| Ron le Fox | 17.08.2016 13:46 |
Windows 10: pup.optional.amonetize Trojaner?
Hallo,
Ich hatte mir vor 3 Tagen einen Trojaner eingefangen. Hatte eine fremde .exe datei gestartet und sofort hat sich der Windows Defender gemeldet mit 3 Sicherheitsmeldungen "Schadware gefunden" und da wurde ich sofort etwas panisch und habe mit Malwarebytes einen suchlauf gemacht da der Windows Defender lahmgelegt war zumindest wollte er sich nicht öffnen und da meinte ein Freund ich solle es mit Malwarebytes versuchen. Die Log dazu unten. Dann habe ich sofort die entsprechenden Dateien löschen lassen auch aus der Quarantäne und habe mal den Rechner neu gestartet. Windows Defender funktionierte wieder und bin dann davon ausgegangen das der Trojaner entfernt ist. Nun nach ein paar Tagen und mehreren Scans mit Malwarebytes habe ich immernoch das Gefühl das sich etwas im hintergrund treibt denn es wurden ab und zu noch infizierte Dateien gefunden. Dazu ist der Windows Defender immernoch etwas "komisch" drauf. Das updaten der Definitionen geht manchmal schief und er spuckt nur einen Fehlercode aus. Ich habe auch schon eine Mitteilung bekommen das der Echtszeitschutz deaktiviert sein sollte was aber nicht stimmt. Ich habe versucht ihn manuell einmal aus- und wieder einzuschalten aber bekam wieder nur einen Fehlercode. Mir ist auch aufgefallen das aus sehr kurioserweise ab und zu Youtube langsam ist obwohl ich andere seiten wie Google etc normal aufrufen kann. Hatte überlegt ob es nicht ein Youtube- seitiges problem ist (Server arbeiten o. ä.). Nun gehen mir langsam die Ideen aus und um sicher zu gehen das alles wieder sauber ist wende ich mich an euch. Es ist möglich das ich mir diese symptome nach dem bereiningen auch nur einbilde aus paranoia da ich viel auf meinem Rechner habe wo viel arbeit und zeit drin Steckt (3D Modelle Scripts etc). Vielen dank für die Hilfe und ich hoffe auf eine reibungslose zusammenarbeit :D :dankeschoen:
Mfg Ron
Erster Scan 14.8. Code:
Malwarebytes Anti-Malware
www.malwarebytes.org
Suchlaufdatum: 14.08.2016
Suchlaufzeit: 14:51
Protokolldatei: mbam_14_8.txt
Administrator: Ja
Version: 2.2.1.1043
Malware-Datenbank: v2016.08.14.05
Rootkit-Datenbank: v2016.08.09.01
Lizenz: Testversion
Malware-Schutz: Aktiviert
Schutz vor bösartigen Websites: Aktiviert
Selbstschutz: Deaktiviert
Betriebssystem: Windows 10
CPU: x64
Dateisystem: NTFS
Benutzer: Ron
Suchlauftyp: Bedrohungssuchlauf
Ergebnis: Abgeschlossen
Durchsuchte Objekte: 385981
Abgelaufene Zeit: 22 Min., 32 Sek.
