Adware/Malware nach Jdownloader Installation

crapware · 10.09.2015, 18:53

Hallo,

Ich habe den Installer von der Jdownloader.org Seite genutzt um Jdwonloader zu installieren. Leider habe ich mir dabei irgendwelche Adware/Malware eingefangen. Der Windows Defender hat es sofort bemerkt und angeblich alles entfernt.

Als ich dann Firefox gestartet habe wurde folgende Seite geöffnet: istartsurf.com.
Bei Chrome genau das gleiche.

Ich habe daraufhin über die Windows Systemsteuerung einen istartsurf Clienten deinstallieren können. Außerdem habe ich noch einige dubiose Browser Erweiterungen in Firefox gefunden die ich deinstalliert habe.

Dann habe ich auf eigene Faust (ich weiß...

) daran gemacht das Problem zu lösen. Hier im Forum gab es einen User mit einem ähnlichen Problem (http://www.trojaner-board.de/143918-...infektion.html). Ich habe mich dann an das gehalten was User "schrauber" gepostet hat:

Zuerst habe ich Malwarebytes Anti-Malware runtergeladen und ausgeführt:

Code:

ATTFilter

 Malwarebytes Anti-Malware 
www.malwarebytes.org

Suchlaufdatum: 10.09.2015
Suchlaufzeit: 19:08
Protokolldatei: mbamlog.txt
Administrator: Ja

Version: 2.1.8.1057
Malware-Datenbank: v2015.09.10.07
Rootkit-Datenbank: v2015.08.16.01
Lizenz: Kostenlose Version
Malware-Schutz: Deaktiviert
Schutz vor bösartigen Websites: Deaktiviert
Selbstschutz: Deaktiviert

Betriebssystem: Windows 10
CPU: x64
Dateisystem: NTFS
Benutzer: Name

Suchlauftyp: Bedrohungssuchlauf
Ergebnis: Abgeschlossen
Durchsuchte Objekte: 375686
Abgelaufene Zeit: 4 Min., 44 Sek.

Speicher: Aktiviert
Start: Aktiviert
Dateisystem: Aktiviert
Archive: Aktiviert
Rootkits: Deaktiviert
Heuristik: Aktiviert
PUP: Aktiviert
PUM: Aktiviert

Prozesse: 1
PUP.Optional.WProtectManager, C:\ProgramData\UWdsManProU\WdsManPro.exe, 4496, Löschen bei Neustart, [3a05ec4234570432eaa9b6e87f8607f9]

Module: 0
(keine bösartigen Elemente erkannt)

Registrierungsschlüssel: 5
PUP.Optional.WProtectManager, HKLM\SYSTEM\CURRENTCONTROLSET\SERVICES\WdsManPro, In Quarantäne, [3a05ec4234570432eaa9b6e87f8607f9], 
PUP.Optional.FFPluginHp, HKLM\SOFTWARE\WOW6432NODE\FFPluginHp, In Quarantäne, [ba85ba7409820e2888511e73c242768a], 
PUP.Optional.IStartSurf.ShrtCln, HKLM\SOFTWARE\WOW6432NODE\istartsurfSoftware, In Quarantäne, [da65d955fb90ee4848aced4a5aa96b95], 
PUP.Optional.WdsManPro, HKLM\SOFTWARE\WOW6432NODE\WdsManPro, In Quarantäne, [cb74aa84cac1e1550a41f8d02dd71de3], 
PUP.Optional.DeskCut, HKU\S-1-5-21-3953631809-3381178436-2852706264-1001\SOFTWARE\MOZILLA\EXTENDS, In Quarantäne, [c778e04e4e3d280e375b028b2cd8a65a], 

Registrierungswerte: 4
PUP.Optional.DefaultSearchProtected, HKLM\SOFTWARE\WOW6432NODE\MOZILLA\FIREFOX\EXTENSIONS|defsearchp@gmail.com, C:\Users\Name\AppData\Roaming\Mozilla\Firefox\Profiles

