Zur Sicherheit - beim Abbestellen eines unerwünschten Newsletters etwas eingefangen?
 

Hallo,

ich war vorhin nach dem Aufstehen so "intelligent", bei einem nicht bestellten Newsletter (oeko.eu, eine eher dubios wirkende angebliche wohltätige Organisation, die Bäume für Website-Registrierungen pflanzen will) den Link zum Abbestellen zu verwenden, statt den Mist einfach zu ignorieren oder zu löschen... Dort kam dann noch ein Formular zur Auswahl, ob ich mich vom gesamten Portal abmelden oder nur keine Umfrage-Mails mehr erhalten möchte, ich habe das gesamte Abmelden gewählt, und das wurde so bestätigt. (Die Mail war mit persönlicher Anrede, meinen Namen haben sie also irgendwoher.)

Der Abbestell-Link und die dazugehörige Seite sind laut VirusTotal zwar unbedenklich, und Scans mit adwcleaner und Malwarebytes haben jeweils nichts Verdächtiges gefunden, aber ich würde dennoch gern auf Nummer Sicher gehen und euch deshalb noch mal bitten, einmal drüber zu schauen.

Bevor ich die FRST-Scans poste: Kann ich auch bei der Übersicht über die Downloads des letzten Monats einige Dateinamen anonymisieren, ohne eure Arbeit zu stören? Da sind einige persönliche Informationen drin, und die betreffenden Dateien sind aus sicherer Quelle gewesen und betreffen das aktuelle Thema nicht...

:hallo:



Mein Name ist Matthias und ich werde dir bei der Analyse und Bereinigung deines Systems helfen.




Was sollen das für Downloads sein, die private Informationen im Dateinamen enthalten? :)
Niemand verwendet doch für Downloads oder Dokumente Dateinamen mit sensiblen privaten Informationen... daher verstehe ich nicht so recht, was ich von dieser Aussage halten soll...



Sofern die Dateinamen selbst private, sensible Informationen wie z. B. der gesamte Name, Kontonummern, Adressen, etc. beinhalten, kannst du diese mit ***** kennzeichnen.
Ein Beispiel:
Wenn eine Datei z. B. "Steuererklärung_Vorname_Name.pdf" heißt, kannst du das gerne in "Steuererklärung_*****.pdf" umbenennen.



Sollte es aber so sein, dass du mit dieser Aktion nur illegale Software "verschleiern" willst, dann ist hier ganz schnell Ende im Gelände.
Unsere Regeln sind hier nachzulesen

Hi Matthias,

erst mal vielen Dank für Deine Hilfe! Keine Sorge, zu verschleiern hab ich nichts. Geht vorrangig um einen Kontoauszug, bei dem die IBAN im Dateinamen ist, die habe ich dann jetzt rausgenommen und den Rest so belassen.

Was die betreffende Mail angeht, habe ich schon etwas rumrecherchiert, und anscheinend stecken dahinter Versender aus der Schweiz und Österreich, die einschlägig bekannt sind, aber wohl wirklich "nur" Spam verschicken. Von Malware war da jedenfalls nirgends die Rede. Durch die Bestätigung meiner Mail-Adresse wird mir davon dann wohl allerdings eher noch mehr blühen. :stirn:

Hier die Scans:

Addition.txt erster Teil:

Addition.txt zweiter Teil:

Vielen Dank für die Logdateien.

In den Logdateien habe ich ESET Online Scanner gesehen.
Dieser Scanner hat auch nichts gefunden, oder?


Es zeigen sich ungewöhnliche Einträge (z. B. Richtlinien) und verwaiste Einträge, die wir mit FRST entfernen werden.
Zudem überprüfen wir alle Systemdateien auf Fehler.
Diese Reparatur kann einige Minuten dauern, bitte gedulde dich.





Schritt 1
WARNUNG AN ALLE MITLESER !!!
Dieses FRST-Skript ist ausschließlich für diesen Nutzer gedacht und sollte niemals 1:1 für ein anderes System verwendet werden!

