Rightcoupon vollständig entfernen
 

Hallo

Ich habe mir über irgendeine Software mehrere Werbe-Viren installiert.
Einiges habe ich mit Zemana AntiMalware wohl weg bekommen aber RightCoupon ist immer noch im Firefox. Als Addon oder in der Verknüpfung konnte ich keine Hinweise zu RightCoupon finden.
Die Logs von FRST habe ich mit eingefügt aber tdskiller lässt sich nicht öffnen da sagt Win10 das es geblockt sei.

Ich hoffe ihr könnt mir helfen.

:hallo:
Mein Name ist Rafael und ich werde dir bei der Bereinigung helfen.

Damit ich dir optimal helfen kann, halte dich bitte an folgende Regeln:

• Bitte lies meine Posts komplett durch bevor du sie abarbeitest
• Wenn ein Problem auftauchen sollte oder dir etwas unklar ist, unterbreche deine Arbeit und beschreibe es so genau wie möglich.
• Bitte kein Crossposting
• Installiere oder Deinstalliere keine Software ohne Aufforderung
• Bitte verwende nur die Tools, welche hier im Thread erwähnt werden und führe sie nur gemäß Anweisung aus
• Bitte antworte innerhalb von 24h um eine sinnvolle Bereinigung zu ermöglichen
• Poste die Logs immer in CODE-Tags (#-Button), zur Not die Logs einfach aufteilen
• Wichtig: Nur weil dein Problem mit einem Schritt plötzlich behoben ist, bedeutet das nicht, dass dein PC auch sauber ist. Mache solange weiter, bis ich dir sage, dass dein PC "clean" ist
• Wir machen unsere Arbeit freiwillig und ehrenamtlich neben unserer normalen Beschäftigung im Leben. Dennoch, wenn ich dir nicht binnen 36h antworte, sende mir bitte eine persönliche Nachricht!

Los geht's :abklatsch:

Schritt 1
Downloade Dir bitte AdwCleaner auf deinen Desktop.

• Schließe alle offenen Programme und Browser.
• Starte die adwcleaner.exe mit einem Doppelklick.
• Stimme den Nutzungsbedingungen zu.
• Klicke auf Werkzeuge > Optionen und vergewissere dich, dass die folgenden Punkte ausgewählt sind:
  • "Tracing" Schlüssel
  • "Prefetch" Dateien
  • Proxy
  • Winsock
  • Internet Explorer Richtlinien
  • Chrome Richtlinien
• Bestätige die Auswahl mit Ok.
• Klicke auf Suchlauf und warte bis dieser abgeschlossen ist.
• Klicke nun auf Löschen (auch dann wenn AdwCleaner sagt, dass nichts gefunden wurde) und bestätige auftretende Hinweise mit Ok.
• Dein Rechner wird automatisch neu gestartet. Nach dem Neustart öffnet sich eine Textdatei. Poste mir deren Inhalt mit deiner nächsten Antwort.
• Die Logdatei findest du auch unter C:\AdwCleaner\AdwCleaner[Cx].txt. (x = fortlaufende Nummer).

Schritt 2
Lade dir folgendes Programm herunter und installiere es: http://filepony.de/icon/tiny/malware...ti_malware.png Malwarebytes Anti-Malware

• Starte Malwarebytes' Anti-Malware (MBAM).
• Klicke im Anschluss auf Scan, wähle den Bedrohungs-Scan aus und klicke auf Scan starten.
• Lass am Ende des Suchlaufs alle Funde (falls vorhanden) in die Quarantäne verschieben. Klicke dazu auf Ausgewählte Elemente in die Quarantäne verschieben.
• Lass deinen Rechner ggf. neu starten, um die Bereinigung abzuschließen.
• Starte MBAM nach dem Neustart, klicke auf Berichte.
• Wähle den neuesten Scan-Bericht aus, klicke auf Bericht anzeigen und dann auf Export.
• Wähle Textdatei (.txt) aus und speichere die Datei als mbam.txt auf dem Desktop ab.
• Füge den Inhalt der mbam.txt mit deiner nächsten Antwort hinzu.

Schritt 3
Bitte starte wieder FRST, setze den Haken bei Addition und drücke auf Untersuchen. Poste bitte wieder die beiden Textdateien, die so entstehen.

