Win 10 Pro: Mögliche false positive IDP.Generic und Nachfolge-Erkennung
 

Hallo wertes TB Team,

Gleich mal vorweg: Hab mich erst heute wirklich mit den Regeln eures Boards auseinander gesetzt. Auch wenn ich ab uns an schon mal bei euch rein gelesen habe, habe ich mich erst heute bei euch registriert (bzw. mittlerweile gestern). Aber dadurch bin ich selber schon aktiv geworden und habe sicher einige Dinge getan die insgesamt eure Arbeit erschweren könnte. :stirn: Mir fehlen sicher die Hälfte der Logs, die ihr gerne sehen würdet etc. War keine natürlich Absicht, aber wenn es Probleme verursacht tut es mir Leid.

Aber vielleicht könnt ihr mir ja auch so weiter helfen, somit zur Sache:

Vor zwei Tagen meldete Avast einen IDP.Generic Befall der Executive eines Spiels, dass ich regelmäßig verwende. Da gerade Diese Art von Meldung in den meisten Fällen false positive ist, habe ich die Datei in Quarantäne mehrfach prüfen lassen. Da keine weiteren Probleme gefunden werden konnten, habe ich sie wiederherstellen lassen und noch weitere Male geprüft mittels Avast und Malwarebytes. Da beide nicht anschlugen habe ich dann die Datei ausgeführt. Avast schritt nicht mehr ein, also liegt der Verdacht einer false positive recht nah.

Meinen Rechner habe ich dann herunter gefahren und einige Minuten später noch mal hochgefahren, weil mir noch was eingefallen ist für ein PnP Projekt. Dabei gab es keine Auffälligkeiten. Rechner erneut runter gefahren und dann schlafen gegangen. Beim erneuten Hochfahren wurde mein Explorer prompt geschlossen und neu gestartet, weil Avast dort in der Explorer.exe, sowie der Runonce.exe je einen Trojaner gefunden haben will. Außer, dass er die zwei Dateien geblockt hat, habe ich keine Ahnung was er damit gemacht hat. Denn die lagen dann weder in der Quarantäne noch hat Avast sie in irgendeinem Log verzeichnet. Somit kann ich nicht mal wiedergeben was die Trojan-Bezeichnungen waren. Mein Fehler an der Stelle, ich hätte Screens machen sollen. Hab ich, dumm wie ich war, aber nicht. Alles ziemlich peinlich, weil ich es eigentlich besser weiß.:balla:

Danach lief der Rechner, wie gewohnt. Nach Neustarts und erneuten Runter-/Hochfahren, keine weiteren Erkennungen seitens Avast. Also habe ich folgende Tests laufen lassen:
Avast Schneller Scan - Keine Erkennung
Avast Vollständiger Scan - Keine Erkennung
Windows Defender Schneller Scan- keine Erkennung
adwCleaner - Keine Erkennung
Malwarebytes - Keine Erkennung
Rogue Killer Vollständiger Scan - Keine Erkennung
ESET Online Scanner Vollständiger Scan - insgesamt nur 12 PuP gefunden aus einem Zeitraum von 2012-2016 größtenteils auf ner Backup Partition von nem alten Rechner

Wirkt jetzt für mich alles wie ne false Erkennung, aber bisschen unwohl fühl ich mich damit schon.
Wird da jetzt noch ein FRST Log fällig? Und wenn ein Log gebraucht wird, was sollte ich da neben dem Namen noch zensieren? Ist ja schon ne ziemliche Offenlegung meines Systems für jeden öffentlich einsehbar.

:hallo:



Mein Name ist Matthias und ich werde dir bei der Analyse und der eventuell notwendigen Bereinigung deines Computers helfen.




In der Tat klingt all das, was du beschrieben hast, nach einem False Positive. Wenn wir allerdings dein System überprüfen sollen, wirst du FRST gemäß der Anleitung ausführen müssen... ;)

Wenn du für dein Nutzerkonto deinen echten Namen verwendest, kannst du diesen Namen mit xxxxx unkenntlich machen. Weitere "Verschleierungen" sind nicht notwendig.

Insbesondere musst du dir keine Sorgen wegen der "Offenlegung" machen. Das, was du uns hier mitteilst, dient zum Aufspühren von Malware, nicht zum Ausspähen von privaten Informationen.

Hallo Matthias und Danke für's Willkommen heißen.