• Speichere deine Arbeiten und schließe alle offenen Programme, damit keine Daten verloren gehen.
• Kopiere den gesamten Inhalt der folgenden Code-Box:
  
  Code:

  ---

  Start::
SystemRestore: On
CreateRestorePoint:
CloseProcesses:
HKLM Group Policy restriction on software: %systemroot%\system32\mrt.exe <==== ACHTUNG
HKLM Group Policy restriction on software: %HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRoot% <==== ACHTUNG
HKLM Group Policy restriction on software: %HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ProgramFilesDir% <==== ACHTUNG
HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate: Beschränkung <==== ACHTUNG
HKU\S-1-5-21-765039020-270631889-3682085673-1001\...\RunOnce: [Delete Cached Update Binary] => C:\WINDOWS\system32\cmd.exe /q /c del /q "C:\Users\***\AppData\Local\Microsoft\OneDrive\Update\OneDriveSetup.exe" (Keine Datei)
HKU\S-1-5-21-765039020-270631889-3682085673-1001\...\RunOnce: [Delete Cached Standalone Update Binary] => C:\WINDOWS\system32\cmd.exe /q /c del /q "C:\Users\***\AppData\Local\Microsoft\OneDrive\StandaloneUpdater\OneDriveSetup.exe" (Keine Datei)
HKU\S-1-5-21-765039020-270631889-3682085673-1001\...\RunOnce: [Uninstall 23.119.0606.0001] => C:\WINDOWS\system32\cmd.exe /q /c rmdir /s /q "C:\Users\***\AppData\Local\Microsoft\OneDrive\23.119.0606.0001" (Keine Datei)
HKLM\...\Print\Monitors\us008 Langmon: us008lm.dll (Keine Datei)
GroupPolicy: Beschränkung ? <==== ACHTUNG
Policies: C:\ProgramData\NTUSER.pol: Beschränkung <==== ACHTUNG
HKLM\SOFTWARE\Policies\Mozilla\Firefox: Beschränkung <==== ACHTUNG
Task: {0C170BD0-9CCA-4CEA-886B-353F3512BB2B} - \Microsoft\Windows\Setup\gwx\refreshgwxconfig -> Keine Datei <==== ACHTUNG
Task: {28EFF34B-C1F3-457D-9CDA-114B32C861DB} - System32\Tasks\AVAST Software\Avast settings backup => C:\Program Files\Common Files\AV\avast! Antivirus\backup.exe  /backup /iavs (Keine Datei)
Task: {31D20F72-2CFB-42C0-9983-8CB4DD047401} - \Microsoft\Windows\Setup\GWXTriggers\Telemetry-4xd -> Keine Datei <==== ACHTUNG
Task: {352E6CA0-7314-4DF4-89C4-682368D80D57} - System32\Tasks\Microsoft\Windows\Workplace Join\Automatic-Workplace-Join => %SystemRoot%\System32\AutoWorkplace.exe  join (Keine Datei)
Task: {35D9C83A-DD50-4908-829E-FBDF5A937C00} - \Microsoft\Windows\Setup\gwx\refreshgwxconfigandcontent -> Keine Datei <==== ACHTUNG
Task: {433C86C9-EF8C-482B-89D7-6094856F3965} - \Microsoft\Windows\Setup\GWXTriggers\Time-5d -> Keine Datei <==== ACHTUNG
Task: {45512A4F-43A9-415F-A908-8BA228208267} - \Microsoft\Windows\Setup\gwx\launchtrayprocess -> Keine Datei <==== ACHTUNG
