exe" /R
CMD: "%WINDIR%\SysWOW64\lodctr.exe" /R
CMD: "%WINDIR%\SYSTEM32\lodctr.exe" /R
CMD: "%WINDIR%\SysWOW64\lodctr.exe" /R
CMD: cscript /nologo %systemroot%\System32\slmgr.vbs /dlv
CMD: sfc /scannow
Hosts:
RemoveProxy:
EmptyTemp:
End::

  ---

• Starte nun FRST und klicke direkt auf den Button Reparieren.
  Wichtig: Du brauchst den Inhalt der Code-Box nirgends einfügen, da sich FRST den Code aus der Zwischenablage holt!
  
  
• Wichtig:
  • Bitte gedulde dich, sobald du die Reparatur gestartet hast. Je nach Art und Umfang der notwendigen Reparaturen kann dies einige Minuten dauern.
    Eventuell erhältst du während der Reparatur auch die Information "keine Rückmeldung" von FRST. Das ist normal, du musst nichts weiter tun, nur warten.
  • Mit diesem Fix werden alle temporären Dateien/Browserdaten sowie der Papierkorb gelöscht.
  
  
• Das Tool führt die gewünschten Schritte aus und erstellt eine fixlog.txt im selben Verzeichnis, in dem sich FRST befindet.
• Gegebenenfalls muss dein Rechner neu gestartet werden.
• Poste mir den Inhalt der fixlog.txt mit deiner nächsten Antwort.

Bitte poste mit deiner nächsten Antwort:

• die Logdatei des FRST-Fix (fixlog.txt)

Fixlog.txt

Sehr gut gemacht. :applaus:


Bitte nun eine neue Kontrolle mit FRST, wie es jetzt aussieht.



Schritt 1

• Starte FRST erneut und klicke auf Untersuchen.
• FRST erstellt nun zwei Logdateien (FRST.txt und Addition.txt).
• Poste mir beide Logdateien mit deiner nächsten Antwort.

FRST.txt

Addiion.txt

Ok, das sieht schon viel besser aus.


Wir machen noch zwei Kontrollen, bevor wir zum Abschluss kommen.
Tipps gibts dann zum Abschluss.






Schritt 1
Führe ESET Online Scanner gemäß der bebilderten Anleitung aus und poste abschließend die Logdatei.





Schritt 2
Führe SecurityCheck gemäß der bebilderten Anleitung aus und poste abschließend die Logdatei.





Bitte poste mit deiner nächsten Antwort:

• die Logdatei von ESET
• die Logdatei von SecurityCheck

ESETonlinescanner.txt
SecurityCheck.txt

Auf deinem System befinden sich zahlreiche veraltete Programme, Windows ist auch nicht aktuell.
Du musst dringend darauf achten, alles aktuell zu halten... Stichwort Systempflege.




Bitte die folgenden Programme updaten (falls noch benötigt) oder deinstallieren (falls nicht mehr benötigt):

• Git v.2.35.1.2 Warning! Download Update
• Notepad++ (64-bit x64) v.8.4.5 Warning! Download Update
• PuTTY release 0.76 (64-bit) v.0.76.0.0 Warning! Download Update
• Oracle VM VirtualBox 6.1.18 v.6.1.18 Warning! Download Update
• NVIDIA GeForce Experience 3.25.1.27 v.3.25.1.27 Warning! Download Update
• calibre 64bit v.6.2.1 Warning! Download Update
• Python 3.10.0 (64-bit) v.3.10.150.0 Warning! Download Update
• Microsoft Visual Studio Code (User) v.1.74.3 Warning! Download Update
• Python 3.11.0 (64-bit) v.3.11.150.0 Warning! Download Update
• Python 3.7.8 (64-bit) v.3.7.8150.0 Warning! Download Update
• WinSCP 5.19.5 v.5.19.5 Warning! Download Update
• Microsoft OneDrive v.22.151.0717.0001 Warning! Download Update
• 7-Zip 19.00 (x64) v.19.00 Warning! Download Update
• TreeSize Free V4.4.2 v.4.4.2 Warning! Download Update
• Cisco Webex Meetings v.41.5.4 Warning! Download Update
• Microsoft Teams v.1.6.00.1381
• WhatsApp v.2.2304.7 Warning! Download Update
• Zoom v.5.9.3 (3169) Warning! Download Update
• Telegram Desktop v.4.6 Warning! Download Update
• OpenVPN 2.5.7-I602 amd64 v.2.5.036 Warning! Download Update
• Audacity 2.4.2 v.2.4.2 Warning! Download Update
• VLC media player v.3.0.16 Warning! Download Update
• Microsoft Edge v.106.0.1370.52 Warning! Download Update

