Windows 10 mögliche Conficker infektion?
 

Hallo,

ich habe vor kurzem einen USB-Stick wieder bekommen, als ich ihn eingesteckt habe meldete Avast einen Virus:
Zur Sicherheit habe ich den Stick nochmal mit Malwarebytes untersucht, hat auch einen Conficker Worm gefunden (siehe log file).

Ich bin mir jetzt unsicher, ob mein PC infiziert ist und ob ich die Fotos auf dem Stick noch sicher verwenden kann.

Gruß
Niklas

:hallo:



Mein Name ist Matthias und ich werde dir bei der Analyse und der eventuell notwendigen Bereinigung deines Computers helfen.



Alle Tools werden direkt auf dem Desktop gespeichert und von dort gestartet.

Außerdem hängt man Logdateien nicht an, sondern postet diese in Code-Tags.





Weitere Informationen dazu findest du hier:

Danke für den Hinweis Matthias,

hier die neuen Logs:

1/3
FRST:

2/3
Addition:
3/3
Malwarebytes:
Gruß
Niklas

Schritt 1
Downloade dir bitte das Tool REM-VBSWorm auf den Desktop.

• Schließe den infizierten USB-Stick an deinen PC an und merke dir den Laufwerksbuchstaben des USB-Sticks.
  Diesen kannst du auch im Windows Explorer nachsehen.
• Starte rem-VBSworm.
• Gib A ein und bestätige mit Enter.
• Das Programm sucht nach aktiven Infektionen auf dem Windows-Laufwerk und bereinige diese (sofern vorhanden).
• Drücke am Ende eine beliebige Taste, um den Bereinigungsvorgang abzuschließen.
• Gib B ein und bestätige mit Enter.
• Gib den Laufwerksbuchstaben deines USB-Sticks ein und bestätige mit Enter.
• Das Programm sucht nach aktiven Infektionen auf dem USB-Stick und bereinige diese (sofern vorhanden) und stellt versteckte Dateien wieder her.
• Drücke am Ende eine beliebige Taste, um den Bereinigungsvorgang abzuschließen.
• Gib Q ein und bestätie mit Enter.
• Das Programm schließt sich und öffent automatisch eine Logdatei namens Rem-VBS.log.
• Bitte poste mir den Inhalt dieser Datei mit deiner nächsten Antwort.

Schritt 2

• Kopiere den gesamten Inhalt der folgenden Code-Box:
  
  Code:

