Trojaner-Board - neuer PC auf einmal sehr langsam, Firefox-Meldungen "Skript beschäftigt oder antwortet nicht", "keine Rückmeldung"

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - neuer PC auf einmal sehr langsam, Firefox-Meldungen "Skript beschäftigt oder antwortet nicht", "keine Rückmeldung" (https://www.trojaner-board.de/166814-neuer-pc-einmal-sehr-langsam-firefox-meldungen-skript-beschaeftigt-antwortet-keine-rueckmeldung.html)

Anir	10.05.2015 14:04

neuer PC auf einmal sehr langsam, Firefox-Meldungen "Skript beschäftigt oder antwortet nicht", "keine Rückmeldung"

Hallo!!

Ich habe seit ein paar Monaten einen neuen Laptop (nach Jahren mit langsamen, alten und zur Verzweiflung treibenden Computern), der anfangs super lief, sodass ich überglücklich war.
Dann war ich drei Wochen weg (PC wurde währenddessen nicht hochgefahren), als ich wieder kam hat der sehr lange irgendwelche Updates gemacht. Ich kann mich leider nicht genau erinnern, ob die Probleme sofort danach anfingen oder etwas später. Auf jeden Fall ist der Computer auf einmal super langsam, Firefox braucht ewig um Seiten zu laden, wenn ich eine Seite runterscrollen will muss ich ewig warten bis das reagiert und es kommt dann oft eine Meldung mit "nicht antwortendes Skript", wenn ich "weiter ausführen" klicke kommt die Meldung meistens eine Minute später wieder.

Ich habe vorhin einen Virenscan gestartet (Avira), der ist noch nicht vollständig durchgelaufen weil er seit Ewigkeiten bei 94% hängt. Es steht
"Status: Die Registry wird durchsucht
Letztes Objekt:
C:\WINDOWS\System32\MPR.dll"

Ich bin leider absolute Analphabetin was Computer betrifft und weiß nicht, was ich machen könnte. Ich wäre sehr dankbar wenn mir jemand helfen könnte!!
Anir

M-K-D-B

10.05.2015 14:56

:hallo:

Mein Name ist Matthias und ich werde dir bei der Bereinigung deines Computers helfen.

Bitte beachte folgende Hinweise:

Falls wir Hinweise auf illegal erworbene Software finden, werden wir den Support unterbrechen bis jegliche Art von illegaler Software vom Rechner entfernt wurde.
Lies dir die Anleitungen sorgfältig durch. Solltest du Probleme haben, stoppe mit deiner Bearbeitung und beschreibe mir dein Problem so gut es geht.
Solltest du mir nicht innerhalb von 3 Tagen antworten, gehe ich davon aus, dass du keine Hilfe mehr benötigst. Dann lösche ich dein Thema aus meinem Abo. Solltest du einmal länger abwesend sein, so gib mir bitte Bescheid!
Während der Bereinigung bitte nichts installieren oder deinstallieren, außer ich bitte dich darum!
Bitte beachten: Download bei filepony.de: So ladet Ihr unsere Tools richtig!
Alle zu verwendenen Programme sind auf dem Desktop abzuspeichern und von dort zu starten!

Bitte arbeite alle Schritte in der vorgegebenen Reihefolge nacheinander ab und poste alle Logdateien in CODE-Tags:

So funktioniert es:
Posten in CODE-Tags
Die Logfiles anzuhängen oder sogar vorher in ein ZIP, RAR, 7Z-Archive zu packen erschwert deinem Helfer massiv die Arbeit, es sei denn natürlich die Datei wäre ansonsten zu groß für das Forum. Um die Logfiles in eine CODE-Box zu stellen gehe so vor:

Markiere das gesamte Logfile (geht meist mit STRG+A) und kopiere es in die Zwischenablage mit STRG+C.
Klicke im Editor auf das #-Symbol. Es erscheinen zwei Klammerausdrücke [CODE] [/CODE].
Setze den Curser zwischen die CODE-Tags und drücke STRG+V.
Klicke aauf Erweitert/Vorschau, um so prüfen, ob du es richtig gemacht hast. Wenn alles stimmt ... auf Antworten.

http://www.trojaner-board.de/picture...&pictureid=307

Danke für deine Mitarbeit!

Zur ersten Analyse bitte FRST ausführen:

Bitte lade dir die passende Version von Farbar's Recovery Scan Tool auf deinen Desktop:

FRST 32-Bit | FRST 64-Bit
(Wenn du nicht sicher bist: Lade beide Versionen oder unter Start > Computer (Rechtsklick) > Eigenschaften nachschauen)

Starte jetzt FRST.
Ändere ungefragt keine der Checkboxen und klicke auf Untersuchen.
Die Logdateien werden nun erstellt und befinden sich danach auf deinem Desktop.
Poste mir die FRST.txt und nach dem ersten Scan auch die Addition.txt in deinem Thread (#-Symbol im Eingabefenster der Webseite anklicken)

Anir	10.05.2015 16:14

Hallo Matthias, danke dass du mir hilfst!!!

Ich habe jetzt den Virenscanner gestoppt (hing noch immer bei 94%) und bin deinen Anweisungen gefolgt.

Allerdings sind die Logfiles zu lang für das Antwortfeld und die entsprechende Datei zu groß, um sie hochzuladen. Was kann ich tun bzw. wie es für dich am einfachsten?

M-K-D-B

10.05.2015 16:34

Zitat:

Zitat von Anir (Beitrag 1464551)

Was kann ich tun bzw. wie es für dich am einfachsten?

Du könntest die Dateien als Archiv packen (zippen) und dann als Anhang hochladen.