Bitte poste in deiner nächsten Antwort also:

• Logfile von AdwCleaner
• Logfile von Malwarebytes
• Frst.txt
• Addition.txt

Hallo Rafael

Vielen dank für deine Hilfe.
Wenn ich den AdwCleaner öffnen will verdunkelt sich mein Bildschirm und ich sehe nur das Hintergrundbild.
Da hilft nur Strg+Alt+Entf und dann sehe ich kurz eine Meldung das die App aus Sicherheitgründen geblockt wurde.

Irgend etwas blockt die meisten Anti Mailware Programme!

Schritt: 1
Downloade dir bitte Malwarebytes Anti-Rootkit und speichere es auf deinem Desktop.

• Starte bitte die mbar.exe.
• Folge den Anweisungen auf deinem Bildschirm gemäß Anleitung zu Malwarebytes Anti-Rootkit
• Aktualisiere unbedingt die Datenbank und erlaube dem Tool, dein System zu scannen.
• Klicke auf den CleanUp Button und erlaube den Neustart.
• Während dem Neustart wird MBAR die gefundenen Objekte entfernen, also bleib geduldig.
• Nach dem Neustart starte die mbar.exe erneut.
• Sollte nochmal was gefunden werden, wiederhole den CleanUp Prozess.

Das Tool wird im erstellten Ordner eine Logfile ( mbar-log-<Jahr-Monat-Tag>.txt ) erzeugen. Bitte poste diese hier.

Starte keine andere Datei in diesem Ordner ohne Anweisung eines Helfers

Beim ersten Durchgang hat das Programm 35! Infektionen gefunden beim zweiten dann 0.

Schritt 1
Downloade Dir bitte AdwCleaner auf deinen Desktop.

• Schließe alle offenen Programme und Browser.
• Starte die adwcleaner.exe mit einem Doppelklick.
• Stimme den Nutzungsbedingungen zu.
• Klicke auf Werkzeuge > Optionen und vergewissere dich, dass die folgenden Punkte ausgewählt sind:
  • "Tracing" Schlüssel
  • "Prefetch" Dateien
  • Proxy
  • Winsock
  • Internet Explorer Richtlinien
  • Chrome Richtlinien
• Bestätige die Auswahl mit Ok.
• Klicke auf Suchlauf und warte bis dieser abgeschlossen ist.
• Klicke nun auf Löschen (auch dann wenn AdwCleaner sagt, dass nichts gefunden wurde) und bestätige auftretende Hinweise mit Ok.
• Dein Rechner wird automatisch neu gestartet. Nach dem Neustart öffnet sich eine Textdatei. Poste mir deren Inhalt mit deiner nächsten Antwort.
• Die Logdatei findest du auch unter C:\AdwCleaner\AdwCleaner[Cx].txt. (x = fortlaufende Nummer).

Schritt 2
Lade dir folgendes Programm herunter und installiere es: http://filepony.de/icon/tiny/malware...ti_malware.png Malwarebytes Anti-Malware

• Starte Malwarebytes' Anti-Malware (MBAM).
• Klicke im Anschluss auf Scan, wähle den Bedrohungs-Scan aus und klicke auf Scan starten.
• Lass am Ende des Suchlaufs alle Funde (falls vorhanden) in die Quarantäne verschieben. Klicke dazu auf Ausgewählte Elemente in die Quarantäne verschieben.
• Lass deinen Rechner ggf. neu starten, um die Bereinigung abzuschließen.
• Starte MBAM nach dem Neustart, klicke auf Berichte.
• Wähle den neuesten Scan-Bericht aus, klicke auf Bericht anzeigen und dann auf Export.
• Wähle Textdatei (.txt) aus und speichere die Datei als mbam.txt auf dem Desktop ab.
• Füge den Inhalt der mbam.txt mit deiner nächsten Antwort hinzu.

Schritt 3
Bitte starte wieder FRST, setze den Haken bei Addition und drücke auf Untersuchen. Poste bitte wieder die beiden Textdateien, die so entstehen.

Bitte poste in deiner nächsten Antwort also:

• Logfile von AdwCleaner
• Logfile von Malwarebytes
• Frst.txt
• Addition.txt

Ich habe mit AdwCleaner immer noch das selbe Problem.

Glaube das ist ein kleiner Bug von Windows bei dir, hatte ich auch schon.

