Verdacht auf Schadsoftware - 2 mal Notebook zurückgesetzt nachdem es nicht startete
 

Ich setzte das Notebook zweimal zurück, das zweite Mal aus dem gleichen / selben Grund wie beim ersten Mal (der Rechner zeigte wohl als Grund des nicht startens: "autochk not existing, skipping AUTOCHECK" - https://www.trojaner-board.de/186882-autochk-exe-schadsoftware.html), momentan läuft der Rechner wieder.

Habe gestern mit Adwarecleaner von Malwarebytes einige ungewünschte Software entfernt.

Ausgangsgrund für diesen Thread aber: https://www.trojaner-board.de/186875-welche-programme-sollte-man-oft-laufen-lassen-um-jegliche-art-schadsoftware-erkennen.html#post1670187

:hallo:





Mein Name ist Matthias und ich werde dir bei der Bereinigung deines Computers helfen.



Um die Bereinigung möchlichst effektiv und schnell gestalten zu können, bitte ich um Beachtung der folgenden Hinweise:

1. Falls wir Hinweise auf illegal erworbene Software finden, werden wir den Support unterbrechen bis jegliche Art von illegaler Software vom Rechner entfernt wurde.
   
   
2. Lies dir meine Anleitungen immer sorgfältig durch, arbeite alle Schritte in der vorgegebenen Reihefolge nacheinander ab und poste immer alle Logdateien (auch wenn nichts gefunden wurde). Solltest du Probleme haben, stoppe mit deiner Bearbeitung und beschreibe mir dein Problem so gut es geht.
   
   
3. Solltest du mir nicht innerhalb von 3 Tagen antworten, gehe ich davon aus, dass du keine Hilfe mehr benötigst. Dann lösche ich dein Thema aus meinem Abo. Solltest du einmal länger abwesend sein, so gib mir bitte Bescheid!
   
   
4. Während der Bereinigung bitte nichts installieren oder deinstallieren, außer ich bitte dich darum!
   Außerdem bitte ich dich, nicht eigenmächtig irgendwelche Sicherheitsprogramme auszuführen und damit deinen Rechner zu überprüfen/bereinigen, da ich so leicht den Überblick verlieren kann.
   Außerdem hättest du dir das Eröffnen eines Themas in diesem Fall auch gleich sparen können, wenn du dann doch wieder alleine rumhantierst.
   
   
5. Bitte beachten: Download bei filepony.de: So ladet Ihr unsere Tools richtig!
   
   
6. Alle zu verwendenen Programme sind auf dem Desktop ( C:\users\dein Benutzername\Desktop\ ) abzuspeichern und von dort als Administrator zu starten!
   
   
7. Einige Programme, die wir hier verwenden, können unter Umständen von deinem Antiviren- oder Anti-Malwareprogramm fälschlicherweise als Bedrohung eingestuft werden. Die Sicherheitsprogramme können aufgrund eines bestimmten Programmverhaltens nicht zwischen "gut" oder "böse" unterscheiden und schlagen Alarm. Dabei handelt es sich um Fehlalarme, welche du getrost ignorieren kannst. Gegebenenfalls musst du deine Sicherheitssoftware vor der Ausführung eines Programms deaktivieren, damit unsere Bereinigungsvorgänge nicht beeinträchtigt werden.
   
   
8. Sollten die Logdateien einmal die zulässige Länge (~ 120.000 Zeichen) überschreiten, so teile die Logdateien auf mehrere Posts auf.
   Zur Not kannst du die Logdateien dann auch zippen (in ein .zip Archiv packen) und als Anhang hochladen.
   
   
9. Bitte arbeite so lange mit mir zusammen, bis ich dir sage, dass wir fertig sind und dein Rechner "sauber" ist. Das vorzeitige Verschwinden von Symptomen heißt nicht automatisch, dass dein Rechner bereits vollständig sauber ist.
   
   
10. In der Regel antworte ich dir innerhalb von 24 Stunden, oft sogar wesentlich schneller.
    Jedoch habe auch ich einen normalen Beruf und Familie. Ich bin daher nicht jeden Tag stundenlag hier im Forum unterwegs. Es kann unter Umständen bis zu 2 Tage dauern, bis du eine Antwort von mir erhältst. Sollte diese Zeit überschritten sein, so kannst du mir gerne eine PM als Erinnerung schicken.

Bitte arbeite alle Schritte in der vorgegebenen Reihefolge nacheinander ab und poste alle Logdateien in CODE-Tags:

Danke für deine Mitarbeit!







Post mir doch bitte die Logdatei von AdwCleaner mit den Funden. :)

Hallo Matthias,

herzlichen Dank, freut mich!

Glaube, ich verschob AdwCleaner.exe in einen anderen Ordner, es werden keine Protokolle angezeigt:
https://i.imgur.com/M6zmpzv.png
Aber falls sie als Datei gespeichert würden, müßte ich sie ja noch finden, wie könnten die denn heißen?

Hier sicherheitshalber das Protokoll von Malwarebytes:

Habe sie wohl gefunden, 2 Stück:

Als der Computer nicht mehr startete, war übrigens der erste Start nach einem Win-Update letzte Woche, nachdem er zum Installieren heruntergefahren wurde, vielleicht nur ein ungünstiges Zusammentreffen.

Servus,



welche Probleme gibt es denn aktuell noch mit dem PC?








Schritt 1

• Kopiere den Inhalt der folgenden Code-Box:
  
  Code:

  ---

  Start::
CloseProcesses:
Startup: C:\Users\Acer\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\AutorunsDisabled [2017-09-21] ()
GroupPolicy: Beschränkung <==== ACHTUNG
Unlock: C:\WINDOWS\SYSTEM32\DRIVERS\ETC\HOSTS
C:\WINDOWS\SYSTEM32\DRIVERS\ETC\HOSTS
Hosts:
RemoveProxy:
CMD: ipconfig /flushdns
CMD: netsh winsock reset
EmptyTemp:
End::

  ---

• Starte nun FRST und klicke den Entfernen Button.
• Das Tool führt die gewünschten Schritte aus und erstellt eine fixlog.txt im selben Verzeichnis, in dem sich die FRST/FRST64.exe befindet.
• Gegebenenfalls muss dein Rechner dafür neu gestartet werden.
• Poste mir den Inhalt der fixlog.txt mit deiner nächsten Antwort.

Schritt 2
Lade dir die passende Version von SystemLook vom folgenden Spiegel herunter und speichere das Tool auf dem Desktop:
SystemLook (32 bit) | SystemLook (64 bit)

• Doppelklicke auf die SystemLook.exe, um das Tool zu starten.
• Kopiere den Inhalt der folgenden Codebox in das Textfeld des Tools:
  
  
  

  Code:

  ---

  :filefind
*Amazon1Button*
*Amazon 1Button*
*BOOKING.COM*
*Host App Service*
*HostAppService*
*App Explorer*
*AppExplorer*
autochk.exe

:folderfind
*Amazon1Button*
*Amazon 1Button*
*BOOKING.COM*
*Host App Service*
*HostAppService*
*App Explorer*
*AppExplorer*

:regfind
Amazon1Button
Amazon 1Button
BOOKING.COM
Host App Service
HostAppService
App Explorer
AppExplorer

  ---

• Klicke nun auf den Button Look, um den Scan zu starten.
• Der Suchlauf kann einige Zeit dauern.
• Wenn der Suchlauf beendet ist, wird sich dein Editor mit den Ergebnissen öffnen, poste diese in deinen Thread.
• Die Ergebnisse werden auch auf dem Desktop als SystemLook.txt gespeichert.

Schritt 3

• Starte die FRST.exe erneut. Vergewissere dich, dass vor Addition.txt ein Haken gesetzt ist und drücke auf Untersuchen.
• FRST erstellt wieder zwei Logdateien (FRST.txt und Addition.txt).
• Poste mir beide Logdateien mit deiner nächsten Antwort.

Bitte poste mit deiner nächsten Antwort

• die Logdatei des FRST-Fix,
• die Logdatei von SystemLook,
• die beiden neuen Logdateien von FRST (FRST.txt und Addition.txt).

Servus!

Im Moment kann ich keine entdecken, das Notebook scheint zu laufen, wie zuvor. Diese autochk-Dateien sind noch da. Das Notebook kommt üblicherweise in den Ruhezustand, von dem aus es bislang keine Startprobleme gab, die gab es nur nach dem Herunterfahren. Momentan habe ich nur Bedenken Updates von Win zu installieren und überhaupt 'runterzufahren das Notebook.

Verzeihung, bin mir nicht sicher, ich nehme an den kopierten Text in das Feld "Suche" von FRST einfügen, oder? Oder ohne den Code "Entfernen" drücken?

https://i.imgur.com/kYJ9kIf.png

Servus,



du musst nur die Code-Box kopieren, FRST starten und direkt auf den Button "Entfernen" klicken (Von "einfügen" habe ich nichts geschrieben... ;) ) .

FRST holt sich den Fix aus dem Cache (Zwischenablage).

Servus!

Genau, deswegen meine Frage. Mache ich sofort.

Vielen Dank!

Puh, alle Programme wurden ohne Warnung geschlossen als ich auf "Entfernen" klickte, war das so richtig?

Übrigens startete das Notebook früher recht schenll, jetzt dauert es sehr lange. Auch wird offenbar nach jedem Neustart das UAC auf die Voreinstellungen zurückgesetzt.

Und offenbar jedes Mal nach einen Neustart kommen auch erneut die gleichen Abfragen, angekreuzt "Öffentliche Netzwerke...". Ist das normal:
https://i.imgur.com/1iZlU2Q.png

Servus,



Ja



Das liegt am Löschen der temporären Dateien und sollte sich bald wieder bessern.


Das sollte eigentlich nicht jedes Mal neu kommen, wenn du das einmal zugelassen hast.





wir entfernen noch ein bisschen was und kontrollieren nochmal alles.



Hinweis: Der Suchlauf mit ESET kann länger dauern.





Schritt 1

• Kopiere den Inhalt der folgenden Code-Box:
  
  Code:

  ---

  Start::
C:\OEM\Preload\Command\AlaunchX\BackupLinks\Booking.com.lnk
C:\Users\Acer\Favorites\Booking.com.url
C:\Users\Default\Favorites\Booking.com.url
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\App Explorer.lnk
C:\Users\Acer\Desktop\App Explorer*.lnk
SearchScopes: HKU\S-1-5-21-2633882361-2691834456-3919945701-1001 -> {4D47EB80-5AEB-4282-8128-D87EEE1DD9B0} URL =
DeleteKey: HKEY_CURRENT_USER\Software\AppDataLow\Software\Amazon\Amazon1ButtonApp
DeleteKey: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\AppID\Amazon1ButtonRuntime.dll
DeleteKey: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\AppID\{87BDDAA1-CB99-4B47-89F6-7651D7731BC6}
DeleteKey: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\AppID\{D2E5FFD9-E488-4844-8C6D-051AA67C99F2}
DeleteKey: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Installer\Products\F5415905096AA504A9FB967C7A138943
DeleteKey: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\AppID\Amazon1ButtonRuntime.dll
DeleteKey: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\AppID\{87BDDAA1-CB99-4B47-89F6-7651D7731BC6}
DeleteKey: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\AppID\{D2E5FFD9-E488-4844-8C6D-051AA67C99F2}
DeleteKey: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Products\F5415905096AA504A9FB967C7A138943
DeleteKey: HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\AppDataLow\Software\Amazon\Amazon1ButtonApp
DeleteKey: HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Uninstall\{5095145F-A690-405A-9ABF-69C7A7319834}
DeleteKey: HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Classes\AppID\Amazon1ButtonRuntime.dll
Reboot:
End::

  ---

• Starte nun FRST und klicke den Entfernen Button.
• Das Tool führt die gewünschten Schritte aus und erstellt eine fixlog.txt im selben Verzeichnis, in dem sich die FRST/FRST64.exe befindet.
• Gegebenenfalls muss dein Rechner dafür neu gestartet werden.
• Poste mir den Inhalt der fixlog.txt mit deiner nächsten Antwort.

Schritt 2
Downloade dir die passende Version von HitmanPro auf deinen Desktop: HitmanPro - 32 Bit | HitmanPro - 64 Bit.

• Starte die HitmanPro.exe
• Klicke auf
  
• Entferne den Haken bei
  
• Klicke auf
  und
• Akzeptiere die Lizenzbedingungen und klicke auf
• Klicke auf
  
  und auf
• Wenn der Scan beendet wurde, nichts löschen lassen etc. sondern wähle unten links auf der Button-Leiste
  und speichere die Logdatei auf Deinem Desktop.
• Schließe HitmanPro und poste mir das Log.