Anir	10.05.2015 16:50

Alles klar, ich hänge die Datei an.

Anir	10.05.2015 16:54

Und die andere auch.

Ich werde jetzt für ein paar Stunden weg sein (bis ca 11/12), falls das irgendwie wichtig sein sollte.

Grüße und noch einmal danke!

M-K-D-B

11.05.2015 12:46

Schritt 1
Downloade Dir bitte

AdwCleaner auf deinen Desktop.

Schließe alle offenen Programme und Browser. Bebilderte Anleitung zu AdwCleaner.
Starte die AdwCleaner.exe mit einem Doppelklick.
Stimme den Nutzungsbedingungen zu.
Klicke auf Optionen und vergewissere dich, dass die folgenden Punkte ausgewählt sind:
- "Tracing" Schlüssel löschen
- Winsock Einstellungen zurücksetzen
- Proxy Einstellungen zurücksetzen
- Internet Explorer Richtlinien zurücksetzen
- Chrome Richtlinien zurücksetzen
- Stelle sicher, dass alle 5 Optionen wie hier dargestellt, ausgewählt sind
Klicke auf Suchlauf und warte bis dieser abgeschlossen ist.
Klicke nun auf Löschen und bestätige auftretende Hinweise mit Ok.
Dein Rechner wird automatisch neu gestartet. Nach dem Neustart öffnet sich eine Textdatei. Poste mir deren Inhalt mit deiner nächsten Antwort.
Die Logdatei findest du auch unter C:\AdwCleaner\AdwCleaner[Cx].txt. (x = fortlaufende Nummer).

Schritt 2
Downloade Dir bitte

Malwarebytes Anti-Malware

Installiere das Programm in den vorgegebenen Pfad. (Bebilderte Anleitung zu MBAM)
Starte Malwarebytes' Anti-Malware (MBAM).
Klicke im Anschluss auf Scannen, wähle den Bedrohungssuchlauf aus und klicke auf Suchlauf starten.
Lass am Ende des Suchlaufs alle Funde (falls vorhanden) in die Quarantäne verschieben. Klicke dazu auf Auswahl entfernen.
Lass deinen Rechner ggf. neu starten, um die Bereinigung abzuschließen.
Starte MBAM, klicke auf Verlauf und dann auf Anwendungsprotokolle.
Wähle das neueste Scan-Protokoll aus und klicke auf Export. Wähle Textdatei (.txt) aus und speichere die Datei als mbam.txt auf dem Desktop ab. Das Logfile von MBAM findest du hier.
Füge den Inhalt der mbam.txt mit deiner nächsten Antwort hinzu.

Schritt 3

Beende bitte Deine Schutzsoftware um eventuelle Konflikte zu vermeiden.
Bitte lade Junkware Removal Tool auf Deinen Desktop

Starte das Tool mit Doppelklick. Ab Windows Vista (oder höher) bitte mit Rechtsklick "als Administrator ausführen" starten.
Drücke eine beliebige Taste, um das Tool zu starten.
Je nach System kann der Scan eine Weile dauern.
Wenn das Tool fertig ist wird das Logfile (JRT.txt) auf dem Desktop gespeichert und automatisch geöffnet.
Bitte poste den Inhalt der JRT.txt in Deiner nächsten Antwort.

Schritt 4

Starte die FRST.exe erneut. Setze einen Haken vor Addition.txt und drücke auf Scan.
FRST erstellt wieder zwei Logdateien (FRST.txt und Addition.txt).
Poste mir beide Logdateien mit deiner nächsten Antwort.

Bitte poste mit deiner nächsten Antwort

die Logdatei von AdwCleaner,
die Logdatei von MBAM,
die Logdatei von JRT,
die beiden neuen Logdateien von FRST.

Anir	11.05.2015 14:11

AdwCleaner Logfile:

Code:

# AdwCleaner v4.203 - Bericht erstellt 11/05/2015 um 14:14:59

# Aktualisiert 30/04/2015 von Xplode

# Datenbank : 2015-05-09.1 [Server]

# Betriebssystem : Windows 8.1 Connected  (x64)

# Benutzername : Katherina - KATHERINA

# Gestarted von : C:\Users\Katherina\Desktop\AdwCleaner_4.203.exe

# Option : Löschen
 

***** [ Dienste ] *****
 

[#] Dienst Gelöscht : CltMngSvc
 

***** [ Dateien / Ordner ] *****
 

Ordner Gelöscht : C:\ProgramData\pokki

Ordner Gelöscht : C:\Program Files (x86)\LenovoBrowserGuard

Ordner Gelöscht : C:\Users\Katherina\AppData\Local\LenovoBrowserGuard

Ordner Gelöscht : C:\Users\Katherina\AppData\Local\pokki

Datei Gelöscht : C:\Users\Katherina\AppData\Roaming\Mozilla\Firefox\Profiles\vmu3kaqx.default\foxydeal.sqlite
 

***** [ Geplante Tasks ] *****
 
 

***** [ Verknüpfungen ] *****
 
 

***** [ Registrierungsdatenbank ] *****
 

Wert Gelöscht : HKCU\Software\Microsoft\Windows\CurrentVersion\Run [Pokki]

Schlüssel Gelöscht : HKCU\Software\Classes\AllFileSystemObjects\shell\pokki

Schlüssel Gelöscht : HKCU\Software\Classes\Directory\shell\pokki

Schlüssel Gelöscht : HKCU\Software\Classes\Drive\shell\pokki

Schlüssel Gelöscht : HKCU\Software\Classes\lnkfile\shell\pokki

Schlüssel Gelöscht : HKCU\Software\Pokki

Schlüssel Gelöscht : HKLM\SOFTWARE\LenovoBrowserGuard

Schlüssel Gelöscht : HKCU\Software\Microsoft\Windows\CurrentVersion\Uninstall\Pokki

