Phishing-Mail geöffnet, sicherheitshalber Rechner untersuchen
 

In einem Moment der geistigen Umnachtung habe ich einen Link angeklickt, der von Doctolib zu kommen vorgab, und gab auch noch die ersten 3 Buchstaben der Nachnamen in der Familie ein. Es passierte: nichts (immerhin erhielt ich von einem Captcha die Bestätigung, ein Mensch zu sein; ist ja auch schön zu wissen).

Ich habe erstmal den esetonlinescanner über C: scannen lassen (wobei ich das Verzeichnis ...\Steamapps ausschloss), die Ausgabe ist sehr sparsam, dann FRST.

Eset Log
FRST.txt

FRST Logfile:
--- --- ---

:hallo:


Mein Name ist Matthias und ich werde dir bei der Analyse und Bereinigung deines Systems helfen.



Ausführbare Dateien, auch die Datei FRST64.exe selbst, niemals unter C:\FRST\ abspeichern, sondern am besten auf dem Desktop belassen.
FRST toleriert unter C:\FRST\ keine ausführbaren Dateien. Es gab mal Malware, die versuchte, sich dort zu verstecken, weil manche Virenscanner den FRST-Ordner meiden.



Warum wurde das Verzeichnis ausgeschlossen? Zukünftig bitte nichts mehr ausschließen.
Es gibt Malware, die Dateien im SteamCache ablegt und jedes Mal gestartet wird, wenn Steam gestartet wird.



FRST erstellt für gewöhnlich zwei Logdateien.
Bitte poste noch den Inhalt der Datei Addition.txt in Code-Tags.
Dann kann es losgehen.

Ich bin in ca. zwei Stunden wieder da. :daumenhoc

Lieber Matthias,

herzlichen Dank für Deine Hilfe!

FRSt wollte aus C:\ auch schon gar nicht starten. Ich habe das Verzeichnis C:\FRST wieder gelöscht, das Programm nochmal neu auf den Desktop heruntergeladen und von dort gestartet. Die FRST.txt und Additions.txt stammen aus diesem Lauf.

Ich habe das Verzeichnis ...Steamapps\Common (nicht ...\Steamapps, pardon) ausgeschlossen, weil es 1,5TB Daten enthält. Auf D:\ liegen nochmal 9TB. Das war schon immer mein Problem bei der Suche nach Malware. Ich habe immer viel zu viele Spiele auf meinem Rechner; alles legit, ich sammle Spiele seit 1992, aber schwierig zu handhaben, wenn man nach Schädlingen sucht.

Dementsprechend sprengt auch die Additions.txt den Rahmen Eurer Vorgaben, wofür ich mich entschuldige (240kB). Darum war die Additions.txt auch oben noch nicht dabei, ich kämpfte mit den Beschränkungen beim Hochladen.

Hier Additions.txt, erster Teil (Zeile 1-650)

Additions.txt, Teil 2 (Zeilen 651-1200)

Additions.txt, Teil 3 (Zeilen 1251-1666)

Vielen Dank für die Logdateien.



Auf deinem System befindet sich Adware und unerwünschte Software.


Wir beginnen zuerst mit diesen drei Schritten.




Schritt 1
Bei dem folgenden Programm handelt sich um Werbesoftware (Adware) bzw. Potentiell Unerwünschte Programme (PUP) und muss entfernt werden.

• Deinstalliere über Start > Einstellungen > Apps > Installierte Apps die folgenden Programme:
  • VLC Plus Player Updater
• Starte den Rechner im Anschluss neu.
• Gib eine kurze Rückmeldung, ob die Deinstallation erfolgreich war.

Schritt 2
Führe AdwCleaner gemäß der bebilderten Anleitung aus und poste abschließend die Logdatei.



Schritt 3
Führe Malwarebytes' AntiMalware (MBAM) gemäß der bebilderten Anleitung aus und poste abschließend die Logdatei.




Morgen Nachmittag und Abend bin ich wieder da.

