Windows PC laut Telekom mit gootkit infiziert
 

Hallo,
ich habe eine eMail von der Telekom erhalten das mein Rechner eine gootkit Infektion hätte.
Habe mit der Telekom gesprochen und sie sagten das etwas in deren Honyspots Liste aufgetaucht sei das die öffentliche IP hatte die meinen Anschluß zugeordnet werden konnte.
Jetzt habe ich schon mit malwarebytes einen Scan gemacht (dieses Forum zu entdeckt), dieser fand Pup.optional Sachen.
Jetzt weiß ich nicht ob das mit dem eigentlichen gootkit zu tun haben könnte.
Die Logfiles von dem malwarebytes, also das was er in Quarantäne verschoben hat, kann ich zwar im Programm selbst sehen aber nicht wo er diese abgelegt hat, bzw. kann ich diese im nachhinein nicht erzeugen.

vielen Dank im voraus

FRST Additions Logfile:
--- --- ---

Vergessene Logfiles Adwcleaner:

:hallo:



Mein Name ist Matthias und ich werde dir bei der Analyse und der eventuell notwendigen Bereinigung deines Computers helfen.



Wir haben eine Anleitung zu MBAM, dort steht auch, wie man Logdateien wieder aufrufen kann (ab Punkt 8).



Bitte die Logdatei von MBAM mit den entfernten Funden nachreichen, dann sehen wir weiter.

Schritt 1

• Schließe alle offenen Programme und Internet Browser, damit keine Daten verloren gehen.
• Kopiere den gesamten Inhalt der folgenden Code-Box:
  
  Code:

  ---

  Start::
GroupPolicy: Beschränkung ? <==== ACHTUNG
GroupPolicy\User: Beschränkung ? <==== ACHTUNG
Policies: C:\ProgramData\NTUSER.pol: Beschränkung <==== ACHTUNG
Policies: C:\Users\kaihi\NTUSER.pol: Beschränkung <==== ACHTUNG
HKLM\SOFTWARE\Policies\Mozilla\Firefox: Beschränkung <==== ACHTUNG
Edge HomePage: Default -> hxxp://www.go-setting.com/
Edge StartupUrls: Default -> "hxxp://www.go-setting.com/"
Edge DefaultSearchURL: Default -> hxxp://www.go-setting.com/search?q={searchTerms}
Edge DefaultSearchKeyword: Default -> go-setting.com
Edge HKLM-x32\...\Edge\Extension: [ihcjicgdanjaechkgeegckofjjedodee]
FF user.js: detected! => C:\Users\AllUserName\AppData\Roaming\Mozilla\Firefox\Profiles\gkwkqvp3.default-1566052526425\user.js [2020-09-09]
S3 cpuz145; \??\C:\WINDOWS\temp\cpuz145\cpuz145_x64.sys [X]
S4 IUFileFilter; \??\C:\Program Files (x86)\IObit\IObit Uninstaller\drivers\win10_amd64\IUFileFilter.sys [X]
S3 IUProcessFilter; \??\C:\Program Files (x86)\IObit\IObit Uninstaller\drivers\win10_amd64\IUProcessFilter.sys [X]
S3 IURegistryFilter; \??\C:\Program Files (x86)\IObit\IObit Uninstaller\drivers\win10_amd64\IURegistryFilter.sys [X]
U4 npcap_wifi; kein ImagePath
C:\Program Files (x86)\IObit
C:\Users\AllUserName\AppData\Roaming\IObit
C:\Users\AllUserName\AppData\LocalLow\IObit
C:\ProgramData\IObit
ShellIconOverlayIdentifiers: [ OneDrive1] -> {BBACC218-34EA-4666-9D7A-C78F2274A524} =>  -> Keine Datei
ShellIconOverlayIdentifiers: [ OneDrive2] -> {5AB7172C-9C11-405C-8DD5-AF20F3606282} =>  -> Keine Datei
ShellIconOverlayIdentifiers: [ OneDrive3] -> {A78ED123-AB77-406B-9962-2A5D9D2F7F30} =>  -> Keine Datei
ShellIconOverlayIdentifiers: [ OneDrive4] -> {F241C880-6982-4CE5-8CF7-7085BA96DA5A} =>  -> Keine Datei
ShellIconOverlayIdentifiers: [ OneDrive5] -> {A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E} =>  -> Keine Datei
ShellIconOverlayIdentifiers: [ OneDrive6] -> {9AA2F32D-362A-42D9-9328-24A483E2CCC3} =>  -> Keine Datei
ShellIconOverlayIdentifiers: [ OneDrive7] -> {C5FF006E-2AE9-408C-B85B-2DFDD5449D9C} =>  -> Keine Datei
ShellIconOverlayIdentifiers: [00asw] -> {472083B0-C522-11CF-8763-00608CC02F24} =>  -> Keine Datei
ShellIconOverlayIdentifiers-x32: [ OneDrive1] -> {BBACC218-34EA-4666-9D7A-C78F2274A524} =>  -> Keine Datei
ShellIconOverlayIdentifiers-x32: [ OneDrive2] -> {5AB7172C-9C11-405C-8DD5-AF20F3606282} =>  -> Keine Datei
ShellIconOverlayIdentifiers-x32: [ OneDrive3] -> {A78ED123-AB77-406B-9962-2A5D9D2F7F30} =>  -> Keine Datei
ShellIconOverlayIdentifiers-x32: [ OneDrive4] -> {F241C880-6982-4CE5-8CF7-7085BA96DA5A} =>  -> Keine Datei
ShellIconOverlayIdentifiers-x32: [ OneDrive5] -> {A0396A93-DC06-4AEF-BEE9-95FFCCAEF20E} =>  -> Keine Datei
ShellIconOverlayIdentifiers-x32: [ OneDrive6] -> {9AA2F32D-362A-42D9-9328-24A483E2CCC3} =>  -> Keine Datei
ShellIconOverlayIdentifiers-x32: [ OneDrive7] -> {C5FF006E-2AE9-408C-B85B-2DFDD5449D9C} =>  -> Keine Datei
SearchScopes: HKU\S-1-5-21-2393625349-2809001659-2935058265-1001 -> DefaultScope {95C52930-41BF-4506-B291-276F3268EFFF} URL =
CMD: reg query HKU\S-1-5-21-2393625349-2809001659-2935058265-1001\Software
CMD: reg query HKU\S-1-5-21-2393625349-2809001659-2935058265-1001\Environment /S
CMD: reg query HKU\S-1-5-21-2393625349-2809001659-2935058265-1001\Software\Microsoft\Windows\CurrentVersion\Run /S
CMD: reg query HKU\S-1-5-21-2393625349-2809001659-2935058265-1002\Software
CMD: reg query HKU\S-1-5-21-2393625349-2809001659-2935058265-1002\Environment /S
CMD: reg query HKU\S-1-5-21-2393625349-2809001659-2935058265-1002\Software\Microsoft\Windows\CurrentVersion\Run /S
CMD: ipconfig /flushdns
CMD: netsh winsock reset
CMD: netsh advfirewall reset
CMD: netsh advfirewall set allprofiles state ON
CMD: Bitsadmin /Reset /Allusers
powershell: Set-MpPreference -PUAProtection Enabled
Hosts:
RemoveProxy:
SystemRestore: On
EmptyTemp:
End::

  ---

• Starte nun FRST und klicke direkt den Reparieren Button.
  Wichtig: Du brauchst den Inhalt der Code-Box nirgends einfügen, da sich FRST den Code aus der Zwischenablage holt!
• Das Tool führt die gewünschten Schritte aus und erstellt eine fixlog.txt im selben Verzeichnis, in dem sich FRST befindet.
• Gegebenenfalls muss dein Rechner neu gestartet werden.
• Poste mir den Inhalt der fixlog.txt mit deiner nächsten Antwort.

Schritt 2

• Starte FRST erneut. Vergewissere dich, dass vor Addition.txt ein Haken gesetzt ist und drücke auf Untersuchen.
• FRST erstellt wieder zwei Logdateien (FRST.txt und Addition.txt).
• Poste mir beide Logdateien mit deiner nächsten Antwort.

Bitte poste mit deiner nächsten Antwort:

• die Logdatei des FRST-Fix (fixlog.txt)
• die beiden neuen Logdateien von FRST (FRST.txt und Addition.txt)

Servus,


in diesem Profil "kaihi" sehe ich nichts von Gootkit. Evtl. ist er im anderen Benutzerkonto geladen.

Bitte melde dich mit dem anderen Benutzerkonto ("muell") an und führe dort einen Suchlauf mit FRST aus.
Dieses andere Konto besitzt keine Adminrechte... daher bitte bei FRST mit Rechtsklick "Als Administrator ausführen" auswählen.

Hallo,
Die anderen Kontos sind seit sehr langer Zeit nicht benutzt worden.
Es sind noch 2 weitere Rechner der Kinder im Netzwerk vorhanden. Diese sind derzeit offline, bis die Sache durch ist.
Ich hatte gelesen das man für jeden Rechner ein extra Thema machen soll.
Deshalb habe ich es oben nicht erwähnt.
Wie soll ich jetzt verfahren, doch hier weiter oder extra Thema erstellen?

Trotzdem danke vorab

Hi,

vielen Dank für die Informationen.

Ok, dann nehmen wir uns jetzt den ersten Rechner der Kinder vor.
Dort bitte wie gewohnt nur einen Suchlauf mit FRST ausführen und beide Logdateien posten.

Hallo,
hier die Dateien des Rechner Kind 1:

1.Scan vor Quarantäne

Scan nach der Verschiebung in Quarantäne:

Von MBAM und AdwCleaner habe ich nichts geschrieben... :wtf:
Du solltest eigentlich nur FRST ausführen...

Auf dem Rechner ist auf jeden Fall die Malware Gootkit... :D






Schritt 1

• Schließe alle offenen Programme und Internet Browser, damit keine Daten verloren gehen.
• Kopiere den gesamten Inhalt der folgenden Code-Box:
  
  Code:

  ---

  Start::
HKU\S-1-5-21-1165051215-3207913047-2040614022-1001\...\Run: [abdbbadabebff] => powershell.exe -ExecutionPolicy Bypass -windowstyle hidden -Command "IEX([Environment]::GetEnvironmentVariable('abdbbadabebff', 'User'))" <==== ACHTUNG
DeleteKey: HKU\S-1-5-21-1165051215-3207913047-2040614022-1001\Software\abdbbadabebff
DeleteValue: HKU\S-1-5-21-1165051215-3207913047-2040614022-1001\Environment|abdbbadabebff
DeleteValue: HKU\S-1-5-21-1165051215-3207913047-2040614022-1001\Software\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run|abdbbadabebff
AlternateDataStreams: C:\Users\robin\AppData\Local\Temp:$DATA​ [16]
CMD: ipconfig /flushdns
CMD: netsh winsock reset
CMD: netsh advfirewall reset
CMD: netsh advfirewall set allprofiles state ON
CMD: Bitsadmin /Reset /Allusers
Hosts:
RemoveProxy:
SystemRestore: On
EmptyTemp:
End::

  ---

• Starte nun FRST und klicke direkt den Reparieren Button.
  Wichtig: Du brauchst den Inhalt der Code-Box nirgends einfügen, da sich FRST den Code aus der Zwischenablage holt!
• Das Tool führt die gewünschten Schritte aus und erstellt eine fixlog.txt im selben Verzeichnis, in dem sich FRST befindet.
• Gegebenenfalls muss dein Rechner neu gestartet werden.
• Poste mir den Inhalt der fixlog.txt mit deiner nächsten Antwort.

