Windows 10: Trojaner "Trojan.Ole2.Vbs-heuristic.druvzi" verursacht email-Flut
 

Hallo,

Am 10.03. abends habe ich leider eine *.zip-Datei aus einer email eines mir bekannten Absenders geöffnet. Dabei wurde eine Word-Datei mit Makros erzeugt, deren Inhalt nichtssagend war. Zunächst passierte erst mal nichts weiter. Am 11.03. mittags begann mein email-Postfach mit Tausenden von emails vollzulaufen, die als Antworten auf mit meinem email-Account automatisch generierte und versandte emails zu erkennen waren (z.B. Newsletteranmeldungen, Bestellungen u.s.w.). Die mails werden ständig weiter generiert und versandt, unabhängig davon, ob mein PC aus- oder eingeschaltet ist.
Ich setzte mich diesbezüglich mit meinem email-Provider in Verbindung. Auf seine Anfrage schickte ich Ihm die verdächtige *.zip-Datei. Er informierte mich dass in der *.zip-Datei ein Trojaner mit dem Namen "Trojan.Ole2.Vbs-heuristic.druvzi" enthalten ist, das die emails nicht von seinem email-Server aus versandt werden und demzufolge eine Passwortänderung für das email-Postfach das Problem nicht beseitigen würde.
Die verdächtige *.zip-Datei habe ich an diese Meldung angehangen, ist von meinem PC gelöscht, aber die E-Mail mit der *.zip Datei im Anhang ist noch verfügbar.
Als nächstes habe ich den Support von McAfee kontaktiert, das ich das Antivirensoftware McAfee LifeSafe Version 16.0 R24 auf meinem PC laufen habe. Der McAfee-Support prüfte per Fernwartung meinen PC auf Viren und erklärte diesen im Anschluß für virenfrei.
Mein PC arbeitet mit dem Betriebssystem Windows 10. Weiterhin arbeite ich mit Microsoft Office 2007.
Nun habe ich im Internet dieses Forum entdeckt und erhoffe mir davon eine Antwort auf folgende Fragen: Gibt es eine Möglichkeit, die email-Flut abzustellen? Wenn ja, welche? Oder muß ich mir einen neuen email Account anlegen und den alten deaktivieren?

Danke und Grüße!

FRST Logfile:
--- --- ---


Addition.txt:
FRST Additions Logfile:
--- --- ---

Erstmal muss da einiges an unnötigem oder veraltetem Krempel runter - das hier bitte über Programme und Features deinstallieren:


Adobe Acrobat Reader DC
McAfee LiveSafe
McAfee WebAdvisor
Microsoft Office Enterprise 2007
WiperSoft 1.1.1153.64

Hallo Cosinus,
Adobe Acrobat Reader habe ich nicht deinstalliert, sondern aktualisiert, da ich dieses Programm immer wieder benötige. Das würde ich nur dann temporär deinstallieren, wenn es unbedingt nötig ist für die Lösung meines Problems.
McAfee LifeSafe und McAfee Web Advisor sind Antivirenschutzprogramme, die ich jährlich zum Schutz meines PC vor Viren installiert habe. Dafür bezahle ich jährlich eine Gebühr. Das Programm möchte ich aktuell am wenigsten deinstallieren.
Microsoft Office Enterprise 2007 habe ich vor einigen Jahren mit Key gekauft und arbeite seitdem damit. Das würde ich nur dann temporär deinstallieren, wenn es unbedingt nötig ist für die Lösung meines Problems.
Die Antispyware Wipersoft habe ich deinstalliert. Dieses Programm hatte ich letzte Woche in der Hoffnung installiert, dass es mir bei der Lösung meines Problems hilft - hat es aber leider nicht.

Das ist alles ein Teil deines Problems! Ich hab diese Programme auch nicht zum Spaß aufgeführt.

AdobeReader ist Angriffsziel Nummer 1 bei PDF Attacken. Weg damit und sowas wie SumatraPDF verwenden.
McAfee ist mit der größte Mist überhaupt, das muss unbedingt runter. Es ist einfach unglaublich, dass diese Schrott-Virenscanner immer noch in fast allen Köpfen verankert ist, seit Jahren soll man nichts anderes mehr als den Windows Defender verwenden (und vllt noch malwarebytes)

Office 2007 ist uralt, seit DREI JAHREN aus dem Support raus! Das geht so nicht! Runter damit und LibreOffice SPÄTER installieren!

Ich habe alle oben genannten Programme deinstalliert.
Wie geht es jetzt weiter?

