System nicht mehr funktionsfähig nach Chip-Download
 

Hallo zusammen!

Ich habe vor kurzem das Betriebssystem am Laptop meiner Frau (ThinkPad L450) von Win7 auf Win10 64-Bit umgestellt.
Danach lief das System ohne Probleme. Vor kurzem hat meine Frau bei Chip.de eine Software runtergeladen, um Textdateien ins Mp3-Format umzuwandeln. Offensichtlich wurde im Hintergrund weitere Software installiert.
Unter anderem ein Programm, dass permanent nach Updates für irgendwelche anderen Programm sucht. (Sorry aber den Namen habe ich leider nicht per parat, da ich direkt versucht habe, es zu deinstallieren)

Der PC fuhr fortan (relativ langsam) hoch, man konnte sein Passwort noch eingeben und gelangte auf den Desktop. Ab diesem Zeitpunkt öffneten sich irgendwelche Programme, fuhren Updates und das System war völlig überlastet. Es war noch nicht mal mehr möglich, des Taskmanager zu starten.

Ich habe das System im abgesicherten Modus gestartet, erstmal alle Autostart-Einträge gestoppt und die beiden Virenscanner (AVG und Avast) deinstalliert. Dann mit TFC aufgeräumt und Malwarebytes und ad-aware drüber laufen lassen. Von den Programmen wurde einiges gefunden. Die Funde habe ich in Quarantäne geschoben bzw. gelöscht.

Lange Rede kurzer Sinn:
Ich habe schon ein bisschen was gemacht, möchte aber ausschließen, dass sich irgendwo doch noch was eingenistet hat. Kann mir da jemand helfen?

Welchen Virenscanner könnt ihr mir empfehlen? Oder reicht der Windows Defender aus?
Gruß in die Runde

:hallo:



Mein Name ist Matthias und ich werde dir bei der Analyse und der eventuell notwendigen Bereinigung deines Computers helfen.


Bitte vergewissere dich zuerst, dass du die folgenden Regeln und Hinweise für eine Analyse inklusive Bereinigung gelesen und verstanden hast:
Für alle Hilfesuchenden! Was muss ich vor der Eröffnung eines Themas beachten?







Schritt 1
Gruß an die Frau: Finger weg von Chip!



Bitte die Logdateien von Malwarebytes und Ad-Aware mit den Funden nachreichen. (Keine neuen Suchläufe ausführen, nur die alten Logs posten!)


Defender reicht.







Schritt 2
Bitte lade dir die passende Version von Farbar Recovery Scan Tool auf deinen Desktop: FRST 32-Bit | FRST 64-Bit

• Starte FRST.
• Ändere ungefragt keine der Checkboxen und klicke auf Untersuchen.
• Die Logdateien werden nun erstellt und befinden sich danach im selben Verzeichnis wie FRST.
• Poste mir die FRST.txt und die Addition.txt in deinem Thema (#-Symbol im Eingabefenster der Webseite anklicken).

Bitte poste mit deiner nächsten Antwort

• die alten Logdateien von Ad-Aware und Malwarebytes,
• die beiden neuen Logdateien von FRST (FRST.txt und Addition.txt).

Hi Matthias!
Vielen Dank für deine Hilfe.


Suchlauf Malwarebytes vom 23.04.2019:


Suchläufe Malwarebytes vom 08.04.2019:
UND:
Hier die Files von Ad-Aware:
Leider habe ich das Programm schon ein paar Mal laufen lassen...

FRST:


FRST Logfile:
--- --- ---

[/CODE]

ADDITION:

Das ist doch nicht Ad-Aware... das ist AdwCleaner... :headbang: :rofl: :D

Ad-Aware ist ein kanadisches Sicherheitsunternehmen, während AdwCleaner zur amerikanischen Firma Malwarebytes gehört.

So viel zur Begrifflichkeit... ;)



SpywareBlaster würde ich deinstallieren, weil es meiner Meinung nach keinen nennenswerten Schutz bietet.
Effektiver wäre es, wenn du statt "AdBlock Plus" einen besseren (um nicht zu sagen den Besten) Adblocker einsetzen würdest: ublock origin
Mehr dazu am Ende der Bereinigung.