\ym8247lo.default\extensions\defsearchp@gmail.com, In Quarantäne, [62dd1d11d3b859dd5f00b3dae81c9967]
PUP.Optional.DeskCut, HKLM\SOFTWARE\WOW6432NODE\MOZILLA\FIREFOX\EXTENSIONS|deskCutv2@gmail.com, C:\Users\Name\AppData\Roaming\Mozilla\Firefox\Profiles\ym8247lo.default

\extensions\deskCutv2@gmail.com, In Quarantäne, [a09fe44a058673c3d5beb1dc4abab24e]
PUP.Optional.ProtectWindowsManager, HKLM\SYSTEM\CURRENTCONTROLSET\SERVICES\WdsManPro|ImagePath, C:\ProgramData\UWdsManProU\WdsManPro.exe -service, In Quarantäne, 

[bc83a28c7b10cf67c8200a1d0af926da]
PUP.Optional.DeskCut, HKU\S-1-5-21-3953631809-3381178436-2852706264-1001\SOFTWARE\MOZILLA\EXTENDS|appid, deskCutv2@gmail.com, In Quarantäne, 

[c778e04e4e3d280e375b028b2cd8a65a]

Registrierungsdaten: 6
PUP.Optional.IStartSurf.ShrtCln, HKLM\SOFTWARE\CLIENTS\STARTMENUINTERNET\FIREFOX.EXE\SHELL\OPEN\COMMAND, "C:\Program Files (x86)\Mozilla Firefox\firefox.exe" 

hxxp://www.istartsurf.com/?type=sc&ts=1441903738&z=8357c1b9682946870bb75a1g4z7zcg0t4eccfw3t2m&from=cor&uid=CT250BX100SSD1_1527F009173F, Gut: (firefox.exe), Schlecht: ("C:

\Program Files (x86)\Mozilla Firefox\firefox.exe" hxxp://www.istartsurf.com/?

type=sc&ts=1441903738&z=8357c1b9682946870bb75a1g4z7zcg0t4eccfw3t2m&from=cor&uid=CT250BX100SSD1_1527F009173F),Ersetzt,[81bee6483e4d89ad49775d004abb6c94]
PUP.Optional.IStartSurf.ShrtCln, HKLM\SOFTWARE\CLIENTS\STARTMENUINTERNET\GOOGLE CHROME\SHELL\OPEN\COMMAND, "C:\Program Files (x86)\Google\Chrome\Application\chrome.exe" 

hxxp://www.istartsurf.com/?type=sc&ts=1441903738&z=8357c1b9682946870bb75a1g4z7zcg0t4eccfw3t2m&from=cor&uid=CT250BX100SSD1_1527F009173F, Gut: (Chrome.exe), Schlecht: ("C:

\Program Files (x86)\Google\Chrome\Application\chrome.exe" hxxp://www.istartsurf.com/?

type=sc&ts=1441903738&z=8357c1b9682946870bb75a1g4z7zcg0t4eccfw3t2m&from=cor&uid=CT250BX100SSD1_1527F009173F),Ersetzt,[221daf7f870484b2754ec29b64a14db3]
PUP.Optional.IStartSurf.ShrtCln, HKLM\SOFTWARE\CLIENTS\STARTMENUINTERNET\IEXPLORE.EXE\SHELL\OPEN\COMMAND, C:\Program Files\Internet Explorer\iexplore.exe 

hxxp://www.istartsurf.com/?type=sc&ts=1441903738&z=8357c1b9682946870bb75a1g4z7zcg0t4eccfw3t2m&from=cor&uid=CT250BX100SSD1_1527F009173F, Gut: (iexplore.exe), Schlecht: (C:

\Program Files\Internet Explorer\iexplore.exe hxxp://www.istartsurf.com/?

type=sc&ts=1441903738&z=8357c1b9682946870bb75a1g4z7zcg0t4eccfw3t2m&from=cor&uid=CT250BX100SSD1_1527F009173F),Ersetzt,[da658aa4305bae886160d18c8f76f808]
PUP.Optional.IStartSurf.ShrtCln, HKLM\SOFTWARE\WOW6432NODE\CLIENTS\STARTMENUINTERNET\FIREFOX.EXE\SHELL\OPEN\COMMAND, "C:\Program Files (x86)\Mozilla Firefox\firefox.exe" 

hxxp://www.istartsurf.com/?type=sc&ts=1441903738&z=8357c1b9682946870bb75a1g4z7zcg0t4eccfw3t2m&from=cor&uid=CT250BX100SSD1_1527F009173F, Gut: (firefox.exe), Schlecht: ("C:

\Program Files (x86)\Mozilla Firefox\firefox.exe" hxxp://www.istartsurf.com/?

type=sc&ts=1441903738&z=8357c1b9682946870bb75a1g4z7zcg0t4eccfw3t2m&from=cor&uid=CT250BX100SSD1_1527F009173F),Ersetzt,[db64111d008bdf5747794e0f4fb6c040]
PUP.Optional.IStartSurf.ShrtCln, HKLM\SOFTWARE\WOW6432NODE\CLIENTS\STARTMENUINTERNET\GOOGLE CHROME\SHELL\OPEN\COMMAND, "C:\Program Files (x86)\Google\Chrome\Application

\chrome.exe" hxxp://www.istartsurf.com/?type=sc&ts=1441903738&z=8357c1b9682946870bb75a1g4z7zcg0t4eccfw3t2m&from=cor&uid=CT250BX100SSD1_1527F009173F, Gut: (Chrome.exe), 

Schlecht: ("C:\Program Files (x86)\Google\Chrome\Application\chrome.exe" hxxp://www.istartsurf.com/?

type=sc&ts=1441903738&z=8357c1b9682946870bb75a1g4z7zcg0t4eccfw3t2m&from=cor&uid=CT250BX100SSD1_1527F009173F),Ersetzt,[47f82e00e4a70d294f74fc61cc3908f8]
PUP.Optional.IStartSurf.ShrtCln, HKLM\SOFTWARE\WOW6432NODE\CLIENTS\STARTMENUINTERNET\IEXPLORE.EXE\SHELL\OPEN\COMMAND, C:\Program Files\Internet Explorer\iexplore.exe 

hxxp://www.istartsurf.com/?type=sc&ts=1441903738&z=8357c1b9682946870bb75a1g4z7zcg0t4eccfw3t2m&from=cor&uid=CT250BX100SSD1_1527F009173F, Gut: (iexplore.exe), Schlecht: (C:

\Program Files\Internet Explorer\iexplore.exe hxxp://www.istartsurf.com/?

type=sc&ts=1441903738&z=8357c1b9682946870bb75a1g4z7zcg0t4eccfw3t2m&from=cor&uid=CT250BX100SSD1_1527F009173F),Ersetzt,[55eac767ff8cb4828f326af30500d729]

Ordner: 3
PUP.Optional.IStartSurf.ShrtCln, C:\Users\Name\AppData\Roaming\istartsurf, In Quarantäne, [d26d35f9bad1ad89a208906711f1da26], 
PUP.Optional.ProtectWindowsManager, C:\ProgramData\UWdsManProU, Löschen bei Neustart, [72cd002e57344fe761f42501af54a55b], 
PUP.Optional.ProtectWindowsManager, C:\ProgramData\UWdsManProU\update, In Quarantäne, [72cd002e57344fe761f42501af54a55b], 