Windows Defender hat folgende aktive schwerwiegende Bedrohung festgestellt und in Quarantäne geschickt:
Trojan:Win32/Ursnif.RC!MTB
Warnstufe: schwerwiegend
Kategorie: Trojaner
Details: Dieses Programm ist gefährlich. Es führt Befehle eines Angreifers aus.
Betroffene Elemente:
file: c:\users\uta karsten\keys.dll
file: C:\Users\Uta Karsten\AppData\Roaming\Microsoft\Actii09c\asyclExt.dll
process: pid:9460,ProcessStart:132291143593129765
process: pid:9540,ProcessStart:132291143611804001
regkey: HKCU@S-1-5-21-2289970287-3854136688-787848789-1001\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\APHobcd
regkey: HKCU@S-1-5-21-2289970287-3854136688-787848789-1001\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\APHovice
runkey: HKCU@S-1-5-21-2289970287-3854136688-787848789-1001\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\APHobcd
runkey: HKCU@S-1-5-21-2289970287-3854136688-787848789-1001\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\APHovice

Aktion: Wiederherstellen oder entfernen?

Ich werde jetzt einen full scan starten, um eventuell andere versteckte Malware zu finden.

Nun mach nicht schon wieder einfach irgendwas sondern setze einfach mal das zügig um was man dir hier sagt!

• Kopiere den gesamten Inhalt der folgenden Code-Box:
  
  Code:

  ---

  Start::
HKLM\...\RunOnce: [313_15523532260421] => C:\Program Files (x86)\LMIR0D79B001.tmp_r.bat [542 2020-03-13] () [Datei ist nicht signiert]
HKLM-x32\...\RunOnce: [removeTempFiles229203921] => cmd /c "del C:\Users\UTAKAR~1\AppData\Local\Temp\229203843\uninstall.exe C:\Users\UTAKAR~1\AppData\Local\Temp\229203843\smooth.dll & rmdir C:\Users\UTAKAR~1\AppData\Local\Temp\229203843" <==== ACHTUNG
HKU\S-1-5-21-2289970287-3854136688-787848789-1001\...\Run: [APHovice] => C:\Users\Uta Karsten\AppData\Roaming\Microsoft\Actii09c\asyclExt.dll [680960 2020-03-10] () [Datei ist nicht signiert]
HKU\S-1-5-21-2289970287-3854136688-787848789-1001\...\Run: [Bomgar_Cleanup_ZD725591408346] => cmd.exe /C rd /S /Q "C:\Users\UTAKAR~1\AppData\Local\Temp\nsb219B.tmpb" & reg.exe delete HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v Bomgar_Cleanup_ZD725591408346 /f <==== ACHTUNG
HKU\S-1-5-21-2289970287-3854136688-787848789-1001\...\Run: [Embedded Callback - rescue.telekom.de] => C:\Users\Uta Karsten\AppData\Local\bomgar-scc-cb\rescue.telekom.de\embedhook-x86.exe [91632 2020-03-13] (Bomgar Corporation -> BeyondTrust)
HKU\S-1-5-21-2289970287-3854136688-787848789-1001\...\Run: [Bomgar_Cleanup_ZD7292403123723] => cmd.exe /C rd /S /Q "C:\ProgramData\bomgar-scc-0x5e6bc00b" & reg.exe delete HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v Bomgar_Cleanup_ZD7292403123723 /f <==== ACHTUNG
Task: {B26BD80E-03AF-4AA2-B401-13FECA6882ED} - System32\Tasks\Driver Booster SkipUAC (Uta Karsten) => C:\Program Files (x86)\IObit\Driver Booster\5.4.0\DriverBooster.exe
C:\Program Files (x86)\*.bat
C:\Program Files (x86)\IObit
c:\users\uta karsten\keys.dll
C:\Users\Uta Karsten\AppData\Local\bomgar-scc-cb
C:\Users\Uta Karsten\AppData\Local\*.tmp
C:\Users\Uta Karsten\AppData\Roaming\Microsoft\Actii09c
emptytemp:
End::

  ---

• Starte nun FRST und klicke direkt den Reparieren Button.Wichtig: Du brauchst den Inhalt der Code-Box nirgends einfügen, da sich FRST den Code aus der Zwischenablage holt!
• Das Tool führt die gewünschten Schritte aus und erstellt eine fixlog.txt im selben Verzeichnis, in dem sich FRST befindet.
• Gegebenenfalls muss dein Rechner neu gestartet werden.
• Poste mir den Inhalt der fixlog.txt mit deiner nächsten Antwort.

Inhalt der fixlog.txt:

adwCleaner

Führe AdwCleaner gemäß der bebilderten Anleitung aus und poste abschließend die Logdatei in CODE-Tags.

