Win7 AV entfernen


Was ist Win7 AV?
Win7 AV ist eine weitere Rogue-Malware in Form einer gefälschten Scan-Software, die mittels eines sog. Trojaners in den PC eindringt und dem Benutzer weissmacht, den PC nach Malware abzusuchen. Diese Software (Win7 AV) ist ein Fake und selbst eine Schadsoftware und sollte nicht gekauft werden.

Da solche Software wie Win7 AV sich gegen jede Entfernung wehren wird und Win7 AV oftmals noch Rootkits mitinstalliert, sollte eine Neuinstallation des Systems in Erwägung gezogen werden.

Verbreitet wird Scareware wie Win7 AV nicht mehr ausschliesslich über 'dubiose Seiten' für Cracks, KeyGens und Warez, sondern auch seriöse Seiten werden zunehmend für die Verbreitung dieser mißbraucht (http://www.trojaner-board.de/90880-d...tallation.html).
Der wichtigste Schutz vor einer Infizierung ist ein aktuelles Windows (mit allen Updates) und aktuelle Drittanbietersoftware wie Java oder Adobe Flash!



Symptome von Win7 AV:

• ständige Fake Virenmeldungen von Win7 AV
• PC läuft seit Win7 AV langsamer als üblich

Fake-Meldungen von Win7 AV:

In Firefox:
Reported Attack Site!
This web site has been reported as an attack site and has been blocked based on your security preference.

In Chrome:
Warning: visit this site may harm your computer

In Internet Explorer:
This is a reported phishing website
Internet Explorer has determined that this is a report phishing website. Phishing websites impersonate other sites and attempt to trick you into revealing personal of financial information.

Dateien von Win7 AV:

%ProgramFiles%\Win7 AV\
%ProgramFiles%\Win7 AV\AxInterop.SHDocVw.dl
%ProgramFiles%\Win7 AV\base001.dat
%ProgramFiles%\Win7 AV\base002.dat
%ProgramFiles%\Win7 AV\base003.dat
%ProgramFiles%\Win7 AV\Interop.SHDocVw.dll
%ProgramFiles%\Win7 AV\sbhostcl.dll
%ProgramFiles%\Win7 AV\svhostesl.dll
%ProgramFiles%\Win7 AV\svhostqt.dll
%ProgramFiles%\Win7 AV\VmDetectLibrary.dll
%ProgramFiles%\Win7 AV\Win7 AV.exe
%ProgramFiles%\Win7 AV\Win7Browser.exe
%ProgramFiles%\Win7 AV\Win7Common.dll
%UserProfile%\Desktop\Win7 AV.lnk
C:\Windows\System32\windefWebModule.dll
C:\Windows\System32\windiskdefend.exe
C:\Windows\System32\windiskdefend.InstallState
         

Registry-Einträge von Win7 AV:

HKLM\SOFTWARE\Classes\CLSID\{C9C42510-9B41-42c1-9DCD-7282A2D07C61}
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\explorer\Browser Helper Objects\{C9C42510-9B41-42c1-9DCD-7282A2D07C61}
HKLM\SOFTWARE\Win7 AV
HKLM\SYSTEM\CurrentControlSet\Services\Eventlog\Application\windiskdefend
HKLM\SYSTEM\CurrentControlSet\Services\Eventlog\Application\Windows Disk Defender
HKLM\SYSTEM\CurrentControlSet\Services\windiskdefend
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\5.0\User Agent\Post Platform\w7avf
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Win7 AV
         

Win7 AV im HijackThis-Log:

O2 - BHO: Windows Defendor Web-module - {C9C42510-9B41-42c1-9DCD-7282A2D07C61} - C:\Windows\system32\windefWebModule.dll
O4 - HKLM\..\Run: [Win7 AV] C:\Program Files\Win7 AV\Win7 AV.exe
O23 - Service: Windows Disk Defender (windiskdefend) - Unknown owner - C:\Windows\System32\windiskdefend.exe
         

Win7 AV entfernen

• Tool: rkill.com Download Link (umbenannt: iExplore.exe) von Grinler herunterladen und mit doppelklick ausführen.
  
  Sollte rkill.com nicht starten, versuche es mit der umbenannten Version iExplore.exe
  
  
  
  
  
  Das Tool stoppt alle Prozesse von Win7 AV.
  
  Bei Bedarf mehrmals ausführen, bis alle ungewünschten Prozesse beendet wurden.

• Starte einen vollständigen Scan mit Malwarebytes Anti-Malware

Achtung: Diese Fake Software wird versuchen, den Einsatz von Malwarebytes zu verhindern. Benenne das Setup vor dem speichern in etwas anderes um (z.B. Herbert.exe).

Falls es vorher nicht funktioniert hat, sollte das Setup jetzt starten.

Wenn das Programm nach der Installation nicht starten sollte, dann benenne die "mbam.exe" in "herbert.exe" um und versuche es erneut.

Sollte MBAM trotzdem nicht starten: Malwarebytes Anti-Malware startet nicht

Win7 AV immer noch nicht entfernt?

OTH - OTHelper - Kill All Processes


Mit aktualisiertem (!!) Malwarebytes Anti-Malware nach Ausführen von OTH nochmal QUICKSCAN ausführen.

Bitte alle temporären Dateien löschen und Speicherplatz freigeben.

Weitergehende Prüfung

Das System könnte noch nicht vollständig sauber sein.

Daher unbedingt ein Thema erstellen: Für alle Hilfesuchenden! Was muss ich vor der Eröffnung eines Themas beachten?

Nicht vergessen mit FRST-Logfiles wie in der Anleitung beschrieben.

Wie man Hilfe bekommt steht auch hier.