|
Unerwünschte Software nach Programmdownload zb. User.js und DeltaTB.exe Hallo, beim Herunterladen des Programms mergemp3 von www.mergemp3.com/de habe ich unerwünschte Software eingefangen. Symptome: Jede Menge Popup-Fenster im Internet Explorer und zwei gleichzeitig installierte Programme in der Systemsteuerung: Lyrics_Pal und „Bundled Software Uninstaller“. Lyrics_Pal habe ich deinstalliert, das andere Programm ließ sich nicht deinstallieren (Win7 bot nur an, den Eintrag zu entfernen, das habe ich zunächst nicht getan). Auch die Deinstallation des ursprünglich erwünschten mergemp3 änderte daran nichts. Malwarebytes fand 3 Dateien und löschte sie und brachte sie in Quarantäne. Danach war der Malwarebytes Scan ok und auch Avira fand nichts. Ich fand aber noch einige verdächtige Dateien, die zur Zeit der Installation enstanden waren, in den Verzeichnissen …..AppData/roaming/…. und ….AppData/local/temp, darunter User.js bei Firefox und DeltaTB.exe, die mir verdächtig vorkommen. Von diesen Programmen habe ich einen Ashampoo Screenshot, weiß aber nicht, wie ich den ins Forum stellen sollte. ????? Darf ich das als Anhang anfügen? Irgendwie hatte ich Schwierigkeiten damit. Die Defogger, FRST64 und Gmer-Logs habe ich erstellt und füge sie zusammen mit den Malwarebytes und Avira-Logs an. Nach der Ausführung von Gmer hatte ich Probleme, Avira neu zu aktivieren. Beim Versuch, den Benutzer zu wechseln hängte sich der Rechner dann so auf, dass der Bildschirm kein Signal mehr bekam. Nach Neustart sieht es aber erstmal wieder ok aus. Für mich wäre grundsätzlich auch möglich, den Rechner auf den Zeitpunkt vor der Installation zurückzusetzen, aber vielleicht zeigen die Protokolle ja auch etwas über eine frühere Installation. Hier also die Protokolle: Malwarebytes, Avira, Defogger, FRST64 + Addition, Gmer: -------------------------------------------------------------------------------------------------------------- Malwarebytes: Code: Malwarebytes Anti-Malware 1.75.0.1300Code: Code: defogger_disable by jpshortstuff (23.02.10.1)FRST Logfile: Code: Scan result of Farbar Recovery Scan Tool (FRST.txt) (x64) Version: 13-08-2013-----------------------------------------------------------------------------------------------------------------FRST64 Addition.txt Code: Additional scan result of Farbar Recovery Scan Tool (x64) Version: 13-08-2013[CODE] GMER Logfile: Code: GMER 2.1.19163 - hxxp://www.gmer.netVielen Dank im Voraus für die Hilfe ju52.ma |
hi, Combofix sollte ausschließlich ausgeführt werden, wenn dies von einem Teammitglied angewiesen wurde!Downloade dir bitte Combofix vom folgenden Downloadspiegel Link 1 WICHTIG - Speichere Combofix auf deinem Desktop
Wenn Combofix fertig ist, wird es eine Logfile erstellen. Bitte poste die C:\Combofix.txt in deiner nächsten Antwort. Hinweis: Solltest du nach dem Neustart folgende Fehlermeldung erhalten Zitat:
|
Frage: Diese Fehlermeldung, die Du erwähnst, nach welchem Neustart sollte die denn auftauche? Der Vorgang, so wie du ihn beschreibst, erfordert doch eigentlich gar keinen Neustart, oder? Also: Könnte es wegen Combofix beim nächsten Start zu dieser Fehlermeldung kommen, oder wie ist das gemeint? Und sollte ich den Rechner nicht vom Netz trennen, bevor ich Avira ausschalte? |
Wenn kommt diese Meldung direkt nach Combofix, wenn du zb den Browser öffnen willst, dann enfach einmal neustarten :) |
Hallo Schrauber, hier die combofix.txt: Code: Combofix Logfile: |
Downloade Dir bitte  Malwarebytes Anti-Malware
Downloade Dir bitte  AdwCleaner auf deinen Desktop.