Schlüssel Gelöscht : HKCU\Software\Microsoft\Windows\CurrentVersion\Uninstall\Pokki_Start_Menu

Schlüssel Gelöscht : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\LenovoBrowserGuard

Daten Gelöscht : HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows [AppInit_DLLs] - C:\PROGRA~2\LenovoBrowserGuard\LenovoBrowserGuard\bin\SPVC32Loader.dll

Daten Gelöscht : [x64] HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows [AppInit_DLLs] - C:\PROGRA~2\LenovoBrowserGuard\LenovoBrowserGuard\bin\SPVC64Loader.dll

Daten Gelöscht : HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings [ProxyOverride] - *.local
 

***** [ Internetbrowser ] *****
 

-\\ Internet Explorer v11.0.9600.17416
 
 

-\\ Mozilla Firefox v37.0.2 (x86 de)
 
 

*************************
 

AdwCleaner[R0].txt - [2370 Bytes] - [11/05/2015 14:06:30]

AdwCleaner[S0].txt - [2242 Bytes] - [11/05/2015 14:14:59]
 

########## EOF - C:\AdwCleaner\AdwCleaner[S0].txt - [2301  Bytes] ##########

--- --- ---

[/CODE]

Code:



Malwarebytes Anti-Malware

www.malwarebytes.org
 

Suchlauf Datum: 11.05.2015

Suchlauf-Zeit: 14:30:01

Logdatei: mbam.txt

Administrator: Ja
 

Version: 2.01.6.1022

Malware Datenbank: v2015.05.11.03

Rootkit Datenbank: v2015.04.21.01

Lizenz: Kostenlos

Malware Schutz: Deaktiviert

Bösartiger Webseiten Schutz: Deaktiviert

Selbstschutz: Deaktiviert
 

Betriebssystem: Windows 8.1

CPU: x64

Dateisystem: NTFS

Benutzer: Katherina
 

Suchlauf-Art: Bedrohungs-Suchlauf

Ergebnis: Abgeschlossen

Durchsuchte Objekte: 350347

Verstrichene Zeit: 25 Min, 47 Sek
 

Speicher: Aktiviert

Autostart: Aktiviert

Dateisystem: Aktiviert

Archive: Aktiviert

Rootkits: Deaktiviert

Heuristik: Aktiviert

PUP: Aktiviert

PUM: Aktiviert
 

Prozesse: 0

(Keine schädliche Elemente gefunden)
 

Module: 0

(Keine schädliche Elemente gefunden)
 

Registrierungsschlüssel: 0

(Keine schädliche Elemente gefunden)
 

Registrierungswerte: 0

(Keine schädliche Elemente gefunden)
 

Registrierungsdaten: 0

(Keine schädliche Elemente gefunden)
 

Ordner: 0

(Keine schädliche Elemente gefunden)
 

Dateien: 3

PUP.Optional.Somoto, C:\Users\Katherina\AppData\Local\Temp\bitool.dll, In Quarantäne, [69f6058dbdcd89ad3757383f34ce3ac6], 

PUP.Optional.Somoto.SID.A, C:\Users\Katherina\AppData\Local\Temp\nsiC0C1.tmp, In Quarantäne, [124d8f036b1fba7cdd988bc8c541867a], 

PUP.Optional.Somoto.SID.A, C:\Users\Katherina\AppData\Local\Temp\nsn22E6.tmp, In Quarantäne, [421dccc639517eb884f11043f5118b75], 
 

Physische Sektoren: 0

(Keine schädliche Elemente gefunden)
 
 

(end)

Bei MBAM bin ich mir nicht sicher ob ich den neuesten Suchlauf ausgewählt habe weil bei dem einen keine Uhrzeit dabei stand, ich hoffe ich habe das richtige Protokoll gepostet. Falls nicht poste ich noch das andere.

Schritt 3 und 4 muss ich heute abend ausführen, weil ich jetzt los muss.

M-K-D-B

11.05.2015 15:28

Zitat:

Zitat von Anir (Beitrag 1464826)

Schritt 3 und 4 muss ich heute abend ausführen, weil ich jetzt los muss.

Ok, dann bis später. :)

Anir	11.05.2015 18:14

JRT Logfile:

Code:

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

Junkware Removal Tool (JRT) by Thisisu

Version: 6.7.0 (05.09.2015:1)

OS: Windows 8.1 Connected x64

Ran by Katherina on 11.05.2015 at 19:09:39,21

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
 
 
 
 

~~~ Services
 
 
 

~~~ Tasks
 

Successfully deleted: [Task] C:\WINDOWS\system32\tasks\Optimize Start Menu Cache Files-S-1-5-21-1131006564-119424937-13047761-500

Successfully deleted: [Task] C:\WINDOWS\system32\tasks\Optimize Start Menu Cache Files-S-1-5-21-3590200595-559635991-300498601-500

Successfully deleted: [Task] C:\WINDOWS\system32\tasks\Optimize Start Menu Cache Files-S-1-5-21-778124614-311474730-729687096-1001

Successfully deleted: [Task] C:\WINDOWS\system32\tasks\Optimize Start Menu Cache Files-S-1-5-21-778124614-311474730-729687096-500
 