Kurze Rückmeldung: VLC Updater wird nicht mehr unter "Installierte Apps" angezeigt

Adw Cleaner Log

Bei der aktuellen Version von Malwarebytes kann ich keinen abrufbaren Bericht entdecken, den ich hier in Textform einstellen könnte. Soweit ich erkennen kann, gibt es lediglich einen grafische Übersicht unter "Erkennnungsverlauf/Erkennungsbericht". Nach dem Scan stand dort unter "Alle Erkennungen der letzten 30 Tage" eine große 0.

Ich ließ das Programm weiter laufen, und öffnete Firefox, um hier zu berichten. Sofort sprang MBAM an und berichtete über die Blockade von zwei Firefox-Aktivitäten

"Bösartige Websites blockiert;
1. URL: browser services; IP 23.88.90.4; Verbindungstyp: ausgehend; Port 443; Datei: C:\Program Files\Mozilla Firefox\firefox.exe
2. URL: browser services; IP 2a01:4f8:d0a:75e5::2 ; Verbindungstyp: ausgehend; Port 443; Datei: C:\Program Files\Mozilla Firefox\firefox.exe"

Ich versuchte, diesem Beitrag Bildschirmfotos anzufügen, aber weder *.jpg noch *.zip Dateien wurden akzeptiert. Ich erhielt lediglich sehr viele Fehlermeldungen des Formats

PHP User Warning: is_dir(): open_basedir restriction in effect. File(/) is not within the allowed path(s): (/var/www/vhosts/trojaner-board.de/:/tmp/) in ..../includes/functions_file.php on line 60

sowohl in Firefox als auch in Vivaldi. Das wiederholte meine Erfahrungen beim Versuch, die obige FRST Additions.txt einzustellen.

Danke für die Rückmeldungen.


Führe bitte einen Kontrollsuchlauf mit FRST durch:

• Starte FRST erneut und klicke auf Untersuchen.
• FRST erstellt nun zwei Logdateien (FRST.txt und Addition.txt).
• Poste mir beide Logdateien mit deiner nächsten Antwort, die Addition.txt gerne wieder verteilt auf mehrere Posts.

Vielen Dank.

Nochmal zum Verhalten nach den oben durchgeführten Veränderungen: Wenn ich einen Browser starte, werden wie gewohnt alle beim letzten Schließen geöffneten Fenster wieder angezeigt, allerdings plus einem Tab, in dem in der Kopfleiste "! Seitenladefehler" und auf der Seite der folgende Text erscheint.

"Fehler: Gesicherte Verbindung fehlgeschlagen

Beim Verbinden mit browser.services trat ein Fehler auf. SSL hat einen Eintrag erhalten, der die maximal erlaubte Länge überschritten hat.

Fehlercode: SSL_ERROR_RX_RECORD_TOO_LONG"

Klicke ich den Tab an, passiert nichts (das nur im Unterschied zu weiter unten)
Lösche ich den Tab gleich, wird dasselbe Verhalten beim nächsten Öffnen nur wiederholt. Lösche ich ihn nicht, erscheint er beim nächsten Öffnen links neben einem weiteren neuen Tab. Wenn ich jetzt den Tab vom vorherigen Mal anklicke, wird Startfenster.de aufgerufen. Dieser PuPs drückt also noch.

Hier die FRST.txt


FRST Logfile:
--- --- ---

Admissions.txt, Zeile 1-650

Admissions.txt, Zeile 651-1200

And now for something completely different: Ich habe vorhin eine weitere E-Mail von Doctolib bekommen, die es mindestens möglich erscheinen lässt, dass die Mail von gestern tatsächlich von Doctolib selbst kam, und mit Phishing nichts zu tun hat. Die Indizien habe ich wohl in meiner Panik gestern nicht gebührend beachtet.


Admissions.txt, Zeile 1201-1696 :Boogie:

Vielen Dank für die Logs.


Was kannst du mir zum installierten Programm "BrowserStart" sagen?
Wofür soll das gut sein?