Speicher: Aktiviert
Start: Aktiviert
Dateisystem: Aktiviert
Archive: Aktiviert
Rootkits: Deaktiviert
Heuristik: Aktiviert
PUP: Aktiviert
PUM: Aktiviert
Prozesse: 0
(keine bösartigen Elemente erkannt)
Module: 0
(keine bösartigen Elemente erkannt)
Registrierungsschlüssel: 4
PUP.Optional.IDSCProduct, HKLM\SOFTWARE\MICROSOFT\TRACING\idscservice_RASAPI32, In Quarantäne, [44b9f258dcbe46f06b89a655b74cc838],
PUP.Optional.IDSCProduct, HKLM\SOFTWARE\MICROSOFT\TRACING\idscservice_RASMANCS, In Quarantäne, [bd403c0e8416979fca2a6b90d1324ab6],
PUP.Optional.WizzCaster, HKLM\SOFTWARE\MICROSOFT\TRACING\wizzcaster_RASAPI32, In Quarantäne, [13ea4bffb2e8cc6ab49a06f89271cb35],
PUP.Optional.WizzCaster, HKLM\SOFTWARE\MICROSOFT\TRACING\wizzcaster_RASMANCS, In Quarantäne, [738aac9e7c1e4ceac08e827cb54ea957],
Registrierungswerte: 3
Hijack.AutoConfigURL.PrxySvrRST, HKLM\SYSTEM\CURRENTCONTROLSET\SERVICES\IPHLPSVC\PARAMETERS\PROXYMGR\{0E47B497-090C-4EBE-8C91-498AC295C537}|AutoConfigUrl, hxxp://stoppblock.org/wpad.dat?cd5099fb6356430a55a6bbe4e4f3ab1214398865, In Quarantäne, [55a8ac9e4c4ea2949580f4c0966e5ba5]
Hijack.AutoConfigURL.PrxySvrRST, HKLM\SYSTEM\CURRENTCONTROLSET\SERVICES\NLASVC\PARAMETERS\INTERNET\MANUALPROXIES, 0hxxp://stoppblock.org/wpad.dat?cd5099fb6356430a55a6bbe4e4f3ab1214398865, In Quarantäne, [20dd1931742679bd749e4074a85c49b7]
Hijack.AutoConfigURL.PrxySvrRST, HKU\S-1-5-21-3974846271-2377349248-1308324604-1001\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS|AutoConfigUrl, hxxp://stoppblock.org/wpad.dat?cd5099fb6356430a55a6bbe4e4f3ab1214398865, In Quarantäne, [21dc2c1e0892e45230e3565ee71d6799]
Registrierungsdaten: 0
(keine bösartigen Elemente erkannt)
Ordner: 0
(keine bösartigen Elemente erkannt)
Dateien: 19
PUP.Optional.CSDI, C:\Users\Ron\AppData\Local\Temp\2BPS9EVFK3.exe, In Quarantäne, [5aa3b496d9c1bf775dcbd2c6f80cb44c],
PUP.Optional.IDSCProduct, C:\Users\Ron\AppData\Local\Temp\9YGZ45KI0K.exe, In Quarantäne, [77860c3e148668ce5bf7e87ad72dcc34],
Trojan.Agent, C:\Users\Ron\AppData\Local\Temp\NwMp0Plr4h.exe, In Quarantäne, [3ac358f2dcbe6bcb88deaa2349bb8f71],
PUP.Optional.WizzCaster, C:\Users\Ron\AppData\Local\Temp\RMYZWhWrvP.exe, In Quarantäne, [689525253d5d4fe78273ba0fbc487789],
PUP.Optional.Amonetize, C:\Users\Ron\AppData\Local\Temp\sdf1882.exe, In Quarantäne, [41bc4901b6e40036b94074581ce51ee2],
PUP.Optional.Amonetize, C:\Users\Ron\AppData\Local\Temp\sdfF21E.exe, In Quarantäne, [24d911396634d75fe6135e6e55ac53ad],
PUP.Optional.Elex, C:\Users\Ron\AppData\Local\Temp\u2fgmIkGYk.exe, In Quarantäne, [29d461e935657eb845b47f4dbe464fb1],
PUP.Optional.PCSpeedUp, C:\Users\Ron\AppData\Local\Temp\Yg6jImMeE5.exe, In Quarantäne, [85783416efabab8be8ff61cb946d6799],
PUP.Optional.ConvertAd, C:\Users\Ron\AppData\Local\Temp\nss9FE.tmp.exe, In Quarantäne, [9a631b2feeac03334382188a41c004fc],
PUP.Optional.Tuto4PC, C:\Users\Ron\AppData\Local\Temp\8TMMQR6VNP\win.exe, In Quarantäne, [d8250d3d1f7b1422a2e30a3724dc7e82],
PUP.Optional.WizzCaster, C:\Users\Ron\AppData\Local\Temp\f9626892-7a78-3199-abd2-97bbce96297b\adv_229.exe, In Quarantäne, [03fa05452971181ec035f9d0e61e857b],
PUP.Optional.Offerware, C:\Users\Ron\AppData\Local\Temp\f9626892-7a78-3199-abd2-97bbce96297b\Extracted\adv_109.exe, In Quarantäne, [3fbe63e77822bc7a654df2960bf622de],
PUP.Optional.Trotux, C:\Users\Ron\AppData\Roaming\Profiles\Coemerph.default\prefs.js, Gut: (), Schlecht: (user_pref("browser.newtab.url", "hxxp://www.trotux.com/?z=c9de909d77500f9006cce93gbzdm2gcgemeodm4m6o&from=epf1&uid=WDCXWD10EADS-22M2B0_WD-WCAV5181983719837&type=hp");), Ersetzt,[20dd5feb1189fc3a6097931654b030d0]
PUP.Optional.Trotux, C:\Users\Ron\AppData\Roaming\Profiles\Coemerph.default\prefs.js, Gut: (), Schlecht: (f("app.update.lastUpdateTime.search-engine-update-timer"), Ersetzt,[916c212937632f071fd89b0e04000af6]
PUP.Optional.Trotux, C:\Users\Ron\AppData\Roaming\Profiles\Coemerph.default\prefs.js, Gut: (), Schlecht: (application is running,
* the changes will be overwritten when the application exits.