 
 

~~~ Registry Values
 
 
 

~~~ Registry Keys
 
 
 

~~~ Files
 
 
 

~~~ Folders
 
 
 

~~~ FireFox
 

Emptied folder: C:\Users\Katherina\AppData\Roaming\mozilla\firefox\profiles\vmu3kaqx.default\minidumps [2 files]
 
 
 
 
 

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

Scan was completed on 11.05.2015 at 19:12:38,21

End of JRT log

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

--- --- ---

[/CODE]

Anir	11.05.2015 18:27

So, jetzt aber.

FRST und Addition Log waren wieder zu lang bzw. zu schwer, habe sie wieder komprimiert und angehängt.

Hatte ich eigentlich das richtige Suchlaufprotokoll von MBAM gepostet?

Und könnte es sein, dass der PC jetzt schon wieder (fast??) normal läuft? Oder bilde ich mir das ein?

M-K-D-B

12.05.2015 15:04

Servus,

Zitat:

Zitat von Anir (Beitrag 1464919)

Hatte ich eigentlich das richtige Suchlaufprotokoll von MBAM gepostet?

Ja. :)

Zitat:

Zitat von Anir (Beitrag 1464919)

Und könnte es sein, dass der PC jetzt schon wieder (fast??) normal läuft? Oder bilde ich mir das ein?

Ja, fast passt wieder alles. ;)

Starte FRST erneut. Kopiere den Inhalt der folgenden Code-Box oben in die Zeile:

Code:

pokki;LenovoBrowserGuard;Lenovo Web Start;
Drücke auf Registry Search.
FRST beginnt mit dem Suchlauf und erstellt am Ende eine Textdatei Search.txt.
Poste mir deren Inhalt mit deiner nächsten Antwort.

Anir	12.05.2015 15:22

Wird gemacht!

Code:



Farbar Recovery Scan Tool (x64) Version: 09-05-2015

Ran by Katherina at 2015-05-12 16:21:39

Running from C:\Users\Katherina\Desktop

Boot Mode: Normal
 

================== Search Registry: "pokki;LenovoBrowserGuard;Lenovo Web Start" ===========
 
 

===================== Search result for "pokki" ==========
 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\TBDEn]

"SBOEM0"="%PROGRAMDATA%\Pokki\Start Menu.lnk"
 

[HKEY_USERS\S-1-5-21-778124614-311474730-729687096-1001\Software\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run]

"Pokki"="0x020000000000000000000000"
 

[HKEY_USERS\S-1-5-21-778124614-311474730-729687096-1001\Software\Microsoft\Windows\CurrentVersion\Uninstall\Pokki_04bb6df446330549a2cb8d67fbd1a745025b7bd1]

"DisplayName"="Lenovo Web Start"
 

[HKEY_USERS\S-1-5-21-778124614-311474730-729687096-1001\Software\Microsoft\Windows\CurrentVersion\Uninstall\Pokki_04bb6df446330549a2cb8d67fbd1a745025b7bd1]

"Publisher"="Pokki"
 

[HKEY_USERS\S-1-5-21-778124614-311474730-729687096-1001\Software\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Compatibility Assistant\Store]

"C:\Users\Katherina\AppData\Local\Pokki\Engine\HostAppService.exe"="0x534143500100000000000000070000002800000048B97700019D780001000000000000000000030671200000975FD891C99ECE01000000000000000002000000280000000000000000000000000000000000000000000000000000004C100000000000000100000001000000"
 
 

===================== Search result for "Lenovo Web Start" ==========
 

[HKEY_USERS\S-1-5-21-778124614-311474730-729687096-1001\Software\Microsoft\Windows\CurrentVersion\Uninstall\Pokki_04bb6df446330549a2cb8d67fbd1a745025b7bd1]

"DisplayName"="Lenovo Web Start"
 

====== End Of Search ======

M-K-D-B

12.05.2015 15:34

Wir entfernen die letzten Reste und kontrollieren nochmal alles. ESET kann länger (> 2 h) dauern.
Im Anschluss entfernen wir alle verwendeten Tools und ich gebe dir noch ein paar Tipps mit auf den Weg.

Schritt 1
Drücke bitte die Windowstaste + R Taste und schreibe notepad in das Ausführen Fenster.

Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument

Code:

start

CloseProcesses:

HKU\S-1-5-21-778124614-311474730-729687096-1001\Software\Microsoft\Internet Explorer\Main,Secondary Start Pages = http://mystart.lenovo.com

HKU\S-1-5-21-778124614-311474730-729687096-1001\Software\Microsoft\Internet Explorer\Main,Default_Secondary_Page_URL = http://mystart.lenovo.com

DeleteKey: HKEY_USERS\S-1-5-21-778124614-311474730-729687096-1001\Software\Microsoft\Windows\CurrentVersion\Uninstall\Pokki_04bb6df446330549a2cb8d67fbd1a745025b7bd1

Task: {3D7A1D19-356E-4F75-8DAA-C1F87C4CD8F0} - \Optimize Start Menu Cache Files-S-1-5-21-778124614-311474730-729687096-1001 No Task File <==== ATTENTION

Task: {E7875FC9-89E8-4373-B871-9098E12D9B33} - \Optimize Start Menu Cache Files-S-1-5-21-778124614-311474730-729687096-500 No Task File <==== ATTENTION

RemoveProxy:

EmptyTemp:

end

Speichere diese bitte als Fixlist.txt auf deinem Desktop (oder dem Verzeichnis in dem sich FRST befindet).

Starte nun FRST erneut und klicke den Entfernen Button.
Das Tool erstellt eine Fixlog.txt.
Poste mir deren Inhalt.

Schritt 2

ESET Online Scanner

Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
Lade und starte Eset Online Scanner
Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
Klicke auf Starten.
Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
Klicke am Ende des Suchlaufs auf Fertig stellen.
Schließe das Fenster von ESET.
Explorer öffnen.
C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
Logfile hier posten.
Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

Schritt 3
Downloade Dir bitte

SecurityCheck und:

Speichere es auf dem Desktop.
Starte SecurityCheck.exe und folge den Anweisungen in der DOS-Box.
Wenn der Scan beendet wurde sollte sich ein Textdokument (checkup.txt) öffnen.

Poste den Inhalt bitte hier.

Bitte poste mit deiner nächsten Antwort

die Logdatei des FRST-Fix,
die Logdatei von ESET,
die Logdatei von SecurityCheck.

Anir	12.05.2015 17:28

Code:



Fix result of Farbar Recovery Tool (FRST written by Farbar) (x64) Version: 09-05-2015

Ran by Katherina at 2015-05-12 16:39:57 Run:1

Running from C:\Users\Katherina\Desktop

Loaded Profiles: Katherina (Available profiles: Katherina)

Boot Mode: Normal

==============================================
 

Content of fixlist:

*****************

start

CloseProcesses:

HKU\S-1-5-21-778124614-311474730-729687096-1001\Software\Microsoft\Internet Explorer\Main,Secondary Start Pages = hxxp://mystart.lenovo.com

HKU\S-1-5-21-778124614-311474730-729687096-1001\Software\Microsoft\Internet Explorer\Main,Default_Secondary_Page_URL = hxxp://mystart.lenovo.com