# -------------------------------
# Malwarebytes AdwCleaner 8.0.3.0
# -------------------------------
# Build: 03-03-2020
# Database: 2020-03-02.1 (Local)
# Support: https://www.malwarebytes.com/support
#
# -------------------------------
# Mode: Clean
# -------------------------------
# Start: 03-20-2020
# Duration: 00:00:08
# OS: Windows 10 Home
# Cleaned: 30
# Failed: 0


***** [ Services ] *****

Deleted ReviverSoft Smart Monitor Service

***** [ Folders ] *****

Deleted C:\ProgramData\SecuritySuite
Deleted C:\ProgramData\TotalAV
Deleted C:\Users\Uta Karsten\AppData\Roaming\IObit\Advanced SystemCare
Deleted C:\Users\Uta Karsten\Documents\TotalAV
Deleted C:\Windows\SysWOW64\config\systemprofile\AppData\Roaming\TotalAV

***** [ Files ] *****

No malicious files cleaned.

***** [ DLL ] *****

No malicious DLLs cleaned.

***** [ WMI ] *****

No malicious WMI cleaned.

***** [ Shortcuts ] *****

No malicious shortcuts cleaned.

***** [ Tasks ] *****

No malicious tasks cleaned.

***** [ Registry ] *****

Deleted HKCU\Software\Classes\Local Settings\Software\Microsoft\Windows\CurrentVersion\AppContainer\Storage\microsoft.microsoftedge_8wekyb3d8bbwe\Children\001\Internet Explorer\DOMStorage\dotomi.com
Deleted HKCU\Software\Classes\Local Settings\Software\Microsoft\Windows\CurrentVersion\AppContainer\Storage\microsoft.microsoftedge_8wekyb3d8bbwe\Children\001\Internet Explorer\DOMStorage\izito.de
Deleted HKCU\Software\Classes\Local Settings\Software\Microsoft\Windows\CurrentVersion\AppContainer\Storage\microsoft.microsoftedge_8wekyb3d8bbwe\Children\001\Internet Explorer\EdpDomStorage\dotomi.com
Deleted HKCU\Software\Classes\Local Settings\Software\Microsoft\Windows\CurrentVersion\AppContainer\Storage\microsoft.microsoftedge_8wekyb3d8bbwe\Children\001\Internet Explorer\EdpDomStorage\izito.de
Deleted HKCU\Software\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_BROWSER_EMULATION|PC Reviver.exe
Deleted HKCU\Software\SSProtect
Deleted HKCU\Software\WiperSoft
Deleted HKLM\SOFTWARE\Classes\AppID\ReviverSoft Smart Monitor Service.exe
Deleted HKLM\SOFTWARE\Classes\AppID\{2A2423AE-1AD9-4B60-A021-BBD75766C2FD}
Deleted HKLM\SOFTWARE\Google\Chrome\NativeMessagingHosts\com.totalav.passwordvaultassistant
Deleted HKLM\SOFTWARE\Mozilla\NativeMessagingHosts\com.totalav.passwordvaultassistant
Deleted HKLM\Software\Classes\TypeLib\{8571CAC7-2507-4DDF-9048-DCA01E6A0249}
Deleted HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\PC Reviver
Deleted HKLM\Software\Wow6432Node\\Classes\AppID\ReviverSoft Smart Monitor Service.exe
Deleted HKLM\Software\Wow6432Node\\Classes\AppID\{2A2423AE-1AD9-4B60-A021-BBD75766C2FD}
Deleted HKLM\Software\Wow6432Node\\Classes\TypeLib\{8571CAC7-2507-4DDF-9048-DCA01E6A0249}

***** [ Chromium (and derivatives) ] *****

No malicious Chromium entries cleaned.

***** [ Chromium URLs ] *****

Deleted AVG Secure Search
Deleted AVG Secure Search
Deleted Mysearchdial
Deleted Mysearchdial
Deleted Mysearchdial
Deleted Mysearchdial
Deleted awesomehp
Deleted awesomehp

***** [ Firefox (and derivatives) ] *****

No malicious Firefox entries cleaned.

***** [ Firefox URLs ] *****

No malicious Firefox URLs cleaned.

***** [ Hosts File Entries ] *****

No malicious hosts file entries cleaned.

***** [ Preinstalled Software ] *****

No Preinstalled Software cleaned.


*************************

[+] Delete IFEO
[+] Delete Prefetch
[+] Delete Tracing Keys
[+] Reset Chromium Policies
[+] Reset IE Policies
[+] Reset Winsock

*************************

AdwCleaner[S00].txt - [4216 octets] - [20/03/2020 12:26:33]
AdwCleaner[S01].txt - [4277 octets] - [20/03/2020 12:48:07]

########## EOF - C:\AdwCleaner\Logs\AdwCleaner[C01].txt ##########

adwcleaner bitte zwecks Kontrolle wiederholen

Wiederholung von Adwarecleaner ist erfolgt: