WIN 10 Anhang geöffnet: Telekom Rechnung…pdf.htm - [TEIL 1 - Farbar Untersuchungsergebnis]
 

Hallo an alle freiwilligen Helfer,
bei mir lag lag eine Email der „Telekom“ in meinem Postfach nebst Anhang, die ich prompt geöffnet habe. Bisher habe ich gefühlt immer alles (!?) direkt gelöscht oder als Junk gekennzeichnet.
Hier wurde ich von einer ausstehenden Zahlung von über 7.000€ geschockt; näheres würde in der Rechnung im Anhang, den ich aber nur mit meinem Telekom Passwort öffnen könnte.
Da wir gar keinen Telekom Festnetz Anschluss mehr besitzen und ich nur von früher ein Passwort für den Login besitze habe ich dann abgebrochen.
Auf Chip habe ich mich dann informiert und das Farbar Recovery Scan Tool über Download runtergeladen. Leider zusammen mit AVIRA.
Beim Auslesen hat AVIRA dann einige Male geblockt und Dateien in die Quarantäne verschoben.Bsp: Opera 64 Bit – Chip-Installer.exe da es mit Win32:PUP-gen[PUP infiziert sei!
Ich habe einige BankProgramme auf dem PC am Laufen. Meint Ihr die sind jetzt alle infiziert oder habe ich vielleicht nochmal Glück gehabt… Bis auf Mozilla und Thunderbird habe ich nichts mehr geöffnet.
VG
Petertotus
WIN 10, Thunderbird 102.6.1 (32-BIT)

WIN 10 Anhang geöffnet: Telekom Rechnung…pdf.htm- [ TEIL 2 - zusätzliches Untersuchungsergebnis]
 

:crazy:

:hallo:



Mein Name ist Matthias und ich werde dir bei der Analyse und Bereinigung deines Systems helfen.


Ich habe deine beiden Themen zusammengefügt. :)





Mit Avira und Avast wirst du deine Infektion nicht los (sie konnten sie auch nicht verhindern), da sie ungeeignet sind und unsere Bereinigung nur stören. Daher müssen sie zuerst deinstalliert werden.
Du musst allerdings keine Angst haben... der Windows Defender aktiviert sich anschließend automatisch.




Zudem hast du jede Menge "Müll" über falsche Downloadseiten auf dein System geholt, daher eine kleine Info vorab.

Eine kurze Information vorab:








Schritt 1
Die folgenden Programme sind veraltet, stören die Bereinigung oder es handelt sich um Werbesoftware (Adware) bzw. Potentiell Unerwünschte Programme (PUP) und müssen entfernt werden.

• Deinstalliere über Start > Einstellungen > Apps die folgenden Programme:
  • alles von "Avira"
  • alles von "Avast"
  • chip 1-click
  • CRaccoon
  • Desktopicon amazon.de
  • Web Companion
• Starte den Rechner im Anschluss neu.
• Gib eine kurze Rückmeldung, ob die Deinstallation erfolgreich war.

Schritt 2

• Starte FRST erneut und klicke auf Untersuchen.
• FRST erstellt nun zwei Logdateien (FRST.txt und Addition.txt).
• Poste mir beide Logdateien mit deiner nächsten Antwort.

Bitte poste mit deiner nächsten Antwort:

• eine Rückmeldung bezüglich der Deinstallationen
• die beiden neuen Logdateien von FRST (FRST.txt und Addition.txt)

Hallo Matthias,
vorab einmal: ich heisse Peter
Vielen Dank für Dein Engagement bei meinem Problem!
Deine Tipps nehme ich mir zu Herzen.
Ich bin ja schon unangenehm überrascht und ein wenig „traurig“ dass ausgerechnet auch die Seite von Chip nicht aufgesucht werden soll. Ich hatte bisher gedacht, dass ich mit deren Hilfe (Download – Empfehlungen) in der Vergangenheit, einige Fehler beheben konnte 
CRaccoon hat sich nicht deinstallieren lassen
Chip erst im zweiten Anlauf.


FRST Logfile:
--- --- ---

FRST Logfile:
--- --- ---

Hallo Matthias, ich hoffe alles ist angekommen...?
Das System hat mich aufgefordert eine zweite Nachricht hochzuladen da es insgesammt zu groß sei!