*
* To make a manual change to preferences, you can visit the URL about:config
*/
), Ersetzt,[14e9301a5d3dfe38857209a0699bc63a]
PUP.Optional.Trotux, C:\Users\Ron\AppData\Roaming\Profiles\Coemerph.default\prefs.js, Gut: (), Schlecht: ( is running,
* the changes will be overwritten when the application exits.
*
* To make a manual change to preferences, you can visit the URL about:config
*/
user_pref("accessibility.typeahea), Ersetzt,[ac512a20a5f557dfef089019de268878]
PUP.Optional.Trotux, C:\Users\Ron\AppData\Roaming\Profiles\Coemerph.default\prefs.js, Gut: (), Schlecht: (eferences, you can visit the URL about:config
*/
user_pref("accessibility.typeaheadfind", true);
user_pref("accessibility.typeaheadfind.flashBar", 0);
user_pref("app.update.auto", false);
user_p), Ersetzt,[ca33103a1d7d86b0d5229f0aa55f3dc3]
PUP.Optional.Trotux, C:\Users\Ron\AppData\Roaming\Profiles\Coemerph.default\prefs.js, Gut: (), Schlecht: (anges will be overwritten when the application exits.), Ersetzt,[4ab3ca80aceec07639bef2b7ee163ec2]
PUP.Optional.Trotux, C:\Users\Ron\AppData\Roaming\Profiles\Coemerph.default\searchplugins\etxy0cmc.xml, In Quarantäne, [dc212a204f4bee48ce2b89204bb903fd],
Physische Sektoren: 0
(keine bösartigen Elemente erkannt)
(end)
Zweiter Scan 14.8. Code:
Malwarebytes Anti-Malware
www.malwarebytes.org
Suchlaufdatum: 14.08.2016
Suchlaufzeit: 15:18
Protokolldatei: mbam_14_8_2.txt
Administrator: Ja
Version: 2.2.1.1043
Malware-Datenbank: v2016.08.14.05
Rootkit-Datenbank: v2016.08.09.01
Lizenz: Testversion
Malware-Schutz: Aktiviert
Schutz vor bösartigen Websites: Aktiviert
Selbstschutz: Deaktiviert
Betriebssystem: Windows 10
CPU: x64
Dateisystem: NTFS
Benutzer: Ron
Suchlauftyp: Bedrohungssuchlauf
Ergebnis: Abgeschlossen
Durchsuchte Objekte: 385563
Abgelaufene Zeit: 19 Min., 3 Sek.
Speicher: Aktiviert
Start: Aktiviert
Dateisystem: Aktiviert
Archive: Aktiviert
Rootkits: Deaktiviert
Heuristik: Aktiviert
PUP: Aktiviert
PUM: Aktiviert
Prozesse: 0
(keine bösartigen Elemente erkannt)
Module: 0
(keine bösartigen Elemente erkannt)
Registrierungsschlüssel: 0
(keine bösartigen Elemente erkannt)
Registrierungswerte: 0
(keine bösartigen Elemente erkannt)
Registrierungsdaten: 0
(keine bösartigen Elemente erkannt)
Ordner: 0
(keine bösartigen Elemente erkannt)
Dateien: 5
PUP.Optional.Trotux, C:\Users\Ron\AppData\Roaming\Profiles\Coemerph.default\prefs.js, Gut: (), Schlecht: (user_pref("browser.search.defaultenginename", "trotux");), Ersetzt,[45b839117a204ee8f1069712cd3710f0]
PUP.Optional.Trotux, C:\Users\Ron\AppData\Roaming\Profiles\Coemerph.default\prefs.js, Gut: (), Schlecht: (
user_pref("accessibility.typeaheadfind", true);
user_pref("accessibility.typeaheadfind.flashBar", 0);
user_pref("app.update.auto", false);
user_pref("app.update.enabled", fal), Ersetzt,[6b92b09a960451e54fa805a4ec18936d]
PUP.Optional.Trotux, C:\Users\Ron\AppData\Roaming\Profiles\Coemerph.default\prefs.js, Gut: (), Schlecht: ("accessibility.typeaheadfind", true);