Bitte folge mal der Anleitung, um die Benutzerkontensteuerung zu deaktivieren: https://www.deskmodder.de/wiki/index...und_einstellen
Verwende dabei die Methode "Benutzerkontensteuerung (UAC) aufrufen und einstellen"

Tritt das Problem noch immer auf?

Der Regler bei UAC ist bei mir ganz unten.

Kannst du mit Malwarebytes weitermachen?

Das Ausführen von Software auf dem Computer wurde für diesen Herausgeber blockiert.

haha dann eben so :D

Bitte starte wieder FRST, setze den Haken bei Addition und drücke auf Untersuchen. Poste bitte wieder die beiden Textdateien, die so entstehen.

Schritt: 1
FRST Fix

• Kopiere den Inhalt der folgenden Code-Box vollständig:
  
  Code:

  ---

  Start::
closeprocesses:
ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} => -> Keine Datei
BootExecute: autocheck autochk * aswBoot.exe /M:12e919182a6 /wow /dir:"C:\Program Files\AVAST Software\Avast"
C:\Program Files\AVAST Software
GroupPolicy: Beschränkung - Chrome <======= ACHTUNG
S2 BIT; C:\ProgramData\BIT\BIT.dll [X] <==== ACHTUNG
R2 ibtsiva; %SystemRoot%\system32\ibtsiva [X]
U0 aswVmm; kein ImagePath
U2 snare; kein ImagePath
2017-05-27 22:18 - 2017-05-28 10:41 - 00000000 _____ C:\WINDOWS\SysWOW64\1
2017-05-27 16:10 - 2017-05-29 16:13 - 00000000 ____D C:\ProgramData\BIT
2017-05-27 13:01 - 2017-05-27 13:01 - 00000000 ____D C:\Pipisy
2017-05-25 20:10 - 2017-05-25 20:10 - 00000000 ____D C:\Cosusp
2017-05-23 15:27 - 2017-05-27 22:17 - 00000000 ____D C:\Program Files (x86)\Shufward
2017-05-23 15:27 - 2017-05-23 15:27 - 00000000 ____D C:\Users\Sven\AppData\Local\Stserght
2017-05-23 15:26 - 2017-05-23 15:33 - 00000000 ____D C:\Users\Sven\AppData\Local\navitool
2017-05-22 19:49 - 2017-05-22 20:53 - 00000000 ____D C:\Users\Sven\AppData\Roaming\ddwah3vwfkk
2017-05-22 19:13 - 2017-05-22 19:13 - 00000002 _____ C:\END
2017-05-22 19:12 - 2017-05-23 17:19 - 00000000 ____D C:\WINDOWS\SysWOW64\SSL
2017-05-22 19:11 - 2017-05-22 20:53 - 00000000 ____D C:\Users\Sven\AppData\Roaming\n2fojf1rzvm
2017-05-22 19:11 - 2017-05-22 19:11 - 00000000 ____D C:\WINDOWS\system32\sstmp
2017-05-22 19:10 - 2017-05-29 16:12 - 00000000 ____D C:\ProgramData\VideoMemoryDiagnostic
2017-05-22 19:10 - 2017-05-22 20:53 - 00000000 ____D C:\Users\Sven\AppData\Roaming\goitz5tclpf
2017-05-22 19:10 - 2017-05-22 20:53 - 00000000 ____D C:\Program Files\Common Files\DIEMHP03PY1YQKI
2017-05-22 19:10 - 2017-05-22 20:53 - 00000000 ____D C:\Program Files (x86)\4bbau1kpi5a
2017-05-22 19:10 - 2017-05-22 20:12 - 00000105 _____ C:\ServiceLog.txt
2017-05-21 11:07 - 2017-05-21 11:07 - 00898560 _____ C:\WINDOWS\55fed2e802a4e7290b5a45d2e1bb575f.exe
2017-05-21 11:07 - 2017-05-21 11:07 - 00051617 _____ C:\WINDOWS\uninstaller.dat
2017-05-29 16:45 - 2016-11-24 18:45 - 00000000 ____D C:\ProgramData\{AA6B6F08-2029-E5CE-A6EF-7B8C3CADF042}
cmd: type C:\WINDOWS\system32\{A6D608F0-0BDE-491A-97AE-5C4B05D86E01}.bat
emptytemp:
Task: {0136CD08-CDE2-472C-9053-91F931AF733C} - \Microsoft\Windows\Setup\gwx\refreshgwxconfigandcontent -> Keine Datei <==== ACHTUNG
Task: {1093CBF6-B21E-4B64-AE48-7B47053E6623} - \Microsoft\Windows\DeviceSettings\Vucosh -> Keine Datei <==== ACHTUNG