Tatsächlich nichts. Ich habe es jedenfalls nicht bewusst installiert.

Ich meine mich allerdings dunkel zu erinnern, dass der Rechner schon mit der Gewohnheit, den Browser mit Startfenster.de zu öffnen, vom Verkäufer kam. Ziemlicher Sauladen, ohnehin.

Vielen Dank für die Infos und die Logs.



Gut möglich, dass du Firefox evtl. zurücksetzen oder ein neues Profil erstellen musst, wenn das jetzige nicht mehr richtig funktioniert.

Wir führen zuerst eine Reparatur mit FRST durch.

Dabei werden Reste und verwaiste Einträge entfernt sowie temporären Dateien und der Papierkorb geleert.





Reparatur mit FRST
Bitte gedulde dich, sobald du die Reparatur gestartet hast. Je nach Art und Umfang der notwendigen Reparaturen kann dies einige Minuten dauern.
Eventuell erhältst du während der Reparatur auch die Information "keine Rückmeldung" von FRST. Das ist normal, du musst nichts weiter tun, nur abwarten.

HINWEIS AN ALLE MITLESER:
Dieses FRST-Skript ist ausschließlich für diesen Nutzer gedacht und sollte niemals 1:1 für ein anderes System verwendet werden!

• Speichere deine Arbeiten und schließe alle offenen Programme, damit keine Daten verloren gehen.
• Markiere den gesamten Inhalt der folgenden Code-Box mit der Maus und kopiere ihn (gleichzeitiges Drücken der beiden Tasten "STRG" + "C"):
  
  Code:

  ---

  Start::
CreateRestorePoint:
CloseProcesses:
AlternateDataStreams: C:\WINDOWS\tracing:? [16]
AlternateDataStreams: C:\Users\+++++++\AppData\Local\Microsoft:ISBD [96]
AlternateDataStreams: C:\Users\Public\Shared Files:VersionCache [7580]
HKU\S-1-5-21-3316692255-3417776008-3191720667-1003\...\StartupApproved\Run: => "VLC Plus Player Updater"
FirewallRules: [{20E55D0B-F032-4DB5-8109-CECFBB1586BD}] => (Allow) C:\Users\Administrator\AppData\Local\Temp\ACFL\ACSetup\ACSetup.exe => Keine Datei
FirewallRules: [{132DB9A5-554A-46DD-BF64-2CBC2206FC7F}] => (Allow) C:\Users\Administrator\AppData\Local\Temp\ACFL\ACSetup\ACSetup.exe => Keine Datei
FirewallRules: [{21AD40B4-987E-4449-813C-DBD1DA7CA5FB}] => (Allow) C:\Users\Administrator\Desktop\X13\Apps\MadShaders\GLSLHacker.exe => Keine Datei
FirewallRules: [{33CCA00B-A5C3-4931-93AC-939965C475FF}] => (Allow) C:\Users\+++++++\AppData\Local\Temp\ACFL\ACSetup\ACSetup.exe => Keine Datei
FirewallRules: [{E875A4B1-4BFC-4ECD-959F-B76B891F78F0}] => (Allow) C:\Users\+++++++\AppData\Local\Temp\ACFL\ACSetup\ACSetup.exe => Keine Datei
FirewallRules: [{5DB0CB34-1FA3-4062-873B-B7688813D978}] => (Allow) C:\Users\Administrator\AppData\Local\Packages\B9ECED6F.ArmouryCrate_qmba6cd70vzyy\LocalState\GridUpdateFile\ASUSGCDriverUpdateClient.exe => Keine Datei
FirewallRules: [UDP Query User{040802BC-B7A4-4D13-956E-8FD1AA3EC29D}Progdir_4\epic games\launcher\engine\binaries\win64\epicwebhelper.exe] => (Allow) Progdir_4\epic games\launcher\engine\binaries\win64\epicwebhelper.exe => Keine Datei
FirewallRules: [TCP Query User{4562463C-EC42-46C7-9E1B-FF29D31444A6}Progdir_4\epic games\launcher\engine\binaries\win64\epicwebhelper.exe] => (Allow) Progdir_4\epic games\launcher\engine\binaries\win64\epicwebhelper.exe => Keine Datei
FirewallRules: [TCP Query User{EFADF597-E23D-4CCD-9096-CF7B3A500E5A}Steam_1\steamapps\common\astroneer\astro\binaries\win64\astro-win64-shipping.exe] => (Allow) Steam_1\steamapps\common\astroneer\astro\binaries\win64\astro-win64-shipping.exe => Keine Datei
FirewallRules: [UDP Query User{B5C6FC3A-153B-41C3-9FC7-CBDD30FFDB4F}Steam_1\steamapps\common\astroneer\astro\binaries\win64\astro-win64-shipping.exe] => (Allow) Steam_1\steamapps\common\astroneer\astro\binaries\win64\astro-win64-shipping.exe => Keine Datei
FirewallRules: [{2719241D-4457-4677-9A74-DD182BE2F749}] => (Allow) Steam_2\steamapps\common\Earthfall\Earthfall.exe => Keine Datei
FirewallRules: [{DDC3CE3C-56E1-4F99-B882-F9E3F0A0EB77}] => (Allow) Steam_2\steamapps\common\Earthfall\Earthfall.exe => Keine Datei
FirewallRules: [{2AE30167-776E-4B88-B15B-E022FADBD516}] => (Allow) Steam_1\steamapps\common\sogame\game\x64\start_protected_game.exe => Keine Datei
FirewallRules: [{671BF12E-AA07-4817-B9AB-DD43E6BA8494}] => (Allow) Steam_1\steamapps\common\sogame\game\x64\start_protected_game.exe => Keine Datei
FirewallRules: [{E2BDE87E-866E-46CE-B652-84CA4C7591F0}] => (Allow) Steam_2\steamapps\common\DOOMEternal\idTechLauncher.exe => Keine Datei
FirewallRules: [{C53FB233-D9BB-4A6E-A4B8-C87F7CBABCD5}] => (Allow) Steam_2\steamapps\common\DOOMEternal\idTechLauncher.exe => Keine Datei
FirewallRules: [{9138BE7F-6E46-4DA1-9E64-7190CF6B9FA8}] => (Allow) Steam_1\steamapps\common\Total War WARHAMMER\launcher\launcher.exe => Keine Datei
FirewallRules: [{0C5892BA-FD26-4850-8926-465CE3039B54}] => (Allow) Steam_1\steamapps\common\Total War WARHAMMER\launcher\launcher.exe => Keine Datei
FirewallRules: [TCP Query User{805E6EB6-10D1-4B94-93EF-C43F4175243A}Steam_1\steamapps\common\sogame\game\x64\sogame.exe] => (Allow) Steam_1\steamapps\common\sogame\game\x64\sogame.exe => Keine Datei
FirewallRules: [UDP Query User{F2D73C24-2156-4075-895F-403D23E0FE86}Steam_1\steamapps\common\sogame\game\x64\sogame.exe] => (Allow) Steam_1\steamapps\common\sogame\game\x64\sogame.exe => Keine Datei
FirewallRules: [TCP Query User{4E4DDC89-901B-4DB6-BD18-124B89B1EDC9}Steam_1\steamapps\common\sogame\game\x64\sogame.host.exe] => (Allow) Steam_1\steamapps\common\sogame\game\x64\sogame.host.exe => Keine Datei
