Avira meldet Potenzielle Bedrohung aber findet nichts und nichts in der Quarantäne
 

Hallo,
ich habe seit langer Zeit immer wieder angehängte Meldung.
Habe sie immer wieder kontrolliert aber nichts in der Quarantäne oder bei Tests gefunden.
Jetzt habe ich etwas mehr Zeit und es lässt mir doch keine Ruhe.

Für Unterstützung wäre ich sehr Dankbar.
Vielleicht ist es ja auch nichts (man kann ja hoffen)

Viele Grüße
Marco

:hallo:



Mein Name ist Matthias und ich werde dir bei der Analyse und Bereinigung deines Systems helfen.



Was heißt "seit langer Zeit" bei dir? Gib bitte ein Datum an, so gut es geht.
Auf deinem System befindet sich Malware. Avira ist allerdings nicht in der Lage, es zu erkennen.





Schritt 1
Führe Malwarebytes' AntiMalware (MBAM) gemäß der bebilderten Anleitung aus und poste abschließend die Logdatei.





Schritt 2
Führe AdwCleaner gemäß der bebilderten Anleitung aus und poste abschließend die Logdatei.





Bitte poste mit deiner nächsten Antwort:

• die Logdatei von MBAM
• die Logdatei von AdwCleaner

Danke für deine Hilfe.
Malwarebyte
AdwCleaner

Gut gemacht. :)

Wir sind aber noch nicht fertig, da ist noch mehr.


Neue Kontrolle mit FRST bitte.



Schritt 1

• Starte FRST erneut und klicke auf Untersuchen.
• FRST erstellt nun zwei Logdateien (FRST.txt und Addition.txt).
• Poste mir beide Logdateien mit deiner nächsten Antwort.

Zur Frage wie lange würde ich sagen vermutlich ein halbes Jahr bis Jahr.

Ich habe noch 2 Rechner meiner Kinder im Netzwerk, macht es Sinn diese auch zu überprüfen? Wenn ja würde ich wenn das passt die Logs auch mal posten.

Danke für die Hilfe
Lance

FRST

FRST Logfile:
--- --- ---

Addition

Vielen Dank für die Logdateien. :daumenhoc



Aua... :eek:



Die Rechner der Kinder können wir überprüfen, wenn dieser Recher hier fertig ist. :)
Ein Rechner nach dem anderen.



Jetzt nutzen wir FRST, um weitere Malware zu entfernen.
Diese Bereiningung kann einige Minuten dauern, bitte gedulde dich.






Schritt 1
WARNUNG AN ALLE MITLESER !!!
Dieses FRST-Skript ist ausschließlich für diesen Nutzer gedacht und sollte niemals 1:1 für ein anderes System verwendet werden!

• Speichere deine Arbeiten und schließe alle offenen Programme, damit keine Daten verloren gehen.
• Kopiere den gesamten Inhalt der folgenden Code-Box:
  
  Code:

  ---

  Start::
SystemRestore: On
CreateRestorePoint:
CloseProcesses:
HKLM\...\Run: [] => [X]
HKLM-x32\...\Run: [] => [X]
HKU\S-1-5-21-3319025697-1253731593-1606125803-1001\...\Run: [] => [X]
GroupPolicy-Firefox: Beschränkung <==== ACHTUNG
Task: {8BA4986D-1363-46EA-995D-FFE8F9CA3D1B} - \Opera scheduled assistant Autoupdate 1599662145 -> Keine Datei <==== ACHTUNG
Task: {CBC4101E-9E08-4722-B9D5-F0B0F134146A} - System32\Tasks\Avira\System Speedup\Delayed Startup\mstra\2 => C:\Users\mstra\AppData\Roaming\arHZ3BP1\ctfmon.exe [112176 2020-05-06] (NetSupport Ltd -> NetSupport Ltd) <==== ACHTUNG
C:\Users\mstra\AppData\Roaming\arHZ3BP1
Task: {626E8BBC-5F10-465E-AA79-BF1ED95055B1} - System32\Tasks\MicrosoftSystemMetrics_2382 => C:\Users\mstra\AppData\Roaming\SrYsVgkm\SupportTool.exe [17408 2020-11-17] (IronPython Team) [Datei ist nicht signiert] -> "C:\Users\mstra\AppData\Roaming\SrYsVgkm\update.py"
C:\Users\mstra\AppData\Roaming\SrYsVgkm
HKLM\SOFTWARE\Policies\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3: <==== ACHTUNG (Beschränkung - Zones)
ProxyServer: [S-1-5-21-3319025697-1253731593-1606125803-1001] => http=localhost:8773;https=localhost:8773
HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer: Beschränkung <==== ACHTUNG
Edge Notifications: HKU\S-1-5-21-3319025697-1253731593-1606125803-1001 -> hxxps://de.muddyangelrun.com
Edge Extension: (Kein Name) -> AutoFormFill_5ED10D46BD7E47DEB1F3685D2C0FCE08 => C:\Windows\SystemApps\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\Assets\HostExtensions\AutoFormFill [nicht gefunden]
Edge Extension: (Kein Name) -> BookReader_B171F20233094AC88D05A8EF7B9763E8 => C:\Windows\SystemApps\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\Assets\BookViewer [nicht gefunden]
Edge Extension: (Kein Name) -> LearningTools_7706F933-971C-41D1-9899-8A026EB5D824 => C:\Windows\SystemApps\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\Assets\HostExtensions\LearningTools [nicht gefunden]
Edge Extension: (Kein Name) -> PinJSAPI_EC01B57063BE468FAB6DB7EBFC3BF368 => C:\Windows\SystemApps\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\Assets\HostExtensions\PinJSAPI [nicht gefunden]
Edge Notifications: Default -> hxxps://de.muddyangelrun.com
OPR Notifications: Opera Stable -> hxxps://chatsupport.apple.com; hxxps://www.melitta.de
S4 GamingServicesNet; kein ImagePath
AlternateDataStreams: C:\OneDriveTemp:err [1724]
AlternateDataStreams: C:\Users\Public\Shared Files:VersionCache [476]
CMD: dir "C:\Users\mstra\AppData\Roaming"
startpowershell:
Function Remove-all-windefend-excludes {
$Paths=(Get-MpPreference).ExclusionPath
$Extensions=(Get-MpPreference).ExclusionExtension
$Processes=(Get-MpPreference).ExclusionProcess
foreach ($Path in $Paths) { Remove-MpPreference -ExclusionPath $Path -force}
foreach ($Extension in $Extensions) { Remove-MpPreference -ExclusionExtension $Extension -force}
foreach ($Process in $Processes) { Remove-MpPreference -ExclusionProcess $Process -force}
}
Set-MpPreference -DisableAutoExclusions $true -Force
Remove-all-windefend-excludes
endpowershell:
CMD: netsh winsock reset
CMD: netsh int ip reset
CMD: ipconfig /flushdns
CMD: netsh advfirewall reset
CMD: netsh advfirewall set allprofiles state ON
CMD: netsh winhttp reset proxy
CMD: Bitsadmin /Reset /Allusers
CMD: "%WINDIR%\SYSTEM32\lodctr.exe" /R
CMD: "%WINDIR%\SysWOW64\lodctr.exe" /R
CMD: "%WINDIR%\SYSTEM32\lodctr.exe" /R
CMD: "%WINDIR%\SysWOW64\lodctr.exe" /R
CMD: cscript /nologo %systemroot%\System32\slmgr.vbs /dlv
CMD: cscript /nologo %systemroot%\System32\slmgr.vbs /dli
CMD: sfc /scannow
Hosts:
RemoveProxy:
EmptyTemp:
End::

  ---

• Starte nun FRST und klicke direkt auf den Button Reparieren.
  Wichtig: Du brauchst den Inhalt der Code-Box nirgends einfügen, da sich FRST den Code aus der Zwischenablage holt!
  