Beende bitte Deine Schutzsoftware um eventuelle Konflikte zu vermeiden.
und ein frisches FRST log bitte. |
Hallo Schrauber, wenn ich das richtig verstehe, sind das 3 Programme, die auf Infektionen prüfen und sie beseitigen können. Ich bin mir aber unsicher, während welcher Phase denn nun Avira abgeschaltet sein sollte, und ob ich den Rechner dann nicht auch vom Netz getrennt haben sollte. Kannst Du mir dazu noch was schreiben? Ich habe nun den Schritt mit malwarebytes gemacht (s.u.) und mit adwcleaner angefangen, breche aber jetzt ab, da ich morgen früh raus muss und bis übermorgen Vormittag nicht am Rechner sein kann. Es wäre aber schön, wenn Du mir bis dahin meine Fragen beantworten könntest, dann mache ich weiter mit adwcleaner und den folgenden Schritten. Ich war mir nicht sicher, ob Quickscan oder ausführlichen, deine Anweisung scheint an der Stelle irgendwie lückenhaft zu sein, ich habe also zur Sicherheit einen ausführlichen gemacht. Malwarebytes hat nichts gefunden (das war ja schon nach meiner anfänglichen Bereinigung, bevor ich mich ans Forum wandte, so gewesen). Also habe ich auch nichts entfernen können. Hier das Protokoll: Code: Malwarebytes Anti-Malware 1.75.0.1300Ich fand dieses Protokoll zusätzlich zu dem von dem Suchlauf, aber mit dem, was da gelöscht worden sein soll, kann ich nun gar nichts anfangen: AdwCleaner Logfile: Code: # AdwCleaner v2.306 - Datei am 15/08/2013 um 00:05:45 erstelltCode: # AdwCleaner v2.306 - Datei am 15/08/2013 um 00:06:23 erstelltSo wie ich das sehe, geht es auch um die ASK-Sachen, die mit der Free-Version von Avira gekoppelt sind. Bisher habe ich damit gelebt, es hat mich nicht weiter gestört, und ich möchte ungern daran was ändern… Erstmal danke, ich mache dann am 16. erst weiter… Gruß, ju52.ma |
Avira während jedem Scan komplett abschalten. AdwCleaner bitte löschen lassen.  Lesestoff:Warum wir Avira nicht mehr empfehlen Avira liefert seit einiger Zeit mit der Standardinstallation die Ask Toolbar mit aus. Diese Toolbar ist Voraussetzung dafür, dass der Webguard zuverlässig funktioniert. Die Ask Toolbar ist dafür bekannt, dass sie das Surfverhalten des Benutzers ausspioniert, um damit in letzter Konsequenz Geld zu verdienen. Daher wird von uns auf diesem Board als "schädlich" eingestuft. Mehr Informationen. Eine Sicherheitsfirma, die dem Benutzer praktisch ungefragt schädliche Software "unterjubelt", scheidet für uns daher aus. Wir empfehlen daher allen Nutzern von Avira aufgrund dieser Geschäftspraktik, der teilweise äußerst schlechten Erkennungsrate und der überaus nervtötenden Werbung Avira zu deinstallieren und auf ein alternatives Produkt auszuweichen. Solltest du dich zu einem Wechsel entscheiden, empfehlen wir dir nach der Deinstallation mit dem Avira-Cleaner alle Reste zu entfernen. Dann den Rest der obigen Anleitung :) |
Hallo Schrauber, ich sitze jetzt an einem anderen Rechner und kann also nichts ausprobieren oder ausführen, ich habe aber vor der weiteren Entseuchung doch noch eine Verständnisfrage: Ich kann Eurer Einschätzung der AVIRA-Praktik zwar folgen, habe aber zur Zeit echt keine Luft, mich mit Neuinstallation anderer Virensoftware (ich müsste hier in der Familie dann gleich drei Rechner anpacken) zu beschäftigen. Also möchte ich Avira vorerst behalten. Ist es dann richtig, dass ich mit dieser Vorgabe von Code: ***** [Dateien / Ordner] *****von Code: ***** [Registrierungsdatenbank] *****und zusätzlich die beiden hier erwähnten Profiles bei Firefox entfernen lasse: Code: ***** [Internet Browser] *****Ist das ok so???? Danke, ju52.ma |
Jup. Aber ne Neuinstallation des AV dauert 10 minuten. |