Task: {6DFCB649-0769-4F83-BB10-F60F235F6D3D} - System32\Tasks\Microsoft\Windows\SkyDrive\Idle Sync Maintenance Task => {BF6C1E47-86EC-4194-9CE5-13C15DCB2001}
Task: {76FB41FC-5991-4EB9-9716-D84D13B9C92B} - \Microsoft\Windows\Setup\GWXTriggers\Logon-5d -> Keine Datei <==== ACHTUNG
Task: {7E18EBB3-83AF-4652-9E1C-0B99C2DF2D13} - \Microsoft\Windows\Setup\GWXTriggers\MachineUnlock-5d -> Keine Datei <==== ACHTUNG
Task: {872D0E53-FD2E-41E3-B431-698AF82882CE} - System32\Tasks\Microsoft\Windows\SkyDrive\Routine Maintenance Task => {1B1F472E-3221-4826-97DB-2C2324D389AE}
Task: {90286FC0-5058-425C-9729-74BB1CCB0A6C} - \Microsoft\Windows\Setup\gwx\refreshgwxcontent -> Keine Datei <==== ACHTUNG
Task: {9E7A68BD-BA3D-4765-8932-46537CCE5F26} - System32\Tasks\{9A0F93F7-4AD4-4F2C-8E7B-00C450E0187D} => C:\Windows\system32\pcalua.exe [53760 2023-06-08] (Microsoft Windows -> Microsoft Corporation) -> -a "D:\Assassin's Creed\AssassinsCreed_Launcher.exe" -d "D:\Assassin's Creed"
Task: {BB83B50F-89FD-446A-B1D9-93046DD32785} - \Microsoft\Windows\Setup\GWXTriggers\OutOfSleep-5d -> Keine Datei <==== ACHTUNG
Task: {C74F494F-8364-4C4B-BCDC-E4D9B4007BF2} - \Microsoft\Windows\Setup\GWXTriggers\refreshgwxconfig-B -> Keine Datei <==== ACHTUNG
Task: {CE2DE968-E342-40D7-9566-427D45E4A886} - System32\Tasks\Microsoft\Windows\PerfTrack\BackgroundConfigSurveyor => {EA9155A3-8A39-40B4-8963-D3C761B18371}
Task: {E347BD0A-E10E-4866-81FC-B6BAC16836A0} - System32\Tasks\Microsoft\Windows\Shell\FamilySafetyUpload => {EBF00FCB-0769-4B81-9BEC-6C05514111AA}
Task: {E93C308F-4244-498C-AAA3-36045D49E90C} - \Microsoft\Windows\Setup\GWXTriggers\OutOfIdle-5d -> Keine Datei <==== ACHTUNG
Edge Extension: (Kein Name) -> AutoFormFill_5ED10D46BD7E47DEB1F3685D2C0FCE08 => C:\Windows\SystemApps\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\Assets\HostExtensions\AutoFormFill [nicht gefunden]
Edge Extension: (Kein Name) -> BookReader_B171F20233094AC88D05A8EF7B9763E8 => C:\Windows\SystemApps\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\Assets\BookViewer [nicht gefunden]
Edge Extension: (Kein Name) -> LearningTools_7706F933-971C-41D1-9899-8A026EB5D824 => C:\Windows\SystemApps\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\Assets\HostExtensions\LearningTools [nicht gefunden]
Edge Extension: (Kein Name) -> PinJSAPI_EC01B57063BE468FAB6DB7EBFC3BF368 => C:\Windows\SystemApps\Microsoft.MicrosoftEdge_8wekyb3d8bbwe\Assets\HostExtensions\PinJSAPI [nicht gefunden]
