Win10: Email-Konto Fremdzugriff & Slimware Driverupdate
 

Hallo,

ich habe hier den Laptop einer Bekannten vorliegen. Sie hat auffällige Emails (mehrere Autentifizierungs-Aufforderungen) von eBay bekommen und daraufhin eBay telefonisch kontaktiert. Da stellte sich heraus, dass ein Gebot von ihrem Konto abgegeben wurde, welches sie selbst nicht getätigt hat. Die eBay-Kontaktperson hat dann angeblich herausgefunden, dass der Übeltäter sich über ihren Email-Account Zugang verschafft hat. Ihr eBay-Konto hat sie nun erstmal bis auf Weiteres sperren lassen.

Ich kann das leider nicht ganz nachvollziehen, denn im Email-Postfach sind keine entsprechenden Emails auffindbar (zwecks Passwort Anforderungen o.ä.), auch sind keine Weiterleitungen oder Filter aktiv.

Es sind aber sonst wohl keine weiteren Schäden entstanden. Wir haben nun die Passwörter aller wichtigen Webseiten geändert. Das Unheil wird wohl online erfolgt sein, aber um auf Nummer sicher zu gehen, würden wir gerne ihren Laptop nun gründlich durchscannen. Außerdem hat sie wohl mal unwissentlich das Programm "Slimware Driverupdate" installiert, welches seither regelmäßig aufplopt (was aber mit der ganzen Hackergeschichte nichts zu tun haben sollte) - das sieht man in den folgenden Logs auch schon, und sollte mit weg. Haben dies erstmal manuell gelöscht und dann folgende Logs erstellt:

Malwarebytes:
FRST:
und Addition.txt im nächsten Post...

Addition:

:hallo:



Mein Name ist Matthias und ich werde dir bei der Analyse und der eventuell notwendigen Bereinigung deines Computers helfen.


Bitte vergewissere dich zuerst, dass du die folgenden Regeln und Hinweise für eine Analyse inklusive Bereinigung gelesen und verstanden hast:
Für alle Hilfesuchenden! Was muss ich vor der Eröffnung eines Themas beachten?









Schritt 1
Downloade Dir bitte AdwCleaner auf deinen Desktop (Bebilderte Anleitung).

• Schließe alle offenen Programme und Browser.
• Starte die adwcleaner.exe mit einem Doppelklick.
• Stimme den Nutzungsbedingungen zu.
• Klicke auf Einstellungen, scrolle nach unten und vergewissere dich, dass die folgenden Punkte ausgewählt sind:
  • Firewall wiederherstellen
  • Tracing Schlüssel löschen
  • Prefetch-Dateien löschen
  • Proxy wiederherstellen
  • IE-Policies wiederherstellen
  • Chrome-Policies wiederherstellen
  • Winsock wiederherstellen
• Klicke nun auf Dashboard, dann auf Jetzt scannen und warte bis der Suchlauf abgeschlossen ist.
• Klicke nun auf Bereinigen & Reparieren und bestätige mit Bereinigen & Neu Starten.
  
• WICHTIG:
  Sollte AdwCleaner nichts finden, klicke auf Grundlegende Reparatur ausführen und anschließend auf Bereinigen & Neu Starten.
• Nach dem Neustart öffnet sich AdwCleaner automatisch. Klicke auf Log-Datei ansehen.
• Poste mir deren Inhalt der Log-Datei mit deiner nächsten Antwort.
• Die Logdatei findest du auch unter C:\AdwCleaner\Logs\AdwCleaner[Cxx].txt. (xx = fortlaufende Nummer).

Schritt 2

• Starte MBAM.
• Klicke im Anschluss auf Scan, wähle den Bedrohungs-Scan aus und klicke auf Scan starten.
• Lass am Ende des Suchlaufs alle Funde (falls vorhanden) in die Quarantäne verschieben. Klicke dazu auf Ausgewählte Elemente in die Quarantäne verschieben.
• Lass deinen Rechner ggf. neu starten, um die Bereinigung abzuschließen.
• Starte MBAM nach dem Neustart, klicke auf Berichte.
• Wähle den neuesten Scan-Bericht aus, klicke auf Bericht anzeigen und dann auf Export.
• Wähle Textdatei (.txt) aus und speichere die Datei als mbam.txt auf dem Desktop ab.
• Füge den Inhalt der mbam.txt mit deiner nächsten Antwort hinzu.

Schritt 3

• Starte FRST erneut. Vergewissere dich, dass vor Addition.txt ein Haken gesetzt ist und drücke auf Untersuchen.
• FRST erstellt wieder zwei Logdateien (FRST.txt und Addition.txt).
• Poste mir beide Logdateien mit deiner nächsten Antwort.

Bitte poste mit deiner nächsten Antwort

• die Logdatei von AdwCleaner,
• die Logdatei von MBAM,
• die zwei neuen Logdateien von FRST.

AdwCleaner:
MBAM:
FRST:

Addition:

Schritt 1

• Kopiere den gesamten Inhalt der folgenden Code-Box:
  
  Code:

  ---

  Start::
CMD: ipconfig /flushdns
CMD: netsh winsock reset
RemoveProxy:
EmptyTemp:
End::

  ---

• Starte nun FRST und klicke direkt den Entfernen Button. Wichtig: Du brauchst den Inhalt der Code-Box nirgends einfügen, da sich FRST den Code aus der Zwischenablage holt!
• Das Tool führt die gewünschten Schritte aus und erstellt eine fixlog.txt im selben Verzeichnis, in dem sich FRST befindet.
• Gegebenenfalls muss dein Rechner dafür neu gestartet werden.
• Poste mir den Inhalt der fixlog.txt mit deiner nächsten Antwort.

Schritt 2

• Starte FRST erneut. Kopiere den Inhalt der folgenden Code-Box oben in das Suchfeld:
  
  Code:

  ---

  SearchAll: slimware;DRIVERUPDATE;SlimCleaner

  ---

• Klicke auf den Button Datei-Suche.
• FRST beginnt mit dem Suchlauf. Dieser kann einige Zeit dauern, bitte gedulde dich!
• Am Ende wird eine Textdatei Search.txt erstellt.
• Poste mir deren Inhalt mit deiner nächsten Antwort.

Schritt 3

• Starte die FRST.exe erneut. Vergewissere dich, dass vor Addition.txt ein Haken gesetzt ist und drücke auf Untersuchen.
• FRST erstellt wieder zwei Logdateien (FRST.txt und Addition.txt).
• Poste mir beide Logdateien mit deiner nächsten Antwort.

Bitte poste mit deiner nächsten Antwort

• die Logdatei des FRST-Fix (fixlog.txt),
• die Logdatei des FRST-Suchlaufs (Search.txt),
• die beiden neuen Logdateien von FRST (FRST.txt und Addition.txt).

fixlog:
Search:
FRST:

Addition:

Hinweis: Der Suchlauf mit ESET kann länger ( >> 2 Stunden) dauern.





Schritt 1

• Kopiere den gesamten Inhalt der folgenden Code-Box:
  
  Code:

  ---

  Start::
C:\Windows\System32\Tasks_Migrated\DriverUpdate Scan
C:\Windows\System32\Tasks_Migrated\SlimCleaner Plus (Scheduled Scan - Krido)
C:\Users\Krido\Downloads\[BACKUP] 2018\DriverUpdate-setup.exe
DeleteKey: HKEY_LOCAL_MACHINE\SYSTEM\Setup\FirstBoot\Services\SlimWareServices
DeleteKey: HKEY_USERS\S-1-5-21-550781232-249755954-3387721073-1001\Software\Classes\Local Settings\Software\Microsoft\Windows\CurrentVersion\AppContainer\Storage\microsoft.microsoftedge_8wekyb3d8bbwe\Children\001\Internet Explorer\DOMStorage\slimware.com
DeleteKey: HKEY_USERS\S-1-5-21-550781232-249755954-3387721073-1001\Software\Classes\Local Settings\Software\Microsoft\Windows\CurrentVersion\AppContainer\Storage\microsoft.microsoftedge_8wekyb3d8bbwe\Children\001\Internet Explorer\EdpDomStorage\slimware.com
EmptyTemp:
End::

  ---

• Starte nun FRST und klicke direkt den Entfernen Button. Wichtig: Du brauchst den Inhalt der Code-Box nirgends einfügen, da sich FRST den Code aus der Zwischenablage holt!
• Das Tool führt die gewünschten Schritte aus und erstellt eine fixlog.txt im selben Verzeichnis, in dem sich die FRST/FRST64.exe befindet.
• Gegebenenfalls muss dein Rechner dafür neu gestartet werden.
• Poste mir den Inhalt der fixlog.txt mit deiner nächsten Antwort.

Schritt 2
Downloade Dir bitte ESET Online Scanner auf deinen Desktop (Bebilderte Anleitung).