Task: {1C48241E-633E-4848-98B4-6A027A60CCFD} - \Microsoft\Windows\Setup\gwx\launchtrayprocess -> Keine Datei <==== ACHTUNG
Task: {2C1B06A0-3D39-4D58-B299-D3D8DFB00C4A} - System32\Tasks\Yahoo! Powered linil => Wscript.exe "C:\ProgramData\{AA6B6F08-2029-E5CE-A6EF-7B8C3CADF042}\dila.txt" "687474703a2f2f7761676e672e636f6d" "433a5c50726f6772616d446174615c7b41413642364630382d323032392d453543452d413645462d3742384333434144463034327d5c6d6f72696e65" "433a5c50726f6772616d446174615c7b41413642364630382d323032392d453543452d413645 (Der Dateneintrag hat 78 mehr Zeichen).
Task: {38F5D8A8-B289-4AFC-8251-0AD0D5518ED9} - \Microsoft\Windows\Setup\GWXTriggers\refreshgwxconfig-B -> Keine Datei <==== ACHTUNG
Task: {516535FB-C3D5-4936-B453-FD7762A05FB0} - \WPD\SqmUpload_S-1-5-21-1373792661-1632314611-2226728799-1001 -> Keine Datei <==== ACHTUNG
Task: {6252FBB7-0A59-414E-9287-3C6EE52A9F7F} - \Microsoft\Windows\MemoryDiagnostic\VideoMemoryDiagnostic -> Keine Datei <==== ACHTUNG
Task: {9E8791D9-F9AA-4ED7-AEBA-BA194CFA638F} - System32\Tasks\{7CE76492-560C-473D-A02D-4B1B1E0320D0} => pcalua.exe -a C:\Users\Sven\AppData\Local\{C329F575-E781-99CD-8A19-BC25AE7140BD}\uninst.exe -c -P=/Uninstall /s /noun /DelSelfDir
Task: {C0B96C75-7BDE-4B25-98F0-CAA0258BD614} - \Keyspan Calculator -> Keine Datei <==== ACHTUNG
Task: {D387F0E7-D4E7-4F3A-B6FA-AD4DAAEA4287} - \Microsoft\Windows\Setup\gwx\refreshgwxconfig -> Keine Datei <==== ACHTUNG
Task: {F379552E-AB0E-4CD5-82F4-F71F72470247} - \Microsoft\Windows\Setup\gwx\refreshgwxcontent -> Keine Datei <==== ACHTUNG
Task: {F40AC3D8-7EDF-4CF7-BE7A-A108CD8768D3} - System32\Tasks\Nomitain Adapter => C:\Program Files (x86)\Shufward\ghermise.exe [2017-05-23] (Google Inc.)
Task: C:\WINDOWS\Tasks\Yahoo! Powered linil.job => Wscript.exe C:\ProgramData\{AA6B6F08-2029-E5CE-A6EF-7B8C3CADF042}\dila.txt <==== ACHTUNG
hosts:
FirewallRules: [{3A02CC0D-8D37-4B4E-9CE4-5410FEC37249}] => (Allow) C:\WINDOWS\system32\rundll32.exe
FirewallRules: [{11566B0E-29EE-4989-8854-EE919D16ED17}] => (Allow) C:\Windows\System32\rundll32.exe
FirewallRules: [{B48A1FC2-4437-412D-B491-6956FBC6736B}] => (Allow) C:\Windows\System32\rundll32.exe
FirewallRules: [{BF717A19-0EA9-4617-8848-E33DBA6015F5}] => (Allow) C:\Windows\System32\rundll32.exe
FirewallRules: [{ACD905EA-47E6-499B-9D18-2B9E97945B07}] => (Allow) C:\Windows\System32\rundll32.exe

cmd: reg query HKEY_CURRENT_USER\Software\Microsoft\SystemCertificates\Disallowed\Certificates
cmd: reg query HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates\Disallowed\Certificates
cmd: reg query HKEY_CURRENT_USER\Software\Policies\Microsoft\SystemCertificates\Disallowed\Certificates
cmd: reg query HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\SystemCertificates\Disallowed\Certificates
End::

  ---

• Starte nun FRST und klicke den Entfernen Button.
• Das Tool führt die gewünschten Schritte automatisch aus und erstellt eine fixlog.txt im selben Verzeichnis, in dem sich die FRST/FRST64.exe befindet.
• Gegebenenfalls muss dein Rechner dafür neu gestartet werden.
• Poste mir den Inhalt der fixlog.txt mit deiner nächsten Antwort.