DeleteKey: HKEY_USERS\S-1-5-21-778124614-311474730-729687096-1001\Software\Microsoft\Windows\CurrentVersion\Uninstall\Pokki_04bb6df446330549a2cb8d67fbd1a745025b7bd1

Task: {3D7A1D19-356E-4F75-8DAA-C1F87C4CD8F0} - \Optimize Start Menu Cache Files-S-1-5-21-778124614-311474730-729687096-1001 No Task File <==== ATTENTION

Task: {E7875FC9-89E8-4373-B871-9098E12D9B33} - \Optimize Start Menu Cache Files-S-1-5-21-778124614-311474730-729687096-500 No Task File <==== ATTENTION

RemoveProxy:

EmptyTemp:

end

         

*****************
 

Processes closed successfully.

HKU\S-1-5-21-778124614-311474730-729687096-1001\Software\Microsoft\Internet Explorer\Main\\Secondary Start Pages => value deleted successfully.

HKU\S-1-5-21-778124614-311474730-729687096-1001\Software\Microsoft\Internet Explorer\Main\\Default_Secondary_Page_URL => value deleted successfully.

HKEY_USERS\S-1-5-21-778124614-311474730-729687096-1001\Software\Microsoft\Windows\CurrentVersion\Uninstall\Pokki_04bb6df446330549a2cb8d67fbd1a745025b7bd1 => Key Deleted successfully.

"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Plain\{3D7A1D19-356E-4F75-8DAA-C1F87C4CD8F0}" => Key deleted successfully.

"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{3D7A1D19-356E-4F75-8DAA-C1F87C4CD8F0}" => Key deleted successfully.

"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Optimize Start Menu Cache Files-S-1-5-21-778124614-311474730-729687096-1001" => Key deleted successfully.

"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Plain\{E7875FC9-89E8-4373-B871-9098E12D9B33}" => Key deleted successfully.

"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{E7875FC9-89E8-4373-B871-9098E12D9B33}" => Key deleted successfully.

"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\Optimize Start Menu Cache Files-S-1-5-21-778124614-311474730-729687096-500" => Key deleted successfully.
 

========= RemoveProxy: =========
 

HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings => value deleted successfully.

HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings => value deleted successfully.

HKU\S-1-5-21-778124614-311474730-729687096-1001\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\DefaultConnectionSettings => value deleted successfully.

HKU\S-1-5-21-778124614-311474730-729687096-1001\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections\\SavedLegacySettings => value deleted successfully.
 
 

========= End of RemoveProxy: =========
 

EmptyTemp: => Removed 1.4 GB temporary data.
 
 

The system needed a reboot. 
 

==== End of Fixlog 16:41:12 ====

Code:



ESETSmartInstaller@High as downloader log:

all ok

# product=EOS

# version=8

# OnlineScannerApp.exe=1.0.0.1

# OnlineScanner.ocx=1.0.0.7623

# api_version=3.0.2

# EOSSerial=2740f64f0a0dc5409884b607469cb4b9

# engine=23810

# end=finished

# remove_checked=false

# archives_checked=true

# unwanted_checked=true

# unsafe_checked=false

# antistealth_checked=true

# utc_time=2015-05-12 04:13:51

# local_time=2015-05-12 06:13:51 (+0100, Mitteleuropäische Sommerzeit)

# country="Germany"

# lang=1031

# osver=6.2.9200 NT 

# compatibility_mode_1=''

# compatibility_mode=5893 16776574 100 94 4393257 8960761 0 0

# scanned=225061

# found=10

# cleaned=0

# scan_time=4898

sh=7D99FBA462856BC4DD46A7B18E1D79D1C2BC0789 ft=1 fh=0c98b06ccc654f7d vn="Variante von Win32/Conduit.SearchProtect.I evtl. unerwünschte Anwendung" ac=I fn="C:\AdwCleaner\Quarantine\C\Program Files (x86)\LenovoBrowserGuard\LenovoBrowserGuard\bin\cltmng.exe.vir"

sh=01B1F9CB2D50A5609593744320463E46B91EEED4 ft=1 fh=769d3a4457a9efb0 vn="Variante von Win32/ClientConnect.A evtl. unerwünschte Anwendung" ac=I fn="C:\AdwCleaner\Quarantine\C\Program Files (x86)\LenovoBrowserGuard\LenovoBrowserGuard\bin\SPTool64.exe.vir"

sh=C91A0FA1B6D1087BFFF881365E2985A011B401C2 ft=1 fh=4fa76ddc1441696b vn="Variante von Win32/Conduit.SearchProtect.H evtl. unerwünschte Anwendung" ac=I fn="C:\AdwCleaner\Quarantine\C\Program Files (x86)\LenovoBrowserGuard\LenovoBrowserGuard\bin\SPVC32.dll.vir"

sh=FA71B8789F7BB0D1FC4A4F6EB9E082D234DD4E8A ft=1 fh=5c4c6b425e2cebc2 vn="Variante von Win32/ClientConnect.A evtl. unerwünschte Anwendung" ac=I fn="C:\AdwCleaner\Quarantine\C\Program Files (x86)\LenovoBrowserGuard\LenovoBrowserGuard\bin\SPVC32Loader.dll.vir"

sh=8FF3027FD5B24AF549A476472735F525E5A82E79 ft=1 fh=8958c815348aafc1 vn="Variante von Win32/ClientConnect.A evtl. unerwünschte Anwendung" ac=I fn="C:\AdwCleaner\Quarantine\C\Program Files (x86)\LenovoBrowserGuard\LenovoBrowserGuard\bin\SPVC64.dll.vir"

sh=FED4EF394C9023B1005081D803BCB7777479CD19 ft=1 fh=d176c9757a5542b1 vn="Variante von Win32/ClientConnect.A evtl. unerwünschte Anwendung" ac=I fn="C:\AdwCleaner\Quarantine\C\Program Files (x86)\LenovoBrowserGuard\LenovoBrowserGuard\bin\SPVC64Loader.dll.vir"

sh=621A43829E928D10CDA8CE4ECCF5C11E6BCFD5A8 ft=1 fh=1402f114ad354e9d vn="Variante von Win32/Conduit.SearchProtect.H evtl. unerwünschte Anwendung" ac=I fn="C:\AdwCleaner\Quarantine\C\Program Files (x86)\LenovoBrowserGuard\Main\bin\CltMngSvc.exe.vir"

sh=DDB78884545DF16760E10BFC482D1719DDCA5C90 ft=1 fh=3db9760f8b27cec5 vn="Variante von Win32/Conduit.SearchProtect.H evtl. unerwünschte Anwendung" ac=I fn="C:\AdwCleaner\Quarantine\C\Program Files (x86)\LenovoBrowserGuard\Main\bin\SPTool.dll.vir"

sh=E56595B052627D2E0F79BFEB1113B85CF5E373DB ft=1 fh=fd73c4a1721c52d6 vn="Variante von Win32/ClientConnect.A evtl. unerwünschte Anwendung" ac=I fn="C:\AdwCleaner\Quarantine\C\Program Files (x86)\LenovoBrowserGuard\Main\bin\uninstall.exe.vir"

sh=1B64473A9F6DC51107678E8649727FADE9D9B4F2 ft=1 fh=d771a5c9edd3de6b vn="Variante von Win32/Conduit.SearchProtect.Y evtl. unerwünschte Anwendung" ac=I fn="C:\AdwCleaner\Quarantine\C\Program Files (x86)\LenovoBrowserGuard\UI\bin\cltmngui.exe.vir"

Code:



 Results of screen317's Security Check version 1.001  

   x64 (UAC is enabled)  

 Internet Explorer 11  
 ``````````````Antivirus/Firewall Check:`````````````` 