  ---

  Start::
CloseProcesses:
HKLM-x32\...\Run: [] => [X]
HKLM Group Policy restriction on software: %systemroot%\system32\mrt.exe <==== ACHTUNG
GroupPolicy: Beschränkung ? <==== ACHTUNG
FF HKLM\SOFTWARE\Policies\Mozilla\Firefox: Beschränkung <==== ACHTUNG
Task: {61325CD6-38C2-4DAC-A141-F0B026D5D33E} - \Microsoft\Windows\UNP\RunCampaignManager -> Keine Datei <==== ACHTUNG
U4 npcap_wifi; kein ImagePath
CustomCLSID: HKU\S-1-5-21-497472711-3965598625-1790230772-1003_Classes\CLSID\{1BF42E4C-4AF4-4CFD-A1A0-CF2960B8F63E}\InprocServer32 -> C:\Users\Niklas\AppData\Local\Microsoft\OneDrive\18.025.0204.0009\amd64\FileSyncShell64.dll => Keine Datei
CustomCLSID: HKU\S-1-5-21-497472711-3965598625-1790230772-1003_Classes\CLSID\{7AFDFDDB-F914-11E4-8377-6C3BE50D980C}\InprocServer32 -> C:\Users\Niklas\AppData\Local\Microsoft\OneDrive\18.025.0204.0009\amd64\FileSyncShell64.dll => Keine Datei
CustomCLSID: HKU\S-1-5-21-497472711-3965598625-1790230772-1003_Classes\CLSID\{82CA8DE3-01AD-4CEA-9D75-BE4C51810A9E}\InprocServer32 -> C:\Users\Niklas\AppData\Local\Microsoft\OneDrive\18.025.0204.0009\amd64\FileSyncShell64.dll => Keine Datei
ShellIconOverlayIdentifiers: [ OneDrive7] -> {C5FF006E-2AE9-408C-B85B-2DFDD5449D9C} =>  -> Keine Datei
ShellIconOverlayIdentifiers-x32: [ OneDrive7] -> {C5FF006E-2AE9-408C-B85B-2DFDD5449D9C} =>  -> Keine Datei
ContextMenuHandlers1: [ANotepad++64] -> {B298D29A-A6ED-11DE-BA8C-A68E55D89593} =>  -> Keine Datei
ContextMenuHandlers1_.DEFAULT: [ FileSyncEx] -> {CB3D0F55-BC2C-4C1A-85ED-23ED75B5106B} =>  -> Keine Datei
ContextMenuHandlers4_.DEFAULT: [ FileSyncEx] -> {CB3D0F55-BC2C-4C1A-85ED-23ED75B5106B} =>  -> Keine Datei
ContextMenuHandlers5_.DEFAULT: [ FileSyncEx] -> {CB3D0F55-BC2C-4C1A-85ED-23ED75B5106B} =>  -> Keine Datei
AlternateDataStreams: C:\Users\Niklas\AppData\Local\Temp:$DATA​ [16]
AlternateDataStreams: C:\Users\Public\AppData:CSM [470]
AlternateDataStreams: C:\Users\Public\Shared Files:VersionCache [476]
ExportKey: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions
CMD: ipconfig /flushdns
CMD: netsh winsock reset
RemoveProxy:
EmptyTemp:
End::

  ---

• Starte nun FRST und klicke direkt den Entfernen Button.Wichtig: Du brauchst den Inhalt der Code-Box nirgends einfügen, da sich FRST den Code aus der Zwischenablage holt!
• Das Tool führt die gewünschten Schritte aus und erstellt eine fixlog.txt im selben Verzeichnis, in dem sich FRST befindet.
• Gegebenenfalls muss dein Rechner neu gestartet werden.
• Poste mir den Inhalt der fixlog.txt mit deiner nächsten Antwort.

Schritt 3

• Starte FRST erneut. Vergewissere dich, dass vor Addition.txt ein Haken gesetzt ist und drücke auf Untersuchen.
• FRST erstellt wieder zwei Logdateien (FRST.txt und Addition.txt).
• Poste mir beide Logdateien mit deiner nächsten Antwort.

Bitte poste mit deiner nächsten Antwort:

• die Logdatei von REM-VBSWorm,
• die Logdatei des FRST-Fix (fixlog.txt)
• die beiden neuen Logdateien von FRST (FRST.txt und Addition.txt)

1/4:
Rem-VBS:
2/4:
Fixlog:
3/4:
FRST:

3/4:
FRST:

4/4:
Addition:
Gruß
Niklas

Schritt 1

• Kopiere den gesamten Inhalt der folgenden Code-Box:
  
  Code:

  ---

  Start::
CloseProcesses:
Startup: C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\errorlog.txt [2019-07-29] ()
Startup: C:\Users\Niklas\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\errorlog.txt [2019-07-29] ()
EmptyTemp:
End::

  ---

• Starte nun FRST und klicke direkt den Entfernen Button.Wichtig: Du brauchst den Inhalt der Code-Box nirgends einfügen, da sich FRST den Code aus der Zwischenablage holt!
• Das Tool führt die gewünschten Schritte aus und erstellt eine fixlog.txt im selben Verzeichnis, in dem sich FRST befindet.
• Gegebenenfalls muss dein Rechner neu gestartet werden.
• Poste mir den Inhalt der fixlog.txt mit deiner nächsten Antwort.

Schritt 2
Führe AdwCleaner gemäß der bebilderten Anleitung aus und poste abschließend die Logdatei.