Vielen Dank für die Logdateien. :daumenhoc
Du hast alles richtig gemacht. :)


Was kannst du mir zu dieser Software, die auf deinem System installiert ist, sagen?
WunderBAR (HKLM\...\WunderBAR) (Version: 1.0 - WunderBAR)
Wofür ist sie?



Wir beginnen mit den ersten beiden Schritten der Bereinigung.
Weitere Schritte folgen im Anschluss.





Schritt 1
Führe Malwarebytes' AntiMalware (MBAM) gemäß der bebilderten Anleitung aus und poste abschließend die Logdatei.





Schritt 2
Führe AdwCleaner gemäß der bebilderten Anleitung aus und poste abschließend die Logdatei.





Bitte poste mit deiner nächsten Antwort:

• die Logdatei von MBAM
• die Logdatei von AdwCleaner

Hi,
Ich glaube, dass ich WunderBAR vor langer Zeit mal runtergeladen
habe (von Chip???). Was, wofür - keine Ahnung :-(

[/CODE]# -------------------------------
# Malwarebytes AdwCleaner 8.4.0.0
# -------------------------------
# Build: 08-30-2022
# Database: 2022-10-10.1 (Cloud)
# Support: https://www.malwarebytes.com/support
#
# -------------------------------
# Mode: Scan
# -------------------------------
# Start: 02-16-2023
# Duration: 00:00:13
# OS: Windows 10 (Build 19045.2604)
# Scanned: 32091
# Detected: 50


***** [ Services ] *****

No malicious services found.

***** [ Folders ] *****

PUP.Optional.Chip C:\Users\Ganz\AppData\Local\DOWNLOADED INSTALLATIONS\{31AD8258-894C-48D5-8149-C47506092754}
PUP.Optional.Craccoon C:\Users\Ganz\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\CRaccoon
PUP.Optional.WebCompanion C:\ProgramData\Application Data\Lavasoft\Web Companion

***** [ Files ] *****

PUP.Optional.Chip C:\Users\Ganz\Desktop\..\Downloads\7 ZIP 32 BIT - CHIP-INSTALLER.EXE
PUP.Optional.Chip C:\Users\Ganz\Desktop\..\Downloads\DARKNET BROWSER - CHIP-INSTALLER.EXE
PUP.Optional.Chip C:\Users\Ganz\Desktop\..\Downloads\FREE HTML5 VIDEO PLAYER AND CONVERTER - CHIP-INSTALLER.EXE
PUP.Optional.Chip C:\Users\Ganz\Desktop\..\Downloads\GIMP-2.8.22-SETUP - CHIP-INSTALLER.EXE
PUP.Optional.Chip C:\Users\Ganz\Desktop\..\Downloads\ICOFX - CHIP-INSTALLER.EXE
PUP.Optional.Chip C:\Users\Ganz\Desktop\..\Downloads\SAMSUNG PC STUDIO - CHIP-INSTALLER.EXE

***** [ DLL ] *****

No malicious DLLs found.

***** [ WMI ] *****

No malicious WMI found.

***** [ Shortcuts ] *****

No malicious shortcuts found.

***** [ Tasks ] *****

No malicious tasks found.

***** [ Registry ] *****

PUP.Optional.Chip HKLM\SYSTEM\CurrentControlSet\Services\EventLog\Application\chip 1-click download service
PUP.Optional.Chip HKLM\System\Setup\FirstBoot\Services\chip1click
PUP.Optional.Craccoon HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run|CRaccoon
PUP.Optional.Craccoon HKCU\Software\Microsoft\Windows\CurrentVersion\Uninstall\CRaccoon
PUP.Optional.Legacy HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run|Web Companion
PUP.Optional.Legacy HKCU\Software\Microsoft\Windows\CurrentVersion\Run|Web Companion
PUP.Optional.WebCompanion HKCU\Software\Lavasoft\Web Companion
PUP.Optional.WebCompanion HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\webcompanion.com
PUP.Optional.WebCompanion HKLM\Software\Wow6432Node\Lavasoft\Web Companion
PUP.Optional.WebCompanion HKU\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\webcompanion.com
PUP.Optional.WebCompanion HKU\S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\webcompanion.com
PUP.Winlogon.Heuristic HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon|Userinit

***** [ Chromium (and derivatives) ] *****

No malicious Chromium entries found.