Avira Antivirus    

Windows Defender   

 Antivirus up to date!  (On Access scanning disabled!) 
 `````````Anti-malware/Other Utilities Check:````````` 

 Adobe Flash Player         17.0.0.169  

 Adobe Reader XI  

 Mozilla Firefox (37.0.2) 
 ````````Process Check: objlist.exe by Laurent````````  

 Avira Antivir avgnt.exe 

 Avira Antivir avguard.exe 
 `````````````````System Health check````````````````` 

 Total Fragmentation on Drive C:  % 
 ````````````````````End of Log``````````````````````

M-K-D-B

13.05.2015 15:23

Wenn du keine Probleme mehr mit Malware hast, dann sind wir hier fertig. Deine Logdateien sind sauber. :daumenhoc
Zum Schluss müssen wir noch ein paar abschließende Schritte unternehmen, um deinen Pc aufzuräumen und abzusichern.

http://deeprybka.trojaner-board.de/b...cleanupneu.png
Cleanup:
(Die Reihenfolge ist hier entscheidend)

Falls Defogger verwendet wurde: Erneut starten und auf Re-enable klicken.

Falls Combofix verwendet wurde:
http://deeprybka.trojaner-board.de/b.../combofix2.pngCombofix deinstallieren

Wichtig: Bitte Antivirus-Programm, evtl. vorhandenes Skript-Blocking und Anti-Malware Programme deaktivieren.
Drücke bitte die http://deeprybka.trojaner-board.de/b...ne/revo/w7.png + R Taste und schreibe Combofix /Uninstall in das Ausführen-Fenster.
Klicke auf OK.
Damit wird Combofix komplett entfernt und der Cache der Systemwiederherstellung geleert.
Nun die eben deaktivierten Programme wieder aktivieren.

Alle Logs gepostet? Dann lade Dir bitte http://filepony.de/icon/tiny/delfix.pngDelFix herunter.

Schließe alle offenen Programme.
Starte die delfix.exe mit einem Doppelklick.
Setze vor jede Funktion ein Häkchen.
Klicke auf Start.