Beruhigend, dass wir schon mal beide in die gleiche Richtung vermuten. Wäre nur eine Erkennung aufgetaucht wäre ich gar nicht so paranoid, aber drei gleich nach einander können einen schon nervös machen. Also gehe ich am besten auf Nummer Sicher und poste mal FRST und so.

FRST

Und noch Addition

Auf deinem System finden sich einige veraiste Einträge, welche wir entfernen könnten. In diesem Zusammenhang können wir auch die Windows Systemdateien überprüfen und ggf. reparieren lassen.


Zudem bin ich auf ein paar "aufflällige" (= nicht übliche) Einträge zu Gruppenrichtlinien gestoßen.
Hast du diese Einträge angelegt?

Ehm ehrlich gesagt, weiß ich das nicht. Keine Ahnung ob das ersichtlich ist aus den ganzen Daten und überhaupt weiter hilft. Mein System war früher mal ein Win7 System, welches ich im Zuge der (sehr penetranten) Wechsel kostenlos zu Win10 Kampagne von Microsoft zu dem Windows, dass ich jetzt habe aufrüsten hab lassen.

Ansonsten muss ich raten. MRT ist laut Google ja das "Windows-Tool zum Entfernen bösartiger Software". Hat das was mit dem Defender zu tun? Den hab ich nämlich in diesem passiven Modus an, sodass man schnelle Scans mit dem machen kann, aber der Echtzeitschutz wird von Avast übernommen.

Kann das was mit Microsoft FixIt zu tun haben? Das habe ich früher auf jeden fall mal benutzen müssen.

Bei dem anderen steht laut google was von Spybot Search and Destroy. Das habe ich früher auch benutzt, um Malware aufzudecken. Aber durch euer Forum weiß ich, dass des eher Murks ist. Benutze ich schon länger demnach nicht mehr.

Mehr kann ich damit nicht anfangen so aus dem Stehgreif. Mit solchen Einträgen kenn ich mich nicht so gut aus. ._.'

EDIT: Kann das sein, dass das eventuell sogar von Spybot angelegt wurde? Ich kann mich auf jeden Fall erinnern, dass ich mal vor Jahren mit irgend einem Antimalware Tool was entfernen musste wo ein Neustart erforderlich wurde um den Schädling zu entfernen, bzw. die Quarantäne oder sowas.

Oder noch ein Idee! Ich habe immer wieder Ärger damit, dass Windows Grafiktreiber installiert, die einfach null zu meinem eigentlichen Treiber und dessen Treibertools passen. Also das läuft dann so ab, dass Windows einfach über meinen aktuellen Treiber drüber installiert, weil es meint einen aktuelleren zu haben. Selbst, wenn ich den letzten und somit aktuellen WHQL Treiber verwende. Da habe ich nun schon häufiger deswegen DDU genutzt, um da sauber meinen Grafiktreiber zu installieren, den ich eigentlich will. Jetzt der vielleicht springende Punkt. Da Windows das trotzdem nicht sein lassen will und ich deren Treiber auch nicht wieder deinstallieren kann (außer eben mit DDU komplett entfernen), wenn es die dann installiert hatte, habe ich dann mit Windows Tool 'Wushowhide' diese speziellen Updates geblockt, sprich in 'hide' versetzt, damit die nicht mehr automatisch installiert werden. Kann es das sein?

Das ist auf jeden Fall von Spybot.

Vielen Dank für die Rückmeldungen.

Also die von dir beschriebenen Dinge passen nicht zu den genannten Einträgen... und da du selbst scheinbar nicht mit Gruppenrichtlinien arbeitest, entfernen wir es.

Nicht selten werden derartige Einträge von Malware erzeugt.

Wir entfernen alle unbekannten und verwaisten Einträge und überprüfen die Windows-Systemdateien. Schritt 1 kann u. U. also ein paar Minuten dauern, bitte gedulde dich.



Schritt 1
WARNUNG AN ALLE MITLESER !!!
Dieses FRST-Script ist ausschließlich für diesen Nutzer gedacht und sollte niemals 1:1 für ein anderes System angewendet werden!