FirewallRules: [UDP Query User{228F0C72-60BC-49B4-B354-4C69A8722BB2}Steam_1\steamapps\common\sogame\game\x64\sogame.host.exe] => (Allow) Steam_1\steamapps\common\sogame\game\x64\sogame.host.exe => Keine Datei
FirewallRules: [TCP Query User{E7DE8926-CAA6-442D-8437-40C023AEC11E}Progdir_7\epic games\magesofmystralia\build.exe] => (Allow) Progdir_7\epic games\magesofmystralia\build.exe => Keine Datei
FirewallRules: [UDP Query User{408724C6-7799-4167-80F3-62F79C260D72}Progdir_7\epic games\magesofmystralia\build.exe] => (Allow) Progdir_7\epic games\magesofmystralia\build.exe => Keine Datei
FirewallRules: [{E5D78947-D1ED-461B-BBB0-6BFE4DBAA251}] => (Allow) Steam_1\steamapps\common\DOOM 3 BFG Edition\Doom3BFG.exe => Keine Datei
FirewallRules: [{F7767D14-9501-4513-BE6B-CE83A4ED27C8}] => (Allow) Steam_1\steamapps\common\DOOM 3 BFG Edition\Doom3BFG.exe => Keine Datei
FirewallRules: [{E7A5EA06-0611-4F93-8E6F-DFB0E15AACE4}] => (Allow) Steam_1\steamapps\common\DOOM\DOOMx64.exe => Keine Datei
FirewallRules: [{B788A1D7-FFD2-4247-98E5-9C1118BB778D}] => (Allow) Steam_1\steamapps\common\DOOM\DOOMx64.exe => Keine Datei
FirewallRules: [TCP Query User{843F3239-B4FC-405F-B7E6-381D341BA3BB}Steam_1\steamapps\common\age of empires iv\reliccardinal.exe] => (Allow) Steam_1\steamapps\common\age of empires iv\reliccardinal.exe => Keine Datei
FirewallRules: [UDP Query User{46E29247-07CD-41C4-A11F-01BFE92E026F}Steam_1\steamapps\common\age of empires iv\reliccardinal.exe] => (Allow) Steam_1\steamapps\common\age of empires iv\reliccardinal.exe => Keine Datei
FirewallRules: [{DD075AED-DE33-47B2-9BB1-6C5582B54496}] => (Block) Steam_1\steamapps\common\age of empires iv\reliccardinal.exe => Keine Datei
FirewallRules: [{9F5A8129-4612-4D13-8895-3082D0C234A6}] => (Block) Steam_1\steamapps\common\age of empires iv\reliccardinal.exe => Keine Datei
CMD: reg query "HKLM\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Uninstall\BrowserStart" /S
HKLM\SOFTWARE\Policies\Microsoft\Windows Defender: Beschränkung <==== ACHTUNG
HKU\S-1-5-21-3316692255-3417776008-3191720667-1003\...\Run: [MicrosoftEdgeAutoLaunch_149D9BE278C25ECCDF4936BD00AB6DB4] => "Progdir_2\Microsoft\Edge\Application\msedge.exe" --no-startup-window --win-session-start [4253736 2025-11-20] (Microsoft Corporation -> Microsoft Corporation)
HKU\S-1-5-21-3316692255-3417776008-3191720667-1004\...\Run: [MicrosoftEdgeAutoLaunch_5959C549A112421E6D6935ADE384EC4B] => "Progdir_2\Microsoft\Edge\Application\msedge.exe" --no-startup-window --win-session-start [4253736 2025-11-20] (Microsoft Corporation -> Microsoft Corporation)
HKU\S-1-5-21-3316692255-3417776008-3191720667-1004\...\RunOnce: [Application Restart #0] => Progdir_2\Microsoft\Edge\Application\msedge.exe  --continue-active-setup --restore-last-session --restart [4253736 2025-11-20] (Microsoft Corporation -> Microsoft Corporation)
Task: {077BA067-7C15-40F0-B22E-C9DC2A54B4A2} - System32\Tasks\Microsoft\Windows\Location\Notifications => %windir%\System32\LocationNotificationWindows.exe  (Keine Datei)
Task: {F3E6E7ED-A196-4E44-8803-55FAB3AD4E29} - System32\Tasks\Microsoft\Windows\UpdateOrchestrator\USO_UxBroker => %systemroot%\system32\MusNotification.exe  (Keine Datei)
Task: {AF61E62C-2994-474D-BD0E-5006AECD27CE} - System32\Tasks\OneDrive Reporting Task-S-1-5-21-3316692255-3417776008-3191720667-500 => %localappdata%\Microsoft\OneDrive\OneDriveStandaloneUpdater.exe  /reporting (Keine Datei) <==== ACHTUNG
Task: {C4AC8703-28D2-445E-9E88-37A18CE84EF0} - System32\Tasks\VLC Plus Player Updater => "C:\Users\+++++++\AppData\Local\VLC Plus Player Updater\Updater.exe"  (Keine Datei) <==== ACHTUNG
C:\Users\AllUserName\AppData\Local\VLC Plus Player Updater
FF Notifications: Mozilla\Firefox\Profiles\yh3fi0tp.default-release -> hxxps://eu.engage.app
S3 ace-game-0; \SystemRoot\System32\drivers\ace-game-0.sys [X]
S3 ACE-SSC-DRV64; \??\Progdir_1\AntiCheatExpert\SGuard\x64\plugins\ACE-SSC-DRV64.sys [X]
S3 EAAntiCheat; system32\drivers\eaanticheat.sys [X]
S3 NEProtect; \??\Steam_1\steamapps\common\Once Human\NEProtect.sys [X]
Hosts:
RemoveProxy:
EmptyEventLogs:
EmptyTemp:
End::