• Starte die Installationsdatei.
• Klicke auf Erste Schritte und akzeptiere die Nutzungsbedingungen.
• Klicke wiederrum auf Erste Schritte, wähle die empfohlenen Einstellungen aus und klicke auf Weiter.
• Wähle einen Vollständigen Scan aus, aktiviere die Erkennung von potentiell unerwünschten Anwendungen und klicke auf Prüfung starten.
• Zuerst werden die notwendigen Module und Signaturen heruntergeladen, anschließend startet der Suchlauf automatisch.
• Klicke am Ende des Suchlaufs zuerst auf Weiter. Im Scan-Bericht werden gegebenenfalls die gefundenen Elemente aufgelistet, klicke hier auf Scan-Log speichern und speichere das Ergebnis als eset.txt auf deinen Desktop ab, damit wir notfalls an die Ergebnisse noch kommen.
• Klicke immer auf Weiter und beende ESET mit Ohne Feedback schließen.
• Öffne die ausführliche Logdatei über die Tastenkombination WIN+R (Ausführen), kopiere ins Textfeld folgendes hinein und klick dann auf OK.
  
  Code:

  ---

  notepad "%tmp%\log.txt"

  ---

• Du solltest nun eine geöffnete Textdatei mit dem ausführlichen ESET-Log sehen - alles markieren mit STRG+A und hier in CODE-Tags posten.

http://www.trojaner-board.de/extra/lesestoff.pngGibt es jetzt noch Probleme mit dem PC oder mit deinen Internet Browsern? Wenn ja, welche?







Bitte poste mit deiner nächsten Antwort

• die Logdatei des FRST-Fix,
• die Logdatei von ESET,
• die Beantwortung der gestellten Fragen.

Beim ESET Scan gab es leider ein Problem, ich konnte den Scan-Bericht nicht speichern. Als ich nach Fertigstellung des Scans das erste Mal auf Weiter klickte, kam ich direkt zu der Option der Regelmäßigen Scans - also verglichen zur bebilderten Anleitung war ich schon ein Schritt zu weit. (Da muss ich wohl aus Versehen doppelt geklickt haben - hätte ich allerdings nicht bemerkt.)

Das ist ärgerlich, da tatsächlich 3 Funde gemeldet (und ja wohl auch direkt gelöscht) wurden. Ich hab den Scan aber nebenher ein bisschen beobachtet, und kann daher ziemlich sicher sagen, dass die drei Funde alle im Standard Download Ordner waren (C:\Users\Krido\Downloads).

Zur letzten Frage: nein, keine Probleme, PC und Browser arbeiten anstandslos. Das Programm Slimware ist auch seit der manuellen Deinstallation nicht mehr aktiv.

FRST-Fixlog:
Eset-Log:

Dann wären wir durch!
Wenn du keine Probleme mehr mit Malware hast, dann sind wir hier fertig. Deine Logdateien sind sauber. :daumenhoc


Abschließend bitte noch einen Cleanup mit unserem TBCleanUpTool durchführen und unbedingt die Sicherheitsmaßnahmen lesen und umsetzen - beides ist in folgendem Lesestoff verlinkt:




Wenn Du möchtest, kannst Du hier sagen, ob du mit mir und meiner Hilfe zufrieden warst...:dankeschoen:
Vielleicht möchtest du das Forum mit einer kleinen Spende https://www.trojaner-board.de/extra/spende.png unterstützen. :applaus:

Hinweis:
Bitte gib mir eine kurze Rückmeldung, sobald du die oben verlinkten Informationen gelesen hast, alles erledigt ist und keine Fragen mehr vorhanden sind, so dass ich dieses Thema aus meinen Abos löschen kann.

Vielen Dank!

Alles klar soweit, alles erledigt, nur Eines würde ich gerne noch Fragen: der einzig relevante Fund war hier nur dieses Slimware-Programm, richtig? Sonst nichts, vor allem bezogen auf den angesprochenen Email-Account Fremdzugriff?

Richtig, nur Reste der Slimware-Software wurden entfernt.

Es ist keine Malware vorhanden, die etwas mit dem Mail-Zugriff zu tun hat. :)







Ich bin froh, dass wir helfen konnten :abklatsch:

Dieses Thema scheint erledigt und wird aus meinen Abos gelöscht. Solltest Du das Thema erneut brauchen, schicke uns bitte eine Erinnerung inklusive Link zum Thema.

Jeder andere bitte hier klicken und ein eigenes Thema erstellen.