Schritt 2

• Starte FRST erneut. Kopiere den Inhalt der folgenden Code-Box oben in das Suchfeld:
  
  Code:

  ---

  SearchAll: abdbbadabebff;ReviverSoft;Driver Reviver;Smart Monitor

  ---

• Klicke auf den Button Datei-Suche.
• FRST beginnt mit dem Suchlauf. Das kann einige Zeit dauern, bitte gedulde dich!
• Am Ende wird eine Textdatei Search.txt erstellt.
• Poste mir deren Inhalt mit deiner nächsten Antwort.

Schritt 3

• Starte FRST erneut. Vergewissere dich, dass vor Addition.txt ein Haken gesetzt ist und drücke auf Untersuchen.
• FRST erstellt wieder zwei Logdateien (FRST.txt und Addition.txt).
• Poste mir beide Logdateien mit deiner nächsten Antwort.

Bitte poste mit deiner nächsten Antwort:

• die Logdatei des FRST-Fix (fixlog.txt)
• die Logdatei des FRST-Suchlaufs (Search.txt)
• die beiden neuen Logdateien von FRST (FRST.txt und Addition.txt)

Gootkit ist weg, wir entfernen noch Reste der Adware und kontrollieren abschließend.






Schritt 1

• Schließe alle offenen Programme und Internet Browser, damit keine Daten verloren gehen.
• Kopiere den gesamten Inhalt der folgenden Code-Box:
  
  Code:

  ---

  Start::
CloseProcesses:
C:\ProgramData\ReviverSoft
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\ReviverSoft
C:\Program Files\ReviverSoft
DeleteKey: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Applications\ReviverSoftSmartMonitor.exe
DeleteKey: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{FF12FA28-28F0-4A9D-B9B7-ECEF6F82AAFC}
DeleteKey: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\ReviverSoft.SMSettings
DeleteKey: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\ReviverSoft.SMSettings.1.1
DeleteKey: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{A520B992-6390-4231-9C89-F06B3587AB80}
DeleteKey: HKEY_USERS\S-1-5-21-1165051215-3207913047-2040614022-1001\SOFTWARE\Microsoft\Internet Explorer\DOMStorage\reviversoft.com
DeleteKey: HKEY_USERS\S-1-5-21-1165051215-3207913047-2040614022-1001\SOFTWARE\Microsoft\Internet Explorer\DOMStorage\www.reviversoft.com
DeleteKey: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{FF12FA28-28F0-4A9D-B9B7-ECEF6F82AAFC}
DeleteKey: HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{A520B992-6390-4231-9C89-F06B3587AB80}
EmptyTemp:
End::

  ---

• Starte nun FRST und klicke direkt den Reparieren Button.
  Wichtig: Du brauchst den Inhalt der Code-Box nirgends einfügen, da sich FRST den Code aus der Zwischenablage holt!
• Das Tool führt die gewünschten Schritte aus und erstellt eine fixlog.txt im selben Verzeichnis, in dem sich FRST befindet.
• Gegebenenfalls muss dein Rechner neu gestartet werden.
• Poste mir den Inhalt der fixlog.txt mit deiner nächsten Antwort.

Schritt 2
Führe RogueKiller Anti-Malware gemäß der bebilderten Anleitung aus und poste abschließend die Logdatei.





Schritt 3

• Starte FRST erneut. Vergewissere dich, dass vor Addition.txt ein Haken gesetzt ist und drücke auf Untersuchen.
• FRST erstellt wieder zwei Logdateien (FRST.txt und Addition.txt).
• Poste mir beide Logdateien mit deiner nächsten Antwort.

Bitte poste mit deiner nächsten Antwort:

• die Logdatei des FRST-Fix (fixlog.txt)
• die Logdatei von RogueKiller
• die beiden neuen Logdateien von FRST (FRST.txt und Addition.txt)