• Speichere deine Arbeiten und schließe alle offenen Programme, damit keine Daten verloren gehen.
• Kopiere den gesamten Inhalt der folgenden Code-Box:
  
  Code:

  ---

  Start::
SystemRestore: On
CreateRestorePoint:
CloseProcesses:
HKLM Group Policy restriction on software: %systemroot%\system32\mrt.exe <==== ACHTUNG
HKLM Group Policy restriction on software: %HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRoot% <==== ACHTUNG
HKLM Group Policy restriction on software: %HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ProgramFilesDir% <==== ACHTUNG
HKU\S-1-5-21-897475931-2416158470-2026178577-1000\...\Run: [GalaxyClient] => [X]
HKLM\Software\...\Authentication\Credential Providers: [{503739d0-4c5e-4cfd-b3ba-d881334f0df2}] ->
HKLM\Software\...\Winlogon\GPExtensions: [{6cfb9c5c-138e-4bb3-8a3d-d5383e910e57}] -> %SystemRoot%\System32\RdpGroupPolicyExtension.dll
BootExecute: autocheck autochk * sdnclean64.exe
HKLM\SOFTWARE\Policies\Mozilla\Firefox: Beschränkung <==== ACHTUNG
HKLM\SOFTWARE\Policies\Google: Beschränkung <==== ACHTUNG
Task: {02881DA5-BA81-4054-ADFD-EBF336A50599} - \Microsoft\Windows\Setup\GWXTriggers\refreshgwxconfig-B -> Keine Datei <==== ACHTUNG
Task: {07CA3815-BCA0-4F7C-9108-5C56993CB2BC} - \Microsoft\Windows\UNP\RunCampaignManager -> Keine Datei <==== ACHTUNG
Task: {07D2B940-EED7-4BD8-A78D-1FAF7022F155} - System32\Tasks\Microsoft\Windows\Media Center\PvrScheduleTask => C:\WINDOWS\ehome\mcupdate.exe -PvrSchedule (Keine Datei)
Task: {1246D27E-6A74-44BC-8949-C508D48851D3} - System32\Tasks\Microsoft\Windows\Media Center\mcupdate => C:\WINDOWS\ehome\mcupdate.exe $(Arg0) (Keine Datei)
Task: {16082451-D691-42B8-88BA-EADC477345AE} - System32\Tasks\{2F04D3D8-F305-4060-B0F0-B16160B4B409} => E:\Z001257DEMO\SeismicGame.exe (Keine Datei)
Task: {1F4B9ED6-0124-4784-B890-FD5572FF9C90} - \Microsoft\Windows\Setup\GWXTriggers\ScheduleUpgradeReminderTime -> Keine Datei <==== ACHTUNG
Task: {31E6019B-A7ED-4292-B466-5607F04BEAB9} - \Microsoft\Windows\Setup\GWXTriggers\OutOfIdle-5d -> Keine Datei <==== ACHTUNG
Task: {1246D27E-6A74-44BC-8949-C508D48851D3} - System32\Tasks\Microsoft\Windows\Media Center\mcupdate => C:\WINDOWS\ehome\mcupdate.exe $(Arg0) (Keine Datei)
Task: {16082451-D691-42B8-88BA-EADC477345AE} - System32\Tasks\{2F04D3D8-F305-4060-B0F0-B16160B4B409} => E:\Z001257DEMO\SeismicGame.exe (Keine Datei)
Task: {1F4B9ED6-0124-4784-B890-FD5572FF9C90} - \Microsoft\Windows\Setup\GWXTriggers\ScheduleUpgradeReminderTime -> Keine Datei <==== ACHTUNG
Task: {2C5B73B4-6233-409B-8E25-D3E18E0F42F7} - System32\Tasks\Microsoft\Windows\Media Center\ActivateWindowsSearch => C:\WINDOWS\ehome\ehPrivJob.exe /DoActivateWindowsSearch (Keine Datei)
Task: {31E6019B-A7ED-4292-B466-5607F04BEAB9} - \Microsoft\Windows\Setup\GWXTriggers\OutOfIdle-5d -> Keine Datei <==== ACHTUNG
Task: {328FEA30-4C8D-4683-9D97-D6FB5835E3E2} - System32\Tasks\Microsoft\Windows\Media Center\SqlLiteRecoveryTask => C:\WINDOWS\ehome\mcupdate.exe -SqlLiteRecoveryTask (Keine Datei)
Task: {346642E2-1E80-46B0-B47A-9CC7FFC356B3} - System32\Tasks\{1B85FB65-5D9E-45CF-A0B8-054CF8AA0F0B} => E:\Z001257DEMO\SeismicGame.exe (Keine Datei)
Task: {348F2D0F-8930-444D-92B5-D0DD3D21ABF8} - System32\Tasks\Microsoft\Windows\Media Center\PBDADiscoveryW1 => C:\WINDOWS\ehome\ehPrivJob.exe /wait:7 /PBDADiscovery (Keine Datei)
Task: {412D782A-1B98-4F73-B77B-4A817AACE320} - System32\Tasks\Microsoft\Windows\Media Center\ReindexSearchRoot => C:\WINDOWS\ehome\ehPrivJob.exe /DoReindexSearchRoot (Keine Datei)
Task: {49CEB18A-54E0-490D-87F1-28DBE1D0B958} - \Microsoft\Windows\Setup\gwx\refreshgwxconfig -> Keine Datei <==== ACHTUNG
Task: {4EAEFAC1-A749-4768-B661-90C932831389} - \Microsoft\Windows\Setup\GWXTriggers\Time-Weekend -> Keine Datei <==== ACHTUNG
Task: {4FBA506C-627A-4ED7-8433-938ACDEDE549} - System32\Tasks\Microsoft\Windows\Media Center\StartRecording => C:\WINDOWS\ehome\ehrec.exe /StartRecording (Keine Datei)
Task: {50428582-F725-45DE-84B3-A543B5D42F8D} - System32\Tasks\Microsoft\Windows\Media Center\mcupdate_scheduled => C:\WINDOWS\ehome\mcupdate.exe -crl -hms -pscn 15 (Keine Datei)
Task: {55D8FE10-25F6-4E46-93B8-367BF3B2709A} - System32\Tasks\Microsoft\Windows\Media Center\InstallPlayReady => C:\WINDOWS\ehome\ehPrivJob.exe /InstallPlayReady $(Arg0) (Keine Datei)
Task: {598E8F83-01AB-4DA8-9A22-31EB756CBAE0} - System32\Tasks\Microsoft\Windows\Media Center\OCURActivate => C:\WINDOWS\ehome\ehPrivJob.exe /OCURActivate (Keine Datei)
Task: {67C89A45-2B30-4A7C-BCE4-BFB0ED7A9B25} - System32\Tasks\Driver Booster SkipUAC (AllUserName) => C:\Program Files (x86)\IObit\Driver Booster\4.0.3\DriverBooster.exe /skipuac (Keine Datei)
Task: {6A219FDF-77B1-4719-A9E5-8B4BEC574397} - System32\Tasks\Microsoft\Windows\Media Center\OCURDiscovery => C:\WINDOWS\ehome\ehPrivJob.exe /OCURDiscovery $(Arg0) (Keine Datei)
Task: {6F8D721E-8F15-441B-9A4F-D74C8314488A} - \Microsoft\Windows\Setup\gwx\refreshgwxconfigandcontent -> Keine Datei <==== ACHTUNG
C:\Program Files (x86)\IObit
Task: {7F22F402-8DFE-41A0-A02C-979DE41D0086} - System32\Tasks\Microsoft\Windows\Media Center\RecordingRestart => C:\WINDOWS\ehome\ehrec.exe /RestartRecording (Keine Datei)
Task: {89FA0000-E570-4F56-986B-8E60B3D5A8DB} - System32\Tasks\Microsoft\Windows\Media Center\ConfigureInternetTimeService => C:\WINDOWS\ehome\ehPrivJob.exe /DoConfigureInternetTimeService (Keine Datei)
Task: {9792E4A3-E19E-4014-BBD4-76763DC8671E} - System32\Tasks\Microsoft\Windows\Media Center\PeriodicScanRetry => C:\WINDOWS\ehome\MCUpdate.exe -pscn 0 (Keine Datei)
Task: {A16547E8-F055-44CF-ADCA-1D00B28D9C92} - System32\Tasks\Abelssoft\StartBackgroundguardWithWindows => C:\Program Files (x86)\CheckDrive\CheckDrive.exe -backgroundGuard (Keine Datei)
Task: {A3D322FA-A757-4582-B8C7-94A23B21DED7} - System32\Tasks\{63542041-3225-4FC8-92B6-CB3F384A4671} => C:\Windows\system32\pcalua.exe -a "F:\Sektion F\Download\blazingcolorsviz.exe" -d "F:\Sektion F\Download"
Task: {A97ED41F-BAFB-4716-BC84-5D542874C4C1} - System32\Tasks\Microsoft\Windows\Media Center\PBDADiscovery => C:\WINDOWS\ehome\ehPrivJob.exe /PBDADiscovery (Keine Datei)
Task: {AAE35859-A6FB-4A14-875F-8223739A4143} - \Microsoft\Windows\Setup\GWXTriggers\Time-5d -> Keine Datei <==== ACHTUNG
Task: {AC22F738-153C-43B6-94DA-C6A40E1A20DF} - System32\Tasks\{7EB9E972-2DB8-48C4-96E6-BEB0992F3893} => C:\Windows\system32\pcalua.exe -a "F:\Sektion F\Download\irfanview_plugins_438_setup.exe" -d "F:\Sektion F\Download"
Task: {AC331AD4-4236-4838-A361-C6911761F051} - System32\Tasks\Microsoft\Windows\Media Center\PvrRecoveryTask => C:\WINDOWS\ehome\mcupdate.exe -PvrRecoveryTask (Keine Datei)
Task: {ADAD8D03-D769-494A-9EF1-A66F2A23ABBC} - \Microsoft\Windows\Setup\gwx\launchtrayprocess -> Keine Datei <==== ACHTUNG
Task: {B320ECE3-6DE8-435F-8659-4B4AE332443D} - \Microsoft\Windows\Setup\GWXTriggers\MachineUnlock-5d -> Keine Datei <==== ACHTUNG
Task: {B74F9483-CB19-4FDA-A78F-130D4A557A0C} - System32\Tasks\Microsoft\Windows\Media Center\MediaCenterRecoveryTask => C:\WINDOWS\ehome\mcupdate.exe -MediaCenterRecoveryTask (Keine Datei)
Task: {BC59C270-429D-42C9-A75C-EE93212DDE5C} - System32\Tasks\Microsoft\Windows\Media Center\DispatchRecoveryTasks => C:\WINDOWS\ehome\ehPrivJob.exe /DoRecoveryTasks $(Arg0) (Keine Datei)
Task: {C2BAE6AB-6C78-46C4-A66C-224FF0BCCBAC} - \Microsoft\Windows\Setup\GWXTriggers\OutOfSleep-5d -> Keine Datei <==== ACHTUNG
Task: {D10B4A55-E2FE-4962-AD3F-C00E650AC308} - \Microsoft\Windows\Setup\GWXTriggers\OnIdle-5d -> Keine Datei <==== ACHTUNG
Task: {D25A32DF-E4CC-4357-B67B-D3DBAC79DFDC} - System32\Tasks\Microsoft\Windows\Media Center\RegisterSearch => C:\WINDOWS\ehome\ehPrivJob.exe /DoRegisterSearch $(Arg0) (Keine Datei)
Task: {D32E8923-1CA8-4C07-AEAB-0B97A35FA17D} - \Microsoft\Windows\Setup\GWXTriggers\ScheduleUpgradeTime -> Keine Datei <==== ACHTUNG
Task: {D477C1CB-6E54-4144-8960-477F2158CB04} - System32\Tasks\Microsoft\Windows\Media Center\PBDADiscoveryW2 => C:\WINDOWS\ehome\ehPrivJob.exe /wait:90 /PBDADiscovery (Keine Datei)
Task: {DC098A76-ABC0-44AE-BB65-D29F5C0670D9} - System32\Tasks\Microsoft\Windows\Media Center\UpdateRecordPath => C:\WINDOWS\ehome\ehPrivJob.exe /DoUpdateRecordPath $(Arg0) (Keine Datei)
Task: {DD275683-E8FD-4A23-A2D2-2611F75D953B} - System32\Tasks\Microsoft\Windows\rempl\shell => C:\Program Files\rempl\sedlauncher.exe (Keine Datei)
Task: {DD4FD6A7-6BE8-4730-BF60-4C0C0113735A} - System32\Tasks\Microsoft\Windows\Media Center\ehDRMInit => C:\WINDOWS\ehome\ehPrivJob.exe /DRMInit (Keine Datei)
Task: {E5B77896-CD68-4E31-98A6-D4B33D54E2D5} - System32\Tasks\Microsoft\Windows\Media Center\ObjectStoreRecoveryTask => C:\WINDOWS\ehome\mcupdate.exe -ObjectStoreRecoveryTask (Keine Datei)
Task: {F345F0E4-6DE5-44A4-8595-A9E5F659013E} - \Microsoft\Windows\Setup\GWXTriggers\Logon-5d -> Keine Datei <==== ACHTUNG
Task: {FC66D8CD-3780-4135-8FD2-933EA68C9314} - \Microsoft\Windows\Setup\gwx\refreshgwxcontent -> Keine Datei <==== ACHTUNG
Edge Extension: (Kein Name) -> AutoFormFill_5ED10D46BD7E47DEB1F3685D2C0FCE08 => C:\Windows\SystemApps\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\Assets\HostExtensions\AutoFormFill [nicht gefunden]
Edge Extension: (Kein Name) -> BookReader_B171F20233094AC88D05A8EF7B9763E8 => C:\Windows\SystemApps\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\Assets\BookViewer [nicht gefunden]
Edge Extension: (Kein Name) -> LearningTools_7706F933-971C-41D1-9899-8A026EB5D824 => C:\Windows\SystemApps\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\Assets\HostExtensions\LearningTools [nicht gefunden]
Edge Extension: (Kein Name) -> PinJSAPI_EC01B57063BE468FAB6DB7EBFC3BF368 => C:\Windows\SystemApps\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\Assets\HostExtensions\PinJSAPI [nicht gefunden]
S2 DigitalWave.Update.Service; "C:\Program Files (x86)\Common Files\DVDVideoSoft\lib\app_updater.exe" [X]
U3 idsvc; kein ImagePath
ShellIconOverlayIdentifiers: [
MEGA (Pending)] -> {056D528D-CE28-4194-9BA3-BA2E9197FF8C} =>  -> Keine Datei
ShellIconOverlayIdentifiers: [
MEGA (Synced)] -> {05B38830-F4E9-4329-978B-1DD28605D202} =>  -> Keine Datei
ShellIconOverlayIdentifiers: [
MEGA (Syncing)] -> {0596C850-7BDD-4C9D-AFDF-873BE6890637} =>  -> Keine Datei
ShellIconOverlayIdentifiers-x32: [
MEGA (Pending)] -> {056D528D-CE28-4194-9BA3-BA2E9197FF8C} =>  -> Keine Datei
ShellIconOverlayIdentifiers-x32: [
MEGA (Synced)] -> {05B38830-F4E9-4329-978B-1DD28605D202} =>  -> Keine Datei
ShellIconOverlayIdentifiers-x32: [
MEGA (Syncing)] -> {0596C850-7BDD-4C9D-AFDF-873BE6890637} =>  -> Keine Datei
ContextMenuHandlers1: [MEGA (Context menu)] -> {0229E5E7-09E9-45CF-9228-0228EC7D5F17} =>  -> Keine Datei
ContextMenuHandlers2: [MEGA (Context menu)] -> {0229E5E7-09E9-45CF-9228-0228EC7D5F17} =>  -> Keine Datei
ContextMenuHandlers3: [MEGA (Context menu)] -> {0229E5E7-09E9-45CF-9228-0228EC7D5F17} =>  -> Keine Datei
ContextMenuHandlers4: [###MegaContextMenuExt] -> {0229E5E7-09E9-45CF-9228-0228EC7D5F17} =>  -> Keine Datei
ContextMenuHandlers4: [MEGA (Context menu)] -> {0229E5E7-09E9-45CF-9228-0228EC7D5F17} =>  -> Keine Datei
ContextMenuHandlers4: [ZPShellExt] -> {ABE00001-0123-ABED-1248-0248ADFA1909} =>  -> Keine Datei
ContextMenuHandlers5: [Gadgets] -> {6B9228DA-9C15-419e-856C-19E768A13BDC} =>  -> Keine Datei
Handler: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} -  Keine Datei
HKU\S-1-5-21-897475931-2416158470-2026178577-1000\...\StartupApproved\Run: => "SpybotPostWindows10UpgradeReInstall"

startpowershell:
Set-Service -Name "BITS" -StartupType Manual -Verbose
Set-Service -Name "Dhcp" -StartupType Automatic -Verbose
Set-Service -Name "EventLog" -StartupType Automatic -Verbose
Set-Service -Name "EventSystem" -StartupType Automatic -Verbose
Set-Service -Name "nsi" -StartupType Automatic -Verbose
Set-Service -Name "RasMan" -StartupType Manual -Verbose
Set-Service -Name "SDRSVC" -StartupType Manual -Verbose
Set-Service -Name "SstpSvc" -StartupType Manual -Verbose
Set-Service -Name "TrustedInstaller" -StartupType Manual -Verbose
Set-Service -Name "VSS" -StartupType Manual -Verbose
Set-Service -Name "Winmgmt" -StartupType Automatic -Verbose
Set-Service -Name "wuauserv" -StartupType Manual -Verbose

Set-MpPreference -DisableAutoExclusions $true -Force
set-mppreference -mapsreporting basic -Force
set-mppreference -DisableRealtimeMonitoring $false -Force
set-mppreference -DisablePrivacyMode $true -Force
set-mppreference -DisableIOAVProtection $false -Force
set-mppreference -CheckForSignaturesBeforeRunningScan $true -Force
set-mppreference -PUAProtection enabled -Force
Set-MpPreference -DisableBehaviorMonitoring $false -Force
Set-MpPreference -SignatureScheduleDay Everyday -force
set-mppreference -RealTimeProtectionEnabled $true -force
set-mppreference -OnAccessProtectionEnabled $true -force