***** [ Chromium URLs ] *****

No malicious Chromium URLs found.

***** [ Firefox (and derivatives) ] *****

No malicious Firefox entries found.

***** [ Firefox URLs ] *****

No malicious Firefox URLs found.

***** [ Hosts File Entries ] *****

No malicious hosts file entries found.

***** [ Preinstalled Software ] *****

Preinstalled.HPJumpStartBridge Folder C:\Program Files (x86)\HP\HP JUMPSTART BRIDGE
Preinstalled.HPJumpStartBridge Registry HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{031142AB-E0CD-40B5-AE6F-1DBF51CB08DF}
Preinstalled.HPJumpStartBridge Registry HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\HPJumpStartProvider
Preinstalled.HPJumpStartBridge Task C:\Windows\System32\Tasks\HPJUMPSTARTPROVIDER
Preinstalled.HPJumpStartLaunch Folder C:\Program Files (x86)\HP\HP JUMPSTART LAUNCH
Preinstalled.HPRegistrationService Folder C:\Program Files (x86)\HP\HP REGISTRATION SERVICE
Preinstalled.HPRegistrationService Folder C:\ProgramData\HP\HP REGISTRATION SERVICE
Preinstalled.HPRegistrationService Registry HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\{D1E8F2D7-7794-4245-B286-87ED86C1893C}
Preinstalled.HPSupportAssistant Folder C:\HP\SUPPORT
Preinstalled.HPSupportAssistant Folder C:\Program Files (x86)\HEWLETT-PACKARD\HP SUPPORT FRAMEWORK
Preinstalled.HPSupportAssistant Folder C:\Program Files (x86)\HEWLETT-PACKARD\HP SUPPORT SOLUTIONS
Preinstalled.HPSupportAssistant Folder C:\ProgramData\HEWLETT-PACKARD\HP SUPPORT FRAMEWORK
Preinstalled.HPSupportAssistant Folder C:\Users\Ganz\AppData\Roaming\HEWLETT-PACKARD\HP SUPPORT FRAMEWORK
Preinstalled.HPSupportAssistant Folder C:\Windows\System32\config\systemprofile\AppData\Local\HEWLETT-PACKARD\HP SUPPORT FRAMEWORK
Preinstalled.HPSupportAssistant Registry HKLM\Software\Classes\CLSID\{E76FD755-C1BA-4DCB-9F13-99BD91223ADE}
Preinstalled.HPSupportAssistant Registry HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{E76FD755-C1BA-4DCB-9F13-99BD91223ADE}
Preinstalled.HPSupportAssistant Registry HKLM\Software\Wow6432Node\\Classes\CLSID\{E76FD755-C1BA-4DCB-9F13-99BD91223ADE}
Preinstalled.HPSupportAssistant Registry HKLM\Software\Wow6432Node\\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{E76FD755-C1BA-4DCB-9F13-99BD91223ADE}
Preinstalled.HPSupportAssistant Registry HKLM\Software\Wow6432Node\\Microsoft\Windows\CurrentVersion\Uninstall\{2B5A1E68-6617-406D-B797-5DAB5B4630B8}
Preinstalled.HPSupportAssistant Registry HKLM\Software\Wow6432Node\\Microsoft\Windows\CurrentVersion\Uninstall\{39C8BE76-CF6A-466F-8618-0B52CC4CA0FC}
Preinstalled.HPSureConnect Folder C:\Program Files (x86)\HP INC\HP SURE CONNECT
Preinstalled.HPSureConnect Folder C:\Program Files\HPCOMMRECOVERY
Preinstalled.HPSureConnect Registry HKLM\Software\Wow6432Node\\Microsoft\Windows\CurrentVersion\Uninstall\{6468C4A5-E47E-405F-B675-A70A70983EA6}
Preinstalled.HPTouchpointAnalyticsClient Folder C:\Program Files\HP\HP TOUCHPOINT ANALYTICS CLIENT
Preinstalled.HPTouchpointAnalyticsClient Folder C:\ProgramData\HP\HP TOUCHPOINT ANALYTICS CLIENT
Preinstalled.HPTouchpointAnalyticsClient Registry HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall\{E5FB98E0-0784-44F0-8CEC-95CD4690C43F}
Preinstalled.LenovoEasyCamera Registry HKLM\Software\Sunplus SPUVCb
Preinstalled.LenovoPower2Go Registry HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run32|CLMLServer_For_P2G8
Preinstalled.LenovoPower2Go Registry HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run32|CLVirtualDrive