  
• Wichtig:
  • Bitte gedulde dich, sobald du die Reparatur gestartet hast. Je nach Art und Umfang der notwendigen Reparaturen kann dies einige Minuten dauern.
    Eventuell erhältst du während der Reparatur auch die Information "keine Rückmeldung" von FRST. Das ist normal, du musst nichts weiter tun, nur warten.
  • Mit dieser Reparatur werden alle temporären Dateien/Browserdaten sowie der Papierkorb gelöscht.
  • Mit dieser Reparatur werden die Windows Firewall-Einstellungen zurückgesetzt. Du wirst möglicherweise später aufgefordert, legitimen Programmen eine Erlaubnis/Ausnahme für die Firewall zu erteilen. Dies solltest du dann erlauben/zulassen.
  
  
• Das Tool führt die gewünschten Schritte aus und erstellt eine fixlog.txt im selben Verzeichnis, in dem sich FRST befindet.
• Gegebenenfalls muss dein Rechner neu gestartet werden.
• Poste mir den Inhalt der fixlog.txt mit deiner nächsten Antwort.

Ja, habe ich sehr schleifen lassen. Habe Privat viel um die Ohren gehabt.

Danke, dann machen wir sie nach und nach Flott.
Vielleicht habe ich ja bei den kindern glück und da ist nichts :-)

Gut gemacht. :)

Wir haben weitere Malware entfernt und die Systemdateien repariert.


Nun führen wir einen kompletten Scan mit ESET zur Kontrolle durch.




Schritt 1
Führe ESET Online Scanner (EOS) gemäß der bebilderten Anleitung aus und poste abschließend die Logdatei.

Guten Morgen,

hier die Logdatei von Eset

Das war nur ein Fund aus der Quarantäne von FRST, also quasi nichts. :abklatsch:
Das haben wir ja schon entfernt gehabt. :)



Bitte zum Abschluss eine Kontrolle mit FRST und SC durchführen.






Schritt 1

• Starte FRST erneut und klicke auf Untersuchen.
• FRST erstellt nun zwei Logdateien (FRST.txt und Addition.txt).
• Poste mir beide Logdateien mit deiner nächsten Antwort.

Schritt 2
Führe SecurityCheck (SC) gemäß der bebilderten Anleitung aus und füge die Logdatei als Anhang hinzu.





Bitte poste mit deiner nächsten Antwort:

• die beiden neuen Logdateien von FRST (FRST.txt und Addition.txt)
• die Logdatei von SecurityCheck

SecurityCheck
FRST

FRST Logfile:
--- --- ---

Addition

Die Logdateien sehen jetzt gut aus. :daumenhoc

Bitte alle Passwörter und Zugangsdaten (E-Mail, Online-Banking, Online-Shopping, Foren, Social Media, etc.) ändern, diese wurden vermutlich ausspioniert.




Schritt 1
Die folgenden Programme sind veraltet. Du solltest sie deinstallieren und die neueste Version installieren:

• NVIDIA GeForce Experience
• WinRAR
• VLC media player

Die Downloadlinks dazu findest du in der Logdatei von SecurityCheck.





Entfernung der verwendeten Tools
Führe KpRm gemäß der bebilderten Anleitung aus und poste abschließend die Logdatei.





Dann wären wir durch!
Wenn du keine Probleme mehr mit Malware hast, dann sind wir hier fertig. Deine Logdateien sind sauber. :daumenhoc

Wenn Du möchtest, kannst Du hier sagen, ob du mit mir und meiner Hilfe zufrieden warst...:dankeschoen:
Vielleicht möchtest du das Forum mit einer kleinen Spende https://www.trojaner-board.de/extra/spende.png unterstützen. :applaus:





Zum Schluss bitte unbedingt die Sicherheitsmaßnahmen lesen und umsetzen:



Hinweis:
Bitte gib mir eine kurze Rückmeldung, sobald du die oben verlinkten Informationen gelesen hast, alles erledigt ist und keine Fragen mehr vorhanden sind, so dass ich dieses Thema aus meinen Abos löschen kann.

Erstmal vielen Dank für die Hilfe.
Die Passwörter werde ich jetzt alle ändern, kann aber etwas dauern ^^
Ich habe in einigen Beiträgen gelesen das Antivir nicht mehr Sinn macht als die eigenen Windowsabwehr, sollte ich den dann auch entfernen?