# 4-14-2022 M. Naggar
# Funtion Remove-all-windefend-excludes to Remove all exclusions on MS Windefend
Function Remove-all-windefend-excludes {
$Paths=(Get-MpPreference).ExclusionPath
$Extensions=(Get-MpPreference).ExclusionExtension
$Processes=(Get-MpPreference).ExclusionProcess
foreach ($Path in $Paths) { Remove-MpPreference -ExclusionPath $Path -force}
foreach ($Extension in $Extensions) { Remove-MpPreference -ExclusionExtension $Extension -force}
foreach ($Process in $Processes) { Remove-MpPreference -ExclusionProcess $Process -force}
}
# Remove all exclusions on MS Windefend
echo "Removing all exclusions on MS Windefend antivirus"
Set-MpPreference -DisableAutoExclusions $true -Force
Remove-all-windefend-excludes
endpowershell:

CMD: ipconfig /flushdns
CMD: netsh winsock reset catalog
CMD: netsh advfirewall reset
CMD: netsh advfirewall set allprofiles state ON
CMD: netsh winhttp reset proxy
CMD: Bitsadmin /Reset /Allusers
CMD: Winmgmt /salvagerepository
CMD: Winmgmt /resetrepository
CMD: winmgmt /resyncperf
CMD: "%WINDIR%\SYSTEM32\lodctr.exe" /R
CMD: "%WINDIR%\SysWOW64\lodctr.exe" /R
CMD: "%WINDIR%\SYSTEM32\lodctr.exe" /R
CMD: "%WINDIR%\SysWOW64\lodctr.exe" /R
CMD: sfc /scannow

Hosts:
RemoveProxy:
C:\WINDOWS\SysWOW64\*.tmp
C:\WINDOWS\System32\*.tmp
C:\Windows\SystemTemp\*.tmp
EmptyTemp:
End::

  ---

• Starte nun FRST und klicke direkt den Reparieren Button.
  Wichtig: Du brauchst den Inhalt der Code-Box nirgends einfügen, da sich FRST den Code aus der Zwischenablage holt!
• Das Tool führt die gewünschten Schritte aus und erstellt eine fixlog.txt im selben Verzeichnis, in dem sich FRST befindet.
• Gegebenenfalls muss dein Rechner neu gestartet werden.
• Poste mir den Inhalt der fixlog.txt mit deiner nächsten Antwort.

Schritt 2

• Starte FRST erneut und klicke auf Untersuchen.
• FRST erstellt nun zwei Logdateien (FRST.txt und Addition.txt).
• Poste mir beide Logdateien mit deiner nächsten Antwort.

Bitte poste mit deiner nächsten Antwort:

• die Logdatei des FRST-Fix (fixlog.txt)
• die beiden neuen Logdateien von FRST (FRST.txt und Addition.txt)

Erstmal Entschuldigung, dass sich das aktuell bei mir so zieht mit den Antworten. Ich hab viel um die Ohren mit meiner Arbeit. :balla:

Nun zunächst aber erstmal die Grundfrage, war es denn nun eigentlich eine False Positive oder ein echter Befall? Bzw. lässt sich das überhaupt ermitteln?
(Im Befalls Fall sollte ich nämlich das Game mal langsam entfernen, oder?)