user_pref("accessibility.typeaheadfind.flashBar", 0);
user_pref("app.update.auto", false);
user_pref("app.update.enabled", false);
user_pref("app.update.lastUp), Ersetzt,[f80564e64f4b092d17e0337609fbc63a]
PUP.Optional.Trotux, C:\Users\Ron\AppData\Roaming\Profiles\Coemerph.default\prefs.js, Gut: (), Schlecht: (e.auto", false);
user_pref("app.update.enabled", false);
user_pref("app.update.lastUpdateTime.addon-background-update-timer", 1471102911);
user_pref("app.update.lastUpdateTime.background-update-timer), Ersetzt,[c8359cae108aad89ec0b733620e452ae]
PUP.Optional.Trotux, C:\Users\Ron\AppData\Roaming\Profiles\Coemerph.default\prefs.js, Gut: (), Schlecht: (dfind", true);
user_pref("accessibility.typeaheadfin), Ersetzt,[6796d07a2575ff3742b5149511f32cd4]
Physische Sektoren: 0
(keine bösartigen Elemente erkannt)
(end)
Dritter Scan 15.8. Code:
Malwarebytes Anti-Malware
www.malwarebytes.org
Suchlaufdatum: 15.08.2016
Suchlaufzeit: 14:44
Protokolldatei: mbam_15_8.txt
Administrator: Ja
Version: 2.2.1.1043
Malware-Datenbank: v2016.08.15.05
Rootkit-Datenbank: v2016.08.09.01
Lizenz: Kostenlose Version
Malware-Schutz: Deaktiviert
Schutz vor bösartigen Websites: Deaktiviert
Selbstschutz: Deaktiviert
Betriebssystem: Windows 10
CPU: x64
Dateisystem: NTFS
Benutzer: Ron
Suchlauftyp: Bedrohungssuchlauf
Ergebnis: Abgeschlossen
Durchsuchte Objekte: 384960
Abgelaufene Zeit: 19 Min., 24 Sek.
Speicher: Aktiviert
Start: Aktiviert
Dateisystem: Aktiviert
Archive: Aktiviert
Rootkits: Deaktiviert
Heuristik: Aktiviert
PUP: Aktiviert
PUM: Aktiviert
Prozesse: 0
(keine bösartigen Elemente erkannt)
Module: 0
(keine bösartigen Elemente erkannt)
Registrierungsschlüssel: 0
(keine bösartigen Elemente erkannt)
Registrierungswerte: 0
(keine bösartigen Elemente erkannt)
Registrierungsdaten: 0
(keine bösartigen Elemente erkannt)
Ordner: 0
(keine bösartigen Elemente erkannt)
Dateien: 5
PUP.Optional.Amonetize, C:\Windows\System32\drivers\etc\hosts, Gut: (), Schlecht: (127.0.0.1 down.baidu2016.com), Ersetzt,[bda43219edadad8959892f9f9f6547b9]
PUP.Optional.Amonetize, C:\Windows\System32\drivers\etc\hosts, Gut: (), Schlecht: (127.0.0.1 123.sogou.com), Ersetzt,[7de42229a0fadc5a0cd7735be3217d83]
PUP.Optional.Amonetize, C:\Windows\System32\drivers\etc\hosts, Gut: (), Schlecht: (127.0.0.1 www.czzsyzgm.com), Ersetzt,[a5bcc982d2c81a1ccb19eae4ac58946c]
PUP.Optional.Amonetize, C:\Windows\System32\drivers\etc\hosts, Gut: (), Schlecht: (127.0.0.1 www.czzsyzxl.com), Ersetzt,[85dccf7c9ffbd4629c49389615ef2ed2]
PUP.Optional.Amonetize, C:\Windows\System32\drivers\etc\hosts, Gut: (), Schlecht: (127.0.0.1 union.baidu2019.com), Ersetzt,[035e64e745550a2c3babd6f82bd9d62a]
Physische Sektoren: 0
(keine bösartigen Elemente erkannt)
(end)
|
FRST 32-Bit | FRST 64-Bit
Lesestoff:
Malwarebytes Anti-Rootkit und speichere es auf deinem Desktop.
AdwCleaner auf deinen Desktop.
