Malwarebytes und AWDCleaner melden immer Funde. Sind das wirklich Trojaner?
 

Hallo,

ich habe seit einiger Zeit die kostenlose Version von Malwarebytes auf meinem Rechner (Win 64, Firefox) installiert und nutze sie immer dann, wenn nach einer Suche mit Google die "bezahlten" Treffer an den ersten Positionen im Suchergebnis auftauchen.

Was ich damit meine, sieht man in den angehängten Grafiken (hoffentlich :-)). Die Screenshots habe ich vor und nach der Bereinigung gemacht. Zeitabstand ca. 10 Minuten.

Malwarebytes finde aber bei jedem Suchlauf zwischen 15-25 Einträge. Bei dem Neustart wird mir dann ab und zu mal angezeigt, das Laufwerk C: repariert wird.


Nach der Bereinigung passieren trotz allem immer wieder mysteriöse Dinge:
- Firefox stürzt häufiger mal ab
- Malwarebytes blockiert beim ersten Öffnen Webseiten (siehe Anhang). Bei nochmaligem klick auf den entspr. Link wird die Seite normal geöffnet.

Ich habe einen Scan mit FRST64 durchgeführt. Protokolle in den folgenden Beiträgen.

Vielleicht sind das ja alles nur Fehlalarme, aber das könnt nur ihr beantworten und ich würde mich freuen, wenn ihr mal einen Blick in die Protokolle werft.

Danke
PawelPopolski

FRST Logfile:
--- --- ---

FRST Additions Logfile:
--- --- ---

:hallo:



Mein Name ist Matthias und ich werde dir bei der Analyse und der eventuell notwendigen Bereinigung deines Computers helfen.



Ich analysiere gerade dein System und melde mich in Kürze mit weiteren Anweisungen.

Es handelt sich um Adware / PUP.

Kannst du genauer sagen, seit wann (Datum?) du diese Probleme hast?
Für gewöhnlich kommt diese Malware bei der Installation von Software über audacity.de auf den Rechner. War Audacity mal auf deinem Gerät installiert?

Ich habe dir mal die entsprechende Warnung mit hier reingepostet:










Schritt 1

• Schließe alle offenen Programme und Internet Browser, damit keine Daten verloren gehen.
• Kopiere den gesamten Inhalt der folgenden Code-Box:
  
  Code:

  ---

  Start::
CloseProcesses:
ShellIconOverlayIdentifiers: [00asw] -> {472083B0-C522-11CF-8763-00608CC02F24} =>  -> Keine Datei
ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} =>  -> Keine Datei
ContextMenuHandlers1: [7-Zip] -> {23170F69-40C1-278A-1000-000100020000} =>  -> Keine Datei
ContextMenuHandlers1: [BriefcaseMenu] -> {85BBD920-42A0-1069-A2E4-08002B30309D} =>  -> Keine Datei
ContextMenuHandlers3: [{4A7C4306-57E0-4C0C-83A9-78C1528F618C}] -> {4A7C4306-57E0-4C0C-83A9-78C1528F618C} =>  -> Keine Datei
ContextMenuHandlers4: [7-Zip] -> {23170F69-40C1-278A-1000-000100020000} =>  -> Keine Datei
ContextMenuHandlers4: [Offline Files] -> {474C98EE-CF3D-41f5-80E3-4AAB0AB04301} =>  -> Keine Datei
ContextMenuHandlers6: [BriefcaseMenu] -> {85BBD920-42A0-1069-A2E4-08002B30309D} =>  -> Keine Datei
ContextMenuHandlers6: [Fast Explorer] -> {693BE9C0-BEC3-11D2-B4C1-C33BBD3AD64B} =>  -> Keine Datei
ContextMenuHandlers6: [Offline Files] -> {474C98EE-CF3D-41f5-80E3-4AAB0AB04301} =>  -> Keine Datei
ContextMenuHandlers2_.DEFAULT: [FileLocatorPro] -> {1ED0F018-76B9-4DB9-9C06-CA0F3088F04F} =>  -> Keine Datei
ContextMenuHandlers4_.DEFAULT: [FileLocatorPro] -> {1ED0F018-76B9-4DB9-9C06-CA0F3088F04F} =>  -> Keine Datei
ContextMenuHandlers5_.DEFAULT: [FileLocatorPro] -> {1ED0F018-76B9-4DB9-9C06-CA0F3088F04F} =>  -> Keine Datei
ContextMenuHandlers6_.DEFAULT: [FileLocatorPro] -> {1ED0F018-76B9-4DB9-9C06-CA0F3088F04F} =>  -> Keine Datei
AS: adaware antivirus (Enabled - Up to date) {81948D47-EC60-2ED2-2A3D-F5B8091A6387}
C:\Users\AllUserName\AppData\Local\Google\Chrome
DeleteKey: HKLM\SOFTWARE\Google\Chrome
DeleteKey: HKLM\SOFTWARE\WOW6432Node\Google\Chrome
DeleteKey: HKCU\SOFTWARE\Google\Chrome
Startup: C:\Users\AllUserName\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Folding@home.lnk [2020-03-28]
ShortcutTarget: Folding@home.lnk -> C:\Program Files (x86)\FAHClient\HideConsole.exe (Keine Datei)
Task: {8155CB48-1A22-457C-919B-E7DAE3ACF0B6} - System32\Tasks\AVAST Software\Avast settings backup => C:\Program Files\Common Files\AV\avast! Antivirus\backup.exe
C:\Program Files\Common Files\AV
C:\Windows\System32\Tasks\AVAST Software
Task: {0535EAB1-8E7A-478E-87E6-52AE5FE4173E} - System32\Tasks\Verbindungsschicht-Topologieerkennungs-Zuordnungsprogramm Intel(R) MBB => C:\Program Files (x86)\nodejs\node.exe [15017624 2017-05-02] (Node.js Foundation -> Node.js) -> "C:\ProgramData\Package Cache\{6F9A93EE-E369-43BE-8D86-5269476696BE}\{C2A6175D-0D85-40DF-B0EF-F1D3B43AEBF6}" <==== ACHTUNG
Task: {AF670F8C-79EB-4108-AF3D-9552EE5B9BAE} - System32\Tasks\AVCTP-DienstAcrobatAnwendungsidentität => C:\Program Files (x86)\nodejs\node.exe [15017624 2017-05-02] (Node.js Foundation -> Node.js) -> C:\WINDOWS\Installer\{8792CB91-CE39-406C-950D-4FBFBC78765E}\{613CADF3-0918-452A-9D71-993C19108334} <==== ACHTUNG
C:\Users\AllUserName\AppData\Local\Microsoft\Edge\User Data\Default\Extensions\iaimdfmmgejkfacgppkogapmchfppdop
C:\ProgramData\ntuser.pol
C:\WINDOWS\system32\GroupPolicy\Machine
C:\WINDOWS\system32\GroupPolicy\GPT.ini
C:\WINDOWS\SysWOW64\GroupPolicy\Machine
C:\WINDOWS\SysWOW64\GroupPolicy\GPT.ini
DeleteKey: HKLM\SOFTWARE\Policies\Google
DeleteKey: HKLM\SOFTWARE\Policies\Mozilla
DeleteKey: HKLM\SOFTWARE\Policies\Microsoft\Edge
DeleteKey: HKLM\SOFTWARE\Policies\Microsoft\Windows Defender
C:\Users\AllUserName\AppData\Roaming\Mozilla\Firefox\Profiles\fiyp5cb3.default-1600263765157\user.js
FF HKLM\...\Firefox\Extensions: [{A35AF1EE-076F-4BC7-B7A3-FEF271D74050}] - C:\WINDOWS\Installer\{B572CA59-5BF7-4A24-8450-9EF9C558FA31}\{A35AF1EE-076F-4BC7-B7A3-FEF271D74050}.xpi
FF HKLM-x32\...\Firefox\Extensions: [{A35AF1EE-076F-4BC7-B7A3-FEF271D74050}] - C:\WINDOWS\Installer\{B572CA59-5BF7-4A24-8450-9EF9C558FA31}\{A35AF1EE-076F-4BC7-B7A3-FEF271D74050}.xpi
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Node.js
C:\Program Files (x86)\nodejs
DeleteKey: HKLM\SOFTWARE\Node.js
DeleteKey: HKLM\SOFTWARE\WOW6432Node\Node.js
DeleteKey: HKLM\SOFTWARE\Classes\Installer\Products\4D45993E1218CF443A3DFD6652D48B19
DeleteKey: HKLM\SOFTWARE\Classes\Installer\Products\27AC50E0DD8DF2342ACC8800434A5877
DeleteKey: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Products\4D45993E1218CF443A3DFD6652D48B19
DeleteKey: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Products\27AC50E0DD8DF2342ACC8800434A5877
DeleteKey: HKU\.DEFAULT\Software\Node.js
DeleteKey: HKCU\SOFTWARE\Node.js
DeleteKey: HKLM\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\Uninstall\{E39954D4-8121-44FC-A3D3-DF66254DB891}
DeleteKey: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WINEVT\Publishers\{77754e9b-264b-4d8d-b981-e4135c1ecb0c}
DeleteKey: HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Perflib\_V2Providers\{793c9b44-3d6b-4f57-b5d7-4ff80adcf9a2}
DeleteKey: HKLM\SOFTWARE\WOW6432Node\Microsoft\Windows NT\CurrentVersion\Perflib\_V2Providers\{793c9b44-3d6b-4f57-b5d7-4ff80adcf9a2}
StartBatch:
FOR /D %%a IN ("%WINDIR%\Installer\{????????-????-????-????-????????????}") DO ( IF EXIST "%%a\{????????-????-????-????-????????????}.xpi" RD /S /Q "%%a" )
FOR /D %%a IN ("%WINDIR%\Installer\{????????-????-????-????-????????????}") DO ( IF EXIST "%%a\c????????????????????????????????rx" RD /S /Q "%%a" )
FOR /D %%a IN ("%WINDIR%\Installer\{????????-????-????-????-????????????}") DO ( IF EXIST "%%a\x????????????????????????????????ml" RD /S /Q "%%a" )
FOR /D %%a IN ("%WINDIR%\Installer\{????????-????-????-????-????????????}") DO ( IF EXIST "%%a\{????????-????-????-????-????????????}" RD /S /Q "%%a" )
FOR /D %%a IN ("%ProgramData%\Package Cache\{????????-????-????-????-????????????}") DO ( IF EXIST "%%a\{????????-????-????-????-????????????}" RD /S /Q "%%a" )
EndBatch:
CMD: ipconfig /flushdns
CMD: netsh winsock reset
CMD: netsh advfirewall reset
CMD: netsh advfirewall set allprofiles state ON
CMD: Bitsadmin /Reset /Allusers
powershell: Set-MpPreference -PUAProtection Enabled
Hosts:
RemoveProxy:
SystemRestore: On
EmptyTemp:
End::

  ---

• Starte nun FRST und klicke direkt den Reparieren Button.
  Wichtig: Du brauchst den Inhalt der Code-Box nirgends einfügen, da sich FRST den Code aus der Zwischenablage holt!
• Das Tool führt die gewünschten Schritte aus und erstellt eine fixlog.txt im selben Verzeichnis, in dem sich FRST befindet.
• Gegebenenfalls muss dein Rechner neu gestartet werden.
• Poste mir den Inhalt der fixlog.txt mit deiner nächsten Antwort.

Schritt 2

• Starte FRST erneut. Kopiere den Inhalt der folgenden Code-Box oben in das Suchfeld:
  
  Code:

  ---

  SearchAll: iaimdfmmgejkfacgppkogapmchfppdop

  ---

• Klicke auf den Button Datei-Suche.
• FRST beginnt mit dem Suchlauf. Das kann einige Zeit dauern, bitte gedulde dich!
• Am Ende wird eine Textdatei Search.txt erstellt.
• Poste mir deren Inhalt mit deiner nächsten Antwort.

Schritt 3

• Starte FRST erneut. Vergewissere dich, dass vor Addition.txt ein Haken gesetzt ist und drücke auf Untersuchen.
• FRST erstellt wieder zwei Logdateien (FRST.txt und Addition.txt).
• Poste mir beide Logdateien mit deiner nächsten Antwort.

Bitte poste mit deiner nächsten Antwort:

• die Logdatei des FRST-Fix (fixlog.txt)
• die Logdatei des FRST-Suchlaufs (Search.txt)
• die beiden neuen Logdateien von FRST (FRST.txt und Addition.txt)

Hallo Matthias,

Danke schon mal für deine Hilfe. Ich weiss nicht genau, wann das Problem aufgetaucht ist, aber mein erster Scan mit Malwarebytes ist auf den 4.11.20 datiert. Dann muss es wohl kurz vorher gewesen sein.

Das Programm audacity sagt mir nichts. Das Einzige, was ich in den letzten Wochen installiert und nach einem kurzen Test auch wieder deinstalliert habe, war eine Testversion von einm Ribbon Creator. Um ehrlich zu sein, ich weiss nicht mehr, wo ich ihn runtertgeladen habe.

Habe jetzt noch mal mit Malwarebytes und adwcleaner gescannt. Keine Funde.

Gemäß unseren Regeln sollst du während der Bereinigung nichts installieren!
Diese Setup von "MyPhoneExplorer" ist mit PUP verseucht. Lass die Finger davon!
Willst du deinen Rechner erneut infizieren? :wtf:

Dein Windows solltest du auch updaten, mehr dazu in Schritt 2.






Schritt 1

• Schließe alle offenen Programme und Internet Browser, damit keine Daten verloren gehen.
• Kopiere den gesamten Inhalt der folgenden Code-Box:
  
  Code:

  ---

  Start::
U1 aswbdisk; kein ImagePath
U4 npcap_wifi; kein ImagePath
U4 npf_wifi; kein ImagePath
DeleteValue: HKEY_USERS\S-1-5-21-1868046488-286209551-1930957107-1001\Software\Microsoft\Edge\PreferenceMACs\Default\extensions.settings|iaimdfmmgejkfacgppkogapmchfppdop
DeleteKey: HKLM\SOFTWARE\Policies\Microsoft\Windows Defender
C:\Users\AllUserName\Documents\MyPhoneExplorer_Setup_1.8.8.exe
DeleteQuarantine:
Unlock: C:\FRST
Reboot:
End::

  ---

• Starte nun FRST und klicke direkt den Reparieren Button.
  Wichtig: Du brauchst den Inhalt der Code-Box nirgends einfügen, da sich FRST den Code aus der Zwischenablage holt!
• Das Tool führt die gewünschten Schritte aus und erstellt eine fixlog.txt im selben Verzeichnis, in dem sich FRST befindet.
• Gegebenenfalls muss dein Rechner neu gestartet werden.
• Poste mir den Inhalt der fixlog.txt mit deiner nächsten Antwort.

Schritt 2
Auf deinem Computer fehlen Windows Updates.

• Folge dem Pfad Start > Einstellungen > Update und Sicherheit > Windows Update.
• Klicke auf Nach Updates suchen und lass bitte alle angezeigten Updates nacheinander installieren.
• Für Funktionsupdates / Kumulative Updates musst du diese ggf. vorher auswählen und dann installieren.
• In der Regel muss dein Rechner dafür neu gestartet werden.
• Wiederhole den Vorgang, bis keine neuen Updates mehr angezeigt werden.
• Alternativ kannst du auch mit dem Update Assistenten deine Windows-Version auf den neuesten Stand bringen.
  Klicke dazu auf Jetzt aktualisieren, lade dir den Update-Assistenten herunter und führe ihn aus.

Dann wären wir durch!
Wenn du keine Probleme mehr mit Malware hast, dann sind wir hier fertig. Deine Logdateien sind sauber. :daumenhoc


Abschließend bitte noch einen Cleanup mit unserem TBCleanUpTool durchführen und unbedingt die Sicherheitsmaßnahmen lesen und umsetzen - beides ist in folgendem Lesestoff verlinkt:




Wenn Du möchtest, kannst Du hier sagen, ob du mit mir und meiner Hilfe zufrieden warst...:dankeschoen:
Vielleicht möchtest du das Forum mit einer kleinen Spende https://www.trojaner-board.de/extra/spende.png unterstützen. :applaus:


Hinweis:
Bitte gib mir eine kurze Rückmeldung, sobald du die oben verlinkten Informationen gelesen hast, alles erledigt ist und keine Fragen mehr vorhanden sind, so dass ich dieses Thema aus meinen Abos löschen kann.

Hallo Matthias,

zu deinem Hinweis:

Gemäß unseren Regeln sollst du während der Bereinigung nichts installieren!
Zitat:
Name: PUA:Win32/CandyOpen
ID: 213956
Schweregrad: Schwerwiegend
Kategorie: Potenziell unerwünschte Software
Pfad: file:_C:\Users\*********\Documents\MyPhoneExplorer_Setup_1.8.8.exe
Diese Setup von "MyPhoneExplorer" ist mit PUP verseucht. Lass die Finger davon!
Willst du deinen Rechner erneut infizieren?

Ich habe während des Prozesses nichts installiert. Interessant war, dass der Windows-Defender nach dem Reinigungsdurchlauf plötzlich diese Datei als "Schädlich" gemeldet hat. Es handelt sich hierbei um eine kostenlose Software, die es ermöglicht ein Handy mit Outlook zu synchronisieren. Ich benutze diese Software schon seit ca. 5 Jahren und solange liegt das die Datei wohl auch schon auf meinem Rechner rum. Bisher hatte ich noch keine Probleme damit. Kurios!

Hier das Protokoll des Letzten Durchlaufs
Eine letzte Frage:
Sollte so etwas wieder auftreten, kann ich dann die mit deiner Hilfe durchgeführten Säuberungsschritte einfach 1:1 wiederholen?

Gruß
PawelPopolski

Nein, das kannst du leider nicht.
Jede Malware-Infektion ist einzigartig. In jeder Logdatei sind andere schadhafte Einträge. Eine 1:1 Umsetzung ist nicht zielführend.

Diese Malware erstellt immer verschiedene Starteinträge (unterschiedliche Namen). Das ist auch ein Grund, warum sie aktuell nicht erkannt wird.
Zudem lädt diese Malware "PUP.Optional.DownloadProtect" nach, welche von Malwarebytes' Anti-Malware zwar entdeckt wird, jedoch auch noch vollständig.





Wir sind froh, dass wir helfen konnten :abklatsch:

Dieses Thema scheint erledigt und wird aus unseren Abos gelöscht. Solltest Du das Thema erneut brauchen, schicke uns bitte eine Erinnerung inklusive Link zum Thema.

Jeder andere bitte hier klicken und ein eigenes Thema erstellen.