Dann hab ich aber ehrlich gesagt noch gern ein paar Informationen zum Skript was ich ausführen soll. Der obere Teil erschließt sich mir. Entfernung von unnützen RegEinträgen und dieser Gruppenrichtlinien.

Bei den unteren Einträgen gibt's aber ein paar die ich gern verstehen würde. Was machen die ganzen MpPreference Befehle? Liest sich für mich wie das forcieren des Echtzeitschutzes vom Defender. Würde sich das nicht mit Avast behaken? Korrigiert mich gern, wenn ich das missinterpretiere.

Was ist # 4-14-2022 M. Naggar ?

Was macht Bitsadmin /Reset /Allusers?

Ich hoffe ihr empfindet es nicht als unhöflich, dass ich mich erst noch mal schlau mache. Und vielen Dank, dass ihr euch die Zeit für mich nehmt.

Wer nicht ;)


False Positive... aktive Malware sehe ich aktuell nicht in den Logdateien


Die Einträge laufen ins Leere, wenn ein anderes AV aktiviert ist. Wurde der MD von Malware deaktiviert, wird damit der Echtzeitschutz aktiviert und alle notwendigen Einstellungen dafür vorgenommen.



Ein Kommentar im PS-Script



Link

So, Reinigung wurde durch geführt. :kloppen: Hab zwar ein paar Savegames verloren, aber halb so wild. Computer ist auch nicht explodiert, also alles gut! ;)

FRST Log

Und Addtion txt

Wo waren diese Saegames gespeichert?

Bitte noch die Logatei der Bereinigung (fixlog.txt) posten. :daumenhoc

Im SharedObjects Order von Macromedia Flash. Aber ich wusste ja schon immer, dass die da nicht sicher liegen. Vielleicht war ich sogar mal so geistesgegewärtig und hab ne Sicherungskopie gemacht und das vergessen. Aber wie gesagt nicht schlimm. Hab ich Motivation es mal wieder zu spielen.

Kommt sofort. :)

Aus der Logdatei:
:abklatsch:



Dann wären wir durch!
Wenn du keine Probleme mehr mit Malware hast, dann sind wir hier fertig. Deine Logdateien sind sauber. :daumenhoc

Wenn Du möchtest, kannst Du hier sagen, ob du mit mir und meiner Hilfe zufrieden warst...:dankeschoen:
Vielleicht möchtest du das Forum mit einer kleinen Spende https://www.trojaner-board.de/extra/spende.png unterstützen. :applaus:





Schritt 1

• Speichere deine Arbeiten und schließe alle offenen Programme, damit keine Daten verloren gehen.
• Rechtsklicke auf FRST64 und wähle Umbenennen.
• Benenne FRST64 in Uninstall um.
• Starte Uninstall.
• FRST und die dazugehörigen Dateien/Odner werden entfernt.
• Klicke auf Ok, um den Rechner zum Abschluss neu zu starten.

Zum Schluss bitte unbedingt die Sicherheitsmaßnahmen lesen und umsetzen:



Hinweis:
Bitte gib mir eine kurze Rückmeldung, sobald du die oben verlinkten Informationen gelesen hast, alles erledigt ist und keine Fragen mehr vorhanden sind, so dass ich dieses Thema aus meinen Abos löschen kann.

:singsing: Vielen Dank!

Eine letzte Frage habe ich. Ihr empfehlt ja immer FRST zu deinstallieren. Ist das weil es unsicher wäre es auf dem Rechner zu belassen, oder einfach nur zum aufräumen?

Es ist absolut kein Problem, wenn FRST auf dem Rechner bleibt, zumal sich das Tool beim Start auch selbst aktualisiert.

In der Regel möchten die Nutzer die verwendeten Tools auch wieder entfernen, daher die Anleitung dazu. Außerdem können die meisten Nutzer mit dem Tool nicht umgehen, daher ist es in der Regel auch relativ sinnfrei, wenn es auf dem System bleibt. Es also ums Aufräumen. ;)




Wir sind froh, dass wir helfen konnten :abklatsch:

Dieses Thema scheint erledigt und wird aus unseren Abos gelöscht. Solltest Du das Thema erneut brauchen, schicke uns bitte eine Erinnerung inklusive Link zum Thema.

Jeder andere bitte hier klicken und ein eigenes Thema erstellen.