Hallo Schrauber, ich habe nun nach deiner Anweisung weiter gemacht. Ich habe die Schritte wegen des Abschaltens des Virenscanners durchgeführt, ohne dass eine Internetverbindung bestand, ich hoffe, das war ok so. Der Aufruf von adwcleaner zum Löschen hat nun doch auch ASK gelöscht, ich hatte gedacht, der fragt einen nach den einzelnen Schritten. Nun gut, der Browserschutz von Avira ist nun weg und Avira muss neuinstalliert werden. Ist auch nicht so schlimm, ich meinte mit meinem Kommentar auch eher, dass ich nicht gerne ein ganz anderes Tool installieren möchte. Da es mich wunderte, dass die letzte Datei beim ersten Durchlauf nicht gelöscht worden war, habe ich einen zweiten Lauf durchgeführt. Erstaunlicherweise wurde da ein ASK-Ordner gelöscht, der eigentlich beim ersten Lauf bereits gelöscht worden sein sollte. Zur Zeit habe ich diesen Ordner noch nicht wieder auf dem System, ich werde das mal beobachten, solange ich AVIRA noch nicht neu installiert habe. Hier der erste Durchlauf: AdwCleaner Logfile: Code: # AdwCleaner v2.306 - Datei am 17/08/2013 um 12:34:57 erstelltUnd dann der zweite: AdwCleaner Logfile: Code: # AdwCleaner v2.306 - Datei am 17/08/2013 um 12:43:46 erstelltDas dann folgende JRT-Scan hat nur ca. 17 Sekunden gedauert? Ist das ok, oder ist das, weil keine Internetverbindung bestand? Hier ist das Protokoll (Ich habe es nach dem unten folgenden FRST-Lauf noch mal wiederholen müssen, da das Protokoll entgegen der Ankündigung nicht auf dem Desktop gespeichert war, bzw. ich das wohl hätte manuell machen müssen?. Das erste Protokoll sah aber genauso aus, halt nur andere Uhrzeit): Code: Junkware Removal Tool (JRT) by ThisisuFRST Logfile: FRST Logfile: Code: Scan result of Farbar Recovery Scan Tool (FRST.txt) (x64) Version: 13-08-2013--- --- --- So, das ist der Stand der Dinge. Ju52.ma |
Unsere Tools brauchen immer Inetverbindung. Abgeschaltetes AV ist kein problem wenn Du währendessen nicht rum surfst. Ich versteh nit warum Du immer noch an Avira fest hälst. Dass die mit Adware-Leuten zusamen arbeiten ist bei dir angekommen? Abgesehen von der grandios schlechten Erkennung. ESET Online Scanner
Downloade Dir bitte  SecurityCheck und:
und ein frisches FRST log bitte. Noch Probleme? :) |
Hallo, Ich habe den JRT nun mit Internetverbindung nochmal laufen lassen, aber das Ergebnis sah genauso aus wie das vorige, und es hat auch nur wenige Sekunden gedauert. Dann den Scan von eset: Code: ESETSmartInstaller@High as downloader log:Als nächstes das Protokoll von SecurityCheck: Code: Results of screen317's Security Check version 0.99.72 Dann das FRST64-Protokoll: Obwohl ich mir das neu downloade behauptet der aber hinterher immer noch, es wäre nicht aktuell. Mache ich was falsch? Im Protokoll ist doch das genannt, was ich zuletzt runtergeladen habe… FRST Logfile: FRST Logfile: Code: Scan result of Farbar Recovery Scan Tool (FRST.txt) (x64) Version: 19-08-2013--- --- --- [/CODE] An Fragen bleiben mir: Was hätte denn JRT machen sollen, bzw. wieso war das immer so schnell fertig? Muss ich auf die Defrag-Sache von Security-Check reagieren? Hast Du eine Erklärung für das Versionsgemecker von FRST64? Was muss außer eset noch entfernt werden und wie? Und um die Frage nach Avira zu beantworten: Du als Technik-Fachmann wirst es wahrscheinlich nicht nachvollziehen können, aber für mich ist es echt ein Vorgang, für den ich Zeit und Nerven brauche, um das auf den 3 Rechnern in meiner Familie zu ändern und mich wieder in andere Optik, Abläufe, Begriffe usw. in Sachen Virenschutz einzudenken. Erstmal Danke, ich höre dann von Dir wie’s aussieht, nicht wahr? Ju52ma |
JRT entfernt Adware-REste, wenn keine da sind isses schneller fertig :) ESET kannste deinstallieren, wenn Du mal richtig Luft hast auch defragmentieren, aber das dauert. Fertig :) Die Reihenfolge ist hier entscheidend.
Hier noch ein paar Tipps zur Absicherung deines Systems. Ich kann garnicht zu oft erwähnen, wie wichtig es ist, dass dein System Up to Date ist.
Anti- Viren Software
Zusätzlicher Schutz
Sicheres Browsen
Alternative Browser Andere Browser tendieren zu etwas mehr Sicherheit als der IE, da diese keine Active X Elemente verwenden. Diese können von Spyware zur Infektion deines Systems missbraucht werden.