FF NewTab: Mozilla\Firefox\Profiles\p37b6jfr.default -> about:newtab
FF NetworkProxy: Mozilla\Firefox\Profiles\p37b6jfr.default -> type", 0
CHR HKU\S-1-5-21-765039020-270631889-3682085673-1001\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [lmjegmlicamnimmfhcmpkclmigmmcbeh]
CHR HKLM-x32\...\Chrome\Extension: [eofcbnmajmjmplflapaojjnihcjkigck]
CHR HKLM-x32\...\Chrome\Extension: [gomekmidlodglbbmalcneegieacbdmki]
S3 EuGdiDrv; \SystemRoot\system32\EuGdiDrv.sys [X]
S3 ssudmdm; \SystemRoot\system32\DRIVERS\ssudmdm.sys [X]
AS: Avast Antivirus (Enabled - Up to date) {35C973AA-9ABB-D3CA-B100-B0DC0E5F2402}
ShellIconOverlayIdentifiers: [00asw] -> {472083B0-C522-11CF-8763-00608CC02F24} =>  -> Keine Datei
ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} =>  -> Keine Datei
ContextMenuHandlers1: [ANotepad++64] -> {B298D29A-A6ED-11DE-BA8C-A68E55D89593} =>  -> Keine Datei
ContextMenuHandlers1: [BriefcaseMenu] -> {85BBD920-42A0-1069-A2E4-08002B30309D} =>  -> Keine Datei
ContextMenuHandlers3: [{4A7C4306-57E0-4C0C-83A9-78C1528F618C}] -> {4A7C4306-57E0-4C0C-83A9-78C1528F618C} =>  -> Keine Datei
ContextMenuHandlers6: [BriefcaseMenu] -> {85BBD920-42A0-1069-A2E4-08002B30309D} =>  -> Keine Datei
HKLM\...\StartupApproved\StartupFolder: => "fcbd.bat"
HKU\S-1-5-21-765039020-270631889-3682085673-1001\...\StartupApproved\Run: => "AvastBrowserAutoLaunch_6F38662C5DB39010E4E985839EFA56B7"
startpowershell:
Function Remove-all-windefend-excludes {
$Paths=(Get-MpPreference).ExclusionPath
$Extensions=(Get-MpPreference).ExclusionExtension
$Processes=(Get-MpPreference).ExclusionProcess
foreach ($Path in $Paths) { Remove-MpPreference -ExclusionPath $Path -force}
foreach ($Extension in $Extensions) { Remove-MpPreference -ExclusionExtension $Extension -force}
foreach ($Process in $Processes) { Remove-MpPreference -ExclusionProcess $Process -force}
}
Set-MpPreference -DisableAutoExclusions $true -Force
Remove-all-windefend-excludes
endpowershell:
CMD: netsh winsock reset
CMD: netsh int ip reset
CMD: ipconfig /release
CMD: ipconfig /renew
CMD: ipconfig /flushdns
CMD: ipconfig /registerdns
CMD: netsh advfirewall reset
CMD: netsh advfirewall set allprofiles state ON
CMD: netsh winhttp reset proxy
CMD: Bitsadmin /Reset /Allusers
CMD: Winmgmt /salvagerepository
CMD: Winmgmt /resetrepository
CMD: winmgmt /resyncperf
CMD: "%WINDIR%\SYSTEM32\lodctr.exe" /R
CMD: "%WINDIR%\SysWOW64\lodctr.exe" /R
CMD: "%WINDIR%\SYSTEM32\lodctr.exe" /R
CMD: "%WINDIR%\SysWOW64\lodctr.exe" /R
CMD: sfc /scannow
Hosts:
RemoveProxy:
EmptyTemp:
Reboot:
End::