Schritt 1

• Kopiere den gesamten Inhalt der folgenden Code-Box:
  
  Code:

  ---

  Start::
HKLM-x32\...\Run: [AVGUI.exe] => "C:\Program Files (x86)\AVG\Antivirus\AvLaunch.exe" /gui
C:\Program Files (x86)\AVG
GroupPolicy: Beschränkung - Chrome <==== ACHTUNG
CHR HKLM\SOFTWARE\Policies\Google: Beschränkung <==== ACHTUNG
Task: {5946C87A-C6FF-4A73-A263-D5B15D42ABF0} - \PMTask -> Keine Datei <==== ACHTUNG
SearchScopes: HKU\S-1-5-21-124652991-3316234292-3023999233-1000 -> DefaultScope {BEE1267A-9459-4A36-9B64-37D85543B9A7} URL =
SearchScopes: HKU\S-1-5-21-124652991-3316234292-3023999233-1000 -> {BEE1267A-9459-4A36-9B64-37D85543B9A7} URL =
DPF: HKLM-x32 {A6616B31-4860-41E2-98E3-CA7649AF172F} file:///D:/launch.ocx
CHR HKLM-x32\...\Chrome\Extension: [eofcbnmajmjmplflapaojjnihcjkigck] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [gomekmidlodglbbmalcneegieacbdmki] - hxxps://clients2.google.com/service/update2/crx
S3 AvastWscReporter; "C:\Program Files\AVAST Software\Avast\wsc_proxy.exe" /runassvc [X]
S2 avg; "C:\Program Files (x86)\AVG\Browser\Update\AVGBrowserUpdate.exe" /svc [X]
S3 avgm; "C:\Program Files (x86)\AVG\Browser\Update\AVGBrowserUpdate.exe" /medsvc [X]
S3 AvgWscReporter; "C:\Program Files (x86)\AVG\Antivirus\wsc_proxy.exe" /runassvc [X]
C:\Program Files\AVAST Software
S3 AscFileFilter; \??\C:\Program Files (x86)\IObit\Advanced SystemCare\drivers\win10_amd64\AscFileFilter.sys [X]
S3 AscRegistryFilter; \??\C:\Program Files (x86)\IObit\Advanced SystemCare\drivers\win10_amd64\AscRegistryFilter.sys [X]
U3 aswbdisk; kein ImagePath
S3 cpuz143; \??\C:\WINDOWS\temp\cpuz143\cpuz143_x64.sys [X]
U3 idsvc; kein ImagePath
C:\Program Files (x86)\IObit\Advanced SystemCare
C:\Program Files\Common Files\AVAST Software
2019-04-06 15:22 - 2019-04-23 11:23 - 000000000 ____D C:\Users\Julia\AppData\LocalLow\IObit
2019-04-06 15:22 - 2019-04-06 15:22 - 000000000 ____D C:\WINDOWS\Tasks\ImCleanDisabled
2019-04-06 15:22 - 2019-04-06 15:22 - 000000000 ____D C:\ProgramData\ProductData
2019-04-06 15:22 - 2019-04-06 15:22 - 000000000 ____D C:\ProgramData\{F86B0233-9A85-4589-8AAF-524CC4F8211B}
2019-04-06 15:21 - 2019-04-23 11:23 - 000000000 ____D C:\Users\Julia\AppData\Roaming\IObit
2019-04-06 15:21 - 2019-04-23 11:23 - 000000000 ____D C:\ProgramData\IObit
2019-04-06 15:21 - 2019-04-08 09:51 - 000000000 ____D C:\Program Files (x86)\IObit
2019-04-23 11:24 - 2016-03-06 15:46 - 000000000 ____D C:\Users\Julia\AppData\Roaming\AVG
2019-04-23 11:24 - 2016-03-06 15:42 - 000000000 ____D C:\ProgramData\Avg
2019-04-23 11:24 - 2015-08-05 09:45 - 000000000 ____D C:\Users\Julia\AppData\Local\Avg
2019-04-23 11:24 - 2015-08-02 19:08 - 000000000 ____D C:\Program Files (x86)\AVG
ShellIconOverlayIdentifiers: [00asw] -> {472083B0-C522-11CF-8763-00608CC02F24} =>  -> Keine Datei
ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} =>  -> Keine Datei
ShellIconOverlayIdentifiers: [00avg] -> {472083B0-C522-11CF-8763-00608CC02F24} =>  -> Keine Datei
ContextMenuHandlers5: [Gadgets] -> {6B9228DA-9C15-419e-856C-19E768A13BDC} =>  -> Keine Datei
ContextMenuHandlers5: [igfxcui] -> {3AB1675A-CCFF-11D2-8B20-00A0C93CB1F4} =>  -> Keine Datei
AlternateDataStreams: C:\ProgramData\TEMP:5C321E34 [125]
HKLM\...\StartupApproved\Run: => "AVGUI.exe"
HKLM\...\StartupApproved\Run32: => "AVGUI.exe"
ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
CMD: ipconfig /flushdns
CMD: netsh winsock reset
CMD: netsh advfirewall reset
CMD: netsh advfirewall set allprofiles state ON
CMD: Bitsadmin /Reset /Allusers
Hosts:
RemoveProxy:
EmptyTemp:
End::

  ---

• Starte nun FRST und klicke direkt den Entfernen Button. Wichtig: Du brauchst den Inhalt der Code-Box nirgends einfügen, da sich FRST den Code aus der Zwischenablage holt!
• Das Tool führt die gewünschten Schritte aus und erstellt eine fixlog.txt im selben Verzeichnis, in dem sich FRST befindet.
• Gegebenenfalls muss dein Rechner dafür neu gestartet werden.
• Poste mir den Inhalt der fixlog.txt mit deiner nächsten Antwort.