Hinweis: DelFix entfernt u.a. alle verwendeten Programme, die Quarantäne unserer Scanner, den Java-Cache und löscht sich abschließend selbst.
Starte Deinen Rechner abschließend neu. Sollten jetzt noch Programme aus unserer Bereinigung übrig sein, kannst Du diese bedenkenlos löschen.

Wenn Du möchtest, kannst Du hier sagen, ob Du mit mir und meiner Hilfe zufrieden warst...:dankeschoen:und/oder das Forum mit einer kleinen Spende http://www.trojaner-board.de/extra/spende.png unterstützen. :applaus:

http://deeprybka.trojaner-board.de/b...ast/schild.png
Absicherung:
Beim Betriebsystem Windows die automatischen Updates aktivieren. Auch die sicherheitsrelevante Software sollte immer nur in der aktuellsten Version vorliegen:

Browser
Java
Flash-Player
PDF-Reader

Sicherheitslücken in deren alten Versionen werden dazu ausgenutzt, um beim einfachen Besuch einer manipulierten Website per "Drive-by" Malware zu installieren.
Ich empfehle z.B. die Verwendung von Mozilla Firefox statt des Internet Explorers. Zudem lassen sich mit dem Firefox auch PDF-Dokumente öffnen.

Aktiviere eine Firewall. Die in Windows integrierte genügt im Normalfall völlig.

Verwende ein einziges der folgenden Antivirusprogramme mit Echtzeitscanner und stets aktueller Signaturendatenbank:

	Emsisoft	Avast	MSE
	http://filepony.de/icon/emsisoft_anti_malware.png	http://filepony.de/icon/avast_antivirus.png	http://filepony.de/icon/microsoft_se...essentials.png

Zusätzlich kannst Du Deinen PC regelmäßig mit Malwarebytes Anti-Malware und ESET scannen.

Optional:
http://filepony.de/icon/noscript.png NoScript verhindert das Ausführen von aktiven Inhalten (Java, JavaScript, Flash,...) für sämtliche Websites. Man kann aber nach dem Prinzip einer Whitelist festlegen, auf welchen Seiten Scripts erlaubt werden sollen.
http://filepony.de/icon/malwarebytes_anti_exploit.pngMalwarebytes Anti Exploit: Schützt die Anwendungen des Computers vor der Ausnutzung bekannter Schwachstellen.

Lade Software von einem sauberen Portal wie http://filepony.de/images/microbanner.gif.
Wähle beim Installieren von Software immer die benutzerdefinierte Option und entferne den Haken bei allen optional angebotenen Toolbars oder sonstigen, fürs Programm, irrelevanten Ergänzungen.
Um Adware wieder los zu werden, empfiehlt sich zunächst die Deinstallation sowie die anschließende Resteentfernung mit Adwcleaner .

Abschließend noch ein paar grundsätzliche Bemerkungen:
Ändere regelmäßig Deine wichtigen Online-Passwörter und erstelle regelmäßig Backups Deiner wichtigen Dateien oder des Systems.
Der Nutzen von Registry-Cleanern, Optimizern usw. zur Performancesteigerung ist umstritten. Ich empfehle deshalb, die Finger von der Registry zu lassen und lieber die windowseigene Datenträgerbereinigung zu verwenden.

Hinweis: Bitte gib mir eine kurze Rückmeldung wenn alles erledigt ist und keine Fragen mehr vorhanden sind, so dass ich dieses Thema aus meinen Abos löschen kann.

Anir	14.05.2015 12:32

juhuuuu!!! danke dir :)

bevor ich die letzten schritte mache.... wurde defogger und/oder combofix verwendet?
ich weiß es nicht.

M-K-D-B

14.05.2015 13:45

Zitat:

Zitat von Anir (Beitrag 1465720)

bevor ich die letzten schritte mache.... wurde defogger und/oder combofix verwendet?

Nein, haben wir nicht verwendet.

Du kannst also gleich mit DelFix die abschließenden Schritte starten.

Bitte gib mir Bescheid, wenn alles erledigt ist.

Anir	14.05.2015 14:12

Ich habe Delfix ausgeführt, nach dem Neustart waren noch folgende Sachen auf dem Desktop:

- Delfix.txt
- Addition.zip
- mbam.txt
- das Malwarebytes Anti-Malware Programm

Die lösche ich jetzt einfach manuell vom Desktop? Oder muss ich über die Systemsteuerung etwas deinstallieren?

Und noch eine andere Frage:
Ich habe bei meinem Antivirus Programm (Avira) den Antivirus und den Browserschutz aktiviert. Wenn ich Avira öffne steht auch "geschützt". Das Wartungscenter zeigt aber zwei Meldungen an, dass "Windows Defender und Avira Antivirus deaktiviert" seien. Daneben kann ich auf zwe Flächen klicken, "Antispyware-Apps anzeigen" bzw. "Antiviren-Apps anzeigen". Das verstehe ich irgendwie nicht...

M-K-D-B

14.05.2015 19:14

Zitat:

Zitat von Anir (Beitrag 1465747)

- Delfix.txt
- Addition.zip
- mbam.txt

Kannst du per Hand löschen.

Zitat:

Zitat von Anir (Beitrag 1465747)

- das Malwarebytes Anti-Malware Programm

nicht löschen, auf dem Rechner belassen. Jede Woche einmal updaten und einen Kontrollsuchlauf damit starten.

