Windows 11: Viren kommen immer wieder
 

Guten Abend zusammen,

aufgrund dass ich in Paypal einen Vorfall hatte, habe ich mein Computer via Windows defender direkt mehrmals durchlaufen lassen. Es war auch ein hacking-tool mit dabei.
Mittlerweile hänge ich seit 4 stunden an den Mist und es wird immer wieder ein Virus/Trojaner gefunden. Falls es dazu ein Log geben sollte, habe ich keine Ahnung, wie ich daran komme.
Ich möchte eigentlich nur, dass mein PC Virenfrei ist und ich nicht noch mehr Probleme bekomme.
Ich würde mich über eure Hilfe freuen und danke euch schon im voraus.

FRST-Log
Und die Addition-Log
Nochmals vielen lieben Dank.

:hallo:



Mein Name ist Matthias und ich werde dir bei der Analyse und Bereinigung deines Systems helfen.



Wir beginnen mit MBAM und ADW.




Schritt 1
Führe Malwarebytes' AntiMalware (MBAM) gemäß der bebilderten Anleitung aus und poste abschließend die Logdatei.





Schritt 2
Führe AdwCleaner gemäß der bebilderten Anleitung aus und poste abschließend die Logdatei.





Bitte poste mit deiner nächsten Antwort:

• die Logdatei von MBAM
• die Logdatei von AdwCleaner

Vielen lieben dank für die schnelle Antwort.
Ich war geschockt, wie viel noch gefunden wurde...

Hier ist einmal die MBAM-log
Und die AdwCleaner-log

Sehr gut gemacht. :abklatsch:

Da doch einiges gefunden wurde, bitte ich dich, den Rechner neu zu starten.
Anschließend bitte MBAM erneut ausführen und die Logdatei wieder posten.






Anschließend bitte eine Kontrolle mit FRST ausführen:

• Starte FRST erneut und klicke auf Untersuchen.
• FRST erstellt nun zwei Logdateien (FRST.txt und Addition.txt).
• Poste mir beide Logdateien mit deiner nächsten Antwort.

Danach sehen wir weiter.

Zumindest hat MBAM nichts mehr gefunden, aber hey: wüsste ich ob das was gutes ist, müsste ich hier nicht um Hilfe bitten =D

Hier ist einmal die MBAM-Log
Die FRST-Log
Und die Addition-log
Nochmals vielen Lieben dank für die schnelle Hilfe.

Gut gemacht. :applaus:



Es gibt noch einiges zu tun.
Jetzt geht es weiter mit einem FRST-Fix.


Muss jetzt ins Bett, morgen Abend geht es dann weiter.





Schritt 1
WARNUNG AN ALLE MITLESER !!!
Dieses FRST-Skript ist ausschließlich für diesen Nutzer gedacht und sollte niemals 1:1 für ein anderes System verwendet werden!

• Speichere deine Arbeiten und schließe alle offenen Programme, damit keine Daten verloren gehen.
• Kopiere den gesamten Inhalt der folgenden Code-Box:
  
  Code:

  ---

  Start::
SystemRestore: On
CreateRestorePoint:
CloseProcesses:
VirusTotal: C:\Program Files\Mozilla Firefox\browser\features\{DBDE73E2-BC5F-41AD-9E14-0105D4813C2F}.xpi
HKLM-x32\...\Run: [Star Rail_launcher_pcepic_1_3] => [X]
HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiSpyware] Beschränkung <==== ACHTUNG
HKLM\SOFTWARE\Microsoft\Windows Defender: [DisableAntiVirus] Beschränkung <==== ACHTUNG
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Beschränkung <==== ACHTUNG
HKU\S-1-5-21-2515232840-1201628437-1807669486-1001\...\Run: [MicrosoftEdgeAutoLaunch_DE24EC58A4917E2D7F2A8B9141E5D6FC] => "C:\Program Files (x86)\Microsoft\Edge\Application\msedge.exe" --no-startup-window --win-session-start /prefetch:5 [4113872 2023-06-08] (Microsoft Corporation -> Microsoft Corporation)
HKLM\Software\...\Authentication\Credential Providers: [{C885AA15-1764-4293-B82A-0586ADD46B35}] ->
Policies: C:\ProgramData\NTUSER.pol: Beschränkung <==== ACHTUNG
HKLM\SOFTWARE\Policies\Google: Beschränkung <==== ACHTUNG
HKLM\SOFTWARE\Policies\Microsoft\Edge: Beschränkung <==== ACHTUNG
Task: {3A517505-DD10-41DF-ACC4-CE94592F7EE0} - System32\Tasks\Microsoft\Windows\UpdateOrchestrator\Reboot_Battery => %systemroot%\system32\MusNotification.exe  /RunOnBattery RebootDialog (Keine Datei)
Task: {60FEE0FC-077A-4280-913D-C24A303F7B3B} - System32\Tasks\Microsoft\Windows\UpdateOrchestrator\Reboot_AC => %systemroot%\system32\MusNotification.exe  /RunOnAC RebootDialog (Keine Datei)
Task: {CCDFC0B8-01A3-4E74-A820-4F13F51D269E} - System32\Tasks\Microsoft\Windows\Mobile Broadband Accounts\MNO Metadata Parser => %SystemRoot%\System32\MbaeParserTask.exe  (Keine Datei)
Task: {E0F10DCF-44AD-40E8-9370-FB5DA59F93FB} - System32\Tasks\Microsoft\Windows\UpdateOrchestrator\USO_UxBroker => %systemroot%\system32\MusNotification.exe  (Keine Datei)
FF Homepage: Mozilla\Firefox\Profiles\q2zo86s9.default-release -> hxxps://links.malwarebytes.com/link/restorebrowser?lic=trial&product=MBAM-C?utm_source=distr_m
FF Notifications: Mozilla\Firefox\Profiles\q2zo86s9.default-release -> hxxps://mail-notification.info; hxxps://zarabotok-online.xyz; hxxps://supertopfreegames.com; hxxps://best-loan-info.com; hxxps://ccleaner-download.xyz; hxxps://pinghauz.xyz; hxxps://s-tracking.xyz; hxxps://mnthor.xyz
FF Extension: (Kein Name) - C:\Program Files\Mozilla Firefox\browser\features\{DBDE73E2-BC5F-41AD-9E14-0105D4813C2F}.xpi [2023-04-14] [ist nicht signiert]
S2 FileOptimizer; C:\ProgramData\FileOptimizer\FileOptimizer.exe [X] <==== ACHTUNG
C:\ProgramData\FileOptimizer
S2 PrintManager; C:\ProgramData\PrintManager\PrintManager.exe [X] <==== ACHTUNG
C:\ProgramData\PrintManager
S1 WinSetupMon; system32\DRIVERS\WinSetupMon.sys [X]
C:\ProgramData\AnyDesk
C:\Users\Nadin\AppData\Roaming\564A61CCD3A15E7B
C:\Users\Nadin\AppData\Roaming\telemetry
C:\Users\Nadin\AppData\Roaming\3xCK7SaRfsQ
C:\ProgramData\lock.dat
C:\ProgramData\rc.dat
C:\ProgramData\ts.dat
C:\Users\Nadin\AppData\Roaming\DQSuFd
CMD: dir "C:\Users\Nadin\AppData\Roaming"
startpowershell:
Function Remove-all-windefend-excludes {
$Paths=(Get-MpPreference).ExclusionPath
$Extensions=(Get-MpPreference).ExclusionExtension
$Processes=(Get-MpPreference).ExclusionProcess
foreach ($Path in $Paths) { Remove-MpPreference -ExclusionPath $Path -force}
foreach ($Extension in $Extensions) { Remove-MpPreference -ExclusionExtension $Extension -force}
foreach ($Process in $Processes) { Remove-MpPreference -ExclusionProcess $Process -force}
}
Set-MpPreference -DisableAutoExclusions $true -Force
Remove-all-windefend-excludes
endpowershell:
CMD: netsh winsock reset
CMD: netsh int ip reset
CMD: ipconfig /release
CMD: ipconfig /renew
CMD: ipconfig /flushdns
CMD: ipconfig /registerdns
CMD: netsh advfirewall reset
CMD: netsh advfirewall set allprofiles state ON
CMD: netsh winhttp reset proxy
CMD: Bitsadmin /Reset /Allusers
CMD: Winmgmt /salvagerepository
CMD: Winmgmt /resetrepository
CMD: winmgmt /resyncperf
CMD: "%WINDIR%\SYSTEM32\lodctr.exe" /R
CMD: "%WINDIR%\SysWOW64\lodctr.exe" /R
CMD: "%WINDIR%\SYSTEM32\lodctr.exe" /R
CMD: "%WINDIR%\SysWOW64\lodctr.exe" /R
Hosts:
RemoveProxy:
EmptyTemp:
Reboot:
End::

  ---

• Starte nun FRST und klicke direkt auf den Button Reparieren.
  Wichtig: Du brauchst den Inhalt der Code-Box nirgends einfügen, da sich FRST den Code aus der Zwischenablage holt!
  