Soll ich für die Überprüfung meiner Kinder einen neuen Post eröffnen oder die FRST Logs einfach hier einmal drunter setzen?

Viele Grüße

Lance

Antimalware- bzw. Antivirenprogramme stellen nur einen kleinen Teil eines gesamten Sicherheitskonzeptes dar. Bitte lies dir verlinkte Anleitung "Maßnahmen zur Absicherung des Rechners" genau durch.
Du solltest dich niemals auf ein solches Programm blind verlassen, egal welches Programm es ist.
Mittlerweile kann der Windows Defender mit allen anderen Anbietern bei der Erkennung locker mithalten.
Wenn du Antivir deinstallierst, sollte sich der Defender automatisch aktivieren.
Manchmal hiflt auch ein Neustart dabei.

Ich persönlich verwende den Windows Defender und Malwarebytes' Anti-Malware in der kostenlosen Version.
Aber letztlich ist es natürlich deine Entscheidung.



Du kannst die Logdateien einfach hier drunter setzen.

Aber bitte nur die Logateien vom ersten Kind erstellen und posten.
Das zweite Kind machen wir dann zum Abschluss.
:daumenhoc

Der Computer meiner Tochter
Frst

FRST Logfile:
--- --- ---

Addition

Das System sieht besser aus.


Bitte MBAM zur Kontrolle ausführen.




Schritt 1
Führe Malwarebytes' AntiMalware (MBAM) gemäß der bebilderten Anleitung aus und poste abschließend die Logdatei.

Das hört sich doch gut an :-)

Ein kurzer Fix mit FRST zur Entfernung verwaister Einträge und Kontrolle der Systemdateien.





Schritt 1
WARNUNG AN ALLE MITLESER !!!
Dieses FRST-Skript ist ausschließlich für diesen Nutzer gedacht und sollte niemals 1:1 für ein anderes System verwendet werden!

• Speichere deine Arbeiten und schließe alle offenen Programme, damit keine Daten verloren gehen.
• Kopiere den gesamten Inhalt der folgenden Code-Box:
  
  Code:

  ---

  Start::
SystemRestore: On
CreateRestorePoint:
CloseProcesses:
HKLM\...\Run: [Bluetooth Connection Assistant] => LBTWIZ.EXE -silent (Keine Datei)
HKLM\...\RunOnce: [Delete Cached Standalone Update Binary] => C:\WINDOWS\system32\cmd.exe /q /c del /q "C:\Program Files\Microsoft OneDrive\StandaloneUpdater\OneDriveSetup.exe" (Keine Datei)
HKLM\Software\...\Authentication\Credential Providers: [{C885AA15-1764-4293-B82A-0586ADD46B35}] ->
S1 WinSetupMon; system32\DRIVERS\WinSetupMon.sys [X]
startpowershell:
Function Remove-all-windefend-excludes {
$Paths=(Get-MpPreference).ExclusionPath
$Extensions=(Get-MpPreference).ExclusionExtension
$Processes=(Get-MpPreference).ExclusionProcess
foreach ($Path in $Paths) { Remove-MpPreference -ExclusionPath $Path -force}
foreach ($Extension in $Extensions) { Remove-MpPreference -ExclusionExtension $Extension -force}
foreach ($Process in $Processes) { Remove-MpPreference -ExclusionProcess $Process -force}
}
Set-MpPreference -DisableAutoExclusions $true -Force
Remove-all-windefend-excludes
endpowershell:
CMD: netsh winsock reset
CMD: ipconfig /flushdns
CMD: netsh advfirewall reset
CMD: netsh advfirewall set allprofiles state ON
CMD: netsh winhttp reset proxy
CMD: Bitsadmin /Reset /Allusers
CMD: "%WINDIR%\SYSTEM32\lodctr.exe" /R
CMD: "%WINDIR%\SysWOW64\lodctr.exe" /R
CMD: "%WINDIR%\SYSTEM32\lodctr.exe" /R
CMD: "%WINDIR%\SysWOW64\lodctr.exe" /R
CMD: cscript /nologo %systemroot%\System32\slmgr.vbs /dlv
CMD: sfc /scannow
Hosts:
RemoveProxy:
EmptyTemp:
Reboot:
End::

  ---

• Starte nun FRST und klicke direkt auf den Button Reparieren.
  Wichtig: Du brauchst den Inhalt der Code-Box nirgends einfügen, da sich FRST den Code aus der Zwischenablage holt!
  