  ---

• Starte nun FRST und klicke direkt auf den Button Reparieren.
  Wichtig: Du brauchst den Inhalt der Code-Box nirgends einfügen, da sich FRST den Code aus der Zwischenablage holt!
  
  
• Wichtig:
  • Bitte gedulde dich, sobald du die Reparatur gestartet hast. Je nach Art und Umfang der notwendigen Reparaturen kann dies einige Minuten dauern.
    Eventuell erhältst du während der Reparatur auch die Information "keine Rückmeldung" von FRST. Das ist normal, du musst nichts weiter tun, nur warten.
  • Mit dieser Reparatur werden alle temporären Dateien/Browserdaten sowie der Papierkorb gelöscht.
  • Mit dieser Reparatur werden die Windows Firewall-Einstellungen zurückgesetzt. Du wirst möglicherweise später aufgefordert, legitimen Programmen eine Erlaubnis/Ausnahme für die Firewall zu erteilen. Dies solltest du dann erlauben/zulassen.
  
  
• Das Tool führt die gewünschten Schritte aus und erstellt eine fixlog.txt im selben Verzeichnis, in dem sich FRST befindet.
• Gegebenenfalls muss dein Rechner neu gestartet werden.
• Poste mir den Inhalt der fixlog.txt mit deiner nächsten Antwort.

ESET habe ich irgendwann abgebrochen, weil sich das so lange hingezogen hat. Bis dahin war nichts gefunden worden, aber das hat dann vermutlich ja nur geringen Aussagewert. Ich hoffe mal, die ungewöhnlichen Einträge sind nichts Bösartiges...?

Hier auf jeden Fall das Logfile:

Sehr gut gemacht. :abklatsch:



Manche dieser Einträge sieht man eigentlich fast nur, wenn Malware auf dem System ist. Wenn du selbst keine Gruppenrichtlinien eingerichtet hast, dann ist das komisch. War das System früher mal mit Malware infiziert?
Aktive Malware habe ich jetzt keine gesehen.

Beschädigte Systemdateien wurden repariert.


Wenn ESET so lange gedauert hat, dann probieren wir es mal mit EEK.




Schritt 1
Führe Emsisoft Emergency Kit (EEK) gemäß der bebilderten Anleitung aus und poste abschließend die Logdatei.

Ich weiß nicht mal, was Gruppenrichtlinien sind, geschweige denn, wie man sie einrichtet... Das einzig Auffällige, was mal gefunden wurde, waren PUPs über adwcleaner, und es gab mal false positives bei irgendwelchen Dateien, die zu alten Steam-Spielen gehörten, dann aber auch kurze Zeit später nicht mehr als bösartig bewertet wurden. Windows Defender, Malwarebytes und ESET haben ansonsten meiner Erinnerung nach nie was gefunden.

(Edit: Bei Adwcleaner finde ich von vor zwei bis drei Jahren dann doch noch dies, das sind alle mir bekannten Funde:
***** [ Registry ] *****

Deleted HKLM\Software\Classes\TypeLib\{DF2BBE39-40A8-433B-A279-073F48DA94B6}
Deleted HKLM\Software\Wow6432Node\\Classes\TypeLib\{DF2BBE39-40A8-433B-A279-073F48DA94B6} )

Deleted HKLM\Software\Wow6432Node\\Microsoft\Windows\CurrentVersion\Uninstall\PokerStars.net" )

EMSI hat jetzt ein PUP erkannt. Das "getrighttogo", mit dem das in Verbindung steht, sagt mir auch absolut nichts und sieht nicht wie etwas aus, das ich brauchen oder installieren würde... Was mache ich mit dem Fund? Quarantäne?

Also, auch wenn ich mir den Aufwand gern sparen würde - wenn da ernsthaftere Bedenken bestehen, was das System angeht, mach ich lieber alles platt.

Der Log:

Auch PUP kann Einstellungen in den Gruppenrichtlinlien vornehmen.

Ernsthafte Bedenken gibt es von meiner Seite nicht.

Den erwähnten Ordner von EEK kannst du selbst oder mit Hilfe von EEK entfernen lassen.
Dafür brauchen wir jetzt nicht extra nochmal einen FRST fix laufen lassen.




Ich würde gerne zur Kontrolle einen Suchlauf mit FRST und SecurityCheck laufen lassen.
Wenn dort alles "ok" aussieht, gibts zum Abschluss dann noch ein paar Hinweise und Tipps.




Schritt 1

• Starte FRST erneut und klicke auf Untersuchen.
• FRST erstellt nun zwei Logdateien (FRST.txt und Addition.txt).
• Poste mir beide Logdateien mit deiner nächsten Antwort.