Schritt 2

• Starte FRST erneut. Kopiere den Inhalt der folgenden Code-Box oben in das Suchfeld:
  
  Code:

  ---

  SearchAll: DriverReviver;Driver Reviver;WebDiscoverBrowser;AdvancedSystemCare;Advanced System Care;ASC12;CHIP-INSTALLER;Advanced SystemCare;slimware

  ---

• Klicke auf den Button Datei-Suche.
• FRST beginnt mit dem Suchlauf. Dieser kann einige Zeit dauern, bitte gedulde dich!
• Am Ende wird eine Textdatei Search.txt erstellt.
• Poste mir deren Inhalt mit deiner nächsten Antwort.

Schritt 3

• Starte die FRST.exe erneut. Vergewissere dich, dass vor Addition.txt ein Haken gesetzt ist und drücke auf Untersuchen.
• FRST erstellt wieder zwei Logdateien (FRST.txt und Addition.txt).
• Poste mir beide Logdateien mit deiner nächsten Antwort.

Bitte poste mit deiner nächsten Antwort

• die Logdatei des FRST-Fix (fixlog.txt),
• die Logdatei des FRST-Suchlaufs (Search.txt),
• die beiden neuen Logdateien von FRST (FRST.txt und Addition.txt).

Fehlende Rückmeldung
Dieses Thema wurde aus meinen Abos gelöscht. Somit bekomme ich keine Benachrichtigung über neue Antworten.
Solltest Du das Thema erneut brauchen, schicke uns bitte eine Erinnerung inklusive Link zum Thema.

Hinweis: Das Verschwinden der Symptome bedeutet nicht, dass Dein Rechner schon sauber ist.

Jeder andere bitte hier klicken und ein eigenes Thema erstellen!

Moin moin Matthias!
Sorry für die späte Rückmeldung, aber ich war in den letzten Tagen im Urlaub und konnte nicht die weiteren Schritte an diesem Rechner durchführen.

FIXLOG:
SEARCH:

FRST:


FRST Logfile:
--- --- ---

[/CODE]

ADDITION:

Hinweis: Der Suchlauf mit ESET kann länger ( >> 2 Stunden) dauern.





Schritt 1

• Kopiere den gesamten Inhalt der folgenden Code-Box:
  
  Code:

  ---

  Start::
HKLM\Software\...\Authentication\Credential Providers: [{503739d0-4c5e-4cfd-b3ba-d881334f0df2}] ->
DeleteKey: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\ASC12_10mRun
DeleteValue: HKEY_USERS\S-1-5-21-124652991-3316234292-3023999233-1000\Software\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run|Advanced SystemCare 12
Reboot:
End::

  ---

• Starte nun FRST und klicke direkt den Entfernen Button. Wichtig: Du brauchst den Inhalt der Code-Box nirgends einfügen, da sich FRST den Code aus der Zwischenablage holt!
• Das Tool führt die gewünschten Schritte aus und erstellt eine fixlog.txt im selben Verzeichnis, in dem sich die FRST/FRST64.exe befindet.
• Gegebenenfalls muss dein Rechner dafür neu gestartet werden.
• Poste mir den Inhalt der fixlog.txt mit deiner nächsten Antwort.

Schritt 2
Downloade Dir bitte ESET Online Scanner auf deinen Desktop (Bebilderte Anleitung).

• Starte die Installationsdatei.
• Klicke auf Erste Schritte und akzeptiere die Nutzungsbedingungen.
• Klicke wiederrum auf Erste Schritte, wähle die empfohlenen Einstellungen aus und klicke auf Weiter.
• Wähle einen Vollständigen Scan aus, aktiviere die Erkennung von potentiell unerwünschten Anwendungen und klicke auf Prüfung starten.
• Zuerst werden die notwendigen Module und Signaturen heruntergeladen, anschließend startet der Suchlauf automatisch.
• Klicke am Ende des Suchlaufs zuerst auf Weiter. Im Scan-Bericht werden gegebenenfalls die gefundenen Elemente aufgelistet, klicke hier auf Scan-Log speichern und speichere das Ergebnis als eset.txt auf deinen Desktop ab, damit wir notfalls an die Ergebnisse noch kommen.
• Klicke immer auf Weiter und beende ESET mit Ohne Feedback schließen.
• Öffne die ausführliche Logdatei über die Tastenkombination WIN+R (Ausführen), kopiere ins Textfeld folgendes hinein und klick dann auf OK.
  