  ---

• Starte nun FRST und klicke direkt auf den Button Reparieren.
  Wichtig: Du brauchst den Inhalt der Code-Box nirgends einfügen, da sich FRST den Code aus der Zwischenablage holt!
• Das Tool führt die gewünschten Schritte aus und erstellt die Datei fixlog.txt im selben Verzeichnis, in dem sich FRST befindet.
• Zum Abschluss wird das System neu gestartet.
• Poste mir den Inhalt der Datei fixlog.txt mit deiner nächsten Antwort.

Achduje. Da waren meine ganzen Ersetzungen drin. Ich habe meine Dateipfade mit Verzeichnisnamen, die iegendwas persönliches enthalten, alle ersetzt. Ohje, das hätte ich wohl vorher deutlich machen sollen. Entschuldige!
Soll ich die unredigierten FRST.txt und Additions.txt als Private Nachricht senden? Oder eine Liste der Ersetzungen?

Gut gemacht. :abklatsch:


Ah... ok... BrowserStart gehört zu Startfenster.

Wir führen nochmal eine kleine Reparatur durch.
Diese sollte nur ein paar Sekunden dauern.




Reparatur mit FRST

HINWEIS AN ALLE MITLESER:
Dieses FRST-Skript ist ausschließlich für diesen Nutzer gedacht und sollte niemals 1:1 für ein anderes System verwendet werden!

• Speichere deine Arbeiten und schließe alle offenen Programme, damit keine Daten verloren gehen.
• Markiere den gesamten Inhalt der folgenden Code-Box mit der Maus und kopiere ihn (gleichzeitiges Drücken der beiden Tasten "STRG" + "C"):
  
  Code:

  ---

  Start::
DeleteKey: HKLM\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Uninstall\BrowserStart
Unlock: C:\Users\AllUserName\AppData\Local\BrowserStart
Folder: C:\Users\AllUserName\AppData\Local\BrowserStart
C:\Users\AllUserName\AppData\Local\BrowserStart
EmptyTemp:
End::

  ---

• Starte nun FRST und klicke direkt auf den Button Reparieren.
  Wichtig: Du brauchst den Inhalt der Code-Box nirgends einfügen, da sich FRST den Code aus der Zwischenablage holt!
• Das Tool führt die gewünschten Schritte aus und erstellt die Datei fixlog.txt im selben Verzeichnis, in dem sich FRST befindet.
• Zum Abschluss wird das System neu gestartet.
• Poste mir den Inhalt der Datei fixlog.txt mit deiner nächsten Antwort.

Ich habe in den letzten Beiträgen die Benutzernamen durch Zeichen unkenntlich gemacht.
Aber darüber solltest du dir keine Sorgen machen, damit kann niemand was anfangen.