  
• Wichtig:
  • Bitte gedulde dich, sobald du die Reparatur gestartet hast. Je nach Art und Umfang der notwendigen Reparaturen kann dies einige Minuten dauern.
    Eventuell erhältst du während der Reparatur auch die Information "keine Rückmeldung" von FRST. Das ist normal, du musst nichts weiter tun, nur warten.
  • Mit dieser Reparatur werden alle temporären Dateien/Browserdaten sowie der Papierkorb gelöscht.
  • Mit dieser Reparatur werden die Windows Firewall-Einstellungen zurückgesetzt. Du wirst möglicherweise später aufgefordert, legitimen Programmen eine Erlaubnis/Ausnahme für die Firewall zu erteilen. Dies solltest du dann erlauben/zulassen.
  
  
• Das Tool führt die gewünschten Schritte aus und erstellt eine fixlog.txt im selben Verzeichnis, in dem sich FRST befindet.
• Gegebenenfalls muss dein Rechner neu gestartet werden.
• Poste mir den Inhalt der fixlog.txt mit deiner nächsten Antwort.

Fixlog

Sieht gut aus.


Schritt 1
Führe SecurityCheck (SC) gemäß der bebilderten Anleitung aus und füge die Logdatei als Anhang hinzu.

Hier das Log

Alles gut auf dem System der Tochter. :)






Schritt 1
Die folgenden Programme sind veraltet. Du solltest sie deinstallieren und die neueste Version installieren:

• Opera

Die Downloadlinks dazu findest du in der Logdatei von SecurityCheck.







Entfernung der verwendeten Tools
Führe KpRm gemäß der bebilderten Anleitung aus und poste abschließend die Logdatei.





Dann wären wir durch!
Wenn du keine Probleme mehr mit Malware hast, dann sind wir hier fertig. Deine Logdateien sind sauber. :daumenhoc

Wenn Du möchtest, kannst Du hier sagen, ob du mit mir und meiner Hilfe zufrieden warst...:dankeschoen:
Vielleicht möchtest du das Forum mit einer kleinen Spende https://www.trojaner-board.de/extra/spende.png unterstützen. :applaus:





Zum Schluss bitte unbedingt die Sicherheitsmaßnahmen lesen und umsetzen:



Hinweis:
Bitte gib mir eine kurze Rückmeldung, sobald du die oben verlinkten Informationen gelesen hast, alles erledigt ist und keine Fragen mehr vorhanden sind, so dass ich dieses Thema aus meinen Abos löschen kann.

Das Log
Wenn der PC meiner Tochter dann jetzt fertig ist, darf ich dir noch den letzten Computer zeigen?

Gerne.

Wir beginnen wieder mit FRST.

FRST von meinem Sohn

FRST Logfile:
--- --- ---


Addition
FRST Additions Logfile:
--- --- ---

Ich sehe etwas Adware auf dem System.




Schritt 1
Führe Malwarebytes' AntiMalware (MBAM) gemäß der bebilderten Anleitung aus und poste abschließend die Logdatei.





Schritt 2
Führe AdwCleaner gemäß der bebilderten Anleitung aus und poste abschließend die Logdatei.






Schritt 3

• Starte FRST erneut und klicke auf Untersuchen.
• FRST erstellt nun zwei Logdateien (FRST.txt und Addition.txt).
• Poste mir beide Logdateien mit deiner nächsten Antwort.

Bitte poste mit deiner nächsten Antwort:

• die Logdatei von MBAM
• die Logdatei von AdwCleaner
• die beiden neuen Logdateien von FRST (FRST.txt und Addition.txt)

Malwarebytes

Adware
FRST

FRST Logfile:
--- --- ---

Addition