Schritt: 2
Bitte starte wieder FRST, setze den Haken bei Addition und drücke auf Untersuchen. Poste bitte wieder die beiden Textdateien, die so entstehen.

FRST Fix

• Kopiere den Inhalt der folgenden Code-Box vollständig:
  
  Code:

  ---

  Start::
DeleteKey: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates\Disallowed\Certificates
reg: reg add HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates\Disallowed\Certificates
reg: reg delete HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates\Disallowed\Certificates /ve /f
cmd: reg query HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates\Disallowed\Certificates
reboot:
End::

  ---

• Starte nun FRST und klicke den Entfernen Button.
• Das Tool führt die gewünschten Schritte automatisch aus und erstellt eine fixlog.txt im selben Verzeichnis, in dem sich die FRST/FRST64.exe befindet.
• Gegebenenfalls muss dein Rechner dafür neu gestartet werden.
• Poste mir den Inhalt der fixlog.txt mit deiner nächsten Antwort.

Kannst du jetzt AdwCleaner und Malwarebytes ausführen?

Schritt: 1
Deinstalliere das folgende Programm aus der Systemsteuerung:
chip 1-click download service

Schritt: 2

ESET Online Scanner

• Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
• Lade und starte Eset Online Scanner
• Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
• Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
• Klicke auf Starten.
• Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
• Klicke am Ende des Suchlaufs auf Fertig stellen.
• Schließe das Fenster von ESET.
• Explorer öffnen.
• C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
• Logfile hier posten.
• Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
• Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

Hinweis: Dieser Scan kann schon einmal mehrere Stunden dauern...

Schritt: 1
FRST Fix

• Kopiere den Inhalt der folgenden Code-Box vollständig:
  
  Code:

  ---

  Start::
ExportKey: HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost
End::

  ---

• Starte nun FRST und klicke den Entfernen Button.
• Das Tool führt die gewünschten Schritte automatisch aus und erstellt eine fixlog.txt im selben Verzeichnis, in dem sich die FRST/FRST64.exe befindet.
• Gegebenenfalls muss dein Rechner dafür neu gestartet werden.
• Poste mir den Inhalt der fixlog.txt mit deiner nächsten Antwort.

Schritt: 2
Downloade Dir HitmanProhttp://deeprybka.trojaner-board.de/b.../hitmanpro.pngauf Deinen Desktop:

HitmanPro-32 Bit Version
HitmanPro-64 Bit Version

• Starte die HitmanPro.exe
• Klicke auf
  http://deeprybka.trojaner-board.de/b...ro/hitman1.PNG
• Entferne den Haken bei
  http://deeprybka.trojaner-board.de/b...ro/hitman2.PNG
• Klicke auf
  http://deeprybka.trojaner-board.de/b...ro/hitman3.PNG und http://deeprybka.trojaner-board.de/b...ro/hitman4.PNG
• Akzeptiere die Lizenzbedingungen und klicke auf http://deeprybka.trojaner-board.de/b...ro/hitman4.PNG
• Klicke auf
  http://deeprybka.trojaner-board.de/b...ro/hitman5.PNG
  und auf http://deeprybka.trojaner-board.de/b...ro/hitman4.PNG
• Wenn der Scan beendet wurde, nichts löschen lassen etc. sondern wähle unten links auf der Button-Leiste
  http://deeprybka.trojaner-board.de/b...ro/hitman6.PNGund speichere die Logdatei auf Deinem Desktop.
• Schließe HitmanPro und poste mir das Log.

Schritt: Frage

Ich werde meinen PC mal beobachten ob der RightCoupon noch kommt oder nicht.
Vielen dank erstmal ich melde mich dann heute mittag wieder.

Nachtrag:

Der RightCoupon Werbebanner geht in Firefox immer noch auf.