Ich habe meinen Beitrag von 22:18 nochmal verändert, um nicht 10 Minuten warten zu müssen, bis ich das hier reinschreiben kann. Das hast Du wohl deswegen verpasst.

Ich fürchte, wir sind noch nicht bei :abklatsch: In den Versionen der FRST.txt und Additions.tx waren Ersetzungen. Ich habe meine Dateipfade mit Verzeichnisnamen, die irgendwas Persönliches enthalten, ausgetauscht. Das hätte ich wohl vorher deutlich machen sollen. Entschuldige!

Daher beispielsweise "FirewallRules: [{2719241D-4457-4677-9A74-DD182BE2F749}] => (Allow) Steam_2\steamapps\common\Earthfall\Earthfall.exe => Keine Datei"
Das Verzeichnis Steam_2 gibt es nicht

Soll ich die unredigierten FRST.txt und Additions.txt als Private Nachricht senden? Oder eine Liste der Ersetzungen?

Danke für die Hinweise, alles gut. :)

Ich habe mit FRST teilweise "globale Platzhalter" verwendet.
Die Einträge bezüglich FirewallRules sind eher unbedeutend.



Mein Vorschlag:
Du führst die zweite Reparatur aus (siehe gleich hier unten), um "BrowserStart" zu entfernen.
Nach dem Neustart überprüfst du, wie Firefox läuft und postest dann die neue fixlog.txt mit deinem Feedback.
Alles Weitere dann morgen Nachmittag bzw. Abend.



Reparatur mit FRST

HINWEIS AN ALLE MITLESER:
Dieses FRST-Skript ist ausschließlich für diesen Nutzer gedacht und sollte niemals 1:1 für ein anderes System verwendet werden!

• Speichere deine Arbeiten und schließe alle offenen Programme, damit keine Daten verloren gehen.
• Markiere den gesamten Inhalt der folgenden Code-Box mit der Maus und kopiere ihn (gleichzeitiges Drücken der beiden Tasten "STRG" + "C"):
  
  Code:

  ---

  Start::
DeleteKey: HKLM\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Uninstall\BrowserStart
Unlock: C:\Users\AllUserName\AppData\Local\BrowserStart
Folder: C:\Users\AllUserName\AppData\Local\BrowserStart
C:\Users\AllUserName\AppData\Local\BrowserStart
EmptyTemp:
End::

  ---

• Starte nun FRST und klicke direkt auf den Button Reparieren.
  Wichtig: Du brauchst den Inhalt der Code-Box nirgends einfügen, da sich FRST den Code aus der Zwischenablage holt!
• Das Tool führt die gewünschten Schritte aus und erstellt die Datei fixlog.txt im selben Verzeichnis, in dem sich FRST befindet.
• Zum Abschluss wird das System neu gestartet.
• Poste mir den Inhalt der Datei fixlog.txt mit deiner nächsten Antwort.

Da oben steht:
"C:\Users\Adminabk\AppData\Local\Microsoft" => ":ISBD" ADS nicht gefunden.

Das liegt daran, dass ich meinen verkürzten Vornamen durch "Adminabk" ersetzt hatte. Ist das zu beachten?

Hier die Fixlog. Die Abkürzungen für mich und einen weiteren User sind zu XXXX und XXXY verändert.

Gut gemacht. :)

Wie läuft das System?
Gibt es immer noch Probleme mit den Browsern (Seitenladefehler)? Falls ja, betrifft das alle Browser?


Bitte nun wieder einen Kontrollsuchlauf mit FRST, danach sehen wir weiter:

• Starte FRST erneut und klicke auf Untersuchen.
• FRST erstellt nun zwei Logdateien (FRST.txt und Addition.txt).
• Poste mir beide Logdateien mit deiner nächsten Antwort.