Dateien: 9
PUP.Optional.WProtectManager, C:\ProgramData\UWdsManProU\WdsManPro.exe, Löschen bei Neustart, [3a05ec4234570432eaa9b6e87f8607f9], 
PUP.Optional.InstallCore, C:\Users\Name\AppData\Local\Temp\13086377305465416952.exe, In Quarantäne, [90afcb6346450135ac73ae15f50c07f9], 
PUP.Optional.WProtectManager, C:\Users\Name\AppData\Local\Temp\file-tmp18\tmp\wpm_v20.0.0.2301.exe, In Quarantäne, [54eb032bf299da5cb3e0ecb2986d37c9], 
PUP.Optional.OpenCandy, C:\Users\Name\AppData\Local\Temp\HYDF3DA.tmp.1441904456\HTA\install.1441904456.zip, In Quarantäne, [320d1c124942fe38ce46a7e77e87926e], 
PUP.Optional.OpenCandy, C:\Users\Name\AppData\Local\Temp\HYDF3DA.tmp.1441904456\HTA\3rdparty\OCSetupHlp.dll, In Quarantäne, [88b75bd3b7d42f0747cdafdfa65fad53], 
PUP.Optional.IStartSurf.ShrtCln, C:\Users\Name\AppData\Local\Temp\is1901864539\3C1C7366_stp\4723_cor_istartsurf.exe, In Quarantäne, [de61929cf29946f01e24782007fe35cb], 
PUP.Optional.IStartSurf.ShrtCln, C:\Users\Name\AppData\Local\Google\Chrome\User Data\Default\Local Storage\http_www.istartsurf.com_0.localstorage, In Quarantäne, 

[dd620f1fd0bb6bcb61eb630bb153a957], 
PUP.Optional.IStartSurf.ShrtCln, C:\Users\Name\AppData\Local\Google\Chrome\User Data\Default\Local Storage\http_www.istartsurf.com_0.localstorage-journal, In Quarantäne, 

[231c2b036a21af874efe91ddd62eaa56], 
PUP.Optional.ProtectWindowsManager, C:\ProgramData\UWdsManProU\updateconf, In Quarantäne, [72cd002e57344fe761f42501af54a55b], 

Physische Sektoren: 0
(keine bösartigen Elemente erkannt)


(end)

Daraufhin noch AdwCleaner:

Code:

ATTFilter

# AdwCleaner v5.007 - Bericht erstellt am 10/09/2015 um 19:17:22
# Aktualisiert am 08/09/2015 von Xplode
# Datenbank : 2015-09-08.2 [Server]
# Betriebssystem : Windows 10 Pro  (x64)
# Benutzername : Name - PC-NAME
# Gestartet von : C:\Users\Name\Downloads\AdwCleaner_5.007.exe
# Option : Suchlauf
# Unterstützung : hxxp://toolslib.net/forum

***** [ Dienste ] *****


***** [ Ordner ] *****


***** [ Dateien ] *****


***** [ Verknüpfungen ] *****


***** [ Geplante Tasks ] *****


***** [ Registrierungsdatenbank ] *****

Schlüssel Gefunden : HKCU\Software\PRODUCTSETUP
Schlüssel Gefunden : [x64] HKCU\Software\PRODUCTSETUP

***** [ Internetbrowser ] *****


########## EOF - C:\AdwCleaner\AdwCleaner[S1].txt - [697 Bytes] ##########

Und noch Junkware Removal Tool:

Code:

ATTFilter

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Junkware Removal Tool (JRT) by Malwarebytes
Version: 7.6.1 (09.08.2015:1)
OS: Windows 10 Pro x64
Ran by Name on 10.09.2015 at 19:19:38,89
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~




~~~ Services



~~~ Tasks



~~~ Registry Values



~~~ Registry Keys



~~~ Files

Successfully deleted: [File] C:\ProgramData\{262E20B8-6E20-4CEF-B1FD-D022AB1085F5}.dat



~~~ Folders



~~~ Chrome


[C:\Users\Name\Appdata\Local\Google\Chrome\User Data\Default\Preferences] - default search provider reset

[C:\Users\Name\Appdata\Local\Google\Chrome\User Data\Default\Preferences] - Extensions Deleted:

[C:\Users\Name\Appdata\Local\Google\Chrome\User Data\Default\Secure Preferences] - default search provider reset

[C:\Users\Name\Appdata\Local\Google\Chrome\User Data\Default\Secure Preferences] - Extensions Deleted:
[]





~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Scan was completed on 10.09.2015 at 19:21:21,19
End of JRT log
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

Damit kann ich aber leider nicht viel anfangen, was muss ich tun?

Adware/Malware nach Jdownloader Installation

Log-Analyse und Auswertung: Adware/Malware nach Jdownloader Installation

Adware/Malware nach Jdownloader Installation

Ähnliche Themen: Adware/Malware nach Jdownloader Installation