Schritt 2
Führe SecurityCheck (SC) gemäß der bebilderten Anleitung aus und füge die Logdatei als Anhang hinzu.





Bitte poste mit deiner nächsten Antwort:

• die beiden neuen Logdateien von FRST (FRST.txt und Addition.txt)
• die Logdatei von SecurityCheck

So, der dubiose Ordner ist entfernt. Ich habe auch noch mal den Tag über ESET komplett drüber laufen lassen, der findet nichts.

Anbei die Logfiles - ich sehe schon, dass ich da wohl einige Programme updaten oder deinstallieren sollte...

Addition.txt
SecurityCheck

Schritt 1
Die folgenden Programme werden nicht mehr unterstützt und sollten daher umgehend deinstalliert werden:

• Miranda IM (Wechsel zu Miranda NG)
• Microsoft Silverlight

Die folgenden Programme sind veraltet. Du solltest sie deinstallieren und die neueste Version installieren (sofern du sie überhaupt noch benötigst):

• LibreOffice
• TeamViewer
• XnView
• VLC media player
• Spotify
• Audacity

Die Downloadlinks dazu findest du in der Logdatei von SecurityCheck.





Entfernung der verwendeten Tools
Führe KpRm gemäß der bebilderten Anleitung aus und poste abschließend die Logdatei.





Dann wären wir durch!
Wenn du keine Probleme mehr mit Malware hast, dann sind wir hier fertig. Deine Logdateien sind sauber. :daumenhoc

Wenn Du möchtest, kannst Du hier sagen, ob du mit mir und meiner Hilfe zufrieden warst...:dankeschoen:
Vielleicht möchtest du das Forum mit einer kleinen Spende https://www.trojaner-board.de/extra/spende.png unterstützen. :applaus:





Zum Schluss bitte unbedingt die Sicherheitsmaßnahmen lesen und umsetzen:



Hinweis:
Bitte gib mir eine kurze Rückmeldung, sobald du die oben verlinkten Informationen gelesen hast, alles erledigt ist und keine Fragen mehr vorhanden sind, so dass ich dieses Thema aus meinen Abos löschen kann.

LibreOffice, Spotify und VLC sind aktualisiert, der Rest deinstalliert. (Hab ich schon nach dem letzten Scan gemacht, die roten Hinweise waren ja eindeutig.)

Anbei das dann wohl letzte Logfile - und ganz herzlichen Dank für die Hilfe! :party: Der Thread kann dann geschlossen werden, wenn nichts mehr erledigt werden muss.

Die Quarantäne der verwendeten Tools hast du jetzt mit KpRm nicht mit entfernen lassen.
Entweder löscht du sie manuell oder du lässt das Tool nochmal laufen und setzt noch das zweite Häkchen (siehe Anleitung).

Ansonsten sind wir fertig. :)






Wir sind froh, dass wir helfen konnten :abklatsch:

Dieses Thema scheint erledigt und wird aus unseren Abos gelöscht. Solltest Du das Thema erneut brauchen, schicke uns bitte eine Erinnerung inklusive Link zum Thema.

Jeder andere bitte hier klicken und ein eigenes Thema erstellen.

Auf Wunsch wieder geöffnet.

Hi und danke für die Wiedereröffnung,

nur eine kurze Interessensfrage zu den ungewöhnlichen Gruppenrichtlinien, die im ersten FRST-Scan entdeckt wurden:

Ich habe gestern festgestellt, dass die Verbindung meines Samsung-Smart-TV mit dem Rechner seit unseren Arbeiten hier nicht mehr vorhanden ist - dabei kam mir dann die Frage, ob diese merkwürdigen Gruppenrichtlinien dann vielleicht auch gerade durch die Einrichtung dieser Verbindung erstellt worden sein könnten?

(Würde mich irgendwie noch etwas beruhigen, wenn ich damit eine Erklärung hätte, wie diese Einträge überhaupt zustande gekommen waren.)