  
• Wichtig:
  • Bitte gedulde dich, sobald du die Reparatur gestartet hast. Je nach Art und Umfang der notwendigen Reparaturen kann dies einige Minuten dauern.
    Eventuell erhältst du während der Reparatur auch die Information "keine Rückmeldung" von FRST. Das ist normal, du musst nichts weiter tun, nur warten.
  • Mit dieser Reparatur werden alle temporären Dateien/Browserdaten sowie der Papierkorb gelöscht.
  • Mit dieser Reparatur werden die Windows Firewall-Einstellungen zurückgesetzt. Du wirst möglicherweise später aufgefordert, legitimen Programmen eine Erlaubnis/Ausnahme für die Firewall zu erteilen. Dies solltest du dann erlauben/zulassen.
  
  
• Das Tool führt die gewünschten Schritte aus und erstellt eine fixlog.txt im selben Verzeichnis, in dem sich FRST befindet.
• Gegebenenfalls muss dein Rechner neu gestartet werden.
• Poste mir den Inhalt der fixlog.txt mit deiner nächsten Antwort.

Danke vielmals. Ich wünsche eine gute Nacht und bis morgen Abend =D

Gut gemacht. :)


Nun folgt eine Zweitmeinung mit ESET.



Schritt 1
Führe ESET Online Scanner (EOS) gemäß der bebilderten Anleitung aus und poste abschließend die Logdatei.

Leider ist die anleitung leider nicht mehr korrekt. es fängt da schon bei schritt 5 an -> Da giibt es kein Haken. Nach der Überprüfung, die im übrigen etwas mehr als eine halbe Stunde dauert, kann ich zwar eine Datei anlegen, aber dort steht schlussendlich nur

"Ausführliche Ergebnisse anzeigen" gab es nicht. ich weiß nicht ob es daran liegt, dass ich jetzt nur das "kostenlose" benutzt habe, ohne Probezeug oder so, aber auch nach erneutem vorgehen, hat sich nichts geändert =( Oder ich bin zu dumm. Ich versuche weiterhin heraus zu finden, wie ich nach der Anleitung gehen kann, ich wollte mich aber wenigstens zurück melden.

Vielen Dank für die Rückmeldung.


Eventuell haben die von ESET schon wieder was an ihrem Tool geändert. :rolleyes:
Ich schaue mir das in dieser Woche nochmal selber an.
Du hast alles richtig gemacht. :daumenhoc



Eine finale Kontrolle mit FRST und SecurityCheck steht jetzt an.
Drücken wir die Daumen, dass alles passt.





Schritt 1

• Starte FRST erneut und klicke auf Untersuchen.
• FRST erstellt nun zwei Logdateien (FRST.txt und Addition.txt).
• Poste mir beide Logdateien mit deiner nächsten Antwort.

Schritt 2
Führe SecurityCheck (SC) gemäß der bebilderten Anleitung aus und füge die Logdatei als Anhang hinzu.





Bitte poste mit deiner nächsten Antwort:

• die beiden neuen Logdateien von FRST (FRST.txt und Addition.txt)
• die Logdatei von SecurityCheck

ich habe zu danken, dass du mir hier so super hilfst.

Einmal die FRST-log
dann die Addition-log dazu::
und zu guter letzt, die Log vom SC
Und jetzt drücke ich definnitiv die Daumen >.<

Schritt 1
Die folgenden Programme sind veraltet. Du solltest sie deinstallieren und die neueste Version installieren:

• OpenOffice
• Discord

Die Downloadlinks dazu findest du in der Logdatei von SecurityCheck.







Entfernung der verwendeten Tools
Führe KpRm gemäß der bebilderten Anleitung aus und poste abschließend die Logdatei.





Dann wären wir durch!
Wenn du keine Probleme mehr mit Malware hast, dann sind wir hier fertig. Deine Logdateien sind sauber. :daumenhoc

Wenn Du möchtest, kannst Du hier sagen, ob du mit mir und meiner Hilfe zufrieden warst...:dankeschoen:
Vielleicht möchtest du das Forum mit einer kleinen Spende https://www.trojaner-board.de/extra/spende.png unterstützen. :applaus:





Zum Schluss bitte unbedingt die Sicherheitsmaßnahmen lesen und umsetzen:



Hinweis:
Bitte gib mir eine kurze Rückmeldung, sobald du die oben verlinkten Informationen gelesen hast, alles erledigt ist und keine Fragen mehr vorhanden sind, so dass ich dieses Thema aus meinen Abos löschen kann.

Wir sind froh, dass wir helfen konnten :abklatsch:

Dieses Thema scheint erledigt und wird aus unseren Abos gelöscht. Solltest Du das Thema erneut brauchen, schicke uns bitte eine Erinnerung inklusive Link zum Thema.

Jeder andere bitte hier klicken und ein eigenes Thema erstellen.