Performance Bereinige regelmäßig deine Temp Files. Ich empfehle hierzu TFC Halte dich fern von jedlichen Registry Cleanern. Diese Schaden deinem System mehr als sie helfen. Hier ein paar ( englishe ) Links Miekemoes Blogspot ( MVP ) Bill Castner ( MVP ) Don'ts
Hinweis: Bitte gib mir eine kurze Rückmeldung wenn alles erledigt ist und keine Fragen mehr vorhanden sind, so das ich diesen Thread aus meinen Abos löschen kann. |
Hallo Schrauber, erstmal danke ich Dir ganz herzlich für Deine Hilfe, bitte Dich aber, den Thread offenzulassen, da ich Deine Entsorgungsanweisungen noch nicht durchführen konnte. Auch Danke für die vielen Hinweise für ein besser gesichertes System, die ich befolgen werde, sobald ich wieder kann, denn: Es haben sich leider für mich auf diesem Rechner gestern abend zwei weitere Probleme ergeben, so dass ich gestern nacht erstmal froh war, den Rechner überhaupt wieder starten zu können. Diese Probleme haben wahrscheinlich andere Ursachen, vielleicht kannst Du mir dafür ein ebenso effektives Forum wie das Eure empfehlen? Der Hinweis, dass die Festplatte defragmentiert wäre, hatte mich sehr gewundert, denn ich hatte vor nicht allzu langer Zeit die Userdaten von diesem PC gelöscht und danach die Festplatte aufräumen lassen, was wirklich relativ lange gedauert hatte. Danach ist der Rechner so gut wie jetzt benutzt worden (eigentlich wollte ich ihn jetzt als „Hauptrechner“ in Betrieb nehmen, nachdem er bisher eher nur als Datensicherung meiner Laptopdaten und Zweitgerät fürs Surfen fungiert hatte, nun aber habe ich für die Datensicherung eine externe Platte). Wegen dieser Irritation schaute ich ins Ereignislog und fand: Code: Der Treiber hat einen Controllerfehler auf \Device\Harddisk4\DR4 gefunden.Schlimmer aber, ich fand: Code: Die Dateisystemstruktur auf dem Datenträger ist beschädigt und unbrauchbar. Führen Sie auf dem Volume "Boot" den Befehl "chkdsk" aus.Code: Daher wollte ich erstmal einen Plattencheck machen, und mir vor dem chkdsk (von dem ich auch keine Ahnung habe) erstmal die Prüfutility des Herstellers Seagate laden und ausführen, und wollte mich heute morgen darum kümmern. Aber vorher kam’s dann gestern Nachtnoch ganz dicke: Ich hatte während der Entseuchung den monatlichen Windows-Update nicht durchführen lassen und wollte dies nun „noch eben“ nachholen. Nun, der Rechner hängte sich beim Neustart „Konfiguration wird vorbereitet“ komplett auf. Irgendwie habe ich durch Booten im abgesicherten Modus etc. Windows dazu bewegen können, etwas rückgängig zu machen und konnte 2 Std. nach Mitternacht endlich wieder in den Rechner rein, hatte 2 oder 3 durchgeführte Updates und 8 fehlgeschlagene. Ausserdem stehen wohl noch 9 weitere bereit. Ich habe dann erstmal das von Windows empfohlene FixIt ausgeführt, habe aber wenig Hoffnung, dass das Problem damit beseitigt ist und erstmal die Finger davongelassen. Nun will ich erstmal das Seagate-Tool prüfen lassen und wäre froh, wenn Du mir vielleicht ein paar Tips fürs weitere Vorgehen oder eine Empfehlung für ein gutes Hilfe-Forum geben könntest. Und: Thread bitte offenlassen, bis mir die Entsorgung der Virus-Tools sauber gelungen ist. Danke, ju52.ma, schwer gebeutelt. Nachtrag: Und seit dem 19.8. habe ich auch noch diesen Fehler immer wieder: Code: {Registrierungsstruktur wiederhergestellt} Registrierungsstruktur (Datei): "\??\Volume{81cb5746-61fe-11e1-a5da-806e6f6e6963}\System Volume Information\SPP\SppCbsHiveStore\{cd42efe1-f6f1-427c-b004-033192c625a4}{E36D3A28-056E-4835-AD9F-345E92B0399A}" war beschädigt und wurde wiederhergestellt. Möglicherweise sind Daten verloren gegangen. |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 10:50 Uhr. |
Copyright ©2000-2025, Trojaner-Board