Die Downloadlinks findest du in der Logdatei von SecurityCheck.





Entfernung der verwendeten Tools
Führe KpRm gemäß der bebilderten Anleitung aus und poste abschließend die Logdatei.







Dann wären wir durch!
Wenn du keine Probleme mehr mit Malware hast, dann sind wir hier fertig. Deine Logdateien sind sauber. :daumenhoc

Wenn Du möchtest, kannst Du hier sagen, ob du mit mir und meiner Hilfe zufrieden warst...:dankeschoen:
Vielleicht möchtest du das Forum mit einer kleinen Spende https://www.trojaner-board.de/extra/spende.png unterstützen. :applaus:





Windows aktualisieren
Auf deinem Computer fehlt das aktuelle Funktionsupdate Version 22H2.

• Folge dem Pfad Start > Einstellungen > Update und Sicherheit > Windows Update und klicke auf Nach Updates suchen.
• Wähle alle angebotenen Kumulativen Updates bzw. Funktionsupdates aus, downloade und installiere sie.
• Starte den Rechner zum Abschluss neu.
• Wiederhole den Vorgang, bis keine neuen Updates mehr angezeigt werden.

Zum Schluss bitte unbedingt die Sicherheitsmaßnahmen lesen und umsetzen:



Hinweis:
Bitte gib mir eine kurze Rückmeldung, sobald du die oben verlinkten Informationen gelesen hast, alles erledigt ist und keine Fragen mehr vorhanden sind, so dass ich dieses Thema aus meinen Abos löschen kann.

Vielen Dank für die Hilfe, Spende kommt.
Ganz durch sind wir noch nicht, die Überreste von Chrome die sich nicht deinstallieren lassen sollten noch weg, so ist das vermutlich nicht so sicher.

Das Windows Update wurde mir tatsächlich nicht angezeigt, ich musste erst das Windows 11 update ablehnen bevor es angezeigt wurde.

Ich habe die Anwendungsdaten von Chrome einmal entfernen lassen.

Installiere doch mal Google Chrome neu und berichte, wie es läuft.

Ich habs installiert, das hat aber keinerlei unterschied gemacht. Sowohl vor als auch nach dem Installieren konnte ich Chrome starten und es öffnet sich ein normal aussehendes Browserfenster das quasi ohne funktion ist.

Nutzt du die Syncronisation von Google Chrome?

Falls ja, solltest du im Google Dashboard die entsprechenden Daten löschen.
Mehr dazu hier.

Anschließend bitte Google Chrome erneut über Start > Einstellungen > Apps deinstallieren (auch die Browerdaten entfernen), siehe hier.

Anschließend das System neu starten, Chrome nicht installieren und FRST ausführen.

• Starte FRST erneut und klicke auf Untersuchen.
• FRST erstellt nun zwei Logdateien (FRST.txt und Addition.txt).
• Poste mir beide Logdateien mit deiner nächsten Antwort.

Ich hatte die Synchronisation genutzt. Chrome sieht aktuell wie eine cleane neuinstallation aus, keine Synchronisation eingestellt oder im Browser angemeldet. Lesezeichten etc. sind auch nicht vorhanden.
Ich kann Chrome nicht deinstallieren, Chrome ist nicht in der Liste aufgeführt.

FRST.txt

Additions.txt