########## EOF - C:\AdwCleaner\Logs\AdwCleaner[S00].txt ##########
[/CODE]

Hast du die Funde von MBAM und AdwCleaner auch entfernen lassen? :)
Wenn ich mir die Logdateien so ansehen, sieht das nicht so aus. :(

Hmm, da habe ich wohl was falsch verstanden. Ich habe die beiden Programme heruntergeladen und ausgeführt und direkt die beide Logdateien gespeichert und an Dich weitergeleitet.
Dabei habe ich eigentlich nix gelöscht...

Ich schick das nochmal. Vielleicht hat da was nicht geklappt

Ok Sorry ich habe den Fehler entdeckt.
Ich führe beides nochmals (korrekt) durch...

Beides ausführen, bei beiden Programmen alle Funde entfernen lassen. :)

Hallo Matthias,
jetzt sollte es korrekt sein:

:-)

Sehr gut gemacht. :abklatsch:


Es wurde eingies an unerwünschte Software und Adware entfernt.


Nun bitte einen Kontrollsuchlauf mit FRST (Schritt 1) sowie eine Spezialsuche mit FRST (Schritt 2) ausführen.





Schritt 1

• Starte FRST erneut und klicke auf Untersuchen.
• FRST erstellt nun zwei Logdateien (FRST.txt und Addition.txt).
• Poste mir beide Logdateien mit deiner nächsten Antwort.

Schritt 2

• Starte FRST erneut. Kopiere den Inhalt der folgenden Code-Box oben in das Suchfeld:
  
  Code:

  ---

  SearchAll: WunderBAR;PRICEWATCH;CRaccoon;Web Companion;WebCompanion

  ---

• Klicke auf den Button Datei-Suche.
• FRST beginnt mit dem Suchlauf. Das kann einige Zeit dauern, bitte gedulde dich!
• Am Ende wird eine Textdatei Search.txt erstellt.
• Poste mir deren Inhalt mit deiner nächsten Antwort.

Bitte poste mit deiner nächsten Antwort:

• die beiden neuen Logdateien von FRST (FRST.txt und Addition.txt)
• die Logdatei des FRST-Suchlaufs (Search.txt)

FRST Logfile:
--- --- ---

FRST Additions Logfile:
--- --- ---








[/CODE]

Hallo Matthias,
das ist der Stand jetzt. Adware ist wohl zu einem recht umfangreichen Teil entfernt....?
Wie sieht es mit etwaiger Spyware aus? Haben wir da auch schon was entdeckt und wenn ja zerstört...?

Einen Teil der Adware und PUP haben wir entfernt.


Leider musst du Schritt 2 nochmal ausführen, weil der Code nicht richtig eingefügt wurde:
Hast du den Code abgetippt? Anders kann ich es mir eigentlich nicht erklären, dass du bei "All" das 2. "l" vergessen hast und die Begriffe auseinander stehen.
Du musst nur die Zeile kopieren und in FRST einfügen. :)



Schritt 2

• Starte FRST erneut. Kopiere den Inhalt der folgenden Code-Box oben in das Suchfeld:
  
  Code:

  ---

  SearchAll: WunderBAR;PRICEWATCH;CRaccoon;Web Companion;WebCompanion

  ---

• Klicke auf den Button Datei-Suche.
• FRST beginnt mit dem Suchlauf. Das kann einige Zeit dauern, bitte gedulde dich!
• Am Ende wird eine Textdatei Search.txt erstellt.
• Poste mir deren Inhalt mit deiner nächsten Antwort.