 

Schritt 3
Downloade Dir bitte ESET Online Scanner (Bebilderte Anleitung)

• Starte die Installationsdatei.
• Akzeptiere die Nutzungsbedingungen.
• Wähle Erkennung evtl. unerwünschter Anwendungen aktivieren aus und klicke auf Scannen.
• Zuerst werden die notwendigen Signaturen heruntergeladen, anschließend startet ESET automatisch den Suchlauf.
• Am Ende des Suchlaufs werden gegebenenfalls die gefundenen Elemente aufgelistet.
• Wähle In Textdatei speichern... aus und speichere die Datei als eset.txt auf deinem Desktop ab.
• Füge den Inhalt der eset.txt mit deiner nächsten Antwort hinzu.
• Sollte ESET nichts finden, so kann auch keine Logdatei erstellt werden. Teile uns das dann unbedingt mit.
• Schließe den ESET Online Scanner rechts oben [ X ] und klicke anschließend auf Schließen.

Schritt 4

• Starte die FRST.exe erneut. Vergewissere dich, dass vor Addition.txt ein Haken gesetzt ist und drücke auf Untersuchen.
• FRST erstellt wieder zwei Logdateien (FRST.txt und Addition.txt).
• Poste mir beide Logdateien mit deiner nächsten Antwort.

http://www.trojaner-board.de/extra/lesestoff.pngGibt es jetzt noch Probleme mit dem PC oder mit deinen Internet Browsern? Wenn ja, welche?







Bitte poste mit deiner nächsten Antwort

• die Logdatei des FRST-Fix,
• die Logdatei von HitmanPro,
• die Logdatei von ESET,
• die beiden neuen Logdateien von FRST,
• die Beantwortung der gestellten Fragen.

Servus Matthias!

Das Scannen, fast 5 Stunden bis jetzt, wird wohl noch einige Zeit dauern, glaube, gerade wurde die angeschlossene externe 5TB zu scannen begonnen. Hier schon mal der erste Teil abgearbeitet.

Ja, an so etwas hatte ich auch gedacht, aber es dauerte lange während das Logo von Acer noch gezeigt wurde (Verzeihung, vergaß ich, zu erwähnen), da war doch bestimmt noch kein Löschen (möglich, oder doch?), dann, nach dem Logo, erschien (seit dem ich Macrium Reflect benutze, das offenbar einen Startbildschirm erstellte) erst der Startbildschirm, ab da ging das Starten normal schnell, würde ich sagen. Die Male vorher startete er auch schon so langsam.

Woher kommen eigentlich all diese Einträge in der Registry?

War da eigentlich - von diesen PUP, diesen wohl nur als unerwünscht, aber wohl nicht als richtig schädlich ansehbaren kleinen Programmen, etwa auch Cookies (zum Beispiel Amazon) abgesehen - auch richtig unschöne Schadsoftware, die die Probleme verursachte oder kann es auch nach wie vor noch an besagtem Win-Update gelegen haben oder an technischen Problemen, vielleicht einer defekte SSD, oder woanders dran?

Hier der letzte Teil:

Eset:

Nein, keine für mich erkennbaren Probleme / für mich eindeutig auf Schadsoftware zurückführbare Verhalten.

Auffälliges, unüblichese Verhalten vielleicht: dieser Ordner - C:\Windows.old 2 - 2. Zurücksetzen - löschen, erledigt - läßt sich nach wie vor nicht löschen.

Ich hatte ja auch vorher keine (außerhalb der vermuteten "Normalität" liegende) Probleme erkannt (außer, daß der Rechner zwei Male nicht mehr startete, als Ursache dafür zeigte Win wohl das Fehlen dieser autoshk-Dateien an).

Servus,



"echte" Malware habe ich nicht entdeckt. Ich vermute daher eher ein Windows internes Problem oder eine Hardwareproblem. Genauer sagen kann ich das aber leider nicht.



Lass mal FRST bitte so laufen und poste mir die Logdatei...

• Kopiere den Inhalt der folgenden Code-Box:
  
  Code:

  ---

  Start::
CMD: dir "C:\"
End::

  ---

• Starte nun FRST und klicke den Entfernen Button.
• Das Tool führt die gewünschten Schritte aus und erstellt eine fixlog.txt im selben Verzeichnis, in dem sich die FRST/FRST64.exe befindet.
• Gegebenenfalls muss dein Rechner dafür neu gestartet werden.
• Poste mir den Inhalt der fixlog.txt mit deiner nächsten Antwort.

Servus!