Ja, in Firefox treten die beschriebenen Seitenladefehler und das Einschreiten von Malwarebytes unverändert beim Öffnen des Browsers auf. Ein Unterschied besteht allerdings: wenn ich den Taben mit dem Seitenladefehler vor dem Beenden von Firefox nicht schließe, öffnet sich nun nicht mehr Startfenster.de, wenn ich nach dem erneuten Öffnen auf diese Tabe klicke.
Was ich gerade noch entdeckt habe: Lasse ich den Cursor nur über der Tabe stehen, statt zu klicken, wird nach kurzer Zeit eingeblendet:

"browser.services/?B=FH&id=20066
browser.services"

Klicke ich dann darauf, kommt Seiten-Ladefehler und Malwarebytes Meldung.

Beim Starten von Vivaldi passiert hingegen nichts.

Ok, dann scheint das Profil in Firefox tatsächlich beschädigt zu sein bzw. so modifiziert zu sein, dass eine Bereinigung mit Tools nicht funktioniert.


Du kannst zuerst versuchen, Firefox über interne Einstellungen zu bereinigen.
Gib dazu oben in die Adresszeile about:support ein und drücke Enter.
Klicke nun rechts oben auf Firefox bereinigen...
Dadurch werden Erweiterungen und diverse Einstellungen entfernt bzw. zurückgesetzt.
Bestätige mit Firefox bereinigen.
Der Browser muss neu gestartet werden.

Berichte, ob sich dadurch eine Besserung ergeben hat.




Anschließend bitte ich dich noch, folgende Spezialsuche mit FRST sowie einen normalen Suchlauf auszuführen:

Spezialsuche

• Starte FRST.
• Kopiere den gesamten Inhalt der folgenden Code-Box füge ihn bei FRST oben in das Suchfeld hinein:
  Code:

  ---

  SearchAll: Startfenster;BrowserStart;VLC Plus Player;VLCPlusPlayer;vlc.de

  ---

• Klicke auf den Button Datei-Suche.
• FRST beginnt mit dem Suchlauf. Das kann einige Zeit dauern, bitte gedulde dich!
• Am Ende wird eine Textdatei Search.txt erstellt.
• Poste mir deren Inhalt mit deiner nächsten Antwort.

FRST Scan

• Starte FRST erneut und klicke auf Untersuchen.
• FRST erstellt nun zwei Logdateien (FRST.txt und Addition.txt).
• Poste mir beide Logdateien mit deiner nächsten Antwort.

Die Zurücksetzung von Firefox hat zwar funktioniert, aber beim Neustart war das erste Popup: "Startpage - Datenschutz-Suchmaschine will die Standardsuchmaschine von Google zu Starpage ändern. Soll diese Änderung vorgenommen werden?"
Ich habe die Frage verneint. Daraufhin hat sich Startpage als Erweiterung installiert. Das war auch bei meiner ersten Übernahme des Rechners vom Händler so vorgegeben, ich hatte die Erweiterung rausgeworfen. Alles in allem nicht koscher. Aber das war auch ein Drecksladen, ich sagte es.

Ich habe die Erweiterung nun wieder deaktiviert. Trotz allem ist das Verhalten hinsichtlich der geöffneten Seiten mit Ladefehler beim Start ungebrochen.

Servus,


danke wieder für die ausführliche Rückmeldung und die Logdatei. :daumenhoc

In dieser letzten Logdatei sind noch ungewollte Verknüpfungen zu sehen. Ich brauche noch die Logdateien eines erweiterten Suchlaufs.


Führe bitte einen erweiterten Suchlauf mit FRST durch:

FRST Scan

• Starte FRST erneut
• Setze ein Häkchen vor Shortcut.txt
• Klicke auf Untersuchen.
• FRST erstellt nun drei Logdateien (FRST.txt,Addition.txt und Shortcut.txt).
• Poste mir alle drei Logdateien mit deiner nächsten Antwort.
• Ggf. musst du Logdateien auf mehrere Posts aufteilen.

Vielen Dank.

FRST Logfile:
--- --- ---

Addition, Teil 2 (Zeile 601-1200)

y^