Zitat:

Zitat von Anir (Beitrag 1465747)

Und noch eine andere Frage:
Ich habe bei meinem Antivirus Programm (Avira) den Antivirus und den Browserschutz aktiviert. Wenn ich Avira öffne steht auch "geschützt". Das Wartungscenter zeigt aber zwei Meldungen an, dass "Windows Defender und Avira Antivirus deaktiviert" seien. Daneben kann ich auf zwe Flächen klicken, "Antispyware-Apps anzeigen" bzw. "Antiviren-Apps anzeigen". Das verstehe ich irgendwie nicht...

Bitte mal FSS ausführen:

Downloade dir bitte

Farbar Service Scanner

Starte das Tool mit Doppelklick auf die FSS.exe
Gehe sicher, dass folgende Optionen angehakt sind.
- Internet Services
- Windows Firewall
- System Restore
- Security Center/Action Center
- Windows Update
- Windows Defender
- Other Services
Klicke auf Scan.
Wenn das Tool fertig ist, wird es eine FSS.txt in dem Verzeichnis erstellen, wo das Tool gelaufen ist.

Poste bitte den Inhalt hier.

Anir	17.05.2015 13:06

okay, werde ich manuell löschen.

FSS führe ich morgen aus, bin gerade nicht zuhause und habe den PC nicht dabei. Ich poste das Ergebnis sobald ich es habe.

Danke nochmal und schönen Sonntag!

M-K-D-B

17.05.2015 20:35

Servus,

ok, dann bis morgen.

Anir	18.05.2015 11:06

Code:



Farbar Service Scanner Version: 17-01-2015

Ran by Katherina (administrator) on 18-05-2015 at 12:05:57

Running from "C:\Users\Katherina\Desktop"

Microsoft Windows 8.1 mit Bing  (X64)

Boot Mode: Normal

****************************************************************
 

Internet Services:

============
 

Connection Status:

==============

Localhost is accessible.

LAN connected.

Google IP is accessible.

Google.com is accessible.

Yahoo.com is accessible.
 
 

Windows Firewall:

=============
 

Firewall Disabled Policy: 

==================
 
 

System Restore:

============
 

System Restore Policy: 

========================
 
 

Action Center:

============
 
 

Windows Update:

============
 

Windows Autoupdate Disabled Policy: 

============================
 
 

Windows Defender:

==============

WinDefend Service is not running. Checking service configuration:

The start type of WinDefend service is set to Demand. The default start type is Auto.

The ImagePath of WinDefend: ""%ProgramFiles%\Windows Defender\MsMpEng.exe"".
 
 

Windows Defender Disabled Policy: 

==========================

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender]

"DisableAntiSpyware"=DWORD:1
 
 

Other Services:

==============
 
 

File Check:

========

C:\Windows\System32\nsisvc.dll => File is digitally signed

C:\Windows\System32\drivers\nsiproxy.sys => File is digitally signed

C:\Windows\System32\dhcpcore.dll => File is digitally signed

C:\Windows\System32\drivers\afd.sys => File is digitally signed

C:\Windows\System32\drivers\tdx.sys => File is digitally signed

C:\Windows\System32\Drivers\tcpip.sys => File is digitally signed

C:\Windows\System32\dnsrslvr.dll => File is digitally signed

C:\Windows\System32\mpssvc.dll => File is digitally signed

C:\Windows\System32\bfe.dll => File is digitally signed

C:\Windows\System32\drivers\mpsdrv.sys => File is digitally signed

C:\Windows\System32\wscsvc.dll => File is digitally signed

C:\Windows\System32\wbem\WMIsvc.dll => File is digitally signed

C:\Windows\System32\wuaueng.dll => File is digitally signed

C:\Windows\System32\qmgr.dll => File is digitally signed

C:\Windows\System32\es.dll => File is digitally signed

C:\Windows\System32\cryptsvc.dll => File is digitally signed

C:\Program Files\Windows Defender\MpSvc.dll => File is digitally signed

C:\Program Files\Windows Defender\MsMpEng.exe => File is digitally signed

C:\Windows\System32\ipnathlp.dll => File is digitally signed

C:\Windows\System32\iphlpsvc.dll => File is digitally signed

C:\Windows\System32\svchost.exe => File is digitally signed

C:\Windows\System32\rpcss.dll => File is digitally signed
 
 

**** End of log ****

M-K-D-B

18.05.2015 15:05

Servus,

Avira über die Systemsteuerung deinstallieren und anschließend neu installieren.

Anir	18.05.2015 22:25

Habe ich gemacht und die Meldung ist weg :daumenhoc

Was mache ich mit dem FSS? Über Systemsteuerung deinstallieren?

M-K-D-B

19.05.2015 13:12

Zitat:

Zitat von Anir (Beitrag 1467444)

Was mache ich mit dem FSS? Über Systemsteuerung deinstallieren?

Per Hand vom Desktop löschen, auch die fss.txt. Das genügt. :)

Ich bin froh, dass wir helfen konnten :abklatsch:

In diesem Forum kannst du eine kurze Rückmeldung zur Bereinigung abgeben, sofern du das möchtest:
Lob, Kritik und Wünsche
Klicke dazu auf den Button "NEUES THEMA" und poste ein kleines Feedback. Vielen Dank! :)

Dieses Thema scheint erledigt und wird aus meinen Abos gelöscht. Solltest Du das Thema erneut brauchen, schicke mir bitte eine PM.

Jeder andere bitte hier klicken und einen eigenen Thread erstellen.

Anir	20.05.2015 16:34

Super, habe die Sachen gelöscht und freue mich nun über meinen wieder normal laufenden Rechner :singsing:

Danke dir tausendmal für die geduldige Hilfe!!!

Alle Zeitangaben in WEZ +1. Es ist jetzt 11:13 Uhr.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131