  Code:

  ---

  notepad "%tmp%\log.txt"

  ---

• Du solltest nun eine geöffnete Textdatei mit dem ausführlichen ESET-Log sehen - alles markieren mit STRG+A und hier in CODE-Tags posten.

Schritt 3

• Starte die FRST.exe erneut. Vergewissere dich, dass vor Addition.txt ein Haken gesetzt ist und drücke auf Untersuchen.
• FRST erstellt wieder zwei Logdateien (FRST.txt und Addition.txt).
• Poste mir beide Logdateien mit deiner nächsten Antwort.

http://www.trojaner-board.de/extra/lesestoff.pngGibt es jetzt noch Probleme mit dem PC oder mit deinen Internet Browsern? Wenn ja, welche?







Bitte poste mit deiner nächsten Antwort

• die Logdatei des FRST-Fix,
• die Logdatei von ESET,
• die beiden neuen Logdateien von FRST,
• die Beantwortung der gestellten Fragen.

FRST:

ESET:

FRST:


FRST Logfile:
--- --- ---

ADDITION:

Offensichtliche Probleme mit dem PC und Browsern gibt es m.E. keine mehr. Der Rechner ist gefühlt immer noch langsamer als er es normalerweise ist. Aber das kann ich mir auch einbilden...

Schritt 1

• Kopiere den gesamten Inhalt der folgenden Code-Box:
  
  Code:

  ---

  Start::
ContextMenuHandlers1: [7-Zip] -> {23170F69-40C1-278A-1000-000100020000} =>  -> Keine Datei
ContextMenuHandlers1: [ANotepad++64] -> {B298D29A-A6ED-11DE-BA8C-A68E55D89593} =>  -> Keine Datei
ContextMenuHandlers1: [BriefcaseMenu] -> {85BBD920-42A0-1069-A2E4-08002B30309D} =>  -> Keine Datei
ContextMenuHandlers3: [{4A7C4306-57E0-4C0C-83A9-78C1528F618C}] -> {4A7C4306-57E0-4C0C-83A9-78C1528F618C} =>  -> Keine Datei
ContextMenuHandlers4: [7-Zip] -> {23170F69-40C1-278A-1000-000100020000} =>  -> Keine Datei
ContextMenuHandlers6: [BriefcaseMenu] -> {85BBD920-42A0-1069-A2E4-08002B30309D} =>  -> Keine Datei
DeleteQuarantine:
Reboot:
End::

  ---

• Starte nun FRST und klicke direkt den Entfernen Button. Wichtig: Du brauchst den Inhalt der Code-Box nirgends einfügen, da sich FRST den Code aus der Zwischenablage holt!
• Das Tool führt die gewünschten Schritte aus und erstellt eine fixlog.txt im selben Verzeichnis, in dem sich die FRST/FRST64.exe befindet.
• Gegebenenfalls muss dein Rechner dafür neu gestartet werden.
• Poste mir den Inhalt der fixlog.txt mit deiner nächsten Antwort.

Dann wären wir durch!
Wenn du keine Probleme mehr mit Malware hast, dann sind wir hier fertig. Deine Logdateien sind sauber. :daumenhoc


Abschließend bitte noch einen Cleanup mit unserem TBCleanUpTool durchführen und unbedingt die Sicherheitsmaßnahmen lesen und umsetzen - beides ist in folgendem Lesestoff verlinkt:




Wenn Du möchtest, kannst Du hier sagen, ob du mit mir und meiner Hilfe zufrieden warst...:dankeschoen:
Vielleicht möchtest du das Forum mit einer kleinen Spende https://www.trojaner-board.de/extra/spende.png unterstützen. :applaus:

Hinweis:
Bitte gib mir eine kurze Rückmeldung, sobald du die oben verlinkten Informationen gelesen hast, alles erledigt ist und keine Fragen mehr vorhanden sind, so dass ich dieses Thema aus meinen Abos löschen kann.

FIXLOG:

Dann bitte noch den Lesestoff durchgehen und wir sind fertig.






Ich bin froh, dass wir helfen konnten :abklatsch:

Dieses Thema scheint erledigt und wird aus meinen Abos gelöscht. Solltest Du das Thema erneut brauchen, schicke uns bitte eine Erinnerung inklusive Link zum Thema.

Jeder andere bitte hier klicken und ein eigenes Thema erstellen.