Schritt 3
Führe MBAM gemäß der bebilderten Anleitung aus und poste abschließend die Logdatei.







Bitte poste mit deiner nächsten Antwort:

• die Logdatei des FRST-Fix
• die Logdatei von AdwCleaner
• die Logdatei von MBAM

1/3:
Fixlog:

Gut gemacht. :)


Immer weiter so. ;)

2/3:
AdwCleaner:
3/3:
MBAM Log:
Grüße
Niklas

Hinweis: Der Suchlauf mit ESET kann länger ( >> 2 Stunden) dauern.





Schritt 1

• Kopiere den gesamten Inhalt der folgenden Code-Box:
  
  Code:

  ---

  Start::
S3 SWDUMon; C:\WINDOWS\system32\DRIVERS\SWDUMon.sys [25608 2019-02-01] (AVG Technologies CZ, s.r.o. -> SlimWare Utilities, Inc.)
EmptyTemp:
End::

  ---

• Starte nun FRST und klicke direkt den Entfernen Button.Wichtig: Du brauchst den Inhalt der Code-Box nirgends einfügen, da sich FRST den Code aus der Zwischenablage holt!
• Das Tool führt die gewünschten Schritte aus und erstellt eine fixlog.txt im selben Verzeichnis, in dem sich FRST befindet.
• Gegebenenfalls muss dein Rechner neu gestartet werden.
• Poste mir den Inhalt der fixlog.txt mit deiner nächsten Antwort.

Schritt 2
Downloade Dir bitte ESET Online Scanner auf deinen Desktop (Bebilderte Anleitung).

• Starte die Installationsdatei.
• Klicke auf Erste Schritte und akzeptiere die Nutzungsbedingungen.
• Klicke wiederrum auf Erste Schritte, wähle die empfohlenen Einstellungen aus und klicke auf Weiter.
• Wähle einen Vollständigen Scan aus, aktiviere die Erkennung von potentiell unerwünschten Anwendungen und klicke auf Prüfung starten.
• Zuerst werden die notwendigen Module und Signaturen heruntergeladen, anschließend startet der Suchlauf automatisch.
• Klicke am Ende des Suchlaufs zuerst auf Weiter. Im Scan-Bericht werden gegebenenfalls die gefundenen Elemente aufgelistet, klicke hier auf Scan-Log speichern und speichere das Ergebnis als eset.txt auf deinen Desktop ab, damit wir notfalls an die Ergebnisse noch kommen.
• Klicke immer auf Weiter und beende ESET mit Ohne Feedback schließen.
• Öffne die ausführliche Logdatei über die Tastenkombination WIN+R (Ausführen), kopiere ins Textfeld folgendes hinein und klick dann auf OK.
  
  Code:

  ---

  notepad "%tmp%\log.txt"

  ---

• Du solltest nun eine geöffnete Textdatei mit dem ausführlichen ESET-Log sehen - alles markieren mit STRG+A und hier in CODE-Tags posten.

Schritt 3

• Starte die FRST.exe erneut. Vergewissere dich, dass vor Addition.txt ein Haken gesetzt ist und drücke auf Untersuchen.
• FRST erstellt wieder zwei Logdateien (FRST.txt und Addition.txt).
• Poste mir beide Logdateien mit deiner nächsten Antwort.

Schritt 4

Wie läuft der Rechner aktuell? Wie sieht es mit dem USB-Stick aus?

Bitte poste mit deiner nächsten Antwort

• die Logdatei des FRST-Fix
• die Logdatei von ESET
• die beiden neuen Logdateien von FRST
• die Beantwortung der gestellten Frage

Kleine Rückmeldung: Leider ist meine SSD physisch kaputt gegangen, deshalb werde ich in den nächsten ca 2 Tagen nichts machen können .

Gruß
Niklas

Danke für die Rückmeldung. :)

Ich nehme an, dass der Rest der Bereinigung dann ebenfalls nicht mehr notwendig sein wird, da du ja eine Neuinstallation durchführen wirst... ?

Den USB-Stick solltest du formatieren.